LGPD: A importância da segurança de dados para sua empresa
A Lei Geral de Proteção de Dados (LGPD) foi sancionada em 2018 no Brasil e entrou em vigor em setembro de 2020, cumprindo o prazo de 18 meses para as empresas se adaptarem às novas regras. A LGPD será regulada pela Autoridade Nacional de Proteção de Dados, a ANPD, que divulgou em janeiro de 2021 a agenda regulatória bianual com itens prioritários nessa primeira fase de aplicação da Lei.
Desde 1º de agosto de 2021, as sanções previstas pela LGPD começaram a valer e as empresas que não cumprirem as regras da Lei podem ser punidas com multas que chegam a até R$ 50 milhões.
Sabendo que esse é um assunto complexo, mas de extrema importância, a INDICO irá explicar o que é a LGPD e por que sua empresa e consumidores devem estar atentos a ela.
O que é a LGPD e de onde ela surgiu?
Primeiramente, precisamos entender que a LGPD é uma lei voltada para qualquer atividade que envolva coleta e fornecimento de dados pessoais com objetivo de proteger pessoas físicas e jurídicas e seus direitos fundamentais de liberdade e privacidade.
A LGPD prevê condutas e mudanças para que as organizações estabeleçam regras claras sobre coleta, armazenamento, tratamento e compartilhamento de dados pessoais, para que esse processo tenha maior proteção e segurança. Se a Lei não for cumprida, a organização está sujeita a penalidades significativas.
A Lei entende “dado pessoal” como “informação relacionada a pessoa natural identificada ou identificável”, e impõe que empresas e organizações esclareçam a necessidade da coleta de tais dados, fornecidos apenas após o consentimento do titular (art. 8º).
Tal necessidade entra no rol dos 10 princípios básicos para coleta de dados, dentre os quais estão o princípio da finalidade, da adequação, da necessidade e da transparência.
No total, a Lei detalha quatro agentes diferentes nesse processo:
- Titular: proprietário dos dados e responsável por consentir o fornecimento de suas informações pessoais.
- Controlador: empresa ou pessoa física que coleta dados pessoais e é responsável pelas decisões sobre a finalidade do tratamento dos dados e o que será feito com eles.
- Operador: empresa ou pessoa física que realiza o tratamento e processamento de dados pessoais seguindo ordens do controlador.
- Encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados.
Apesar do cenário promissor na proteção de dados no Brasil - um país que sofre constantemente com mega vazamentos de dados - a LGPD é considerada tardia, e é baseada em uma rigorosa regulamentação da União Europeia que é discutida desde 2012 e que se tornou a General Data Protection Regulation, ou GDPR.
GDPR
A GDPR, aprovada em 2016, é o regulamento oficial de proteção de dados da União Europeia que é tratado como referência para diversos países que adotam esse tipo de legislação ou aprimoram as já existentes.
A discussão dessa lei, que se iniciou em 2012, foi motivada pelo Data Protection Directive, regulamento que datava da década de 90 e não condizia com o cenário tecnológico em que o mundo estava se inserindo.
Vale ressaltar, também, que a União Europeia considera a proteção de dados um direito de seus cidadãos, o que também alimentou a discussão e estruturação da regulamentação.
No contexto de amplo uso das redes sociais e de outros canais online, a GDPR levantou questões éticas acerca do uso de dados dos usuários, exigindo que as empresas fossem transparentes e responsáveis com a coleta e análise de dados dos clientes.
GDPR X LGPD
A GDPR e a LGPD possuem algumas semelhanças, como: consentimento do usuário para a utilização de seus dados pessoais, determinação de bases legais para o processamento de dados e direito ao usuário de acessar suas informações que são utilizadas pela empresa.
Entretanto, podemos também citar algumas diferenças entre as duas legislações:
- A GDPR permite que o usuário se oponha a qualquer momento à utilização de seus dados para fins de marketing; já a LGPD não trata diretamente da utilização de dados para esse fins.
- As multas da GDPR variam entre 2% a 4% do faturamento da empresa, enquanto as multas da LGPD se limitam a 2%.
- A GDPR determina que problemas com vazamentos de dados sejam notificados aos usuários em um prazo de 3 dias, a LGPD não determina um tempo específico para o aviso desses incidentes.
O que muda com a LGPD?
Com a nova lei, as empresas devem adequar diferentes procedimentos na coleta e no tratamento de dados. Além disso, a legislação oferece mais segurança jurídica para usuários e para quem está coletando os dados.
A LGPD traz mais controle sobre as informações que estão sendo coletadas e qual a finalidade dessa coleta, deixando claro para os usuários tudo que será feito com suas informações fornecidas.
Um dos mecanismos da lei é o consentimento dos usuários ao fornecer algum dado pessoal. É por isso que atualmente muitos sites criam pop-ups específicos sobre políticas de cookies, utilizados para enviar às empresas algum tipo de comportamento do usuário na internet.
Agora, os usuários também passam a ter direito de solicitar esclarecimentos sobre suas informações, quais dados uma empresa tem sobre ela e até pedir que sejam excluídos. Essas e outras demandas são parte do trabalho da Autoridade Nacional de Proteção de Dados (ANPD), agência federal responsável por fiscalizar e editar as diretrizes da LGPD.
Quem precisa se adequar à LGPD?
Todas as organizações, sediadas no Brasil ou no exterior, com operações no país ou não, que trabalham com coleta e tratamento de dados de cidadãos brasileiros em território nacional. Empresas como Amazon, Netflix, Google devem seguir a LGPD mesmo se coletarem dados de brasileiros aqui e gerenciá-los em outros países.
Empresas com sede fora do Brasil e que trabalhem com parcerias internacionais poderão transferir os dados coletados para o exterior, desde que o país de destino também tenha leis abrangentes sobre tratamento de informações pessoais ou garanta mecanismos de proteção ao usuário similares à legislação brasileira.
Como as empresas devem se adequar à LGPD?
Muitas empresas estão despreparadas para lidar com essa nova fase da era dos dados e cumprir com a LGPD, pois estão focadas unicamente em seu core business, em como trabalhar suas marcas e alcançar as metas individuais de cada organização.
Adequar-se à LGPD é um processo complexo e constante, mas existem alguns passos que todas as empresas devem seguir para cumprirem com a Lei. O primeiro é conhecê-la bem, pois suas diretrizes guiarão todos os novos processos relacionados a dados e devem ser adotadas integralmente.
Montar um comitê interno responsável por monitorar e analisar a segurança de dados dentro da empresa também é de extrema importância para que profissionais de diversas áreas acompanhem e fiscalizem a atuação da empresa sob as regras da LGPD. Além disso, é necessário entender como a empresa lida com seus dados no momento atual e identificar possíveis ameaças para que processos e sistemas sejam estruturados de forma sólida e segura.
Por fim, o ponto mais importante é adotar a segurança de dados como um dos pilares da empresa, pois apenas assim é possível seguir a LGPD com responsabilidade e ética.
