Lei Geral de Proteção de Dados do Brasil

Na sua mais recente aposta em ordem e progresso, o Brasil aprovou a Lei Geral de Proteção de Dados (LGPD). A legislação visa proteger as informações pessoais e a privacidade dos cidadãos brasileiros, estabelecendo diretrizes sobre a forma como esses dados podem ser tratados e recolhidos pelas organizações. (Dica: apenas com autorização.) Ajuda a uniformizar e clarificar mais de 40 diplomas anteriores (por vezes contraditórios) que regulavam os dados pessoais e aplica-se tanto a empresas e organizações brasileiras como internacionais.

Termos a conhecer sobre a LGPD do Brasil 

• Dados pessoais: qualquer informação que identifique ou diga respeito a uma pessoa singular, como o nome, o apelido, a alcunha, o número de identificação, etc.
• Titular dos dados: a pessoa a quem os dados pessoais dizem respeito.
• Tratamento de dados: qualquer operação realizada com dados pessoais, como a recolha, a conservação, a utilização ou a divulgação de informações.
• Responsável pelo tratamento: a pessoa responsável pelas decisões sobre a forma como os dados pessoais são utilizados ou tratados. É, em última instância, responsável pelo cumprimento ou incumprimento das normas da LGPD pela sua empresa.
• Consentimento: autorização ou acordo livre e informado. Neste caso, a autorização do titular dos dados para que as suas informações sejam tratadas para uma determinada finalidade.
• Autoridade Nacional de Proteção de Dados (ANPD): organismo do governo federal brasileiro encarregado de supervisionar a regulamentação, o cumprimento e a aplicação da LGPD.
• Encarregados da proteção de dados: pessoa que representa a organização que trata dados pessoais e que é responsável pela comunicação entre a sua empresa, a ANPD e os titulares dos dados. Normalmente, tem formação em Direito ou em TI.

O que faz a LGPD 

A LGPD exige que os responsáveis pelo tratamento adotem práticas técnicas e administrativas que regulem como e porquê os dados pessoais podem ser tratados (em formato eletrónico ou físico) e que protejam os dados pessoais que tratam contra acesso não autorizado, perda, alteração e/ou exposição.

Dez direitos dos titulares dos dados

A LGPD do Brasil estabelece dez direitos dos titulares dos dados, que constituem a base de todos os requisitos de tratamento impostos às empresas ou organizações:

1. O direito de confirmar que os seus dados foram tratados;
2. O direito de aceder aos seus dados;
3. O direito de corrigir dados incompletos, inexatos ou desatualizados;
4. O direito de anonimizar, bloquear ou eliminar dados desnecessários ou excessivos, ou dados que não estejam a ser tratados em conformidade com a LGPD;
5. O direito de transferir os seus dados para outro prestador de serviços ou fornecedor de produtos;
6. O direito de eliminar os dados pessoais tratados com o seu consentimento;
7. O direito a informações sobre as entidades públicas e privadas com as quais o responsável pelo tratamento partilhou os seus dados;
8. O direito a informações sobre o que acontece se recusarem o consentimento;
9. O direito de revogar o seu consentimento.
10. O direito à portabilidade dos dados, que permite ao titular solicitar uma cópia completa dos seus dados num formato utilizável pela concorrência.

Requisitos para os responsáveis pelo tratamento/organizações

A LGPD exige que os responsáveis pelo tratamento/organizações:

• Nomeiem um encarregado da proteção de dados para gerir pedidos ou reclamações de clientes, cuja identidade e informações de contacto sejam públicas e claras, de preferência no seu site;
• Mantenham um registo das operações de tratamento que realizam;
• Informem, corrijam, eliminem, anonimizem ou transfiram dados pessoais conforme solicitado pelo titular dos dados;
• Removam os dados quando a relação terminar;
• Implementem medidas administrativas e de segurança para proteger a segurança dos dados contra roubo, acesso não autorizado, acidentes ou outros problemas;
• Comuniquem quaisquer violações de dados aos titulares dos dados, às autoridades locais e à ANPD.

Existem dez bases legais ao abrigo das quais as empresas podem tratar dados pessoais. Os dados podem ser tratados:

1. Para finalidades legítimas, específicas e explícitas com as quais o titular dos dados tenha concordado;
2. Para cumprir uma obrigação legal ou regulamentar;
3. Para executar políticas públicas com base em contratos legais, acordos ou instrumentos semelhantes;
4. Para executar um contrato a pedido do titular dos dados (como uma compra ou transação);
5. Para a realização de estudos de investigação, garantindo, sempre que possível, a anonimização dos dados pessoais;
6. Para o exercício de direitos em processos judiciais, administrativos ou arbitrais;
7. Para a proteção da vida ou da integridade física do titular dos dados ou de terceiros;
8. Para a proteção da saúde, em procedimentos realizados por profissionais ou entidades de saúde;
9. Quando necessário para satisfazer os interesses legítimos do responsável pelo tratamento ou de terceiros;
10. Para a proteção do crédito.

O que faz a ANPD 

A Autoridade Nacional de Proteção de Dados (ANPD) é o organismo do governo federal brasileiro, ainda por constituir, encarregado de supervisionar a regulamentação, o cumprimento e a aplicação da LGPD. Embora esteja sob a direção do presidente, a ANPD tem poderes de decisão. Será composta por um conselho consultivo de 28 membros, dividido em vários grupos: o Conselho Diretor, o Conselho Nacional, uma Corregedoria e outras unidades especializadas em matérias jurídicas e de fiscalização.

Será responsável por:

• Fornecer interpretação e orientações práticas sobre como aplicar a LGPD;
• Investigar e auditar reclamações ou violações comunicadas e trabalhar com o encarregado da proteção de dados para encontrar uma solução;
• Aplicar sanções por infrações relativas ao tratamento de dados;
• Realizar estudos, debates públicos e audiências sobre a proteção de dados pessoais.

Quando entrou em vigor a LGPD 

A lei entrará em vigor a 1 de janeiro de 2021.

As sanções por incumprimento da LGPD foram adiadas até 1 de agosto de 2021.

Recomendações 

• Antes de mais, esperar até ao último momento para cumprir a lei pode ser um erro dispendioso. O incumprimento pode resultar em coimas de até 2% da faturação no Brasil relativa ao exercício fiscal anterior, até um máximo de 50 milhões de reais por infração (aproximadamente 12,9 milhões de USD ou 11,2 milhões de EUR).
• Nomeie um encarregado da proteção de dados para supervisionar o tratamento e a segurança dos dados e publique claramente o respetivo nome e informações de contacto no seu site.
• Peça sempre consentimento. Seja claro e transparente sobre como e porquê os dados dos clientes são tratados e facilite a adesão ou a recusa.
• Conserve os dados apenas durante o tempo necessário para processar uma transação e não mais do que isso.
• Documente todo o seu processo de tratamento: como recolhe, conserva, utiliza e partilha dados pessoais? Poderá ser-lhe pedido que apresente essa documentação, pelo que é melhor tê-la preparada.
• Agende auditorias regulares. As fugas de dados são extremamente dispendiosas em termos de recursos e reputação. Estar atento permite-lhe detetar erros ou agentes mal-intencionados mais rapidamente, e ser proativo é sempre preferível a ser apanhado em falta.

Mais informações 

• Site oficial da LGPD

Perguntas frequentes