Regras básicas da LGPD e como as atividades do dia a dia podem ser afetadas - Bornhausen & Zimmer Advogados
Nem sempre as empresas têm ciência de como os dados pessoais que coletam serão usados e quem terá acesso a eles. Com a entrada em vigor da Lei Geral de Proteção de Dados Pessoais (LGPD), será preciso redobrar a atenção sobre estas questões, que às vezes passam despercebidas por não fazerem parte do core business da sua empresa.
Neste artigo vamos analisar as regras básicas da LGPD e, posteriormente, demonstrar como algumas atividades do seu dia a dia podem ser afetadas.
O objetivo principal desta Lei é proteger os dados pessoais dos cidadãos, fazendo com que estes tenham mais controle sobre quem irá utilizar suas informações pessoais e com qual finalidade.
A partir da entrada em vigor da LGPD, em 14 de agosto de 2020, o tratamento de dados deverá ser específico e respeitar a uma série de regras. Basicamente, a Lei proíbe o uso de dados para fins discriminatórios ou abusivos e garante o tratamento seguro e transparente dos dados ao cidadão. Ademais, as empresas também terão que se preocupar em atender a padrões de segurança de dados bem estruturados.
Salvo raras exceções, os dados de pessoas físicas somente poderão ser utilizados para as atividades expressamente autorizadas pelo próprio titular. Com isso, por exemplo, a empresa não poderá compartilhar os dados com terceiros ou divulgá-los sem o consentimento do titular.
Outra importante regra da Lei são os direitos de consulta, portabilidade, atualização e exclusão dos dados. A empresa fica obrigada a fornecer meios simples e diretos para que o titular possa saber exatamente quais dados foram coletados, qual a finalidade da coleta e, caso queira, o titular poderá requerer que os dados sejam transferidos a outra empresa (portabilidade), alterados ou até mesmo excluídos de forma permanente.
1 Conforme a LGPD, toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração
Se não fornecidas as informações requeridas de forma imediata, em um formato simplificado, a empresa terá apenas 15 dias para oferecer uma declaração clara e completa ao titular sobre seus dados coletados.
Para que se garanta o cumprimento destas regras no tratamento de dados pessoais, a Lei determina sanções administrativas que vão desde advertências até multas milionárias, que podem chegar a 2% do faturamento da empresa, se limitando em 50 milhões de reais.
Muitos negócios fazem um cadastro de todos os seus clientes, com dados como endereço, CPF e contatos. É importante garantir que estes dados estejam armazenados de acordo com os padrões de segurança estabelecidos pela LGPD e que não sejam utilizados para finalidades distintas das quais foram coletados.
Por exemplo, se você deseja mandar propagandas e ofertas a seus clientes cadastrados, é necessário obter autorização deles no momento que fizer o cadastro.
A maioria das empresas não utiliza mais servidores internos para armazenar dados, nem possui salas cheias de documentos físicos. A maneira mais eficiente em performance e custo é, sem dúvida, os serviços de armazenamento em nuvem – como Google Drive e Amazon Web Services.
Agora, entretanto, é necessário tomar cuidado. De acordo com o texto da LGPD, o armazenamento de dados em nuvem estrangeira configura tratamento de dados. Para estar em conformidade com a Lei, você precisa garantir que o serviço de nuvem esteja de acordo com os parâmetros de segurança impostos pela legislação brasileira.
Ainda não se sabe ao certo se será necessário obter o consentimento específico do titular para armazenar seus dados em nuvem de terceiros. Isto ocorre pois as especificações da lei poderiam dispensar o consentimento sob argumento do legítimo interesse da empresa, porém, só se terá segurança desta hipótese com a entrada em vigência da Lei e posteriores discussões.
Neste cenário, por questões de precaução, recomendamos desde já que a empresa requeira consentimento do titular para o armazenamento em nuvem, sempre que realizar coleta de dados, de forma a evitar riscos futuros.
Comprar grandes listas de contatos telefônicos ou e-mails para auxiliar as vendas da empresa é uma prática bastante comum em diversos ramos. Com a nova Lei, esta estratégia pode ser inviabilizada.
É difícil saber se os contatos na lista deram seu consentimento para serem contatados com propagandas e, assim sendo, aquele que compra a lista pode ser responsabilizado por uso indevido de dados pessoais e ter de arcar com a multa de até 2% do faturamento anual.
Mas isso não significa que esta prática é, de todo modo, irregular. Para fazer isso, a empresa que vende os dados deverá obter consentimento específico dos titulares para este fim, alertando-os que outra empresa terá acesso às suas informações, além de fazer com que a empresa que comprou os dados cumpra também qualquer requisição feita pelo titular.
Ainda há muitas incertezas em torno desta Lei e das implicações para os negócios de diversos segmentos. Para entender melhor sobre este assunto e se preparar para a vigência da lei, baixe nosso e-Book.