Carlos Magno Corrêa Dias*

A história da Lei Geral de Proteção de Dados Pessoais (LGPD ou LGPDP) do Brasil, Lei número 13.709/2018, sancionada em 14 de agosto de 2018 e publicada no Diário Oficial da União em 15 de agosto de 2018, teve seu início em novembro de 2010 quando começou o debate sobre a proteção de dados pessoais objetivando-se a elaboração de uma lei específica correspondente.

Registros dão conta que a partir de então até abril de 2011 foram recolhidos posicionamentos e sugestões por intermédio de um blog mantido pelo Ministério da Justiça na plataforma Cultura Digital, do Ministério da Cultura; conjunto de manifestações estas que jamais foram encaminhadas pelo Poder Executivo ao Congresso Nacional.

Entretanto, em junho de 2012, foi apresentado na Câmara dos Deputados o Projeto de Lei número 4.060 o qual resultou das diversas considerações tratadas no V Congresso Brasileiro da Indústria da Comunicação. O PL 4.060/2012 objetivou a regulamentação do tratamento de dados pessoais realizados por pessoas físicas, pela iniciativa privada e pelo Poder Público.

Pretendendo estabelecer princípios, garantias, direitos e obrigações para a proteção de dados pessoais no Brasil; elencar os direitos do titular; determinar o regime jurídico do tratamento de dados pessoais; estabelecer regras para a tutela administrativa dos dados pessoais foi apresentado no Senado Federal o PLS 181/2014.

Em outubro de 2015 foi apresentado à comunidade geral texto oficial sobre os resultados de duas consultas públicas iniciadas em janeiro daquele ano para se colher sugestões com o propósito de se elaborar um anteprojeto de lei que tratasse da proteção de dados das pessoas no Brasil.

Chega-se, então, em maio de 2016 quando foi encaminhado ao Congresso, em regime de urgência, o anteprojeto de lei número 5.276/2016 o qual dispunha “sobre o tratamento de dados pessoais para a garantia do livre desenvolvimento da personalidade e da dignidade da pessoa natural”. Mas, em julho de 2016, é retirado o correspondente regime de urgência e o 5.276/2016 passou a tramitar formalmente na Câmara dos Deputados apensado ao 4.060/12.

O tempo foi passando e o mundo foi instituindo suas leis de proteção de dados tais como o General Data Protection Regulation (GDPR), obrigatório na União Europeia desde 25 de maio de 2018 e aplicável a todos os países da União Europeia (UE), bem como o California Consumer Privacy Act of 2018 (CCPA), implementado nos Estados Unidos da América por iniciativa da Califórnia e aprovado em 28 de junho de 2018.

Entendia-se que as nações inovadoras e desenvolvidas necessitavam de uma legislação específica e urgente para proteção de dados e da privacidade dos seus cidadãos. E o Brasil entendeu que não poderia ficar de fora da correspondente onda para garantir segurança dos dados de seus cidadãos e para assegurar, também, a adequação da inteligência empresarial visando fortalecer a cultura da integridade organizacional.

Assim, em 14 de julho de 2018 era aprovado no Senado do Brasil, com vetos, o Projeto de Lei da Câmara 53/2018 o qual regulamentou o uso, a proteção e a transferência de dados pessoais no Brasil dando aos cidadãos garantias de maior controle sobre suas informações pessoais tais como a exigência de consentimento explícito para coleta e uso dos dados, tanto pelo poder público quanto pela iniciativa privada e a obrigatoriedade de oferta de opções para o usuário de poder visualizar, corrigir ou excluir seus dados a qualquer tempo que desejar. O PL 53/2018 gerou a Lei número 13.709.

A Lei número 13.709/2018, de 14 de agosto de 2018, é, então, a Lei Geral de Proteção de Dados Pessoais (LGPD ou LGPDP) do Brasil a qual dispõe sobre a proteção de dados pessoais no Brasil e altera os artigos 7º e 16 da Lei número 12.965/2014, de 23 de abril de 2014, o chamado Marco Civil da Internet.

Inicialmente foi previsto que a Lei 13.709/2018 (publicada no Diário Oficial em 15/08/2018) entrasse em vigor 18 meses após sua publicação oficial. Assim, deveria estar em vigência em fevereiro de 2020.

Todavia, por intermédio da Medida Provisória número 869, de 27 de dezembro de 2018, alterou-se o início da vigência da 13.709/2018 para agosto de 2020. Pela MP 869/2018 criou-se, também, a ANPD (Autoridade Nacional de Proteção de Dados) a qual “é o órgão da Administração Pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional”. 

Mas, a LGPD entrou em vigor, de fato, no dia 18 de setembro de 2020 com a sanção da Lei 14.058/2020, originada da Medida Provisória 959/20.

No artigo 4º da MP 959/20, de 29 de abril de 2020, foi incluído disposição que previa o adiamento da entrada em vigor da LGPD, para maio de 2021. Entretanto, a 959/20 ao passar pelo Congresso Nacional não teve o correspondente dispositivo aprovado; sendo, então, necessária a sanção da 14.058/2020 para que a LGPD entrasse em vigor.

Cabe ressaltar, a propósito, que MP 869/2018 foi convertida na Lei 13.853/2019 datada de 8 de julho de 2019 a qual, também, promoveu algumas modificações na Lei 13.709/2018 e assegurou autonomia técnica e decisória à ANPD embora a ANPD esteja vinculada à Presidência da República.

A LGPD passa a determinar que no Brasil todos os dados pessoais somente poderão ser coletados mediante o consentimento expresso do usuário. A nova legislação está fundamentada em valores como “o respeito à privacidade; à autodeterminação informativa; à liberdade de expressão, de informação, comunicação e de opinião; à inviolabilidade da intimidade, da honra e da imagem; ao desenvolvimento econômico e tecnológico e a inovação; à livre iniciativa, livre concorrência e defesa do consumidor e aos direitos humanos de liberdade e dignidade das pessoas”.

De forma assaz resumida na prática a LGPD proíbe (efetivamente) o uso indiscriminado de dados pessoais que se encontram registrados nos mais diversos cadastros, bem como vem garantir ao cidadão o direito de saber como serão utilizadas suas informações e por que as mesmas estão sendo coletadas.

Informações pessoais consideradas sensíveis como dados relacionados com origem racial, étnica, convicção religiosa, opinião política, saúde, vida sexual, dentre outros, passam a ter a obrigatoriedade de tratamento diferenciado e devem ser protegidos com o necessário sigilo. Pela LGPD criam-se, assim, novos conceitos jurídicos como “dados pessoais” e “dados sensíveis” e se definem as condições nas quais tais dados poderão ser tratados, bem como são estabelecidos os direitos para os titulares dos dados e obrigações específicas para os controladores dos dados.

Assim, os controladores dos dados, por exemplo, passam a ser obrigados a explicar ao proprietário do dado o motivo pelo qual determinado dado pessoal será utilizado além de ser necessário, também, o consentimento prévio expresso da pessoa antes da utilização ou do compartilhamento de alguma informação pessoal.

Além das definições de controladores de dados, dados pessoais e dados pessoais sensíveis a LGPD apresenta, também, a caracterização dos seguintes outros conceitos: agentes de tratamento, anonimização, autoridade nacional, banco de dados, bloqueio, consentimento, dado anonimizado, eliminação, encarregado, operador, órgão de pesquisa, relatório de impacto à proteção de dados pessoais, titular, transferência internacional de dados, tratamento, e, uso compartilhado de dados; os quais estão devidamente caracterizados no texto da lei.

A partir da vigência da LGPD todo cidadão poderá exigir de qualquer organização a informação sobre a existência de algum dado seu armazenado em quaisquer arquivos e, se for do seu desejo, o proprietário (titular) dos dados poderá solicitar que todos os seus dados armazenados sejam apagados.

No artigo 18 da LGPD é estabelecido o conjunto de direitos dos titulares dos dados pessoais. Além da confirmação se as organizações possuem dados seus os proprietários dos dados poderão solicitar: acesso irrestrito aos seus dados; consentimento do uso de seus dados; correção de dados incompletos, inexatos ou desatualizados; bloqueio, eliminação ou anonimização de seus dados; portabilidade de seus dados a outro fornecedor de serviço ou produto; revogação de consentimento de uso de seus dados; revisão de decisões automatizadas; informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados; informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; bem como apresentar oposição ao tratamento realizado com seus dados.

É um novo mundo que se institui a partir da LGPD. A lei enquadra todo e qualquer tipo de organização, seja ela pública ou privada, grande ou pequena, que de alguma forma necessite gerenciar dados pessoais e impõe sanções pesadas para o descumprimento das correspondentes normas. Assim, é mais que o necessário a urgente adequação para não sofrer os impactos negativos das possíveis violações da LGPD.

De acordo com o previsto no artigo 52 as sanções administrativas para o descumprimento da LGPD são as seguintes: advertência com exigência de se informar prazo para adoção de medidas corretivas; multa simples, de até 2% do faturamento líquido da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, limitada, no total, a R$ 50.000.000,00 por infração; multa diária; publicização da infração após apuração e confirmação de sua ocorrência; bloqueio dos dados pessoais que motivaram a infração até que seja regularizada a infração; e, eliminação dos dados pessoais que motivaram a infração.

Caberá à ANPD assegurar o cumprimento da LGPD. A ANPD é o órgão responsável por fiscalizar a segurança dos dados pessoais e poderá solicitar sempre que julgar necessário relatórios de privacidade às organizações para verificação se as condutas praticadas são condizentes com o estabelecido pela LGPD.

Para garantir o cumprimento da LGPD serão, também, necessários os denominados agentes de tratamento de dados, quais sejam: agente controlador que será o responsável pelas decisões sobre o tratamento dos dados; agente operador que deverá executar o tratamento dos dados conforme definido pelo controlador; e agente encarregado que terá a função de estabelecer a interação com os cidadãos e a autoridade nacional; este último podendo ou não existir dependendo do porte da empresa.

Saliente-se que o encarregado de dados deverá atuar como um canal de comunicação entre o controlador e os titulares dos dados, bem como entre o controlador e a ANPD. Sem dúvida com a LGPD a segurança da informação atinge um novo e mais elevado patamar.

Mas, em muito a LGPD poderá gerar graves problemas tanto para as organizações quanto para o próprio país seja pela desinformação que está gerando um certo pânico por não se saber ao certo como se deve proceder para estabelecer a compatibilidade com as normas, ou pelo custo extra de se colocar os dados dos clientes em concordância com a lei, ou pela maior burocracia com o trato com os clientes, ou pela dificuldade de se aceitar o controle externo por parte do governo para regular como tratar os dados dos clientes, ou pelas multas elevadas que serão aplicadas caso não se cumpra a LGPD. Sem mencionar, é claro, as inúmeras fakes news que já se espalham por todo canto dificultando ainda mais tanto a compreensão da lei quanto sua aceitação.

De outro lado, as novas regulamentações de proteção e privacidade de dados instituem desafios no campo da segurança de dados jamais imaginados haja vista que os “invasores” de sistemas, por exemplo, têm agora um vasto universo de possibilidade para expandirem seus atos ilícitos (de posse de dados) ao forçarem as organizações a pagarem o preço de inúmeras chantagens que poderão estabelecer.

Com a LGPD as organizações serão obrigadas a exercer a governança de uma forma muito mais dinâmica e segundo um padrão híbrido de planejamento e prática quase que simultâneo a fim de cumprir e se fazer cumprir as correspondentes normas da LGPD.

Uma profunda mudança cultural empresarial e social será necessária na sociedade brasileira. As operações empresariais e governamentais terão que “construir” e disseminar a cultura de privacidade que somente se efetivará quando se tiver conscientização efetiva e eficiente que a governança corporativa centrada em compliance for direcionada em prol da proteção de dados pessoais.

Em termos culturais a LGPD é um enorme passo em direção a uma nova perspectiva tanto nos negócios quanto na vida das pessoas, pois respeitar e proteger os dados particulares dos indivíduos que confiam suas informações confidenciais às organizações passa a ser um novo patamar evolutivo no campo da responsabilidade social corporativa e da preservação da privacidade das pessoas. A governança corporativa terá no cuidado com o dado sua maior preocupação.

Seja como for, evitar o vazamento de dados pessoais nunca foi tão desafiador e necessário para as organizações de todos os portes quanto agora com a LGPD. Muito trabalho está sendo exigido e muito mais expertise será imprescindível ainda para se fazer cumprir a LGPD na íntegra seguida e continuamente. Porém, inúmeros são os benefícios que a LGPD trará para o futuro próximo.

A segurança (a cyber-segurança, a segurança cibernética) dos dados em si talvez seja o maior benefício que a LGPD obrigará ser atingida incondicionalmente. A partir da LGPD as organizações não mais poderão ignorar a segurança ou relegá-la a um segundo plano, pois as elevadas multas vão condicionar a elaboração de sistemas de segurança cada vez mais sofisticados e precisos. Além do mais, se a segurança dos dados não for atingida os negócios serão fortemente comprometidos, e, se tudo estiver em conformidade com a LGPD o aumento da confiança do consumidor vai promover maior competitividade e lucros.

Outro importante avanço que a LGPD vai promover é acelerar o desenvolvimento de novas tecnologias tanto para aumentar a eficiência do gerenciamento da crescente demanda de dados como melhorar o próprio controle sobre eventuais violações dos dados. Novas tecnologia apoiadas pela inteligência artificial integrarão cada vez mais os sistemas de segurança e monitorarão em tempo real os dados objetivando sempre manter a integridade dos dados. Serão criados robôs cada vez mais sofisticados para evitar ou corrigir quaisquer anomalias e garantir o não comprometimento dos sistemas.

A despeito das vantagens ou das desvantagens que vão surgindo com a LGPD certo é que a LGPD impacta direta e intensamente em todos os setores da sociedade que de alguma forma estão relacionados com o uso de dados pessoais, pois o titular do dado pessoal, que é ponto focal da lei, passa a ser, efetivamente, reconhecido como elemento fundamental para a tomada de decisões e para o sucesso das organizações. A LGPD é uma sinalização positiva quanto ao tratamento responsável dos dados das pessoas e impõe a ressignificação do dado pessoal como um bem de valor do indivíduo e que deve sempre deverá protegido.

*Carlos Magno Corrêa Dias é professor, pesquisador, conselheiro efetivo do Conselho das Mil Cabeças da CNTU, conselheiro sênior do Conselho Paranaense de Cidadania Empresarial (CPCE) do Sistema Fiep, líder/fundador do Grupo de Pesquisa em Desenvolvimento Tecnológico e Científico em Engenharia e na Indústria (GPDTCEI), líder/fundador do Grupo de Pesquisa em Lógica e Filosofia da Ciência (GPLFC), personalidade empreendedora do Estado do Paraná pela Assembleia Legislativa do Estado do Paraná (Alep).