LGPD para empresas

O ponto de partida é o inventário das operações de tratamento: que dados entram, por qual canal, para qual finalidade, por quanto tempo permanecem, com quem são compartilhados e como são descartados.

Cada operação precisa de uma base legal do artigo 7º, ou do artigo 11 quando envolver dado sensível. A escolha não é retórica: ela define os direitos que o titular pode exercer e as obrigações que recaem sobre a empresa.

Quando a base é o legítimo interesse, o artigo 10 exige que o tratamento se apoie em finalidades legítimas, consideradas a partir de situações concretas, e limitado ao estritamente necessário. O § 3º autoriza a autoridade nacional a solicitar o relatório de impacto à proteção de dados pessoais.

O artigo 5º distingue o controlador, a quem competem as decisões referentes ao tratamento, do operador, que realiza o tratamento em nome do controlador. A definição correta desses papéis determina quem responde por quê.

O artigo 42, § 1º, estabelece que o operador responde solidariamente pelos danos quando descumprir as obrigações da legislação ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que se equipara a controlador.

Por isso, contratos com fornecedores de tecnologia, folha de pagamento, marketing e atendimento precisam distribuir expressamente as obrigações: finalidade autorizada, medidas de segurança, subcontratação, prazo de retenção, devolução ou eliminação ao fim do contrato e dever de comunicar incidentes.

O artigo 46 impõe a adoção de medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão.

O artigo 50 prevê o programa de governança em privacidade, que deve demonstrar o comprometimento do agente, ser aplicável a todo o conjunto de dados sob seu controle, contar com planos de resposta a incidentes e ser atualizado constantemente.

O artigo 41 trata do encarregado, que aceita reclamações dos titulares, recebe comunicações da autoridade nacional e orienta os funcionários sobre as práticas de proteção de dados. Sua identidade e canal de contato devem ser divulgados publicamente.

O artigo 52 lista as sanções administrativas aplicáveis pela autoridade nacional: advertência, multa simples de até dois por cento do faturamento no Brasil no último exercício, limitada a cinquenta milhões de reais por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados, suspensão parcial do funcionamento do banco de dados ou da atividade de tratamento por até seis meses, e proibição parcial ou total do exercício de atividades relacionadas a tratamento.

A Resolução CD/ANPD nº 4/2023 aprovou o regulamento de dosimetria e aplicação de sanções, com os critérios que graduam a penalidade, entre eles a gravidade, a vantagem auferida, a cooperação do infrator e a adoção de política de boas práticas.

Fora da esfera administrativa, há a responsabilidade civil dos artigos 42 a 45 e o risco contratual: cláusulas de conformidade em contratos com clientes maiores e em licitações têm exigido demonstração documental.