LGPD em vigor: o papel e a importância das políticas de privacidade
No dia 26 de agosto o Senado Federal aprovou a Medida Provisória 959/20, com veto ao seu artigo 4º, que previa o adiamento da vigência da Lei 13.709/18, a Lei Geral de Proteção de Dados (LGPD), para maio de 2021. Com a exclusão do referido texto legal, o início da vigência da LGPD passou a depender da sanção ou do veto presidencial da MP 959/20. Em 17 de setembro de 2020, a MP 959/20 foi sancionada pelo presidente da República, convertida em lei e, com a sua publicação no Diário Oficial da União em 18 de setembro, a LGPD finalmente entrou em vigor.
Vale lembrar que, em 27 de agosto de 2020, já havia sido publicado o Decreto nº 10.474, que aprovou a estrutura regimental e estabeleceu a competência e as funções da Autoridade Nacional de Proteção de Dados (ANPD) e dos respectivos órgãos integrantes da sua estrutura organizacional. A aplicação das multas e sanções administrativas previstas pela LGPD — que estavam condicionadas à estruturação da ANPD por ser a autoridade competente —, ocorrerá conforme disposto pela Lei 14.010/20: a partir de 1º de agosto de 2021.
Apesar de as penalidades administrativas de competência da ANPD ainda não estarem em vigor, é importante ressaltar que, com a imediata vigência da LGPD, órgãos como o Procon e o Ministério Público já podem fiscalizar o cumprimento da lei e aplicar as sanções previstas em outras normas, como o Código de Defesa do Consumidor, tanto na esfera administrativa quanto judicial. É nesse contexto que se torna iminente a necessidade de que todas as pessoas naturais ou jurídicas, de direito público ou privado — que coletam e/ou tratam dados pessoais (os chamados “agentes de tratamento”) — realizem uma reforma estrutural de adequação às normas da LGPD, sejam elas sociedades empresárias de pequeno, médio ou grande portes.
Dentre as medidas de adequação às normas da LGPD devem ser observadas as regras de armazenamento, tratamento, compartilhamento e transferência internacional de dados pessoais, bem como serem informados os canais de comunicação dos titulares dos dados com os agentes de tratamento. Como maneira de formalizar a implementação dessas regras, é fundamental elaborar (ou atualizar) as chamadas “políticas de privacidade”, documento de grande relevância para os agentes de tratamento que realizam a coleta de informações pessoais via websites, aplicativos, plataformas, ou até mesmo lojas físicas.
Afinal, como se conceituam e quais são as finalidades das políticas de privacidade?
As políticas de privacidade são consideradas contratos de adesão — figura contratual comum especialmente nas relações consumeristas. O contrato de adesão é caracterizado pelo estabelecimento de direitos e deveres, de forma unilateral e insuscetíveis de negociação, cujo aceite ou recusa dos seus termos fica a critério da contraparte, porém, sem influência na negociação ou elaboração dos termos do referido contrato.
Esse instrumento contratual é caracterizado pela descrição das regras de proteção à privacidade e dos procedimentos de tratamento das informações pessoais de clientes e/ou de quaisquer pessoas que utilizam os serviços prestados por determinado agente de tratamento (os “usuários”). Assim, a política de privacidade tem por objetivo esclarecer aos usuários como as suas informações serão utilizadas e para quais finalidades são coletadas.
Quais são os elementos essenciais às políticas de privacidade?
Em síntese, a política de privacidade deve apontar quais informações pessoais do usuário são coletadas, sejam aquelas fornecidas diretamente por ele ou coletadas a partir dos seus dados de navegação; qual é o objetivo de coleta dessas informações; como essas informações são tratadas, armazenadas e compartilhadas pelo agente de tratamento e/ou terceiros; e como o usuário pode alterar suas informações.
Com a entrada em vigor da LGPD, tornou-se obrigatório informar aos usuários, além dos pontos acima indicados, todos os seus direitos previstos no Capítulo III da referida lei, bem como apontar, detalhadamente, como os Usuários podem exercê-los. São exemplos de direitos dos usuários e devem estar expressamente previstos na política de privacidade: o acesso às informações pessoais coletadas pelo agente de tratamento; a solicitação de eliminação ou anonimização das informações pessoais, isto é, impedir que o usuário possa ser identificado pessoalmente com base nas suas informações coletadas; a possibilidade de negar ou revogar o consentimento fornecido ao agente de tratamento para a coleta e o tratamento de informações pessoais; o direito de reportar à ANPD e/ou à órgãos de defesa ao consumidor sobre quaisquer incidentes relacionados às informações pessoais do usuário.
Para o exercício desses direitos, o agente de tratamento deverá designar uma pessoa responsável por receber e responder às solicitações dos usuários relacionadas à proteção de dados pessoais, bem como receber comunicações da ANPD e do Poder Judiciário, prestar esclarecimentos e adotar providências — profissional definido pela LGPD como “encarregado”. Para tanto, é imprescindível que a política de privacidade forneça as informações de contato do encarregado – ou também conhecido como data protection officer (DPO).
Além disso, a política de privacidade deve indicar as hipóteses legais legitimadoras da coleta e do tratamento das informações pessoais do usuário. O artigo 7º da LGPD indica as dez hipóteses legais para a coleta e o tratamento de dados pessoais, previstas de forma taxativa — ou seja, não existe nenhuma outra hipótese além das expressamente descritas ali. Essas hipóteses são: o consentimento, que consiste na manifestação livre, informada e inequívoca do usuário para que seja realizado o tratamento dos seus dados pessoais; o cumprimento de obrigação legal ou regulatória; a execução de políticas públicas pela administração pública; a execução de estudos por órgãos de pesquisa; a execução de contrato; o exercício regular de direitos em processo judicial, administrativo ou arbitral; a proteção da vida, a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; o atendimento de interesse legítimo do controlador; e a proteção ao crédito, inclusive quanto ao disposto em regulação pertinente.
É de se ressaltar que o atendimento a uma das dez hipóteses legais é suficiente para que o tratamento de informações do usuário seja considerado legítimo, sendo possível, ainda, cumular essas bases legais. Portanto, nesse caso, não é necessário indicar todas as bases legais previstas na LGPD, mas tão somente aquelas efetivamente aplicáveis.
Quando houver a coleta de informações pessoais do usuário de forma involuntária, ou seja, a partir dos seus dados de navegação, é importante também que o usuário tenha ciência da referida coleta. Os cookies representam um clássico exemplo de como a coleta e o armazenamento de informações do usuário podem ocorrer pelo simples acesso da plataforma e, portanto, a utilização dessa ferramenta deve ser informada ao usuário de forma detalhada e em cumprimento das normas da LGPD.
O que são os cookies e qual a sua função?
Cookies são pequenos arquivos de texto que sites, aplicativos, mídias digitais e anúncios memorizam no navegador ou dispositivo dos usuários para reconhecê-los em futuras visitas, proporcionando uma experiência customizada em um próximo acesso, bom base nas preferências dos usuários.
A título de exemplo, você deve ter reparado que, ao acessar o portal Legislação & Mercados, ou a página inicial da CAPITAL ABERTO pela primeira vez, deparou-se com o seguinte comunicado: “Utilizamos cookies para oferecer melhor experiência, melhorar o desempenho, analisar como você interage em nosso site e personalizar conteúdo. Ao utilizar este site, você concorda com o uso de cookies”. Pois bem, a finalidade dos cookies é, simplificadamente, oferecer uma melhor experiência aos usuários.
Portanto, agentes de tratamento que utilizem os cookies como ferramenta de suas plataformas devem incluir todas essas informações em suas políticas de privacidade — ou em uma “política de cookies” conforme elucidado. O documento também deve esclarecer ao usuário que, caso seja de seu interesse, é possível configurar os navegadores e/ou dispositivos utilizados para não aceitar cookies ou avisar quando um cookie estiver sendo enviado.
Qual é a importância de elaborar e atualizar as políticas de privacidade?
A política de privacidade é um documento essencial à manutenção das relações consumeristas, especialmente aquelas que envolvem a coleta e o tratamento de dados pessoais. Assim, considerando a entrada em vigor da LGPD, as regras de segurança da informação sofreram relevantes alterações, que devem ser refletidas nas políticas de privacidade conforme exposto acima — de forma exemplificativa.
Caso a política de privacidade não estabeleça os direitos do usuário de forma clara e de acordo com as regras e procedimentos previsto pela LGPD, o usuário que se sentir lesado quanto ao manuseio de seus dados pelo agente de tratamento — ou o próprio Procon e Ministério Público no exercício de suas atribuições — poderá acioná-lo administrativa ou judicialmente, podendo gerar sanções com impactos financeiros e na própria reputação do agente de tratamento.
Além de mitigar as possibilidades em que o agente de tratamento pode ser demandado judicial ou administrativamente, a elaboração ou atualização da política de privacidade, de forma clara, detalhada e em conformidade com a LGPD e as demais normas vigentes, proporciona o aumento da credibilidade do agente de tratamento perante os seus clientes, parceiros, fornecedores e colaboradores.
Este artigo não pretendeu esgotar todos os requisitos legais e regulatórios impostos pela LGPD e demais normas aplicáveis, nem mesmo servir como um manual de elaboração de políticas de privacidade. A elaboração de documentos jurídicos e as demais medidas de adequação à LGPD consiste num projeto que deve ser conduzido não apenas com a participação de assessoria jurídica especializada, mas envolvendo também a interação com os times de tecnologia para que as soluções criadas não afetem as atividades que devem ser desenvolvidas com a coleta, tratamento e exploração das informações dos usuários.
*Colaborou Hugo Vidal, associado do Freitas Ferraz Capuruço Braichi Riccio Advogados