LGPD e proteção de dados: Descubra os segredos essenciais

LGPD e proteção de dados

A LGPD (Lei Geral de Proteção de Dados) é a legislação brasileira que regulamenta o tratamento de dados pessoais, tanto online quanto offline. Ela estabelece regras claras sobre como as empresas e o poder público devem coletar, usar, armazenar e compartilhar informações de pessoas físicas.

O objetivo principal da LGPD é proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural, garantindo maior controle sobre seus próprios dados pessoais. Criada em 2018 e em vigor desde 2020, a lei é fundamental para a segurança da informação e a conformidade legal no cenário digital e empresarial.

Para profissionais e empresas da área de Gestão e Negócios, compreender a LGPD é essencial, pois ela impacta diretamente as operações, o relacionamento com clientes e a gestão de dados, exigindo adaptações em processos e sistemas para evitar multas e sanções.

O que é a LGPD?

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) é um marco legal que estabelece um conjunto de princípios e regras sobre o tratamento de dados pessoais no Brasil. Ela se aplica a qualquer operação de tratamento de dados realizada por pessoa natural ou jurídica, de direito público ou privado, indiferentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que:

• A operação de tratamento seja realizada no território nacional;
• O objetivo do tratamento seja o fornecimento de bens ou serviços ou o processamento de dados de indivíduos localizados no Brasil; ou
• Os dados pessoais objeto do tratamento tenham sido coletados no Brasil.

Objetivos da LGPD

Os principais objetivos da LGPD são:

• Proteger os direitos fundamentais: Busca salvaguardar a liberdade e a privacidade dos indivíduos.
• Regulamentar o tratamento de dados: Define como pessoas e empresas devem coletar, armazenar, usar e compartilhar dados pessoais.
• Promover a transparência: Exige que as organizações informem de forma clara como os dados são tratados.
• Incentivar a segurança da informação: Estimula a adoção de medidas de segurança para proteger os dados contra acessos não autorizados e outros incidentes.
• Fomentar o desenvolvimento econômico e tecnológico: Cria um ambiente de segurança jurídica para as inovações tecnológicas e o uso de dados.

Princípios da LGPD

A LGPD não apenas define o que pode ou não ser feito, mas também estabelece uma série de princípios que devem guiar toda e qualquer atividade de tratamento de dados pessoais. Esses princípios são a base para a conformidade e asseguram que o tratamento de dados seja realizado de forma ética e responsável, protegendo o titular.

Os principais princípios são:

• Finalidade: O tratamento deve ser realizado para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades.
• Adequação: Compatibilidade do tratamento com as finalidades informadas ao titular.
• Necessidade: Limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação aos objetivos.
• Livre acesso: Garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e duração do tratamento, bem como sobre a integralidade de seus dados pessoais.
• Qualidade dos dados: Garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento.
• Transparência: Garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento.
• Segurança: Utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.
• Prevenção: Adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais.
• Não discriminação: Impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos.
• Responsabilização e prestação de contas: Demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar o cumprimento das normas de proteção de dados pessoais.

Definições Importantes na LGPD

Para entender a LGPD e a proteção de dados, é crucial conhecer alguns termos e conceitos-chave da lei:

Dados Pessoais

Segundo a LGPD, dado pessoal é toda informação relacionada a pessoa natural identificada ou identificável. Isso inclui, mas não se limita a:

• Nome completo
• RG, CPF, CNH
• E-mail pessoal
• Endereço residencial
• Telefone
• Dados de localização
• Número de IP
• Cookies

Dados Pessoais Sensíveis

Dados pessoais sensíveis são aqueles que, por sua natureza, exigem maior proteção e podem gerar discriminação se tratados indevidamente. São eles:

• Origem racial ou étnica
• Convicção religiosa
• Opinião política
• Filiação a sindicato ou a organização de caráter religioso, filosófico ou político
• Dados referentes à saúde ou à vida sexual
• Dados genéticos ou biométricos, quando vinculados a uma pessoa natural

Titular de Dados

O titular de dados é a pessoa natural a quem se referem os dados pessoais que são objeto de tratamento. É o indivíduo cujas informações estão sendo coletadas, processadas ou armazenadas, e a quem a LGPD confere direitos específicos.

Tratamento de Dados

Tratamento de dados é qualquer operação realizada com dados pessoais, como as que se referem a:

• Coleta
• Produção
• Recepção
• Classificação
• Utilização
• Acesso
• Reprodução
• Transmissão
• Distribuição
• Processamento
• Arquivamento
• Armazenamento
• Eliminação
• Avaliação ou controle da informação
• Modificação
• Comunicação
• Transferência
• Difusão
• Extração

Agentes de Tratamento

Os agentes de tratamento são as entidades ou pessoas responsáveis pelo tratamento dos dados pessoais:

• Controlador: Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.
• Operador: Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.
• Encarregado (DPO – Data Protection Officer): Pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

Bases Legais para o Tratamento de Dados

Para que o tratamento de dados seja lícito e esteja em conformidade com a LGPD, é necessário que ele se enquadre em uma das dez bases legais previstas na lei. As bases mais comuns para empresas são:

1. Consentimento do titular: Quando o titular autoriza expressamente o tratamento de seus dados para finalidades específicas.
2. Cumprimento de obrigação legal ou regulatória: Para atender a leis ou regulamentos, como obrigações fiscais ou trabalhistas.
3. Execução de contrato: Para cumprir um contrato do qual o titular é parte ou a pedido do titular.
4. Exercício regular de direitos: Em processo judicial, administrativo ou arbitral.
5. Legítimo interesse do controlador: Quando há um interesse legítimo da empresa, sem ferir os direitos e liberdades fundamentais do titular.
6. Proteção da vida ou incolumidade física do titular: Para proteger a vida de uma pessoa.
7. Tutela da saúde: Para procedimentos realizados por profissionais de saúde.
8. Proteção ao crédito: Para garantir a segurança financeira do titular e da empresa em transações comerciais.
9. Realização de estudos por órgão de pesquisa: Para fins de pesquisa, garantindo a anonimização dos dados sempre que possível.
10. Execução de políticas públicas: Pela administração pública, para cumprimento de suas obrigações e competências.

É fundamental que as organizações identifiquem a base legal adequada para cada tipo de tratamento de dados que realizam.

Direitos dos Titulares de Dados

A LGPD confere aos titulares dos dados uma série de direitos, garantindo-lhes maior controle sobre suas informações pessoais. É papel das empresas assegurar o cumprimento desses direitos.

Os principais direitos são:

• Confirmação e acesso: Saber se seus dados estão sendo tratados e acessá-los.
• Retificação: Corrigir dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação: Solicitar a anonimização, bloqueio ou eliminação de dados desnecessários ou tratados em desconformidade com a LGPD.
• Portabilidade: Transferir seus dados para outra empresa, mediante requisição expressa.
• Eliminação: Solicitar a eliminação dos dados pessoais tratados com o seu consentimento, exceto em casos específicos previstos em lei.
• Informação sobre o compartilhamento: Obter informações sobre as entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados.
• Informação sobre o consentimento: Saber a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
• Revogação do consentimento: Retirar o consentimento a qualquer momento de forma fácil e gratuita.
• Oposição: Opor-se a tratamento realizado sem consentimento e em caso de descumprimento à LGPD.

Impactos da LGPD na Gestão e Negócios

A LGPD trouxe desafios e oportunidades significativos para o setor de Gestão e Negócios. A conformidade com a lei não é apenas uma obrigação legal, mas também uma questão de reputação e confiança do cliente.

• Adequação de processos internos: Requisita a revisão de todos os processos que envolvem a coleta, armazenamento e uso de dados pessoais, desde o marketing até o RH.
• Segurança da informação: Exige investimentos e aprimoramento de sistemas de segurança para evitar vazamentos e acessos indevidos.
• Gerenciamento de consentimento: Necessidade de mecanismos claros e transparentes para obter e gerenciar o consentimento dos titulares.
• Mapeamento de dados: É crucial saber quais dados são coletados, onde são armazenados, por quanto tempo e com qual finalidade.
• Treinamento de colaboradores: Todos os funcionários que lidam com dados pessoais devem ser treinados sobre as regras da LGPD.
• Relacionamento com terceiros: A responsabilidade se estende a parceiros e fornecedores que tratam dados em nome da empresa.

Penalidades por Descumprimento da LGPD

O descumprimento da LGPD pode acarretar diversas penalidades e sanções, aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD). É um grande risco para as empresas negligenciar a conformidade.

As sanções incluem:

• Advertência: Com indicação de prazo para adoção de medidas corretivas.
• Multa simples: De até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, limitada a R$ 50 milhões por infração.
• Multa diária: Para garantir o cumprimento das determinações.
• Publicização da infração: A infração pode ser divulgada publicamente, gerando danos à reputação da empresa.
• Bloqueio ou eliminação dos dados pessoais: Referentes à infração.
• Suspensão parcial ou total do funcionamento do banco de dados: Referente à infração.

Exercícios com Gabarito

1. (ENEM-2022)

A Lei Geral de Proteção de Dados (LGPD), sancionada em 2018, estabelece que todo tratamento de dados pessoais deve estar amparado por uma base legal. Dentre as bases legais possíveis, o consentimento do titular é uma delas, que deve ser livre, informado e inequívoco. Uma empresa de e-commerce que deseja enviar e-mails promocionais personalizados a seus clientes deve, primeiramente, garantir que:

• a) Possui um contrato de prestação de serviços com cada cliente.
• b) Os dados dos clientes foram coletados por meio de listas de e-mail públicas.
• c) Obteve o consentimento específico dos clientes para a finalidade de marketing.
• d) A finalidade do envio de e-mails é para cumprimento de obrigação legal.
• e) Utiliza dados anonimizados para a criação das promoções.

Resposta: Alternativa c: Para o envio de e-mails de marketing personalizado, a LGPD exige que a empresa tenha obtido o consentimento explícito e informado do cliente para essa finalidade específica. Contrato (a) ou listas públicas (b) não são bases legais suficientes. Cumprimento de obrigação legal (d) não se aplica ao marketing direto e dados anonimizados (e) não são dados pessoais e, portanto, não seriam o foco da LGPD nesse contexto.

1. (VESTIBULAR-SP-2023)

Um hospital, ao realizar o cadastro de seus pacientes, coleta informações como nome, CPF, endereço, mas também dados sobre histórico de saúde e doenças preexistentes. De acordo com a LGPD, os dados referentes ao histórico de saúde de um paciente são classificados como:

• a) Dados de uso restrito.
• b) Dados de acesso público.
• c) Dados pessoais sensíveis.
• d) Dados de registro civil.
• e) Dados anonimizados.

Resposta: Alternativa c: Dados referentes à saúde são explicitamente mencionados na LGPD como “dados pessoais sensíveis”, exigindo um nível maior de proteção.