A lei geral de proteção de dados foi criada ao modelo da lei europeia GDPR (General Data Protection Regulation), que tem como objetivo garantir mais direitos ao cidadão com relação ao uso e proteção dos seus dados pessoais, assim como preservar o direito constitucional à liberdade e à privacidade, de modo a fazer com que as empresas deem uma atenção maior ao tratamento e armazenamento de dados de seus clientes e colaboradores.
A LGPD entrou em vigor em 18 de setembro de 2020, porém, a aplicação das sanções deverá ocorrer a partir de 1º de agosto de 2021. Para entender melhor como a LGPD funciona, primeiro é necessário esclarecer alguns termos que serão utilizados frequentemente dentro da legislação, que são:
Dado pessoal: qualquer informação que possa levar à identificação de uma pessoa física (nome completo, número de CPF, endereço, filiação…).
Dado pessoal sensível: dados ideológiocos de uma pessoa como informações relativas a raça/etnia, religião, opinião política, sexualidade e dados genéticos ou biométricos (como a biometria facial ou o DNA de um indivíduo).
Dado pseudonimizado: é o dado pessoal ou dado pessoal sensível descaracterizado, ou seja, que não pode ser associado de maneira direta ou indireta ao seu titular senão pelo uso métodos ou informações mantidas separadamente pelo controlador em um ambiente seguro.
Titular: indivíduo a quem os dados pessoais sendo tratados se referem. É o soberano de qualquer assunto relacionado ao tratamento dessas informações e tem capacidade de consentir, ou não, com o tratamento.
Controlador: responsável pelas decisões relacionadas ao tratamento dos dados pessoais. Entre outros pontos, é o controlador quem decide que dados serão tratados, de que forma e com que fim. Ele também é o principal responsável em caso de quaisquer incidentes que envolvam dados pessoais.
Operador: quem trata os dados em nome de outra entidade, ou seja, em nome do controlador. O operador deve sempre seguir estritamente as ordens do controlador em relação ao tratamento dos dados.
Encarregado: a LGPD prevê que operadores e controladores tenham um encarregado, pessoa responsável por intermediar a comunicação entre os titulares, o controlador e a Autoridade Nacional de Proteção de Dados.
Autoridade nacional: a Autoridade Nacional de Proteção de Dados (ANPD) será o órgão responsável por implementar e gerenciar as regras da LGPD, garantindo que a Lei seja cumprida. A ANPD também é responsável por realizar auditorias, assim como aplicar as devidas sanções em casos comprovados de descumprimento da Lei.
Anonimização: um dado anonimizado é um dado pessoal que se torna total e integralmente desvinculado do titular, de forma irreversível, fazendo com que seja impossível que se possa chegar ao titular por meio desse dado. A anonimização, por remover o caráter pessoal dos dados, abre espaço para que dados sejam tratados de maneiras que são proibidas quando falamos de dados pessoais.
Consentimento: permissão dada pelo titular para que determinado(s) dado(s) pessoal(is) seja(m) tratado(s). Deve ser pedido de forma explícita, clara e transparente pelo operador ou controlador, e se referir a uso específico e limitado.
Bloqueio: suspensão do tratamento de dados, que não isenta o operador e o controlador de precisarem proteger os dados pessoais e o banco de dados em que eles se encontram.
Eliminação: exclusão de dados pessoais.
Relatório de impacto à proteção de dados pessoais: se houver qualquer risco de que determinado tratamento de dados possa vir a causar danos ao titular, é dever do controlador manter esse relatório. Dessa forma, em caso de incidentes, é possível entender os perigos da situação e trabalhar para mitigá-los mais rapidamente. A manutenção do relatório também visa comprovar que o tratamento que gera esses riscos recebe os devidos cuidados para evitá-los.
A LGPD abrange todas as pessoas físicas e jurídicas que tratem dados de pessoas físicas para ofertar dados e serviços, e esses dados pessoais estão sujeitos à LGPD sejam eles digitais ou físicos. Dessa maneira, para fazer uso de dados pessoais de um titular o controlador precisa do seu consentimento, e deve respeitar os seguintes direitos do titular, fornecendo quando requisitado:
Confirmação da existência de tratamento
Acesso ao dados tratados;
Correção de dados incompletos, inexatos ou desatualizados;
Anonimização, bloqueio ou eliminação de dados em desconformidade com a lei;
Portabilidade dos dados a outro fornecedor de serviço ou produto;
Eliminação dos dados pessoais tratados com o consentimento do titular, exceto nos casos previstos em lei;
Informação das entidades públicas e privadas com as quais feito o uso compartilhado de dados;
entre outros.
Atenção
A LGPD não se aplica ao tratamento de dados pessoais:
realizado por pessoa natural para fins exclusivamente particulares e não econômicos;
realizado para fins jornalísticos, artísticos ou acadêmicos;
realizado para fins exclusivos de segurança pública, defesa nacional, segurança do Estado; ou atividades de investigação e repressão de infrações penais;
provenientes de fora do Brasil, que não sejam objeto de comunicação ou uso compartilhado com agentes de tratamento brasileiros.
Quando os direitos de titular não forem respeitados, ou ainda quando um dano for causado ao titular em razão do tratamento de dados, o controlador e em alguns casos o operador será responsabilizado, e será obrigatória a reparação de danos. A Lei Geral de Proteção de Dados também prevê advertências, multas, publicação da infração, bloqueio ou eliminação dos dados referentes à infração e outros. Por isso é importante garantir a segurança e sigilo dos dados, assim como definir regras de boas práticas e governança que permitam o tratamento seguro dos dados pessoais, assim como os outros aspectos também definidos na LGPD.
A LG lugar de gente disponibiliza funcionalidades que auxiliem os controladores de dados no cumprimento das normas determinadas pela LGPD. As funcionalidades e melhorias disponibilizadas tem como foco
Classificação de dados: permite classificar os dados pessoais tratados na suíte como dados Pessoais, Sensíveis ou não classificados;
Restrição de visibilidade: uma vez realizada a classificação de dados, é possível definir a visibilidade dos dados Pessoais e/ou Sensíveis para os operadores cadastrados;
Termo de consentimento: tem como objetivo permitir a elaboração de termos de consentimento para coleta, armazenamento e tratamento dos dados dados pessoais de candidatos ou colaboradores.
Relatórios Reports relacionados: tem como objetivo permitir a emissão de relatórios que contenham dados vinculados a LGPD que estejam classificados como Pessoal e/ou Sensível.
Atenção
Uma vez aplicadas a Classificação de Dados e a Atribuição de Visibilidade à Suíte Nuvem, campos restritos ao operador logado terão seus dados substituídos por um
, de modo a respeitar a parametrização feita.
Quando a restrição afetar conceitos utilizados na busca de pessoas, a operação de busca com esses conceitos não retornará resultados.
Por fim, os arquivos emitidos na Suíte Nuvem terão o comportamento dependente do módulo do qual originaram. Quando o arquivo for originado no Relatórios Reports, caso um de seus campos tiver a visibilidade restrita ao operador logado, a emissão do relatório será bloqueada. Já arquivos emitidos por outras funcionalidades terão apenas os dados restritos bloqueados.
Vale lembrar que, mesmo que a LG providencie as ferramentas necessárias para adequação as normas da LGPD, cabe ao cliente fazer o seu próprio inventário de dados pessoais e plano de adequação a lei de acordo com a necessidade.