A partir de agosto próximo, a ANPD – Agência Nacional de Proteção de Dados – poderá aplicar multas com base no descumprimento da Lei Geral de Proteção de Dados.
A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) já está em vigor desde agosto de 2020, sendo que tão somente foi adiada, para agosto de 2021, a possibilidade de aplicação de sanções por seu descumprimento.
As multas por descumprimento das disposições da LGPD são altas, podendo chegar a 2% (dois por cento) do faturamento da empresa, limitadas a R$ 50.000.000,00 (cinquenta milhões de reais) por infração.
Vale lembrar que a LGPD tem por premissa a proteção de dados pessoais de pessoa natural, trazendo disposições aplicáveis à coleta, guarda, tratamento e eliminação destes dados. Seus princípios balizadores são:
I – finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
II – adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
III – necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
IV – livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
V – qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
VI – transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
VII – segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIII – prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
IX – não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
X – responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.
Por dado pessoal pessoais entende-se informação relacionada a pessoa natural identificada ou identificável, sendo designados dados pessoais sensíveis aqueles sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
Uma vez que vinculada a proteção à pessoa natural, a LGPD não se aplica a dados de pessoas jurídicas.
No que toca à abrangência de sua aplicação, a LGPD aplica-se a qualquer agente que promova tratamento de dados pessoais. O conceito legal de tratamento de dados, bom que se diga, é bastante amplo, compreendendo toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
Entre outras medidas, a lei exige, via de regra, a necessidade de consentimento do titular para tratamento destes dados. O consentimento deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular. Ainda, caso o consentimento seja fornecido por escrito, esse deverá constar de cláusula destacada das demais cláusulas contratuais.
Outro ponto a ser observado é o direito do titular ao acesso facilitado às informações sobre o tratamento de seus dados pessoais.
Isso significa dizer que não apenas a ANPD – Agência Nacional de Proteção de Dados, mas também o respectivo titular poderá demandar a empresa acerca de informações sobre o tratamento de seus dados pessoais. Inclusive, aquele que realiza o tratamento de dados pode responder pelos danos decorrentes da violação da segurança dos dados.
Entre as medidas de adequação a serem adotadas sugere-se:
a) revisão e adequação de políticas internas e relativas a terceiros, de contratos e demais procedimentos que envolvam o tratamento de dados, seja de clientes ou mesmo de colaboradores e empregados;
b) criação de regras de governança de modo a documentar e manter registros que comprovem a adoção das medidas de adequação aos termos da LGPD;
c) manutenção de registros que comprovem a aderência das políticas definidas pela empresa aos princípios previstos na LGPD como autorizadores do tratamento de dados pessoais.
Por tudo isso, é imperioso que, aqueles que não o fizeram, procedam à adequação aos termos da LGPD em caráter de urgência, sob pena de se sujeitarem à aplicação de sanções bastante gravosas.