LGPD: sanções começam este ano

Em vigor desde 2020, a Lei Geral de Proteção de Dados (LGPD) começa a aplicar sanções às empresas que não estiverem em conformidade a partir de agosto deste ano. Para as empresas às voltas com as mudanças de sistemas exigidas pela lei, é hora de planejar seu novo modelo de governança de dados.

Para quem não se lembra, uma matéria publicada pelo Computerworld em setembro do ano passado explicava que a LGPD (Lei No 13.709) disciplina um conjunto de aspectos: define categorias de dados, circunscreve para quem valem seus ditames, fixa as hipóteses de coleta e tratamento de dados, traz os direitos dos titulares de dados, detalha condições especiais para dados sensíveis e segmentos (como crianças), estabelece obrigações às empresas, institui um regime diferenciado para o Poder Público, coloca sanções em caso de violações e prevê a criação de uma autoridade nacional.

Definições e aplicação

Segundo a norma, dados pessoais são informações que podem identificar alguém. Dentro do conceito, foi criada a categoria “dado sensível”, com informações sobre origem racial ou étnica, convicções religiosas, opiniões políticas, saúde ou vida sexual. Registros como esses passam a ter nível maior de proteção, para evitar formas de discriminação. Com isso, ficam sujeitas à lei todas as atividades realizadas ou pessoas que estão no Brasil. A norma vale para coletas operadas em outro país, desde que estejam relacionadas a bens ou serviços oferecidos a brasileiros, ou que tenham sido realizada no país.

Mas há exceções. É o caso da obtenção de informações pelo Estado para segurança pública, defesa nacional e investigação e repressão de infrações penais. Essa temática deverá ser objeto de uma legislação específica. A lei também não se aplica a coletas para fins exclusivamente particulares e não econômicos, jornalísticos, artísticos e acadêmicos.

Tratamento

O tratamento de dados é caracterizado na LGPD como “toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração”.

Esse só pode ocorrer em determinadas hipóteses. A principal é por meio da obtenção do consentimento do titular, mas não é a única. A ação é autorizada na lei para cumprimento de obrigação legal, estudos por órgão de pesquisa, proteção da vida do titular ou de terceiros, tutela da saúde por profissionais ou autoridades da área. A administração pública pode coletar e tratar dados para a consecução de políticas públicas previstas em leis e regulamentos ou respaldadas em convênios. Também fica desobrigado do consentimento a prática de “proteção do crédito”, como o cadastro positivo.

A obtenção do consentimento envolve um conjunto de requisitos, como ocorrer por escrito ou por outro meio que mostre claramente a vontade do titular e ser ofertado em uma cláusula destacada. O consentimento deve ser relacionado a uma finalidade determinada. Ou seja, não se pode solicitar o consentimento para a posse simplesmente de uma informação, mas deve ser indicado para que ela será utilizada.

Contudo, o Artigo 10 da lei garante a possibilidade de um uso distinto daquele informado na coleta, situação denominada de “legítimo interesse”. É um caso muito usado pelas empresas, no qual a norma exige a adoção de medidas de transparência e que nessa finalidade adicional sejam utilizados os dados estritamente necessários.

Os dados sensíveis têm regras específicas de tratamento. A Autoridade Nacional pode regulamentar ou vetar o emprego destes para vantagem econômica. No caso da saúde, tal finalidade é proibida, mas com diversas exceções, como prestação de serviços, assistência farmacêutica e assistência à saúde.

Obrigações das empresas

Ao coletar dados, as empresas devem informar a finalidade. A lei previu uma série de obrigações para elas, que têm de manter registro sobre as atividades de tratamento, de modo que possam ser conhecidas mediante requerimento pelos titulares ou analisadas em caso de indício de irregularidade pela Autoridade Nacional. Quando receberem um requerimento do titular, a resposta às demandas tem de ser dada em até 15 dias.

Cabe aos controladores indicar um encarregado pelo tratamento. As informações sobre este deverão ser disponibilizadas de forma clara, como nos sites das companhias. Caso a Autoridade determine, a controladora deve elaborar relatório de impacto à proteção de dados pessoais das suas atividades de tratamento.

Esses entes devem adotar medidas para assegurar a segurança das informações e a notificação do titular em caso de um incidente de segurança. Tal exigência vale para todos os agentes da cadeia de tratamento. Se um controlador causar dano a alguém por causa de uma atividade de tratamento, poderá ser responsabilizado e deverá reparar o prejuízo.

O vice-presidente da Software AG para a América Latina, Eduardo Balam, lembra que essas mudanças vão exigir das empresas um novo modelo de governança de dados. Ele lembra que garantir a conformidade com a LGPD ao longo tempo pode se tornar algo muito complexo se a empresa não seguir os passos certos. “Ao dominar as melhores práticas em gestão de conformidade à proteção de dados pessoais, sua organização poderá focar no que é mais importante: colocar o cliente no centro de tudo e inovar para oferecer os melhores produtos e serviços”, ressalta.

Para isso, ele destaca que a LGPD exige a implementação de algumas etapas essenciais para assegurar que a organização será capaz de se manter em conformidade com a lei mesmo com as constantes mudanças nos negócios e no cenário de TI, em um mundo cada vez mais digitalizado e competitivo. “Mas não há motivo para pânico. Você só precisa conhecer as melhores práticas para reduzir a complexidade e poder focar no que mais importa: os seus clientes”, conclui.

Webcast “Como se preparar para a LGPD: um guia prático”

No dia 8 de abril, às 11h, Eduardo Balam, Vice-Presidente da Software AG; e Marcus Leite, Consultor sênior de soluções da Software AG, se reúnem para apresentar o webcast “Como se preparar para a LGPD: um guia prático”.

As inscrições podem ser realizadas por meio do link e de forma gratuita.