A Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018, regula o tratamento de dados pessoais, tanto no ambiente online quanto offline. Inspirada no Regulamento Geral de Proteção de Dados (GDPR) da União Europeia, a LGPD tem como objetivo proteger os direitos fundamentais de liberdade, privacidade e a autodeterminação informacional, que é o direito que cada um tem de saber e ter controle sobre quem tem e como são compartilhadas suas informações, direito cada vez mais difícil de ser exercido em um mundo digitalizado em que dados valem ouro.
Neste artigo, vamos abordar o que é a LGPD, a quem ela se aplica, e quais são os principais requisitos para que sua organização esteja em conformidade com a lei.
O que é a LGPD?
A LGPD, é a sigla para lei geral de proteção da dados, essa lei regula o tratamento dos dados pessoais, estabelecendo regras sobre como os dados pessoais devem ser coletados, armazenados, processados e compartilhados. Dados pessoais incluem qualquer informação que identifique ou torne identificável uma pessoa, como:
- Nome completo;
- CPF ou RG;
- Endereço;
- E-mail;
- Endereço IP;
- Dados biométricos.
A lei também define o conceito de dados sensíveis, que são categorias especiais de informações que requerem um cuidado maior no tratamento, como:
- Origem racial ou étnica;
- Religião;
- Dados de saúde;
- Dados genéticos;
- Opiniões políticas.
O principal objetivo da LGPD é dar controle aos indivíduos sobre seus dados pessoais, garantindo que eles sejam tratados de forma justa, transparente, para que havendo abuso ou erro no tratamento o titular dos dados consiga se defender.
A quem se aplica a LGPD?
A LGPD se aplica a todas as organizações, públicas ou privadas, e pessoas físicas que tratem dados pessoas para fins comerciais, que realizem operações de tratamento de dados pessoais no Brasil ou que tratem dados de indivíduos localizados no Brasil.
Isso significa que:
1. Empresas brasileiras devem cumprir a LGPD, independentemente de seu porte ou setor.
2. Empresas estrangeiras que oferecem produtos ou serviços ao mercado brasileiro também estão sujeitas à lei.
3. Pessoas físicas que usam dados pessoais para fins comerciais como por exemplo, profissionais liberais, estão submetidas à LGPD.
4. Ongs, igrejas, associações, fundações e condomínios também devem cumprir a LGPD.
Lembre também que a LGPD abrange não apenas as operações digitais, mas também o tratamento de dados em formatos físicos, como fichas de papel.
No entanto, a lei não se aplica a:
- Dados utilizados para fins exclusivamente pessoais e não comerciais;
- Dados anonimizados, desde que a anonimização não possa ser revertida;
- Tratamento de dados para fins de segurança pública, defesa nacional ou investigações criminais, regulados por legislações específicas.
Principais Requisitos da LGPD
Para garantir a conformidade com a LGPD, as organizações precisam seguir uma série de diretrizes que abrangem desde a coleta até o descarte de dados pessoais. Separamos aqui as principais diretrizes que precisam ser seguidas para o cumprimento mínimo dos requisitos legais:
Bases Legais para o Tratamento de Dados
A LGPD estabelece 10 bases legais que justificam o tratamento de dados pessoais, caso não seja possível encontrar uma das bases legais previstas na lei para justificar o tratamento do dado pessoal esse tratamento será ilegal.
As bases legais mais usadas são:
Consentimento: O titular dos dados precisa concordar explicitamente com o tratamento de suas informações. Esse consentimento, porém, deve ser genuinamente voluntário, ou seja, se o consumidor for obrigado a consentir para consumir o produto por exemplo, esse consentimento pode ser considerado ilegal e anulado.
Execução de contrato: Dados tratados para cumprir um contrato ou obrigações contratuais. Para executar um contrato muitas vezes será necessário ter acesso a dados pessoais, como por exemplo um médico para executar seu serviço terá que ter acesso a exames e ao histórico de saúde do paciente.
Obrigatoriedade legal: Quando o tratamento é necessário para cumprir uma exigência legal ou regulatória, por exemplo farmácia que na venda de medicamento controlado coleta os dados do paciente.
Legítimo interesse: Em casos onde o tratamento é necessário para atender aos interesses da organização, desde que não prevaleçam os direitos do titular, no entanto para aplicar essa base legal é preciso cumprir alguns requisitos, o que é verificado através da aplicação do que chamamos de teste de legítimo interesse.
Transparência e Direitos dos Titulares
Os titulares dos dados têm uma série de direitos garantidos pela LGPD, incluindo:
- Direito de acesso: Saber quais dados a organização possui e como são utilizados.
- Direito de retificação: Corrigir informações incompletas ou desatualizadas.
- Direito de exclusão: Solicitar a eliminação de seus dados pessoais, salvo exceções legais. Esse direito é sempre garantido caso a base legal de tratamento seja o consentimento.
- Direito de portabilidade: Solicitar a transferência de seus dados a outra organização.
Esses direitos estão intimamente ligados à autodeterminação informacional.
Encarregado de Proteção de Dados (DPO)
As empresas devem designar um Encarregado de Proteção de Dados (DPO), responsável por:
- Atuar como ponto de contato entre a empresa, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD);
- Monitorar a conformidade da organização com a LGPD;
- Realizar treinamentos e orientações internas.
A nomeação do encarregado é, em regra, obrigatória e o contato do encarregado deve ser divulgado pelas empresas para o público, é essencial incluir esse dado na política de privacidade.
Mapeamento e Registro de Dados
Realizar um mapeamento dos dados pessoais tratados é essencial para:
- Identificar quais informações são coletadas, onde são armazenadas e quem tem acesso a elas;
- Avaliar os riscos e implementar medidas de segurança.
O mapeamento, além de ser obrigatório conforme a LGPD e dever ser instrumentalizado através de um documento, é item mais importante do programa de adequação porque se o mapeamento for feito errado todos os outros documentos e o restante da adequação será defeituosa.
Medidas de Segurança
A LGPD exige que organizações adotem medidas técnicas e administrativas para proteger os dados pessoais contra:
- Acessos não autorizados;
- Perda ou destruição acidental;
- Vazamentos.
Práticas recomendadas incluem:
- Uso de criptografia;
- Controle de acesso;
- Políticas de backup;
- Auditorias regulares.
Eliminação de Dados
Os dados pessoais devem ser eliminados quando não forem mais necessários para os fins para os quais foram coletados, salvo exceções previstas em lei. Essa previsão é feita para diminuir o risco do titular, já que dados armazenados sempre podem ser vazados e utilizados por criminosos.
Notificação de Incidentes de Segurança
Em caso de vazamento ou incidente envolvendo dados pessoais, a organização deve notificar a Autoridade Nacional de Proteção de Dados (ANPD) e os titulares impactados, seguindo os procedimentos estabelecidos pela lei.
Novamente essa previsão visa resguardar os titulares para que estes possam tomar providências para evitar maiores prejuízos advindos de um vazamento, trocando senhas, verificando se não foi feito empréstimos ou outras contratações em seu nome entre outras medidas a depender de que dado foi vazado.
Quando a LGPD passa “valer”?
A LGPD foi publicada em 2018, sendo que a lei previu alguns prazos que as empresas se adequem e passem a ser aplicadas as multas, seguem abaixo os marcos temporais mais importantes:
- Agosto de 2018 – publicação da LGPD;
- Setembro de 2020 – início da vigência da LGPD para fins do dever de adequação;
- Agosto de 2021 – vigência completa da LGPD, inclusive aplicação das sanções e multas;
- Julho de 2023 – primeira multa aplicada por descumprimento da LGPD. Destaca-se que essa primeira multa foi contra uma microempresa, o que demonstra, na prática, que o governo não vai fiscalizar e punir apenas grandes emrpesas.
Consequências do Não Cumprimento da LGPD
O descumprimento da LGPD pode resultar em:
- Multas administrativas: Até 2% do faturamento anual da empresa, limitadas a R$ 50 milhões por infração;
- Danos à reputação: Vazamentos de dados podem comprometer a confiança de clientes e parceiros;
- Ações judiciais: Os titulares podem buscar indenizações por danos materiais e morais.
Como Começar a Adequação à LGPD?
Esses são os 5 pilares básicos de um programa de adequação à LGPD:
1. Conscientize sua equipe: Realize treinamentos para que todos entendam a importância da proteção de dados.
2. Mapeie seus dados: Identifique onde estão os dados pessoais, quem tem acesso e quais medidas de segurança estão em vigor.
3. Reveja contratos e políticas: Atualize termos de uso, políticas de privacidade e contratos com fornecedores.
4. Implemente medidas de segurança: Adote soluções técnicas como criptografia e controle de acesso.
5. Monitore continuamente: Realize auditorias e atualizações constantes para garantir a conformidade.
Conclusão
A LGPD não é apenas uma obrigação legal, mas uma oportunidade para as empresas fortalecerem a relação de confiança com seus clientes. Ao garantir a proteção de dados pessoais, sua organização demonstra comprometimento com a transparência, ética e segurança.
Inicie o quanto antes a adequação à LGPD e posicione sua empresa como um exemplo de conformidade e responsabilidade no tratamento de dados pessoais.