A Lei Geral de Proteção de Dados de 13.709/2018, dispõe sobre o tratamento de dados pessoais e se aplica a proteção de dados pessoais de indivíduos localizados no Brasil, quando o tratamento se dá no Brasil, quando houver oferta de bens e serviços para indivíduos no Brasil.

Com a introdução desse texto na legislação brasileira, as empresas observaram a necessidade de adaptação e inserção da lei em sua cultura e no dia a dia. Os principais objetivos da lei são: Proteção à privacidade; Liberdade de expressão, informação, comunicação e opinião; Inviolabilidade da intimidade, honra e da imagem; Desenvolvimento econômico, tecnológico e inovação; Livre iniciativa, livre concorrência e a defesa do consumidor; Direitos humanos, livre desenvolvimento da personalidade, dignidade e exercício da cidadania.

O que são dados pessoais?

Segundo a Lei, Dados Pessoais (art. 5º, I) são os dados que permitem identificar uma pessoa ou torná-la identificável. São exemplos de dados pessoais: Nome, Endereço, Números Únicos Identificáveis (RG, CPF, CNH), Geolocalização, Hábitos de Consumo, Exames Médicos, Dados referentes à saúde, etc.

Esses dados devem passar por um tratamento ao qual se refere a toda operação realizada sobre coleta, produção, classificação, utilização, acesso, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração. Esses requisitos devem ser observados e realizados no processo de tratamento de dados.

Quando esses dados poderão ser tratados?

A legislação prevê que para cada finalidade, o tratamento de dados deve estar justificado em uma das bases legais previstas no art. 7º da lei 13.709 que são:

• mediante o fornecimento de consentimento pelo titular;

• para o cumprimento de obrigação legal ou regulatória pelo controlador;

• pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV desta Lei;

• para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

• quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;

• para o exercício regular de direitos em processo judicial, administrativo ou arbitral;

• para a proteção da vida ou da incolumidade física do titular ou de terceiros;

• para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;

• quando necessário para atender aos interesses legítimos do controlador ou de terceiros, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou

• para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.

Quais são os direitos do titular dos dados?

Titular dos dados é a pessoa natural a quem se referem os dados pessoais que são objeto de tratamento, e seus direitos estão expressos no artigo 18:

• Confirmar existência de tratamento de seus dados pessoais;

• Acessar seus dados pessoais;

• Corrigir os dados pessoais;

• Anonimizar, bloquear ou eliminar dados pessoais;

• Portabilidade de dados pessoais;

• Obter informações sobre o compartilhamento de dados pessoais;

• Revogar o consentimento dado.

Agentes de tratamento segundo a lei:

A Lei traz em seu texto 3 agentes principais no tratamento de dados pessoais, o controlador, o operador e o encarregado:

Controlador: é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

Operador: é pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

A lei também prevê a criação de um cargo de encarregado ou DPO (Data Protection Officer)

Encarregado ou DPO (Data Protection Officer): poderá ser pessoa física ou jurídica, cujas atividades serão aceitar reclamações, prestar esclarecimentos aos titulares e às autoridades, orientar as respectivas empresas e executar as diretrizes do diretor.

ANPD – Autoridade Nacional de Proteção de Dados:

A ANPD – Autoridade Nacional de Proteção de Dados é um órgão da administração pública federal criado a partir do artigo 55 – A da Lei Geral de Proteção de Dados e tem funções de natureza normativo-interpretativa, fiscalizatória e integrativa e com competência para:

•Editar normas e procedimento sobre a proteção de dados pessoais

•Requisitar informações, a qualquer momento, aos controladores e operadores de dados pessoais que realizem operações de tratamento de dados pessoais;

•Fiscalizar e aplicar sanções na hipótese de tratamento de dados em descumprimento com a legislação mediante processo administrativo que assegure o contraditório e ampla defesa;

•Promover ações de cooperação com autoridades de proteção de dados pessoais de outros países;

•Editar normas e procedimentos diferenciados de modo a facilitar a adequação à LGPD para as empresas de pequeno porte e microempresas.

Os tipos de sanções que podem ser aplicadas em caso de infração:

A não observância dos dispositivos nesta lei, pode acarretar diversas sanções que vão desde advertência, multa de até 2% do faturamento bruto do último exercício até proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. As sanções estão dispostas no artigo 52 da lei e traz o seguinte:

• advertência, com indicação de prazo para adoção de medidas corretivas;

• multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração;

• multa diária, observado o limite total a que se refere o inciso anterior;

• publicização da infração após devidamente apurada e confirmada a sua ocorrência;

• bloqueio dos dados pessoais a que se refere a infração até a sua regularização;

• eliminação dos dados pessoais a que se refere a infração;

• suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período, até a regularização da atividade de tratamento pelo controlador;

• suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período;

• proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

O que as empresas devem fazer para se adequar?

As empresas deverão adotar medidas e procedimentos para agregar ainda mais a sua cultura o quesito de proteção de dados pessoais. A lei está vigente e Órgão que fiscaliza está em funcionamento, fazendo com que essas medidas devam ser de imediato.

Podem ser realizadas ações de mapeamento de riscos do tratamento, mapeamento da entrada e saída de dados (data mapping), elaboração do relatório de impacto, criação de políticas e normas de proteção de dados, treinamentos entre outros, ao qual fará a organização se adaptar a Lei Geral de Proteção de Dados.

Autores: Antônio Costa – Departamento de Compliance JCA Contadores.