Tempo de leitura: 18 minutos
Sem tempo para ler? Ouça este post ou baixe para ouvir mais tarde!
A Lei nº 13.709 – mais conhecida como Lei Geral de Proteção de Dados (LGPD) – foi criada em 2018 com base nos anseios da sociedade digital em que vivemos. Primeira regulação nacional relacionada à proteção de informações, a LGPD foi inspirada no Regulamento Geral de Proteção de Dados da União Europeia (GDPR, na sigla em inglês).
Em vigor desde setembro de 2020, a LGPD ainda gera muitas dúvidas para as empresas, que precisam acertar o passo para se adequar às regras e evitar as (sérias) sanções decorrentes do processamento indevido de dados pessoais.
A seguir, confira tudo o que você precisa saber sobre o assunto e esclareça suas dúvidas sobre essa regulação crucial para todas as organizações brasileiras!
Confira também esse conteúdo em vídeo:
1. Contextualizando: o que é a Lei Geral de Proteção de Dados (LGPD)?
Créditos: rawpixel.com
A iniciativa da criação da Lei Geral de Proteção de Dados se deu porque, como mencionamos, não havia legislação específica sobre o assunto no Brasil. Antes da proposta, o país contava somente com algumas disposições gerais no Código Civil e no Código de Defesa do Consumidor, além da Lei de Acesso à Informação e o Marco Civil da Internet.
Nesse cenário, a LGPD estabelece normas para a coleta e o tratamento de dados pessoais, visando assegurar a privacidade e a proteção dos mesmos. A Lei objetiva, ainda, garantir a transparência na relação entre pessoas físicas e jurídicas, especialmente no que diz respeito às formas de coleta, armazenamento e uso dos dados pessoais dos titulares.
Estão previstos na LGPD os direitos dos indivíduos (titulares de dados), com foco no consentimento que deve ser solicitado de forma clara e objetiva. Aos titulares, deve-se esclarecer também os princípios a serem cumpridos pelos encarregados de segurança de dados.
Vale acrescentar que cabe à Agência Nacional de Proteção de Dados (ANPD) – órgão federal criado em 2019 – a aplicação das sanções administrativas previstas na Lei, entre outras funções elencadas no artigo 55-J e a regulamentação de diversas disposições da norma sobre privacidade e proteção de dados pessoais.
2. Quais são os objetivos da LGPD?
São objetivos da Lei Geral de Proteção de Dados:
- Garantir proteção à privacidade;
- Manter a inviolabilidade da honra, da imagem e da intimidade;
- Assegurar a liberdade de expressão, comunicação, informação e opinião;
- Propiciar desenvolvimento tecnológico, econômico e inovação;
- Assegurar os direitos humanos, a dignidade, o exercício da cidadania e o livre desenvolvimento da personalidade;
- Pautar-se pela livre iniciativa, livre concorrência e defesa do consumidor.
3. A Lei já está em vigor?
Como mencionamos, a Lei Geral de Proteção de Dados já está em vigor. No dia 17/09/2020, a Medida Provisória n°959 (que trata do prazo do regulamento) foi sancionada pelo Presidente da República. Como o Senado havia determinado a vigência imediata da Lei, a mesma começou a valer já no dia 18 de setembro de 2020.
4. Quando as sanções para as empresas passam a valer?
Apesar de a LGPD já estar vigorando, as sanções (punições e multas) para as empresas só começam a ser aplicadas em agosto de 2021 – ou seja, a Lei só será plenamente implementada nessa data.
O adiamento das penalidades tem como objetivo ampliar o período de adaptação das organizações, além de considerar os impactos da pandemia de COVID-19.
Recentemente, foi publicada a Portaria 01, que estabelece o Regimento Interno da Autoridade Nacional de Proteção de Dados (ANPD). A determinação atesta a competência da ANPD para fiscalizar e aplicar as sanções previstas no artigo 52 da LGPD. Além disso, define que a publicação das multas seguirá o rito administrativo, garantindo ampla defesa, direito ao contraditório e direito de recurso aos interessados.
Vale acrescentar, entretanto, que ainda faltam definições de regras importantes por parte da ANPD. Entre outros aspectos, é preciso esclarecer a interpretação de trechos da Lei, além de normas específicas para as empresas.
5. A quem a Lei se aplica?
A LGPD se aplica a toda e qualquer empresa ou organização, pública ou privada, que processa dados pessoais de usuários localizados no Brasil.
Nesse sentido, a lei contempla os seguintes pontos:
- dados pessoais de indivíduos localizados no Brasil;
- o tratamento de dados que ocorre no país;
- a oferta de bens e serviços para indivíduos no Brasil.
A quais dados a LGPD não se aplica?
- dados para uso pessoal;
- dados acadêmicos;
- dados para fins jornalísticos;
- segurança pública;
- dados para uso não comercial;
- dados provenientes e destinados a outros países, que transitem somente pelo território nacional.
6. Afinal, o que se entende por dados pessoais?
A essa altura, vale a pena detalhar o conceito de dados pessoais, que são o principal objeto de foco da Lei Geral de Proteção de Dados. Vamos lá:
De forma sucinta, entende-se que dados pessoais são os dados que possibilitam identificar uma pessoa ou torná-la identificável.
Essa informações abrangem:
- Nome;
- Endereço;
- CPF, RG e CNH;
- Dados de exames médicos;
- Informações relativas à saúde de modo geral;
- Hábitos de consumo;
- Geolocalização;
- Perfil cultural;
- Biometria.
Nessa perspectiva, é importante destacar, ainda, uma subcategoria dos dados pessoais: os dados pessoais sensíveis. Trata-se de informações que exigem uma maior proteção devido à sua relevância, a exemplo de opinião política, dado biométrico ou genético, filiação a sindicato ou associação de viés filosófico/político/religioso, dados associados à vida sexual/saúde, convicção religiosa e informações pessoais sobre origem étnica ou racial.
Ressaltamos, aqui, que “titular de dados pessoais” é todo aquele a quem se referem as informações pessoais que são alvo do tratamento de dados.
Confira também ? LGPD: como estruturar um plano de respostas ao vazamento de dados
7. Lei Geral de Proteção de Dados: aplicação nas empresas
É preciso ter em mente que a LGPD modifica a forma como as empresas utilizam os dados pessoais de todos os seus contatos, leads, clientes e funcionários. Não por acaso, a implementação da Lei demanda a revisão de práticas, processos e estratégias, visando identificar quais mudanças serão necessárias em cada organização.
Segundo o Artigo 46 da LGPD, a proteção dos dados pessoais é alcançada por meio de medidas de segurança técnicas e administrativas, desde a fase de concepção do produto/serviço até a sua execução (Privacy by Design).
Nesse sentido, no primeiro momento, é importante que os negócios contem com apoio consultivo especializado para entender e delimitar os seguintes pontos:
- A situação atual da empresa;
- A análise do cenário sob o enfoque da LGPD;
- A realização do mapeamento de dados, identificando a aderência das informações à Lei;
- A estruturação e a qualificação dos dados segundo os padrões da Lei Geral de Proteção de Dados, investindo em medidas proativas (Privacy by Default).
Em seguida, deve-se verificar a implementação dos procedimentos de tratamento de dados no âmbito dos processos e da tecnologia. Por fim, é necessário investir em monitoramento para garantir que a adequação esteja em conformidade com as políticas e procedimentos de privacidade, segundo todas as diretrizes da Autoridade Nacional de Proteção de Dados, a ANPD.
8. Conformidade: quais documentos as empresas devem providenciar?
No processo de adequação, as organizações devem providenciar documentos específicos para se manterem em conformidade com a LGPD. Trata-se principalmente do relatório de impacto à proteção de dados pessoais, que consiste em:
- documentação contendo a descrição dos processos de tratamento dos dados pessoais durante todo o ciclo. Vale lembrar que as informações em questão são aquelas que podem gerar riscos aos direitos fundamentais e às liberdades civis dos titulares;
- medidas e mecanismos voltados à atenuação de riscos, a exemplo de treinamentos, auditorias, mapeamentos, elaboração de políticas de proteção de dados e modificações de contrato.
9. Multas e punições: quais são as sanções previstas na LGPD?
Na Lei Geral de Proteção de Dados (mais precisamente nos artigos 52, 53 e 54 do capítulo VIII) estão previstas as sanções administrativas para os agentes de tratamento de dados que praticarem infrações.
Confira quais são as penalidades para as empresas que desrespeitarem as determinações da LGPD:
- Advertência, com a indicação de prazo para a adoção de medidas corretivas;
- Multa simples de até 2% do faturamento da empresa (pessoa jurídica de direito privado, grupo ou conglomerado no Brasil) no seu último exercício, excluídos os tributos, limitada a R$ 50.000.000,00 por infração;
- Multa diária, respeitado o limite do Art. 52, II, da LGPD;
- Divulgação da infração ao público, após a devida apuração e a confirmação da ocorrência;
- Bloqueio e eliminação dos dados pessoais a que se refere a infração;
- Suspensão parcial do funcionamento do banco de dados relacionado à infração pelo período máximo de 6 meses (podendo ser prorrogada por igual período), até que haja a regularização da atividade de tratamento pelo controlador;
- Suspensão do exercício da atividade de tratamento de dados pessoais a que se refere a infração pelo período máximo de 6 meses, podendo ser prorrogada por igual período;
- Proibição parcial ou total do exercício de atividades relacionadas ao tratamento de dados.
Vale ter em mente que, de acordo com o § 1º do Artigo 52 da LGPD, as sanções só serão aplicadas após o processo administrativo, assegurando a oportunidade de ampla defesa de maneira gradativa, isolada ou cumulativa.
Para tanto, serão consideradas as peculiaridades do ocorrido e alguns critérios, tais como a gravidade da infração, a natureza dos direitos pessoais afetados, a boa-fé do infrator, a vantagem auferida ou pretendida pelo infrator, a reincidência e o grau do dano, entre outros pontos previstos no § 6º do mesmo artigo.
No entanto, é importante destacar que toda essa análise não substitui a aplicação de sanções administrativas – civis ou penais – delimitadas na Lei nº 8.078 de 1990 (Código de Defesa do Consumidor), além de outras legislações específicas.
De todo modo, as sanções deverão ser aplicadas de maneira proporcional à infração cometida, sendo que a ANPD definirá, por intermédio de regulamento próprio, as penalidades administrativas aplicáveis a cada ocorrido, além das metodologias para direcionar o cálculo do valor-base das sanções de multa.
Confira também ? Diagnóstico gratuito: Teste o nível de conformidade da sua empresa com a LGPD
10. Lei Geral de Proteção de Dados: próximos passos
Como conferimos, a LGPD já está em vigor, com a aplicação de penalidades prevista para agosto de 2021. Na prática, entretanto, grande parte do processo de implementação ainda está em andamento, com regras e interpretações em processo de definição (inclusive no que diz respeito às sanções).
Com isso em mente, a ANPD publicou sua agenda regulatória, um documento que determina os 10 itens mais importantes a serem estabelecidos até o 2º semestre de 2022.
No 1º semestre de 2021, estão e estarão em discussão os seguintes tópicos:
- de que forma as multas serão calculadas;
- maneiras de comunicação para vazamentos;
- regras específicas para startups e pequenas e médias empresas.
Por sua vez, o 1º semestre de 2022 será marcado pelas seguintes debates:
- direitos dos titulares dos dados (pessoas físicas a quem se referem as informações pessoais);
- normas para a transferência internacional de dados pessoais (tema relevante para as organizações multinacionais);
- atribuições e responsabilidades do encarregado de proteção de dados, que fará a ponte entre os cidadãos e as empresas.
Conclusão
Diante de todas as regras e adaptações necessárias, é importante que seu negócio encare a transição para a LGPD como uma operação fiscal ou trabalhista, que normalmente envolve a contratação de profissionais especializados.
De fato, a adequação à Lei Geral de Proteção de Dados pode se beneficiar enormemente do apoio de uma consultoria especializada, que ajudará na tomada das melhores decisões para evitar quaisquer irregularidades. Lembramos, afinal, que toda infração é passível de fiscalização, autuação, penalidades expressivas e até mesmo reparação indenizatória (dano moral).
Esperamos que tenha esclarecido suas dúvidas sobre esse tema tão relevante para os negócios (e a sociedade como um todo!) nos dias de hoje. Para evitar deslizes e garantir a conformidade com a nova Lei, conte com o apoio da Microservice nessa jornada!
Patrícia Ribeiro Lourenço é advogada, sócia-proprietária do escritório Ribeiro Lourenço Advogados, especialista em Direito Constitucional pela Faculdade Universidade de Blumenau/SC e membro da Comissão de Direito Digital da Ordem dos Advogados do Brasil em Santa Catarina.
