A LGPD, ou Lei Geral de Proteção de Dados do Brasil (LGPD), Lei 13.709/2018, foi instituída em 2018 pelo então presidente Michel Temer. Ela inclui o Brasil na lista de 120 países que já possuem leis específicas para o tratamento e proteção de dados de seus cidadãos. Em um mundo cada vez mais digitalizado essa lei torna-se ainda mais relevante, já que garante a privacidade de dados e reforça políticas de proteção.

O regulamento brasileiro atua em linhas similares ao modelo europeu. Ele também estabelece novas penalidades aplicadas àqueles que não cumprirem as normas. Na norma estão inclusas as seguintes atividades relacionadas a dados:

• Coleta;
• Classificação;
• Utilização;
• Acesso;
• Reprodução;
• Processamento;
• Armazenamento;
• Eliminação;
• Controle da informação;
• Outros.

Ela deve ser cumprida por qualquer pessoa, seja ela natural ou jurídica, de natureza pública ou privada, que realize algumas das atividades mencionadas acima.

Divisão de responsáveis por dados

A LGPD divide os responsáveis por dados em algumas categorias. Elas são:

• Controlador: aquele que é responsável por tomar decisões sobre o tratamento de dados;
• Operador: o responsável pelo tratamento decidido;
• Encarregado: é o canal de comunicação que liga controlador, autoridades nacionais de proteção e titulares.

Também existem os titulares, que são aqueles que fornecem seus dados pessoais em troca de produtos ou serviços de organizações. É seu direito que deve ser protegido através das normas estabelecidas pela LGPD.

Tipos de dados tratados pela Lei

A LGPD também classifica a natureza dos dados tratados. Eles podem ser dados pessoais, sensíveis ou anonimizados. Entenda melhor o que significa cada um deles:

• Dado pessoal: informação referente a uma pessoa física, pode ser nome, telefone, códigos de identificação, endereço, entre outros;
• Dado sensível: dados que abordam parte da identidade de uma pessoa física, como origem racial e étnica, estado de saúde, saúde sexual, dados genéticos ou biométricos, opinião política ou religiosa;
• Dado anonimizado: dados que não podem ser relacionados a uma pessoa física.

Um detalhe: certos dados passam a ser anonimizados após seu tratamento. Isso ocorre quando um dado pessoal ou sensível perde as características que poderiam relacioná-lo a uma pessoa específica após serem tratados. Esse processo é chamado de anonimização.

Coleta e tratamento de dados pessoais

A LGPD determina que a coleta e tratamento de dados precisa do consentimento de seu titular. Isso é válido tanto para dados pessoas quanto sensíveis. No caso de menores de idade é preciso conseguir o consentimento com um dos representantes legais, geralmente os pais, para serem coletados e tratados.

Qualquer decisão de coleta e tratamento de dados também precisa ser registrada pelo controlador e pelo operador responsável.

Consentimento do titular

Para garantir que nenhuma das partes age de má fé, o consentimento do titular também deve seguir alguns padrões na nova Lei da Proteção de Dados (LGPD). Ele deve ser feito por escrito ou outro meio que mostre de maneira inequívoca a vontade do titular de ceder seus dados.

Além disso, a autorização deve referir-se de maneira clara à finalidade e utilização de tais dados. Caso ela seja feita de forma genérica poderá ser anulada. Se a finalidade mudar durante o tratamento de dados o controlador deve informar o titular e obter novo consentimento.

Caso o titular mude de opinião e não deseje mais que seus dados sejam usados no processo o consentimento pode ser revogado a qualquer momento.

O termo de consentimento utilizado para a coleta de dados deve incluir:

• Nome do controlador;
• Nome de terceiros que podem tratar os dados;
• Finalidade de utilização do material coletado;
• Condições de revogação do consentimento.

O termo de consentimento deve substituir os antigos termos de privacidade. A ideia é tirar o poder quase absoluto do controlador sobre os dados e evitar abusos que poderiam prejudicar os titulares.

Quais são os direitos dos titulares?

Os direitos dos titulares devem ser sempre protegidos sob a LGPD. Eles incluem:

• Acesso aos próprios dados;
• Correção de dados incompletos ou incorretos;
• Anonimização ou descarte de dados;
• Eliminação de dados pessoais;
• Portabilidade de seus dados para outros fornecedores ou controladores;
• Possibilidade de não fornecer consentimento;
• Oposição a qualquer tipo de tratamento de dados.

Caso o titular sinta que seus direitos foram lesados existe a possibilidade de reclamar à autoridade nacional de proteção de dados.

Passo a passo para implementar a LGPD

Empresas que trabalham com coleta e tratamento de dados possuem até agosto de 2020 para adequar-se à LGPD. Talvez pareça inicialmente, mas é um processo importantíssimo que trará mais legitimidade e segurança à organização. Resumimos em cinco passos o ciclo de implementação das novas normas, como você pode ver abaixo.

1. Formação de comitê

O primeiro passo para implementar a LGPD em uma organização é formar o comitê com pessoas chaves nas operações relacionadas a dados. Elas têm o dever de identificar onde realizar a mudança e repassar a informação para o restante dos setores envolvidos.

2. Mapeamento de dados

O processo de mapeamento deve identificar exatamente quais são os dados que a empresa coleta, como o faz e onde os armazena. Após conhecê-los é importante lembrar que essas informações não devem ser guardadas sem necessidade ou após seu período de utilização. Para garantir que todas as partes da LGPD sejam executadas, crie formas fáceis de eliminar ou alterar dados.

3. Ajustar políticas

As políticas da empresa em relação ao uso e tratamento de dados precisarão de atualizações. Crie normas que facilitem o acesso a dados, caso seja necessário, permitindo também sua correção e eliminação a pedido do titular. As políticas de privacidade também devem ser atualizadas, seja em softwares ou sites.

4. Treinamento de pessoal

A organização precisará de um encarregado de proteção de dados. Ele deve ter conhecimentos em Segurança da Informação e também entender muito bem a LGPD.

O restante da equipe também precisa de treinamento para entender exatamente o que são dados pessoais, os direitos do titular e em que constituem violações de tais direitos. Todos devem ser orientados a manter um registro de eventos relacionados a dados.

5. Ajustar conformidade e prazos

Após finalizar o processo de adaptação a empresa deve passar por auditorias rotineiras para garantir a proteção de dados. Vale a pena lembrar que tudo isso deve ser realizado até agosto de 2020.

A nova lei de proteção de dados traz novidades importantes para todos os setores. Observá-la significa que sua empresa realmente se importa com os titulares e também mostra responsabilidade administrativa.

O descumprimento das normas da LGPD pode causar problemas graves para a empresa. Incluindo advertência, multa de até 2% do faturamento (com limite de R$50.000.000), bloqueio dos dados, multa diária e até publicização da infração. Caso ainda não tenha começado a adequar seu negócio à nova lei está na hora!