Pequenas empresas terão mais dificuldade em se adequar à LGPD

Com a criação da Lei 13.709/2018, também conhecida como Lei Geral de Proteção de Dados Pessoais (LGPD), e da Autoridade Nacional de Proteção de Dados (ANPD), órgão federal que vai editar normas e fiscalizar procedimentos sobre proteção de dados pessoais no Brasil, as diversas organizações que atuam no país (empresas, bancos, órgãos públicos e outros) precisarão realizar uma série de adequações em seus procedimentos de coleta de dados.

Essas adequações precisarão ser feitas até o dia 16 de agosto do ano que vem, data em que passarão a valer as regras da LGPD. O conselheiro do Instituto Nacional de Proteção de Dados (INPD), Atílio Braga, explica que, para as empresas poderem continuar utilizando dados do consumidor (titular dos dados), deverão rever processos internos, termos de uso, políticas de consentimentos e contratos, realizando uma ampla revisão em todo o processo de tratamento de dados pessoais, como na coleta, reprodução, transmissão, processamento, arquivamento e eliminação dos dados, dentre outas modalidades mencionadas pela lei. 

Segundo Braga, a LGPD exigirá que as empresas respeitem princípios como o da transparência, do livre acesso aos dados, da não discriminação, da necessidade, adequação e finalidade, dentre outros. Ou seja, a empresa deverá esclarecer ao titular dos dados o que coleta, para que e com quem compartilha esses dados, além de exigir procedimentos de segurança da informação para manter seguro os dados dos titulares de vazamentos ou acesso não autorizado.

Concede ainda ao titular do dado (consumidor) o direito de solicitar a exclusão de seus dados pessoais do banco de dados ou até mesmo a portabilidade para outra organização. 

"A lei veio para defender o cidadão. Nós, como cidadãos, não dávamos valor a esse assunto até pouco tempo. Muitas pessoas acham que o Facebook, por exemplo, é uma rede criada para se comunicar com seus amigos, mas, na verdade, é uma grande rede de marketing, que utiliza os dados dessas pessoas para vender informações e produzir publicidade específica. Agora as empresas deverão coletar o mínimo possível de dados e dar total transparências na utilização deles", explicou Braga.

De acordo com o conselheiro do INPD, as empresas de pequeno e médio porte devem ser as que mais terão dificuldades para se adaptar à nova legislação. "As grandes empresas estão se mexendo, mas e as pequenas e médias? A principal dificuldade delas é com relação ao custo e falta de conhecimento técnico para realizar essas implementações. A grande questão é saber o que essas empresas farão para se adaptar a essas novas regras, pois a Europa teve dois anos para se adaptar e, mesmo assim, foi uma correria. Lembrando que lá a GDPR (legislação Europeia) entrou em vigor em maio de 2018", destacou.

“Como primeiro passo, recomenda-se que o empresário busque informações e faça a leitura da lei 13.709/2018, consulte especialistas na área e inicie um processo de avaliação de como os dados pessoais são tratados e qual o impacto deles no negócio. Essa avaliação é chamada de risk assessment (avaliação de risco). Obter um mapeamento do fluxo do tratamento dos dados pessoais, com uma mensuração dos riscos regulatórios, já é um importante passo para avaliar o tempo e os recursos necessários para a implementação de um Sistema de Gestão da Proteção e Privacidade dos Dados”, completou Braga, que também é auditor interno em Compliance.

A Lei Geral de Proteção de Dados Pessoais foi aprovada, por unanimidade, na Câmara dos Deputados e no Senado Federal, e sancionada pelo então presidente Michel Temer no dia 14 de agosto do ano passado. Em resumo, a lei regula as atividades de tratamento de dados pessoais e também altera pontos do Marco Civil da Internet.

ANPD

Atílio Braga explica que a Autoridade Nacional de Proteção de Dados terá o papel de funcionar como um agente fiscalizador dessa lei e também regulamentar lacunas que a lei não aborda. "Caberá à ANPD a responsabilidade por fazer a autuação da organização que infringir as regras e elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade", pontuou.

A Autoridade Nacional de Proteção de Dados foi criada a partir da Lei 13709/2018. Entretanto, sofreu pequenas alterações com o advento da Lei 13.853, publicada no Diário Oficial da União no último dia 9 de julho. Tais alterações tiveram origem na Medida Provisória 869/2018, editada no final do ano passado por Michel Temer e que alterava pontos da LGPD. A MP foi aprovada em maio deste ano, pela Câmara e pelo Senado, e saiu com diversas modificações em relação à redação original.

De acordo com a nova lei, entre as competências da ANPD estão zelar pela proteção dos dados pessoais, elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade e aplicar sanções em caso de tratamento de dados realizado de forma irregular.

A ANPD terá natureza transitória, podendo ser transformada em autarquia vinculada à Presidência da República após dois anos, a critério do governo. O novo órgão terá a seguinte estrutura organizacional: Conselho Diretor (órgão máximo de direção), Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, Corregedoria, Ouvidoria, órgão de assessoramento jurídico próprio e unidades administrativas necessárias à aplicação da lei. A ANPD será formada por diretores que serão nomeados para mandatos fixos.

O Conselho Nacional de Proteção de Dados Pessoais e da Privacidade será composto de 23 representantes, titulares e suplentes, de órgãos públicos e da sociedade civil.