A Lei Geral de Proteção de Dados, ou LGPD, foi aprovada em 14 de agosto de 2018 e entrará em vigor em agosto de 2020 (Lei 13.709/18).
http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm
A contar da sua publicação, são quase dois anos para entendimento da nova lei, adaptação e alteração de processos e procedimentos para grande parte do mercado que utiliza dados pessoais em suas atividades.
Também, são inúmeros os cursos, palestras e seminários sobre o assunto. Alguns tentam transformar a nova lei num grande monstro, complicando o dia-a-dia de muitos, que acabam gastando um bom dinheiro com soluções rasas ou inúteis.
Em primeiro lugar, é preciso entender que a Lei dispõe sobre a coleta e tratamento de dados pessoais, onde deverão ser cumpridas diversas obrigações legais, além da adoção de processos e procedimentos de segurança e governança.
Mas o que isso quer dizer? Como saber quais negócios serão afetados pela LGPD?
A Lei Geral de Proteção de Dados é aplicada a qualquer empresa pública ou privada, envolvida na coleta, tratamento e utilização de dados pessoais.
E o que significa tratamento de dados?
Tratamento de dados significa todo tipo de operação que se possa fazer com dados pessoais, como por exemplo, a coleta, classificação, utilização, acesso, produção, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, modificação, transferência, difusão ou extração. Ou seja, é toda forma de manipulação de dados pessoais.
E o que são dados pessoais?
Dados pessoais são informações que permitem identificar uma pessoa viva, como nome, sobrenome, data de nascimento, documentos pessoais, endereço residencial ou comercial, telefone, e-mail, cookies e endereço IP. Também são dados pessoais o conjunto de informações distintas que podem levar à identificação de uma determinada pessoa.
A Lei traz o conceito de dados pessoais sensíveis, que são aqueles que se referem à origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
Vale lembrar que a LDGPD não se aplica para os casos de tratamento de dados pessoais realizado para fins particulares, jornalísticos, artísticos, acadêmicos ou para fins de segurança pública, defesa nacional e investigações penais.
Como funciona o tratamento dos dados pessoais?
Deve haver o aceite do titular dos dados para o seu uso, ou, o consentimento por escrito, ou de outra forma comprovável que o aceite foi obtido de forma legal.
A LGPD proíbe o tratamento de dados sem o aceite do titular, sendo que o aceite não pode ser genérico, mas específico para o fim que se pretende utilizar.
O tratamento de dados pessoais sensíveis também requer aprovação formal e para fins específicos.
ATENÇÃO: o tratamento de dados pessoais de adolescentes e crianças requer aprovação específica por pelo menos um dos pais ou pelo responsável legal. As empresas deverão dispor de tecnologias capazes de verificar que a aprovação foi dada pelo responsável da criança ou do adolescente.
Quando os dados pessoais não precisam mais ser tratados?
Quando a finalidade da coleta foi alcançada ou quando os dados deixarem de ser necessários para o alcance da finalidade almejada; pela solicitação do titular dos dados; ou por determinação da Agencia Nacional de Proteção de Dados (ANPD).
Quais são os direitos do titular dos dados pessoais?
Confirmação da existência de tratamento dos dados; acesso facilitado aos dados; correção de dados incompletos ou inexatos; anonimização; portabilidade de dados a outro fornecedor de serviço ou produto; informações sobre compartilhamento de dados; cancelamento do aceite.
Quem são os agentes que tratam os dados pessoais?
A LGPD criou os seguintes agentes:
Controlador: é a empresa a quem compete as decisões referentes ao tratamento de dados pessoais. Usualmente é quem vai utilizar os dados e determinou as regras para o seu tratamento.
Operador: é empresa que realiza o tratamento de dados pessoais em nome do controlador, de acordo com as regras estabelecidas pela LGPD e procedimentos impostos pelo Controlador.
Encarregado: é a pessoa física ou jurídica indicada pelo Controlador para o tratamento de dados pessoais. É ele que deverá conhecer em detalhes todas as operações da empresa referente ao tratamento de dados. O Encarregado será o interlocutor para aceitar reclamações e comunicações dos titulares dos dados e da autoridade nacional, adotar providências, e prover toda a orientação sobre as práticas a serem adotadas em relação ao tratamento e proteção dos dados.
Autoridade Nacional de Proteção de Dados: cabe a esse agente zelar pela proteção dos dados pessoais; editar normas e procedimentos; decidir sobre a interpretação da LGPD; solicitar informações às empresas que realizam tratamento de dados; fiscalizar e aplicar sanções.
Os conceitos acima estão definidos na Lei 13.709/18.
Agora, o que as empresas precisam fazer para se adaptarem a esse novo cenário?
Abordaremos esse tema, em nosso próximo artigo.
