Uma abordagem concisa e objetiva sobre os principais pontos da

Lei Geral de Proteção de Dados

Toda legislação que é criada acaba trazendo diversas dificuldades

desde a sua compreensão até a sua aplicação. O E-book da LGPD
foi pensado como ferramenta para introdução dos novos conceitos
pela lei e como meio de orientação aos empresários nessa nova fase
de adequação.

Criado pensando em praticidade, o E-book da LGPD é para todas as

empresas e colaboradores ligados às áreas jurídica, contábil, de
gestão de pessoal, marketing de vendas que precisam se adequar à
nova realidade, a necessidade de proteção de dados e que até
então não havia tido contato com qualquer assunto relacionado à
segurança da informação, privacidade e LGPD.
A Lei Geral de Proteção de Dados, além de ser uma lei nova, por si
só, também traz novidades nos conceitos que utiliza, já que muitas
das denominações presentes na LGPD estão ligadas às operações
que, até então, não haviam sido abordadas por outros textos norma-
tivos.

Por isso, é necessário se familiarizar com alguns conceitos trazidos

pela nova lei:

• Banco de dados: conjunto estruturado de dados pessoais estabele-

cido em um ou em vários locais, em suporte eletrônico ou físico.

• Titular: pessoa natural a quem se referem os dados pessoais que

são objeto de tratamento.

• Controlador: pessoa natural ou jurídica, de direito público ou priva-

do, a quem competem as decisões referentes ao tratamento de
dados pessoais.
Além das questões relacionadas a fraudes e crimes que podem re-
sultar em um prejuízo financeiro imediato, os dados precisam de
proteção, pois se tornaram uma extensão da personalidade dos in-
divíduos. A transformação digital do mundo fez com que a maioria
das operações realizadas, em todos os âmbitos, estejam fundamen-
tadas na transferência de informações e, por isso, quando os dados
são utilizados sem autorização ou com finalidade diversa daquela
para qual houve a autorização para uso, existe, então, a violação
de direitos.

Em Maio de 2018, entrou em vigor o Regulamento Geral de Proteção

de Dados (do inglês, General Data Protection Regulation - GDPR) da
União Europeia e, sem dúvida alguma, foi um marco para a
proteção de dados no mundo.

A primeira lei de proteção de dados do Japão, a APPI, foi criada em

2003, mas foi recentemente atualizada, em 2015. As novas regras
decorrentes da atualização começaram a valer no país em 2017,
isto é, um ano antes da GDPR europeia.
Nos Estados Unidos não existe uma legislação sobre proteção de
dados que se aplique ao país inteiro, já que cada estado é
responsável por sua própria legislação. Neste cenário se destaca a
Lei de Privacidade dos Consumidores da Califórnia (CCPA).

Já na América Latina, a Argentina foi um dos primeiros países a apro-

var leis referentes à proteção de dados, já em 1994, legislação essa
que deve passar por atualizações. O Chile regulamenta a proteção
de dados pela Lei nº. 19.628 desde 1999, que possivelmente também
sofrerá atualizações após o GDPR.

O México possui a Lei Federal Mexicana de Proteção de Dados Pes-

soais em Posse de Particulares que está em vigor desde 2010.

Outros países do mundo possuem legislações sobre proteção de

dados pessoais, assim como a Rússia e a China.

O mapa abaixo demonstra a situação dos países quanto às leis rela-

cionadas à proteção de dados.
Como ficou conhecida, a LGPD é abreviação do nome Lei Geral de
Proteção de Dados, que é a lei nº 13.709/2018 criada para prever e
regulamentar questões relacionadas ao tratamento de dados pes-
soais, nos meios digitais, inclusive, por pessoas físicas ou jurídicas
privadas ou públicas. A criação de uma lei com esse tema surge
com a finalidade de proteger os direitos fundamentais de liberdade
e de privacidade e o livre desenvolvimento da personalidade da
pessoa natural.

Conforme definição da Lei 13.853/2019, a LGPD passaria a ter vigên-

cia em Agosto de 2020, 24 meses após a publicação original, para
possibilitar às entidades públicas e privadas prazo hábil para ade-
quação às regras de usos e tratamento dos dados pessoais.

Contudo, com a pandemia da Covid-19 tivemos então a publi-

cação da Medida Provisória 959/2020 que adiou a vigência da LGPD
para Maio de 2021. De todo modo a aplicação de multas só poderá
acontecer a partir de Agosto de 2021. Entretanto, a MP que não é
convertida em lei perde a validade e, é neste ponto em que esta-
mos.
A data limite para votação quanto à conversão da MP é 26 de
Agosto e ela já fora suspensa por duas vezes no congresso, a pre-
visão é que aconteça no dia 25 para que se tenha uma posição final
quanto à vigência da lei.

A Lei Geral de Proteção de Dados Pessoais indica que dado pessoal

é a “informação relacionada à pessoa natural identificada ou identi-
ficável”.

Diante desta definição, podemos entender que dados pessoais não

são apenas os nomes, prenomes, endereços e CPF. Dado pessoal é
toda informação que pode identificar um indivíduo, assim os núme-
ros de Internet Protocol – IP, número de identificação da seguridade
social de um funcionário e os dados biométricos utilizados para
acesso, por exemplo, se tornam dados pessoais conforme a
definição legal.

São dados pessoais sobre origem racial ou étnica, convicção religio-

sa, opinião política, filiação a sindicato ou a organização de caráter
religioso, filosófico ou político, dado referente à saúde, à vida, à ori-
entação sexual, dado genético ou biométrico, quando vinculado a
uma pessoa natural. São aqueles que, se expostos ou compartilha-
dos, podem causar impacto para a vida pessoal e/ou profissional,
como por exemplo, os dados relacionados ao histórico de saúde do
indivíduo.
Tratamento de dados é toda operação realizada com dados pes-
soais, como as que se referem a coleta, produção, recepção, classi-
ficação, utilização, acesso, reprodução, transmissão, distribuição,
processamento, arquivamento, armazenamento, eliminação, ava-
liação ou controle da informação, modificação, comunicação,
transferência, difusão ou extração.

A qualquer operação de tratamento realizada por pessoa natural ou

por pessoa jurídica de direito público ou privado, independente-
mente do meio, do país de sua sede ou do país onde estejam loca-
lizados os dados, desde que a operação de tratamento seja realiza-
da no território nacional, a atividade de tratamento tenha por objeti-
vo a oferta ou o fornecimento de bens ou serviços ou o tratamento
de dados de indivíduos localizados no território nacional ou os dados
pessoais objeto do tratamento tenham sido coletados no território
nacional.

Os dados coletados no território nacional são os dados pessoais dos

titulares que se encontram no território nacional no momento da
coleta.
Tanto o Controlador como o Operador são agentes de tratamento
por definição legal.

O Controlador é “toda pessoa natural ou jurídica, de direito público

ou privado, a quem competem as decisões referentes ao tratamen-
to de dados pessoais” (art. 5º, VI) e, Operador é a “pessoa natural ou
jurídica, de direito público ou privado, que realiza o tratamento de
dados pessoais em nome do controlador” (art. 5º VII).

O Operador atua em conformidade com as diretrizes elaboradas

pelo Controlador, não interferindo no tratamento dos dados do titu-
lar, já que o intuito do tratamento é determinado somente pelo con-
trolador. É o controlador, então, quem vai definir as finalidades do
tratamento se, por exemplo, utilizar os dados pessoais de seus clien-
tes e elaborar campanhas de vendas com o envio de comuni-
cações.

É o controlador o responsável por cuidar para que os dados sejam

tratados segundo as especificações apresentadas ao titular, portan-
to, de traçar os limites para o operador.
Na verdade, a pergunta não é quem precisa, mas sim quem serão.
Controlador e Operador são as definições de agentes de tratamen-
to em decorrência da função que desempenham no tratamento de
dados. O Controlador que possuí a prerrogativa quanto à decisão
sobre o tratamento poderá ser o dono da empresa, empresa con-
tratante de prestação de serviços ou um diretor de departamento, a
depender de cada caso. O Operador será o responsável pelo trata
mento de dados propriamente dito, podendo ser, então, um co-
laborador da equipe de TI, uma empresa contratada para
prestação de serviços e até mesmo um atendente de call center.

Desse modo, fica claro que toda empresa que realiza tratamento de
dados já possui pessoas que estão nas funções de Controlador e de
Operador, embora não existisse a definição propriamente dita. A
partir da vigência da lei, o que deverá acontecer é a identificação
desses agentes para que se delimite as condutas e responsabili-
dades de cada um, conforme a lei prevê.

Não! Quando falamos da LGPD automaticamente acabamos pen-

sando nas operações feitas por meios digitais, transferências eletrôni-
cas e envio de documentos por meio virtual, mas a Lei Geral de
Proteção de Dados se aplica aos dados tratados independente-
mente do meio, por isso, todas as informações tratadas, ainda que
estejam armazenadas em meio físico, também devem ser objeto de
atenção.
São os casos em que o tratamento de dados pessoais for feito: por
uma pessoa física, para fins particulares, e não comerciais, para fins
exclusivamente jornalísticos, artísticos e acadêmicos, pelo Poder Pú-
blico - no caso de segurança pública, defesa nacional, segurança
do Estado e atividades de investigação e repressão de infrações
penais. Podem não estar sujeitos à aplicação da LGPD os dados pro-
venientes e destinados a outros países, que apenas transitem pelo
território nacional, sem que aqui seja realizada qualquer operação
de tratamento e, desde que o país de origem tenha nível de
proteção similar ao previsto na LGPD.

A LGPD implementa a aplicação de severas sanções para empresas

que descumprirem as disposições legais e, por isso, é tão relevante a
adequação das empresas ao disposto na lei.

Além das multas pecuniárias, existem outras sanções previstas que

podem ser aplicadas, tais como, publicização da infração após de-
vidamente apurada e confirmada a sua ocorrência; bloqueio dos
dados pessoais a que se refere a infração até a sua regularização;
eliminação dos dados pessoais a que se refere a infração; suspensão
parcial do funcionamento do banco de dados a que se refere a in-
fração pelo período máximo de 6 (seis) meses, prorrogável por igual
período, até a regularização da atividade de tratamento pelo con-
trolador; suspensão do exercício da atividade de tratamento dos
dados pessoais a que se refere a infração pelo período máximo de 6
(seis) meses, prorrogável por igual período; proibição parcial ou total
do exercício de atividades relacionadas a tratamento de dados.
As sanções seguirão critérios como: gravidade da infração, boa-fé do
infrator, possíveis vantagens econômicas auferidas pelo infrator, rein-
cidência, cooperação para esclarecimento do caso, demonstração
de evidências de mecanismos, procedimento e adoção de boas
práticas de segurança para minimizar possíveis danos causados aos
titulares.

O artigo 46 traz como obrigação tanto a Controladores como a O-

peradores a adoção de “medidas de segurança, técnicas e adminis-
trativas aptas a proteger os dados pessoais de acessos não autoriza-
dos e de situações acidentais ou ilícitas de destruição, perda, alte-
ração, comunicação ou qualquer forma de tratamento inadequado
ou ilícito”.

Quando pensamos em segurança da informação, muito se fala sobre

recursos tecnológicos que possam evitar ataques e/ou vazamentos,
porém, a grande lacuna que existe na atualidade é a ausência da
cultura da segurança da informação. Algumas pessoas já se aten-
taram para o quanto é importante a proteção dos dados, por outro
lado, muitas empresas e pessoas não entendem a sua importância e
não analisam suas ações diante desse prisma.

De todo modo, a própria LGPD traz em seu texto algumas condutas

voltadas justamente para a criação e manutenção dessa cultura,
dentre elas estão o Privacy By design, a comunicação em casos de in-
cidente e a Governança em privacidade.
Por Privacy By design entende-se que “todo sistema deve ser estru-
turado de modo a atender aos requisitos de segurança, aos padrões
de boas práticas e de governança, e aos princípios gerais previstos
nesta Lei e às demais normas regulamentares” previsão essa que
está no artigo 49 da Lei Geral de Proteção de Dados.

A adoção do “Privacy by design”, segundo a idealizadora da ex-

pressão, Ann Cavoukian, deve atender aos seguintes requisitos:

• Ser proativo, não reativo;

• Privacidade como configuração padrão, a opção para tornar

algo público deve ser posterior;

• Privacidade incorporada ao design;

• Considerar todos os interesses envolvidos, sobretudo o do titular;

• Segurança de ponta a ponta, durante todo o ciclo de vida do pro-

duto ou serviço;

• Preservação da visibilidade e transparência;

• Respeito à privacidade do titular;

• Comunicação em caso de incidentes.

Caberá ao controlador o dever de comunicar à autoridade nacion-
al e também ao titular sempre que ocorrer um incidente de segu-
rança que possa acarretar risco ou dano relevante aos titulares, em
prazo razoável, que poderá ser definido pela autoridade nacional e
mencionará, no mínimo:

• A descrição da natureza dos dados pessoais afetados;

• As informações sobre os titulares envolvidos;

• A indicação das medidas técnicas e de segurança utilizadas para

a proteção dos dados, observados os segredos comercial e industri-
al;

• Os riscos relacionados ao incidente;

• Os motivos da demora, no caso de a comunicação não ter sido

imediata;

• E as medidas que foram ou que serão adotadas para reverter ou

mitigar os efeitos do prejuízo

Incidente de segurança não é apenas quando ocorre ataques

hackers, é qualquer fato que possa comprometer a integridade dos
dados pessoais ou sua utilização por pessoas desautorizadas, como
por exemplo, o envio de um arquivo com dados de clientes em um
aplicativo de mensagens para o destinatário errado.

Os incisos I e II do artigo 50 da LGPD estabelecem o mínimo que um

programa de governança deve conter. Assim, é importante que o
Programa:
• Demonstre o comprometimento do controlador em adotar proces-
sos e políticas internas que assegurem o cumprimento, de forma
abrangente, de normas e boas práticas relativas à proteção de
dados pessoais;

• Seja aplicável a todo o conjunto de dados pessoais que estejam

sob seu controle, independentemente do modo como se realizou
sua coleta;

• Seja adaptado à estrutura, à escala e ao volume de suas ope-

rações, bem como à sensibilidade dos dados tratados;

• Estabeleça políticas e salvaguardas adequadas com base em pro-

cesso de avaliação sistemática de impactos e riscos à privacidade;

• Tenha o objetivo de estabelecer relação de confiança com o titu-

lar, por meio de atuação transparente e que assegure mecanismos
de participação do titular; esteja integrado à sua estrutura geral de
governança e estabeleça e aplique mecanismos de supervisão in-
ternos e externos;

• Conte com planos de resposta a incidentes e remediação;

• Seja atualizado constantemente com base em informações obti-

das a partir de monitoramento contínuo e avaliações periódicas;

• Seja passível de comprovação (accountability).

A adoção de boas práticas e um programa de governança em pri-

vacidade é elemento avaliado quando houver aplicação das
sanções, já que a existência dessas medidas tem como finalidade e
resultado a criação de uma cultura de proteção à privacidade em
uma organização, e de definir os procedimentos internos visando
proteger esse valor, que passa a integrar os propósitos da compa-
nhia.
Se você chegou até aqui, o primeiro passo já foi dado, que é saber
se o Brasil passa a contar com uma regulamentação própria quanto
à proteção de dados em Agosto de 2020. A partir disso, é preciso,
então, avaliar quais são os pontos críticos relacionados à proteção
de dados na sua instituição. Política de segurança da informação e
a capacitação dos colaboradores serão elementos imprescindíveis
para essa nova fase em que o dados exigem proteção. Cada em-
presa terá necessidades especificas e questões individuais que pre-
cisarão de análise e adequação. É o momento de buscar suporte
para diagnóstico e adequação à LGPD para inaugurar uma nova
fase para sua empresa, em que a segurança e a proteção dos
dados refletem o comprometimento com a segurança de todos os
consumidores, colaboradores, fornecedores e clientes.

Ao contrário do que acontece no Regulamento Geral sobre a

Proteção de Dados (GDPR, na sigla em inglês), a Lei Geral de
Proteção de Dados (LGPD) não traz de modo específico qualquer
previsão quanto às relações de trabalho.
Já o regulamento europeu possui disposições específicas sobre o
tratamento de dados nas relações entre o empregado e o empre-
gador.

Por isso a aplicação da LGPD nas relações de trabalho demanda

uma análise conjunta do que trata a legislação trabalhista e os ele-
mentos acrescidos pela LGPD relacionados à proteção de dados.

Existem alguns pontos que demandam atenção. A LGPD nas

relações trabalhistas se aplica desde a fase pré-contratual, em que
há o recebimento dos currículos dos candidatos a uma determinada
guarda.

É interessante que a autorização para armazenamento dos dados

exista, bem como a autorização para compartilhamento dos dados
com a finalidade específica informada. Um bom exemplo é o com-
partilhamento desses dados entre agências de emprego, por outro
lado, não poderia haver o compartilhamento das informações para
uma agência de publicidade que busca contato com potenciais
consumidores, já que, em uma situação como essa haveria o desvio
de finalidade.

Ainda na fase pré-contratual é necessário que a discriminação seja

evitada, o que pode acontecer a partir das informações solicitadas
no processo seletivo. A própria LGPD tem como princípio a não dis-
criminação, o que reforça os entendimentos já solidificados no
âmbito trabalhista, que proíbem a discriminação de candidatos de-
vendo a recusa acontecer em decorrência de eventual incom-
patiibilidade técnica para a função a ser desempenhada.

Na fase contratual o próprio contrato de trabalho passa a ser um

documento composto por dados pessoais, o que amplia a respon-
sabilidade quanto à guarda dessas informações por parte do em-
pregador.
Os contratos devem conter cláusulas específicas relacionadas ao
consentimento para o uso dos dados das informações dos colabora-
dores, quando o uso não estiver baseado no cumprimento de
alguma obrigação legal.

Em outro ponto se fazem necessárias também, cláusulas que expres-

sem a responsabilidade do colaborador quanto à guarda das infor-
mações que ele possa ter acesso em decorrência da atividade de-
sempenhada dentro da instituição.

Sendo a LGPD uma legislação nova e que requer um forte trabalho

educacional para que se torne efetiva, os colaboradores precisam
ser treinados e capacitados para que possam saber quais são as
suas responsabilidades diante das previsões trazidas pela lei e das
normativas internas das empresas.

O treinamento é extremamente necessário já que nos casos de inci-

dentes de segurança com os dados, a depender da situação, será
necessária a apuração da conduta do colaborador para com-
preender se houve culpa ou dolo.

Sem a devida capacitação torna-se inviável a responsabilização do

colaborador diante de uma conduta realizada e que possa ter oca-
sionado o vazamento ou a utilização inadequada de dados.

As falhas ocorridas podem gerar consequências contratuais para a

empresa, como as multas previstas e até mesmo danos à reputação
da marca. Por isso, também será necessário identificar nas ope-
rações de tratamento de dados que serão realizadas quem são os
operadores e controladores, justamente para que a responsabili-
zação possa ser realizada de modo adequado.
No caso das relações com os empregados, existem vários documen-
tos que precisam ser armazenados diante das obrigações legais de-
limitadas por diversos órgãos públicos e, há ainda, a necessidade de
guarda para comprovação das informações relacionadas ao perío-
do em que o colaborador esteve vinculado a empresa.

É preciso então observar os prazos prescricionais de cada obrigação

para elaboração da política de eliminação de dados que deve
abarcar os dados dos colaboradores, sem que isso possa representar
prejuízo posterior para instituição.

Com as delimitações trazidas pela LGPD quanto às responsabili-

dades do Controlador, uma discussão necessária é a escolha da mo-
dalidade de contratação.

É preciso analisar se o formato escolhido proporciona a possibilidade

de fiscalização e privacidade dos dados a serem tratados em deter-
minados setores.

Para que se compreenda a questão, basta um exemplo simples: se

terei uma determinada função em minha empresa em que a
pessoa, ou a empresa que irá exercer, terá acesso a todos os dados
pessoais e sensíveis dos meus colaboradores e/ou clientes, qual mo-
dalidade de contratação irá proporcionar maior segurança ao em-
pregador?

Em ambas as possibilidades surgem novos pontos de atenção que

precisam ser ajustados no momento da contratação, seja via contra-
to regulamentado pelo Código Civil, ou por uma contratação regu-
lamentada pela CLT