LGPD – Lei Geral de Proteção de Dados
A Lei Geral de Proteção de Dados Pessoais (LGPD) será aplicada em agosto de 2020.
O Brasil tem mais de 140 milhões de usuários de internet. É o maior mercado de internet da América Latina e o quarto maior do mundo em número de usuários. Já possui mais de quarenta normas legais no nível federal que tratam da proteção e privacidade de dados, causando uma estrutura legal cruzada.
No entanto, são de natureza setorial, o que significa que se relacionam separadamente e especificamente com bancos, imóveis, proteção ao consumidor e afins.
A LGPD (Lei Geral de Proteção de Dados) – visa substituir esse cenário legal fraturado por uma estrutura reguladora abrangente.
Ela capacitará os indivíduos com um conjunto simplificado de direitos, em vez da proteção parcial das leis setoriais em vigor atualmente. A lei é inspirada no Regulamento Geral de Proteção de Dados da UE e alguns até chamam de “GDPR do Brasil”. Se você já é compatível com o GDPR, está partialmente alinhado com a LGPD.
Quando a LGPD será aplicada?
É oficialmente abreviado para LGPD, embora seja mais conhecido como Lei Geral de Proteção de Dados. Foi aprovada em 14 de agosto de 2018 e sancionada conclusivamente pelo presidente Bolsonaro em julho de 2019. A data efetiva da aplicação da LGPD é 15 de agosto de 2020.
Dados pessoais
Embora o LGPD não tenha uma definição única para dados pessoais, se você ler a totalidade do texto, poderá ver ecos da definição de dados pessoais do GDPR.
O LGPD declara em vários lugares que dados pessoais podem significar quaisquer dados que, por si só ou combinados com outros dados, possam identificar uma pessoa natural ou submetê-los a um tratamento específico.
Embora essa definição provavelmente seja esclarecida à medida que o Brasil se aproxima da implementação do LGPD, como atualmente declarado, o LGPD tem uma visão ampla de quais dados se qualificam como dados pessoais, ainda mais expansivos que o GDPR.
Direitos do titular dos dados
O Artigo 18 é outra seção do LGPD que parecerá familiar para as empresas que lidaram com a conformidade com o GDPR. Explica os nove direitos fundamentais que os titulares dos dados possuem, incluindo:
- Confirmação da existência do processamento;
- Acessar os dados;
- Corrigir dados incompletos, imprecisos ou desatualizados;
- Anonimizar, bloquear ou excluir dados ou dados desnecessários ou excessivos que não estão sendo processados em conformidade com o LGPD;
- Portabilidade de dados para outro fornecedor de serviços ou produtos, mediante solicitação expressa
- Excluir dados pessoais processados com o consentimento do titular dos dados;
- Informações sobre entidades públicas e privadas com as quais o controlador compartilhou dados;
- O direito a informações sobre a possibilidade de negar o consentimento e as consequências de tal negação; e
- Revogar o consentimento.
Embora o GDPR seja conhecido por conceder a seus titulares oito direitos fundamentais, eles são essencialmente os mesmos direitos mencionados pelo LGPD. Na verdade a LGPD dividiu “O direito à informação sobre entidades públicas e privadas com as quais o controlador compartilhou dados” do “Direito de ser informado” mais geral do GDPR, para torná-lo mais explícito.
Diferenças entre a LGPD e o GDPR
Apesar de seus objetivos semelhantes e da aparente influência que o GDPR teve sobre os legisladores brasileiros, existem algumas diferenças importantes a serem observadas entre os dois atos legislativos.
Responsáveis pela proteção de dados
Ambos os atos exigem que empresas e organizações contratem um DPO (Data Protection Officer). No entanto, enquanto o GDPR delineia quando um DPO é necessário, o Artigo 41 no LGPD simplesmente diz: “O responsável pelo tratamento deve nomear um oficial encarregado do processamento de dados”, o que sugere que qualquer organização que processe os dados das pessoas no Brasil precisará contratar um DPO. Essa é outra área que provavelmente receberá mais esclarecimentos, mas, como está escrito, é uma das poucas áreas em que o LGPD é mais rigoroso que o GDPR.
Base jurídica para o processamento de dados
Possivelmente, a diferença mais significativa entre o LGPD e o GDPR diz respeito ao que se qualifica como base legal para o processamento de dados. O GDPR possui seis bases legais para processamento. E um controlador de dados deve escolher uma delas como justificativa para o uso das informações de um titular de dados. No entanto, no artigo 7, o LGPD lista 10. Eles são:
- Com o consentimento do titular dos dados;
- Cumprir uma obrigação legal ou regulamentar do controlador;
- Executar políticas públicas previstas em leis ou regulamentos ou baseadas em contratos, acordos ou instrumentos similares;
- Realizar estudos de entidades de pesquisa que garantam, sempre que possível, o anonimato dos dados pessoais;
- Executar um contrato ou procedimentos preliminares relacionados a um contrato do qual o titular dos dados é parte, a pedido do titular dos dados;
- Exercer direitos em procedimentos judiciais, administrativos ou de arbitragem;
- Proteger a vida ou a segurança física do titular dos dados ou de terceiros;
- Proteger a saúde, em procedimento realizado por profissionais de saúde ou por entidades de saúde;
- Atender aos interesses legítimos do responsável pelo tratamento ou de terceiros, exceto quando prevalecerem os direitos e liberdades fundamentais do titular dos dados, que exigem proteção de dados pessoais; ou
- Para proteger o crédito (referente a uma pontuação de crédito).
Ter a proteção do crédito como base legal para o processamento de dados é, de fato, um afastamento substancial do RGPD.
Relatar violações de dados
Embora o GDPR e o LGPD exijam que as organizações relatem violações de dados à autoridade local de proteção de dados, o nível de especificidade varia amplamente entre as duas leis.
O GDPR é explícito: uma organização deve relatar uma violação de dados dentro de 72 horas após sua descoberta.
O LGPD não fornece um prazo firme: o artigo 48 limita-se a afirmar que “o responsável pelo tratamento deve comunicar à autoridade nacional e ao titular dos dados a ocorrência de um incidente de segurança que possa criar riscos ou danos relevantes aos titulares dos dados… em um período de tempo razoável, conforme definido pela autoridade nacional. ” Como a agência nacional de proteção de dados ainda não foi estabelecida, não há orientação para o que constitui um ” período de tempo razoável “.
Multas
Um regulamento é tão forte quanto seus dentes. É por isso que as multas máximas do GDPR são substanciais, exigindo que as organizações que cometem graves violações do GDPR paguem até € 20 milhões ou 4% da receita global anual, o que for maior.
As multas sob o LGPD são um pouco menos severas. O artigo 52 declara que a multa máxima por violação é “2% da receita de uma pessoa jurídica, grupo ou conglomerado no Brasil, no ano fiscal anterior, excluindo impostos, até um total, de 50 milhões de reais”.
Vídeo sobre LGPD: https://www.youtube.com/watch?v=dPipsp5arAc
Vídeo sobre GDPR: https://www.youtube.com/watch?v=TirJxY2F-Ms
Soluções de LGPD da Bravo Tecnologia: https://bravotecnologia.com.br/solucoeslgpd/
