Proteção de Dados Pessoais e LGPD
Tratar dados pessoais é mais do que coletar informações. Entenda como a LGPD surgiu, o que significa tratar dados e por que o consentimento não é a única base.
Introdução
Nome, telefone, endereço eletrônico, CPF, dados bancários e informações profissionais aparecem diariamente nas atividades de praticamente qualquer organização. Em determinados setores, são tratados também dados financeiros, biométricos, médicos ou outras informações de maior sensibilidade.
A Lei Geral de Proteção de Dados Pessoais, conhecida como LGPD, estabeleceu regras para o tratamento dessas informações quando relacionadas a pessoas naturais identificadas ou identificáveis.
Um dos equívocos mais comuns é imaginar que a finalidade da lei seja impedir a utilização de dados pessoais. Não é.
Empresas continuam podendo manter cadastros, executar contratos, cumprir obrigações legais, realizar determinadas análises e utilizar informações necessárias às suas atividades. O que a legislação exige é que esse tratamento possua fundamento jurídico e seja realizado de maneira compatível com seus princípios e finalidades.
A pergunta, portanto, não deve ser simplesmente se uma empresa pode utilizar dados pessoais. É necessário saber quais dados utiliza, para quê, com qual fundamento e durante quanto tempo.
Como surgiu a LGPD e a influência da legislação europeia
A proteção de dados pessoais não começou com a LGPD. Antes de sua edição, o ordenamento brasileiro já protegia a intimidade, a vida privada e o sigilo das informações por diferentes caminhos. A Constituição Federal, o Código de Defesa do Consumidor e o Marco Civil da Internet, entre outras normas, continham disposições relacionadas ao uso e à proteção de informações pessoais.
O crescimento da economia digital, entretanto, tornou necessária uma disciplina mais abrangente. Dados passaram a circular em grande escala entre empresas, plataformas, aplicativos e prestadores de serviços, enquanto diferentes países desenvolviam legislações destinadas especificamente à proteção das pessoas diante do tratamento dessas informações.
Nesse contexto foi editada a Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais. A legislação brasileira recebeu importante influência do modelo europeu de proteção de dados, especialmente do Regulamento Geral sobre a Proteção de Dados da União Europeia, conhecido como GDPR, que consolidou princípios, direitos dos titulares e deveres dos agentes responsáveis pelo tratamento de informações pessoais.
A LGPD, contudo, integra o ordenamento jurídico brasileiro e possui estrutura, conceitos e soluções próprias. Sua compreensão não depende da aplicação do regulamento europeu, embora a experiência internacional ajude a explicar a origem de diversos princípios presentes na legislação nacional.
Posteriormente, a proteção de dados pessoais ganhou ainda maior relevância no país. A Emenda Constitucional nº 115/2022 incluiu expressamente no artigo 5º da Constituição Federal a proteção dos dados pessoais, inclusive nos meios digitais, entre os direitos e garantias fundamentais.
Esse percurso ajuda a compreender a lógica da LGPD. A legislação não foi concebida apenas para proteger informações armazenadas em computadores, mas para estabelecer limites e responsabilidades sobre a maneira como informações relacionadas às pessoas são coletadas, utilizadas, compartilhadas e conservadas.
O que significa tratar dados pessoais
A LGPD utiliza a expressão tratamento em sentido bastante amplo.
Coletar é apenas uma das operações possíveis. Armazenar, consultar, utilizar, compartilhar, modificar, transmitir e eliminar informações também constituem formas de tratamento.
Isso significa que uma empresa pode estar sujeita à legislação mesmo quando não realiza grandes operações de análise de dados. Uma lista de clientes, arquivos de funcionários, currículos recebidos em processo seletivo ou informações mantidas em um sistema de gestão já podem envolver tratamento de dados pessoais.
A legislação também estabelece proteção especial para os chamados dados pessoais sensíveis. Informações sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual, dados genéticos ou biométricos vinculados a uma pessoa natural estão submetidas a disciplina mais rigorosa.
Compreender quais informações efetivamente circulam pela organização é, por isso, uma etapa essencial de qualquer política de proteção de dados.
Consentimento não é a única base legal
Talvez nenhum conceito da LGPD tenha sido tão simplificado quanto o consentimento.
A impressão de que toda utilização de dado pessoal depende de autorização do titular é incorreta. A própria legislação prevê diferentes bases legais capazes de legitimar o tratamento.
O consentimento é uma delas, mas existem outras hipóteses relacionadas, por exemplo, ao cumprimento de obrigação legal ou regulatória, à execução de contrato, ao exercício regular de direitos em processo judicial, administrativo ou arbitral e à proteção do crédito. A LGPD também contempla o legítimo interesse, sujeito aos requisitos e limites previstos na própria legislação.
A base adequada depende da finalidade concreta do tratamento.
Uma empresa não precisa pedir ao empregado autorização para todo dado necessário ao cumprimento de obrigações trabalhistas. Da mesma forma, a execução de um contrato pode exigir o tratamento de informações independentemente de consentimento específico.
Escolher o fundamento jurídico inadequado pode criar dificuldades desnecessárias. Em proteção de dados, pedir consentimento para tudo não é necessariamente sinal de maior conformidade.
Finalidade e necessidade
A existência de uma base legal não encerra a análise.
A LGPD estabelece princípios que orientam toda atividade de tratamento. Entre eles, finalidade e necessidade possuem especial importância prática.
Os dados devem ser utilizados para propósitos legítimos, específicos e informados ao titular, observada a compatibilidade do tratamento com essas finalidades. Também devem ser limitados ao mínimo necessário para alcançá-las.
Esses princípios ajudam a responder uma pergunta simples, mas muitas vezes esquecida. A empresa realmente precisa de todas as informações que está solicitando?
Cadastros construídos por hábito podem exigir dados que deixaram de possuir utilidade. Sistemas podem conservar informações por períodos muito superiores ao necessário. Departamentos podem compartilhar bases completas quando apenas parte delas seria suficiente para determinada atividade.
Proteção de dados começa, muitas vezes, pela redução do tratamento desnecessário.
Controlador, operador e a participação de terceiros
O tratamento de dados raramente ocorre inteiramente dentro de uma única organização.
Empresas utilizam serviços de armazenamento em nuvem, sistemas de gestão, plataformas de pagamento, ferramentas de marketing, serviços contábeis e diversos outros fornecedores que podem ter acesso a informações pessoais.
A LGPD diferencia, entre outros agentes, controlador e operador. Em linhas gerais, o controlador é responsável pelas decisões referentes ao tratamento, enquanto o operador realiza o tratamento em nome do controlador.
A classificação, entretanto, não deve depender apenas do nome utilizado no contrato. É necessário observar a função efetivamente desempenhada por cada participante.
Essa distinção possui consequências importantes para a distribuição de obrigações e responsabilidades. Por isso, a contratação de fornecedores que terão acesso a dados pessoais deve considerar quais informações serão tratadas, para qual finalidade, quais medidas de segurança serão utilizadas e o que ocorrerá com os dados após o encerramento da relação.
A terceirização do serviço não significa terceirização automática da responsabilidade.
Os direitos dos titulares
A LGPD assegura aos titulares diferentes direitos relacionados aos seus dados pessoais.
Entre eles estão a confirmação da existência de tratamento, o acesso aos dados, a correção de informações incompletas ou inexatas e, nas hipóteses previstas em lei, a possibilidade de solicitar anonimização, bloqueio ou eliminação, além da portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa.
Também existem direitos relacionados à informação sobre compartilhamento, à revogação do consentimento e às decisões tomadas unicamente com base em tratamento automatizado.
Isso não significa que toda solicitação de eliminação obrigue a empresa a apagar imediatamente qualquer informação existente.
A própria legislação admite hipóteses de conservação. Dados necessários ao cumprimento de obrigação legal ou ao exercício regular de direitos em processo judicial, administrativo ou arbitral, por exemplo, podem continuar sendo tratados mesmo após o encerramento da relação que inicialmente justificou sua coleta.
Atender corretamente ao titular exige, portanto, mais do que simplesmente aceitar ou rejeitar seu pedido. É necessário compreender por que o dado está sendo mantido e qual fundamento jurídico autoriza sua conservação.
Segurança e incidentes envolvendo dados pessoais
Nenhum sistema de informação é absolutamente imune a incidentes.
A LGPD exige que os agentes de tratamento adotem medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado.
A obrigação não deve ser confundida com uma promessa de impossibilidade absoluta de ocorrência de incidentes. A análise jurídica considera as medidas de segurança adotadas e as circunstâncias concretas do evento.
Quando ocorre um incidente, a resposta precisa ser organizada. Identificar o que aconteceu, conter seus efeitos, compreender quais informações foram atingidas e preservar os registros necessários são providências relevantes tanto do ponto de vista técnico quanto jurídico.
A LGPD também estabelece hipóteses em que o controlador deverá comunicar a ocorrência à Autoridade Nacional de Proteção de Dados e aos titulares afetados, quando o incidente puder acarretar risco ou dano relevante. Pelo regulamento editado pela ANPD em 2024, a comunicação deve ser feita em três dias úteis, contados do momento em que o controlador toma conhecimento de que o incidente afetou dados pessoais, prazo que é dobrado para os agentes de tratamento de pequeno porte.
Nem todo incidente possui a mesma gravidade. A resposta adequada depende da natureza dos dados, da extensão do evento e dos riscos ou danos que dele possam decorrer.
Responsabilidade e sanções
O descumprimento da legislação de proteção de dados pode produzir consequências em diferentes esferas.
A LGPD prevê sanções administrativas que podem ser aplicadas pela Autoridade Nacional de Proteção de Dados, observados os critérios e procedimentos legais. Dependendo da infração, essas medidas podem incluir advertência, multa simples de até 2% do faturamento da pessoa jurídica no Brasil em seu último exercício, limitada a R$ 50 milhões por infração, e outras providências previstas no artigo 52 da lei.
Além da esfera administrativa, o tratamento irregular de dados pode gerar responsabilidade civil quando presentes os requisitos legais para reparação.
É importante, contudo, evitar a ideia de que qualquer irregularidade relacionada à LGPD produza automaticamente indenização.
A existência de dano e os demais pressupostos da responsabilidade devem ser analisados de acordo com as circunstâncias do caso e com o regime jurídico aplicável.
A proteção de dados também pode se relacionar a outras áreas. Um mesmo fato pode envolver simultaneamente questões consumeristas, contratuais, trabalhistas ou relacionadas aos direitos da personalidade.
Adequação à LGPD não é um documento pronto
Políticas de privacidade, cláusulas contratuais e termos de consentimento possuem sua importância, mas nenhum deles, isoladamente, torna uma organização adequada à LGPD.
A proteção de dados é um processo relacionado ao funcionamento real da atividade.
É necessário conhecer as informações tratadas, identificar suas finalidades e bases legais, avaliar os fornecedores que participam dessas operações, definir critérios de conservação e descarte, estabelecer medidas de segurança e organizar procedimentos para atendimento aos titulares e resposta a incidentes.
A documentação deve refletir essa realidade.
Uma política de privacidade cuidadosamente redigida perde grande parte de sua utilidade se descreve práticas diferentes daquelas efetivamente adotadas pela organização.
A conformidade jurídica, nesse campo, depende menos da quantidade de documentos produzidos e mais da coerência entre aquilo que se declara e aquilo que efetivamente se faz com os dados.
A importância da assessoria jurídica
A proteção de dados acompanha a atividade empresarial de forma transversal. Contratos, relações com empregados, atendimento a clientes, fornecedores, marketing e utilização de sistemas podem envolver tratamento de informações pessoais.
A assessoria jurídica permite identificar os pontos de maior exposição e estabelecer procedimentos proporcionais à realidade da organização, sem criar burocracia desnecessária.
O objetivo não deve ser simplesmente produzir documentos ou buscar uma ideia abstrata de conformidade. Deve ser permitir que os dados necessários à atividade sejam utilizados de forma legítima, transparente e segura, reduzindo riscos para os titulares e para a própria organização.
Quer Saber Mais sobre Proteção de Dados Pessoais e LGPD?
A proteção de dados pessoais exige compreender quais informações são utilizadas, por que são necessárias e como circulam dentro e fora da organização. A LGPD não impede o uso legítimo desses dados, mas exige que seu tratamento possua fundamento jurídico e respeite os direitos dos titulares.
Para mais informações sobre nossa atuação em proteção de dados pessoais e LGPD e sobre como podemos contribuir para a estruturação de práticas adequadas de tratamento de informações, visite nossa página de Direito Digital, onde reunimos outros artigos e informações sobre questões jurídicas relacionadas ao ambiente tecnológico.
Este conteúdo é protegido por direitos autorais. A reprodução total ou parcial depende de autorização, ressalvadas as hipóteses legalmente permitidas, inclusive a citação com indicação da autoria e da fonte.