LGPD – Lei Geral de Proteção de Dados

Lei Geral de Proteção de Dados – Você acredita que seus dados pessoais são privados? Estão protegidos quanto ao acesso indevido? Só estão em risco ao navegar na internet, ou simples transações comerciais, como a compra de um café na sua padaria predileta ou um remédio para dor de cabeça na farmácia do seu bairro, também expõem seus dados a risco?

Na prática é fácil observar situações nas quais diversas organizações coletam dados de seus clientes sem o correto esclarecimento e consentimento destes sobre a aplicação de seus dados. Por exemplo, ao comprar medicamentos em farmácias, é usual que solicitem seu CPF para a conclusão da venda ou em troca de descontos nos produtos adquiridos, mas ao coletarem estes dados, estes produtos ficam vinculados aos seu nome, o que permitem que derivem uma série de informações a seu respeito, bem como vender estas informações a terceiros, como laboratórios e planos de saúde.

Estas informações, por exemplo, podem ser utilizadas para realizar a análise de risco na venda de um seguro de saúde a você, pelo aumento ou diminuição do risco percebido pela empresa que adquiriu os dados.

O principal ponto em questão é, você tem ciência de que seus dados estão sendo utilizados para este fim? Você autorizou este tipo de uso ou sua autorização se limitava na obtenção do desconto? A partir da vigência da lei, cada organização que atue em território nacional, está obrigada a esclarecer ao seu cliente sobre quais dados coletará e para qual finalidade estes dados serão utilizados.

Adicionalmente a estes incômodos, também é usual observamos diversas notícias na mídia sobre o vazamento de dados sigilosos por ações de hackers, a qual acabam por expor dados pessoais como nome, endereço, documentos, imagens e conversas particulares. Seja por um ataque intencional ou por descuido ou atenção do proprietário destas informações, quando tornadas públicas podem ser prejudiciais e por a pessoa, alvo deste ataque, em risco.

Porém não só em casos de ataques seus dados são partilhados sem seu conhecimento, quando o proprietário das informações, por falta de cuidado ou de atenção, autoriza o compartilhamento de seus dados em redes sociais ou aplicativos diversos, ao aceitar os termos de uso sem analisa-los, apenas acreditando que estes dados serão mantidos de forma privada e protegida. Mas será que as empresas estão expondo de forma clara para que querem seus dados e como eles serão utilizados?

As regulamentações propostas (GDPR e LGPD), surgem como respostas a estes problemas que observamos no dia a dia e que expõem os nossos dados a riscos diversos. Seguindo os moldes da GDPR (Regulamento Geral sobre a Proteção de Dados Europeu), a LGPD (Lei Geral de Proteção de Dados) é implementada no Brasil com a mesma finalidade, proteger os dados e garantir os direitos de esclarecimento, conhecimento e esquecimento aos titulares destes dados.

A Lei Geral de Proteção de Dados – LGPD – lei nº 13.709/2018, é uma lei que dispõe sobre a proteção de dados pessoais e altera a lei nº 12.965 – Marco Civil da Internet. De forma resumida esta lei regulamenta a forma como os dados de pessoas físicas podem ser coletados e tratados por qualquer tipo de organização, seja ela pública ou privada.

A lei, após a aprovação da medida provisória 959/2020, entrará em vigor em dezembro de 2020, após críticas e disputas políticas, e a partir de agora todos nós que coletamos dados de nossos clientes e/ou funcionários teremos de nos adequar as novas regras. Assim, com o objetivo de esclarecer e colaborar a ampliar o conhecimento de você, nosso leitor, explicamos de forma concisa os principais termos da lei e oferecemos um breve vídeo que o auxiliará a entender melhor estes pontos e fornece um resumo prático dos principais pontos apresentados neste artigo.

Conceitos e definições da LGPD.

Principais Pontos da Lei Geral de Proteção de Dados – LGPD:

A lei proposta em agosto de 2018, é composta por 65 artigos distribuídos em 10 capítulos, os quais podem ser lidos na integra em: https://www2.camara.leg.br/legin/fed/lei/2018/lei-13709-14-agosto-2018-787077-publicacaooriginal-156212-pl.html

Porém optamos em destacar o que entendemos ser os principais pontos da lei, a fim de facilitar a compreensão e direcionar a sua atenção nos pontos chaves ao qual terá de se adequar.

Artigo 3º – Esta Lei aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados.

Artigo 4º – A Lei não será aplicada quando o tratamento de dados for realizado por pessoa natural, com finalidade particular e sem viés econômico. Houve exceção, também, para atividades jornalísticas, artísticas e acadêmicas, além de informações necessárias à segurança pública.

Artigo 5º – Define os tipos de dados e os agentes de tratamento e controle sobre os quais discorre a lei. São eles:

Tipos de Dados:

• Dado Pessoal: Informações relacionadas a uma pessoa natural identificada ou identificável;
• Dado Pessoal Sensível: Dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, dado genético ou biométrico;
• Dado Anonimizado: Dados relativos a um titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.

Agentes de Tratamento e Controle:

• Tratamento: Toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.
• Controlador: Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;
• Operador: Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;
• Encarregado: Pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados.

Com estes conceitos em mente, ainda é importante destacar, conforme discorre o Artigo 7º, o tratamento de dados pessoais somente poderá ser realizado se:

• Mediante o fornecimento de consentimento pelo titular;
• Cumprimento de obrigação legal ou regulatória pelo controlador;
• Pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres;
• Para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;
• Quando necessário a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;
• Para o exercício regular de direitos em processo judicial, administrativo ou arbitral;
• Para a proteção da vida ou tutela de saúde;
• Quando necessário para atender aos interesses legítimos do controlador ou de terceiros, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais;
• Para proteção do crédito.

Desta forma, o tratamento dos dados deve se atentar a princípios de finalidade, adequação e necessidade, além de considerar os pontos acima listados.

Desta forma, se buscarmos exemplificar com a portaria de um condomínio comercial que coleta a sua identificação através de nome completo, número de documento e coleta de biometria (foto), podemos entender que estas sãos informações adequadas, mas caso a solicitação incluísse a orientação sexual ou profissão, será que estas informações seriam necessárias? Uma reflexão sobre a finalidade dos dados é vital para a coleta consciente de dados.

Ainda neste cenário, suponhamos que este mesmo condomínio compartilhe suas informações com uma outra empresa que fornece Wi-Fi gratuito dentro de suas instalações, será que por oferecer um “ganho” ao usuário, este compartilhamento de informações pode ser considerado adequado?

Como vimos no artigo 7º, a partir de agora é necessário o consentimento do titular para o uso e compartilhamento de seus dados, caso não tenha sido informado o compartilhamento, a autorização concedida para a coleta restringe-se a finalidade de acesso ao condomínio, tornando o compartilhamento destes dados, mesmo concedendo o Wi-Fi de forma gratuita, irregular.

Outro ponto tratado de forma ampla pela lei é a preocupação no tratamento de dados pessoais de crianças e adolescentes, apresentado no Artigo 14º, onde busca-se garantir que estes tenham formas de autorizar o uso dos seus dados através do consentimento especifico dado por pelo menos um dos pais ou pelo responsável legal e o poder público.

Sanções e Responsabilidades:

No Artigo 42º a lei geral de proteção de dados diz que o controlador ou operador que, em razão do exercício da atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo. O que isto significa? Significa que em eventuais incidentes de segurança que envolvam os dados dos titulares coletados ou tratados por você, estes serão objetos de análise jurídica e caso você, na função de operador, tenha falhado em cumprir suas obrigações, você poderá responder de forma solidária pelos danos e arcar com pagamento de indenizações ao titular.

Por último, temos a questão do Encarregado, ou como é chamado no mercado europeu, o DPO – Data Protection Officer (executivo de proteção de dados), o qual é uma função indicada pelo controlador e que deve ter suas informações de contato divulgadas publicamente no site do controlador, de forma a receber as reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências, bem como receber as comunicações e fiscalizações da autoridade nacional além de orientar os funcionários e contratados da empresa a respeito das práticas de proteção de dados pessoais.

De forma resumida, na Lei Geral de Proteção de Dados, temos:

• Só se pode coletar ou tratar de qualquer outra forma dados pessoais seus se você permitir. O consentimento deve ser manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada (Pontes, 2018).
• As empresas e entidades governamentais precisarão explicar como, quando e por que os dados serão usados;
• Os titulares dos dados poderão pedir aos operadores que forneçam suas informações, e podem solicitar correções ou exclusões destes dados;
• Os operadores deverão apagar os dados quando a relação com o cliente terminar;
• O consentimento é dispensável para dados tornados manifestadamente públicos pelo titular, porém isto não isenta do cumprimento da lei.

Sendo assim, agora as empresas, sejam elas blogs, consultórios médicos, conglomerados empresariais, hospitais, farmácias, padarias, empresas multinacionais(…), terão de se adequar e tomar mais atenção em que dados coletam, o que fazem com estes e como os descartam. Agora terão que prestar satisfação aos seus usuários/clientes sobre como operam suas informações, e não há como escapar desta nova realidade.

Se em um primeiro momento isto se apresenta como um grande desafio, é certo que inovações e formas de atender as demandas da lei entregando um grau maior de segurança aos clientes surgirá, e remodelará o modo de trabalhar com a informação no Brasil, assim como já vem acontecendo no mundo.

Caso tenha dúvidas ou deseje mais informações, comente abaixo ou entre em contato, que teremos prazer em auxiliá-los.

Para uma versão mais objetiva, leia o artigo LGPD – Direto ao Ponto: https://ovexp.com.br/lgpd-direto-ao-ponto-versao-resumida-entenda-a-lei/