“A Lei Geral de Proteção de Dados (LGPD - nº 13.709/2018), aprovada em agosto/2018 e com vigência desde agosto/2020 (exceto para as disposições que tratam das sanções administrativas que tiveram seus efeitos práticos só a partir de agosto/2021), “dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural” (art. 1º).

Trata-se de uma lei construída a partir da normativa europeia, GDPR (Regulamento Europeu de Proteção de Dados), cujo objetivo principal é assegurar a proteção dos dados em termos nacionais, assim como nas relações internacionais, garantindo a facilitação da transação desses dados e, principalmente, conferindo um ambiente seguro à continuidade das relações globais.

Esse novo diploma legal confere ao Brasil um posicionamento importante, embora tardio, ao lado de outros tantos que se preocupam em regulamentar os dados pessoais de pessoas físicas.

A quem se aplica?

A LGPD, diferentemente de outras legislações que atingem grupos de pessoas ou setores econômicos específicos, tem como destinatário toda PESSOA NATURAL, ou seja, toda pessoa sujeito de direitos, pois a intenção principal da lei é proteger os dados pessoais, seja no meio físico, seja no meio digital.

O que são os dados pessoais?

O art. 5º, incisos I, II e III, traz o conceito legal do que considera dado pessoal, dado pessoal sensível e dado anonimizado. De uma forma didática, pode-se afirmar que dados pessoais vão desde nome, número de RG, CPF. passaporte etc., até aqueles que indiretamente podem trazer/revelar a identidade de uma pessoa, tais como sua geolocalização, preferências e gostos, hábitos de consumo. Esses últimos são elementos que se considerados isoladamente não são capazes de identificar uma pessoa, mas que somados podem fazê-lo.

O que significa o tratamento e quem atua nele?

A lei se aplica a qualquer operação de TRATAMENTO de dados pessoais realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que: (a) a operação de tratamento seja realizada no território nacional; (b) a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; ou (c) os dados pessoais objeto do tratamento tenham sido coletados no território nacional.

Os atores dessa lei são os titulares dos dados (pessoa natural), o controlador, o operador e o encarregado.

Vale dizer que sobre os agentes de tratamento muito se discutia acerca das atribuições e responsabilidades de cada um, tanto que havia certos desencontros conceituais.

Contudo, em maio/2021, a ANPD (Agência Nacional de Proteção de Dados) publicou o Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado.

Segundo o mencionado guia, o controlador “é o agente responsável por tomar as principais decisões referentes ao tratamento de dados pessoais e por definir a finalidade deste tratamento. Entre essas decisões, incluem-se as instruções fornecidas a operadores contratados para a realização de um determinado tratamento de dados pessoais”. O operador é “o agente responsável por realizar o tratamento de dados em nome do controlador e conforme a finalidade por este delimitada.” E o encarregado “é o indivíduo responsável por garantir a conformidade de uma organização, pública ou privada, à LGPD”.

Relativamente ao encarregado, embora a LGPD não tenha indicado em quais circunstâncias uma empresa deve indicá-lo, as boas práticas recomendam a indicação dessa pessoa para assumir a função, podendo ser um funcionário da instituição quanto um agente externo (físico ou jurídico), mas que sua indicação seja formalizada, por meio de contrato de prestação de serviços ou ato administrativo (caso das pessoas jurídicas de direito público).

A adequação à LGPD: investimento x necessidade

Estar adequado à LGPD significa muito mais que “estar cumprindo uma lei”, pois a privacidade e proteção de dados pessoais, atualmente, são tendências globais. Ou seja, países e empresas que não estejam atentos ao tema e preparados para essa mudança cultural, certamente sofrerão impactos, principalmente, econômicos.

Isso porque, ao lado dos objetivos protetivos da lei caminham o desenvolvimento econômico, tecnológico e de inovação, além da livre iniciativa e livre concorrência, já que a estruturação das empresas para garantir a proteção dos direitos fundamentais de liberdade de privacidade viabilizará o tratamento seguro dos dados, categorizados como o “novo petróleo”.

A adequação não diz apenas com “não ser submetido às sanções legais”.

É necessário que os empresários tenham consciência de que se a sua empresa está adequada traz credibilidade ao mundo dos negócios, conferindo um status positivo na repercussão do “bom nome” da companhia. E estar adequada passa por investimentos em segurança da informação e numa equipe qualificada, demandando um engajamento multidisciplinar dos vários setores, se for o caso, da companhia.

Ter essa visão fará com que as empresas mais adequadas ganhem destaque, representando uma nova fase de Compliance, onde o combate à corrupção ganha um novo aliado: uso seguro e ético dos dados pessoais”.