Seguindo o que aconteceu na União Europeia com a entrada em vigor da GDPR (General Data Protection Regulation – Regulamentação Geral de Proteção de Dados), foi aprovada no Brasil, no começo do segundo semestre de 2018, a LGPD (Lei Geral de Proteção de Dados).

Ela estabelece uma série de requisitos relativos à proteção de dados pessoais, que são aqueles que direta ou indiretamente permitem a identificação de um indivíduo, tais como:

• Nome;
• Endereço;
• RG;
• CPF;
• Números de telefone;
• Números de IP;
• Dados financeiros;
• Perfil de compra.

Intuito da Lei Geral de Proteção de Dados e exigências para a correta adequação

O intuito da LGPD é proteger a privacidade dessas e quaisquer outras informações relacionadas a uma pessoa. Desse modo, ela estabelece uma série de direitos para os titulares dos dados e obrigações para as empresas que possuem esses dados pessoais.

E, na prática, isso abrange praticamente todas as empresas, já que, mesmo no caso daquelas que não lidam com dados de clientes/usuários, há a posse de dados pessoais dos seus funcionários.

Sendo que, para as empresas que possuem listas de plano de saúde, bases de dados de marketing e sites com centenas, milhares ou até milhões de usuários, é ainda mais relevante se adaptar rapidamente às novas exigências referentes ao uso de dados pessoais.

A LGPD tem a função exatamente de regulamentar a utilização dessas informações por parte das empresas. Os dados podem sim ser usados, porém, a Lei prevê 10 formas/requisitos para fazer isso, sendo o consentimento o requisito mais destacado. Outras formas de uso dos dados são por obrigações legais ou regulatórias, por direito contratual, para proteger a vida, a saúde, o crédito e etc.

Sendo que há a necessidade de que tudo isso esteja mapeado dentro das empresas para provar que elas estão cumprindo as regras. E isso, na maioria das empresas, vai envolver a área de informática, embora não seja obrigatório. Porém, para as organizações que não têm os dados pessoais informatizados, será ainda mais difícil cumprir a Lei, já que tudo terá que ser feito manualmente.

No caso daquelas que são informatizadas, basta adaptar o seu sistema e criar uma governança corporativa de dados (como eles foram coletados, quem pode acessá-los e usá-los, qual é o ciclo de vida deles desde a entrada na empresa até a eliminação…). Existem inclusive hipóteses em que, após ser concluída a finalidade para a qual o dado foi obtido, ele deve ser eliminado.

Além disso, é necessário armazenar as ações realizadas com os dados, pois a Autoridade Nacional de Proteção de Dados pode solicitar essa informação posteriormente.

Assim, é óbvio que todo o gerenciamento dessa governança de dados fica muito mais prático se for informatizado. Ou pode haver uma customização dos sistemas que as empresas já utilizam, pois alguns deles já possibilitam realizar a gestão da privacidade, por exemplo.

Solução completa para a devida adaptação da sua empresa à LGPD

Contudo, tudo isso passa por uma solução operacional de procedimentos e sistemas que vai muito além do simples aconselhamento jurídico.

Por isso, o PK Advogados buscou um parceiro técnico para criar uma solução completa para as empresas que estão se adaptando à LGPD. Assim, poderíamos fazer a implementação do diagnóstico que realizamos nas empresas que nos contratam para tratar dessa questão.

O parceiro escolhido foi a Cloud Target, exatamente pelo fato de eles já terem expertise no GDPR e, agora, na LGPD, especialmente no sentido de fazer essa análise tecnológica do ambiente do cliente e adaptar os seus sistemas para que ele fique em compliance com a legislação de proteção de dados.

Ou seja, através dessa parceria, oferecemos uma solução completa para aquelas empresas que querem se adaptar à LGPD de forma rápida e eficiente.

O PK Advogados entra com a parte jurídica, fazendo o diagnóstico da Lei e, eventualmente, identificando o gap do cliente em relação ao que ela estabelece.

E a Cloud Target assume a responsabilidade exatamente de eliminar esse gap e deixar a empresa em compliance à LGPD.

Além disso, também disponibilizando um serviço de acompanhamento, pois a adaptação à LGPD é contínua. Há uma adequação inicial, mas também é necessário continuar analisando e revisando os novos procedimentos referentes à obtenção e o uso de dados pessoais para verificar se a organização permanece fazendo tudo de acordo com as regras legais.

A sua empresa está enfrentando dificuldades para se adaptar à LGPD? Então marque uma reunião com o PK advogados para analisarmos a sua situação e montarmos um plano direcionado totalmente de acordo com as demandas identificadas!

Hélio Ferreira Moraes – sócio do PK Advogados

O governo anterior publicou no dia 28.12.2018 a Medida Provisória 869 (“MP 869”), que criou a Autoridade Nacional de Proteção de Dados (“ANPD”) e alterou também alguns artigos da Lei Geral de Proteção de Dados (“LGPD”) (Lei nº 13.709, de 14 de agosto de 2018). A criação da ANPD passou a vigorar desde a publicação da MP 869, portanto, em 28.12.2018, diferentemente do conteúdo da LGPD, sujeito a “vacatio legis“. A MP 869 tem prazo de vigência de 60 dias, prorrogáveis uma vez por igual período e está condicionada à aprovação do Congresso Nacional para transformação definitiva em lei. Vejamos então os principais aspectos regulamentados pela MP 869:

• O encarregado, pessoa responsável dentro da empresa por conectar os envolvidos em uma operação de tratamentos de dados com os titulares e a ANPD, não precisa ser mais necessariamente ”pessoa natural”, abrindo uma avenida de oportunidades para terceirização e especialização nesse ramo para empresas de consultoria, contabilidade, escritórios de advocacia e compliance.

• Compartilhamento de dados pessoais na saúde passa a ser menos restritivo, pois o polêmico parágrafo 4º do artigo 11 da LGPD, que restringia drasticamente o compartilhamento de dados na saúde apenas para o caso de portabilidade consentida, sempre que o objetivo fosse obter vantagem econômica, ganhou a possibilidade do compartilhamento desses dados também ser realizado quando necessários para prestação de serviços de saúde suplementar. Embora a hipótese ainda não contemple a vastidão desse mercado, que envolve toda a gestão de usos de planos e seguros de saúde pelos funcionários das empresas, já minimiza os impactos restritivos, pois na prática quase todas as empresas precisam compartilhar dados pessoais de saúde ao menos com os planos e seguros de saúde.

• A revisão de decisões automatizadas, prevista como um direito dos titulares de ser realizada por pessoa natural no artigo 20 da LGPD, ganhou um novo contorno totalmente novo. O artigo original, que gerou bastante polêmica dado o potencial conflito entre a inovação tecnológica e a garantia dos direitos fundamentais de personalidade, permitia que os titulares de dados pessoais pudessem solicitar a revisão humana de uma decisão automatizada realizada no tratamento de uma base de dados pessoais destinadas a definição de perfil pessoal, profissional, consumo, crédito ou outros aspectos de sua personalidade. A MP 869 ao excluir desse artigo a expressão “por pessoa natural” continua concedendo o direito de revisão de uma decisão de sistema automatizado, mas já não vincula mais a necessidade desta revisão ser realizada por agente humano, o que do ponto de vista tecnológico atende as aspirações inovativas, embora deixe dúvidas sobre as garantias dos cidadãos.

• A ANPD foi modificada para integrar a administração direta, sob a gestão direta pela Presidência da República, o que traz uma visão da importância estratégica que os dados pessoais representam atualmente, por outro lado, ascende os riscos de conflitos de interesse com os direitos de privacidade dos cidadãos. Além disso, a ANPD foi criada sob a gestão de um Conselho Diretor, composto por 5 membros indicados pelo Presidente da República, com mandatos fixos de 4 anos, e a definição estratégica de suas diretrizes por um Conselho Nacional de Proteção de Dados Pessoais, composto por 23 membros não remunerados, sendo 11 indicados pelo Poder Público e os demais pela iniciativa privada. Também o compartilhamento de dados pessoais entre órgãos do poder público foi ampliado, permitindo que, dentre outras hipóteses, estes dados sejam compartilhados entre os órgãos públicos por meio de contratos e convênios.

• Vacatio Legis, que é o prazo dado em algumas leis entre a sua publicação e a data em que passa a ser efetiva, foi alterada de 18 para 24 meses, assim a data de entrada em vigor da LGPD foi prorrogada para agosto/2020, contanto que a MP 869 seja transformada em lei no prazo de tramitação. Ou seja, na prática o prazo de 18 meses, que já estava em 14 meses no final do ano, pois a maior parte das empresas ainda não havia despertado para entender como cumprir a LGPD, ganhou um folego extra até agosto/2020, mas se a MP 869 não for aprovada, tudo pode voltar ao prazo anterior de fevereiro/2020.

O prazo parece longo, mas muitas são as medidas para as empresas criarem seus sistemas de governança corporativa em proteção de dados e criarem uma cultura empresarial nesse sentido, além disso a aplicação da LGPD vai ser bastante extensa e todas as empresas vão ter que se adaptar, pois dados pessoais de funcionários, por exemplo, são dados que precisam estar protegidos de acordo com a nova legislação.

Apesar da criação da ANPD e as alterações na LGPD serem favoráveis para implantar a cultura de proteção de dados no país, o fato de terem sido realizadas por Medida Provisória traz um novo fator de incerteza, enquanto não for transformada em lei, pois a confirmação dos efeitos da MP depende de Decreto-Legislativo, sendo que o governo entrante já declarou que serão avaliados para fins de convalidação ou revisão todos os atos do governo anterior nos últimos 60 dias de mandato.