A Lei Geral de Proteção de Dados (Lei 13.709/2018) é uma lei federal que entrará em vigor em agosto de 2018, mas assim como ocorreu com a lei GDPR (General Data Protection Regulation) que está em vigor na Europa desde 2018, está forçando as empresas a implementarem algum tipo de governança no que tange ao controle de dados.
Mas por que sua empresa deveria se preocupar com esta lei que entrará em vigor somente em agosto de 2020 ?
Porque esta lei causará uma verdadeira revolução no tratamento de dados pessoais no que se refere a privacidade e confidencialidade desses dados, aplicando multas que podem atingir as cifras de 50 milhões por autuação.
Se sua empresa realiza algum dos tratamentos de dados elencados no art 5º, inc X da LGPD, você deve garantir que os processos de acesso aos dados da sua empresa estejam em conformidade com a lei.
X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
Mas o que seria exatamente tratamento de dados pessoais segundo a LGPD?
A definição de dado pessoal consta no art 5º da LGPD:
"I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;"
Dado identificado é aquele que consegue identificar de forma direta a pessoa, como o CPF, RG, Número de passaporte, por sua vez, dado identificável é aquele que consegue de forma indireta localizar uma pessoa, como por exemplo o número do telefone celular, endereço residencial,etc).
Além da definição de dado pessoal a lei também aborda o dado pessoal sensível conforme dispõe o art. 5ª, inc II:
II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
É importante lembrar que esse rol é meramente exemplificativo, isto é, é possível que existam mais dados não elencados na lei e que merecem o devido tratamento.
Mas o que deve ocorrer na prática ?
Assim que a lei entrar em vigor qualquer "pessoa" e não apenas clientes poderão questionar se uma empresa possui ou não qualquer dado relacionado a ela e poderá ainda solicitar um relatório sobre todos os seus dados tratados pela empresa, solicitar a eliminação ou anonimização dos seus dados.
Diante da solicitação da "pessoa", a empresa precisará disponibilizar dois tipos de relatórios:
Relatório simplificado, que deve ser fornecido de forma imediata e relatório completo, com todos os dados, informações e produtos relacionados ao solicitante (titular dos dados). Neste caso, o prazo para a entrega do relatório será de até 15 dias contados da data de requerimento do titular.
