Nova Lei Geral de Proteção de Dados – LGPD

A Lei nº 13.709 editada em 2018 é conhecida como Lei Geral de Proteção de Dados (LGPD). Ela fala sobre o tratamento de dados pessoais, inclusive nos meios digitais. Aplica-se à pessoa natural ou às pessoas jurídicas de direito público ou privado. Originada da lei de proteção de dados da União Europeia (GDPR), a LGPD modifica bastante as relações das empresas com seus clientes e potenciais consumidores. Confira!

Objetivo e principais pontos Lei Geral de Proteção de Dados

A Lei Geral de Proteção de Dados é o reflexo da GDPR. Traz como principal obrigação das empresas o consentimento do usuário. No entanto, dá destaque também ao maior controle dos processos das pessoas jurídicas que tratam dados pessoais. E o que isso significa para a empresa? Que é preciso implementar novos padrões de segurança. A equipe de TI e a equipe jurídica são fundamentais para tanto. São elas as responsáveis por manter registros e elaborar relatórios e documentos necessários para cumprir à lei.

O objetivo da LGPD é, conforme consta na própria lei, “proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural”. Para tanto, ela se baseia em alguns princípios.

O primeiro é o princípio da finalidade. De acordo com ele, a coleta de dados só pode ser realizada com finalidade específica. Ela deve ser informada aos titulares previamente. Desse princípio, resulta o da minimização da coleta. Ou seja, a coleta se restringe aos dados necessários para atingir ao fim específico.

Esses princípios conferem aos usuários maior controle sobre o processamento de seus dados pessoais. São formas que a LGPD encontrou de atingir seu objetivo. E dois pontos merecem destaque: consentimento do titular e direitos do usuário.

Consentimento do titular

O artigo 7º, inciso I da Lei diz que “o tratamento de dados pessoais somente poderá ser realizado […] mediante o fornecimento de consentimento pelo titular”. O consentimento pode se dar por escrito ou por outro meio que demonstre a manifestação de vontade. Ele só pode ser dispensado caso o usuário torne seus dados manifestamente públicos.

A qualquer tempo, o titular pode revogar o consentimento. Basta uma manifestação expressa.

Direitos do usuário

A LGPD se baseia nos direitos constitucionais de liberdade, privacidade e intimidade. Para que sejam preservados, os titulares possuem dois direitos complementares: portabilidade e acesso.

O primeiro diz respeito à possibilidade de pedir aos controladores a atualização dos dados pessoais e seu encaminhamento a outros controladores. Também podem retificar dados inexatos, incompletos ou desatualizados ou solicitar sua exclusão. O segundo se refere à possibilidade de solicitar o fornecimento dos dados.

Mas a LGPD ainda traz outras regras para garantir o direito das pessoas naturais. São elas:

• Tratamento de dados pessoais sensíveis (origem racial ou étnica, opinião política, convicção religiosa, vida sexual e outros);

• Tratamento de dados pessoais de crianças e adolescentes;

• Tratamento de dados pessoais pelo Poder Público;

• Transferência internacional de dados pessoais.

Relação entre empresas e LGPD

O advento da LGPD trouxe segurança jurídica para as empresas. Antes dela, os empresários tinham dificuldade em realizar o compliance quanto ao tratamento de dados pessoais, pois se baseavam em normas estrangeiras. Havia uma insegurança sobre o cenário regulatório no Brasil quanto à proteção de dados.

Uma multinacional, por exemplo, não conseguia compreender que não existia uma lei brasileira sobre a proteção de dados. Seus advogados precisavam fazer um recorte de normas esparsas para demonstrar o mínimo de proteção. Para os estudiosos do tema, esse era um ponto que afastava os investimentos no país

Com o advento da LGPD, a lacuna sobre a segurança da informação de usuários no ambiente digital foi preenchida. Ela traz dois artigos sobre a necessidade de se implementar boas práticas de segurança de dados e governança. Em outras palavras, traça duas diretrizes para as empresas que tratam dados pessoais:

Artigo 46: “Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito”.

Artigo 50: “Os controladores e operadores […] poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais”.

Papel da assessoria jurídica no compliance

As diretrizes que o LGPD traça não são tão simples. Seu entendimento depende de conhecimento técnico. As empresas de grande porte possuem um departamento jurídico que será responsável por adequá-las à nova lei. Seus advogados deverão se capacitar para elaborar uma política de segurança e privacidade condizente com a LGPD. Já as empresas de pequeno porte, que não possuem um departamento jurídico, devem procurar um escritório de advocacia para serem verdadeiros parceiros do negócio.

A participação da assessoria jurídica é fundamental para o processo de conformidade. E ele não se dá em uma só vez. Além da elaboração das novas políticas, é preciso mudar a performance das atividades rotineiras. Antes, havia uma coleta massiva e indistinta de dados. Com a LGPD, as empresas devem obedecer ao princípio da coleta mínima e da finalidade.

O advogado responsável pelo compliance deve adotar duas práticas fundamentais para o atendimento à LGPD:

• Prestação de contas: as empresas devem prestar contas (accountability) sobre o cumprimento da lei. Para isso, devem elaborar um relatório de impacto de proteção de dados pessoais. Ele avaliará todo o ciclo de vida do tratamento, desde a coleta até a exclusão. Nele, também constarão o fundamento que autoriza o tratamento, inclusive o consentimento do usuário, as medidas de segurança da informação e os procedimentos que mitigam riscos.

• Cultura de proteção de dados: a assessoria jurídica deve criar uma cultura de proteção de dados. Isso facilitará o compliance quanto à LGPD. A lei traz a figura do Encarregado de Proteção de Dados (DPO – Data Protection Officer). Esse profissional é responsável por estabelecer boas práticas e governança quanto ao tratamento de dados pessoais.

As empresas devem se adequar à LGPD por vários motivos. O compliance jurídico não é a única vantagem. É preciso destacar a melhoria da reputação e da confiança dos usuários. Para que isso ocorra, o auxílio jurídico é fundamental. Que tal ver como podemos ajudá-lo com a LGPD?