Empresário: Você sabe quais medidas adotar para adequar a sua empresa a LEI GERAL DE PROTEÇÃO DE DADOS (LGPD)?

Data da Publicação: 10/09/2021 - 11:01

Por Fernanda Roveroni Advogada - OAB/SP 365.435 Crivelari & Padoveze - Advocacia Empresarial A Lei Geral de Proteção de Dados Pessoais - Lei nº 13.709/2018 - entrou em vigor em agosto de 2.020 e suas sanções em agosto deste ano, trazendo expressivas mudanças no tratamento de dados pessoais feito por pessoas físicas e sobretudo por pessoas jurídicas, exigindo das empresas inúmeras adequações. A lei em questão dispõe sobre o tratamento que deve ser dispendido aos dados pessoais, isto é, dados que identifiquem ou possam identificar uma pessoa física/natural, por meio físico ou digital, tais como, nome, números de documentos pessoais, endereço, data de nascimento, até mesmo a imagem fotográfica da pessoa, dados biométricos, entre outros. Já o conceito de tratamento de dados se resume em toda operação que envolva os dados pessoais, como: coleta, produção, classificação, uso, acesso, reprodução, arquivamento, armazenamento, compartilhamento, eliminação, modificação, transferência, etc. A princípio, apesar de parecer que na relação entre pessoas jurídicas não há tratamento de dados pessoais e, portanto, não se exigira pensar na LGPD, tal entendimento não está correto. Mesmo na relação entre pessoas jurídicas é possível que indiretamente ocorra o tratamento de dados, em especial pelo compartilhamento. A exemplo, uma empresa prestadora de serviços pode compartilhar dados de seus colaboradores com outra, na qual realiza serviços, a fim de permitir o acesso e integração desses colaboradores. Uma das principais mudanças da LGPD é que ficou claro que, resumidamente, toda empresa que tratar dados pessoais se não o fizer em virtude da lei ou contrato, precisará do consentimento do titular dos dados. O consentimento trazido pela lei não é uma autorização simples e genérica, mas sim, um consentimento informado, pelo qual deve estar claro e expresso quais dados serão tratados, qual será o tratamento, qual a finalidade e por quanto tempo ocorrerá. Um consentimento genérico do titular não terá validade. Ainda sobre o consentimento, muito se questiona sobre sua forma, sendo que a lei não impõe restrições nesse sentido; não há necessidade de ser escrito, mas se o for e constar no meio de um contrato, por exemplo, essa cláusula deve necessariamente estar em destaque em relação às demais, evitando assim que o titular não tenha total ciência com o tratamento a ser dado. Ademais, é importante ressaltar que o titular dos dados poderá a qualquer momento revogar esse consentimento e toda vez que houver qualquer alteração quanto ao tratamento, esse consentimento precisará ser renovado. Supondo-se, como exemplo, que uma empresa detenha dados de uma pessoa física apenas para cadastro e pesquisa, finalidade para a qual o titular já deu expresso e válido consentimento, mas posteriormente a empresa tenha a intenção de compartilhar esses dados com terceiros, necessitará antes obter um novo consentimento do titular, para o compartilhamento. Pelo exposto, é possível que surjam dificuldades práticas às empresas para obterem os aludidos consentimentos de todos os titulares, cujos dados são de algum modo tratados por si, pois precisarão desses consentimentos mesmo para os dados captados antes da vigência da lei, mas que continuem em seu banco de dados, isto é, que continuem sendo tratados. A lei exige ainda que toda empresa nomeie três agentes que atuarão na questão do tratamento de dados: o controlador (pessoa que toma decisões sobre o tratamento de dados); o operador (pessoa que operacionaliza/ realiza o tratamento na prática) e o encarregado ou “D.P.O.” (aquele que promove a comunicação entre o controlador, os titulares e a Autoridade Nacional). Outras exigências da lei são de que o titular possa ter acesso claro, facilitado, às informações sobre o tratamento de seus dados, possa saber a finalidade, forma e duração do tratamento, identificar quem é o controlador da empresa e seus dados de contato, bem como, prevê uma série de outros direitos aos titulares, dentre eles, de obter do controlador a qualquer momento: correção, anonimização, bloqueio ou eliminação de dados, portabilidade dos dados, revogação do consentimento dado, entre outros, o que exige das empresas a criação de canais para atendimento e ferramentas para exercício desses direitos. Ainda, a lei traz a necessidade das empresas prepararem relatórios de impacto à proteção de dados, registrando atividades de tratamento despendido aos dados, trazendo maior segurança ao tratamento. A fiscalização dessas exigências da LGPD será realizada pela Autoridade Nacional de Proteção de Dados, autoridade vinculada à Presidência, e as sanções em caso de descumprimento serão desde advertência com prazo para corrigir o necessário, até multa de até 2% (dois por cento) do faturamento no último exercício da empresa, até o limite de R$ 50.000.000,00 (cinquenta milhões de reais) por infração; passando por outras, como multa diária, suspensão parcial do funcionamento do banco de dados por dado tempo, eliminação dos dados da infração, etc. É possível também que além das sanções acima previstas, os titulares que tiverem seus direitos violados pleiteiem as competentes indenizações na Justiça. Importante destacar que a proteção dos dados pessoais não é uma novidade em nosso ordenamento jurídico, sendo que já haviam outras leis que traziam certa proteção, mas a LGPD veio dar um tratamento mais direto, unificado e rígido sobre o assunto, tendo como máxima proteger a liberdade e a privacidade dos dados. Por tudo que se vê, as exigências da LGPD não impõem somente dedicação e trabalho das empresas para adequação, mas importam direta e indiretamente em custos. Assim, é notório que a LGPD tem sido motivo de preocupação no meio empresário, ao passo que exige inúmeras adaptações e implementação de novas rotinas diárias nas empresas. No entanto, apesar de todas as dificuldades iniciais que essa norma pode representar, trata-se de mudança necessária, sendo que outros países já estavam bem mais avançados quanto à implementação de lei de proteção aos dados pessoais, de modo que seria inevitável ao Brasil também garantir a proteção de dados para suas relações comerciais. O que se espera nesse contexto, é que as autoridades e todos os entes envolvidos com a fiscalização da LGPD, atuem com bom senso na aplicação das medidas nela previstas, visando sempre a proporcionalidade. Fontes: https://olhardigital.com.br/2020/09/30/noticias/lgpd-construtora-e-condenada-por-compartilhar-dados-de-cliente/ http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm https://www.serpro.gov.br/lgpd https://www.conjur.com.br/2020-set-30/compartilhar-dados-consumidor-terceiros-gera-indenizacao https://migalhas.uol.com.br/quentes/332763/lgpd--especialista-aponta-7-principais-mudancas-para-empresas-e-consumidores