Advogado de LGPD e compliance em Campinas, SP: adequação à lei de proteção de dados, incidentes de segurança e programa de integridade

A LGPD aplica-se a qualquer operação de tratamento de dados pessoais realizada por pessoa natural ou jurídica, de direito público ou privado, quando o tratamento ocorre no Brasil, tem por objetivo oferecer bens ou serviços a pessoas no território nacional ou os dados foram coletados aqui (art. 3º). A lei distingue o controlador, a quem competem as decisões sobre o tratamento, e o operador, que trata dados em nome do controlador (art. 5º, VI e VII). Todo tratamento exige uma das bases legais do art. 7º, entre elas o consentimento, o cumprimento de obrigação legal, a execução de contrato, o exercício regular de direitos e o legítimo interesse; o tratamento de dados sensíveis, como os de saúde e os biométricos, segue as hipóteses mais restritas do art. 11.

Além da base legal, o tratamento deve observar os princípios do art. 6º, entre eles finalidade, adequação, necessidade, transparência, segurança, prevenção e responsabilização e prestação de contas. Na prática, isso significa coletar só o que é necessário, informar o titular de modo claro, guardar os dados pelo tempo necessário e poder provar o cumprimento: o controlador e o operador devem manter registro das operações de tratamento (art. 37), e a ANPD pode determinar a elaboração de relatório de impacto à proteção de dados pessoais (art. 38). O controlador indica o encarregado, cuja identidade e contato são divulgados publicamente (art. 41).

Agentes de tratamento de pequeno porte, como microempresas, empresas de pequeno porte e startups, têm regime simplificado, regulamentado pela ANPD, que flexibiliza obrigações como a indicação do encarregado e o registro das operações de tratamento.

O titular tem direitos que a empresa deve estar preparada para atender: confirmação da existência de tratamento, acesso, correção, anonimização, bloqueio ou eliminação de dados desnecessários, portabilidade, informação sobre o compartilhamento e revogação do consentimento (art. 18). O pedido de confirmação ou de acesso é respondido de imediato, em formato simplificado, ou em até quinze dias, por declaração clara e completa (art. 19). Uma rotina interna de atendimento, com responsável e prazo, evita que o pedido de um titular se torne reclamação à ANPD ou ação judicial.

O controlador deve comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares (art. 48). A comunicação deve mencionar a descrição da natureza dos dados afetados, as informações sobre os titulares envolvidos, a indicação das medidas técnicas e de segurança utilizadas, os riscos relacionados ao incidente, os motivos da demora, se for o caso, e as medidas adotadas ou que serão adotadas para reverter ou mitigar os efeitos (art. 48, § 1º).

A regulamentação da ANPD fixa o prazo de três dias úteis para a comunicação do incidente que possa acarretar risco ou dano relevante, contados do conhecimento, pelo controlador, de que o incidente afetou dados pessoais.

As sanções administrativas da ANPD incluem advertência, multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada, no total, a R$ 50 milhões por infração, multa diária, publicização da infração e bloqueio ou eliminação dos dados (art. 52). Na aplicação, consideram-se a gravidade, a boa-fé, a vantagem auferida, a cooperação, a adoção reiterada de mecanismos de minimização do dano e a adoção de política de boas práticas e governança (art. 52, § 1º). Fora da esfera administrativa, o titular pode pedir reparação em juízo, individual ou coletivamente (arts. 42 a 45).

A resposta a incidente segue uma ordem: conter o vazamento, preservar evidências, identificar os dados e os titulares afetados, medir o risco, comunicar a ANPD e os titulares quando for o caso, corrigir a falha e documentar as decisões. Registrar o raciocínio de cada decisão, inclusive o de não comunicar quando o risco é baixo, é o que sustenta a conduta da empresa perante a autoridade. Os registros de conexão e de acesso a aplicações têm prazos de guarda próprios no Marco Civil da Internet (arts. 13 e 15) e devem ser coerentes com a política de retenção.