A Lei Geral de Proteção de Dados (LGPD) completa oito anos nesta sexta-feira (14). Sancionada em 14 de agosto de 2018, a legislação estabeleceu regras para o tratamento de dados pessoais no Brasil. A maior parte de suas disposições, porém, entrou em vigor em setembro de 2020, e as sanções administrativas passaram a ser aplicáveis em agosto de 2021.Continua após a publicidadeCarlos Lima, sócio do Failla Lima Riva Advogados, destacou ao Olhar Digital que o período foi marcado por um amadurecimento das empresas, mas de forma desigual. Segundo ele, nos primeiros anos muitas organizações trataram a LGPD como um projeto essencialmente formal e jurídico, concentrado em medidas como elaboração de políticas de privacidade, indicação de encarregado, revisão de contratos e inventário de dados.Nas empresas mais maduras, afirma Lima, a proteção de dados passou a integrar decisões de tecnologia, segurança da informação, contratação de fornecedores, desenvolvimento de produtos e gestão de riscos. Para ele, o principal desafio agora é demonstrar que os mecanismos adotados funcionam na prática.“O grande divisor de águas é que já não basta ter um programa de privacidade; é preciso demonstrar que ele funciona”, afirma.O que é a LGPD?A Lei Geral de Proteção de Dados Pessoais é a Lei nº 13.709/2018, criada para regulamentar o tratamento de dados pessoais, inclusive em meios digitais, por pessoas e organizações, públicas ou privadas. A legislação busca proteger direitos como liberdade, privacidade e o livre desenvolvimento da personalidade.A lei considera dado pessoal qualquer informação relacionada a uma pessoa natural identificada ou identificável. Também estabelece uma categoria de dados pessoais sensíveis, que inclui informações como origem racial ou étnica, convicção religiosa, opinião política, dados de saúde, vida sexual, dados genéticos e biométricos.
A Lei Geral de Proteção de Dados Pessoais estabelece regras para o tratamento de informações pessoais no Brasil – Imagem: Cristian Storto/ShutterstockA LGPD também estabelece princípios para o tratamento dessas informações, como finalidade, necessidade, transparência, segurança, prevenção e responsabilização. Entre os direitos dos titulares estão acesso aos próprios dados, correção de informações incompletas ou desatualizadas, eliminação de dados tratados em determinadas circunstâncias e informação sobre o compartilhamento das informações.
Políticas precisam corresponder à operaçãoLima aponta que algumas das principais dificuldades atuais estão na diferença entre o que foi documentado pelas empresas e o que efetivamente ocorre nas atividades de tratamento de dados. Entre os problemas citados por ele estão inventários que não refletem mais os sistemas utilizados, bases legais definidas de forma genérica e políticas de retenção que não resultam na exclusão efetiva dos dados.O especialista também menciona dificuldades no atendimento aos direitos dos titulares. Segundo ele, algumas organizações possuem canais formais para receber pedidos de acesso, correção ou informações sobre compartilhamento, mas têm dificuldade para localizar os dados e responder adequadamente. O mesmo pode ocorrer com o encarregado, quando sua atuação se limita à indicação de um nome ou e-mail, sem participação efetiva na governança.Continua após a publicidadeNesse período, a Autoridade Nacional de Proteção de Dados (ANPD) também passou a estruturar sua atuação de fiscalização e aplicação de sanções. A agência aprovou, em outubro de 2021, o regulamento do processo de fiscalização e do processo administrativo sancionador e, em fevereiro de 2023, o regulamento de dosimetria e aplicação de sanções.Para Lima, a mudança tornou mais concreta a necessidade de as empresas demonstrarem os controles que afirmam adotar. Segundo ele, responder à autoridade, permitir o exercício dos direitos dos titulares e comprovar a existência dos mecanismos de proteção deixaram de ser questões apenas teóricas.Ataques hackers não encerram a discussão sobre responsabilidadeA efetividade das medidas de proteção também aparece em decisão do Superior Tribunal de Justiça (STJ). Em dezembro de 2024, a Terceira Turma julgou um caso de vazamento de dados pessoais não sensíveis após um ataque hacker. No caso, o tribunal analisou se a ocorrência do ataque externo seria suficiente para caracterizar culpa exclusiva de terceiro e afastar a responsabilidade da empresa. Para Carlos Lima, o entendimento reforça que a simples existência de um ataque externo não encerra a discussão sobre a responsabilidade do agente de tratamento.Continua após a publicidade
Segurança cibernética é um dos pontos de atenção para empresas que fazem tratamento de dados pessoais – Imagem: Song_about_summer/ShutterstockLima afirma que a LGPD não exige que uma empresa consiga impedir todo ataque cibernético. Para ele, a questão é verificar se foram adotadas medidas de segurança adequadas aos riscos e se a organização consegue demonstrar isso.Entre os elementos que, segundo o especialista, podem ser considerados em um incidente estão gestão de vulnerabilidades, controles de acesso, proteção de credenciais, registros de atividade, backups, gestão de terceiros e planos de resposta a incidentes. A atuação da empresa depois do ataque também entra na análise, como a investigação do ocorrido, a preservação de provas, a adoção de medidas para reduzir danos e as comunicações necessárias.“Por isso, dizer simplesmente ‘fomos vítimas de hackers’ não encerra a discussão”, afirma Lima. “Se houver falhas de segurança anteriores, ausência de controles compatíveis com o risco ou uma resposta inadequada ao incidente, o fato de existir um criminoso externo não necessariamente afasta a responsabilidade da organização.”Continua após a publicidadeIA amplia os desafiosPara os próximos anos, Lima aponta a inteligência artificial (IA) como um dos principais desafios para a proteção de dados. Segundo ele, o uso de grandes bases para treinamento, a coleta de informações disponíveis na internet, a inferência de características pessoais, a formação de perfis e as decisões automatizadas podem aumentar a escala e a complexidade das questões já enfrentadas pela proteção de dados.O especialista afirma que as empresas não devem esperar uma legislação específica sobre inteligência artificial para começar a tratar do tema. Nos casos em que uma aplicação de IA envolve tratamento de dados pessoais, a LGPD já precisa ser considerada.
Inteligência artificial amplia a escala e a complexidade do tratamento de dados pessoais pelas empresas – Imagem: Summit Art Creations / ShutterstockEntre as medidas citadas por Lima estão identificar quais ferramentas são utilizadas, quais dados processam, para quais finalidades e por quais fornecedores, além de avaliar os usos conforme o nível de risco. Ele também menciona a necessidade de avaliar a origem e a base jurídica dos dados, aplicar princípios de minimização e privacidade desde a concepção e estabelecer mecanismos de supervisão humana e monitoramento.Continua após a publicidade“A IA não elimina as obrigações da LGPD; ao contrário, aumenta enormemente a escala e a complexidade dessas obrigações”, afirma.
Ana Luiza Figueiredo
Ana Figueiredo é repórter de tecnologia do Olhar Digital. É formada em jornalismo pela Universidade Federal de Uberlândia (UFU).
Ver todos os artigos →
Assista a filmes e séries
Assine Amazon Prime para assistir a filmes e séries populares, incluindo Amazon Originals premiados.
O Amazon Prime também inclui a entrega GRÁTIS e rápida de milhares de itens elegíveis,
mais de 2 milhões de músicas sem anúncios e muito mais. Clique aqui e comece seu teste GRÁTIS por 30 dias!
