Nos últimos meses, em algum momento, você provavelmente ouviu falar de uma sigla que está cada vez mais presente no vocabulário do mercado digital. Ao seu redor, especialistas em leis e profissionais de TI vêm promovendo lives e debates. Trata-se da LGPD – Lei Geral de Proteção de Dados (Lei nº 13.709), que entrou em vigor em agosto de 2020 e tem como objetivo a proteção dos dados pessoais de pessoas naturais (pessoas físicas) identificadas ou identificáveis (Art. 5º).

A meu ver, o principal objetivo da lei é barrar os exageros. Quem nunca recebeu aquela ligação com uma “oferta imperdível” e o atendente querendo confirmar os seus dados? E aqueles e-mails promocionais de lojas em que você nunca comprou? Complicado, né?

O cartão sem anuidade

Para ilustrar melhor, vou compartilhar um caso pessoal. Uma vez recebi uma ligação de uma operadora de crédito oferecendo um cartão sem anuidade e querendo confirmar meu endereço para o envio. Ou seja, queriam me enviar algo que geraria cobrança! Afinal, sempre há alguma taxa oculta. Quando questionei a atendente sobre como conseguiram meus dados, ela informou que foi por meio de uma promoção em conjunto com uma empresa de passagens. Consentimento, nesse caso, passou bem longe.

O que muda com a LGPD é que dados de pessoas físicas, antes utilizados livremente (como no exemplo citado), agora estão protegidos por lei. Qualquer uso ou manipulação desses dados deve contar com o consentimento do titular. E, quando falamos de consentimento, a lei é clara no Art. 8º: “O consentimento previsto no inciso I do art. 7º desta Lei deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular.” Ou seja, justificativas como “ao comprar em nossa loja você já consentiu” (como já ouvi por aí) não devem mais ser aceitas.

Vale destacar que o grande objetivo da LGPD é evitar problemas como ligações, envio de SMS, e-mails e outros tipos de mensagens não autorizadas — muitas vezes em excesso. Além disso, busca-se coibir o compartilhamento de dados com operadores não autorizados, nos quais você nem imagina o que será feito com suas informações.

E quem não cumprir, paga caro!

A LGPD regula a posse e o uso dos dados, e prevê punições severas. A multa pode chegar a 2% do faturamento líquido da empresa, limitada a R$ 50 milhões por infração.

Para facilitar o rastreamento dos responsáveis, a lei define três papéis: controlador, operador e encarregado.

O controlador e o operador são considerados agentes de tratamento. A lei define tratamento como “toda operação realizada com dados pessoais, como as que se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração” (Art. 5º).

Assim, controlador e operador podem ser, por exemplo, cliente e fornecedor. Imagine uma empresa de disparo de e-mail marketing (operador) prestando serviço para uma loja de sapatos (controlador), que fornece a base de e-mails.

Temos ainda um terceiro ator importante: o encarregado. No início, o mercado o chamou de “oficial de dados”. Segundo a lei, trata-se da “pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)” (Art. 5º). Esse profissional é responsável por receber reclamações e pedidos dos titulares, comunicar-se com a ANPD e orientar os colaboradores da empresa sobre as práticas exigidas pela lei.

Na minha opinião, o papel do encarregado é um dos mais estratégicos. Com conhecimento e responsabilidade, ele pode evitar que a organização sofra penalidades por descumprimento da legislação.

Em todas as discussões que acompanhei sobre a LGPD, fica claro que esse profissional deve dominar a legislação e garantir a implementação de um manual com políticas e boas práticas. Além disso, precisa ser um multiplicador da cultura da proteção de dados dentro da organização.

Cuidados necessários

• Nomeie um encarregado de proteção de dados, conforme exige a lei;
• Armazene apenas os dados realmente necessários. Dados irrelevantes só dificultam a gestão e aumentam os riscos;
• Evite, sobretudo, armazenar dados sensíveis;
• Valide sua base de e-mails e busque o consentimento claro dos titulares;
• Corrija dados incompletos, incorretos ou desatualizados;
• Elabore uma política de segurança da informação e proteção de dados e dissemine esse conteúdo internamente;
• Mantenha uma página no site da empresa com essas políticas e um canal de contato direto com o encarregado;
• Realize auditorias frequentes nos setores da empresa para garantir conformidade com a LGPD;
• Atualize suas políticas periodicamente, acompanhando a evolução dos processos da empresa.

E a sua empresa, como está se adaptando à Lei Geral de Proteção de Dados? Compartilhe sua experiência.