A Lei Geral de Proteção de Dados Pessoais, também conhecida como LGPD, é a Lei nº 13.709 de 2018, que alterou o Marco Civil da Internet e trouxe um regramento específico para a proteção de dados pessoais no Brasil.
Essa legislação visa regulamentar o tratamento de dados pessoais, clarificando os conceitos básicos e definindo o que uma empresa que trata dados pessoais pode ou não fazer, bem como os direitos da pessoa que tem os seus dados tratados por uma empresa.
A LGPD foi publicada em 14 de agosto de 2018 e já foi alterada pela Medida Provisória nº 869, em 27 de dezembro do mesmo ano.
Mas o que o empreendedor realmente precisa saber sobre essa legislação, de forma descomplicada?
É importante que o empreendedor entenda que o tratamento de Dados Pessoais foi regulamentado, sendo que, qualquer empresa que tenha o estabelecimento no Brasil, que colete ou trate dados de pessoas localizadas no Brasil ou que ofereça produtos ou serviços no mercado de consumo brasileiro precisa respeitar o regramento dessa legislação.
Outro ponto importante é que o tratamento de dados pessoais ao qual essa legislação se refere é aplicável tanto a Dados Físicos, como a Dados Online e Offline. Dessa forma, empresas que tratem dados pessoais em qualquer meio precisam estar atentas a essa legislação.
Além do mais, a LGPD deixou claro que Dados Anonimizados, ou seja, aqueles dados que, usando o filtro de razoabilidade custo/tempo para identificação, não sejam possíveis de serem facilmente identificados, não estão sujeitos ao regramento disposto.
Sendo assim, apenas dados pessoais identificados ou identificáveis estão sujeitos à LGPD.
Esse é um ponto de grande valia para a tranquilidade do empreendedor. É muito comum que sejam tratados dados identificados ou identificáveis, sendo que essa informação não é útil para empresa.
Os dados poderiam ser guardados e tratados pelo empreendedor de forma anonimizada e assim não haveriam preocupações de aplicação da LGPD para a proteção desses dados.
Vale destacar ainda que a LGPD ressaltou a importância do consentimento para o tratamento de dados pessoais.
Para que dados pessoais sejam tratados, a empresa responsável pela coleta precisa obter o consentimento do titular dos dados mediante manifestação informada e inequívoca do mesmo nesse sentido, isto é, mediante manifestação por meio da qual o titular dos dados concorde com o tratamento daqueles dados, de acordo com a finalidade determinada, a qual deverá ser informada pela empresa.
O consentimento para o tratamento de dados pessoais é bem simples: se foi dado o “sim” de forma inequívoca e para a finalidade a qual se destina, o empreendedor poderá fazê-lo; por outro lado, se não houve o “sim”, a empresa poderá estar em desacordo com a LGPD e sujeita às punições previstas na mesma.
A nova Lei trouxe, ainda, outras 9 situações específicas que permitem o tratamento de dados e que tornam o consentimento do titular dispensável. São elas:
1) para o cumprimento de obrigação legal ou regulatória pelo controlador dos dados;
2) autorizados previamente por contratos ou necessário para a execução de contratos;
3) para o exercício regular de direitos em processo judicial, administrativo ou arbitral;
4) para pesquisas e estudos realizados por órgãos de pesquisas;
5) para atender ao legítimo interesse do controlador dos dados ou de terceiro;
6) para Políticas Públicas previstas em leis e regulamentos ou com respaldo de contratos e análogos;
7) para proteção da vida;
8) para a tutela da saúde, em procedimentos realizados por profissionais e entidades da área; e,
9) para a proteção do crédito.
As empresas que realizam o tratamento de dados pessoais devem observar, também, aos seguintes pontos definidos na LGPD:
1) Não utilizar os dados de modo a promover a discriminação dos respectivos titulares, de nenhuma forma;
2) Utilizar os dados de acordo com a finalidade específica para a qual foram coletados e consentidos;
3) Realizar a coleta e tratamento de acordo com a efetiva necessidade para a finalidade a qual se destinam;
4) Realizar todos os atos necessários para manter a segurança dos dados;
5) Agir com transparência perante os titulares dos dados;
6) Atuar de forma a prevenir quaisquer incidentes com os dados tratados; e,
7) Deixar clara a responsabilidade que possuem, cumprindo as normas de proteção aos dados pessoais, prestando contas de seus atos nesse sentido.
O debate acerca da proteção dos Dados Pessoais no Brasil tem ganhado cada vez mais relevância, ocupando uma posição de destaque.
Segundo o IBM Cost of Data Breach (2018), o Brasil está entre os países onde empresas têm as maiores chances de sofrer ataques. Aqui, a probabilidade de uma empresa sofrer uma violação de registros virtuais chega a 43%!
De acordo com a nova Lei, em caso de violação de registros pessoais e descumprimento da legislação, a empresa sofrerá sanções, tais como: i) Advertência, com indicação de prazo para adoção das medidas corretivas; ii) Multa Simples, de até 2% do faturamento da empresa ou do grupo, limitada a R$ 50mi; iii) Multa Diária, enquanto não for solucionada ou tomada a providência determinada, nos mesmos limites da simples; iv) Publicização da infração cometida pela empresa; v) Bloqueio dos Dados Pessoais cuja infração ocorreu; e, vi) Eliminação dos Dados Pessoais a que se refere a infração.
A previsão inicial era de que a LGPD entraria em vigor em 14 de agosto de 2020, quanto aos artigos que versam sobre as sanções administrativas decorrentes do descumprimento da Lei. No entanto, em decorrência da pandemia do novo coronavírus, houve um adiamento dessa previsão para o mês de agosto de 2021. Quanto aos demais artigos, ficou estabelecido que passariam a valer a partir de 3 maio de 2021.
Apesar disso, ainda podem haver alterações, que estão sendo discutidas nas casas do Congresso Nacional. O cenário é incerto e pode mudar a qualquer momento! Portanto, esteja pronto, desde já, para o que vier! Certifique-se de que a sua empresa está de acordo com o regramento da nova Lei 😉
Esteja ciente, também, de que, pela legislação já existente, as empresas podem sofrer sanções pelo descuido com a proteção de Dados Pessoais nesse período, até que, efetivamente, a LGPD entre em vigor.
É hora de ajeitar a casa! Adeque-se à LGPD e comece a pensar no Privacy by Design, ou seja, na proteção de Dados Pessoais desde a concepção do produto ou serviço.
