A Lei Geral de Proteção de Dados (LGPD), sancionada em agosto do ano passado, entrou em vigor em 18 de setembro de 2020 e trouxe alterações que terão impacto direto sobre as empresas que dependem do uso de dados pessoais para desempenhar suas atividades. Com a transformação digital do varejo e a utilização cada vez maior de dados para definir como abordar cada cliente de forma personalizada, o setor precisará mudar processos de trabalho e adotar novos padrões de compliance para lidar com a complexidade da lei.
Inspirada na regulamentação europeia sobre proteção de dados (GDPR), a LGPD tem o objetivo de garantir o direito dos consumidores à privacidade de seus dados e estabelecer regras claras para o uso dessas informações pelas empresas. Mas o que muda com a entrada em vigor da LGPD?
Assim, sua loja pode sofrer um processo legal se, por exemplo, os dados de um cliente forem encontrados em um mailing vendido na Rua Santa Ifigênia (tradicional reduto do comércio de eletrônicos em São Paulo). Até agora, a legislação era omissa a respeito da responsabilidade legal. Como consequência, a LGPD faz com que o varejo tenha de criar uma estrutura bem definida de armazenamento e segurança dos dados de seus clientes.
A partir de 2020, os CIOs do varejo brasileiro precisarão assumir uma nova função legal: guardiões dos dados dos clientes. Toda empresa precisará ter um Data Protection Officer (DPO), responsável pelo cumprimento da legislação e pela intermediação dos contatos com a Agência Nacional de Proteção de Dados (ANPD). Por isso, o DPO precisa conhecer a fundo a LGPD, deve ter experiência em governança e precisa entender de segurança da informação.
Essa é uma atribuição que, ao lado da reputação da empresa na mídia digital, da segurança cibernética e do compliance de dados, vai exigir um alinhamento de toda a empresa para que possa ser desenvolvida corretamente. Embora o DPO seja o executivo responsável pelos dados, todos os colaboradores da empresa são responsáveis pelo cumprimento das boas práticas de gestão e segurança das informações.
A Lei Geral de Proteção de Dados (LGPD) traz uma série de mudanças na gestão dos dados pelas empresas, estabelece sanções e cria uma agência responsável pelo cumprimento da legislação.
Aprovada em agosto de 2018, mas sancionada somente no final de agosto de 2020, a LGPD já está em vigor. Punições pelo não cumprimento da lei, porém, só serão aplicadas a partir de 1º de agosto de 2021. Dessa forma, empresas que ainda não se dedicaram à adequação de suas estruturas de dados têm um prazo adicional para realizar as mudanças necessárias
Uma das novidades da LGPD é a criação da Agência Nacional de Proteção de Dados (ANPD), órgão da Presidência da República que vai fiscalizar o cumprimento da legislação. O decreto de criação da ANPD foi publicado no fim de agosto, logo após o Senado aprovar a entrada imediata em vigor da LGPD.
Entre suas tarefas, a agência vai fiscalizar o cumprimento da lei, elaborar as diretrizes do Plano Nacional de Proteção de Dados e aplicar sanções às empresas que não cumprirem a LGPD a partir de agosto do ano que vem. A criação da ANPD dá segurança jurídica às empresas e estabelece um órgão que pode solucionar quaisquer dúvidas sobre a aplicação da lei.
O texto da LGPD prevê uma série de consequências para as empresas que não se adequarem à legislação. Como as sanções se aplicam ao descumprimento de qualquer norma prevista na LGPD, é importante se atentar tanto aos princípios da lei quanto a dispositivos mais objetivos.
O primeiro tipo de sanção que a ANPD pode aplicar sobre uma empresa que descumpra a LGPD é a Advertência, que vem acompanhada com um prazo para que medidas de correção sejam tomadas. Quando essa correção não acontece, a empresa passa a estar sujeita a uma Multa Simples, cujo valor pode chegar a até 2% do faturamento da empresa (limitado a R$ 50 milhões) por infração. A LGPD também tem a modalidade de Multa Diária, com os mesmos valores.
Vale destacar que ainda não está claro o que a ANPD irá considerar como uma infração, mas é possível pensar em cada incidente de descumprimento ou em cada dispositivo da lei violado em um incidente. Dessa forma, dependendo da gravidade do descumprimento da lei, a empresa pode sofrer penalidades financeiras bastante significativas.
A LGPD conta com outros tipos de sanções: o bloqueio dos dados pessoais referentes à infração e a eliminação desses dados. Embora sejam casos mais extremos, eles podem significar uma paralisação parcial dos negócios e a perda de competitividade no mercado. O que aconteceria se sua empresa não pudesse utilizar dados de alguns ou todos os seus clientes em suas estratégias de negócios?
A LGPD define regras importantes sobre os direitos das pessoas sobre seus dados. Em primeiro lugar, a legislação deixa claro que os dados não pertencem à empresa controladora ou operadora das informações, e sim aos indivíduos. Dessa forma, um dado coletado por sua empresa e operado pela Propz continua pertencendo ao consumidor final.
O fato de a pessoa física ser considerada a real dona de seus dados muda a dinâmica da interação com o consumidor e exige aprovação do cliente para a coleta, uso e compartilhamento de suas informações. Além disso, gera uma série de importantes direitos da pessoa física:
1) Confirmação da existência do tratamento: é o direito garantido ao titular dos dados (a pessoa física) de confirmar se a empresa (seja ela controladora ou operadora) está realizando o tratamento de seus dados pessoais. A resposta pode ser simplificada ("sim" ou "não") ou completa, com indicação da origem dos dados, a existência ou não do registro, os critérios usados e a razão para o uso dos dados da pessoa.
2) Acesso aos dados: a LGPD garante ao titular dos dados o direito de obter uma cópia de seus dados pessoais.
3) Correção de dados: é garantido ao titular o direito à correção de dados incompletos, inexatos ou desatualizados.
4) Anonimização, bloqueio e eliminação de dados: o titular dos dados tem o direito de pedir a anonimização, bloqueio ou eliminação de seus dados pessoais tratados pelas empresas, caso eles sejam desnecessários ou excessivos para a finalidade.
5) Portabilidade dos dados: o titular dos dados tem o direito de solicitar o compartilhamento dos dados fornecidos à empresa. Esses dados deverão ser transferidos em um formato estruturado, que possa ser utilizado por um terceiro.
6) Eliminação de dados tratados: pela LGPD, a pessoa pode solicitar que seus dados pessoais tratados sejam eliminados da base de dados de uma empresa. A exceção fica para os dados necessários ao cumprimento de obrigações legais ou regulatórias.
7) Saber com quem seus dados estão sendo compartilhados: a lei garante às pessoas físicas o direito de saber com quem seus dados estão sendo compartilhados. Isso significa que os termos e condições dos contratos não podem mais conter frases genéricas, como "parceiros terão acesso a seus dados pessoais", ou "suas informações serão compartilhadas com terceiros".
8) Possibilidade de não consentimento: as empresas precisam dar aos usuários informações sobre a possibilidade de não oferecer consentimento quanto ao uso dos dados e informar sobre as consequências desse não-consentimento.
9) Revogação do consentimento: o consentimento dado pelo usuário pode ser revogado a qualquer momento, mediante procedimento gratuito e facilitado.
Como preparar a empresa para a LGPD?
Rever as práticas de opt-in de suas bases de dados
A LGPD vale para todos os dados armazenados pela empresa, e não somente para os que serão coletados a partir de agora. Isso significa que todas as bases de informação atualmente existentes em seu negócio precisam respeitar as normas da nova legislação.
Dessa forma, as bases de dados precisam ser revistas, para que seja possível garantir que 100% dos registros existentes foram coletados com autorização dos clientes. Na maioria absoluta das empresas, em algum momento algum dado foi coletado sem um opt-in explícito, uma vez que as políticas de uso de dados eram mais frouxas no passado. Como consequência, a melhor prática a ser adotada para garantir que todo o seu banco de dados esteja aderente à LGPD é atualizar a formalização do opt-in de todos os seus clientes e sempre manter a opção de opt-out à disposição dos usuários.
A Propz e a LGPD
A Propz está trabalhando para adequar seus processos de coleta e manuseio de dados para atender a todos os requisitos da LGPD. Na empresa, foi criado um grupo de trabalho envolvendo profissionais das áreas de TI, jurídico, financeiro, RH, Marketing e Administrativo, acompanhado e gerenciado por um Process Management Officer (PMO). Dessa forma, o status de todas as atividades vem sendo acompanhado e controlado, com armazenamento das informações de evolução do projeto e revisão de todo o conteúdo.
Nesse processo de adequação às exigências da LGPD, todos os contratos entre parceiros e fornecedores estão sendo revistos, para a inclusão de cláusulas que envolvam a segurança e proteção dos dados.