Apesar de a Lei Geral de Proteção de Dados (LGPD) só entrar em vigor no próximo ano, as empresas já devem começar a se adequar à nova regulamentação.
Para uma transição eficiente e sem prejuízos é fundamental conhecer bem as novas regras que serão implementadas. E isso inclui os conceitos e nomenclaturas que a LGPD vai introduzir no mercado brasileiro.
A seguir, separamos 11 termos que você precisa conhecer para se adequar a LGPD.
Autoridade nacional: de acordo com o texto da Lei Geral de Proteção de Dados a Autoridade Nacional de Proteção de Dados (ANPD) é uma entidade que vai ajudar a regular e fiscalizar o cumprimento da LGPD.
Esse órgão já era citado no texto original, mas a medida provisória 869/18 foi responsável por caracterizá-lo como uma autoridade pública integrante da Presidência da República.
A medida provisória também detalhou os atributos da ANPD, que se resumem em editar as normas de proteção de dados, monitorar o cumprimento da lei, implementar ferramentas que melhorem a comunicação entre empresas, autoridades e titulares, fazer estudos sobre proteção de dados no exterior e aplicar sanções.
Controlador: a lei define como controlador a “pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais”. Em outras palavras, toda pessoa física ou jurídica que recolha informações pessoais é considerada um controlador.
É importante frisar que o controlador só pode recolher dados caso o titular tenha autorizado ou em algumas situações específicas, como em casos de pesquisa. Também cabe ao controlador manter o sigilo dos dados confiados a ele e prestar contas às autoridades.
Encarregado: o encarregado é a figura que faz a intermediação entre o controlador, o titular e a ANPD. Também chamado de DPO (Data Protection Officer), essa pessoa física ou jurídica é indicada por quem está recolhendo os dados.
De acordo com o texto da lei de proteção de dados, as atribuições do encarregado são: aceitar reclamações dos titulares, prestar esclarecimentos e adotar providências; receber comunicações da autoridade nacional e adotar providências; orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais e executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
Dado pessoal: a lei 13709/18 considera como dado pessoal a “informação relacionada a pessoa natural identificada ou identificável”. Ou seja, tudo que puder ajudar a identificar uma pessoa pode ser considerado dado pessoal.
Nesse sentido, além de informações como endereço, nome completo e CPF, por exemplo, fotografias, gravações de vídeo e áudio, e-mails, preferências de compras e dados bancários também podem ser encarados como dados pessoais.
A LGPD aborda outros dois tipos de dados, os anonimizados e os sensíveis.
Dado anonimizado: é descrito como “dado relativo ao titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento”. Em outras palavras, trata-se de uma informação que foi descaracterizada em algum nível para que o seu titular não possa mais ser identificado, mas que ainda é importante para o controlador.
O artigo 12 ainda afirma que os dados anonimizados não são considerados pessoais e a legislação não se aplica a eles, salvo em casos em que o processo de anonimização for revertido.
Esse ponto abre espaço para que se imagine que é possível identificar o titular de um dado anomizado de alguma maneira.
Dado sensível: são informações bem particulares e íntimas do titular, como dados relativos à etnia, opinião política, convicção religiosa ou sexual. Essas informações são tidas como mais delicadas e, por isso, o controlador só deve solicitá-las para finalidades bastante específicas.
Apesar disso, os dados sensíveis também podem ser coletados sem o consentimento do titular ou de seu responsável, desde que seja necessário para o cumprimento da legislação, solicitado pela administração pública, utilizado em pesquisas, para ser regulador de direitos ou ainda para a tutela da vida e da saúde.
Operador: é a empresa ou profissional diretamente responsável pelo tratamento dos dados. Tanto o operador quanto o controlador devem manter registros sobre o tratamento de dados. A ANPD pode solicitar esses relatórios para verificar se os procedimentos estão em conformidade com a lei.
O controlador e o operador também têm responsabilidade sobre o vazamento ou qualquer tipo de danos causados aos titulares. A seção que trata sobre ressarcimento de danos determina que “o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei”
Portabilidade de dados: o texto da LGPD não tem um conceito definido para portabilidade de dados, mas podemos considerar que se trata da migração de informações de um canal para o outro.
Por exemplo, caso você tenha contratado um plano de telefonia com uma empresa e deseja migrar para outra operadora, a primeira companhia deve facilitar o processo e enviar suas informações para a nova contratada.
Importante dizer que a portabilidade deve ser solicitada pelo titular e que a antiga controladora não pode reter nenhum tipo de informação.
Relatório de impacto: é descrito como uma “documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco”.
Como mencionamos, esses relatórios devem ser feitos pelo operador e pelo controlador e podem ser solicitados pela ANPD. Neste material podem ser suprimidas informações de segredos comercial e industrial.
Tratamento de dados: toda operação que utiliza informações pessoais, incluindo a coleta, classificação, reprodução, transmissão e armazenamento. Para efeitos legais, qualquer empresa ou pessoa física que faça tratamento de dados deve observar as orientações da Lei Geral de Proteção de Dados e se adequar a ela.
Uso compartilhado de dados: é o compartilhamento de informações pessoais por duas ou mais empresas, órgãos ou pessoas.
É legal se tiver como finalidade o cumprimento de suas competências legais e se houver autorização específica. Caso o compartilhamento de dados sensíveis esteja ligado a vantagens econômicas, poderá ser objeto de vedação e sanções legais. E isso deve valer para entidades públicas e privadas.
O titular tem o direito de saber se os dados pessoais que compartilhou com uma empresa estão sendo compartilhados com outras companhias e qual a finalidade da partilha.
