Como saber se preciso me adequar a LGPD e como funciona um projeto de adequação? – Emerenciano, Baggio & Associados
A Lei Geral de Proteção de Dados, mais conhecida como LGPD, entrou parcialmente em vigor em setembro de 2020. Ficou definido que suas penalidades somente seriam aplicáveis a partir de agosto de 2021. Mesmo assim, a menos de três meses da eficácia plena da referida legislação, muitas empresas que realizam inúmeras atividades envolvendo dados pessoais ainda não iniciaram o seu processo de adequação ou sequer sabem que o é preciso para estar em conformidade com a legislação.
Ressalte-se que dado pessoal corresponde a qualquer informação relacionada a uma pessoa natural que a identifique de modo direto (a exemplo do nome completo, RG ou CPF, etc.) ou que permita a sua identificação (a exemplo de placas de veículos, IPs, dados biométricos, etc.).
Portanto, se uma empresa minimamente tem colaboradores, clientes, fornecedores, prestadores de serviços e não anonimiza todos os dados pessoais desses indivíduos, a empresa realiza atividades de dados pessoais e está sujeita à LGPD.
De um modo geral, a LGPD estabelece as regras para a realização de atividades envolvendo quaisquer dados pessoais, tanto no meio digital quanto no meio físico, bem como relacionam os direitos do titular dos dados pessoais quando seus dados não são tratados de acordo com a referida lei, prevendo até mesmo sanções administrativas em casos de violação.
E de que forma as empresas precisam se adequar a esta Lei?
Um processo de adequação de uma empresa à LGPD envolve diversas atividades e frentes de atuação, de modo que deve ser preferencialmente realizada por uma consultoria jurídica em conjunto com uma consultoria de tecnologia da informação, já que as atividades e expertise de uma área complementa a outra.
Enquanto a consultoria jurídica realiza toda uma análise em relação a forma de tratamento dos dados, sob ponto de vista legal, ou seja, se atende as disposições e limites estabelecidos na lei, a consultoria tecnológica verifica as vulnerabilidades em relação aos sistemas de segurança adotados pela empresa, a fim de orientar sobre possíveis vazamentos de dados, invasão por terceiros, que nos termos da LGPD poderá ser considerada uma violação e, portanto, passível de punição.
De um modo geral, os projetos levam semanas para sua conclusão, já que é necessário, por exemplo, realizar todo um mapeamento sobre as atividades envolvendo os dados pessoais, a identificação dos tipos de dados pessoais tratados, as finalidades, os períodos de utilização, se ocorrem compartilhamento destes dados com terceiros, se são adotados e quais são os mecanismos de proteção para cada atividade realizada que envolva dado pessoal, quais são as bases legais que fundamentam àquela utilização do dado pessoal, se existem riscos atrelados àquela atividade, se as atividades podem continuar sendo realizadas ou se existem medidas a serem tomadas pela empresa para legitimação da utilização do dado pessoal daquela forma, e por aí vai.
Para fins de atendimento a determinadas premissas da LGPD, as empresas que realizam atividades envolvendo dados pessoais, sejam ou não no ambiente virtual, devem adotar políticas de privacidade a fim de informar os titulares dos dados pessoais que são por ela utilizados, sobre a forma de tal uso. A par disso, as empresas devem formalizar as regras sobre a utilização de dados pessoais por terceiros, quando estes lhes forem disponibilizados para o cumprimento de determinadas obrigações decorrentes de contratos. Trata-se dos casos em que será necessária a aplicação de contratos e/ou cláusulas específicas de tratamentos de dados, sem contar a necessidade da adequação dos contratos de trabalho com colaboradores, contratos firmados com fornecedores, prestadores de serviços, clientes e parceiros em geral.
Adicionalmente às atividades macro acima mencionadas, existem diversas outras medidas necessárias para se colocar uma empresa e/ou uma instituição em conformidade com a LGPD, principalmente treinamentos internos que levem ao conhecimento de todos os envolvidos nas atividades rotineiras da empresa sobre esta nova cultura que vem se propagando e se instalando como forma de combate ao uso indiscriminado dos dados pessoais que invariavelmente ocasiona a violação da privacidade e intimidade dos indivíduos, garantidos constitucionalmente.
Destaque-se, por fim, que mesmo após concluído um projeto de adequação, haverá a continuidade de um programa de proteção de dados, seja para auditar seu funcionamento ou para acompanhar a implementação dos mapas de riscos, e ainda por meio da adoção de novas medidas de adequação, prevenção e revisão das atividades de tratamento de dados pessoais, haja vista o desenvolvimento diário de novas formas de trabalho, o surgimento de novas tecnologias e a premente necessidade das empresas de manterem seu viés inovador o que cria novas atividades que praticam tratamento de dados pessoais.