Especialista explica a aplicação da Lei Geral de Proteção de Dados

A Lei Geral de Proteção de Dados, mais conhecida pela sigla LGDP, completou, no último dia 14 de agosto, quatro anos de publicação. O texto é a primeira legislação voltada exclusivamente para a preservação da privacidade de dados dos cidadãos brasileiros. Além disso, aproxima o Brasil de um antigo foco: a entrada na Organização para a Cooperação e Desenvolvimento Econômico (OCDE).

Para falar sobre o tema e tirar dúvidas, entrevistamos a professora e advogada Ana Luiza Rebouças, especialista em LGPD. Confira:

O que é Lei Geral de Proteção de Dados e para que serve?

Essa lei foi promulgada em 2018, mas entrou em vigência a partir de setembro de 2021. Representa um marco histórico na regulamentação sobre o tratamento de dados pessoais no Brasil, tanto para meios físicos quanto para os meios digitais. Tem como objetivo proteger os direitos fundamentais de liberdade e de privacidade, bem como o livre desenvolvimento da personalidade da pessoa natural (direitos da personalidade).

A lei se aplica para todos os segmentos?

Não. Ela não se aplica para os fins jornalísticos e artísticos, de segurança pública, de defesa nacional, de segurança do Estado de investigação e repressão de infrações penais, particulares. Melhor explicando: a lei deverá ser aplicada para pessoa física ou jurídica que gerencie dados com fins econômicos, como, por exemplo clínicas médicas, lojas, escolas e outros. O rol contendo as hipóteses de tratamento de dados está contido no artigo 7º da LGPD. A lei define, ainda, o que são dados pessoais e dados sensíveis, corroborando quais as hipóteses em que esses dados podem ser tratados. Ao mencionar o termo “tratado” a lei informa que se refere ao momento da coleta do dado, utilização, armazenamento e descarte desses dados, portanto, o termo utilizado possui abrangência maior do que a forma cotidiana.

Quem é atingido ou deve seguir procedimentos voltados ao tratamento de dados pessoais e sensíveis?

Todos os entes e entidades que colhem, utilizam, armazenam e descartam dados com a finalidade econômica. Ou seja, pessoa natural ou pessoa jurídica de direito público ou privado, incluindo União, Estados, Distrito Federal e Municípios.

O que são dados pessoais?

A LGPD define esse conceito, de modo específico, em seu art. 5º. Considera como dado pessoal toda informação relacionada a pessoa natural (pessoa física), identificada ou identificável. De modo simples informação que permita identificar, direta ou indiretamente, uma pessoa, tais como nome, RG, CPF, gênero, data e local de nascimento, telefone, endereço residencial, localização via GPS, retrato em fotografia, prontuário de saúde, cartão bancário, renda, histórico de pagamentos, hábitos de consumo, preferências de lazer; endereço de IP (Protocolo da Internet) e cookies.

Quais os dados pessoais são considerados sensíveis?

Os dados sensíveis, segundo o art. 5º., são aqueles pessoais sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político; dados referentes à saúde ou à vida sexual; dado genético ou biométrico, quando vinculado a uma pessoa natural. Os dados sensíveis são aqueles que pode ensejar a discriminação do seu titular, e em razão do potencial discriminatório que apresentam, deveriam ser protegidos de forma mais rígida.

Qual impacto da LGPD para área médica?

Como diversos setores econômicos, a área da saúde também está incluída nas regras da LGPD. Isso porque as informações de pacientes estão elencadas como “dados sensíveis”, que devem receber tratamento diferenciado. Assim, as regras e condições do tratamento desses dados são mais restritos.

O tratamento dos dados depende obrigatoriamente do consentimento do titular das informações, de forma específica e destacada, bem como deve ter finalidade específica, ressalvando-se a hipótese em que for indispensável para a tutela da saúde, em razão do procedimento por profissionais de saúde ou autoridade sanitária.

A lei veda a comunicação ou o uso compartilhado entre agentes de tratamento de dados pessoais sensíveis (médicos, clínicas, laboratórios, empresas de plano de saúde, fornecedores, farmácias e outros) referentes à saúde com objetivo de obter vantagem econômica. Não se permitindo que operadoras de planos privados de assistência à saúde, por exemplo, acessem os dados para a prática de seleção de riscos na contratação ou não dos beneficiários. Logo, conclui-se que é um setor bem impactado pela LGPD em razão do volume e tipo de informações e dados sensíveis tratados, que em caso de fragilidade da entidade os prejuízos financeiros e a imagem podem ser determinantes para permanência da empresa.

Tanto que a Confederação Nacional de Saúde (CNSaúde) lançou no dia 12 de março de 2021, o primeiro Código de Boas Práticas: Proteção de Dados para Prestadores Privados de Serviços em Saúde para atendimento da Lei Geral de Proteção de Dados.

O que as empresas e o setor público e privado precisam fazer para se adequar?

De modo geral os agentes de tratamento devem proceder com o mapeamento, conhecer e definir o caminho que os dados percorrem dentro da entidade, registrar as operações de tratamento de dados pessoais que realizarem (controle de acessos e senhas), a adoção de medidas técnicas, administrativas, de processos e políticas internas que assegurem o cumprimento das normas de proteção de dados pessoais; criação de cultura interna (boa parte das perdas de dados são em razão de pessoas e não do sistema) para cumprimento das normas da LGPD e o estabelecimento de um canal de contato com os titulares de dados pessoais. A lei determina, no art. 41, que os controladores de dados devem indicar um encarregado para atuar como canal de comunicação entre o controlador, os titulares dos dados e a autoridade nacional de proteção de dados.

Como a legislação de proteção de dados pode ajudar o Brasil?

Três aspectos são primordiais como benefícios da LGPD para o Brasil, ou seja, melhoria da segurança, aumento da credibilidade e competitividade, colocando o país frente aos demais, no que tange a garantir a proteção da informação.

A promulgação da LGPD e a criação da Autoridade Nacional de Proteção de Dados corresponde ao alinhamento com diretrizes da Organização para a Cooperação e Desenvolvimento Econômico (OCDE) que vem desempenhando um relevante papel na promoção do respeito à privacidade como um valor fundamental e como um pressuposto para o livre fluxo de dados.

Além de promover o aperfeiçoamento das políticas de governança de dados, com criação de regras de boas práticas e incorporação de medidas técnicas e administrativas que mitiguem os riscos e aumentem a confiança dos titulares dos dados na organização.

Com isso, a LGPD favorece o aumento do controle dos cidadãos quanto aos seus dados pessoais, a transparência e a segurança jurídica, elevando o nível de ética e competitividade das entidades.

O que estabelece a LGPD sobre o direito à eliminação de dados?

Em seu art. 16º., a LGPD determina que os dados pessoais serão eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação para algumas finalidades, como: cumprimento de obrigação legal ou regulatória pelo controlador; estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais; transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta lei, ou uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados. Assim, com exceção das hipóteses legais mencionadas, caso o titular dos dados deseje que seus dados não sejam mais armazenados pelo Agente de Tratamento poderá requerer que sejam descartados (eliminados), bastando para isso solicitar de modo expresso.

O que acontece se uma empresa descumprir a lei?

Caso as empresas descumpram a LGPD poderão sofrer punições, que podem variar dependendo da gravidade da infração. As multas por não conformidade podem chegar até a 2% do faturamento da organização, limitadas a R$ 50 milhões. Em casos mais graves, a empresa pode sofrer penalidades como ter suas atividades suspensas, parcial ou totalmente. A lei dispõe que, além das penalidades sofridas, o agente que infringir poderá receber sanções administrativas, civis ou penais definidas na Lei do Consumidor, e em legislação específica.