LGPD: na iminência das multas, grande parte das empresas ainda não está adequada

Após quatro anos de promulgação da Lei Geral de Proteção de Dados, dois anos de vigência e um ano de suscetibilidade a multas, o Brasil avança, mas ainda tem um longo caminho a percorrer para enraizar uma cultura de privacidade e proteção de dados.

Uma das principais preocupações hoje é a baixa adesão das empresas à legislação. Uma pesquisa divulgada recentemente pelo Comitê Gestor da Internet no Brasil (CGI.br) revela que apenas 32% desenvolveram uma política de privacidade que informa como os dados pessoais são tratados; 29% criaram política de uso de dados pessoais de funcionários e apenas 28% fizeram alterações em contratos vigentes para adequação à LGPD.

Na área pública o cenário não é muito diferente: entre os órgãos federais e estaduais, 41% não têm pessoa ou área responsável pela implementação da Lei.

Lembrando a máxima de que uma corrente é tão forte quanto o seu elo mais fraco, é fundamental que a lei seja disseminada e implementada por toda a rede, considerando cidadãos, empresas e instituições públicas. No universo das grandes corporações, muito desse processo já está avançado, afinal, diversas organizações tiveram que se adequar para atendimento ao mercado internacional, mas agora as atenções devem ser direcionadas para os pequenos negócios, que carecem dinheiro, conhecimento e apoio para essa adaptação.

As empresas de contabilidade são afetadas diretamente pela LGPD, tendo em vista que a informação é o seu ativo mais valioso e, pela natureza do negócio, lidam diretamente e diariamente com dados sensíveis de pessoas físicas e jurídicas, o que sempre exigiu cuidado, mas que agora deve ser redobrado em razão da nova legislação. Inclusive, como representante da categoria no Estado de São Paulo, o Sescon-SP tem dado todo o suporte para que as organizações possam se adequar e ainda auxiliar na conscientização de seus clientes.

Até o momento, a Autoridade Nacional de Proteção de Dados – ANPD, órgão governamental responsável por fiscalizar a LGPD, tem adotado uma postura educativa e de conscientização sobre a lei, o que é bastante benéfico, já que a maioria das empresas brasileiras são micros e pequenas e tem grandes desafios e dificuldades de acesso à informação. Contudo, é preciso estar alerta, pois a expectativa é que a aplicação de multas – que podem ir de 2% do faturamento a R$ 50 milhões - tenha início no mês de outubro.

Nesse ambiente, um aspecto muito positivo é a consideração do tratamento diferenciado dispensando aos pequenos negócios, conforme previsão na Constituição Federal. A Resolução CD/ANPD 2, publicada no início deste ano, estabeleceu condições especiais e simplificadas para facilitar a aplicação da LGPD pelas empresas de pequeno porte e startups, o que deve trazer segurança jurídica e redução de custos para essa grande parcela de organizações.

Nessa jornada de implementação e solidificação, contudo, um importante ponto que vem sendo debatido pela esfera pública e a sociedade é a dosimetria das multas, que deve considerar danos e gravidades das faltas, os aspectos doloso e culposo e as intenções e ações administrativas e técnicas realizadas pelas empresas.

O empresário deve ainda considerar o aspecto competitivo do seu negócio, pois, levando em conta a necessidade de criação de um amplo ecossistema de proteção de dados no país, as grandes empresas devem exigir o mesmo alinhamento de seus clientes e fornecedores, o que impactará todo o mercado, inclusive os pequenos negócios.

Todo esse movimento vem contrariando os mais céticos e aqueles que apostaram que a LGPD seria mais uma lei a não “pegar” no Brasil. A proteção de dados no país, inclusive, foi alçada a garantia fundamental pela Emenda Constitucional 115, aprovada em fevereiro deste ano. No Poder Judiciário, o Conselho Nacional de Justiça (CNJ) editou em 2020 a Recomendação nº 73 e, em seguida, publicou a Resolução nº 361/2021, estabelecendo medidas que devem ser adotadas pelos tribunais para adequação às exigências contidas na legislação.

A inserção do Brasil nesse cenário de melhores práticas em âmbito internacional pode, inclusive, contribuir para o seu ingresso na Organização para Cooperação e Desenvolvimento Econômico (OCDE), sabedores que LGPD possui parâmetros advindos da General Data Protection Regulation (GDPR). A legislação nacional também possui guarida por estar em conformidade com as normas técnicas ISO 27.001 e ISO 27.701, que tratam, respectivamente, dos processos de segurança da informação e controle de privacidade. 

A adequação à LGPD é desafiadora, especialmente para as MPEs, mas certamente trará grandes benefícios para cidadãos, empresas e o país. 

Informações de interesse público, divulgados por terceiros em sites de conteúdo aberto.


Fonte:
LGPD: na iminência das multas, grande parte das empresas ainda não está adequada (contabeis.com.br)
Publicado por Carlos Alberto Baptistão Contador, Administrador de empresas, empresário contábil desde 1987  presidente do Sescon-SP e da Aescon-SP
28/09/2022

Lei de Proteção de Dados: entenda em 13 pontos!

A partir de agosto de 2020, muita coisa vai mudar no Brasil para as organizações públicas e privadas que coletam, tratam, guardam, processam, comercializam, dentre outras operações, os dados pessoais de milhões de brasileiros.

É que entrará em pleno vigor a Lei nº 13.709/18 (Lei de Proteção de Dados – LGPD) que regulamenta a política de proteção de dados pessoais e privacidade, modifica alguns dos artigos do Marco Civil da Internet[1]e impacta outras normas, transformando drasticamente a maneira como empresas e órgãos públicos tratam a privacidade e a segurança das informações de usuários e clientes.

Na Europa, a General Data Protection Regulation (GDPR)[2] – inspiração para a lei brasileira – vigora desde 25 de maio de 2018, fazendo com que entidades e empresas na União Europeia tivessem de se adaptar antes de sua vigência.

Mas pode relaxar: muitas das mudanças serão positivas tanto para as pessoas quanto para os negócios!

Esse artigo responderá algumas questões fundamentais, como: o que é a lei; como, porque e em quais aspectos impactará a sua vida; quais medidas devem ser tomadas; a quem recorrer em caso de violação; dentre outros tópicos. Vem com a gente!

1. O que são a LGPD e a GDPR?

Ambas são conjuntos de regras jurídicas para coleta, armazenagem e processamento de dados pessoais determinados ou determináveis, efetuados por pessoas físicas, empresas e organizações do Estado.

A brasileira (LGPD), ainda não está vigente (tem previsão de entrada em vigor, com todos os efeitos, em 15/08/20). Contudo, alguns de seus aspectos jurídicos começam a ser debatidos à luz do Marco Civil da Internet e, sobretudo, com o Código de Defesa do Consumidor (CDC), a exemplo do recente vazamento de dados da empresa Netshoes em que o MPDFT acordou um Termo de Ajustamento de Conduta (TAC) com a empresa.

A Lei europeia (GDPR) está vigente, estabelecendo as regras atinentes ao tratamento de dados pessoais relativos a pessoas situadas na União Europeia. É bom lembrar que as empresas e órgãos estatais brasileiros que mantenham negócios com os países europeus terão a obrigatoriedade de garantir que suas políticas de tratamento de dados estão em conformidade com a GDPR, sob o risco de penalidades, bem como perda de clientela, valor de marca e credibilidade no mercado internacional.

2. Como a Lei Geral de Proteção de Dados vai impactar a sua vida?

A LGPD terá um impacto dos mais significativos que uma legislação nacional já alçou.

Milhões de empresas brasileiras trabalham de forma direta ou indireta com dados pessoais de clientes. Em algumas dezenas de milhares, esses dados são vitais para o funcionamento do próprio negócio, como bancos, seguradoras, e-commerces. Não é exagero dizer que a segurança das informações dos consumidores é de essencial para todas as transações realizadas por essas companhias.

A legislação é categórica: todos os dados tratados por pessoas jurídicas de direito público e privado, cujos titulares estejam no território nacional; ou a sua coleta se deu no país; ou ainda que tenha por finalidade a oferta de produtos ou serviços no Brasil, devem estar preparadas.

Assim, não se trata de uma opção, mas de uma obrigação das empresas em se adequarem às normas brasileiras de proteção de dados pessoais.

Do mesmo modo, caso se trate de uma pessoa natural terá sua privacidade e liberdade protegidas contra eventual violação de segurança que importe em risco de exposição ou vazamento de dados, por exemplo; ou o direito de ter seus dados apagados de determinado banco de informações, dentre outras possibilidades.

Os comportamentos de empresas e clientes irão mudar drasticamente: as primeiras terão de ter políticas e planos de proteção de dados comprometidos e vocacionados à proteção da privacidade e da segurança de clientes e usuários; já as pessoas observarão muito mais as condutas das empresas e estarão mais exigentes com a segurança que as instituições possam oferecer aos seus dados.

3. O que os governos, entidades estatais e empresas devem fazer para garantir a privacidade?

Essa questão vai dominar o ranking de debates jurídicos, econômicos e sociais dos próximos anos, pois o tráfego crescente e os riscos de ataques e vazamentos de dados afetam praticamente toda a iniciativa pública e privada num país.

Milhões de informações pessoais circulam por redes virtuais diariamente. É cada vez mais frequente a exposição de dados em larga escala, mostrando as fragilidades de sistemas e protocolos, inclusive por parte de quem deveria fiscalizar a segurança das operações: o Estado.

Os negócios serão impactados profundamente, cabendo as empresas e instituições se protegerem de eventuais penalidades e, tão importante quanto, resguardarem-se da opinião pública negativa às que não se adaptarem, demonstrando ausência de confiabilidade ao mercado já que não conseguem garantir a proteção de seus bancos de dados.

4. Por que a necessidade de uma lei para proteger os dados pessoais?

O direito a ter os dados protegidos tem fundamento genérico na Constituição Federal de 1988[3]. Recentemente, o Senado Federal aprovou uma Proposta de Emenda à Constituição (PEC nº 17/2019) para incluir a proteção de dados disponibilizados em meios digitais no rol das garantias individuais da Carta Magna. O Marco Civil da Internet[4] reconhece tal direito, entretanto, ainda de maneira vaga. Coube, então, a LGPD regulamentar a proteção e a privacidade dos dados pessoais de modo a tornar possível seu exercício.

Como já se disse, milhares de empresas brasileiras coletam, armazenam e processam dados pessoais de milhões de usuários e clientes. Você já se perguntou o que essas empresas fazem com seus dados? Estarão armazenados em locais seguros? Como a privacidade de seus dados pessoais é protegida? Há planos e protocolos para a minimização de danos em caso de exposição indevida, ataques ou violações de segurança?

Essas e outras questões estão no escopo de atuação normativa da Lei de proteção de dados. A partir dela, toda e qualquer operação que envolva tratamento de dados pessoais no Brasil – seja no mundo virtual, seja na realidade, com grandes conglomerados ou pequenas empresas – terão de se adaptar à LGDP.

5. E o que são as violações de dados?

Existem diversos tipos de ataques cibernéticos[5] e os bancos de dados conectados à internet estão em certo grau de vulnerabilidade. Um dos casos mais emblemáticos de negligência com informações foi o vazamento de dados de milhões de usuários do Facebook para a empresa britânica de marketing político, a Cambridge Analytica.

No Brasil, tem-se a confirmação de dois casos recentes: o da Netshoes (já visto acima) e do Banco Inter; e outro em apuração, o da empresa de proteção de crédito Boa Vista.

As violações de dados pessoais, de acordo com a legislação europeia, se caracterizam por:

“uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento[6]”.

Mesmo que o incidente tenha resultando apenas na visibilidade dos dados a terceiros, já ocorreu a violação na segurança a que se refere a lei.

Assim, a empresa ou organização deve garantir a minimização dos danos causados e responder satisfatoriamente as expectativas dos interessados e da sociedade.

6. Quais são seus direitos protegidos pela lei?

A LGPD prevê a proteção integral de sua liberdade, privacidade, segurança, consentimento expresso, acesso as suas informações para correções e pronto atendimento caso você queira excluir seus dados, dentre outros.

As informações pessoais protegidas pela lei são aquelas determinadas ou determináveis. Ou seja, quaisquer dados que permitam a identificação de uma pessoa natural ou os tornem possíveis, tais como:

• Nome;

• Sobrenome;

• E-mail;

• Numeração de documentos e de cartões de crédito;

• Dados bancários;

• Informações médicas;

• Localização;

• Endereços de IP;

• E os chamados “testemunhos de conexão”, mais conhecidos como cookies.

Incluem-se, também, os “dados pessoais sensíveis” (aqueles potencialmente passíveis de discriminação se expostos ou vazados), tais como origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, referentes à saúde ou a vida sexual, genético ou biomédico.

São seus direitos: acesso a todos os dados pessoais, possibilitando (via simples requerimento) a retificação, a atualização, a eliminação, o bloqueio, a portabilidade (o encaminhamento de suas informações pessoais a outras empresas), a listagem das entidades públicas e privadas com as quais compartilhou seus dados, dentre outros. Sem prejuízo de eventual reparação de danos na Justiça.

A lei não protegerá somente os dados pessoais digitais, mas igualmente aqueles oriundos de coletas feitas em papel, como fichas de cadastro e cupons promocionais. Dados coletados por intermédio de imagens e sons também estarão englobados na proteção.

Mas a LGDP não é o único instrumento que nos garante direitos às informações a nosso respeito. O Artigo 5º da Constituição também traz outros, como o Direito à Intimidade.

7. O que significa “consentimento” para a lei e o que tem a ver com seus direitos?

O “consentimento” para a LGPD é condição fundamental para a viabilidade das operações de tratamento dos dados de um indivíduo. Representa uma “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada[7]”.

Por isso, os usuários devem ter a sua disposição de forma expressa, clara, com linguagem acessível, todas as informações acerca do tratamento que seus dados terão, tais como: a finalidade para a qual estão sendo coletados; o meio de captura; o período de tempo em que ficarão armazenados; a identificação do controlador com o respectivo contato; se serão compartilhados com terceiros; quais as responsabilidades dos agentes que realizarão o tratamento; dentre outras.

É direito do titular dos dados a retirada ou revogação do consentimento, bem como se houver mudança na finalidade dos dados coletados originalmente, efetuar novo consentimento.

Igualmente, o titular tem o direito de corrigir ou alterar seus dados. Tais opções à disposição do usuário ou cliente devem ser facilitadas e disponibilizadas gratuitamente.

O famoso “clique aqui para finalizar o seu cadastro” e, em seguida, “clicando aqui você concorda com os termos de uso e política de privacidade” – já não serão mais aceitáveis. O usuário ou cliente precisa dar seu consentimento, por exemplo, marcando uma caixa de diálogo (check box).

8. Como saber se seus dados pessoais estão seguros?

É dever das empresas e organizações proporcionar tecnologias seguras de proteção de dados pessoais, utilizar processo de anonimização[8] sem reversão[9] e outras técnicas, como: a criptografia e a pseudonimização[10]. Em caso de vazamentos, comunicar aos titulares dos dados, bem como manter um encarregado de proteção de dados, elaborar planos de riscos e tentar antecipar o impacto do incide, dentre outras providências.

Uma das ações mais imediatas em caso de exposição e vazamento é comunicar a Autoridade Nacional de Proteção de Dados (ANPD) em prazo razoável (que será definido pela própria autoridade).

Diversas empresas já estão se adaptando a legislação. Um exemplo são as mensagens de utilização de cookies de navegação e marketing, bem como as disposições acerca da política de privacidade na página inicial, alertando aos usuários e clientes que há transparência nas informações coletadas e na proteção dos dados pessoais tratados.

Importante mencionar que já existem empresas que trabalham com certificação digital para sites empresariais e institucionais, como forma de melhorar a confiabilidade durante a navegação, ao atestar que o site está em conformidade com LGPD.

9. O que faço para denunciar práticas irregulares ou ilegais?

Qualquer pessoa natural que seja titular de dados pessoais poderá peticionar contra a empresa ou a instituição governamental que controle seus dados à ANPD acerca de violação as normas de proteção de dados.

É recomendável, primeiramente, tentar contato com a empresa ou organização mediante requerimento expresso para a obtenção de informações ou outra providência em relação a seus dados. Tal requerimento não terá nenhum ônus ao titular. Igualmente, é possível peticionar aos órgãos de defesa do consumidor em caso de silêncio ou omissão.

As empresas podem ser responsabilizadas administrativamente com penalidades que vão desde advertência à multa simples de 2% do faturamento anual até o limite de 50 milhões de Reais por infração. Além, é evidente, da exposição negativa na mídia, efeito colateral da publicização da má-gestão de dados.

Por fim, em casos de irregularidades, inconformidades legais ou atos ilícitos, o titular dos dados também poderá exercer seus direitos em juízo, caso haja a necessidade da reparação pelos danos materiais ou morais sofridos.

10. O que é a Autoridade Nacional de Proteção de Dados? Para que serve?

A Lei nª 13.853/19 criou a Autoridade Nacional de Proteção de Dados (ANPD), disposta anteriormente na MP nº 869/18, como parte da Política Nacional de Proteção de Dados Pessoais e Privacidade.

Trata-se de um órgão da administração pública federal indireta, em regime de autarquia especial, vinculado à Presidência da República com os objetivos de: zelar pela proteção de dados pessoais; fiscalizar e aplicar sanções administrativas; promover e divulgar informações sobre normas e políticas públicas acerca da proteção de dados pessoais e medidas de segurança; e promoção de ações de cooperação com autoridades de proteção de dados pessoais de outros países; dentre outras competências.

A mesma norma instituiu também o Conselho Nacional de Proteção de Dados Pessoais e Privacidade, com representantes do Executivo, do Legislativo e do Judiciário; do Ministério Público; da sociedade civil; de instituições científicas; e do setor empresarial.

Esse Conselho tem entre suas competências: a proposição de diretrizes estratégicas; a elaboração de relatórios anuais de avaliação da execução das ações da Política Nacional de Proteção de Dados; a realização de estudos e debates, etc[11].

A ANPD está em fase de conformação política para a escolha de membros, encaminhamentos estruturais, regulamentação e detalhamentos técnicos para seu funcionamento. Aguarda, também, a plena vigência da LGPD que ocorrerá em agosto de 2020.

11. Quem são os agentes responsáveis pelo tratamento de dados, as suas funções e responsabilidades?

A legislação brasileira elenca o rol de sujeitos, encargos e responsabilidades dos chamados “agentes de tratamento”. São eles:

1. O controlador – pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais[12]. Uma empresa ou um órgão do Estado que detenha um acervo de dados pessoais é exemplo de controlador.

2. O operador – pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador[13]. Um exemplo de operador seria um subcontratante do controlador, contratado para fazer o tratamento dos dados daquele.

Tais agentes são os responsáveis pelas decisões referentes ao tratamento dos dados pessoais (o controlador) e a própria realização das operações de tratamento em nome de outrem (o operador).

Para ambos a lei atribui importantes encargos, tais como: a guarda e a manutenção de registros das operações de tratamento que realizarem; a elaboração de relatórios de impacto; a comunicação à ANPD e ao titular dos dados em caso de incidente de segurança que possa acarretar risco ou dano; a implementação de boas práticas e governança; dentre outras.

Quanto às responsabilizações, os agentes de tratamento respondem solidariamente quando causarem dano patrimonial, moral, individual ou coletivo, diante da violação à legislação de proteção de dados pessoais, inclusive, obrigados à reparação. São responsabilizados também quando deixarem de adotar as medidas de segurança previstas na legislação, em casos de violação da segurança por terceiros, dando causa aos danos.

Os agentes só não respondem quando provarem que não realizaram o tratamento a eles atribuído; que embora tenham realizado, não houve violação à legislação; ou que o dano decorre de culpa exclusiva do titular dos dados ou de terceiros[14].

Há ainda a figura do Encarregado de Proteção de Dados[15] (Data Privacy Officer para a GDPR). É o intermediário entre os usuários (os titulares dos dados pessoais), as empresas e instituições governamentais (os controladores) e a Autoridade Nacional de Proteção de Dados, atuando como um canal de comunicação entre esses. Esse cargo é fundamental para que a empresa tome decisões acertadas, implementando boas práticas e adequado compliance institucional.

Diante de tantas obrigações[16], é fundamental que as empresas e órgãos mantenham mecanismos e ferramentas técnicas, informacionais e jurídicas que salvaguarde a organização em caso de incidentes, irregularidades ou ilicitudes.

12. O que os especialistas recomendam para a conformidade com a LGPD?

Ainda há alguns meses para que empresas e organizações do Estado estejam em conformidade com a Lei de proteção de dados, implementem boas e longevas práticas de governança e privacidade, protocolos de comunicação dentro e fora da instituição, dentre outras adaptações.

Os especialistas recomendam aproveitar o tempo escasso redesenhando a gestão organizacional, com ênfase em alguns pontos: a nomeação de um encarregado de proteção de dados; realização de auditoria completa dos dados; a elaboração de mapas de temporalidade ou ciclo de vida dos dados; a revisão das políticas de segurança; a reelaboração de contratos com fornecedores e parceiros; a elaboração de relatório de impacto de privacidade.

A parte boa é que há escritórios jurídicos especializados nesta conformidade. Na contratação dos especialistas, pode-se negociar a implementação em todos os aspectos exigidos pela legislação e mais o acompanhamento por certo período de tempo ou então a contratação por atos os fases, o que pode ser uma ideia factível quando não se dispõe de caixa suficiente no momento.

13. Relações entre a Lei de Proteção de Dados, o Marco civil da Internet e o Cadastro Positivo.

A LGPD complementa o escopo legal do Marco Civil da Internet no que tange aos direitos e as garantias, como os da liberdade de expressão, da proteção à privacidade online e a da segurança das informações pessoais.

A incidência de aplicação da Lei de Proteção de Dados nas relações entre clientes e empresas tende a melhorar os serviços, tornando-os eticamente sustentáveis e facilitando os canais de comunicação entre todos os sujeitos envolvidos.

Sobre o Cadastro Positivo (Lei nº 12.414/11), após as alterações introduzidas pela Lei Complementar nº 166/2019 será necessária a compatibilização com a LGPD, pois nas operações de consultas aos bancos de dados de pessoas naturais e jurídicas existe corriqueiramente o compartilhamento de diversas informações pessoais reunidas de fontes distintas (dados bancários e creditícios, da Receita Federal, de concessionárias, etc) de forma compulsória (todos os consumidores estão automaticamente no cadastro), a menos que o consumidor expresse o contrário.

Ainda que se imaginem os aspectos positivos do cadastro, como a disponibilização de crédito mais barato e acessível, as empresas terão milhões de dados pessoais de cidadãos, com todos os riscos de exposições, vazamentos e potenciais cometimentos de ilícitos.

É plausível antever a possibilidade de demandas individuais ou coletivas junto à ANPD e/ou ao Poder Judiciário, com base no Código de Defesa do Consumidor, por dificuldades na exclusão, ou ainda, irregularidades ou violações as normas da LGPD.

Conclusão

Adequar-se à conformidade da LGPD e ao regramento pátrio, mais do que uma necessidade, será uma obrigação para todas as empresas de pequeno, médio e grande porte. Um salto positivo será redimensionar suas operações de dados, agregando ao negócio e à marca valores de sustentabilidade informacional, ética e transparência.

Para usuários e clientes significará o exercício pleno da autodeterminação informativa acerca de como são tratados os seus dados pessoais. Finalmente, o Brasil ganhará confiabilidade internacional, mostrando as demais nações que trata os dados pessoais de seus nacionais com seriedade e respeito.

Informações de interesse público, divulgados por terceiros em sites de conteúdo aberto.


Fonte:
www.politize.com.br/lei-de-protecao-de-dados/?fbclid=IwAR2UrKZ2DLvUxS9Y7mJnjxnNfkrGJ-QkvuGn3cNhVBzpAE31hscKW10ZWb0
Por  Andrea Stefani Peixoto
14/01/2020