Sobre as Penalidades da Lei Geral de Proteção de Dados (LGPD)

12/08/2021

A Lei Geral de Proteção de Dados – LGPD (Lei nº 13.709/2018) entrou na ordem do dia da mídia brasileira porque, embora esteja vigente desde 18.09.2020, as penalidades que ela institui para o caso de descumprimento de suas disposições entraram em vigor em 01.08.2021.

Esta Lei se aplica a todas as pessoas jurídicas e pessoas naturais no exercício da sua atividade econômica - empresas, associações com ou sem fins lucrativos, ONG’s, partidos políticos, sindicatos, instituições religiosas, profissionais liberais devem adequar, aos ditames da LGPD, o modo como utilizam e armazenam as informações que detêm e que se relacionem a pessoas naturais. Devem instituir processos em conformidade com a LGPD para a obtenção destas informações, armazenamento, compartilhamento interno ou externo destes dados ou outro uso qualquer.

São dados pessoais não somente as informações que identificam diretamente um indivíduo, mas qualquer informação que, mediante a associação a algum elemento identificador, possa revelar a identidade do respectivo titular. A Lei protege assim os dados de identificação direta da pessoa, mas também informações que digam respeito aos seus hábitos, preferências, habilitações, habilidades, rotinas, enfim, à sua vivência de modo geral.

Ao resguardar a autodeterminação informativa, a LGPD não se limita a proteger a privacidade dos indivíduos, mas objetiva assegurar a cada pessoa o controle sobre o uso de suas informações por terceiros. Como consequência, o regime jurídico de proteção de dados pessoais adota o mecanismo do compliance como critério definidor das condutas sujeitas a aplicação de sanções.

Isto significa que não é preciso que haja um vazamento de dados ou efetivo dano para o seu titular, para caracterizar uma infração. O descumprimento de alguma das disposições da LGPD já configura incidente de violação dos dados, sujeito à penalização.

Uma vez que os princípios que orientam a atividade de tratamento de dados e os direitos assegurados aos titulares dos dados são a base de todo o regime, as condutas que violam algum destes aspectos, ou a implementação de medidas técnicas ou administrativas de proteção dos dados que não sejam proporcionais ao risco representado pelo tratamento de dados realizado, constituem violações consideras mais gravosas, que tenderão a atrair penalidades mais severas.

As sanções instituídas na Lei consistem em advertência; multa diária ou um percentual do faturamento da empresa, a partir de 2%, e limitada a cinquenta milhões de reais em qualquer dos casos, aplicada por infração; publicização da infração; bloqueio até a regularização ou eliminação dos dados objeto da infração; suspensão parcial do banco de dados ou da própria atividade de tratamento dos dados relativos à infração, até a regularização; proibição parcial ou total de tratamento de dados pessoais.

Embora a previsão de multa chame a atenção, há outras sanções que podem representar um impacto mais relevante para a empresa, como a publicização da infração ou bloqueio, suspensão ou proibição de uso dos dados pessoais. Quais as consequências de uma proibição de comunicação com os clientes e de uso das suas informações de qualquer forma por seis meses?

Já se sabe que uma das causas mais comuns de violação de dados pessoais e aplicação de sanções é o erro humano, o que induz à conclusão de que a conscientização do pessoal interno deve ser uma prioridade para todas as organizações e profissionais liberais, e isto pode ser feito com palestras ou cursos que podem ser ministrados online, no próprio ambiente de trabalho, tomando por volta de uma hora por dia de trabalho, em dias combinados. É das primeiras medidas administrativas aptas a proteger os dados de acessos não autorizados ou atos acidentais ou ilícitos, nos termos do art. 46 da LGPD.

Entretanto, deve-se ter atenção com relação aos oportunistas que surgem sempre nestes momentos, autodeclarando-se “especialistas”. Devido à sua complexidade e à especificidade da matéria regulada, uma mera leitura da LGPD não habilita nem mesmo um Advogado à sua aplicação; a sua adequada compreensão demanda um estudo mais aprofundado das fontes.

As organizações não devem buscar alternativas de adequação rápida, ainda que encontrem estas ofertas no mercado, sob pena de desperdício de tempo e recursos.

A adequação à LGPD é um processo, não é possível de ser implementada em curto espaço de tempo e se inicia com a conscientização do corpo funcional; e para tanto deve a organização buscar a assessoria de um verdadeiro especialista.