A Lei Geral de Proteção de Dados (LGPD) foi criada pela Lei nº 13.709 de 2018 e dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa física ou jurídica, pública ou privada, “com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade do indivíduo”.

Apesar de ter sido elaborada em 2018, só entrou em vigor em 2020 no Brasil. A lei foi criada com base na General Data Protection Regulation (GDPR) da União Europeia, que trouxe impactos para empresas e consumidores.

De acordo com o Ministério Público Federal (MPF), a lei também cria um cenário de segurança jurídica, com a padronização de regulamentos e práticas para promover a proteção aos dados pessoais de qualquer cidadão que esteja no Brasil.

As normas são de interesse nacional e devem ser seguidas pela União, estados e municípios. Entre os princípios da proteção de dados estão o respeito à privacidade, liberdade de expressão, de informação, de comunicação e de opinião, inviolabilidade da intimidade, da honra e da imagem, mas também livre iniciativa e concorrência e defesa do consumidor.

Veja também: Privacidade de dados: uma questão de cultura

“A gente transforma vidas”, diz Bia Santos sobre projeto de educação financeira

A LGPD estabelece que não importa se a sede de uma organização e/ou o centro de dados estejam localizados no Brasil ou no exterior: se há o processamento de conteúdo de pessoas que estejam em território nacional, a lei deve ser seguida à risca. 

Na prática

É considerado dado pessoal a informação relacionada à pessoa identificada sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou à organização de caráter religioso, filosófico ou político, assim como dados referentes à saúde, vida sexual ou genéticos.

O tratamento de dados pessoais deve ser realizado por dois agentes: o controlador e o operador. O controlador é o responsável pelas decisões do tratamento de dados, já o operador é quem realiza em nome do controlador. Há ainda o encarregado, que é a pessoa indicada pelo controlador para atuar como elo entre ele, o operador, o titular dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

Isso diz respeito a qualquer atividade que utilize, na operação, a coleta, produção, recepção, classificação, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle ou ainda modificação, transferência, difusão ou extração da informação.

“Antes de iniciar qualquer tipo de tratamento de dados pessoais, o agente deve se certificar que a finalidade da operação está registrada de forma clara e explícita e os propósitos especificados e informados ao titular dos dados. No caso do setor público, a principal finalidade está relacionada à execução de políticas públicas”, detalha a LGPD.

O compartilhamento de dados na administração pública não precisa de consentimento. No entanto, deve haver transparência sobre qual dado será compartilhado e com quem. A exceção são as informações sigilosas, que continuarão sendo protegidas.

A legislação definiu uma estrutura legal de direitos dos titulares de dados e prevê um conjunto de regras que aprofundam obrigações de transparência ativa e passiva. Há também um guia de boas práticas para implementação da LGPD na administração pública com orientações sobre segurança da informação.

A lei autoriza o compartilhamento de dados pessoais com órgãos internacionais e outros países, desde que respeitados os protocolos estabelecidos e as exigências legais.

Consentimento

Segundo a LGPD, é essencial para o tratamento de dados que haja o consentimento do titular. A lei garante ao cidadão que ele possa solicitar a exclusão dos dados pessoais, revogar o consentimento ou pedir transferência para outro fornecedor de serviços. Para isso, é preciso seguir alguns quesitos, como finalidade e necessidade.

No entanto, é possível tratar dados sem consentimento, desde que seja indispensável para cumprir uma obrigação legal, executar uma política pública ou contratos, realizar estudos, preservar a vida e integridade física de uma pessoa, tutelar ações de profissionais da saúde, prevenir fraudes contra o titular e proteger o crédito.

Fiscalização

É responsabilidade da ANPD a fiscalização e aplicação de penalidades em caso de desrespeito às determinações da LGPD. Cabe à autarquia regular e orientar preventivamente a aplicação da lei.

É papel do responsável por gerir os dados pessoais redigir normas de governança, adotar medidas preventivas de segurança, replicar boas práticas e certificações existentes no mercado, elaborar planos de contingência, fazer auditorias e resolver incidentes com agilidade, com aviso imediato sobre violações à ANPD e demais envolvidos.

A autarquia fixou níveis de penalidade, de acordo com a gravidade da falha, e envia alertas antes de aplicar sanções às entidades. “As falhas de segurança podem gerar multas de até 2% do faturamento anual da organização no Brasil – limitado a R$ 50 milhões por infração”, estipula a ANPD.