Lei Geral de Proteção de Dados – LGPD
Em agosto de 2018, foi sancionada a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados – LGPD), seguida das alterações estabelecidas pela Medida Provisória nº 869 e, em julho de 2019, na Lei nº 13.853/2019. A proteção de dados pessoais não é novidade (haja vista as disposições do CDC, do Marco Civil da Internet e etc) no Brasil. O que ocorre é que a LGPD compila e amplia o que havia legislado a respeito, muito pela influência da lei de proteção europeia (GDPR) a partir de maio de 2018.
É o marco legal da proteção de dados pessoais no Brasil e tem o intuito de regular e fortalecer a proteção da privacidade de pessoas e de seus dados. Isto é, o objetivo é dar proteção a dados que, desprotegidos, teriam força para abalar direitos fundamentais do cidadão, tais como os de liberdade, de privacidade e o do livre desenvolvimento da personalidade da pessoa natural. Os fundamentos desta proteção são voltados ao respeito a direitos eminentemente humanos e pessoais (de pessoas físicas).
Assim como ocorreu na Europa (GDPR), o surgimento de lei desta natureza decorre de novas necessidades da sociedade digital que exige, de maneira irreversível, mais transparência nas relações, buscando a segurança jurídica. E não é por menos, a configuração do modelo de negócios atual, em grande parcela, transformou dados em bem / comodities, no sentido de troca (ou venda, ou aluguel ou mesmo cessão gratuita) de dados do usuário por acesso a bens, serviços, conveniências ou dinheiro. Estamos vivendo a “Era dos dados”, um período que (talvez) será lembrado pela extrema valorização social e econômica de informações pessoais dos indivíduos. Deve ser registrado que os dados sempre existiram, o que houve foi a sua inserção (e extremo, gigantesco crescimento) na sociedade digital.
A abrangência da LGPD é para todas as pessoas físicas ou jurídicas que façam operação de “tratamento” de dados pessoais (de pessoa física). A não deixar dúvidas, repete-se: a LGPD se aplica a toda e qualquer pessoa física ou jurídica que trate dados pessoais, e isto independentemente se este tratamento é digital (no pc, em aplicativo, na internet, na nuvem…) ou analógico (no papel, no arquivo do DP/RH…), no Brasil ou no exterior e se, também, não importa se esta pessoa que trata os dados é MEI, micro, pequena, média, grande ou enorme empresa!
Isto altera profundamente o cenário mercadológico, porque os modelos de negócio desenvolvidos com base no uso de dados, obrigatoriamente, precisam instituir novos procedimentos de tratamento que obedeçam às regras da LGPD. A cartilha é permitir que a livre iniciativa possa inovar desde que siga valores que estejam condizentes com o respeito aos direitos humanos fundamentais, mas acima de tudo, que o faça com a máxima transparência possível no que toca ao tratamento destes dados pessoais.
“Dado pessoal” é toda e qualquer informação relacionada a uma pessoa natural. “Dado pessoal sensível” é todo dado pessoal que possa relacionar uma pessoa natural com algum tipo de associação, movimento, sindicato, partido político, questões de ordem étnica, religiosa, política, filosófica, vida sexual e etc. Os dados médicos, biométricos e genéticos são, pela lei, considerados também dados sensíveis. Isto é, dado pessoal sensível é todo aquele dado que pode gerar, em algum âmbito, a discriminação ou preconceito por parte de outros.
Pois bem, “tratamento de dados” é toda e qualquer operação realizada com dados pessoais – coleta, recepção, produção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
Todas as empresas, seja lá o tamanho que tenham, em algum momento (ou em vários momentos), com certeza, tratam dados nas mais diversas atividades, inclusive sensíveis.
Todas as empresas devem correr atrás de implementar a LGPD? Se a empresa trata dados pessoais, sim! E em compliance com a LGPD (que não seja para “inglês ver[1]”)!
Ok. A empresa trata dados pessoais e agora, por que implementar a LGPD? Conseguimos pinçar dois motivos que até podem soar contraditórios: evitar despesas e ou fazer investimento!
Evitar despesas, porque as multas para agentes de tratamento que cometerem as infrações (várias formas e possibilidades de infrações…situações relativamente simples) previstas na lei são muito, mas muito altas: de até 2% do faturamento do infrator (limitado a R$ 50 milhões!), multa diária, publicização da infração, bloqueio de dados, etc, por ato!
Fazer investimento, porque (retórica) quanto de vantagem terá a empresa, frente aos concorrentes e ao mercado em geral, que estiver em compliance (certificada) com a LGPD terá? Se a empresa trata dados pessoais, não seria um ativo demonstrar aos clientes que está preocupada com seus dados pessoais e que lhes confere o tratamento que a lei determina? O status desta empresa no quesito segurança da informação (estamos na “Era dos Dados”!!!) é diferenciado.
Portanto, a LGPD, obrigatoriamente, deve estar no roadmap de prioridades dos gestores, ainda mais em empresas que contam com estrutura de governança (compliance, TI, Segurança da Informação e Gestão de Dados). Notícia ruim (para quem não enxerga como investimento) é que, se é necessária a implementação da LGPD, evidentemente, serão necessários investimentos, atualização de ferramentas de segurança de dados, revisão documental, melhoria de processos e, principalmente, mudança de cultura! Para o que enxerga como investimento, a notícia é boa!
Quem faz a implementação? A empresa: alta direção, gerência, trabalhadores, DP/RH, jurídico, TI, segurança da informação, negócios, marketing (faltou alguém?!), etc, através da dita incorporação de uma nova cultura empresarial que aplique e valorize as melhores práticas de gestão para atingir a compliance de dados pessoais.
¹https://pt.wikipedia.org/wiki/Lei_para_inglês_ver.
Fernando de Morais Garcez – OAB/RS 69.356 , advogado integrante da equipe de profissionais do escritório Garcez Advogados Associados | Assessoria Jurídica do SINDIMETAL RS, nas áreas Trabalhista, Ambiental e de Representação Comercial;
Artigo publicado no Espaço SINDIMETAL 79
