A partir de hoje, dia 18 de setembro, passa a valer em todo o território nacional a Lei Geral de Proteção de Dados. Muito aguardada desde quando foi aprovada, em 2018, a LGPD regula a coleta, o tratamento e o armazenamento de dados pessoais, com previsão para entrar em vigor em agosto de 2020. Após um imbróglio na Câmara e no Senado no último mês em torno da data de vigência, a lei passa a vigorar com a sanção do presidente Jair Bolsonaro do Projeto de Lei de Conversão nº 34/2020, ainda que com pendências importantes.
Já falamos sobre a LGPD algumas vezes, aqui mesmo no blog da Capital Informação, mostrando os pontos básicos que regem a lei e a relação com a segurança da informação, algo sempre de interesse dos nossos clientes. Hoje vamos fazer algo um pouco diferente. Vamos conversar com um dos nossos próprios clientes, que está na linha de frente da adequação à LGPD.
Trata-se do Adriano Mendes, sócio fundador do Assis e Mendes Advogados, escritório especializado em Direito Digital e Proteção de Dados, que vai contar para a gente um pouco mais dos impactos da lei e o que fazer para se adequar agora.
Adriano, a LGPD já está mesmo em vigor? O que falta ainda para o processo estar completo?
Sim! Apesar do PLC sancionado não mencionar diretamente nada sobre a LGPD, ela passa a valer a partir de hoje, dia 18 de setembro de 2020. A questão é um pouco técnica: a Lei já era prevista para entrar em vigor em 16 de agosto desse ano, porém uma medida provisória no meio do caminho propôs o adiamento da vigência.
Esse adiamento foi aprovado na Câmara, mas não pelo Senado. Logo, com a sanção do presidente, a LGPD já está em vigor, cabendo ao Congresso ainda regulamentar o tempo em que ela ficou “suspensa”, entre agosto e setembro.
O ponto principal pendente é a constituição da ANPD, a Autoridade Nacional de Proteção de Dados, que irá fiscalizar e elaborar as multas (cuja aplicação já havia sido prorrogada para agosto de 2021). Embora a ANPD já tenha sido estruturada no mês passado, ainda falta a nomeação dos diretores e sua sabatina no Senado.
Agora, temos uma lei vigente, mas ainda sem uma Autoridade que determine como aplicar a LGPD em alguns de seus pontos, o que pode causar uma judicialização desnecessária de assuntos ligados à Proteção de Dados.
E o que acontece agora na prática para as empresas?
Muitas delas já têm visto um aumento de questionamentos e pedidos de aditivos contratuais para formalizar as responsabilidades com os dados compartilhados. As grandes companhias já começaram a enviar aditivos aos contratos, pedindo que as empresas com as quais têm relações confirmem que já cumprem a LGPD e que serão responsáveis pelas multas e prejuízos caso haja vazamento de informações em sua atuação.
Também com a entrada em vigor da LGPD, as empresas já estão sendo questionadas sobre o uso de dados de pessoas físicas, que já podem questionar na justiça a forma como seus dados são coletados, tratados e armazenados. Ou seja: apesar de ainda não sofrerem multas, as empresas têm de se adequar imediatamente à LGPD, pois agora já podem ser processadas e ter problemas jurídicos sérios com base na lei.
Especificamente para empresas de TI e Telecom – clientes aqui da Capital Informação – quais são os impactos da LGPD?
Tanto os fabricantes quanto as integradoras e outsourcings de TI já têm recebido esses questionamentos e devem adequar o quanto antes seus produtos e serviços à LGPD, principalmente aquelas da área de segurança da informação. Já as empresas de Telecom, dependendo da sua área de atuação, sofrem diretamente os impactos da Lei, pois costumam lidar com um volume muito maior de dados pessoais (principalmente no caso de operadoras).
Em ambos os casos, elas devem se atentar aos os princípios e fundamentos da LGPD: o da coleta do mínimo necessário, da transparência na utilização dos dados e da responsabilização e das regras de governança dentro dos processos da Lei.
Além disso, elas devem considerar a adoção do conceito “Security and privacy by design and default”, pensando na segurança e privacidade dos dados pessoais já na concepção de produtos e serviços de TI.
Quer dizer, agora elas devem considerar a LGPD já na fase de projeto e MPV (Minimum Viable Product, ou traduzido para o português, “Mínimo Produto Viável”, uma metodologia de desenvolvimento), e não depois do produto ou serviço já tiver sido contratado pelos clientes.
O que fazer então na prática? Qual é o passo a passo para essas empresas então?
Bom, desde a promulgação da LGPD sempre recomendamos que as empresas – não só de TI e Telecom, mas de todos os segmentos – procurassem fazer o mapeamento dos dados. Para você ter uma ideia, apenas essa fase de levantamento dos dados coletados junto à TI, que chamamos de assessment, leva em torno de 2 meses. Dois meses!
Isso sem contar o processo de adequação jurídica em si, que deve passar pela garantia do atendimento e direitos dos titulares, revisão de contratos/termos de uso e política de privacidade, negociação de contratos e condições com clientes e fornecedores estratégicos, capacitação e a nomeação do DPO.
Nessas duas etapas do processo é recomendável o apoio de uma consultoria especializada, que suporte tanto a TI (ou a área de desenvolvimento) quanto o próprio departamento jurídico da empresa.
E é aí que entra o Assis e Mendes Advogados, correto?
Sim! Tive a chance de acompanhar a implementação da GDPR na Europa e desde 2017 e me especializar cada vez em Proteção de Dados, Tecnologia e Privacidade. Junto com uma equipe hoje bem preparada, apoiamos empresas do mercado financeiro, varejo, indústria, serviços com grande volume de dados, internet e tecnologia em processos de adequação de diferentes formas.
Para já colocar a mão na massa, baixe já nosso Checklist LGPD, com um passo a passo detalhado para sua empresa se adequar a LGPD. E para um apoio especializado na adequação de empresas de TI e Telecom, entre com contato direto conosco. Temos ajudado na conformidade de produtos e serviços e com certeza poderemos lhe auxiliar também.
