Não é raro, em qualquer ambiente institucional, nas tradicionais conversas no intervalo do trabalho, no momento do cafezinho ou mesmo do almoço, o assunto dizer respeito à vida de algum colega – seja aquela que está grávida, ou aquele que contraiu uma doença grave, o outro que foi compelido ao pagamento de pensão alimentícia por decisão judicial, etc.
Se o autor da notícia soube dos fatos por intermédio do seu próprio protagonista, a situação aqui exemplificada permanece no âmbito das relações interpessoais, sem sofrer qualquer repercussão das disposições da Lei Geral de Proteção de Dados (LGPD - Lei nº 13.709/2018). A LGPD exclui do seu âmbito objetivo de aplicação o tratamento de dados realizado por pessoas naturais para fins exclusivamente particulares e não econômicos (art. 4º, I).
Entretanto, muitas vezes, informações pessoais como as exemplificadas acima chegam ao conhecimento de algum colaborador da empresa em razão da função por ele desempenhada na organização. São diversas as hipóteses em que um empregador precisa tomar ciência de informações pessoais dos empregados para adoção de medidas legais.
Há uma gama de dados dos colaboradores, cujas operações de tratamento se fazem sob a base legal do art. 7º, inciso II da LGPD (tratamento de dados para cumprimento de obrigação legal ou regulatória do controlador). Controlador é a pessoa, jurídica ou natural, que toma as decisões relativamente a tratamento de dados pessoais e assume as responsabilidades decorrentes. O acesso e o arquivamento de tais informações pessoais pelo empregador constituem tratamentos de dados que têm um propósito legítimo e a devida base legal. Mas há outros deveres a serem observados para que toda a operação de tratamento se enquadre nos parâmetros da legalidade.
A LGPD determina que o controlador tem o dever de adotar “medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito” (art. 46).
A pessoa que, dentro da organização, toma contato com alguma informação pessoal de outro colaborador em razão da função que desempenha, e comenta com um terceiro, promove um acesso não autorizado ao conteúdo daquela informação, violando o princípio da confidencialidade, e este fato, embora tão comum, constitui um tipo de incidente de segurança de dados pessoais.
A empresa pode responder face ao titular dos dados, em caso de dano material ou moral, mas também pode ser responsabilizada administrativamente pela Autoridade Nacional de Proteção de Dados (ANPD) em alguma das sanções dispostas no art. 52 da LGPD, que incluem advertência, multa simples ou diária, publicização da infração, formas variadas de impedimento provisório ou definitivo de uso de dados pessoais, seja dos dados objeto do incidente, seja de todo o banco de dados da organização.
Dispõe a Lei que a intensidade da sanção deverá ser proporcional à gravidade da falta. E que a aplicação da penalidade, tendo em vista as peculiaridades do caso concreto, deverá considerar a gravidade e a natureza das infrações e dos direitos pessoais afetados, a adoção de políticas de boas práticas e governança pela organização, bem como a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados, dentre outros parâmetros.
Para as situações de vazamentos individuais ou acessos não autorizados aos dados pessoas, a LGPD reconhece a possibilidade de conciliação direta entre o controlador e o titular dos dados, mas dispõe que, caso não haja acordo, estará o controlador sujeito à aplicação das penalidades administrativas pela ANPD.
O treinamento dos colaboradores da organização para a conscientização em privacidade e proteção de dados é das medidas administrativas mais importantes a serem implementadas como forma de evitar incidentes de segurança de dados e por onde se deve iniciar qualquer programa de conformidade à LGPD.
