Simplificando a Lei Geral de Proteção de Dados
Com a maior participação da tecnologia na vida das pessoas, a privacidade dos dados digitais se tornou uma urgência. Grande parte das nossas informações mais íntimas estão armazenadas nos bancos de dados das empresas. Este artigo não visa esgotar todo o conteúdo e tem o intuito de simplificar e pincelar alguns pontos considerados relevantes da Lei Geral de Proteção de Dados (LGPD).
Trata-se de uma medida criada pelo governo brasileiro para regularizar o uso, proteção e transferência de dados pessoais, principalmente nos meios digitais. Foi fortemente inspirada pela General Data Protection Regulation (GDPR), uma norma vigente na União Europeia que unificou as leis que regulamentavam o tratamento de dados pessoais em território europeu. Além disso, a LGPD foi impulsionada pelo escândalo da Cambridge Analytica, empresa que, através do Facebook, usou dados sensíveis de milhares de usuários para bolar estratégias eleitorais.
Com intuito de estabelecer conceitos para sua aplicação, a LGPD aborda a definição de "dado pessoal". Para a lei, dado pessoal é qualquer informação sobre um indivíduo que possibilite sua identificação ou qualquer informação que, com a união de outra(s) informaçõe(s), possibilite tal identificação.
Princípios legais:
Em linhas gerais, a segurança e o sigilo de tais dados devem estar presentes desde a concepção do serviço ou produto, ou desde a primeira interação com o usuário. Seguindo esse viés, a LGPD elenca princípios que servem como pilares interpretativos para que a coleta de dados seja feita da forma correta, são eles:
- Finalidade: o tratamento de dados deve ter um propósito legítimo e específico. Ou seja, finalidades genéricas não devem ser usadas para legitimar o tratamento dos dados. Além disso, caso esta finalidade mude com o tempo, será necessário coletar novo consentimento do titular;
- Adequação: é necessário que o tratamento de dados esteja de acordo com as finalidades informadas ao titular;
- Necessidade: somente tratar o mínimo de dados necessários para a consecução da finalidade divulgada. Ou seja, não é possível coletar dados com a mera expectativa de utilizá-los no futuro. Exemplo: Empresa só precisa do e-mail, mas recolhe o nome completo e cpf do usuário. Tal atitude esbarra nos princípios da adequação e da necessidade;
- Livre acesso: tal princípio concede ao titular a possibilidade de consultar seus dados na íntegra e ter informações sobre a forma e duração do tratamento. Ou seja, o titular tem o direito de saber sobre a existência do tratamento de seus dados pessoais e como estes foram coletados, tratados e com quem poderão ser compartilhados e até quando tais dados serão tratados;
- Qualidade dos dados: garantia aos titulares da exatidão, clareza e atualização dos dados para atingir a finalidade do tratamento. Ou seja, tal princípio diz respeito ao direito que o titular tem de corrigir qualquer tipo de dado que esteja errado;
- Transparência: as informações sobre o tratamento de dados devem ser claras, precisas e acessíveis ao titular. Exemplo: Autoridade Francesa de Proteção de Dados Pessoais considerou que o Google não seria transparente, pois a informação relevante somente estava acessível ao titular do dado após vários passos.
- Segurança e prevenção: adoção de medidas técnicas e administrativas aptas a previnir possíveis danos. Exemplo: Não passar os dados do cartão de crédito do usuário pelo header da requisição.
- Não discriminação: não realizar tratamento de dados para fins discriminatórios. Exemplo: Tal possibilidade pode ocorrer em casos de decisões realizadas por algoritmos.
- Responsabilização e prestação de contas: demonstração de medidas capazes de comprovar o cumprimento das normas de proteção de dados. Exemplo: Em caso de coleta de dados mediante o consentimento, faz-se necessário comprovar tal consentimento, tenha sido dado online ou off-line.
Requisitos e justificativas para o tratamento de dados:
Tais requisitos e justificativas delimitam a linha entre o tratamento legal e ilegal de dados.
- O consentimento do titular deverá ser inequívoco e explícito. Ou seja, a cláusula para consentimento não deve vir entrelinhas de termos e condições intermináveis.
- A coleta e tratamento de dados pessoais de crianças e adolescentes deverá ser realizada com o consentimento específico e em destaque dado pelo responsável legal.
- O titular deverá ser informado sobre mudança de finalidade do tratamento. Autorizações genéricas e tratamento de dados divergentes das finalidades especificadas no ato da coleta serão considerados nulos.
- Necessidade de permissão do titular para que seus dados financeiros sejam comunicados entre bancos. Antes da lei, instituições financeiras trabalhavam com um sistema opt-out para tratar dados de clientes. Em tal sistema, o cliente de um banco pode ter seus dados financeiros comunicados entre bancos sem sua prévia autorização. Com a LGPD, o sistema muda para opt-in de modo que o cliente tem que dar permissão para que seus dados sejam comunicados entre bancos.
- O tratamento de dados pode ser feito se houver interesse legítimo de um terceiro. Tal justificativa causa ambiguidade, pois, não se sabe ao certo o que seria considerado como interesse legítimo. Para se aprofundar nesse ponto, se faz necessário um posicionamento da Agência Nacional de Proteção de Dados (ANPD), órgão que realiza a atividade regulatória e fiscalizatória da LGPD.
Direitos dos Titulares:
Os direitos dos titulares receberam capítulo próprio na Lei e são voltados para a garantia de controle dos dados. Dentre eles, destacam-se:
- O Direito de acesso, que garante a possibilidade de obtenção de todos os dados pessoais que estão sendo tratados por determinada empresa e, como consequência disso, os direitos de retificação e atualização, haja vista a obrigação das empresas de mantê-los sempre corretos e atualizados;
- Direito ao esquecimento, que dá a oportunidade ao titular de controlar a maneira como é exposto na internet. Ou seja, o titular tem o direito de exigir a remoção de qualquer conteúdo que o envolva;
- O Direito de portabilidade dos dados, que permite ao titular solicitar que seus dados sejam encaminhados a outras empresas, o que implicará na necessidade de ajustes nos diversos agentes econômicos de modo a padronizar estas trocas para que seja possível atender satisfatoriamente a regra estabelecida;
Aplicação extraterritorial da LGPD:
Toda empresa que tratar dados de cidadãos brasileiros ou de estrangeiros que residam no Brasil, mesmo não tendo sede ou filial no Brasil, deve seguir tal norma.
Importância da ANPD:
As tarefas de fiscalização e regulamentação ficarão a cargo de tal entidade, de modo que esta será o elo entre a sociedade e o governo. Consequentemente, as dúvidas, sugestões e denúncias ligadas à LGPD serão apuradas pela ANPD em nível administrativo (não-judicial).
Considerações finais:
O presente Artigo tem o intuito de trazer conhecimentos básicos e gerais da LGPD. Caso queiram continuar lendo a respeito, seguem sugestões de leituras complementares.
Sugestões de leitura:
http://www.planalto.gov.br/ccivil_03/_Ato2015-2018/2018/Lei/L13709.htm
