Lei Geral de Proteção de Dados: como e quando se adaptar?

A Lei nº 13.709/2018, popularmente conhecida como Lei Geral de Proteção de Dados (LGPD), entrará em vigor em Agosto de 2020, exigindo especial atenção das empresas brasileiras, estejam elas atuando no ramo B2B (business to business) ou B2C (business to costumer).

A Lei de Proteção de Dados regula todo tratamento de dados pessoais dos cidadãos brasileiros, por pessoa natural ou pessoa jurídica, de direito público ou privado, dentro e fora do Brasil, e tem como diretriz principal a proteção dos direitos fundamentais: a liberdade, privacidade, livre desenvolvimento e personalidade.

A lei traz o rol exemplificativo, e não taxativo, dos dados pessoais que compreendem qualquer informação relacionada a pessoa natural identificada ou identificável, em que podemos citar nome, RG, CPF, e-mail, telefone, endereço residencial. Pertinente a preocupação do legislador em diferenciar os dados de caráter mais sensível, que são os de ordem racial ou étnica, convicção religiosa, opinião política, saúde, orientação sexual, dados genéticos ou biométricos. Sobre esses dados é exigido um tratamento diferenciado, inclusive com a utilização de ferramentas tecnológicas como criptografia e anonimização para proteção dos titulares.

É imperioso que as empresas utilizem o período de vacatio legis (período que decorre entre o dia da publicação de uma lei e o dia em que ela entra em vigor, ou seja, que passar a ter seu cumprimento obrigatório) para adaptação às exigências impostas pela lei, evitando dessa forma afobações e prejuízos desnecessários. Com a vigência da LGPD, o cidadão passará a ter controle sobre seus dados e poderá exigir contraprestação das empresas para exibição, correção e até exclusão de seus dados do banco de informações da empresa.

O poder do cidadão sobre seus dados acaba por torná-lo o maior fiscal da lei, demandando modificação na forma de trabalho por parte das empresas, o que invariavelmente deprecará um processo de revisão dos processos de coletas de dados, comumente denominado como Data Mapping. Nesse processo deve ser abalizado os princípios norteadores da lei, especialmente o do consentimento do titular do dado para que seja tratado pela empresa e a finalidade específica para utilização desse dado, não podendo haver desvirtuamento, sob pena de severas sanções.

Se a empresa deseja utilizar e realizar tratamento de dados pessoais, o consentimento dado pelo usuário deve ser inequívoco!

Portanto, não devem ser utilizadas entrelinhas de termos e condições intermináveis na tentativa de ludibriar o titular em dar seu consentimento, devendo estar absolutamente claro para o usuário que seus dados estarão sendo tratados, através de disclaimers e cláusulas expressas com tal disposição. Da mesma forma que o titular concede consentimento para utilização de seus dados, deve ser dada a opção para revogação e exclusão de seus dados de forma facilitada.

Para a adaptação a LGPD as empresas devem desde já constituir um programa de governança para proteção de dados e privacidade, sendo primordial a conscientização e o engajamento de todos os funcionários no processo, pois de nada adianta criar um programa bem planejado se uma das pontas de atuação da empresa não implementar na prática as diretrizes estabelecidas.

A política de proteção de dados deve obrigatoriamente conter:

• Classificação dos dados pessoais (distinguindo aqueles que são sensíveis);
• Procedimentos de proteção, armazenamento e exclusão de dados;
• Modus operandi de processos internos para lidar com os dados;
• Respostas padronizadas para requerimentos de informações pelos titulares de seus dados;
• Ferramentas de gatilho para lidar com ameaças e riscos de vazamento de dados;
• Nomeação de um DPO (data protection officer) para fiscalização de proteção de dados e comunicação com agência reguladora ANPD (Agência Nacional de Proteção de Dados) mediante relatórios de impacto e esclarecimentos em casos de descumprimento da lei.

A adequação e adaptação às exigências da lei não se mostram tarefas simples ou rápidas, todavia é um caminho que necessariamente deve ser trilhado pelo mundo corporativo, até mesmo porque a proteção e a privacidade de dados foram alçadas a direito e garantia fundamental, protegido pela Constituição Brasileira, o que demonstra indubitavelmente a importância e o caráter irrevogável da Lei.

Nenhuma empresa está imune a vazamento de dados ou falha nos procedimentos na coleta e armazenamento de dados, logo a consolidação de uma política sólida de proteção de dados diminuirá consideravelmente os impactos financeiros e de imagem. Especialmente porque as sanções previstas na legislação são pesadas, como multa de 2% sobre o faturamento do último exercício fiscal, limitado a R$ 50 milhões, bloqueio e exclusão da base de dados e divulgação aos meios de comunicação da infração cometida pela empresa.

Contudo, vale destacar que para a aplicação das sanções a agência reguladora ANPD levará em consideração se a empresa infratora tem uma política de proteção de dados e realizou as devidas diligências para salvaguardar os dados dos titulares, ou se houve negligência. Dependendo do caso, é possível que não seja aplicada a sanção prevista na Lei.

Na Europa, onde já se encontra em vigor a General Data Protection Regulation, lei que serviu de base para atual legislação da LGPD, já foram aplicadas multas pesadíssimas às empresas que não observam as exigências legais. Temos como exemplo o caso da British Airways, em que foi aplicada uma multa de 204 milhões de euros por insuficiência de medidas técnicas e organizacionais para garantir a segurança de dados. Há também o caso da Google Inc. na França onde foi aplicada multa de 50 milhões de euros por ausência de base legal para coleta de dados (enforcementtracker.com).

É importante manter um olhar atento para a situação européia, já que a Lei ainda não entrou em vigor no Brasil, servindo de parâmetro para prognósticos futuros e planejamentos estratégicos. Não obstante, as empresas que mantêm relacionamento e negócios com empresas internacionais certamente terão que adotar uma política de governança de proteção de dados que atenda as exigências da GPDR, sob pena de inviabilizar o business com ditas empresas.

Destarte, a necessidade de desenvolvimento de uma política sólida de proteção de dados já é uma realidade e passará cada vez mais a ser exigida pelo meio empresarial, sendo fundamental a adaptação e mudança de cultura de forma mais célere possível, a fim de evitar perda de market share para os demais players do mercado, que já estão adaptados a essa nova realidade.