A LGPD (Lei Geral de Proteção de Dados), que trata da segurança dos dados pessoais compartilhados na internet, foi sancionada pelo presidente Jair Bolsonaro. As sanções administrativas começarão a valer a partir de agosto/2021, mas isso não significa que não haverá punição. Até lá, caso a norma for descumprida, outros órgãos poderão responsabilizar as empresas pelo uso inadequado dos dados.
No dia 26 de agosto deste ano, quarta-feira, o Senado Federal já tinha aprovado a vigência da LGPD, o PLC (Projeto de Lei de Conversão) 34/2020 aguardava apena a sanção do presidente Jair Bolsonaro. O governo federal também publicou o Decreto nº 10.474/2020 que trata da ANPD (Autoridade Nacional de Proteção de Dados) - órgão que irá assegurar o cumprimento e interpretação da LGPD.
Depois de dois anos sendo discutida, desde 2018, agora a nova lei passa a valer para todas as empresas que precisam se adequar aos termos da LGPD e redobrar a atenção com o tratamento de dados pessoais. Para esclarecer as exigências e todas mudanças com vigência da lei, entrevistamos a Amada Duarte, Líder da Área de Suporte Legal a Negócios e Luiza Alcântara, Advogada de Direito Digital na Vaz de Almeida. Acompanhe:
Com o início da vigência da LGPD, todas as suas determinações sobre proteção de dados pessoais passam a ser exigíveis, pois, mesmo que as sanções administrativas previstas pela norma sejam aplicáveis apenas em agosto de 2021, os agentes de tratamento de dados já podem ser responsabilizados civilmente por meio de pleitos a outros órgãos, como o PROCON, por exemplo.
A LGPD aplica-se a todas as pessoas físicas e jurídicas, de direito público ou privado, que tratem dados pessoais para fornecer bens ou serviços. Desse modo, deve-se considerar os profissionais autônomos também. Considerando que no conceito de “tratamento de dados pessoais” estão inclusas atividades cotidianas com relação a dados de funcionários, candidatos à vagas, fornecedores e clientes; por fim, a LGPD acaba sendo aplicável a praticamente todas as empresas e profissionais autônomos, independentemente da atuação no mercado B2C ou B2B.
A implementação de um programa de compliance em LGPD enfrenta uma série de desafios, mas entendemos que a falta de recursos humanos e financeiros para alavancar um projeto é o principal desafio, especialmente para as empresas de pequeno porte e profissionais autônomos. Ademais, no Brasil falta regulamentações e orientações específicas sobre muitas disposições abrangentes da LGPD, devendo ser emitidas pela Autoridade Nacional de Proteção de Dados (ANPD), ainda não constituída.
As obrigações das empresas variam de acordo com a sua posição como agente de tratamento (controlador ou operador), mas, de modo geral, as obrigações versam sobre o tratamento dos dados pessoais com maior segurança aos titulares, restringindo-se aos limites da finalidade e da base legal que legitimam o tratamento de cada dado pessoal tratado.
Exemplificativamente, cabe destacar as seguintes obrigações: (i) elaborar o relatório de impacto à proteção de dados a ser apresentado à ANPD; (ii) adotar e evidenciar a adoção de processos e políticas internas que garantam o cumprimento das disposições da LGPD; (iii) manter um inventário de dados atualizado evidenciando o tratamento de dados pessoais limitado à finalidade informada aos titulares e amparado por uma base legal adequada; e (iv) fornecer informações aos titulares de dados pessoais de forma transparente e eficiente.
O processo de implementação de um programa de compliance de proteção de dados é dividido em fases que podem variar de acordo com a realidade de cada empresa. Em regra, temos as seguintes fases: 1. Diagnóstico (mapeamento do tratamento dos dados pessoais e identificação das inconformidades face à LGPD); 2. Implementação (criação de políticas de proteção de dados, ajustes em processos, modificações em contratos, implementação de controles, modificações em TI, etc.); 3. Monitoramento (auditorias regulares para manutenção e atualizações do programa e relatório de impacto à proteção de dados).
No presente momento, temos observado que o maior erro é não iniciar imediatamente um programa de adequação. Trata-se de um processo de melhoria contínua e deixar para o último momento poderá torná-lo mais traumático e ineficiente. Evidentemente, nem todos poderão começar com um projeto tão abrangente, entretanto, recomendamos buscar o suporte necessários para cumprir, ao menos, as obrigações mais urgentes impostas pela norma.
As sanções estão previstas no artigo 52 da LGPD, sendo: (i) advertências, com indicação de prazo para doção de medidas corretivas; (ii) multa de até 2% do faturamento no último exercício da empresa, conglomerado ou grupo no Brasil, limitada a 50 milhões por infração; (iii) multa diária limitada a 50 milhões; (iv) publicização da infração; (v) bloqueio dos dados pessoais envolvido na infração até a devida regularização; (vi) eliminação dos dados pessoais envolvidos na infração; (vii) suspensão parcial do funcionamento do banco de dados envolvido na infração por até 6 meses, prorrogável por mais 6; (viii) suspensão do exercício da atividade de tratamento dos dados pessoais envolvidos na infração por até 6 meses, prorrogável por mais 6; e (ix) proibição, total ou parcial, do exercício de atividades relacionadas ao tratamento de dados pessoais.
A Autoridade Nacional de Proteção de Dados (ANPD) funcionará como um órgão integrante da Presidência da República, dotado de autonomia técnica e decisória e com jurisdição em todo território nacional, com o principal objetivo de proteger os direitos fundamentais de liberdade e privacidade, bem como o livre desenvolvimento da personalidade da pessoa natural.
Os cidadãos, como titulares de dados pessoais, possuem os seguintes principais direitos:
A implementação de um programa de compliance de proteção de dados pessoais pode contar com a adoção de meios tecnológicos que facilitem a gestão do processo de implementação e do monitoramento das operações de tratamento. Entretanto, não é essencial a contratação de softwares e recurso tecnológicos complexos para tanto, principalmente, se a empresa dispõe de um orçamento enxuto para a realização do projeto. No momento atual, reforçamos que é importante tomar as providências que estão ao alcance de cada empresa, evitando a burocratização e encarecimento dos projetos. Nesse caso, a máxima “o ótimo é inimigo do bom” é uma realidade.