Entenda: LGPD para Empresas

A Lei Geral de Proteção de Dados Pessoais (LGPD) – Lei nº 13.709/2018 – revolucionou a maneira como as empresas lidam com informações pessoais no Brasil. Desde sua entrada em vigor, a LGPD impôs um novo paradigma de transparência, segurança e respeito à privacidade, afetando todas as organizações, independentemente de seu porte ou setor de atuação. Este artigo visa desmistificar a LGPD para o contexto empresarial, explorando seus fundamentos legais, as obrigações que impõe e as consequências do seu descumprimento, além de oferecer dicas práticas para a adequação.

O que é a LGPD e por que ela importa?

A LGPD tem como objetivo principal proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural (art. 1º, LGPD). Ela se aplica a qualquer operação de tratamento de dados pessoais realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados (art. 3º, LGPD).

Tratamento de Dados Pessoais

O conceito de "tratamento de dados" é amplo e abrange toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração (art. 5º, X, LGPD). Em suma, qualquer interação de uma empresa com dados pessoais de clientes, funcionários ou parceiros está sujeita à lei.

Dados Pessoais e Dados Pessoais Sensíveis

A LGPD distingue entre dados pessoais (informação relacionada a pessoa natural identificada ou identificável) e dados pessoais sensíveis (dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural) (art. 5º, I e II, LGPD). O tratamento de dados sensíveis exige maior rigor e bases legais específicas (art. 11, LGPD).

Princípios da LGPD

A LGPD estabelece dez princípios que devem nortear o tratamento de dados pessoais (art. 6º, LGPD):

1. Finalidade: O tratamento deve ter propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades.
2. Adequação: O tratamento deve ser compatível com as finalidades informadas ao titular, de acordo com o contexto do tratamento.
3. Necessidade: O tratamento deve ser limitado ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados.
4. Livre acesso: Garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais.
5. Qualidade dos dados: Garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento.
6. Transparência: Garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial.
7. Segurança: Utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
8. Prevenção: Adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais.
9. Não discriminação: Impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos.
10. Responsabilização e prestação de contas: Demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

Bases Legais para o Tratamento

A LGPD exige que todo tratamento de dados pessoais seja justificado por uma base legal, elencadas no art. 7º. As mais comuns no ambiente empresarial são:

• Consentimento do titular: Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. O consentimento pode ser revogado a qualquer momento.
• Cumprimento de obrigação legal ou regulatória pelo controlador: Quando a empresa precisa tratar os dados para cumprir uma lei ou regulamento (ex: armazenamento de dados de funcionários para fins trabalhistas e previdenciários).
• Execução de contrato ou de procedimentos preliminares: Quando o tratamento é necessário para a execução de um contrato do qual o titular seja parte, a pedido do titular dos dados (ex: processamento de pagamento em uma compra online).
• Exercício regular de direitos: Quando o tratamento é necessário para o exercício regular de direitos em processo judicial, administrativo ou arbitral.
• Proteção da vida ou da incolumidade física do titular ou de terceiro: Quando o tratamento é essencial para salvar uma vida.
• Legítimo interesse do controlador ou de terceiro: Quando o tratamento atende a interesses legítimos da empresa ou de terceiros, desde que não prevaleçam direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais (art. 10, LGPD). O uso dessa base exige um teste de proporcionalidade rigoroso.

Direitos dos Titulares

A LGPD garante aos titulares diversos direitos em relação aos seus dados pessoais (art. 18, LGPD), incluindo:

• Confirmação da existência de tratamento.
• Acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
• Portabilidade dos dados a outro fornecedor de serviço ou produto.
• Eliminação dos dados pessoais tratados com o consentimento do titular.
• Informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados.
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
• Revogação do consentimento.

As empresas devem estabelecer canais e procedimentos ágeis para atender a essas solicitações, respeitando os prazos legais (art. 19, LGPD).

Agentes de Tratamento e o Encarregado (DPO)

A LGPD define três figuras centrais no tratamento de dados:

• Controlador: Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais (art. 5º, VI, LGPD). É a empresa que coleta e define como os dados serão utilizados.
• Operador: Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador (art. 5º, VII, LGPD). Pode ser um fornecedor de serviços de nuvem, uma agência de marketing, etc.
• Encarregado (Data Protection Officer - DPO): Pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD) (art. 5º, VIII, LGPD). A indicação de um Encarregado é obrigatória para a maioria das empresas, embora a ANPD possa estabelecer exceções (art. 41, LGPD).

Consequências do Descumprimento

A LGPD prevê sanções administrativas, que podem ser aplicadas pela ANPD, para as empresas que descumprirem a lei (art. 52, LGPD). As sanções incluem:

• Advertência, com indicação de prazo para adoção de medidas corretivas.
• Multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração.
• Multa diária.
• Publicização da infração.
• Bloqueio dos dados pessoais a que se refere a infração até a sua regularização.
• Eliminação dos dados pessoais a que se refere a infração.
• Suspensão parcial do funcionamento do banco de dados a que se refere a infração por no máximo 6 (seis) meses, prorrogável por igual período.
• Suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração por no máximo 6 (seis) meses, prorrogável por igual período.
• Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

Além das sanções administrativas, a empresa pode ser responsabilizada civilmente por danos causados aos titulares dos dados, cabendo indenização por danos materiais e morais (art. 42, LGPD).

Jurisprudência

A jurisprudência brasileira sobre a LGPD ainda está em desenvolvimento, mas já existem decisões importantes. O Superior Tribunal de Justiça (STJ) tem firmado entendimento de que o mero vazamento de dados não gera dano moral in re ipsa, sendo necessário comprovar o dano efetivo, exceto em casos de dados sensíveis. O Supremo Tribunal Federal (STF) também tem se manifestado sobre a importância da proteção de dados, reconhecendo o direito à proteção de dados pessoais como um direito fundamental autônomo.

Dicas Práticas para Adequação

A adequação à LGPD é um processo contínuo que exige o envolvimento de toda a empresa. Algumas dicas práticas incluem:

• Mapeamento de Dados: Identifique todos os dados pessoais coletados, processados e armazenados pela empresa, mapeando o fluxo de dados e as bases legais utilizadas.
• Revisão de Contratos: Atualize contratos com fornecedores, parceiros e funcionários para incluir cláusulas de proteção de dados e definir responsabilidades.
• Políticas de Privacidade e Segurança: Elabore e implemente políticas claras e acessíveis sobre privacidade e segurança da informação.
• Treinamento: Conscientize e treine todos os colaboradores sobre a importância da proteção de dados e as regras da LGPD.
• Gestão de Incidentes: Estabeleça um plano de resposta a incidentes de segurança, com procedimentos claros para notificação à ANPD e aos titulares em caso de vazamento.
• Nomeação do DPO: Designe um Encarregado (DPO) qualificado e independente para liderar o programa de proteção de dados.
• Auditorias Periódicas: Realize auditorias regulares para verificar a conformidade com a LGPD e identificar áreas de melhoria.

Conclusão

A LGPD não é um obstáculo aos negócios, mas sim uma oportunidade para as empresas demonstrarem compromisso com a transparência, a segurança e o respeito à privacidade de seus clientes, funcionários e parceiros. A adequação à lei exige um esforço contínuo e a adoção de medidas técnicas e organizacionais adequadas. Ao investir na proteção de dados, as empresas não apenas evitam sanções e litígios, mas também constroem confiança e fortalecem sua reputação no mercado, garantindo um diferencial competitivo no cenário atual.

Aviso: Este artigo tem caráter informativo e didático. Deve ser verificado e adaptado a cada caso concreto por profissional habilitado. Acesse advogando.ai para mais recursos.