O prazo para que as empresas brasileiras se adaptem à Lei Geral de Proteção de Dados Pessoais (LGPD) termina em pouco menos de um ano, mais exatamente em agosto de 2020. São poucas, no entanto, as que já implementaram mecanismos para tratamento de dados pessoais e garantia de privacidade conforme as diretrizes da Lei 13.709/18. Numa tentativa de amenizar a situação, deputados estão se movimentando para flexibilizar a norma, o que pouparia transtornos para as empresas atrasadas. Fundamenta a iniciativa dos parlamentares o argumento de que a norma é bastante complexa, e isso estaria tomando muito tempo, energia e recursos das organizações.
O deputado federal Carlos Bezerra (MDB-MT), por exemplo, apresentou em outubro passado o Projeto de Lei (PL) 5.762/19. O texto prevê a prorrogação por dois anos do início da vigência da maior parte dos dispositivos da LGPD, para que as empresas tenham mais tempo para se adequar à legislação. O deputado justifica o adiamento com o dado segundo o qual apenas 24% das empresas têm orçamento específico para colocar em prática medidas que garantam a proteção de dados. A informação foi divulgada pelo jornal Valor Econômico, com base na edição de 2019 do estudo “Brazil IT Snapshot”, da Logicalis, que analisou 143 empresas.
O PL menciona também a morosidade do poder público na criação da Autoridade Nacional de Proteção de Dados (ANPD), órgão que seria responsável por colocar a LGPD em prática. A lei que cria a ANPD foi sancionada pelo presidente Jair Bolsonaro em julho de 2019, mas ainda não foram indicados nomes para o órgão. O texto do PL 5.762/19 afirma que “não haverá tempo hábil até agosto de 2020 para que todas as propostas de regulamentação sobre a matéria sejam discutidas pela sociedade e aprovadas pelo órgão”.
Há ainda na Câmara dos Deputados outro PL para alteração da LGPD, este relacionado às sanções para as empresas que não seguirem as novas regras de proteção de dados. O PL 6.149/19, apresentado em novembro pelo deputado Mário Heringer (PDT-MG), propõe a revisão do cálculo das multas aplicadas às infratoras. O texto prevê progressão das multas a partir da implementação da LGPD. O teto — 50 milhões de reais ou 2% do faturamento bruto anual da empresa, o que for maior — só seria aplicado de forma integral dois anos após a norma entrar em vigor. Segundo o deputado, a indicação e a aplicação das medidas corretivas serão fundamentais para que as empresas atrasadas passem a implementar as alterações previstas pela nova lei. Desta forma, avalia, seria criada a jurisprudência necessária para guiar a aplicação da norma.
Até o momento, nenhum dos dois projetos tem data para entrar em tramitação. Caso sejam rejeitados — ou engavetados —, as regras para aplicação da LGPD continuam a valer a partir de agosto de 2020, como já está previsto na Lei 13.709/18.
Os advogados afiliados ao Legislação & Mercados comentam a seguir as principais questões relacionadas à nova lei.
Dificuldades em relação ao prazo para adaptação à LGPD
É suficiente o prazo para adaptação das empresas à Lei Geral de Proteção de Dados (LGPD, Lei 13.709/18)? Por que tantas ainda não conseguiram se ajustar ao que determina a lei?
Apesar de o prazo de dois anos parecer razoável, é preciso reconhecer que existiu, por algum tempo, desconhecimento do impacto da LGPD para os negócios. Vimos que muitas empresas e executivos só entenderam há pouco que a LGPD afetará os seus negócios, ainda que eles não sejam necessariamente data-driven, relacionados ou dependentes de dados pessoais. Em segundo lugar, há uma certa resistência, compreensível, em se realizar investimentos consideráveis de adequação à LGPD sem orientações e diretrizes concretas da ANPD. Como a LGPD se inspirou na europeia GDPR [sigla para General Data Protection Regulation], tentamos buscar metodologias já adotadas na União Europeia como parâmetro, mas não podemos garantir que elas serão totalmente coerentes com as diretrizes da ANPD, o que pode gerar a necessidade de sua revisão ou ajuste.
Sem prejuízo desse aspecto, é preciso reconhecer até o momento não foi instalada a ANPD, que terá por objetivos traçar as diretrizes para cumprimento da LGPD e contribuir efetivamente para construção desse ecossistema. Ademais, a ausência de direcionamento pela ANPD prejudica a compreensão da aplicação prática da lei.
No Brasil, as empresas podem ter mais dificuldade de se adequarem à LGPD por conta de não existir, ainda, a Autoridade Nacional de Proteção de Dados (ANPD) formalmente constituída. Uma parte da LGPD ainda precisa ser regulamentada e discutida. E compete à ANPD fazer esse papel. Sem essa definição, as empresas podem ficar desorientadas sobre quais padrões seguir e quais medidas adotar. Dessa forma, algumas empresas ainda não implementaram medidas custosas relacionadas com a LGPD por medo de precisarem refazer o trabalho para se enquadrar ao que a ANPD determinar.
“Muitas empresas e executivos só entenderam há pouco que a LGPD afetará os seus negócios.”
— Eugênia Aguiar Siqueira —
Morosidade na implementação da ANPD
Considerando que a ANPD é essencial para a implementação da nova lei, qual a parcela de culpa do governo na morosidade das empresas em adotar as alterações determinadas pela LGPD?
Muito embora já se tenha dado início à estruturação do Conselho Nacional de Proteção de Dados, não se pode deixar de notar a pouca iniciativa para preenchimento dos 23 cargos desse conselho e para a implementação da própria ANPD — em especial, o conselho diretor, que instância máxima da ANPD. A morosidade na conclusão do processo de estruturação do órgão consultivo e da própria agência, principais atores da LGPD, certamente prejudica o engajamento das empresas no que diz respeito às mudanças a serem implementadas. Contudo, é forçoso atribuir a lentidão de iniciativa das empresas tão somente à falta de estruturação do governo. Sabemos que, em muitos dos casos, o assunto foi protelado e só entrou na agenda quando foi possível enxergar o fim do prazo para vigência da LGPD.
A adoção das alterações já pode ser iniciada pelas empresas independentemente da indicação dos nomes para condução da ANPD. A morosidade nas indicações pode sim passar às empresas uma mensagem negativa e contribuir para os atrasos, mas entendo que isso não deveria ser levado em conta pelas empresas — ainda mais considerando-se outras diversas medidas importantes que o governo tem tentado implementar nos últimos meses.
Prós e contras dos projetos de adiamento da LGPD apresentados na Câmara
Qual sua avaliação sobre Projeto de Lei 5.762/19, que propõe adiar em dois anos a entrada em vigor da LGPD? Quais seriam os benefícios e os malefícios da postergação da vigência da lei?
Muitas empresas já estão adotando medidas e se adaptando à LGPD. Adiar em dois anos pode ser um horizonte de tempo demasiadamente alongado. Esforços das empresas que já estão se adequando à LGPD podem se tornar obsoletos nesse período. Além disso, continuaremos, enquanto País, sem reconhecimento de que temos uma lei de proteção de dados efetiva. Isso dificultará a troca de informações com outros países, como é o caso da União Europeia, por exemplo. Essa postergação, entretanto, daria mais tempo para a ANPD se estabelecer e criar normas adequadas para nossa realidade.
Na visão de investidores internacionais, o adiamanto pode significar mais um ponto negativo para a decisão de se investir ou não no País ou em determinada empresa. Muitos investidores estrangeiros veem a questão da proteção de dados individuais — dentre outras questões de tecnologia da informação — como muito relevante na hora da decisão de investir.
Como avalia o PL 6.149/2019, que propõe a aplicação progressiva da multa às empresas infratoras?
Primeiro, parece existir a inversão do processo de implementação das normas da LGPD. O ideal é que essas normas sejam claras e objetivas, de modo que os envolvidos possam entender exatamente os deveres e obrigações que lhe são atribuídos. Portanto, não seria o caso de aprender a partir da sujeição das sociedades às sanções, mas sim a partir do próprio texto da lei. Segundo, há um receio no mercado de que as penalidades se prestem a promover a arrecadação dos recursos capazes de financiar a estruturação da ANPD e, portanto, que sua aplicação seja desvirtuada do seu propósito pela existência de um suposto conflito de interesses, mesmo que esse argumento seja refutado pelo governo.
A LGPD já fala que esse valor de cinquenta milhões de reais será o teto máximo aplicável. E que a ANPD deverá editar normas que identifiquem claramente a metodologia que será utilizada para cálculo das multas a serem aplicadas. Nesse sentido, o PL 6.149/2019 cria um novo critério a ser considerado pela ANPD na situação de eventual aplicação de multas. Dessa forma, a alteração só será necessária caso a ANPD descumpra essa regra legal ou disponibilize as informações sem prazo razoável para as empresas se adequarem.
[/vc_column_text][/vc_column][/vc_row]