A Lei Geral de Proteção de Dados ou simplesmente LGPD entrou em vigor em setembro do ano passado e representa um grande avanço, pois resguarda os indivíduos de terem seus dados utilizados de forma indevida pelas empresas. No entanto, ela parece ainda ser um conceito distante do dia a dia de muitas pessoas – tanto físicas quanto jurídicas.
A LGPD foi inspirada na regulamentação europeia (GDPR) e tem como principal objetivo permitir que os titulares passem a ter maior controle sobre os seus dados pessoais. Ou seja, que informações como nome, CPF, endereço de e-mail, religião e dados de saúde entre outros, sejam utilizados, compartilhadas indevidamente e sem estar apoiado em uma base legal como o consentimento do usuário.
As mudanças provocadas pela vigência da legislação já começam a ser sentidas pela maioria das pessoas. De repente, uma enxurrada de sites e aplicativos começou a perguntar aos usuários se eles aceitam a utilização de cookies e se concordam com seus termos e condições. Porém, é preciso entender que a LGPD é muito mais profunda do que isso.
A lei tem como principais pilares a transparência, a responsabilidade e a confiança, priorizando sempre a privacidade dos indivíduos. A lei determina que todo dado relacionado a uma pessoa que possa a identificar ou torná-la identificável deve obedecer a 10 princípios de privacidade, devendo a organização demonstrar que a informação coletada é necessária, mínima, correta, de qualidade e atende a uma finalidade de negócio válida, dentre outros aspectos. Da mesma forma, a lei determina 10 referências legais que devem ser indicadas para legalizar o tratamento de dados pessoais, seja de clientes, funcionários, fornecedores, prestadores de serviços ou terceiros.
Simplificando, as empresas devem ter clareza da finalidade e da referência legal que serão definidas em cada operação de tratamento de dados pessoais. Também deve haver transparência no uso que será feito dessas informações. Além de mapear todas as operações de tratamento de dados pessoais, as empresas também passam a ser responsáveis pela sua segurança.
As organizações devem estabelecer níveis de proteção compatíveis para as informações pessoais, implementando medidas de prevenção, contenção e resposta a casos de invasão cibernética ou vazamento de informações. Há também cuidados específicos no compartilhamento e transmissão de dados pessoais a terceiros a outros no Brasil ou fora do país. Ou seja, não basta informar aos usuários que determinado site utiliza cookies. É preciso mapear pontos de tratamento de dados pessoais, possíveis riscos de cibersegurança, atualizar políticas e procedimentos, entre tantas outras medidas.
É preciso levar o tratamento de dados pessoais a sério, da coleta à eliminação, seja pela relevância que o tema privacidade tem ganhado, seja pelas possíveis consequências de estar em desacordo com a nova legislação. As penalidades, que passam a serem aplicadas a partir de agosto deste ano, podem chegar a 2% do faturamento, limitadas a R$ 50 milhões de reais por infração. A Agência Nacional de Proteção de Dados está constituída e em operação. De fato, num futuro não muito distante demonstrar que uma marca é comprometida com a proteção de dados individuais será mais do que estar em conformidade com a legislação, mas sim uma base de confiança entre as partes e um diferencial no mercado.
A LGPD é um marco para o Brasil no quesito da preservação do direito à privacidade dos seus cidadãos. Cabe agora às empresas se adequarem às novas regras não apenas para evitar as sanções decorrentes do descumprimento, mas também para se afirmarem alinhadas com o novo momento, de respeito ao cidadão.
Edgar D’Andrea é líder de Cibersegurança & Privacidade na PwC Brasil
