A Lei nº 13.709/2018, também conhecida como Lei Geral de Proteção de Dados (LGPD), foi editada com o objetivo de regulamentar a utilização (tratamento) de dados pessoais pelas empresas, de forma que as pessoas saibam como efetivamente as suas informações estão sendo coletadas e de que forma estão sendo utilizadas, observando princípios como necessidade dos dados solicitados, sua finalidade e se o seu uso está realmente adequado à finalidade declarada.
É uma lei que já está em vigor e, a partir deste domingo, a sua violação pode gerar multa milionária de até R$ 50 milhões.
Daí a importância de as empresas dos mais variados segmentos se adequarem e cumprirem as regras, evitando multas administrativas e processos de responsabilidade civil.
Aprovada em agosto de 2018, a LGPD passou a vigorar em agosto de 2020. Desde então, as empresas estão sendo forçadas a se adaptarem às novas regras.
Para os especialistas, é preciso entender a importância do tema e os seus reflexos, evitando multas desnecessárias.
Até mesmo porque, em um primeiro momento, a Lei de Proteção de Dados veio para criar um cenário de segurança jurídica, com a padronização de normas e práticas, promovendo a proteção, de forma igualitária, dentro do País e no mundo, aos dados pessoais de todo cidadão que esteja no Brasil.
Toda e qualquer solicitação de dados pessoais deve vir acompanhada de informações claras sobre a sua necessidade.
E, para que não haja confusão, a lei traz logo de cara o que são dados pessoais e define que alguns desses dados estão sujeitos a cuidados ainda mais específicos, como os sensíveis e os sobre crianças e adolescentes, e que dados tratados tanto nos meios físicos quanto nos digitais estão sujeitos à regulação.
Para trazer alguns esclarecimentos a respeito das regras, a advogada Giuliana Borges Assumpção Gattass, presidente da Comissão de Estudo e Acompanhamento da Lei Geral de Proteção dos Dados e Segurança da Informação (CEA-LGPD) da Ordem dos Advogados do Brasil – Seccional Mato Grosso do Sul (OAB-MS), falou sobre o assunto.
CORREIO DO ESTADO – quem é atingido pela Lei de Proteção de Dados?
GIULIANA GATTASS – a Lei Geral de Proteção de Dados, ou LGPD, entrou em vigor em 18 de setembro de 2020 e, desde então, todas as pessoas naturais [pessoas físicas] ou pessoas jurídicas, de direito público ou de direito privado, que tratem dados pessoais – de fornecedores, clientes, empregados, parceiros de negócios, colaboradores, servidores, etc. – com fins econômicos precisam se adequar às novas regras da lei.
Ou, de forma mais específica ainda, a quem ela de fato não se aplica?
Ela não se aplica aos tratamentos de dados para fins particulares, isto é, aqueles que são efetuados sem fins econômicos, para fins jornalísticos, artísticos e acadêmicos, por exemplo, quando faz-se uma pesquisa para fins de mestrado, para compor sua árvore genealógica – ou ainda em casos de investigação criminal, segurança pública, defesa nacional, segurança do Estado.
A que tipo de dados a LGPD se refere?
A todos aqueles dados relacionados a pessoas naturais vivas e que possam tornar uma pessoa identificada [diretamente] ou identificável [com a ajuda de dois ou mais dados], e ainda a dados sensíveis, anonimizados, pseudoanonimizados e dados de crianças e adolescentes.
Pelo que foi dito anteriormente, na prática, o que são dados pessoais e dados sensíveis?
Dados pessoais, em regra geral, são aqueles que identificam uma pessoa de modo direto ou indireto – RG, CPF, CNH, telefone, nome, sobrenome, apelido, timbre de voz, placa do veículo, etc.
Já os dados sensíveis são os relacionados a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural – inciso II do artigo 5º da LGPD.
O rol constante na Lei de Proteção de Dados acerca dos dados sensíveis é taxativo, ou seja, não permite interpretações extensivas.
Quando a lei fala de dados está se referindo só aos meios eletrônicos ou também às informações ainda hoje contidas em papéis, como nas tradicionais pastas de arquivo, por exemplo?
A lei vem proteger os dados que serão tratados [utilizados] tanto nos meios eletrônicos [digitais] quanto nos meios não eletrônicos – em papéis, nas pastas de arquivo, aqueles colocados em papel para sorteios em lojas, etc.
Como isso afeta as relações de trabalho?
Afeta diretamente as relações de trabalho, pois a lei abrange os dados de empregados, colaboradores, funcionários ou até servidores.
Alguns dados podem ter tratamentos com fundamento na execução de contrato sem necessidade de consentimento, porém, não podem ser utilizados para fins de marketing , por exemplo, sem o consentimento expresso, livre e inequívoco do seu titular, nem partilhados com outras pessoas sem o seu consentimento, a não ser que seja autorizado por lei.
Quando a multa por vazamento de dados pessoais começa a ser efetivamente aplicada e a que valor ela poderá chegar?
A lei está em vigor desde 18 de setembro de 2020 e já existem mais de 600 decisões judiciais relacionadas a ela. Porém, na esfera administrativa, as sanções somente começarão a ser aplicadas a partir de 1º de agosto deste ano.
A multa poderá chegar a até 20% do faturamento bruto do último ano da empresa, respeitando o limite de até R$ 50 milhões.
Quais são as outras sanções administrativas possíveis, além da multa prevista na LGPD?
As demais sanções administrativas podem ser muito mais danosas do que a multa pecuniária e vão desde advertência, multa diária, publicização da infração, após devidamente apurada e confirmada a sua ocorrência.
Bloqueio dos dados pessoais a que se refere a infração até a sua regularização, eliminação dos dados pessoais a que se refere a infração, suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de seis meses, prorrogável por igual período, suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de seis meses, prorrogável por igual período, e proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados, o que pode acarretar efeitos irreversíveis ao sancionado [punido].
Como as empresas devem se preparar para estarem em conformidade com a LGPD?
Devem, em primeiro lugar, procurar profissionais devidamente capacitados para tal, uma equipe com conhecimentos multidisciplinares.
Devem começar pela conscientização da alta administração e demais colaboradores e depois dar início às adequações que se fazem necessárias, tendo consciência de que a adequação é uma obrigação legal e não é um gasto, e sim um investimento que poderá trazer muitos benefícios, um verdadeiro diferencial competitivo. E o tempo está se esgotando.
Como deve ser obtido o consentimento para o uso de dados pessoais?
Nem todos os tratamentos de dados necessitam de consentimentos para que possam ocorrer, porém, nos casos em que se fizerem necessários, tais consentimentos deverão ser obtidos por escrito, com manifestação livre, informada e inequívoca dada pelo titular, ou seja, o titular deve concordar com o tratamento de dados para uma finalidade determinada.
O que são tratamentos de dados pessoais?
São todas as operações realizadas com dados pessoais, como as que se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
O que vem a ser um data protection officer? Qual a sua função em uma empresa?
O data protection officer [DPO], conforme a LGPD, é a denominação dada ao encarregado de dados e pode ser interno, com vínculo empregatício, ou terceirizado.
Essencial que todos tenham um encarregado como têm um contador, em uma estrutura corporativa.
Sua função consiste em aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências, receber comunicações da autoridade nacional e adotar providências, orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais e executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
Pela mesma lei, qual a função da Autoridade Nacional de Proteção de Dados?
As competências da Autoridade Nacional de Proteção de Dados [ANPD] estão descritas no artigo 55-J da LGPD e são, em suma: deliberar, na esfera administrativa, em caráter terminativo, sobre a interpretação desta Lei, as suas competências e os casos omissos; zelar pela proteção dos dados pessoais e pela observância dos segredos comercial e industrial, observados a proteção de dados pessoais e o sigilo das informações.
Elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade; fiscalizar e aplicar sanções em caso de tratamento de dados realizado em descumprimento à legislação, mediante processo administrativo que assegure o contraditório, a ampla defesa e o direito de recurso; apreciar petições de titular contra controlador.
Promover na população o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança; promover ações de cooperação com autoridades de proteção de dados pessoais de outros países.
Dispor sobre as formas de publicidade das operações de tratamento de dados pessoais, respeitados os segredos comercial e industrial; solicitar a qualquer momento às entidades do poder público que realizem operações de tratamento de dados pessoais informe específico sobre o âmbito, a natureza dos dados e os demais detalhes do tratamento realizado.
Editar regulamentos e procedimentos sobre proteção de dados pessoais e privacidade, bem como sobre relatórios de impacto à proteção de dados pessoais para os casos em que o tratamento representar alto risco à garantia dos princípios gerais de proteção de dados pessoais previstos nesta lei.
Arrecadar e aplicar suas receitas; realizar auditorias ou determinar sua realização no âmbito da atividade de fiscalização, entre outras.
