O que é a Lei Geral de Proteção de Dados (LGPD)

Depois do Regulamento Geral Europeu (GDPR) e da Lei de Proteção ao Consumidor da Califórnia (CCPA) - que foi posteriormente substituída pela Lei de Direitos de Privacidade do Consumidor (CPRA) - o Brasil sacudiu o campo da privacidade de dados e da indústria da Internet quando introduziu seu próprio regulamento abrangente de privacidade de dados, a Lei Geral de Proteção de Dados Pessoais (LGPD).

Breve História da LGPD

De acordo com estatísticas recentes, o Brasil tem 140 milhões de usuários de internet (a população do 10º maior país do mundo), o que o torna um dos maiores mercados de internet da América Latina e o quarto maior mercado do mundo.

Nos anos anteriores, o Brasil elaborou mais de 40 regulamentos legais com relação à privacidade de dados em nível federal, alguns que estabeleceram diretrizes gerais e alguns eram específicos do setor, levando a muitas sobreposições e conflitos entre diferentes leis entre os setores. O aspecto negativo dessas leis setoriais é que elas são aplicáveis ​​a setores específicos e não oferecem proteção abrangente aos usuários e consumidores da Internet no Brasil. Também para organizações e empresas envolvidas em operações multissetoriais, cumprir todas essas diferentes leis e seus requisitos é uma tarefa cara e difícil. É por isso que a nova lei de proteção de dados do Brasil, conhecida como LGPD (Lei Geral de Proteção de Dados Pessoais), foi implementada para fornecer uma estrutura regulatória mais abrangente e geral para a privacidade de dados.

A LGPD foi aprovada pelo Congresso Nacional Brasileiro em 14 de agosto de 2018. Em agosto de 2020, o Presidente do Brasil aprovou a criação da autoridade reguladora independente federal - a Autoridade Nacional de Proteção de Dados (ANPD) - para interpretar e fazer cumprir a LGPD e atuar como autoridade supervisora ​​nacional.

Apesar do início da pandemia COVID e de um atraso planejado na vigência até dezembro de 2020 ou maio de 2021, o LGPD foi sancionado e vigora desde 18 de setembro de 2020. As sanções previstas na lei não entrarão em vigor até 1º de agosto de 2021.

Influência do GDPR

É sabido que o LGPD foi elaborado e baseado no GDPR tanto que alguns o chamam de GDPR do Brasil. A LGPD contém 65 artigos que fornecem aos indivíduos direitos dos titulares dos dados, impõem obrigações às organizações para o processamento legal de dados pessoais, exigem notificação de violações de dados à autoridade supervisora ​​e titulares dos dados afetados, criam uma autoridade supervisora ​​nacional para interpretar e fazer cumprir a lei, regulamentar a transferência internacional de dados, definir diretrizes legais de coleta de consentimento e impor pesadas penalidades aos violadores semelhantes ao GDPR.

Essência da lei

LGPD provê:

• 9 tipos de solicitações de direitos de titulares de dados exercíveis por titulares de dados individuais;
• 10 bases legais para processamento legal;
• Requisitos de divulgação obrigatórios e transparentes que as organizações devem incluir em sua política de privacidade;
• Requisitos de coleta e gerenciamento de consentimento para organizações;
• Requisito para as organizações nomearem um oficial de proteção de dados;
• Direitos especiais para crianças;
• Requisitos de segurança de dados e notificações de violação obrigatórias;
• Regulamentos para transferências internacionais de dados;
• Obrigação de as organizações fornecerem Avaliações de Impacto da Proteção de Dados (DPIAs) mediante solicitação da ANPD;
• Poderes à ANPD para regulamentar a aplicação do ato, receber reclamações dos titulares dos dados e apurar qualquer entidade por suspeita de violação dos requisitos legais da LGPD;
• Competência da ANPD para julgar os suspeitos de infração e impor várias penalidades e sanções se forem considerados não conformes.

Requisitos de Notificação de Violação

• Os Controladores de Dados são obrigados a notificar imediatamente a ANPD e os titulares dos dados afetados sobre incidentes de segurança que possam criar risco ou danos relevantes aos titulares dos dados.
• A ANPD deve verificar a gravidade do incidente, se necessário para salvaguardar os direitos dos titulares dos dados, podendo ordenar que o controlador adote medidas para mitigar ou reverter o possível dano ao titular dos dados.
• A Notificação enviada pelo controlador de dados deve, no mínimo:
  • Definir a natureza dos dados pessoais dos indivíduos afetados;
  • Fornecer informações sobre os titulares dos dados envolvidos;
  • Indicar as medidas de segurança tomadas pelo controlador de dados para proteger os dados afetados;
  • Descrever os riscos para o titular dos dados gerados pelo incidente;
  • Fornecer razões para qualquer atraso na comunicação da notificação;
  • Estabelecer medidas que foram ou serão adotadas pelo controlador de dados para proteger os titulares de dados afetados de danos futuros.

Lista de Verificação de Conformidade Básica com a LGPD

A LGPD tem uma série de regulamentações que as organizações precisam estar cientes para estar em conformidade com esta legislação. A seguir está uma lista de verificação rápida que pode ser um trampolim para a conformidade com o LGPD.

1. Mapeie as maneiras como sua organização armazena e processa dados:
   A primeira etapa em direção à conformidade é ser capaz de rastrear constantemente onde os dados são armazenados e como são processados ​​dentro da organização.
2. Aborde os direitos de dados que os titulares têm sobre seus dados:
   As organizações precisam estar cientes dos direitos de titulares de dados e honrá-los no caso de um titular decidir exercer esses direitos.
3. Garantir que a segurança dos dados com controles de segurança apropriados esteja em vigor:
   É fundamental que os controles de segurança apropriados estejam em vigor para proteger os dados dos titulares contra acesso não autorizado ou violação.
4. Crie um sistema para lidar com as violações de dados:
   As violações de dados são quase inevitáveis ​​e as organizações precisam ter um plano em vigor no caso de ocorrer uma violação - desde tomar os esforços de mitigação adequados a notificar os titulares dos dados afetados - o não cumprimento dessas atividades pode sair muito caro para a organização.
5. Realize Avaliações de Impacto de Proteção de Dados regularmente:
   É importante que uma organização esteja sempre ciente de sua posição em relação à privacidade e segurança de dados, por isso é recomendável executar DPIAs regulares em suas atividades de processamento.
6. Contrate um oficial de proteção de dados, se necessário:
   Um oficial de proteção de dados é necessário para uma organização, uma vez que suas tarefas se concentram exclusivamente na privacidade de dados - recomenda-se que um seja contratado para auxiliar nos requisitos de conformidade LGPD.
7. Revisar contratos de processamento de dados:
   As organizações precisam fazer um acordo por escrito entre os operadores e controladores e garantir que realizem as auditorias necessárias das atividades de seus operadores para garantir que não estejam em conformidade com a lei.
8. Renovar sua política de privacidade com base no LGPD:
   Finalmente, as organizações precisam refazer sua política de privacidade e alinhá-la com os padrões LGPD de transparência e divulgações necessárias.