Proteção de Dados e LGPD

A Lei 13.709/2018 se aplica a qualquer operação de tratamento realizada por pessoa natural ou jurídica, de direito público ou privado, independentemente do meio e do país de sede, desde que a operação ocorra no território nacional, os dados tenham sido coletados no Brasil ou a atividade tenha por objetivo oferecer bens ou serviços a pessoas aqui localizadas, conforme os artigos 1º e 3º.

Todo tratamento precisa de uma base legal. O artigo 7º lista dez hipóteses para dados comuns, entre elas o consentimento, o cumprimento de obrigação legal, a execução de contrato e o legítimo interesse. O artigo 11 traz rol mais restrito para dados sensíveis, aqueles sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização religiosa, filosófica ou política, dados referentes à saúde ou à vida sexual, e dados genéticos ou biométricos.

Consentimento não é a base preferencial, é apenas uma delas, e frequentemente a mais frágil, porque pode ser revogado a qualquer momento por manifestação expressa do titular, na forma do artigo 8º, § 5º.

Do lado de quem trata dados, a exigência central é a responsabilização e prestação de contas do artigo 6º, inciso X: demonstrar a adoção de medidas eficazes e capazes de comprovar a observância das normas. Documentação, portanto, não é burocracia: é o próprio cumprimento da obrigação.

Do lado do titular, a lei confere direitos exigíveis diretamente do controlador, no artigo 18, e prevê responsabilidade civil por dano patrimonial, moral, individual ou coletivo, nos artigos 42 a 45.

Vazamento e tratamento irregular de dados costumam ser o insumo de fraudes. Golpes que se apoiam em dados de processos judiciais, em informação bancária ou em identidade de profissional podem envolver, ao mesmo tempo, um incidente de segurança, um ilícito civil e uma infração penal.

Podem, e não necessariamente envolvem. A existência de fraude não demonstra, por si, que houve incidente sob responsabilidade de determinada organização: o dado pode ter origem em fonte pública, em cadastro do próprio autor do golpe ou em episódio anterior e alheio a quem se aponta como responsável. Estabelecer a origem é questão de prova, e é ela que define quem responde e em que esfera.

Essa é uma sobreposição em que o escritório atua nas duas frentes, o que permite tratar o mesmo fato de forma coerente na esfera regulatória, na cível e na criminal.