A Lei Geral de Proteção de Dados (LGPD) foi proposta em 2018 com o objetivo de assegurar o direito à privacidade e à proteção de dados pessoais de usuários que tenham informações coletadas, tratadas e disponibilizadas no território nacional, e em alguns casos, em solo estrangeiro. Aspectos específicos da nova legislação foram tratados em artigos anteriores, que podem ser visualizados aqui.

Além de ser extremamente importante para os indivíduos no geral, uma vez que o texto regulamenta a coleta de dados sensíveis, pessoais e anônimos dos internautas, a promulgação da LGPD impacta fortemente o cotidiano das empresas. As relações comerciais e de consumo que se estruturam a partir da análise da apuração do perfil do cliente, passam a ser submetidas à nova regulamentação. A infração aos dispositivos legais nela previstos pode ocasionar penalidades administrativas, bem como a responsabilização de todo agente cujas operações perpassem o tratamento de dados de terceiros.

Apesar de a LGPD ter sido publicada e sancionada em 14 de agosto de 2018, apenas alguns artigos da lei já estavam vigentes. A chamada vacatio legis, isto é, o período para a adaptação das entidades públicas e privadas aos novos regramentos, deveria durar até 14 de agosto de 2020.

Como primeira exceção a essa regra, já se tinham os trechos do diploma que tratam da aplicação de sanções administrativas aos infratores. Isso porque, a Lei nº 14.010/2020, que cuida de regras jurídicas excepcionais para o período da pandemia do novo coronavírus, adiou a possibilidade de incidência das penalidades para 1º de agosto de 2021.

Atendendo a uma demanda do mercado e da sociedade civil, foi editada a Medida Provisória nº 959/2020, em abril de 2020, pelo Presidente Jair Bolsonaro. Essa medida estendeu a vacatio legis dos demais trechos LGPD para até 3 de maio de 2021. Na última terça-feira (25 de agosto), a MP foi aprovada pela Câmara dos Deputados, para que virasse lei e, efetivamente, tornasse o adiamento definitivo. O texto seguiu para votação no Senado Federal, onde, surpreendentemente, o artigo que tratava do adiamento da LGPD acabou removido.

A alteração abrupta do texto causou confusão entre o empresariado, uma vez que a retirada da menção ao adiamento levou alguns a questionarem se ela entraria em vigor imediatamente, dado que seu texto original, conforme mencionado acima, previa a data de 14 de agosto de 2020, como marco inicial de sua vigência.

Em realidade, a suspensão da vigência se mantém até que o documento seja sancionado ou vetado pelo Presidente da República. Este, por sua vez, tem 15 dias para se manifestar sobre o texto. Se aprovado, a MP perde a validade e passa a vigorar o previsto na redação original da Lei. Na hipótese de extrapolação do prazo sem qualquer manifestação, considera-se o projeto sancionado tacitamente, significando que, a LGPD vigorará a partir de, no máximo, 11 de setembro de 2020.

Se o Presidente vetar as alterações, a questão retorna ao Congresso Nacional, que pode rejeitar ou manter os vetos. Nesse cenário, a vigência da LGPD poderia continuar suspensa até meados de outubro de 2020, quando a Câmara e o Senado debateriam novamente a questão.

Ainda, novas determinações quanto à LGPD vieram à tona nesta já confusa semana. O Presidente Bolsonaro editou um decreto que regulamenta a Autoridade Nacional e Proteção de Dados (ANPD). O órgão, vinculado à Presidência da República, será o responsável pela garantia da devida aplicação e cumprimento dos artigos previstos na lei protetiva de dados.

O desenho do órgão, contudo, tem sido alvos de diversas críticas. Primeiramente, questiona-se a real autonomia da instituição, uma vez que não foi constituída na forma de uma agência reguladora, mas subordinada diretamente ao Presidente. Em segundo, alguns juristas apontam que a ANPD possuirá muitos poderes na criação de normas, de modo a invadir a competência  Não suficiente, a autoridade funcionaria sem receita própria, até que começasse a aplicação de multas às empresas que infrinjam a LGPD, o que poderia induzir um comportamento “arrecadatório” de seus agentes.

Apesar do exposto, é certo que a ANPD é crucial à aplicação da LGPD. Isso porque, na maior parte de suas disposições, a lei é marcadamente genérica e abstrata, trazendo muitos princípios e balizas gerais. Existe, portanto, uma lacuna que deve ser preenchida por um órgão técnico regulador, que determine os regramentos específicos a orientar as práticas que devem ser aplicadas pelo mercado. Muito do que tem sido feito no Brasil, em termos de adaptações empresariais, teve que ser modelado com base na experiência de outros países, onde a temática alcançou um nível mais robusto de maturidade regulatória e institucional. Ainda, é a própria Autoridade que aplicará sanções e julgará casos controvertidos, o que apenas reforça seu papel essencial na concretização da LGPD.

Nesse passo, tem-se que a publicação do decreto presidencial regulou a estrutura regimental e organizacional da organização, assim como suas competências e quadro de pessoal. Com efeito, vários avanços na compreensão de como a entidade irá funcionar. A ANPD apenas funcionará após a publicação do nome do diretor-presidente no Diário Oficial da União, e não há ainda uma previsão de quando isso ocorrerá.

Frente a tantas turbulências no trâmite da lei e às inconsistências e dúvidas quanto ao início de sua vigência, é recomendável a busca pelo acompanhamento jurídico na implementação ou no aperfeiçoamento de processos que atendam às exigências da LGPD. Certamente, o tema deve ser parte dos programas de conformidade das empresas, merecendo atenção perene dos gestores.

Mariana Capanema

Este artigo é o segundo de um total de cinco textos sobre o mesmo tópico, abordando diferentes pontos da Lei Geral de Proteção de Dados Pessoais.

Neste artigo, será realizado sintético exame do direito do usuário à exclusão e à portabilidade de seus dados pessoais armazenados nos sistemas de operadores, inovações essas trazidas pela Lei Geral de Proteção de Dados Pessoais – LGPD (Lei nº 13.709/2018).

Conforme analisado no primeiro artigo desta série sobre a LGPD, na maioria dos casos, é vedado aos agentes de tratamento coletar e manusear os dados dos usuários sem a sua prévia e expressa autorização. O referido impedimento encontra respaldo no artigo 7º da Lei e visa a resguardar a privacidade e direito de escolha do utilizador.

Além dessa obrigação, no mesmo sentido, é imposto ao agente de tratamento o dever de eliminar os dados que mantém em sua guarda, mediante o simples pedido do usuário. Trata-se de um direito que pode ser exercido a qualquer momento e sem justificativa, desde que ausente qualquer impedimento, é o que dispõem o artigo 18, VI, da LGPD e o artigo 7º do Marco Civil da Internet.

Além da exclusão por pedido expresso do usuário, a legislação traz outras hipóteses em que é imperiosa a eliminação dos dados pessoais, como o fim do prazo da autorização ou, ainda, quando o tratamento deixar de ser necessário ou pertinente para o agente.

Vale destacar que a LGPD traz alguns impedimentos à eliminação dos dados. Por exemplo, em casos de interesse público ou de determinação legal, deve o controlador manter os dados do usuário armazenados, inobstante o expresso pedido deste ou qualquer das hipóteses de eliminação obrigatória expostas na lei.

Portanto, as obrigações do detentor de dados em relação à sua captação e manutenção podem ser sintetizadas, respectivamente, na necessidade de prévia autorização do usuário para a coleta e tratamento, bem assim na indispensabilidade de pertinência na manutenção das informações. Em todo caso, é certo que, a qualquer momento, deve ser acatado o pedido de exclusão formulado pelo usuário, observadas as especificidades do caso e as diretrizes da legislação.

A portabilidade dos dados do usuário, entendida como o envio do material bruto armazenado por um operador para outro, à escolha do titular das informações, é um direito do utilizador, por força da LGPD. Logo, mediante sua expressa solicitação e desde que observados os segredos comerciais e industriais na referida operação, é dever das empresas garantir a transferência dos dados pessoais.

Em outras palavras, é possível se notar, da análise do art. 18, V da Lei, que o envio dos dados não sujeita o controlador a revelar suas técnicas ou algoritmos de tratamento. Na realidade, por representar o encaminhamento dos dados brutos, a portabilidade não fornece ao novo agente qualquer informação obtida pelo processamento dos dados pelo antigo portador.

A portabilidade, enfim visa a facilitar a transição de uma plataforma para outra, conciliando nessa esfera, não só a escolha do usuário, mas também o respeito a estratégias comerciais e à concorrência entre empresas.

Conclui-se, portanto, que a LGDP almeja ser protetiva da efetiva titularidade dos dados pelo usuário, a quem é garantido os direitos de deleção e transferência de suas informações, perante os operadores. Assim, as empresas do ramo devem buscar a criação de mecanismos e plataformas que facilitem ao máximo essas operações, dado que o descumprimento imotivado desses deveres pode sujeitá-las a diversas sanções, tema que será objeto de um artigo próprio desta coluna.

Igor Rangel Pires

Este artigo faz parte de uma série de um total de cinco textos sobre o mesmo tópico, abordando diferentes pontos da Lei Geral de Proteção de Dados Pessoais.

A Lei Geral de Proteção de Dados Pessoais – LGPD (Lei nº 13.709/2018), foi sancionada no dia 14 de agosto de 2018, pelo então Presidente da República, Michel Temer. Em razão do prazo de vacância, a lei entrará integralmente em vigor apenas em agosto de 2020, quando suas regras passarão a ter cumprimento obrigatório. A nova legislação traz como objetivo principal a proteção dos direitos fundamentais de liberdade e privacidade, no âmbito do tratamento dos dados pessoais dos usuários, tanto no meio digital, quanto físico.

Algumas das inovações estabelecidas dizem respeito, por exemplo, à proibição de captura de dados de usuários sem a expressa e direta autorização de seu proprietário; a possibilidade de que, a qualquer momento e sem justificativa, qualquer pessoa solicite a eliminação de seus dados armazenados; e a necessidade de transparência das operadoras detentoras de bancos de dados. Neste artigo, será feita sintética análise das obrigações de transparência e da necessidade de prévia autorização do usuário para o tratamento de seus dados.

A LGPD, em seu artigo 7º, expõe as taxativas hipóteses em que é lícita a realização de tratamento de dados pessoais dos usuários, isto é, quando é permitido ao operador, por exemplo, coletar, utilizar, reproduzir, processar e avaliar os dados. Os requisitos elencados não são cumulativos, sendo que a existência de apenas um dos permissivos já é suficiente, em tese, para possibilitar o tratamento de dados. A mais importante condição, se analisadas as diretrizes e objetivos da lei é, por certo, a prévia autorização do usuário, que visa a resguardar sua privacidade e direito de escolha.

Ademais, a concordância do usuário, além de taxativa e expressa, conforme previsão do artigo 8º da LGPD e 16 da Lei 12.965/2014 (Marco Civil da Internet), não pode ser irrestrita ou se estender além do que foi autorizado. A finalidade do tratamento deve ficar clara desde o momento da aceitação, não sendo suficiente neste ponto, por exemplo, a mera apresentação ao usuário de extensos “termos de uso” acompanhados apenas de um singelo espaço para o internauta anuir com um simples “check”.

Outro ponto de destaque, previsto nos artigos 9º e 18 da nova lei, é o dever de transparência dos agentes de tratamento de dados (entendidos como aqueles que realizam ou tomam decisões sobre a matéria) perante o usuário. A eles incumbe, dentre outras atribuições, informar ao titular dos dados acerca da finalidade e conteúdo do tratamento realizado. Essa transparência deve se materializar em facilidade de acesso prático, isto é, o acesso do usuário ás informação não pode ser obstado por interfaces pouco amigáveis, procedimentos complexos ou letras de tamanho reduzido.

Essa última obrigação foi abordada, por exemplo, na decisão da agência francesa de proteção de dados, que multou a empresa Google, por dificultar o acesso dos usuários aos termos que esclareciam a forma de tratamento das informações. Casos como esse mostram a relevância da atuação da agência governamental de proteção de dados. Nos mesmos moldes, a ANPD brasileira, órgão criado pela LGDP, trará importantes diretrizes para a interpretação da legislação sobre o tema, de modo a fornecer concretude para disposições legais genéricas e abstratas.

 Dessa forma, nesta fase inicial de adaptações, é necessário um cuidado ainda maior, por parte dos operadores e proprietários de banco de dados, que devem atentar-se não apenas aos artigos, mas também às intenções da lei, que irão, por certo, balizar muitas teses quanto à proteção de dados.

Igor Rangel Pires