Novas regras de proteção de dados e o futuro digital

Dizem que não há privacidade onde existe internet. O que fazer?

A privacidade é cada vez mais uma questão crítica para empresas e instituições. Sabemos que até 2020, o backup e o arquivamento de dados pessoais representarão a maior área de risco de privacidade para 70% das organizações, contra 10% em 2018. Hoje, as organizações mantêm backups de grandes volumes de dados pessoais que são sensíveis e vulneráveis, sem nenhuma intenção clara de usá-los. Além disso, os regulamentos de privacidade estão gerando penalidades e multas rígidas por violações, ampliando consideravelmente o risco de manter dados pessoais que não serão utilizados.

Perspectivas futuras – Privacidade: uma questão crítica

Nos próximos dois anos, as organizações que não revisarem as políticas de retenção de dados para reduzir o volume de informações armazenadas e, por extensão, os dados que são copiados, enfrentarão um enorme risco de não conformidade, bem como os impactos associados a uma eventual violação.

O Regulamento Geral sobre Proteção de Dados (RGPD)  – regulamento do direito europeu sobre privacidade e proteção de dados pessoais, aplicável a todos os indivíduos na União Européia e Espaço Econômico Europeu que foi criado em 2018), por exemplo, implementou multas regulatórias de até 4% do faturamento global anual ou 20 milhões de euros, o que for maior, por descumprimento.

Este cenário deixa claro que a privacidade é cada vez mais uma questão crítica para as organizações e vem sendo reforçada pela adoção de novos padrões de trabalho na área digital.

Como fica a proteção de dados no Brasil?

Aprovado pelo Senado, o Projeto de Lei n.º 53/2018 originou a primeira lei geral brasileira de proteção de dados pessoais. A regulamentação abordou o tratamento de dados pessoais (todas as informações relacionadas à pessoa natural identificada ou identificável), inclusive nos meios digitais, por indivíduos e entidades públicas e privadas.

O Projeto de Lei n.º 53/2018 procurou deixar O Brasil em patamar de igualdade com as atualizações legislativas que regulam o Direito Digital no mundo atual. Segundo esse Projeto de Lei, o tratamento desses dados deve ser feito em determinadas circunstâncias e com prévio consentimento do titular dos dados, por legítimo interesse ou por cumprimento de obrigação legal. Importante destacar que este consentimento deve ser expresso e com a aprovação destacada, não podendo ser genérico, dentro de termos de usos que muitas vezes não são lidos pelos usuários.

Dentre as sanções por infrações trazidas pela regulamentação está a aplicação de uma multa simples ou diária, de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, com limite de cinquenta milhões de reais.

Além disso, no Brasil, a Lei Geral de Proteção de Dados (LGPD), sancionada em agosto de 2018 e que começará a valer em 2020, observou a tendência mundial de fortalecer a proteção dos dados pessoais, restringindo o uso injustificado, e estabelecendo critérios para garantir uma série de direitos aos titulares dos dados, impondo importantes obrigações aos chamados “agentes de tratamento”.

O objetivo é tornar o uso de dados mais transparente e seguro, de modo que a exploração de informações pessoais, hoje base indissociável do desenvolvimento econômico e tecnológico, não traga prejuízos aos usuários.

Dentre os direitos previstos, podemos citar: o direito de ser informado sobre o tratamento de seus dados, o dever de anonimização, o bloqueio ou a eliminação dos dados mediante solicitação do titular ou quando alcançada a finalidade do tratamento, o dever de manter os dados sempre corretos, completos e atualizados e a possibilidade de portabilidade dos dados pessoais a outro fornecedor, de forma descomplicada para o titular.

Qual o impacto da LGPD?

Por mais simples que pareçam, o impacto dessas medidas é enorme, uma vez que todo e qualquer tratamento de dados, sejam físicos ou digitais, por parte de qualquer entidade estabelecida no Brasil, ou que tenha coletado dados pessoais no Brasil, ou de indivíduos localizados no Brasil – ainda que não residentes – está sujeito a essas regras.

Consequentemente, os requisitos de privacidade afetam drasticamente a estratégia e os métodos operacionais das empresas. Além disso, as violações a esses critérios legais acarretam implicações financeiras e de reputação que podem inviabilizar o futuro de uma organização.

É essencial, portanto, o cuidado em operar internamente na própria legislação com conceitos de desenvolvimento ético e econômico que visam evitar o processamento excessivo de dados, e auxiliar o controle sobre seu armazenamento e acessibilidade. Por exemplo, os conceitos de “Privacy by Design” e “Privacy by Default”, também oriundos da legislação Européia: o primeiro consiste em aplicar as regras e princípios da proteção de dados desde a criação de uma nova tecnologia, de modo que estejam intrinsecamente integrados à sua funcionalidade. Já o segundo exige que os controladores de dados implementem medidas apropriadas, tanto em nível técnico quanto organizacional, para garantir que as tecnologias funcionem automaticamente, de forma a processar apenas o mínimo de dados pessoais necessários para cumprir seu propósito específico.

Vejamos a estrutura dos termos que compõem a lei geral de proteção de dados pessoais:

• Dados pessoais: é qualquer informação que possa identificar uma pessoa, ou seja, qualquer dado com os quais seja possível encontrá-la e entrar em contato com ela. Nome; RG; CPF; número de telefone, e-mail ou endereço são exemplos de dados pessoais;
• Dados sensíveis: esses dados são aqueles que dizem respeito aos valores e convicções de cada um, como orientação sexual; etnia; opinião política; convicção religiosa, crenças filosóficas e informações de saúde. Todas essas informações podem originar discriminação e preconceito, e por isso são consideradas sensíveis;
• Tratamento de dados: os dados podem ser usados de várias maneiras. É possível apenas armazená-los na coleta, mas podem ser compartilhados, classificados, acessados, reproduzidos, avaliados, processados e transformados em novos dados a partir dos antigos. Qualquer operação que envolva esses dados, portanto, é considerada um tratamento;
• Titular dos dados: o titular dos dados nada mais é do que a pessoa física dona dos dados coletados;
• Consentimento aos dados: o consentimento é a autorização que o usuário concede a terceiros em utilizarem os dados fornecidos. Essa informação precisa estar bem clara ao usuário, assim como a finalidade para qual seus dados estão sendo solicitados;
• Anonimização e pseudoanonimização: quando um dado tem sua associação dificultada por algum processo técnico ele é chamado de dado pseudoanonimizado, pois ainda entra nas implicações da LGPD. Um dado anonimizado, no entanto, não pode ser identificado ou rastreado de forma alguma, e por isso não é considerado um dado pessoal, não se encaixando nas regras da LGPD,
• Controlador e processador: o controlador é a pessoa ou empresa que se responsabiliza e decide o que será feito com as informações coletadas de um consumidor, enquanto o processador é quem faz o tratamento dos dados.

O que acontece com quem descumprir a LGPD?

Quem infringir as regras previstas na LGPD estará sujeito à sanções variadas. Inicialmente é dada uma advertência simples, que determina uma data para correção da irregularidade.

Multas de até 2% do faturamento líquido da empresa também podem ser aplicadas, não chegando a mais de R$ 50 milhões; havendo a possibilidade também de aplicação de multa diária.

Outra forma de punição é a divulgação da irregularidade no tratamento de dados, tornando pública a infração caso seja confirmada após investigação. Além disso, os dados pessoais podem ser bloqueados e até retirados do sistema da organização.

Quando passa a valer?

A nova Lei entrará em vigor em 2020, e certamente poderá ser aperfeiçoada. Contudo, com a LGPD o Brasil dá um importante passo em relação ao resguardo da privacidade, o que garantirá, no futuro, o incremento de sua participação em negócios globais em uma economia em que a informação já é considerada uma nova e valiosa commodity.