A Lei Geral de Proteção de Dados (LGPD) foi criada pela Lei nº 13.709 de 2018 e dedica-se ao tratamento de dados pessoais, inclusive nos meios digitais, por pessoa física ou jurídica, pública ou privada

Assim, ela tem o “objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade do indivíduo”.

Apesar de ter sido elaborada em 2018, ela só entrou em vigor em 2020 no Brasil. A lei foi criada com base na General Data Protection Regulation (GDPR) da União Europeia, que trouxe impactos para empresas e consumidores.

Segundo o Ministério Público Federal (MPF), a lei também cria um cenário de segurança jurídica, com a padronização de práticas e regulamentos para promover a proteção aos dados pessoais de qualquer cidadão que esteja no Brasil.

As normas são de interesse nacional e devem ser seguidas pela União, estados e municípios.

Entre os princípios da proteção de dados estão:

Respeito à privacidade;

Liberdade de expressão, de informação, de comunicação e de opinião;

Inviolabilidade da intimidade, da honra e da imagem;

Livre iniciativa e concorrência e defesa do consumidor.

A LGPD estabelece que não importa se a sede de uma organização e/ou o centro de dados estejam localizados no Brasil ou no exterior, se há o processamento de conteúdo de pessoas que estejam em território nacional, a lei deve ser seguida à risca.

Na prática

É considerado dado pessoal a informação relacionada à pessoa identificada sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou à organização de caráter religioso, filosófico ou político, bem como dados referentes à saúde, vida sexual ou genética.

O tratamento de dados pessoais deve ser realizado por dois agentes: o controlador e o operador.

Enquanto o controlador é responsável pelas decisões do tratamento de dados, o operador é quem realiza em nome do controlador.

Há ainda o encarregado, que é a pessoa indicada pelo controlador para atuar como elo entre ele, o operador, o titular dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

Isso diz respeito a qualquer atividade que utilize, na operação, a:

Coleta;

Produção;

Recepção;

Classificação;

Acesso;

Reprodução;

Transmissão;

Distribuição;

Processamento;

Arquivamento;

Armazenamento;

Eliminação;

Avaliação;

Controle;

Modificação, transferência, difusão ou extração da informação.

“Antes de iniciar qualquer tipo de tratamento de dados pessoais, o agente deve se certificar que a finalidade da operação está registrada de forma clara e explícita e os propósitos especificados e informados ao titular dos dados. No caso do setor público, a principal finalidade está relacionada à execução de políticas públicas”, detalha a LGPD.

O compartilhamento de dados na administração pública não precisa de consentimento. Porém, deve haver transparência sobre qual dado será compartilhado e com quem.

A exceção são as informações sigilosas, que continuarão sendo protegidas.

A legislação definiu uma estrutura legal de direitos dos titulares de dados e prevê um conjunto de regras que aprofundam obrigações de transparência passiva e ativa.

Há também um guia de boas práticas para implementação da LGPD na administração pública com orientações sobre segurança da informação.

A LGPD autoriza o compartilhamento de dados pessoais com órgãos internacionais, bem como com outros países, desde que respeitados os protocolos estabelecidos e as exigências legais.

Consentimento

De acordo com a LGPD, é essencial para o tratamento de dados que haja o consentimento do titular.

A lei garante ao cidadão que ele possa solicitar a exclusão dos dados pessoais, revogar o consentimento ou pedir transferência para outro fornecedor de serviços. Mas, para isso, é preciso seguir alguns quesitos, como finalidade e necessidade.

No entanto, é possível tratar dados sem consentimento, desde que seja indispensável para cumprir uma obrigação legal, executar uma política pública ou contratos, realizar estudos, preservar a vida e integridade física de uma pessoa, tutelar ações de profissionais da saúde, prevenir fraudes contra o titular e proteger o crédito.

Fiscalização

É responsabilidade da ANPD a aplicação e fiscalização de penalidades em caso de desrespeito às determinações da LGPD.

Cabe à autarquia orientar e regular preventivamente a aplicação da lei.

Assim, é papel do responsável por gerir os dados pessoais, redigir normas de governança, adotar medidas preventivas de segurança, replicar boas práticas e certificações existentes no mercado, elaborar planos de contingência, fazer auditorias e resolver incidentes com agilidade, com aviso imediato sobre violações à ANPD e demais envolvidos.

A autarquia fixou níveis de penalidade, de acordo com a gravidade da falha, e enviar alertas antes de aplicar sanções às entidades.

“As falhas de segurança podem gerar multas de até 2% do faturamento anual da organização no Brasil, limitado a R$ 50 milhões por infração”, estipula a ANPD.