LGPD: desafio imediato e essencial, porém possível com planejamento. – Jl Rodrigues
LGPD: desafio imediato e essencial, porém possível com planejamento.
Fintech ligada ao agronegócio tende a crescer, diz associação
Publicado por Isabel em janeiro 23, 2020
A Lei Geral de Proteção de Dados (LGPD) entrará em vigor em 16 de agosto deste ano e, ao longo de 2019 e hoje, é um assunto bastante comentado. O foco dado à LGPD e à proteção de dados pessoais é pertinente e justificável pois se trata de um marco que trará mudanças impactantes para a sociedade, negócios e relações entre as pessoas (como cidadãos e clientes) e entes públicos e privados.
A médio prazo, acreditamos que se desenvolverá uma cultura de privacidade e proteção de dados pessoais na sociedade toda, ainda inexistente no país, como já ocorreu em outros países que estão passos à nossa frente nessa jornada. Países da União Europeia são um exemplo dessa realidade.
Muito se fala da LGPD e há o mantra de que as empresas devem se adaptar à LGPD. Entretanto, no contexto empresarial, o que é se adaptar à LGPD? Quem precisa se adaptar?
Todas as empresas, independentemente do seu porte e segmento, deverão obedecer a lei. Desta forma, todas as pessoas jurídicas deveriam, ao menos, refletir e analisar o alcance da LGPD sobre suas atividades de forma geral, não somente em relação ao seu core business, já que ainda este não seja, em tese, impactado. A empresa pode, por exemplo, necessitar de ajustes às regras da LGPD por conta de dados de seus funcionários detidos e tratados pelo seu RH.
Adaptar-se à LGPD para uma empresa significa estar adequada e conforme às disposições da lei quando de sua entrada em vigor. Basicamente e de forma simples, podemos resumir a conformidade à LGPD nos seguintes pontos: (i) coletar e processar dados pessoais de forma legal, ou seja, com uma das bases legais previstas na lei, como o consentimento, legítimo interesse, cumprimento de obrigação legal entre outras; (ii) respeitar os direitos dos titulares dos dados, que são as pessoas a quem os dados se referem, e estar apta a atender os pedidos de exercícios desses direitos; (iii) ter um encarregado (chamado no mercado de DPO – Data Protection Officer) para cuidar da proteção de dados na empresa e gerir a comunicação com público e autoridade no que se refere ao tema; (iv) ter a ideia de privacidade presente no cotidiano dos negócios e produtos (internalizar os conceitos de privacy by design e privacy by default); (v) tomar medidas pertinentes efetivas, razoáveis e adequadas para assegurar a proteção de dados e, assim, evitar vazamento e uso indevido de dados e prever ferramentas e políticas para tratar incidentes como, por exemplo, vazamento de dados.
Parece assustador e hercúleo, mas óbvio que isto tudo deve ser visto a cada caso, na realidade de cada empresa e de seus negócios. O importante é ter claro que a LGPD não é obstáculo para negócios, ao contrário, pode até trazer oportunidade de melhorias e permitir mensuração de riscos antes sem parâmetros, propiciar revisão e melhoria de relações comerciais e seus contratos, e melhorar a transparência e a comunicação com o público, por meio de políticas de privacidade e prestações de informações acerca do consentimento, uso e compartilhamento de dados.
Percebemos que é comum muitos integrantes de indústrias altamente reguladas entenderem que, devido à grande carga regulatória, a adaptação é mais fácil. Isto pode levar a equívocos.
De fato, um segmento muito regulado como, por exemplo, o setor financeiro, pode facilitar a verificação das bases legais para a coleta e tratamento de dados pessoais, por, no geral, ser possível invocar a hipótese de cumprimento de obrigação legal ou regulatória. Entretanto, adaptar-se à LGPD não se resume a saber qual a base legal adequada. Há outros pontos de atenção, como: (i) quais dados são coletados, sobretudo à luz dos princípios da finalidade e necessidade; (ii) a forma para atender às solicitações de exercício de direitos dos titulares de dados; (iii) acompanhamento do ciclo de vida de dados; (iv) a adequação de parceiros de negócios com quem se compartilham dados.
A consequência de inadequação é sanção, que pode ser multa, a ser aplicada pela ANPD – Autoridade Nacional de Proteção de Dados. No contexto das penalidades, a estrutura de governança de proteção de dados, políticas, boas práticas e mecanismos de controles serão considerados na aplicação de sanções.
Por tudo isto, todos devem ficar atentos à LGPD e procurar entender o alcance da lei aos seus negócios e às relações com stakeholders. Com certeza, haverá situações onde adaptações serão menores do que se imaginam e, também, haverá casos de gaps em contextos que surpreenderão por não terem sido enxergados e que pedirão correções urgentes para afastar o risco de penalidade. Assim, todos devem parar e analisar seu negócio, produtos, contratos e comunicação de forma coordenada com os princípios da LGPD o quanto antes.
A cultura de privacidade deve, então, fazer com que novos projetos e empresas já nasçam considerando proteção de dados em todas as relações. O efervescente mercado de startups, como fintechs e outras iniciativas disruptivas, deve, desde o momento zero, ter no radar a LGPD e seus desdobramentos. Conclusão, todos devem arregaçar as mangas e fazer um diagnóstico de sua situação perante a LGPD e ter sempre, daqui por diante, o olhar da proteção de dados em todas as iniciativas e produtos.