A Lei Geral de Proteção de Dados Pessoais (LGPD) já está em vigor desde 2019. A sua regulamentação está disponível em muitas fontes e as empresas deveriam já estar aderindo a essa lei.
Recentemente fomos convidados pela TV Educativa para uma conversa sobre a LGPD pois ainda temos visto muitas situações onde o público não conhece seus direitos e obrigações que as empresas precisam atender ao manusear seus dados confidenciais. Assista ao vídeo no final desse blog.
Com a pandemia, os hábitos de consumo e de trabalho vêm mudando de forma acelerada o uso do digital, e por isso o controle dos seus dados é mais importante do que nunca.
Com o intuito de relembrar os aspectos mais importantes dessa Lei, relaciono abaixo um sumário do manual sobre a LGPD da WSI Brasil, elaborado em conjunto com um de nossos parceiros de serviços, que disponibilizamos para as nossas unidades de Consultores de Marketing Digital para assessorá-las em seus projetos de consultoria digital.
A Lei tem o propósito de regulamentar o tratamento de dados pessoais pelas organizações, uma vez que esses dados ganharam grande notabilidade na economia moderna, pois permitem fazer previsões, analisar hábitos de consumo, opinião, e muito mais.
Muitos países desenvolveram leis para a proteção de dados, tendo como objetivo à regulamentação do tratamento de dados pelas empresas, impedindo o mau uso destas informações, bem como a responsabilização das corporações pelo uso, bem como por eventualidades e acidentes com as informações pessoais.
São informações que possibilita a identificação de uma pessoa ou a torna identificável. Veja abaixo os exemplos de dados pessoais:
Esta subcategoria é nomeada de dados pessoais sensíveis, devido a sua importância e dimensão, exige mais proteção do que um dado pessoal comum.
Dado anonimizado são informações relativas ao titular que não consiga ser identificado, motivando a utilização de meios técnicos razoáveis e disponíveis no momento do seu tratamento.
Deste modo, a anonimização de dados é compreendida como a aplicação de meios técnicos razoáveis e disponíveis no instante do tratamento, por meio dos quais um dado perde a capacidade de associação, direta ou indireta, a um indivíduo.
Toda pessoa natural a quem se referem os dados pessoais que são motivo de tratamento é considerada titular dos dados pessoais.
Trata-se de toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
Segundo a lei, são o controlador e o operador dos dados pessoais. O controlador é a pessoa jurídica ou natural, de direito privado ou público, a quem pertencem as decisões relacionadas ao tratamento de dados pessoais.
O operador é pessoa jurídica ou natural, de direito privado ou público, que exerce o tratamento de dados pessoais em nome do controlador.
Em caso de ato contrário aos termos da LGPD, tanto o operador quanto o controlador podem responder diretamente, de forma subjetiva, e solidária com a organização para quem atuam sobre o incidente de dados pessoais.
A Lei Geral de Proteção de Dados prevê a criação do cargo de encarregado ou de data protection officer (DPO), no qual poderá ser pessoa jurídica ou física. Suas atividades serão receber reclamações, prestar esclarecimentos aos titulares e às autoridades, orientar a empresa e cumprir as diretrizes do diretor.
A identidade do DPO será disponibilizada aos titulares e autoridades e seu contato terá que ser disponibilizado de forma simples e de fácil acesso.
Relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais (Ciclo dos Dados) que podem gerar riscos (Risk Assessment) às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco, tais como mapeamentos, treinamentos, auditorias, alterações de contrato e criação de políticas de proteção de dados.
A privacidade desde a concepção (Privacy by design)
Este princípio de governança está previsto no art. 46 da LGPD determina que todas as empresas devem introduzir a privacidade de dados a todos os estágios (modelagem, operação e gerenciamento e encerramento) de um determinado negócio, sistema ou projeto.
Outros princípios da Lei Geral de Proteção de Dados são os seguintes:
É dever garantir aos titulares de dados a clareza, relevância, exatidão e atualização dos dados, sempre em conformidade com a necessidade e finalidade do tratamento.
Sempre utilizar determinações administrativas e técnicas para proteção dos dados pessoais de acessos não autorizados e de eventualidades que levem à quebra da integridade das informações (difusão, perda, alteração, entre outros.)
Os agentes de tratamento devem demonstrar responsabilidade a adoção de medidas eficientes e capazes de fundamentar a prática do cumprimento das normas de proteção de dados pessoais, inclusive as de segurança da informação, comprovando a sua efetividade.
Apenas os dados pessoais necessários para aquela finalidade descrita devem ser tratados, rejeitando-se os desnecessários ou excessivos.
O intuito é impedir a desvirtuação das finalidades informadas com o real tratamento dispensado.
Os agentes de tratamento devem adotar medidas preventivas contra a ocorrência de incidentes sobre os dados pessoais.
É proibido o tratamento de dados para fins discriminatórios abusivos ou ilícitos.
É obrigatório que o titular dos dados tenha livre acesso aos seus dados pessoais tratados de forma gratuita e ágil.
O tratamento de dados precisa ter um resultado legítimo, específico e único.
É dever garantir sempre informações acessíveis, claras e precisas aos titulares com relação ao tratamento de suas informações pessoais, até mesmo sobre os agentes de tratamento.
Para cada finalidade, o tratamento de dados deve justificar-se em uma das bases legais previstas no art. 7º da LGPD:
Meio pelo qual o titular de dados pessoais tem para determinar o nível de proteção e garantir a prolongação do fluxo dos seus dados, dando a sua aprovação declarada (art. 8º) para as finalidades descritas nos termos de consentimento.
Quando o tratamento é indispensável para acatar o interesse público, justificado pela obrigação regulatória ou legal. Não depende de consentimento do titular dos dados.
Exemplos: coleta de dados para emissão de nota fiscal; tratamento de dados pessoais do trabalhador para à Caixa Econômica Federal em alegação da obrigação do FGTS.
O tratamento de dados é previsto para execução de políticas públicas tais como epidemia, vacinação, epidemia e apuração de qualidade de ensino.
Tratamento de dados para fins de pesquisa, sendo que, sempre que possível, se deve seguir com a anonimização dos dados pessoais. Exemplo: Censo.
O tratamento de dados é lícito quando necessário para a consumação de um contrato no qual o titular dos dados é parte ou para trâmites preliminares à sua formação.
O tratamento de dados no percurso do processo é base legal para a elaboração de provas e uso para o requerido processo legal.
Os dados podem ser tratados para a proteção da vida ou integridade física pelos agentes de saúde (médicos, enfermeiros, agentes sanitários, entre outros).
Os dados tratados em âmbito da saúde devem servir para certificar a qualidade de vida da sociedade e a contenção de riscos ao adoecimento.
Concebido nas situações em que se tem uma relação relevante e apropriada entre o titular dos dados e o responsável pelo tratamento, na qual a finalidade do tratamento é tida como razoavelmente esperada pelo titular do tratamento, sem que lhe cause danos, devendo, sempre, ser examinada no caso concreto por meio de um teste de interesse legítimo.
Os dados pessoais podem ser tratados para proteção ao crédito de forma a tornar a economia do país mais segura e conceder mais benefícios e incentivos a quem cumpre com suas obrigações.
É classificado como tratamento irregular quando deixar de observar a legislação ou quando não fornecer segurança essencial.
Responde pelos prejuízos resultantes da quebra de segurança dos dados a empresa junto com o controlador ou o operador, mesmo ao final do tratamento.
As empresas têm que registrar procedimentos entre o controlador e o operador para simplificar a comprovação dos procedimentos à Autoridade Nacional de Proteção de Dados (ANPD).
Além disso, as empresas devem viabilizar treinamentos e ações educativas aos seus membros e funcionários visando à atenuação de riscos e a devida informação aos titulares de dados.
Quando existir um incidente de segurança que provoque risco ou prejuízo relevante aos titulares, caberá à empresa tomar as seguintes providências:
Órgão de natureza federal vinculada à Presidência da República nos primeiros dois anos de sua implementação, com incumbências de natureza normativo-interpretativa, fiscalizatória e integrativa e com competência para:
A ANPD será composta por um Conselho Diretor (5 membros) indicados pelo Conselho Nacional de Proteção de Dados e Privacidade, composto por 23 membros (art. 58); por uma Corregedoria e uma Ouvidoria. Possuirá, também, órgão de aconselhamento jurídico próprio, podendo servir como órgão consultivo para as empresas adotarem as melhores práticas de cumprimento à lei e prevê unidades administrativas específicas
A Autoridade Nacional de Proteção de Dados aplicará as seguintes sanções sobre incidentes de dados:
As empresas deverão atuar diretamente junto aos titulares dos dados quando existir um incidente de vazamento de dados, pois o § 7º do art. 52 prevê que a conciliação direta entre controlador e titular para reparação e, caso não exista acordo, o controlador estará sujeito à aplicação das penalidades de que trata este artigo.
A Lei Geral de Proteção de Dados Pessoais está inclusa dentro do Sistema Nacional de Defesa do Consumidor (art. 45) e por tal razão, os direitos dos titulares dos dados, tratados como consumidores by standard, lhes são garantidos tais como: a inversão do ônus da prova, a presunção de hipossuficiência, o direito à informação e explicação entre outros.
No entanto, a Lei Geral de Proteção de Dados Pessoais também poderá ser aplicada em outros contextos jurídicos como nas relações de trabalho.
Assista ao vídeo da gravação da entrevista do nosso Consultor WSI, Caio Cunha, na TV Educadora: Educadoraonline.com.br