Sancionada h\u00e1 pouco menos de um ano, a Lei Geral de Prote\u00e7\u00e3o de Dados (LGPD) chegou a sua reda\u00e7\u00e3o final em meados de julho, com muitas e importantes mudan\u00e7as. Para ajudar a compreender, comento abaixo essas altera\u00e7\u00f5es:<\/p>\n\n\n\n
Tratamento de dados relativos \u00e0 sa\u00fade<\/strong><\/p>\n\n\n\n Ocorreu uma flexibiliza\u00e7\u00e3o em rela\u00e7\u00e3o \u00e0 hip\u00f3tese legal que autoriza o uso de dados para tutela da sa\u00fade. Desta forma, tanto os dados pessoais quanto os dados pessoais sens\u00edveis poder\u00e3o ser tratados por profissionais de sa\u00fade, autoridades sanit\u00e1rias e respons\u00e1veis pelos servi\u00e7os de sa\u00fade, o que representa um grande aumento nas possibilidades de uso de dados na \u00e1rea da sa\u00fade.<\/p>\n\n\n\n Outra mudan\u00e7a em rela\u00e7\u00e3o a dados relativos na \u00e1rea \u00e9 que fica vedado o compartilhamento de informa\u00e7\u00f5es pessoais sens\u00edveis referentes \u00e0 sa\u00fade com o objetivo de obter vantagem econ\u00f4mica. Deve-se atentar, por\u00e9m, \u00e0s seguintes condi\u00e7\u00f5es:<\/p>\n\n\n\n A vers\u00e3o final da LGPD apresenta um conflito entre a defini\u00e7\u00e3o do artigo 5\u00ba, VIII e regra do artigo 41, que disciplina a fun\u00e7\u00e3o do Encarregado de Prote\u00e7\u00e3o de Dados (DPO), o relacionando apenas com os Controladores de dados.<\/p>\n\n\n\n Se olharmos o que pretendia o legislador antes do veto, chegar\u00edamos ao entendimento de que a figura do Encarregado estivesse presente tanto no Controlador como no Operador. Desta forma, a nossa recomenda\u00e7\u00e3o \u00e9 para que as empresas operadoras nomeiem seus Encarregados de Prote\u00e7\u00e3o de Dados, at\u00e9 mesmo porque \u00e9 rar\u00edssimo termos uma empresa que seja somente uma operadora de dados.<\/p>\n\n\n\n Outra mudan\u00e7a \u00e9 que a lei n\u00e3o torna mais expressa a necessidade que o DPO (Encarregado) detenha o conhecimento jur\u00eddico-regulat\u00f3rio em prote\u00e7\u00e3o de dados. Este veto foi baseado em n\u00e3o ofender o direito fundamental, previsto no art. 5\u00ba, XIII da Constitui\u00e7\u00e3o da Rep\u00fablica, por restringir o livre exerc\u00edcio profissional a ponto de atingir seu n\u00facleo essencial. Surgiu do medo de uma reserva de mercado por parte dos advogados. O certo \u00e9 que um bom DPO, entre outras habilidades t\u00e9cnicas necess\u00e1rias, dever\u00e1 dominar n\u00e3o s\u00f3 a LGPD, mas tamb\u00e9m a sua regulamenta\u00e7\u00e3o europeia, a GDPR, al\u00e9m de ter a t\u00e9cnica para peticionar a ANPD (Autoridade Nacional de Prote\u00e7\u00e3o de Dados Pessoais), respondendo as quest\u00f5es por ela levantadas.<\/p>\n\n\n\n No fundo, a empresa gastar\u00e1 mais tendo um profissional puramente t\u00e9cnico sem o conhecimento jur\u00eddico-regulat\u00f3rio como DPO, logo que necessariamente ter\u00e1 que contratar um Escrit\u00f3rio de Advocacia especializado para suportar as demandas junto \u00e0 ANPD e ao judici\u00e1rio. Ou seja, em suma, ser\u00e1 um tiro no p\u00e9 das empresas desconsiderar o conhecimento jur\u00eddico para a contrata\u00e7\u00e3o de um DPO.<\/p>\n\n\n\n Revis\u00e3o das decis\u00f5es automatizadas<\/strong><\/p>\n\n\n\n Havia a previs\u00e3o de que o titular de dados teria o direito de solicitar revis\u00f5es das decis\u00f5es tomadas de forma automatizada, processo esse que seria feito, nesse segundo momento, por um agente humano.<\/p>\n\n\n\n Ocorreu, por\u00e9m, o veto presidencial, dispensando essa necessidade.<\/p>\n\n\n\n Ficam mantidas na LGPD as san\u00e7\u00f5es administrativas, sendo:<\/p>\n\n\n\n Essas puni\u00e7\u00f5es existentes na Lei s\u00e3o rigorosas e justificam o grande movimento das empresas para sua adequa\u00e7\u00e3o \u00e0 LGPD.<\/p>\n\n\n\n Uma novidade com rela\u00e7\u00e3o \u00e0s san\u00e7\u00f5es \u00e9 que os vazamentos individuais ou os acessos n\u00e3o autorizados a dados pessoais poder\u00e3o ser objeto de concilia\u00e7\u00e3o direta entre controlador e titular e, caso n\u00e3o haja acordo, o controlador estar\u00e1 sujeito \u00e0 aplica\u00e7\u00e3o das penalidades da LGPD.<\/p>\n\n\n\n A ANPD ser\u00e1 \u00f3rg\u00e3o da administra\u00e7\u00e3o p\u00fablica federal direta, integrante da Presid\u00eancia da Rep\u00fablica, o Poder Executivo, segundo a LGPD. Poder\u00e1 transformar a ANPD em entidade da administra\u00e7\u00e3o p\u00fablica federal indireta ap\u00f3s dois anos de funcionamento, submetida a regime aut\u00e1rquico vinculada \u00e0 Presid\u00eancia da Rep\u00fablica.<\/p>\n\n\n\n Podemos destacar como atua\u00e7\u00e3o da ANPD os seguintes pontos:<\/p>\n\n\n\n Uma das grandes dificuldades que estamos enfrentando na implementa\u00e7\u00e3o da LGPD em nossos clientes \u00e9 o entendimento de que se trata exclusivamente de uma demanda jur\u00eddica ou apenas tecnol\u00f3gica.<\/p>\n\n\n\n Para o sucesso da LGPD, entretanto, \u00e9 necess\u00e1rio um grupo multidisciplinar abrangendo as \u00e1reas de prote\u00e7\u00e3o de dados e seguran\u00e7a da informa\u00e7\u00e3o. Esse grupo dever\u00e1 seguir uma jornada com etapas bem definidas, para que as atividades necess\u00e1rias sejam realizadas por profissionais multidisciplinares e no tempo correto, apoiando cada etapa com a expertise exigida, garantindo, assim, a implementa\u00e7\u00e3o da LGPD no prazo determinado e com a qualidade demandada pela Lei.<\/p>\n\n\n\n Esta jornada compreende cinco grandes fases, que contemplam:<\/p>\n\n\n\n Cria\u00e7\u00e3o do escrit\u00f3rio de privacidade<\/strong><\/p>\n\n\n\n Mapeamento de dados<\/strong><\/p>\n\n\n\n An\u00e1lise de impacto no tratamento de dados<\/strong><\/p>\n\n\n\n Defini\u00e7\u00f5es tecnol\u00f3gicas para o tratamento de dados<\/strong><\/p>\n\n\n\n Monitora\u00e7\u00e3o e opera\u00e7\u00e3o da privacidade<\/strong><\/p>\n\n\n\n \n\nEsta jornada requer tempo, pessoas especializadas e engajadas para obtermos o sucesso necess\u00e1rio em adequar as empresas dentro do tempo e requisitos da Lei. Com resta menos de um ano (a LGPD entra em vigor em agosto de 2020), \u00e9 preciso iniciar o processo o quanto antes.\n\n<\/p>\n\n\nDefini\u00e7\u00f5es para o DPO (Encarregado de Prote\u00e7\u00e3o de Dados)<\/h2>\n\n\n\n
San\u00e7\u00f5es da LGPD<\/h2>\n\n\n\n
Autoridade Nacional de Prote\u00e7\u00e3o de Dados Pessoais (ANPD)<\/h2>\n\n\n\n