|
Getting your Trinity Audio player ready...
|
LGPD é a sigla da Lei Geral de Proteção de Dados Pessoais. A lei organiza como empresas, profissionais, órgãos públicos e outras organizações podem tratar informações relacionadas a pessoas naturais. Ela não proíbe o uso de dados. Em vez disso, exige finalidade legítima, transparência, segurança, respeito aos direitos do titular e capacidade de demonstrar conformidade.
Na prática, cumprir a LGPD vai muito além de publicar uma política de privacidade. A organização precisa entender quais dados coleta, por que os utiliza, com quem os compartilha, por quanto tempo os conserva e como reage a incidentes ou pedidos dos titulares. O nível de complexidade varia conforme o risco, o volume de dados e o modelo de negócio.
O que a LGPD protege?
Em primeiro lugar, a proteção alcança o dado pessoal, isto é, a informação relacionada a uma pessoa identificada ou identificável. Nome, CPF, telefone e endereço são exemplos evidentes. Contudo, identificadores de dispositivo, localização, histórico de compras e combinações de informações também podem permitir a identificação de alguém.
Além disso, a lei confere atenção especial aos dados pessoais sensíveis. Eles incluem informações sobre saúde, biometria, origem racial ou étnica, convicção religiosa, opinião política, filiação sindical e vida sexual. O tratamento desse grupo exige hipóteses legais e controles mais rigorosos, pois o uso indevido pode ampliar discriminação e outros danos.
Por outro lado, dados anonimizados ficam fora do regime quando a reversão não for razoavelmente possível com os meios disponíveis. Apenas retirar o nome, porém, não garante anonimização. Se a organização consegue recombinar bases e reidentificar a pessoa, o material continua sujeito à LGPD.
Quem precisa cumprir a LGPD?
A LGPD pode alcançar empresas de todos os portes, profissionais liberais, associações, condomínios, escolas, clínicas, lojas físicas, e-commerces e plataformas. O tamanho da empresa não elimina automaticamente a obrigação. O que importa é a existência de tratamento abrangido pela lei e a conexão territorial prevista em suas regras.
Pequenos agentes podem usufruir simplificações regulatórias, mas não recebem licença para ignorar princípios, bases legais, segurança ou direitos. Uma microempresa que coleta dados de clientes, por exemplo, precisa limitar acessos, informar finalidades e evitar a retenção indefinida. O risco concreto deve orientar a prioridade das medidas.
Quais são os papéis de controlador, operador e encarregado?
O controlador toma as decisões essenciais sobre o tratamento. O operador trata dados em nome do controlador e conforme suas instruções legítimas. Já o encarregado atua como canal de comunicação e auxilia a governança. O nome usado no contrato não decide sozinho esses papéis; a operação real é determinante.
Consequentemente, essa distinção interfere em contratos, atendimento de titulares, incidentes e responsabilidade. Um fornecedor de software pode atuar apenas como operador em uma atividade e ser controlador em outra, como no uso dos dados para finalidade própria. Portanto, o mapeamento deve analisar cada fluxo, e não aplicar rótulos gerais a toda relação.
O guia sobre DPO e encarregado na LGPD explica a designação, as atribuições, os recursos e a prevenção de conflitos de interesses.
Consentimento é sempre necessário na LGPD?
Não. Consentimento é uma das bases legais, mas não constitui resposta universal. A lei também prevê hipóteses como cumprimento de obrigação legal, execução de contrato, exercício regular de direitos, proteção do crédito, tutela da saúde e legítimo interesse, conforme o caso e os requisitos aplicáveis.
A base precisa corresponder à finalidade concreta. Uma empresa não deve pedir consentimento quando o tratamento é indispensável para cumprir um contrato e depois tratar a recusa como impossível. Da mesma forma, não deve invocar legítimo interesse sem avaliar necessidade, expectativas do titular, salvaguardas e impactos.
Além disso, uma mesma operação pode envolver etapas com fundamentos diferentes. Emitir nota fiscal, entregar um produto e enviar publicidade não são necessariamente o mesmo tratamento. Documentar a escolha reduz contradições entre contratos, formulários, banners e práticas internas.
Quais direitos a LGPD garante ao titular?
Por exemplo, o titular pode obter informações e exercer direitos previstos na lei. Entre eles estão confirmação de tratamento, acesso, correção, anonimização ou eliminação em determinadas situações, portabilidade conforme regulamentação, informação sobre compartilhamentos e revisão de certas decisões automatizadas.
Portanto, nem todo pedido exige apagar imediatamente todos os registros. Obrigações legais, defesa em processos e outras hipóteses podem justificar conservação. Entretanto, a empresa deve analisar a solicitação, autenticar o requerente de forma proporcional, responder com clareza e registrar a decisão. Silêncio ou resposta genérica aumenta o risco.
Como fazer uma adequação à LGPD?
Um programa útil começa pelo conhecimento da operação. Modelos prontos não mostram onde os dados realmente circulam. A organização deve envolver áreas como comercial, atendimento, tecnologia, recursos humanos, marketing e fornecedores.
- Mapeie os dados: identifique origem, finalidade, sistemas, acessos, compartilhamentos e retenção.
- Defina papéis e bases: registre quem decide, quem executa e qual fundamento sustenta cada finalidade.
- Reduza excessos: deixe de coletar o que não é necessário e elimine retenções sem justificativa.
- Revise documentos: alinhe contratos, avisos, formulários, política de privacidade e procedimentos internos.
- Implemente segurança: combine controles técnicos, gestão de acesso, cópias, atualizações e treinamento.
- Crie rotinas: organize pedidos de titulares, incidentes, avaliação de fornecedores e revisão periódica.
O texto oficial da LGPD no Planalto permite consultar a redação legal atualizada. Para cookies e rastreadores, o artigo sobre cookies e LGPD detalha classificação, consentimento e desenho de banners.
Política de privacidade basta para cumprir a LGPD?
Não. A política deve refletir práticas reais e ser compreensível para o público. Se o documento informa uma finalidade, mas os sistemas usam os dados de outro modo, a transparência é apenas aparente. Por isso, o texto público deve nascer do inventário e acompanhar mudanças de produto, fornecedores e canais.
Também não existe um único documento capaz de resolver toda conformidade. Registros internos, contratos, controles de acesso, plano de resposta a incidentes e evidências de treinamento podem ser igualmente relevantes. O artigo sobre política de privacidade explica quando ela é necessária e como evitar promessas inexequíveis.
O que fazer em caso de incidente com dados?
Inicialmente, a organização deve conter o evento sem destruir evidências. Depois, precisa identificar os sistemas afetados, os dados envolvidos, os titulares potencialmente atingidos e as consequências prováveis. Nem todo alerta é um incidente confirmado, mas toda suspeita relevante exige triagem documentada.
A comunicação à ANPD e aos titulares depende dos critérios legais e regulatórios. A decisão não deve ser automática nem tardia. Segurança, jurídico, encarregado e liderança precisam trabalhar com fatos verificáveis, medidas de mitigação e linguagem clara.
Quais são os riscos do descumprimento?
O descumprimento pode gerar medidas administrativas, responsabilidade civil, conflitos contratuais, investigações, perda de confiança e interrupção operacional. As sanções da ANPD não excluem a atuação de outros órgãos nem a análise judicial de danos. Por outro lado, nem todo incidente produz automaticamente indenização; é necessário examinar conduta, dano, nexo e regime aplicável.
Conformidade também não equivale a eliminar todo risco. O objetivo é tomar decisões justificadas, reduzir exposição e demonstrar diligência compatível com a atividade. Uma boa governança permite corrigir falhas antes que se tornem crises.
Conclusão: como aplicar a LGPD com segurança?
A LGPD deve ser tratada como parte da gestão do negócio, não como um conjunto isolado de papéis. O programa mais competitivo conecta dados, contratos, tecnologia, pessoas e atendimento. Ele prioriza os fluxos mais arriscados e mantém evidências das decisões adotadas.
Se sua organização precisa estruturar ou revisar esse trabalho, a equipe da Rocco & Canonica Advogados atua com adequação à LGPD, contratos, incidentes e governança de dados conforme a realidade da operação.
