9 de dezembro de 2020
Índice
9 de dezembro de 2020
Avaliação
4,4 - 7 votos
A Lei Geral de Proteção de Dados (LGPD) é um marco regulatório que estabelece uma série de regras e obrigações relativas à proteção de dados pessoais utilizados tanto online quanto offline. A lei, em um só tempo, definiu conceitos, criou categorias de dados pessoais, determinou bases legais de tratamento e previu sanções relacionadas ao tratamento de dados no Brasil.
No dia-a-dia de qualquer empresa são coletados inúmeros dados pessoais, seja de seus clientes, parceiros e dos próprios funcionários. Com a entrada da LGPD em vigor, não há, a princípio, uma proibição de coletar ou de realizar qualquer operação com esses dados. Na verdade, o que a lei exige das empresas é que essas atividades obedeçam às normas previstas, e que os direitos dos titulares desses dados sejam respeitados.
A lei se aplica tanto a pessoas naturais quanto a pessoas jurídicas que realizam tratamento de dados pessoais, desde que:
Tratamento de dados pessoais é praticamente qualquer atividade realizada com um dado pessoal, incluindo operações como a coleta, o armazenamento, a transmissão, o processamento e a eliminação desse tipo de dado, dentre diversas outras possibilidades.
Dados pessoais são dados que fazem referência a uma pessoa física que já esteja identificada ou que possa ser, de alguma forma, identificada a partir daqueles dados, como, por exemplo, nome completo, CPF, e-mail, endereço etc.
Vale dizer que, além destes dados (que são mais facilmente percebidos como pessoais), informações como a altura de alguém ou o colégio em que uma pessoa estudou também podem ser consideradas dados pessoais, a depender do contexto em que esse dado se insere, bem como das consequências do tratamento. Por exemplo, se um indivíduo puder ser identificado em meio a um grupo de pessoas a partir da sua altura, esta medida será considerada dado pessoal e estará, portanto, sujeita às disposições da LGPD.
A LGPD, ainda,criou classes diferentes de dados pessoais. Além dos dados pessoais "normais", há, ainda, os dados sensíveis, que são aqueles que oferecem maior risco aos direitos e liberdades individuais de seus titulares. Estes também são dados vinculados a uma pessoa natural, mas dizem respeito a sua origem racial ou étnica, a sua convicção religiosa, a sua opinião política, a sua filiação a sindicato ou a organização de caráter religioso, filosófico ou político, a sua saúde ou a sua vida sexual, além de dados genéticos ou biométricos.
Toda operação de tratamento de dados pessoais deve observar os seguintes princípios, de modo que a empresa ou pessoa que trata dados pessoais deve:
Princípio da finalidade
Realizar o tratamento para propósitos legítimos, específicos e explícitos, que devem ser informados ao titular.
Princípio da adequação
Compatibilizar o tratamento com as finalidades informadas ao titular, considerando o contexto que é realizado.
Princípio da necessidade
Limitar o tratamento ao mínimo de dados necessários para a realização de suas finalidades.
Princípio do livre acesso
Garantir, aos titulares, consulta facilitada e gratuita sobre a forma, duração e integralidade de seus dados pessoais.
Princípio da qualidade dos dados
Zelar para que os dados pessoais estejam atualizados e claros, bem como que para sejam relevantes aos propósitos para os quais são tratados.
Princípio da transparência
Garantir aos titulares o acesso a informações claras, precisas e facilmente acessíveis sobre o tratamento e sobre os envolvidos no tratamento.
Princípio da segurança
Utilizar medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
Princípio da prevenção
Adotar medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais.
Princípio da não discriminação
Realizar tratamento de dados pessoais apenas para fins que não sejam discriminatórios, ilícitos ou abusivos.
Princípio da responsabilização e prestação de contas
Demonstrar a adoção de medidas eficazes e capazes de comprovar o cumprimento das normas de proteção de dados pessoais.
Além dos princípios apresentados, a empresa que deseja tratar dados pessoais só pode fazê-lo se houver uma justificativa, uma hipótese prevista em lei que permita que cada operação de tratamento seja utilizada. Essa justificativa recebe comumente o nome de base legal.
A base legal mais conhecida é o consentimento do titular dos dados pessoais. Ou seja: a empresa ou pessoa que trata dados pessoais pode fazer isso se o titular dos dados consentir, concordar.
O consentimento, no entanto, deve ser dado pelo titular de forma livre, informada e inequívoca, requisitos que muitas vezes são de difícil implementação na prática, já que: (1) toda operação de tratamento de dados pessoais fundada na concordância do titular precisa de um consentimento específico, que deve ser atualizado sempre que houver qualquer mudança de finalidade; e (2) é muito comum que o titular tenha que concordar com uma política de privacidade ou com termos de uso muito grandes, que ele certamente não lê, o que levanta dúvidas quanto a se os requisitos do consentimento foram de fato observados ou não.
Além disso, vale ressaltar que o consentimento não pode ser genérico, devendo este ser, portanto, específico para cada finalidade de tratamento de dados pessoais. Neste sentido, por exemplo, uma cláusula na qual o usuário concorda com o tratamento de dados pessoais realizado para "melhorar a experiência do usuário", formulada nestes termos, estaria em desconformidade com a lei.
Além do consentimento do titular, a LGPD prevê uma série de outras bases legais que podem ser utilizadas pela empresa ou pela pessoa física responsável pelo tratamento de dados pessoais. Assim, o tratamento de dados pessoais pode ser licitamente realizado, dentre outras opções:
Duas outras bases legais que merecem destaque são as seguintes, que somente podem ser utilizadas se os dados pessoais não forem sensíveis:
A LGPD não permite que as duas bases legais mencionadas acima (legítimo interesse e proteção ao crédito) sejam utilizadas para embasar o tratamento de dados pessoais sensíveis.
No caso de dados pessoais sensíveis, o tratamento pode ser realizado, ainda, sem o consentimento do titular, se for indispensável para a garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos do titular e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais (por exemplo, nos casos em que a biometria é absolutamente necessária para garantir a segurança de determinada transação realizada no site ou no aplicativo).
Não existe uma "receita de bolo" para que seja feita a adequação de uma empresa à LGPD. Cada empresa tem sua própria realidade e suas próprias necessidades no que diz respeito à utilização de dados pessoais.
O ideal é que cada empresa crie um Programa de Governança em Privacidade próprio, que seja compatível com as suas necessidades, com a natureza dos dados que são tratados e com a sua estrutura. Em linhas gerais, a implementação de um programa deste tipo envolve a adequação das atividades de tratamento às disposições da lei, passando pela revisão de contratos, pela elaboração de alguns documentos (tais como uma Política de Privacidade) e pela adoção de medidas de segurança, técnicas e administrativas que sejam aptas a proteger os dados pessoais.
Muito embora cada empresa tenha um contexto próprio, existem medidas que devem ser adotadas em qualquer caso, tais como:
Controlador é a pessoa, natural ou jurídica, que decide o que será feito com os dados pessoais. Assim, controlador é quem define, por exemplo, quais dados serão coletados, para quais finalidades, com quem serão compartilhados etc. Via de regra, uma empresa que mantém e gerencia um site ou aplicativo é controladora para fins da LGPD.
Já o operador é a pessoa, natural ou jurídica, que realiza a operação de tratamento dos dados em nome do controlador (por exemplo, a pessoa ou empresa que o controlador contrata para programar um site ou aplicativo, para analisar seus dados para fins de marketing ou de tomada de decisões etc.)
A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão federal responsável por zelar, implementar e fiscalizar o cumprimento da LGPD. Embora já tenha sido formalmente criada, a ANPD está em fase de implementação, motivo pelo qual ainda não está em pleno funcionamento.
Empreendimentos que realizam tratamento de dados de maneira regular possuem vantagem competitiva no mercado e agregam valor às suas marcas, já que inúmeras empresas e países vêm cada vez mais demandando conformidade de seus parceiros comerciais.
Além disso, as empresas ou pessoas físicas que tratam dados pessoais em desconformidade com a LGPD estão sujeitas às seguintes penalidades: