Afinal, o que é a Lei Geral de Proteção de Dados – LGPD?

Em um cenário de constante dinamismo tecnológico e um avanço mais que sensível das tecnologias, que se baseiam em uma análise e tratamento massivo de dados e informações pessoais, é certeira a afirmação de que os dados passam a ter, além de destaque tecnológico, valor econômico relevante, mostrando-se como um dos principais insumos da contemporaneidade.
Com o mundo cada vez mais conectado e a consolidação da era da informação, é notório o impacto social-econômico que o manejo de dados pessoais vem gerando nas últimas décadas.
Nesse aspecto, a marcha pela regulação tomou força e ganhou o cenário legislativo em diversos países, tendo como pedra de toque questões sensíveis, como a proteção de direitos fundamentais. Com isso, o foco do debate é a criação de um ambiente em que se provê o uso integro das informações pessoais, evitando deslealdade comercial e abusividades por parte dos agentes econômicos em detrimento da preservação de direitos.
Temos como precursores da regulação as Resoluções nº 22 de 1973 e nº 29 de 1974, ambas do Concelho Europeu. A abrangência efetiva, contudo, se deu mais de duas décadas após, com a Diretiva nº 46 de 1995, sucedida pelo Regulamento Geral de Proteção de Dados (GPPR) em 2018.
Voltando para o ordenamento jurídico nacional, notamos, ao menos desde a redemocratização, que a informação, principalmente de cunho pessoal, é vista como um bem jurídico a ser tutelado, de caráter inclusive constitucional, ao passo que o artigo 5º, inciso X da Carta Maior já previa a proteção da privacidade e intimidade, conferindo a elas status de direito fundamental.
Em matéria infraconstitucional, podemos perceber uma atenção legislativa nesse sentido em diversas lei, como o Código de Defesa do Consumidor, a Lei de acesso à informação e o marco civil da internet.
No entanto, a devida abordagem de regramento que efetivamente regulasse o tratamento dos dados pessoais veio a ser editada recentemente em 2018, a conhecida Lei de Proteção de Dados Pessoais.
A vigência dessa lei merece especial atenção, pois marcos diversos são aplicáveis. Ante algumas prorrogações do prazo de vacatio legis, a vigência da lei em si teve início em 18 de setembro de 2019, contudo, no que diz respeito as sanções administrativas, estas passaram a vigorar apenas em 1º de agosto de 2021.
A lei brasileira de proteção de dados pessoais, Lei nº 13.709 de 15 de agosto de 2018, surgiu com o objetivo de regular o tratamento de tais dados com o propósito maior de proteger a liberdade, privacidade e o livre desenvolvimento da pessoa natural. Em seu campo de atuação, encontram-se presente tanto pessoas físicas como jurídicas, de direito público ou privado.
Em questão de aplicação da lei, marcante seu caráter territorial. Uma vez sendo uma lei federal, tem como norte de atuação o território nacional, ou seja, para que se atraia a abrangência da lei, necessário que o tratamento dos dados ou os indivíduos a quem eles se referem ou que a sua coleta se dê em território nacional.
Antes de adentrarmos mais a fundo sobre o aplicação da lei no tratamento de dados, primeiro é importante delimitar materialmente o seu alcance.
Sendo assim, adianto que a legislação não abarca todo e qualquer dado, sendo excluídos de seu alcance os dados tratados por pessoas físicas sem uso econômico, tendo fins exclusivamente particulares, como o caso de agendas pessoais; com relação aos dados tratados por pessoas jurídicas, se excluem aqueles cujos fins são exclusivamente jornalísticos, artísticos ou acadêmicos, bem como os relacionados à segurança pública, defesa nacional, segurança do estado ou afetos a investigações criminais.
Há uma terceira hipótese de exclusão consistente nos casos em que os dados pessoais possuem origem extranacional e estejam meramente de passagem pelo território brasileiro, desde que garantida a segurança equiparada a prevista por nossa legislação
Sobre os dados abrangidos pela lei, há de se observar a subcategorização dos dados pessoais sensíveis, aqueles cujo conteúdo seja de caráter racial/étnico; convicção religiosa, opinião política; filiação a sindicatos ou a organizações de caráter religioso, político ou filosófico; saúde e vida sexual; genético ou biométricos.
O conteúdo personalíssimo da dinâmica envolvendo o tratamento de dados desagua na presença de cinco sujeitos principais: titular; agentes de tratamento; controlador; operador; e encarregado.
O titular dos dados é o detentor dos direitos fundamentais que a lei visa proteger, portanto, a ele é garantido ser devidamente informados sobre a finalidade do tratamento de seus dados, bem como a forma como se dará e o tempo que durará o tratamento. Deverá ser informado, ainda, sobre a identificação e o contato do controlador e sobre as responsabilidades das entidades detentoras. Merece realce que toda informação disponibilizada deve ser clara, adequada e ostensiva, identificando certo vinculo de presunção de hipossuficiência como fundamento de tal exigência.
Em se tratando do titular dos dados, para além da questão de informação que a ele deve ser amplamente disponibilizada, outra pedra de toque consiste no consentimento, o qual deve ter finalidade específica; ser realizado em meio hábil de se demonstrar a manifestação de vontade; e ser de revogação a qualquer tempo, sempre facilitado e gratuito tal ato. O ônus da prova do consentimento sempre será do controlador, sendo, contudo, dispensado quando o dado em questão se tornar público por seu titular.
O consentimento tem forte impacto quando tratamos de dados de crianças, sendo necessário que ao menos um dos pais consintam com o tratamento, e a lei prevê uma única hipótese de supressão momentânea do consentimento, que seria diante da necessidade de tratamento dos dados para fins de localização dos pais ou responsáveis, vedado o armazenamento ou a utilização reiterada.
O derradeiro reflexo do consentimento é referente ao tratamento de dados sensíveis, os quais, em regra, temos o não tratamento dessa categoria, salvo mediante consentimento específico, o qual é suprido em determinadas hipóteses autorizativas, como obrigação legal, execução de políticas públicas, proteção a vida, dentre outras.
Seguindo para o próximo sujeito, os agentes de tratamento são os que tratam os dados, sendo que o principal é o chamado Controlador, o qual possui competência diretiva (tomada de decisão).
Os Operadores atuam de forma terceirizada e tratam os dados em nome do Controlador.
O Encarregado é uma figura criada pela lei que demonstra a clara afinidade para com a ideia de programas de integridade, que, no caso da lei brasileira, seguindo a vertente internacional, contudo prevendo competências aquém de seu paradigma, criou tal figura, personagem que aloca-se na função de intermediar um canal de comunicação entre o controlador e os titulares e entre o controlador e a Autoridade Nacional de Proteção de Dados.
As funções do encarregado em muito se compatibilizam com as diretrizes de compliance, claro que com foco no tratamento de dados, ao passo que cabe a ele aceitar reclamações e realizar as comunicações e esclarecimentos aos titulares, bem como manter a comunicação com a Autoridade nacional, além de orientar os funcionários e contratados e executar as demais atribuições definidas em normas complementares e pelo regimento interno das empresas.
Nesse sentido de conformidade e proteção à integridade, as medidas de segurança que prevê a lei consistem em análise de risco e tomada de precauções necessárias a garantir a proteção e correta utilização dos dados pessoais. Dada a íntima correlação tecnológica do objeto tutelado, a segurança que se propõe implementar é intimamente relacionada ao nível de padrão técnico e de suporte tecnológico com os patamares mínimos a serem definidos pela Autoridade nacional.
A integridade se tem quando o tratamento de dados atende inicialmente a legalidade, ou seja, possui consentimento expresso ou: decorre de obrigação legal; execução de políticas públicas para o tratamento realizado pela Administração Pública; estudos de órgãos de pesquisa, desde que de forma anônima; proteção da vida ou incolumidade física do titular ou de terceiro; proteção da saúde, sendo permitido o uso apenas por profissionais do setor; execução ou pré-execução de contrato; processo judicial, administrativo ou arbitral; interesse legítimo do controlador desde que não afete direitos fundamentais; e proteção de crédito.
Nesse sentido, a legislação prevê as penalidades pelo descumprimento dos regramentos no tratamento de dados pessoais. Elas são: advertência com indicação de prazo para correção; multa de até 02% do faturamento do último exercício, excluído os tributos, e com limitação de R$ 50.000.000,00 (cinquenta milhões de reais); multa diária também limitada; publicação da infração; bloqueio ou eliminação dos dados objetos da infração. De toda forma, é permitia a cumulação de penalidades.
Por fim, resta a exposição das previsões quanto a responsabilidade. Em linhas gerais, a responsabilidade, além das penalidades administrativas acima citadas, gera o dever de reparação dos danos causados com consequência processual de inversão do ônus da prova em favor do prejudicado, sendo garantida a solidariedade entre o controlador e o operador. Será afastada a responsabilidade nos casos de cumprimento da lei ou culpa exclusiva do titular dos dados ou de terceiro.
Bibliografia:
CARVALHO, André Castro et al. Manual de Compliance, 3. ed. Rio de Janeiro: Forense, 2021.
SILVA, Fabricio Lima; PINHEIRO, Iuri; BONFIM, Vólia. Manual de compliance trabalhista: teoria e prática. 2. ed. Salvador: Editora JusPodivm, 2021
TARTUCE, Flávio; neves, Daniel Amorim Assumpção. Manual de direito do consumidor: direito material e processual, volume único. 10. ed. Rio de Janeiro: Forense; Metodo, 2021.
Compartilhar

