O que você precisa saber sobre a Lei Geral de Proteção de Dados?

Se entendermos o básico a respeito da Lei Geral de Proteção de Dados Pessoais, perceberemos que basta um pouco de compromisso e trabalho para implementar um bom programa em sua empresa.

O motivo do tratamento de dados ser tão importante é que se uma empresa quer ter competitividade, ela precisa se adequar à LGPD.

A Lei Geral de Proteção de Dados é uma Lei que objetiva regular o modo como as empresas devem tratar os dados pessoais que são coletados.

Isso vale para os dados pessoais de clientes, empregados, fornecedores e parceiros comerciais. Ou seja, todas as empresas, hora ou outra, farão tratamento de dados pessoais.

E, para entender tudo sobre a lei, existem algumas perguntas simples que podem responder muitas questões sobre o tema. Vamos a elas!

O que são dados pessoais?

Assim como o próprio nome indica, dados pessoais são constituídos de toda informação relacionada à pessoa natural, identificada ou identificável.

Para entender melhor, confira alguns pontos importantes:

• Uma pessoa jurídica não é titular de dados pessoais, somente uma pessoa natural. CNPJ e razão social não entram na lista.
• Se os dados pessoais forem anonimizados, eles deixam de se sujeitar à LGPD.

Tais dados se caracterizam por serem relativos ao titular que não pode ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.

Porém, se a anonimização for feita de forma inadequada, o titular passa a ser identificável. E, se isso acontecer, ele pode se adequar à LGPD.

• Os dados pseudoanônimos também não são dados pessoais.

Um dado é considerado pseudoanônimo quando perde a possibilidade de associação com o titular, direta ou indiretamente, a não ser pelo uso de informação adicional.

Essa informação adicional é mantida separadamente e em ambiente controlado e seguro, de modo que, sem ela, os dados se tornam anônimos.

Esse método pode ser utilizado em alguns casos específicos para compartilhar dados anonimizados sem perder a conexão com o titular, caso seja necessário.

Quem são os agentes de tratamento de dados?

Os agentes que fazem esse tipo de serviço são chamados de operador e controlador. A Lei determina um conceito específico para esses dois tópicos:

• Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais
• Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.

De forma bem objetiva, o Controlador é a pessoa, física ou jurídica, que vai ditar as regras do jogo, determinando quem vai dizer como os dados serão tratados e, geralmente, quem vai fazer uso econômico dessas informações.

Já o Operador é a mão de obra. A entidade legal separada do Controlador que vai fazer o tratamento dos dados pessoais de forma direta.

O Operador também é conhecido como DPO – Data Protection Officer, que pode ser pessoa jurídica ou física, contratado externo ou um empregado treinado dentro da própria empresa.

Quais são os requisitos para realizar o tratamento de dados?

Esses requisitos se encontram no artigo 7º da LGPD.

Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:

I – Mediante o fornecimento de consentimento pelo titular;

O consentimento é a forma mais simples de se fazer a coleta e tratamento dos dados pessoais, já que basta somente o aceite da Política de Privacidade pelo usuário ou cliente.

Claro que isso não exclui o dever do Controlador de tratar apenas os dados necessários à execução do serviço, conforme a finalidade da empresa e do próprio tratamento que será realizado.

Também não exclui a obrigação de fazer uma Política de Privacidade clara, deixando transparente todo o processo de tratamento de dados.

Outro detalhe que deve ser considerado antes de usar o consentimento como base legal: ele pode ser revogado a qualquer momento. Esse é um direito fundamental do titular dos dados pessoais.

Se a revogação for requerida e não houver outra base legal para o tratamento, o Controlador deve parar de fazer o tratamento imediatamente, sob pena de arcar com as sanções previstas na LGPD.

V – Quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;

Esse requisito trata da coleta de dados preliminares à realização do negócio, ou seja, uma avaliação inicial que precisa ser feita para saber se o contrato vai ser fechado ou para que o contrato seja fechado.

Isso é tratamento de dados. A base legal é essa prevista no inciso V do artigo 7º da LGPD e pode ser aplicada em vários modelos de negócio.

IX – Quando necessário para atender aos interesses legítimos do controlador ou de terceiros, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais;

Essa última hipótese é mais sensível, mas pode ser utilizada com inteligência para tratar dados pessoais que não seriam necessários, a princípio, para cumprimento da finalidade da empresa.

Isso porque o “legítimo interesse do controlador” somente poderá fundamentar tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas.

A própria LGPD fornece duas opções de finalidade legítima:

• Apoio e promoção de atividades do controlador: Ou seja, ainda que não se trate de um tratamento necessário para realização do serviço que foi contratado, a empresa pode usar os dados para promover as suas atividades.
• Proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem: Ou seja, se for necessário para que desenvolvimento de um serviço inovador ou de uma tecnologia que vai beneficiar o próprio titular.