O que você precisa saber sobre a Lei Geral de Proteção de Dados - LGPD


A lei 13.709/2018  que entrará em vigor em agosto de 2020 impactará não só a forma como as empresas tratam os dados pessoais, compras on-line, navegações, mas também vários processos internos dentro das organizações.

 

É dificil encontrar algum negócio nos tempos atuais que não coleta, armazena, trata e compartilhada dados pessoais e por esta razão, serão impactadas desde compras on-line a redes sociais, de hospitais a bancos, de escolas a teatros, de hotéis a órgãos públicos, da publicidade à tecnologia.

 

A LGPD segue uma tendência mundial que começou a ser discutida na União Européia em meados de 1995 através da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados.

 

Essa discussão resultou na Promulgação do Regulamento Geral de Proteção de Dados que entrou em vigor na União Européia em maio de 2018. 

 

Muito se discute se a LGPD é apenas um modismo, entretanto, é importante ressaltar que para ingresso na OCDE (Organização para a Cooperação e Desenvolvimento Econômico, um organismo internacional formado por países que aceitam os princípios de democracia representativa e de economia de mercado), países precisam cumprir requisitos técnicos e até político-diplomáticos.

 

Há também uma longa jornada legislativa. É preciso aprovar nada menos que 245 instrumentos legais (leis ou princípios) que endossem os princípios defendidos pela Organização, sendo que um deles é justamente a proteção de dados pessoais e deste modo, com a promulgação da Lei 13.709/2018, o Brasil aprovou a Lei Geral de Proteção de Dados (LGPD).

 

A LGPD estabelece dentre outros temas, que não importa se a sede de uma organização ou o centro de dados dela estão localizados no Brasil ou no exterior: se há o processamento de conteúdo de pessoas, brasileiras ou não, que estão no território nacional, a LGPD deve ser cumprida. 

 

Consentimento
 

Outro elemento essencial da LGPD é o consentir. Ou seja, o consentimento do cidadão é a base para que dados pessoais possam ser tratados. Mas há algumas exceções a isso. É possível tratar dados sem consentimento se isso for indispensável para: cumprir uma obrigação legal; executar política pública prevista em lei; realizar estudos via órgão de pesquisa; executar contratos; defender direitos em processo; preservar a vida e a integridade física de uma pessoa; tutelar ações feitas por profissionais das áreas da saúde ou sanitária; prevenir fraudes contra o titular; proteger o crédito; ou atender a um interesse legítimo, que não fira direitos fundamentais do cidadão.

 

Automatização com autorização
 

Por falar em direitos, é essencial saber que a lei traz várias garantias ao cidadão, que pode solicitar que dados sejam deletados, revogar um consentimento, transferir dados para outro fornecedor de serviços, entre outras ações. E o tratamento dos dados deve ser feito levando em conta alguns quesitos, como finalidade e necessidade, que devem ser previamente acertados e informados ao cidadão. Por exemplo, se a finalidade de um tratamento, feito exclusivamente de modo automatizado, for construir um perfil (pessoal, profissional, de consumo, de crédito), o indivíduo  deve ser informado que pode intervir, pedindo revisão desse procedimento feito por máquinas.

 

ANPD e agentes de tratamento
 

E tem mais. Para a lei a "pegar", o país contará com a Autoridade Nacional de Proteção de Dados Pessoais, a ANPD. A instituição vai fiscalizar e, se a LGPD for descumprida, penalizar. Além disso, a ANPD terá, é claro, as tarefas de regular e de orientar, preventivamente, sobre como aplicar a lei. Cidadãos e organizações poderão colaborar com a autoridade.

Mas não basta a ANPD - que está em formação - e é por isso que a Lei Geral de Proteção de Dados Pessoais também estipula os agentes de tratamento de dados e suas funções, nas organizações: tem o controlador, que toma as decisões sobre o tratamento; o operador, que realiza o tratamento, em nome do controlador; e o encarregado, que interage com cidadãos e autoridade nacional (e poderá ou não ser exigido, a depender do tipo ou porte da organização e do volume de dados tratados).

 

Gestão em foco
 

Há um outro item que não poderia ficar de fora: a administração de riscos e falhas. Isso quer dizer que quem gere base de dados pessoais terá que redigir normas de governança; adotar medidas preventivas de segurança; replicar boas práticas e certificações existentes no mercado. Terá ainda que elaborar planos de contingência; fazer auditorias; resolver incidentes com agilidade. Se ocorrer, por exemplo, um vazamento de dados, a ANPD e os indivíduos afetados devem ser imediatamente avisados. Vale lembrar que todos os agentes de tratamento sujeitam-se à lei. Isso significa que as organizações e as subcontratadas para tratar dados respondem em conjunto pelos danos causados. E as falhas de segurança podem gerar multas de até 2% do faturamento anual da organização no Brasil – e no limite de R$ 50 milhões por infração. A autoridade nacional fixará níveis de penalidade segundo a gravidade da falha. E enviará, é claro, alertas e orientações antes de aplicar sanções às organizações.

 

Fontes: Lei Geral de Proteção de Dados e Serpro.

 

 

cabecalho-lista.jpg