O que é e o que muda com a Lei Geral de Proteção de Dados Pessoais (LGPD)
Publicado em 19/02/2021
Lei impacta diversos setores da economia brasileira, especifica responsabilidades e sanções no caso de descumprimento.
A Lei Geral de Proteção de Dados Pessoais (Nº 13.709), aprovada em agosto de 2018 e com vigência a partir de agosto de 2020, foi criada com o objetivo de criar um cenário de segurança jurídica, com a padronização de normas e práticas, para promover a proteção, de forma igualitária no Brasil, de modo de assegurar a segurança dos dados pessoais de todo cidadão que esteja no Brasil.
A lei define o que são os dados pessoais e esclarece que há alguns desses dados sujeitos a cuidados ainda mais específicos, como os sensíveis e os sobre crianças e adolescentes, e que dados tratados tanto nos meios físicos como nos digitais estão sujeitos à regulação.
Proteção transnacional
De acordo com a LGPD não importa se a sede de uma organização ou o centro de dados dela estão localizados no Brasil ou no exterior: se há o processamento de conteúdo de pessoas, brasileiras ou não, que estão no território nacional, a LGPD deve ser cumprida.
A lei ainda também permite o compartilhamento de dados com organismos internacionais e com outros países, desde que isso ocorra a partir de protocolos seguros e/ou para cumprir exigências legais.
Lei impacta diversos setores da economia
A proteção de dados é inerente as mais diversas áreas, das compras on-line a redes sociais, de hospitais a bancos, de escolas a teatros, de hotéis a órgãos públicos, da publicidade à tecnologia. A LGPD impacta diferentes setores e serviços, e a todos nós brasileiras e brasileiros, seja no papel de indivíduo, empresa ou governo.
O que estabelece a LGPD em quatorze pontos
- Uma regra para todos – Por meio da Lei é criado um cenário de segurança jurídica para todo o País;
- Estabelece o consentimento – Uma das dez bases legais para o tratamento de dados pessoais é o seu próprio consentimento. Ou seja, o consentimento do cidadão é a premissa básica para que dados pessoais possam ser tratados. Mas há exceções, onde é possível tratar dados sem consentimento se isso for indispensável para: cumprir uma obrigação legal; executar política pública prevista em lei; realizar estudos via órgão de pesquisa; executar contratos; defender direitos em processo; preservar a vida e a integridade física de uma pessoa; tutelar ações feitas por profissionais das áreas da saúde ou sanitária; prevenir fraudes contra o titular; proteger o crédito; ou atender a um interesse legítimo, que não fira direitos fundamentais do cidadão.
- Definição do conceito – Estabelece, de forma clara, o que são dados pessoais;
- Finalidade e necessidade – São quesitos que devem ser previamente informados a todo e qualquer cidadão;
- Penalidades rígidas – Falhas de segurança podem gerar multas pesadas;
- Consentimento de menor – Nos casos de uso da base legal “consentimento” para dados de criança, o consentimento deve ser dos pais ou do responsável;
- Transparência – No caso de ocorrer vazamento de dados a ANPD (Autoridade Nacional de Proteção de Dados) e indivíduos afetados dever ser avisados;
- Gestão de riscos e falhas – Essa gestão com a Lei fica a cargo de quem gera os dados, redigindo normas de governança; adotando medidas preventivas de segurança; replicando boas práticas e certificações existentes no mercado. Terá ainda que elaborar planos de contingência; fazer auditorias; resolver incidentes com agilidade. Se ocorrer, por exemplo, um vazamento de dados, a ANPD e os indivíduos afetados devem ser imediatamente avisados. Vale lembrar que todos os agentes de tratamento estão sujeitos à lei. Isso significa que as organizações e as subcontratadas para tratar dados respondem em conjunto pelos danos causados. E as falhas de segurança podem gerar multas de até 2% do faturamento anual da organização no Brasil – e no limite de R$ 50 milhões por infração. A autoridade nacional fixará níveis de penalidade segundo a gravidade da falha. E enviará, é claro, alertas e orientações antes de aplicar sanções às organizações.
- Responsabilidade – Define os agentes de tratamento de dados, bem como suas funções;
- Fiscal centralizado – A fiscalização fica a cargo da ANPD;
- Transparência Internacional – Permite o compartilhamento com outros países que também promovam a proteção de dados;
- Abrangência extraterritorial – Não importa se a organização, ou centro de dados estejam em território nacional;
- Automatização com autorização – uma das garantias da lei para o cidadão, que pode solicitar que dados sejam deletados, revogar um consentimento, transferir dados para outro fornecedor de serviços, entre outras ações;
- Tratamento dos dados – deve ser efetuado levando em conta alguns quesitos, como finalidade e necessidade, que devem ser previamente acertados e informados ao cidadão. Por exemplo, se a finalidade de um tratamento, feito exclusivamente de modo automatizado, for construir um perfil (pessoal, profissional, de consumo, de crédito), o indivíduo precisa ser informado que pode intervir, pedindo revisão desse procedimento feito por máquinas.
ANPD e agentes de tratamento
Entidades essenciais. A ANPD vai fiscalizar e, se a LGPD for descumprida, penalizar. Também acumula as tarefas de regular e de orientar, preventivamente, sobre como aplicar a lei. Cidadãos e organizações poderão colaborar com a autoridade.
A Lei Geral de Proteção de Dados Pessoais também estipula os agentes de tratamento de dados e suas funções, nas organizações: tem o controlador, que toma as decisões sobre o tratamento; o operador, que realiza o tratamento, em nome do controlador; e o encarregado, que interage com cidadãos e autoridade nacional (e poderá ou não ser exigido, a depender do tipo ou porte da organização e do volume de dados tratados).
Dra. Janete Festi Rodrigues Gonçalves (OAB/MG-A – 171.060 e OAB/SP – 313.441)
Proprietária do Escritório Festi Advogados e Presidente da Câmara Arbitral dos Estados Brasileiros e Mercosul – CAEB. Contadora, formada pelas Faculdades Integradas de Três Lagoas. É advogada sênior, formada pela Universidade Federal do Estado de Mato Grosso do Sul. Pós-graduada em Direito Processual Civil, com formação para o magistério superior, pela Universidade Anhanguera – UNIDERP. Possui pós-graduação em Direito Contratual com ênfase em contratos de seguros (Estácio) e também em Direito Societário e contratos empresariais pela Universidade Federal de Uberlândia – UFU. Mestre em Direito pela Universidade Metodista de Piracicaba – UNIMEP é membro da Academia Brasileira de Direito Civil – ABDC, do Instituto Brasileiro de Política e Direito do Consumidor – BRASILCON e associada ao Instituto Brasileiro de Defesa do Consumidor – IDEC.