A novela da Lei Geral de Proteção de Dados – LGPD

A Lei Geral de Proteção de Dados – LGPD – está prestes a entrar em vigor. Na terça-feira, foi aprovada a redação final da Medida Provisória pela Câmara dos Deputados e o texto seguiu para o Senado. A decisão dos senadores foi a de retirar o artigo 4º do texto, que alterava o início da vigência da Lei para 31 de dezembro deste ano. 

Poderia ser o capítulo final da “novela” da LGPD, mas não é. Ainda tem muita trama pela frente, como a criação da Agência Nacional de Proteção de Dados. Por hora a discussão é se a LGPD entrará em vigor imediatamente ou 15 dias após a sanção da MP. Inicialmente a lei deveria ter entrado em vigor no último dia 14 de agosto. Depois, por meio da MP 959/2020, a data foi prorrogada para 3 de maio de 2021. Após, a Lei 14.010/2020 restabeleceu a sua vigência para agosto de 2020, porém, com as penalidades e sanções, válidas a partir de agosto de 2021. Diante do impasse legislativo, uma nova data, dia 31 de dezembro de 2020, chegou a ser anunciada a partir de uma emenda ao texto original da MP, mas agora, com essa decisão do Senado, a Lei está praticamente válida. 

Os impactos da LGPD

A LGPD traz impactos importantes nas operações das empresas que precisam adequar os seus modelos de negócios para estar em conformidade com a Lei.

Os ajustes vão desde o treinamento e conscientização de toda a equipe, passando por uma investigação de todo o ciclo de tratamento de dados pessoais, observação de eventuais lacunas existentes e o aperfeiçoamento de processos para evitar incidentes. 

O que são dados pessoais? 

São todas aquelas informações em que você pode identificar ou tornar identificável uma pessoa. Dados como nome, data de nascimento, endereço, CPF, RG, além de outros dados chamados sensíveis, como tipo sanguíneo, histórico de saúde, etc. Estes últimos são tratados com bastante rigor no texto da LGPD e exigem especial atenção para o tratamento de dados. 

O que é o tratamento de dados?

É toda forma de coleta, uso, transferência, armazenamento e compartilhamento de dados de pessoas. Toda pessoa física ou jurídica que faz tratamento de dados pessoais deve, obrigatoriamente, ter uma finalidade específica. A finalidade do tratamento de dados não pode ser genérica, tem que ser clara e informada ao titular dos dados no momento da sua coleta.

Por que a LGPD é necessária?

A lei de privacidade é necessária porque a proteção de dados pessoais será imprescindível para garantir a competitividade das empresas no âmbito nacional e internacional, visto que a adequação das empresas à legislação será um pré-requisito para a realização de novos negócios e evitará danos reputacionais, assim como  a responsabilização e a aplicação de penalidades decorrentes do vazamentos de dados. 

Quem é quem no tratamento de dados? 

A LGPD define quatro figuras:

• o controlador de dados:  é o responsável pela coleta dos dados
• o operador: quem usa os dados para algum tipo de processo. Uma empresa prestadora de serviços de vale alimentação, por exemplo, é uma operadora de dados. 
• o titulares dos dados: toda pessoa física à qual os dados se refiram.
• o encarregado: também chamado de DPO – Data Protection Office – é o responsável por todo o fluxograma dos dados. É quem vai fazer a interface com os titulares dos dados e a interface com Agência Nacional de Proteção de Dados quando houver algum incidente. Toda empresa terá que nomear um encarregado ou contratar uma pessoa jurídica com essa expertise. 

Vazamento de dados

Quando se fala em vazamento de dados, logo se imagina ataques ao sistema digital. Contudo, a lei define como um incidente todo e qualquer vazamento de dados, seja ele de documento digital ou de documento físico.

Leis que já estão em vigor e protegem os titulares de dados

No Brasil, já existem algumas leis que preveem o tratamento de dados pessoais, tais como o Código de Defesa do Consumidor, o Marco Civil da Internet, que regulamentou o comércio eletrônico e obriga que todos os contratantes tenham a segurança necessária para preservar as informações e os dados financeiros, Lei de Cadastro Positivo, além das próprias resoluções do Banco Central. 

No entanto, a amplitude da LGPD é muito maior. É uma mudança de cultura que vai, necessariamente, impactar o cotidiano das empresas. É uma revisão de processos, uma regulamentação de procedimentos que visa a segurança da informação. 

O que as empresas devem fazer?

Primeiramente, será necessário um processo de conscientização da diretoria sobre a necessidade de implantar um programa de adequação que, por sua vez, deverá incentivar, por meio de treinamento, a conscientização coletiva de toda a equipe. 

Em seguida, será necessário identificar quais as atividades da empresa que envolvem tratamento de dados e fazer um mapeamento ou inventário de dados. A LGPD impactará diretamente os departamentos de RH, comercial, de marketing, jurídico, de suprimentos e de fornecimento. 

Passo-a-passo para adequação

Quem faz qualquer tipo de tratamento de dados e ainda não se adequou, precisa iniciar o processo com urgência. Para tanto, segue uma sugestão das ações necessárias para se evitar problemas com a LGPD: 

1. Promover ações e programas de treinamento e conscientização sobre a privacidade de dados para todas equipes da empresa.
2. Definir e documentar as políticas de privacidade e políticas de segurança relevantes para a proteção de informações pessoais.
3. Definir as responsabilidades.
4. Fazer um inventário, identificar e classificar as informações pessoais tratadas pela empresa.
5. Mapear os relacionamentos com terceiros que envolvam acesso, uso e/ou divulgação de dados pessoais. 
6. Avaliar a finalidade, adequação e necessidade do tratamento de dados pessoais em cada um dos processos em todas as áreas da empresa. 
7. Preparar as bases legais que fundamentam a coleta dos dados.
8. Definir um programa de gerenciamento de incidentes de privacidade que inclua  procedimentos e responsabilidades;
9. Definir como será o uso, a retenção e o expurgo de informações pessoais;
10. Melhorar, se necessário, a segurança do ambiente tecnológico para privacidade dos dados.

Apesar de ser complexa a LGPD é necessária para trazer o equilíbrio entre a tecnologia, que está cada vez mais presente no cotidiano das pessoas, o Direito e o desenvolvimento econômico. Estamos à disposição para esclarecer qualquer dúvida e prestar assessoria às empresas que queiram desenvolver projetos de implementação e adequação da LGPD.