Consultoria LGPD

O que é a LGPD e a quem ela se aplica

A Lei Geral de Proteção de Dados Pessoais, Lei 13.709/2018, estabelece regras sobre como pessoas físicas e jurídicas podem coletar, armazenar, usar e compartilhar dados pessoais. Ela se aplica a qualquer operação de tratamento realizada no território nacional, aos dados coletados no Brasil e ao tratamento que tenha por objetivo ofertar bens ou serviços a pessoas aqui localizadas.

Não existe isenção por porte. Uma clínica com cinco funcionários, uma loja com cadastro de clientes e uma indústria com milhares de colaboradores estão todas alcançadas. A Autoridade Nacional de Proteção de Dados estabeleceu um regime simplificado para agentes de tratamento de pequeno porte, que reduz formalidades — mas não afasta as obrigações centrais.

Estão fora do alcance da lei o tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos, e o tratamento para fins jornalísticos, artísticos, acadêmicos e de segurança pública, cada um com regime próprio.

O que a lei considera dado pessoal

Dado pessoal é qualquer informação relacionada a pessoa natural identificada ou identificável. Isso vai muito além de nome e CPF: inclui e-mail, telefone, endereço IP, geolocalização, histórico de compras, imagem em câmera de segurança e identificadores de dispositivo.

A lei cria uma categoria mais protegida, a dos dados pessoais sensíveis: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, e dados genéticos ou biométricos. O tratamento desses dados exige base legal específica e cuidado adicional.

Dados de crianças e adolescentes recebem tratamento próprio, com exigência de consentimento específico e destacado de ao menos um dos pais ou responsável quando o tratamento se baseia em consentimento.

As bases legais para tratar dados

Todo tratamento de dado pessoal precisa se apoiar em uma das hipóteses legais previstas na lei. Esse é o ponto que mais gera confusão nas empresas, porque muita gente supõe que é sempre necessário obter consentimento.

Não é. O consentimento é apenas uma das bases, e frequentemente não é a mais adequada — inclusive porque pode ser revogado a qualquer momento pelo titular. Entre as demais hipóteses estão o cumprimento de obrigação legal ou regulatória, a execução de contrato, o exercício regular de direitos em processo, a proteção da vida, a tutela da saúde e o legítimo interesse do controlador.

Na prática, a folha de pagamento se apoia em obrigação legal; a entrega de um pedido se apoia em execução de contrato; o envio de comunicação de marketing normalmente exige consentimento ou legítimo interesse devidamente avaliado. Definir a base correta para cada finalidade é uma das entregas centrais de um projeto de adequação.

O mapeamento de dados: por onde começa a adequação

Nenhuma política escrita resolve nada se a empresa não souber, primeiro, quais dados ela efetivamente possui. O mapeamento levanta: que dados são coletados, em quais pontos, com que finalidade, onde ficam armazenados, por quanto tempo, quem tem acesso e com quem são compartilhados.

É comum que esse levantamento revele surpresas — planilhas antigas com dados de candidatos, sistemas descontinuados que ainda guardam cadastros, compartilhamento com fornecedores sem previsão contratual, coleta de informação que ninguém usa.

O resultado consolidado é o registro das operações de tratamento, documento que a lei prevê e que a autoridade pode requisitar. Ele é também a base para todas as decisões seguintes: o que eliminar, o que reduzir, o que precisa de nova base legal.

Documentos que a empresa precisa ter

A adequação se materializa em um conjunto de documentos. A política de privacidade externa informa aos titulares quais dados são tratados, com que finalidade e como exercer seus direitos. O aviso de privacidade em cada ponto de coleta cumpre a exigência de transparência no momento em que o dado é fornecido.

Internamente, entram a política de segurança da informação, as regras de retenção e descarte, o procedimento de resposta a incidentes e o termo de ciência dos colaboradores. Contratos com fornecedores que tratam dados em nome da empresa precisam de cláusulas específicas de proteção de dados, definindo papéis e responsabilidades.

Sites e aplicativos exigem atenção ao aviso de cookies, que deve permitir escolha real ao usuário e não apenas informar que o site utiliza cookies.

O encarregado pelo tratamento de dados

A lei determina que o controlador indique um encarregado — figura também conhecida pela sigla DPO — responsável por atuar como canal de comunicação entre a empresa, os titulares dos dados e a Autoridade Nacional de Proteção de Dados.

A identidade e a forma de contato do encarregado devem ser divulgadas publicamente, normalmente na política de privacidade do site. Para agentes de pequeno porte, a autoridade dispensou a obrigatoriedade da indicação formal, mas manteve a exigência de um canal de comunicação com os titulares.

O encarregado pode ser um funcionário, um comitê interno ou um prestador externo. O que a lei exige é que exista alguém efetivamente acessível e capaz de responder às solicitações dentro dos prazos.

Incidentes de segurança e a comunicação à ANPD

Vazamentos e acessos não autorizados acontecem mesmo em empresas organizadas. A diferença está na resposta. A lei determina que o controlador comunique à autoridade e aos titulares afetados os incidentes de segurança que possam acarretar risco ou dano relevante.

A comunicação deve descrever a natureza dos dados atingidos, os titulares envolvidos, as medidas técnicas de proteção adotadas, os riscos envolvidos e as providências tomadas para reverter ou mitigar os efeitos.

Por isso um plano de resposta a incidentes precisa existir antes do incidente. No momento em que o problema ocorre, o tempo disponível para improvisar é curto, e a forma como a empresa reage pesa na avaliação da autoridade.

As sanções previstas na lei

As sanções administrativas aplicáveis pela Autoridade Nacional de Proteção de Dados vão da advertência, com prazo para adoção de medidas corretivas, até a proibição total do exercício de atividades relacionadas a tratamento de dados.

Entre elas estão a multa simples de até 2% do faturamento da pessoa jurídica no Brasil no seu último exercício, limitada a R$ 50 milhões por infração, a multa diária, a publicização da infração, o bloqueio e a eliminação dos dados envolvidos e a suspensão do funcionamento do banco de dados.

Além da esfera administrativa, existe a exposição a ações de reparação por danos, individuais ou coletivas, e o impacto contratual: é cada vez mais frequente que grandes clientes exijam comprovação de adequação como condição para contratar.

Como funciona um projeto de adequação

Um projeto de adequação normalmente se organiza em etapas. Começa pelo diagnóstico e pelo mapeamento das operações de tratamento. Segue com a análise de riscos e a definição das bases legais para cada finalidade identificada.

Na sequência vêm a elaboração e a implantação dos documentos, o ajuste dos contratos com fornecedores e a definição do encarregado e dos fluxos de atendimento ao titular. Por fim, treinamento das equipes e definição da rotina de revisão.

Adequação não é projeto que termina. Novos produtos, novos sistemas e novos fornecedores criam novos tratamentos, e o conjunto precisa ser revisitado periodicamente para continuar refletindo a realidade da empresa.

Perguntas Frequentes