Com a digitalização da sociedade e a popularização de tecnologias que se baseiam em dados, passou a ser necessário a regulamentação das atividades econômicas que, de alguma forma, fazem tratamento de dados pessoais.
Nesse sentido, acompanhando um movimento mundial, o Congresso Nacional aprovou, em 2018, a Lei nº 13.709/2018 (LGPD), com o objetivo de regular as atividades de tratamento de dados pessoais. Muito tem se falado do impacto desta nova legislação ao consumidor, mas e para o empreendedor, o que muda?
É importante ter em mente que a LGPD não tem apenas o objetivo de proteção dos dados pessoais, mas também o” desenvolvimento econômico e tecnológico e a inovação”. Ou seja, ela também deve ser encarada como ferramenta de desenvolvimento de iniciativas inovadores e tecnológicas no país.
Quem está sujeito à nova lei?
Todo cidadão (pessoa natural) ou empresa (pessoa jurídica de direito público ou privado) que realiza operação de tratamento ou coleta de dados, bem como o fornecimento de bens e serviços em território nacional está sujeito a aplicação da lei.
Além disso, a própria legislação estabelece hipóteses em que suas disposições não se aplicam. Entre as situações previstas temos o tratamento de dados realizado por individuo para fins domésticos, ou seja, não econômicos, fins jornalísticos, artísticos e acadêmicos.
A quem se aplica a nova lei?
A LGPD aplica-se ao tratamento de dados de pessoas naturais, ou seja, pessoas físicas. Por outro lado, a lei não alcança os dados de pessoas jurídicas, que permanecem sujeitos a regulamentações específicas.
Qual a definição de “Dados” para a LGPD?
Dado pessoal: informação relacionada a pessoa natural identificada ou identificável
Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
Dado anonimizado: dado relativo a titular que não possa ser identificado, assim, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.
*Muita atenção: Vale destacar que, a LGPD não considera como dados pessoais aqueles submetidos a processo de anonimização. Contudo, essa proteção deixa de existir quando o controlador reverte o processo de anonimização utilizando meios próprios ou quando terceiros conseguem revertê-lo com esforços razoáveis.
Banco de Dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico.
No ato da coleta de dados:
Finalidade e consentimento: o controlador deve informar ao titular a finalidade do tratamento dos dados e obter seu consentimento quando essa for a base legal aplicável.
Manifestação livre e clara: o titular deve manifestar seu consentimento de forma livre, informada e inequívoca. Assim, não basta inserir cláusulas em letras miúdas ou de difícil visualização para presumir a concordância do usuário.
Informações sobre o tratamento dos dados: o controlador deve fornecer ao titular informações sobre: i) a finalidade do tratamento; ii) a forma e a duração do tratamento dos dados; iii) sua identificação, na qualidade de controlador; iv) seus canais de contato; v) o eventual compartilhamento de dados e sua finalidade; vi) as responsabilidades dos agentes de tratamento; e vii) os direitos assegurados ao titular pela LGPD.
Após a coleta:
Revogação do consentimento: o titular pode revogar o consentimento a qualquer momento, mediante manifestação expressa, por procedimento gratuito e facilitado.
Comunicação sobre alterações: caso o controlador altere as informações relativas ao tratamento dos dados, deverá comunicar previamente o titular, destacando as modificações realizadas. Além disso, o titular poderá revogar o consentimento caso não concorde com as alterações.
Acesso às informações: quando o titular solicitar, o controlador deverá fornecer, de forma gratuita e facilitada, os dados coletados e as demais informações relacionadas ao tratamento e às respectivas finalidades.
Término do tratamento de dados:
Após o término do tratamento, o controlador deve eliminar os dados pessoais, contudo, ressalvadas as hipóteses legais que autorizam sua conservação para as finalidades previstas na LGPD:
Cumprimento de obrigação legal ou regulatória pelo controlador;
Estudo por órgãos de pesquisa, desde que os dados estejam anonimizados;
Transferência a terceiro, desde que respeitados os limites previstos na LGPD;
Uso exclusivo do controlador dos dados, desde que anonimizados.
Responsabilidade
É solidária, ou seja, os agentes de tratamento partilham da responsabilidade em caso de indenização de danos patrimoniais e morais, individuais ou coletivos;
Mas ela pode ser afastada, nas seguintes hipóteses:
Comprovação de que os agentes não tenham realizado o tratamento de dados pessoais que lhes tenha sido atribuído;
Inocorrência de violação à legislação de proteção de dados;
Comprovação de que o dano é decorrente de culpa exclusiva do titular dos danos ou de terceiros.
Principais Dicas
Tracking: tenha o controle do dado durante todo o ciclo de vida dentro da empresa, desde o momento da coleta à sua exclusão;
Controle: recomenda-se que a empresa implemente medidas de acompanhamento e auditoria. Além disso, deve adotar políticas internas para verificar se os colaboradores observam efetivamente as práticas de proteção de dados.
Responsável pelo compliance: toda Startup ou empresa deverá ter um encarregado pela supervisão dos procedimentos de coleta e tratamento de dados para garantir o cumprimento da LGPD, bem como intermediar as comunicações entre a empresa e mercado.
Prevenção e Segurança: zelar pela segurança adotando medidas técnicas e administrativas para prevenir vazamentos ou acessos não autorizados aos dados coletados.
Quando a Lei passa a valer?
A lei aprovada em 2018 passará a ter efeitos a partir de agosto de 2020, ou seja, até lá indivíduos e empresas deverão se adaptar as novas regras.
