Blog · · Darlan
LGPD: o que é, como funciona e para que serve
A LGPD, Lei Geral de Proteção de Dados, é uma legislação brasileira que regulamenta as atividades que envolvem dados, de forma a proteger as informações pessoais e a privacidade dos usuários.
O crescimento exponencial da produção de dados no mundo e a exposição cada vez maior das pessoas nas redes sociais abrem margem para as empresas usarem as informações em diversos tipos de análises. Esse excesso de liberdade provocou a necessidade de criar uma legislação específica para lidar com o novo cenário.
A discussão ganhou contornos mais sérios a partir de eventos como o escândalo da Cambridge Analytica, em que dados de usuários do Facebook foram utilizados durante a campanha presidencial dos EUA. Na Europa, isso se deu com a criação da GDPR (General Data Protection Regulation), lei que serviu de base para a LGPD.
Neste artigo, você terá um panorama sobre a LGPD e entenderá como a lei pode afetar as atividades dos profissionais de TI.
O que é a LGPD
A Lei 13.709/2018 foi sancionada em agosto de 2018, fruto de oito anos de debates e adaptações. A sanção não colocou a lei em vigor imediatamente: foi dado um prazo para que as empresas pudessem se adaptar.
A necessidade de uma norma específica aumentou conforme a facilidade de produção e vazamento das informações foi ficando evidente. Hoje, qualquer pessoa com um smartphone produz uma variedade de dados a cada minuto, e os objetos conectados (Internet das Coisas) coletam informações do ambiente e monitoram pessoas.
A LGPD nasce como uma maneira de limitar possíveis abusos e penalizar de forma objetiva o uso desregrado de dados por parte das empresas. O Brasil entra, assim, no grupo de países com legislação específica para regular o tratamento de dados.
Como funciona a LGPD
A lei coloca nas mãos do titular o controle sobre as suas informações. Todo usuário deve permitir, de forma explícita, consciente e espontânea, que empresas utilizem os seus dados pessoais para fins específicos, e esses fins também devem ser explícitos. A LGPD tem grande impacto nas empresas, especialmente nos setores de marketing, TI, comercial e jurídico.
Determinações da LGPD
O usuário deve ter sempre o controle de suas informações, podendo modificar, transportar ou excluir seus dados a qualquer momento e sem burocracia. Cabe às empresas informar os motivos do armazenamento e do tratamento de maneira clara, evitando truques como:
- o uso de letras miúdas nos termos de adesão;
- termos enormes e sem objetividade, que a maioria das pessoas acaba pulando;
- botões pré-selecionados, como "OK", "Aceito" e "Sim", que induzem à aceitação automática.
A justificativa deve explicar como os dados serão usados, por quanto tempo ficarão com a empresa e quando serão eliminados. A empresa também precisa oferecer meios para que o titular acesse e controle seus dados a qualquer momento e, em caso de vazamento ou mudança no tratamento, notificá-lo imediatamente.
Também é preciso designar um responsável pelo controle e pelas práticas relacionadas aos dados. Essa pessoa será a mediadora em caso de problemas e deve orientar todos os colaboradores envolvidos com os dados dos usuários.
Dados pessoais
Dado pessoal é aquele que permite, sozinho ou em conjunto com outros, identificar o seu titular: nome, apelido, endereço, e-mail, endereço IP, números de cartões e cookies. As empresas devem protegê-los e usá-los somente para os fins autorizados pelo titular.
Dados sensíveis
São dados ainda mais reveladores sobre uma pessoa, como religião, etnia, sexo, posicionamento político e biometria. Essas informações exigem um cuidado ainda maior da empresa que se dispõe a armazená-las e tratá-las.
Tratamento de dados
Tratamento é a utilização dos dados do usuário: o que a empresa faz ou pretende fazer com as informações coletadas. Essas intenções devem estar claras para o usuário, que deverá consentir o uso dos dados para esses fins. Não são válidos consentimentos obtidos com letras miúdas ou textos longos e confusos.
Titular dos dados
Titular é qualquer pessoa física que tenha fornecido dados pessoais. Ele tem direitos sobre esses dados, incluindo o direito ao esquecimento, ao acesso e à informação. O artigo 18 da LGPD prevê que o titular pode solicitar, a qualquer momento:
- confirmação da existência de tratamento dos seus dados;
- acesso aos seus dados;
- correção de dados incompletos, inexatos ou desatualizados;
- anonimização, bloqueio ou eliminação de dados tratados em desconformidade com a lei;
- portabilidade dos dados a outro fornecedor;
- eliminação dos dados pessoais tratados;
- informações sobre as entidades com as quais o controlador compartilhou os dados;
- informações sobre a possibilidade de não fornecer consentimento e suas consequências;
- revogação do consentimento;
- revisão, por pessoa natural, de decisões automatizadas.
Consentimento e o papel da TI
É no setor de TI que as informações são processadas, armazenadas e tratadas, por isso a responsabilidade desses profissionais aumenta com a lei. Um dos fatores primordiais é a adoção do Privacy by Design: a privacidade passa a ser incorporada à arquitetura dos sistemas. A governança de TI dá o suporte necessário, garantindo políticas de segurança digital, privacidade e manutenção de ativos.
Anonimização e pseudoanonimização
A anonimização impossibilita a ligação direta da informação com um usuário; para a LGPD, dados anônimos não são considerados dados pessoais. Já a pseudoanonimização dificulta, mas não impede, essa associação, e por isso os dados continuam sendo considerados pessoais.
Controlador e operador
O controlador toma as decisões sobre o tratamento dos dados. O operador executa o tratamento de acordo com as orientações do controlador. Ambos podem ser pessoas físicas ou jurídicas e respondem juridicamente em caso de descumprimento.
Penalidades por descumprir a LGPD
Qualquer empresa que tenha relação com brasileiros deve se adequar à LGPD, inclusive empresas do exterior. As multas podem chegar a 2% do faturamento, limitadas a R$ 50 milhões por infração. O artigo 52 prevê as seguintes sanções:
- advertência, com prazo para adoção de medidas corretivas;
- multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração;
- multa diária, observado o mesmo limite;
- publicização da infração após apurada e confirmada;
- bloqueio dos dados pessoais envolvidos até a regularização;
- eliminação dos dados pessoais envolvidos.
LGPD e cibersegurança
Os profissionais de TI podem usar a LGPD a seu favor, garantindo boas práticas de segurança de dados nas empresas e evitando multas por uso indevido. Clientes que coletam dados precisarão de backups mais rigorosos e proteção contra invasões. O foco será a prevenção e o tratamento legal das informações.
Quem faz prospecção de clientes por formulários em landing pages e aplicativos também deve adaptar as táticas de captação de dados à lei. Ferramentas de gestão centralizada ajudam a monitorar e automatizar ações de segurança, como backups e atualizações.
Conclusão
A LGPD assegura a privacidade dos usuários e regula a captação, o armazenamento e o tratamento de dados pessoais e sensíveis, dando ao titular controle total sobre suas informações. As empresas devem deixar claro o objetivo da coleta de cada dado e permitir que o usuário autorize, recuse ou peça a remoção a qualquer momento. O descumprimento pode gerar grandes prejuízos, incluindo a interrupção das atividades de tratamento de dados.
