A Lei Geral de Proteção de Dados, popularmente conhecida como LGPD, em suma, é a legislação que regula todo e qualquer procedimento de tratamento de dados pessoais de cidadãos brasileiros em solo nacional e estrangeiro.
Essa norma jurídica tem por finalidade garantir a proteção de pessoa natural ou de pessoa jurídica, seja ela de direito público ou privado, visando garantir os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. A Lei foi sancionada em 2018, sofrendo diversas alterações a partir da Medida Provisória n° 869, de 2018, posteriormente convertida na Lei n° 13.853, de julho de 2019.
A LGPD surgiu baseando-se na General Data Protection Regulation (GDPR), ou Regulamento Geral de Proteção de Dados – regulamentação vigente na União Europeia. Este regulamento tornou-se de relevância internacional a partir do momento em que criou regras mais claras e objetivas a respeito dos procedimentos de coleta, armazenamento, transferência e uso de dados por instituições privadas e públicas.
Como reflexo da influência gerada pelo regulamento europeu, a Lei Geral de Proteção de Dados estabeleceu, em seu artigo 2°, os seguintes fundamentos:
- O respeito à privacidade;
- A autodeterminação informativa;
- A liberdade de expressão, de informação, de comunicação e de opinião;
- A inviolabilidade da intimidade, da honra e da imagem;
- O desenvolvimento econômico e tecnológico e a inovação;
- A livre iniciativa, a livre concorrência e a defesa do consumidor; e
- Os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais.
Na prática, o que deveria mudar a partir da sua entrada em vigor seria uma maior segurança dos dados pessoais, a ser garantida pelo Estado e pelas empresas que realizam tais operações de tratamento. Porém, ainda não há a aplicação de multas administrativas pela Autoridade Nacional de Proteção de Dados (ANPD) – órgão responsável pela fiscalização do cumprimento da LGPD – e, neste contexto, o cumprimento da nova legislação tem se limitado a empresas que já realizaram procedimentos de adequação legal (compliance) especificamente voltado para esta norma jurídica. A partir da falta de uma fiscalização incisiva, a grande maioria das empresas ainda não modificou a forma como suas operações de tratamento de dados ocorre, mesmo com a referida Lei em vigor desde o dia 18 de setembro de 2020.
A LGPD aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que considerados os requisitos elencados em seu art. 3°.
A norma define “tratamento de dados pessoais” como sendo toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração. Para regrar a respeito da forma como qualquer das formas de tratamento pode ocorrer, segmentou-se a definição de dado pessoal entre:
- Dados pessoais, estipulado como sendo informação relacionada a pessoa natural identificada ou identificável; e,
- Dados pessoais sensíveis, caracterizados como dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
Reitera-se, entretanto, que, a primeira categoria, dados pessoais, não possui uma lista exemplificativa, ao passo em que dados pessoais sensíveis são arrolados taxativamente, ou seja, são restritos única e exclusivamente àquilo previsto no art. 5°, II da LGPD. Essa diferenciação foi criada pelo legislador como uma forma de segregar diferentes requisitos para o tratamento de dados entre cada categoria.
Ato contínuo, a Lei Geral de Proteção de Dados especifica a forma como o tratamento de dados pessoais de crianças e de adolescentes se diferencia do tratamento de informações pessoais daqueles que são maiores de 18 (dezoito) anos de idade.
Posteriormente, o regramento normativo estipula nos art. 17 a 22 direitos que recaem sobre os titulares dos dados pessoais, ou seja, direitos assegurados à pessoa natural a quem se referem os dados pessoais que são objeto de tratamento. Resta claro que, a metodologia adotada para processamento das operações de tratamento de dados feita por empresas do setor privado e pelo Poder Público ocorrem por meios divergentes entre si. Neste contexto, em face da necessidade de resguardar os direitos dos titulares de dados, a LGPD especifica a forma, a responsabilidade e as exceções aplicáveis ao tratamento de dados pessoais pelo Poder Público, em seu Capítulo IV.
Ademais, a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais foi incumbida da nomenclatura de Controlador. Enquanto isso, a pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador foi nomeada de Operador. A especificação dos termos veio mediante a necessidade de estipular direitos, deveres e obrigações legais de cada um dos referidos agentes de tratamento (controlador e operador) e garantir uma maior fluidez em casos de responsabilização e eventual ressarcimento de danos. Assim, retomando a norma civilista, prevista no art. 927 e seguintes do Código Civil de 2002, a LGPD determinou que, aquele que em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo, em seu art. 42.
Por fim, o texto legal estipula, ainda, metodologias e requisitos a serem atendidos em casos de transferências internacionais de dados, delimita a figura do encarregado pelo tratamento de dados pessoais, indica boas práticas, regra a respeito da segurança e sigilo dos dados, define a forma como ocorrerá a sua fiscalização – por meio da Autoridade Nacional de Proteção de Dados (ANPD) – e prevê a criação do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade.
A criação da Lei n° 13.709 (LGPD), de agosto de 2018, trouxe uma série de inovações legislativas necessárias para atualizar as normas jurídicas vigentes sobre o uso de informações pessoais, tanto por empresas privadas, quanto por instituições públicas. Com esta norma, os titulares dos dados pessoais passam a ter mais confiança em relação aos sistemas que coletam seus dados, bem como as empresas podem reajustar seus processos com maior segurança jurídica, uma vez que a LGPD clarifica o tema e unifica o regramento sobre dados pessoais, evitando ilegalidades desconhecidas pelos agentes de tratamento (controladores e operadores).
