Provavelmente você já ouviu falar em LGPD (Lei Geral de Proteção de Dados) e GDPR (Regulamento Geral de Proteção de Dados), e talvez até saiba que a primeira é a nova lei brasileira que entra em vigor no próximo ano e que a segunda é o regulamento europeu, implementado em 2018.
Mas já que essas duas siglas tratam sobre o mesmo assunto, o que difere uma da outra? E o que elas têm em comum? São essas perguntas que vamos responder a partir de agora!
Conceitos principais
Nesse quesito as duas diretivas são bastante semelhantes já que versam sobre a proteção de dados pessoais – informações que ajudam a identificar uma pessoa, como nome, CPF, endereço e e‑mail, por exemplo.
Tanto a LGPD quanto o GDPR cobrem aspectos como: quais são os direitos do titular sobre suas informações pessoais, como as empresas podem ou não recolher e processar dados e quais as punições caso descumpram as regras.
Ambas também determinam o conceito de dado pessoal sensível: uma informação íntima que precisa de tratamento especial, porque sua divulgação ou utilização inadequada pode causar prejuízos para o titular. São considerados sensíveis os dados sobre origem étnica, orientação sexual, posicionamento político, saúde e religião, por exemplo.
Técnicas de segurança
Nesse aspecto LGPD e GDPR parecem caminhar juntos, mas a legislação da União Europeia é bem mais específica do que a brasileira.
A nossa legislação orienta apenas que os dados pessoais sejam tratados de maneira segura e afirma que a Autoridade Nacional de Proteção de Dados (ANPD) pode descrever a forma como isso será feito. Já o GDPR não perde tempo e exige medidas como encriptação e pseudoanonimização para manter os bancos de dados mais seguros.
Como a criação da ANPD só foi formalizada nos últimos dias 2018, ainda não podemos dizer com segurança quais serão os seus padrões de segurança. Por hora, as empresas devem buscar seus próprios meios para melhorar a sua segurança digital e estar atentas para novidades que devem vir nos próximos meses.
Aplicação internacional
Aqui GDPR e LGPD voltam a ter discursos muito parecidos. Ambas determinam que suas regras valem tanto para os dados dos nativos quanto para qualquer pessoa ou empresa que tenham operações em seu território.
Ou seja, empresas que coletem, armazenem e utilizem dados de cidadãos da União Europeia, estejam localizadas ou ofertem produtos e serviços para a região precisam atender o GDPR. E a LGPD vale para todos os casos em que os dados foram coletados e manipulados em território nacional ou sejam de brasileiros.
Isso pode significar que empresas brasileiras que tenham operações na UE podem ter que adotar os padrões das duas legislações, a nacional e a europeia.
Portabilidade de dados
Esse conceito foi difundido pelo GDPR e adotado em vários países que estão desenvolvendo suas próprias normas de proteção, incluindo o Brasil.
A portabilidade de dados garante ao titular o direito de mover suas informações pessoais de uma empresa para a outra. Nesse caso, a companhia que detinha os dados não pode dificultar o processo e nem reter nenhuma informação.
Bons exemplos de portabilidade seriam a migração de seus dados de um banco para o outro, ou de uma corretora de seguros para outra.
Vazamento de dados
Esse é um dos pontos em que o GDPR é mais severo: em casos de vazamento de dados a empresa que sofreu a quebra de sigilo deve comunicar as autoridades em, no máximo, 72 horas depois do ocorrido. Os usuários também devem ser notificados dependendo da gravidade da situação.
A LGPD também demanda que a autoridade nacional e as vítimas sejam avisadas sobre o vazamento e seus riscos. Mas não estipula um prazo máximo para essa comunicação. Por hora, há apenas a informação de que os detalhes deste procedimento serão criados pela ANPD.
Consentimento para captação
Garantir que o consumidor não só está ciente, mas permite que uma empresa recolha e use seus dados para finalidades específicas é um dos pilares principais de qualquer política de proteção de dados.
No GDPR o consentimento é necessário e a companhia pode ser obrigada, inclusive, a demonstrar para as autoridades como conseguiu a permissão do titular. Mas na LGPD este aspecto ficou um pouco confuso, principalmente depois das mudanças feitas pela MP 869/18.
Atualmente, o artigo 11, da LGPD tem sete situações em que as empresas podem coletar dados pessoais – inclusive os sensíveis – sem consentimento do titular. Esses pontos incluem conceitos que ainda não estão muito claros e que podem acabar sendo interpretados das mais diversas formas, como “tutela da saúde” ou “garantia da prevenção à fraude”, por exemplo.
No futuro essas determinações deverão ser muito bem explicadas para que empresas não se aproveitem de conceitos muito amplos para coletar informações que não deveriam.
Ainda tem dúvidas sobre a LGPD e o GDPR? Precisa de ajuda para implementar as mudanças na sua empresa? Entre em contato com os advogados especializados em proteção de dados do Assis e Mendes Advogados!