O que é a LGPD ?
A Lei Geral de Proteção de Dados (LGPD) é um marco regulatório que estabelece regras e obrigações para proteção de dados pessoais, online e offline. Define conceitos, cria categorias de dados, bases legais de tratamento e prevê sanções no Brasil. No cotidiano empresarial, inúmeros dados são coletados de clientes, parceiros e funcionários. A LGPD não proíbe a coleta ou operação com esses dados, mas exige que as atividades sigam normas e respeitem os direitos dos titulares.
A minha empresa deve se adequar à LGPD?
A lei se aplica tanto a pessoas naturais quanto a pessoas jurídicas que realizam tratamento de dados pessoais, desde que:
- a operação de tratamento seja realizada no Brasil;
- a atividade de tratamento tenha por objetivo ofertar ou oferecer bens ou serviços no Brasil;
- os dados pessoais para o tratamento sejam coletados no Brasil.
Tratamento de dados pessoais é praticamente qualquer atividade realizada com um dado pessoal, incluindo operações como a coleta, o armazenamento, a transmissão, o processamento e a eliminação desse tipo de dado, dentre diversas outras possibilidades.
Mas o que são dados pessoais?
Dados pessoais referem-se a informações que identificam ou podem identificar uma pessoa, como nome, CPF, e-mail e endereço. Além desses, detalhes como altura ou escola frequentada podem ser considerados, dependendo do contexto e das implicações do tratamento. Por exemplo, se a altura permitir identificar alguém em um grupo, é considerada um dado pessoal pela LGPD.
A LGPD também estabelece categorias diferentes de dados pessoais. Além dos dados “normais”, existem os sensíveis, que representam maior risco aos direitos individuais. Estes incluem origem racial ou étnica, convicções religiosas, opiniões políticas, filiação a sindicatos ou organizações religiosas, saúde, vida sexual, dados genéticos ou biométricos.
Princípios que devem ser observados por empresas e pessoas que tratam dados pessoais
Toda operação de tratamento de dados pessoais deve observar os seguintes princípios, de modo que a empresa ou pessoa que trata dados pessoais deve:
LGPD
Finalidade
Realizar o tratamento para propósitos legítimos, específicos e explícitos, que devem ser informados ao titular.
LGPD
Adequação
Compatibilizar o tratamento com as finalidades informadas ao titular, considerando o contexto que é realizado.
LGPD
Necessidade
Limitar o tratamento ao mínimo de dados necessários para a realização de suas finalidades.
LGPD
Livre acesso
Garantir, aos titulares, consulta facilitada e gratuita sobre a forma, duração e integralidade de seus dados pessoais.
LGPD
Qualidade dos dados
Zelar para que os dados pessoais estejam atualizados e claros, bem como que para sejam relevantes aos propósitos para os quais são tratados.
LGPD
Transparência
Garantir aos titulares o acesso a informações claras, precisas e facilmente acessíveis sobre o tratamento e sobre os envolvidos no tratamento.
LGPD
Segurança
Utilizar medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
LGPD
Prevenção
Adotar medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais.
LGPD
Não discriminação
Realizar tratamento de dados pessoais apenas para fins que não sejam discriminatórios, ilícitos ou abusivos.
LGPD
Responsabilização e prestação de contas
Demonstrar a adoção de medidas eficazes e capazes de comprovar o cumprimento das normas de proteção de dados pessoais.
Quando posso tratar dados pessoais?
Além dos princípios, uma empresa só pode tratar dados pessoais se houver uma base legal prevista em lei. Essa base legal é a justificativa para cada operação de tratamento.
A base legal mais conhecida é o consentimento do titular dos dados pessoais. Isso significa que a empresa só pode tratar dados se o titular concordar livremente, de forma informada e inequívoca. No entanto, implementar esses requisitos na prática pode ser desafiador. Cada operação de tratamento precisa de um consentimento específico, atualizado sempre que houver mudanças na finalidade. Além disso, é comum que o titular tenha que concordar com políticas de privacidade extensas, levantando dúvidas sobre se os requisitos do consentimento foram realmente cumpridos.
Além disso, é crucial destacar que o consentimento não pode ser genérico, mas sim específico para cada finalidade de tratamento de dados pessoais. Por exemplo, uma cláusula que autoriza o tratamento de dados para “melhorar a experiência do usuário” não está em conformidade com a lei. Além do consentimento do titular, a LGPD oferece outras bases legais para o tratamento de dados pessoais, permitindo que as empresas atuem de forma lícita.
- Quando o fundamento para o tratamento de dados pessoais é o cumprimento de uma obrigação legal ou regulatória pelo controlador (por exemplo, a Lei Federal n. 12.965/2014 determina que os provedores de aplicações na internet têm o dever de armazenar informações referentes à data e hora de uso de uma determinada aplicação de internet a partir de um determinado endereço IP por seis meses, sendo que, neste caso, estes dados podem ser coletados e armazenados apenas com fundamento nesta base legal, ainda que o titular dos dados não concorde);
- Quando o tratamento é realizado para que a empresa ou pessoa que trata os dados possa exercer regularmente seus direitos em processo judicial, administrativo ou arbitral (por exemplo, no caso do armazenamento de transações comerciais realizadas dentro de um site ou aplicativo, até o fim do prazo prescricional de cinco anos previsto no Código de Defesa do Consumidor);
- Quando a justificativa para o tratamento for a proteção da vida ou da incolumidade física do titular ou de terceiro.
Duas outras bases legais que merecem destaque são as seguintes, que somente podem ser utilizadas se os dados pessoais não forem sensíveis:
- Quando o tratamento for necessário para atender aos legítimos interesses da empresa ou pessoa que o realiza ou de terceiro (por exemplo, nos casos em que o envio de marketing direcionado é feito com base nos interesses do controlador, desde que observados todos os requisitos da LGPD);
- Quando o tratamento for realizado para a proteção do crédito (por exemplo, nos casos em que uma instituição financeira utiliza os dados do usuário para fazer consultas em bureaus de crédito, a fim de evitar inadimplência).
A LGPD não permite que as duas bases legais mencionadas acima (legítimo interesse e proteção ao crédito) sejam utilizadas para embasar o tratamento de dados pessoais sensíveis.
No caso de dados pessoais sensíveis, o tratamento pode ser realizado sem o consentimento do titular se for indispensável para a prevenção à fraude e à segurança, como nos processos de identificação em sistemas eletrônicos. Os direitos do titular devem ser resguardados, exceto quando prevalecerem direitos e liberdades fundamentais, como a necessidade de biometria para garantir a segurança de transações.
Como se adequar à LGPD?
Não existe uma “receita de bolo” para que seja feita a adequação de uma empresa à LGPD. Cada empresa tem sua própria realidade e suas próprias necessidades no que diz respeito à utilização de dados pessoais.
O ideal é que cada empresa crie um Programa de Governança em Privacidade próprio, que seja compatível com as suas necessidades, com a natureza dos dados que são tratados e com a sua estrutura. Em linhas gerais, a implementação de um programa deste tipo envolve a adequação das atividades de tratamento às disposições da lei, passando pela revisão de contratos, pela elaboração de alguns documentos (tais como uma Política de Privacidade) e pela adoção de medidas de segurança, técnicas e administrativas que sejam aptas a proteger os dados pessoais.
Muito embora cada empresa tenha um contexto próprio, existem medidas que devem ser adotadas em qualquer caso, tais como:
Definir quem é o controlador e operador nas atividades de tratamento de dados.
Controlador é a pessoa, natural ou jurídica, que decide o que será feito com os dados pessoais. Assim, controlador é quem define, por exemplo, quais dados serão coletados, para quais finalidades, com quem serão compartilhados etc. Via de regra, uma empresa que mantém e gerencia um site ou aplicativo é controladora para fins da LGPD.
Já o operador é a pessoa, natural ou jurídica, que realiza a operação de tratamento dos dados em nome do controlador (por exemplo, a pessoa ou empresa que o controlador contrata para programar um site ou aplicativo, para analisar seus dados para fins de marketing ou de tomada de decisões etc.)
Nomear um Encarregado de Proteção de Dados Pessoais (Data Protection Officer – DPO) e divulgar publicamente sua identidade e informações de contato, de maneira clara e objetiva. Essa pessoa será o canal de comunicação entre o controlador, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD), e será responsável por receber e responder as requisições e reclamações dos titulares dos dados pessoais tratados pela empresa.
A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão federal responsável por zelar, implementar e fiscalizar o cumprimento da LGPD. Embora já tenha sido formalmente criada, a ANPD está em fase de implementação, motivo pelo qual ainda não está em pleno funcionamento.
Elaborar um Relatório de Impacto de Proteção de Dados a ser apresentado à ANPD, quando necessário, que deverá, no mínimo, conter uma descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e uma análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.
Disponibilizar uma Política de Privacidade, que deve ser disponibilizada em local de fácil acesso, com linguagem acessível ao público, e que informe e explique a todos os interessados a forma como os dados pessoais dos usuários serão tratados.
Por que se adequar à LGPD?
Empreendimentos que realizam tratamento de dados de maneira regular possuem vantagem competitiva no mercado e agregam valor às suas marcas, já que inúmeras empresas e países vêm cada vez mais demandando conformidade de seus parceiros comerciais.
Além disso, as empresas ou pessoas físicas que tratam dados pessoais em desconformidade com a LGPD estão sujeitas às seguintes penalidades:
- Advertência;
- Multa de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado no limite de R$ 50.000.000,00 (cinquenta milhões de reais) por infração;
- Bloqueio ou eliminação dos dados pessoais referentes à infração;
- Suspensão dos bancos de dados ou do exercício da atividade de tratamento de dados da empresa;
- Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.