NOVA LEI SOBRE TRATAMENTO E PROTEÇÃO DE DADOS PESSOAIS: a corrida das empresas brasileiras em direçã
Na última terça-feira, dia 14/08, foi sancionada pelo Presidente da República a Lei Geral de Proteção de Dados, que representa um novíssimo marco legal sobre o tema.
O Brasil, com o advento da nova lei, avança para patamares de maior segurança e previsibilidade sobre questões de tratamento e proteção de dados pessoais.
Esse novo cenário de segurança jurídica atrairá mais investimentos e as vantagens competitivas serão ampliadas, sendo fundamental que as empresas se antecipem e se adequem às regras, para que possam inovar com segurança e aumentar a confiança de seus consumidores.
Antes mesmo da Lei Geral ser sancionada, o Brasil já contava, de forma setorial, com normas relativas à privacidade. Contudo, a Lei Geral prepondera sobre todas, inclusive sobre o Marco Civil da Internet (Lei nº 12.965/2014).
O prazo para adequação é de 18 meses. Será com certeza um processo árduo e custoso, porém necessário. É fundamental que haja uma mudança de cultura e que as entidades públicas e privadas vejam as adequações como investimento, além de um avanço no sentido de adoção de conformidade legal.
Toda empresa que coleta, armazena, usa e compartilha dados de pessoas físicas, inclusive de seus empregados, deverá estar em conformidade com a nova lei.
PRINCIPAIS PONTOS
Separamos alguns pontos principais sobre a Lei Geral de Proteção de Dados:
· Aplica-se a qualquer atividade que envolva utilização de dados pessoais, incluindo o tratamento pela internet;
· O consentimento do titular é fundamental para legitimar o tratamento do dado pessoal. Esse consentimento deve ser claro, preciso e devidamente documentado;
· Além da boa-fé, as atividades de tratamento de dados pessoais precisarão observar os princípios da finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, responsabilização e prestação de contas;
· Os titulares dos dados terão como direitos: a informação, acesso, retificação, cancelamento, portabilidade, oposição, revogação de consentimento, entre outros;
· Deverá haver comunicação à 'autoridade nacional' e ao titular em caso de incidente de segurança envolvendo os dados;
· A lei também será aplicada a empresas que não possuem estabelecimento no Brasil, quando tratarem dados de cidadãos brasileiros;
· As atividades de tratamento de dados devem ser mapeadas e registradas em relatórios periódicos;
· Toda empresa responsável por tratamento de dados deverá nomear um encarregado pelo tratamento de dados pessoais. Na prática, contratar um profissional ou uma empresa para fazer o controle sobre o tratamento de dados;
· As multas para descumprimento da LGPD podem chegar a R$ 50.000.000,00 (cinquenta milhões de reais).
CONCEITOS RELEVANTES
Finalidade: a utilização dos dados deve se dar somente para os fins específicos para os quais foram coletados, com a devida informação aos titulares dos dados.
Minimização da coleta: apenas os dados estritamente necessários para atingimento da finalidade devem ser coletados.
Retenção mínima: quando atingida a finalidade da coleta de dados, deve se dar a imediata exclusão dos dados.
Atualização e correção: os dados devem ser mantidos sempre atualizados e corretos;
Relatório de Impacto: necessidade de manter relatório de impacto de proteção de dados, com indicação do fundamento legal que autoriza tratamento dos dados;
Soluções de segurança e mitigatórias: necessário tomar medidas de segurança da informação, com mitigação de impacto e plano de ação para eventuais incidentes (gestão de crise);
Data Protection Officer (encarregado de proteção de dados): toda empresa que faça o tratamento de dados precisa ter um encarregado de proteção de dados (DPO – Data Protection Officer), responsável por assegurar a adequação à nova lei.
VETOS
A Lei Geral foi sancionada com poucos vetos. Dentre os vetos está todo o capítulo sobre a criação da Autoridade Nacional de Proteção de Dados (ANPD) e do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade.
A criação desse órgão é fundamental para a aceitação do Brasil na Organização para a Cooperação e Desenvolvimento Econômico (OCDE), onde terá acesso a novas oportunidades econômicas.
O presidente Temer vetou a ANPD alegando vício de iniciativa, entendendo que este órgão não poderia ser criado pelo Poder Legislativo. Tal lacuna, por certo, haverá de ser suprida, pelas vias adequadas.
Apesar dos vetos, a essência da lei ficou mantida, garantindo a proteção de direitos fundamentais e parâmetros para segurança jurídica àqueles que inovam por meio do uso e tratamento de dados, trazendo um grande impacto social e econômico.
A nova lei vai ao encontro dos grandes avanços no cenário internacional, sobre proteção de dados, especialmente pelo recente início de vigência da GDPR, na União Europeia.
GENERAL DATA PROTECTION REGULATION (GDPR): normativa da União Europeia
A Lei Geral brasileira sofreu forte influência da GDPR, normativa da União Europeia.
No dia 9 de agosto foi publicado no jornal Diário Catarinense artigo da nossa advogada especializada em Proteção de Dados, Dra. Maiara Bonetti Fenili, sobre Privacidade e Proteção de Dados, com enfoque na nova normativa da União Europeia.
Entenda um pouco mais sobre a GDPR:
Desde o dia 25 de maio, está em vigor a General Data Protection Regulation (Regulação Geral de Proteção de Dados) da União Europeia, mais conhecida como GDPR. Ela é, com certeza, a mudança mais importante já realizada no âmbito de proteção de dados na União Europeia e gerará impacto na proteção de dados de outros países, inclusive do Brasil.
Essa regulamentação é altamente complexa, com amplas obrigações de accountability, o que eleva significativamente o nível de exigência de compliance nas empresas, requerendo mais transparência e impondo um conjunto maior de deveres para o tratamento de dados pessoais. Mas qual o impacto dessas novas regras de proteção de dados nas empresas brasileiras?
Essa nova regulamentação tem aplicação extraterritorial, não sendo aplicada só às empresas localizadas na União Europeia, mas sim em todas àquelas que têm alguma interface, mesmo que mínima, com cidadãos localizados nessa região.
Assim, as empresas brasileiras que tem filiais na União Europeia ou que ofertam serviços no mercado europeu, precisam implementar as novas regras, pois aqueles que anteciparem as alterações, sem sombra de dúvidas, terão uma enorme vantagem competitiva, bem como mitigarão os riscos da sua atividade empresarial.
E qual é a maior preocupação trazida pela GDPR? A questão mais alarmante dessa regulamentação é com relação à aplicação de multa, que pode chegar até 4% do faturamento anual da empresa ou 20 milhões de euros, o que for maior.
O Brasil não tem a preocupação com proteção de dados que a União Europeia sempre teve. Porém, o impacto dessa regulamentação nas empresas brasileiras será imenso, sendo imprescindível que elas estejam em conformidade com as regras de privacidade e proteção de dados trazidas pela GDPR.
