LGPD

 

A Lei Geral de Proteção de Dados (Lei nº. 13.709/2018) (“LGPD”) é uma lei federal que dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, com o objetivo de proteger os seus direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento de sua personalidade. A LGPD prevê seus direitos à proteção de dados pessoais, bem como estabelece princípios gerais e obrigações que devem ser observados por aqueles que tratam dados pessoais.

 

A LGPD reúne aspectos discutidos há algum tempo aqui no Brasil e que estavam fragmentados em legislações diversas – como o Marco Civil da Internet – e foi criada com o objetivo de proporcionar ao cidadão brasileiro um controle maior sobre o tratamento de seus dados pessoais.

Para isso, ela coloca regras que devem ser seguidas tanto por empresas privadas quanto públicas. Ou seja: vale para qualquer negócio.

 

De acordo com a lei, um dado pessoal é todo aquele que pode vir a identificar uma pessoa física, como número do CPF, data de nascimento, endereço residencial ou e-mail. Mas a LGPD também traz o conceito de dado pessoal sensível, e aprofunda as restrições em relação a seu uso, por se tratarem de dados com maior potencial discriminatório. São eles: origem racial ou étnica; convicção religiosa; opinião política; filiação a sindicato ou a organização de caráter religioso, filosófico ou político; saúde; vida sexual; genético ou biométrico.

 

O tratamento de dados é um conceito abrangente, que inclui qualquer tipo de manipulação realizada com informações pessoais. Processos comuns a diversos tipos de empresas incluem, geralmente, a coleta, a reprodução, o acesso, o armazenamento e a distribuição de dados pessoais. Um exemplo simples? A criação de uma lista de e-mails para sua newsletter.

 

A lei se aplica a qualquer operação que envolve o tratamento de dados pessoais e que seja realizada em território brasileiro. Mas e se a empresa for sediada no exterior? Caso ela ofereça bens ou serviços para pessoas localizadas no Brasil e, para isso, coletar dados de usuários, a LGPD também se aplica!

 

A LGPD traz alguns princípios que devem ser respeitados no tratamento de dados pessoais, como: finalidade, necessidade, não discriminação e segurança. Isto significa que a empresa precisa seguir algumas determinações. Em resumo, os dados pessoais só podem ser coletados com o consentimento do titular, que precisa ser informado da finalidade da coleta. É do titular o direito de acesso aos dados coletados, assim como a solicitação de correção de informações, de exclusão, de portabilidade ou de revogação do consentimento.

 

O consentimento do titular é a permissão dada por meio de uma declaração para que a empresa possa coletar e utilizar dados específicos para uma finalidade previamente determinada e esclarecida. Ou seja, é preciso ser sempre claro quando se explica como os dados serão utilizados e também se ater à finalidade prevista.

 

Se a sua empresa precisa de um dado pessoal já coletado com o consentimento do titular para outra finalidade de uso, é necessário informar à pessoa sobre este novo intuito. Mas somente informar não basta: em casos assim, você deve atualizar o consentimento do titular.

 

O controle da LGPD será feito pela Autoridade Nacional de Proteção de Dados (ANPD). Este órgão será criado para fiscalizar o cumprimento da lei, zelar pela proteção de dados pessoais, elaborar diretrizes e também aplicar as sanções em casos de irregularidade.

 

A LGPD traz duas figuras importantes:

o controlador, que é a empresa responsável pela coleta dos dados e pelas decisões sobre o seu tratamento;

e o operador, que é quem efetivamente irá realizar o tratamento dos dados, seguindo orientações do controlador.

Em casos onde o tratamento de dados não acontece como previsto na lei, os controladores serão responsabilizados. Mas o operador também pode ser penalizado, caso não tenha cumprido ordens passadas pelo controlador.

 

A penalidade imposta irá depender da avaliação da ANPD, mas pode passar por uma advertência, pela determinação da publicação e divulgação da infração cometida, pelo bloqueio ou eliminação dos dados que sofreram violações, pela proibição geral do tratamento de dados por parte da empresa e também por multas.