Neste mês de agosto, a Autoridade Nacional de Proteção de Dados (ANPD) já pode dar início à fiscalização da aplicação da Lei Geral de Proteção de Dados Pessoais (LGPD) e impor sanções a quem descumprir as normas. As penalidades previstas na legislação incluem desde advertência a multas que podem chegar a 2% do faturamento bruto de uma empresa – limitada ao teto de R$ 50 milhões por infração -, além de eliminação dos dados pessoais referentes à infração.
No entanto, para que a ANPD possa atuar nesse sentido, falta ainda a regulamentação de vários dispositivos da lei, que entrou em vigor em setembro do ano passado. Para debater o tema, a Associação Nacional das Instituições de Crédito, Financiamento e Investimento (ACREFI) realizou, nesta semana, a live “LGPD: Os próximos passos da lei geral de proteção de dados no Brasil”.
“É um assunto que não se esgota e, a cada dia, traz reflexões sobre a necessidade de mais transparência no uso dessas informações tão preciosas, que são os nossos dados pessoais. Nas palavras do presidente do Banco Central, Roberto Campos, o grande ativo do mundo financeiro hoje é controle de dados. A ANPD é a autoridade responsável por aplicar essas sanções, mas essas discussões também devem acontecer no Judiciário, órgãos de proteção ao consumidor e demandas coletivas”, disse Cintia Falcão, consultora jurídica da ACREFI, que mediou o debate.
Ela destacou ainda que o grande desafio em relação ao tema é o aculturamento da proteção de dados. “Nós não estamos acostumados com isso e é o grande passo que precisa ser dado pelo cidadão, em especial”, afirmou.
Lucas Borges, Assessor do Conselho Diretor da ANPD, revelou os próximos passos da lei geral de proteção de dados, com a regulamentação de normas. “Foi feito um planejamento. Há uma série de artigos que precisam ser regulamentados; todos são prioritários, mas é preciso estabelecer uma agenda”, mencionou.
Segundo ao assessor, ANPD está atualmente trabalhando em frentes seguindo o previsto na agenda para a regulamentação desses dispositivos. No caso de fiscalização e sanções, uma primeira versão da norma já foi submetida à consulta pública e recebeu cerca de 1800 contribuições. Agora, a autoridade está concluindo a análise interna do documento, para depois passar pela área e conselho diretor. “E em breve, a norma deve ser publicada. Serão duas normas. A primeira trata dos procedimentos de fiscalização, como a ANPD pretende abordar os setores. Posteriormente, será elaborada uma norma que vai tratar especificamente da sanção de multa porque a LGPD prevê que deve ser publicado uma metodologia especifica para o cálculo de sanção de multa. Antes disso, deve sair a norma de para dar início à fiscalização” explicou.
Além disso, está em fase de discussão a regra de proteção de dados para startup e pequenas empresas, que ainda precisa passar por consulta pública. Outra norma em elaboração na autoridade trata da comunicação de incidentes. “Pela previsão da LGPD, quando houver um incidente relevante com dados pessoais, que envolva riscos e danos para direito dos titulares, deve haver uma comunicação a ANPD. Já há uma indicação do site da autoridade, inclusive um formulário, mas será publicado um regulamento específico sobre isso e essa minuta de regulamento está em elaboração”, disse.
Segundo Borges, outra frente é a elaboração da norma que trata do relatório de impacto à proteção de dados pessoais previsto na lei. A regra atribui aos agentes de tratamento, empresas e organizações o dever de elaborar um documento que esclareça como está sendo feito o tratamento de dados e faça uma ponderação sobre os riscos envolvidos e as medidas de segurança. “A minuta está em elaboração”, afirmou.
Rubia Ferrão, Sócia-Fundadora do Pigão, Ferrão e Fiorante Sociedade de Advogados, disse que há muito o que fazer ainda em proteção de dados. Segundo ela, as empresas ainda estão entendendo o cenário e muitas não se adequaram à lei. “O mercado está em alvoroço, em busca por profissionais de dados. Isso aqueceu a economia por todas as óticas até porque as empresas passaram a estruturar departamentos ou posições, principalmente as maiores, para olhar esse aspecto”, contou.
Ela destacou ainda importância da lei de proteção de dados. “É uma lei extremamente necessária. Quem diz que não é talvez não entenda o momento em que estamos vivendo, em o que dados são de extrema relevância. Os dados são o próprio combustível dessa economia digital. Aí vem uma lei e estabelece os limites éticos para o tratamento de dados. Não é uma lei proibitiva, é uma lei que exige boa-fé, transparência, respeito a princípios até para que tenhamos no eixo das atividades econômicas e sociedade o indivíduo. A lei vem para ajuda na interpretação da sociedade em que vivemos”, avaliou.
Tatiana Santos, DPO e Gerente de Risco Operacional e Controles no Banco Cetelem, falou da experiência na implementação da LGPD na instituição, uma subsidiaria de uma empresa que está na Europa que teve uma adequação ao General Data Protection Regulation (GDPR) no passado. “Vivemos a experiência da implementação da LGPD um pouco antes por conta da GDPR. Nesse sentido, pudemos visualizar e aprender com a experiência de alguém que já passou pelo processo. Tinha uma série de itens que já tinham sidos desenvolvidos. Ainda assim, quando veio a LGPD, tivemos que fazer um olhar mais direcionado às exigências locais. Então, o tempo foi suficiente para cobrir a estrutura principal e estamos trabalhando sempre com melhorias.
Ela falou ainda sobre o papel do Data Protection Officer (DPO) no processo. “Minha nomeação como DPO veio justamente porque a estrutura lá fora já estabelecia quais eram os papeis e responsabilidades. Dentro da estrutura de riscos, já estava determinado que teria um responsável por fazer todo esse orquestramento, que é a questão do papel do DPO de fazer essa supervisão. Porém, também já ficou é um processo que permeia a empresa inteira. É transversal, então começamos a trabalhar isso muito fortemente com as áreas e nos apoiar”, disse
