Em 26 de Agosto de 2020 o Senado Federal rejeitou a proposta de alteração da vigência da Lei Geral de Proteção de Dados (LGPD), que postergava o seu início para 31 de dezembro deste ano. Logo, efetivamente a LGPD entrou em vigor em 18 de setembro de 2020.
Assim, as empresas devem começar a se adequar as imposições reguladas pela Lei. Ainda que nem todos empresários tenham hoje ciência da grandeza deste movimento, faz-se uma analogia ao movimento de adequação que as empresas passaram, no passado, quando entrou em vigor o Código de Defesa dos Consumidores.
A LGPD tem como finalidade a proteção de dados pessoais, entendidos como todo e qualquer dado de pessoa física tratado, em meio digital ou físico, por pessoa natural ou jurídica de direito público ou privado, independentemente do país onde estes responsáveis pelo tratamento estejam localizados ou do local dos dados que serão alvo deste tratamento.
Neste momento, com a vigência da LGPD, qualquer cidadão titular dos dados pessoais, poderá questionar as empresas privadas ou órgãos públicos sobre como é feito o tratamento da sua informação pessoal. Poderão, ainda, ingressar com ação judicial buscando o cumprimento da Lei caso entendam que houve alguma infração.
Neste ponto que as empresas precisam ter atenção. Apesar de as sanções administrativas previstas na LGPD terem sido adiadas para 1º de agosto de 2021, isso não impede o ajuizamento de demandas judiciais buscando o cumprimento da legislação, inclusive, com imposições já previstas no Código Civil.
Vale salientar que, caso as determinações não sejam seguidas à risca, quando entrar em vigor as sanções administrativas, as empresas serão multadas em até 2% do faturamento total. Valor que pode se tornar bastante expressivo, principalmente quando falamos de grandes organizações. Além de outras medidas que podem acabar até inviabilizando as operações da empresa, como, por exemplo, eliminação dos dados pessoais a que se refere a infração.
A Lei prevê a criação de uma Agência Nacional de Proteção de Dados Pessoais (ANPD) que ainda está em processo de estruturação
Pois bem, dessa forma cabe uma entendermos um pouco melhor os pontos centrais da legislação, sendo eles:
Quem está obrigado a cumprir a LGPD?
Qualquer pessoa física ou jurídica que trate dados pessoais de terceiros pessoas físicas. Pouco importa a natureza jurídica de uma empresa, o seu tamanho, a volumetria dos dados, o número de colaboradores, ou até mesmo se possui finalidades lucrativas,todas as empresas brasileiras ficam obrigadas a cumprir a LGPD;
Toda operação realizada com dados de pessoa física, identificada ou identificável (toda aquela que pode ser determinada direta ou indiretamente). Por toda operação, inclui-se coleta, produção, recepção, classificação, utilização, acesso, reprodução, entre outros. A legislação adotou o mesmo critério adotado pela legislação europeia, ou seja, o expansionista, os dados estarão em tratamento sempre que estiverem em posse do agente, mesmo que "inativo", ou seja, meramente armazenado.
Os dados podem ser simples,como nome, CPF e email, ou dados sensíveis como informação sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
Quais são os direitos que podem ser exigidos pelos titulares de dados?
Acesso aos dados sempre que solicitado, correção dos dados incompletos ou desatualizados, eliminação dos dados, portabilidade de um fornecedor para outro, informação sobre compartilhamento dos dados, informação sobre a possibilidade de não fornecer consentimento, revogação do consentimento, reclamação contra o controlador dos dados junto à autoridade nacional e oposição ao tratamento dos dados.
A tendência é que os cidadãos passem a ter a informação desses direitos e, com isto, passem também a exigi-los.
Sem falar que o Brasil não é pioneiro nessa regulamentação, a LGPD foi construída sobre a estrutura normativa europeia, em especial sobre o GDPR, que é o Regulamento Europeu de Proteção de Dados. O Brasil apenas reconheceu a extrema necessidade de assegurar um adequado nível de proteção de dados em termos nacionais, que além de facilitar o recebimento de dados provenientes da União Europeia aqui, alcançará o reconhecimento do País quanto a esse tema em termos mundiais e garantirá um ambiente mais propício à continuidade dos negócios em nível global. Contudo, as empresas que não se enquadrarem tendem a ficar obsoletas em nível mundial muito rápido.
Sendo esse o quadro, é necessário que as empresas entendam, o quanto antes, que a gestão das informações será obrigatória de agora em diante. O amadurecimento desta cultura, acompanhado da promoção e aplicação de práticasque cumpram as regras constantes da LGPD, alterando suas políticas internas, adaptando seus fluxos e seus processos e incrementando a segurança dos dados é uma medida inevitável.
Além disso, como bônus, o atendimento às diretrizes da LGPD pode ser um diferencial competitivo na fidelização de clientes e parceiros, se mostrando como um diferencial que em breve será exigido.
Thatiana Antunes Marranghello
Advogada inscrita na OAB/RS sob o nº 87.201, Especialista em Direito Público pela Uniritter e em Direito Tributário pelo Instituto Brasileiro de Estudos Tributários – IBET.