Hoje em dia, a maior parte das empresas, de pequenas a gigantes, em alguma frente de seu negócio, recebe algum tipo de dado do seu cliente – desde um nome e data de nascimento chegando a informações sensíveis, como o número do cartão de crédito, caso bem comum nas companhias de e-commerce.

   LGPD é uma sigla para Lei de Geral de Proteção de Dados, aprovada em agosto de 2018, desde 18 de setembro de 2020 entrou em vigor a lei 13.709/2018, já suas sanções (penalidades) entram em vigor a partir de 1º de agosto de 2021 por força da lei 14.010/2020.

   Com a LGPD, o país entra para o rol dos 120 países que possuem lei específica para a proteção de dados pessoais. A nova lei irá preencher lacunas para substituir e/ou complementar a estrutura de mais de 40 diplomas legais que, de forma esparsa, regulamentam o uso de dados no país hoje.

   Para entender a importância do assunto, é necessário saber que a nova lei quer criar um cenário de segurança jurídica, com a padronização de normas e práticas, para promover a proteção, de forma igualitária e dentro do país e no mundo, aos dados pessoais de todo cidadão que esteja no Brasil.

   E, para que não haja confusão, a lei traz logo de cara o que são dados pessoais, define que há alguns desses dados sujeitos a cuidados ainda mais específicos, como os sensíveis e os sobre crianças e adolescentes, e que dados tratados tanto nos meios físicos como nos digitais estão sujeitos à regulação.

   A LGPD estabelece ainda que não importa se a sede de uma organização ou o centro de dados dela estão localizados no Brasil ou no exterior: se há o processamento de conteúdo de pessoas, brasileiras ou não, que estão no território nacional, a LGPD deve ser cumprida. Determina também que é permitido compartilhar dados com organismos internacionais e com outros países, desde que isso ocorra a partir de protocolos seguros e/ou para cumprir exigências legais.

Consentimento

Outro elemento essencial da LGPD é o consentir. Ou seja, o consentimento do cidadão é a base para que dados pessoais possam ser tratados. Mas há algumas exceções a isso.

É possível tratar dados sem consentimento se isso for indispensável para: cumprir uma obrigação legal; executar política pública prevista em lei; realizar estudos via órgão de pesquisa; executar contratos; defender direitos em processo; preservar a vida e a integridade física de uma pessoa; tutelar ações feitas por profissionais das áreas da saúde ou sanitária; prevenir fraudes contra o titular; proteger o crédito; ou atender a um interesse legítimo, que não fira direitos fundamentais do cidadão.

Automatização com autorização

   Por falar em direitos, é essencial saber que a lei traz várias garantias ao cidadão, que pode solicitar que dados sejam deletados, revogar um consentimento, transferir dados para outro fornecedor de serviços, entre outras ações. E o tratamento dos dados deve ser feito levando em conta alguns quesitos, como finalidade e necessidade, que devem ser previamente acertados e informados ao cidadão.

   Por exemplo, se a finalidade de um tratamento, feito exclusivamente de modo automatizado, for construir um perfil (pessoal, profissional, de consumo, de crédito), o indivíduo deve ser informado que pode intervir, pedindo revisão desse procedimento feito por máquinas.

Dicas de LGPD

   5 dicas básicas de como sua empresa deve se preparar de hoje para se enquadrar na LGPD:

1. Organizar a base de Dados Interna

   O primeiro passo é fazer uma varredura de quais dados de pessoas física a empresa dispõe hoje. A LGPD descreve dados pessoais como qualquer informação relacionada a uma pessoa natural identificada ou identificável, e inclui cookies.

   Vale ressaltar que alguns dados requerem atenção especial, tais quais os classificados como sensíveis, que identificam a origem racial ou étnica, religiosas ou filosóficas, opiniões políticas, filiação sindical, questões genéticas, biométricas, sobre a saúde do indivíduo ou relacionada à vida sexual.

   Posteriormente, é preciso organizar a base, o que realmente é útil à empresa, o que não se refere ao negócio e o que pode ser desconsiderado. A partir daí terá a real visão de quais dados têm em casa.

2. Selecionar o enquadramento legal

   A LGPD estabelece 10 bases jurídicas diferentes para as companhias continuarem tratando dados pessoais. Do ponto de vista de negócios comerciais, os maiores enquadramentos são Interesse Legítimo e Consentimentos Legítimos. A companhia precisa se adequar a um desses fundamentos legais para prosseguir.

3. Definir um modelo de autorização para obtenção dos dados

   Se a opção é para coletar consentimentos, é preciso obter uma maneira para ter essa autorização, já que a Lei compreende que o consentimento é um “pronunciamento livre, informado e inequívoco por meio do qual os titulares de dados concordam com o processamento de seus dados pessoais para um propósito específico”.

4. Investir em cibersegurança

   Independente do tamanho ou segmento da empresa, há sempre algumas proteções necessárias para evitar invasões e vazamento de dados. “Quanto mais sensíveis os dados, mais sofisticada tem que ser a barreira para evitar os ciberataques”, explica Santos.

   Além da medida ampliar a segurança da empresa, a lei também prevê que a adoção de política de boas práticas seja considerada como critério atenuante das infrações.

5. Nomear um responsável

   Algumas companhias, especialmente as maiores ou cujo tratamento de dados seja o core business também poderão ter de nomear o “Encarregado de Proteção de Dados”, DPO (Data Protection Officer), que terá a função de monitorar e conscientizar os funcionários no tema da proteção de dados, assim como será a interface com a Autoridade Nacional de Proteção de Dados.