A sigla LGPD já é parte (ou deveria ser) da rotina das empresas. E, para a correta aplicação da lei, é preciso entender o que são dados sensíveis e como tratá-los.
Em vista da importância do tema para as organizações e os consumidores, preparamos este guia para você, amigo leitor.
Vamos começar recapitulando o significado de LGPD, depois iremos explicar o conceito de dados sensíveis, em seguida, abordaremos a proposta central do conteúdo, mostrando como tratar esses dados sensíveis. Por fim, apresentaremos as principais consequências de não cumprir a LGPD.
Acompanhe a leitura!
Você sabe o que quer dizer a sigla LGPD? Entenda!
LGPD é a sigla de Lei Geral de Proteção de Dados Pessoais (Lei nº. 13.709, de 14 de agosto de 2018), que entrou em vigor em 18 de setembro de 2020.
Na prática, ela estabelece as diretrizes para tratar as informações que as empresas colhem das pessoas, principalmente no ambiente web, por meio de formulários.
Com isso, a LGPD visa promover a segurança jurídica ao padronizar práticas para proteger esses dados.
Esse tratamento de dados abrange desde a coleta, passando pela classificação, o processamento, o armazenamento e especialmente a utilização e o compartilhamento dessas informações, tanto os dados pessoais como os sensíveis.
Alguns exemplos de dados pessoais são: nome, CPF, endereço, e-mail e número de celular. Já os dados sensíveis são: biometria e informações sobre política, religião e orientação sexual.
O ponto-chave das normas da LGPD é proibir as empresas de transmitir esses dados pessoais (e os dados sensíveis) sem o consentimento manifesto dos titulares.
Por conta disso, ao registrar qualquer informação dos clientes, as organizações deverão seguir as regras descritas na lei.
Dois princípios descritos na LGPD merecem destaque aqui. São eles:
- Consentimento: conforme previsto na lei, empresas públicas e privadas devem pedir autorização ao titular dos dados pessoais para os coletar e usar. Caso ele não aceite, nada deve ser feito com suas informações, principalmente se se tratar dos dados sensíveis;
- Finalidade: ao coletar dados pessoais dos clientes, as empresas devem informá-los, com clareza, do objetivo dessa coleta.
Além disso, a LGPD aborda, dentre outras questões:
- As responsabilidades de quem coleta dados pessoais, incluindo os dados sensíveis;
- O papel da Autoridade Nacional de Proteção de Dados (ANPD);
- A criação de diretrizes para a gestão de riscos;
- As punições para os casos de falhas de segurança.
O que são dados sensíveis segundo a LGPD?
Segundo a LGPD, dados sensíveis são informações que fazem referência a:
- Convicção religiosa;
- Origem racial ou étnica;
- Problemas de saúde;
- Orientação e vida sexual;
- Filiação a organização política e/ou sindicato;
- Crenças religiosas ou filosóficas;
- Características biométricas e genéticas referentes a uma pessoa.
Antes de coletar esses dados, as empresas devem saber com clareza a importância dessa coleta. Assim, elas evitam se expor a riscos cibernéticos.
Você pode estar se perguntando, mas por que esses dados são considerados sensíveis?
E a resposta é: pois eles podem causar constrangimento, prejuízo e discriminação a uma pessoa no caso de acesso indevido, vazamento ou perda de dados.
Os dados sensíveis correspondem a informações muito íntimas e, por conta disso, devem ser solicitados somente em caso de extrema necessidade.
Neste tópico, merecem uma atenção especial os dados de menores de idade. Para obter essas informações, é imprescindível ter o consentimento do responsável legal.
Além disso, esses dados só devem ser coletados se estritamente necessário e nunca serem repassados a terceiros.
Outro ponto importante é que essas informações só poderão ser utilizadas uma única vez, não devendo, portanto, ser armazenadas.
Há, no entanto, alguns casos em que os dados podem ser utilizados sem o consentimento do titular. São eles:
- Obrigação legal;
- Políticas públicas;
- Estudos feitos por órgãos de pesquisa;
- Exercício regular de direitos;
- Prevenção de fraudes contra o detentor dos dados;
- Preservação da integridade física da pessoa.
Eles serão aprofundados no próximo tópico!
Como tratar os dados sensíveis respeitando a LGPD?
Antes de mais nada, é importante deixar claro que as empresas não estão proibidas de tratar os dados pessoais sensíveis, mas devem fazê-lo seguindo os critérios estabelecidos pela LGPD.
As organizações agora precisam justificar a utilização dos dados pessoais (e sensíveis) dos seus clientes com base nas chamadas “hipóteses autorizativas” previstas na lei.
As hipóteses autorizativas, como o próprio nome sugere, dizem respeito a princípios que autorizam o uso de dados pessoais dos titulares. O consentimento, por exemplo, representa uma dessas hipóteses.
No artigo 11 da LGPD, estão relacionadas as seguintes hipóteses autorizativas (ou bases legais) que admitem o tratamento de dados sensíveis.
Vamos entendê-las a partir de exemplos práticos?
- Consentimento pelo titular: neste caso, o titular disponibiliza seus dados sensíveis, como origem étnica, por exemplo, em concursos públicos para ter direito às cotas raciais;
- Exercício regular de direito em processo administrativo ou judicial: aqui se utiliza a prova de DNA, com os dados genéticos do titular, em uma investigação de paternidade;
- Execução de políticas públicas pela administração pública: quando diante de emergência na saúde pública, são adotadas medidas urgentes;
- Desenvolvimento de estudo por órgão de pesquisa: resultado do exame de um paciente diagnosticado com câncer, por exemplo, com a finalidade de promover um estudo científico e/ou a conscientização social;
- Cumprimento de obrigação legal: o governo decreta a obrigatoriedade da apresentação do comprovante de vacinação do titular em estabelecimentos públicos e privados;
- Proteção da integridade física do titular dos dados: o acesso aos dados sensíveis do titular é fundamental para um serviço de emergência que oferece cuidados primários;
- Garantia da segurança do titular, protegendo-o contra fraudes, nos processos de identificação e autenticação de cadastros em sistemas eletrônicos: cadastramento da biometria do titular para identificação em urnas eletrônicas nas eleições;
- Preservação da saúde em procedimento feito por profissionais ou serviços de saúde ou ainda por autoridade sanitária: um exemplo aqui seria o compartilhamento de prontuários médicos entre serviços de saúde.
Cientes das condições previstas na LGPD que permitem o tratamento dos dados sensíveis, é hora de conhecer as principais práticas para tratar esses dados.
O primeiro passo é fazer um mapeamento completo dos dados utilizados na sua empresa. Com ele, você vai ficar sabendo se algum dado sensível é tratado pela companhia.
Se verificada a presença de dados sensíveis na empresa, é importante avaliar se o respectivo tratamento é de fato necessário.
Para isso, deve-se analisar de maneira crítica os processos internos empresariais, dando atenção especial à finalidade da utilização desses dados sensíveis.
Nessa avaliação, é provável que a empresa reduza a quantidade de dados sensíveis, minimizando riscos de a empresa ser penalizada devido a algum descumprimento da LGPD.
A seguir, você confere outras práticas importantes que certamente vão ajudar no tratamento de dados sensíveis, seguindo os princípios da LGPD.
Eleger a hipótese autorizativa no artigo 11
Como vimos, todo tratamento de dados sensíveis precisa ser fundamentado em uma das hipóteses autorizativas do artigo 11 da LGPD.
Destacamos aqui que as bases legais apresentadas não abordam, por exemplo, o legítimo interesse e a proteção do crédito, impondo requisitos extras para o uso de dados sensíveis nessas demandas.
Já o consentimento, por sua vez, por ter uma abordagem mais abrangente, deve contar com informações específicas sobre a finalidade da utilização dos dados sensíveis.
Adotar medidas administrativas e de segurança da informação
Avaliar e gerir riscos são fundamentos-chave dos sistemas empresariais de compliance. Nas organizações, essas duas ações devem fazer parte de todas as tomadas de atitude.
O ideal é que se crie um comitê de segurança da informação, implementando uma política interna que estabeleça normas sobre técnicas corporativas de proteção de dados.
É preciso também criar um plano de respostas a incidentes referentes ao vazamento de dados sensíveis, além de aplicar regras de ISO apropriadas.
Desenvolver um relatório de impacto
De antemão, é importante entender o que é esse documento. Trata-se do Relatório de Impacto à Proteção dos Dados Pessoais (RIPD), que mostra os dados pessoais sensíveis que são coletados, tratados, utilizados e compartilhados.
Além disso, esse documento é imprescindível para evidenciar quais medidas são adotadas para a diminuição dos riscos que possam prejudicar a liberdade e os direitos fundamentais dos titulares desses dados.
Entendido isso, é importante destacar que esse relatório de impacto não é obrigatório para o tratamento de dados sensíveis nas empresas.
Porém, ele é tido como uma boa ferramenta para combater a discriminação que possa surgir no tratamento de dados sensíveis.
Inclusive, ele pode ser solicitado pela Autoridade Nacional de Proteção de Dados (ANPD). Então, vale a pena adotá-lo nas organizações.
Dar atenção especial aos princípios da minimização, da finalidade e da não discriminação
A minimização, também denominada de “princípio da necessidade”, impõe uma limitação do tratamento de dados sensíveis ao mínimo necessário para a realização dos objetivos em foco.
Essa abrangência inclui utilização de dados pertinentes, proporcionais e não excessivos em relação ao objetivo do tratamento dos dados.
O princípio da finalidade da LGPD diz que os dados pessoais, incluindo os dados sensíveis, devem ser tratados para propósitos legítimos e explícitos aos titulares, de forma a não admitir tratamentos futuros que fujam a esses fins.
O princípio da não discriminação, como o nome já sugere, desautoriza o tratamento de dados sensíveis para objetivos discriminatórios abusivos, na busca de garantir a igualdade e liberdade nas relações.
Combinar os princípios de “privacy by design” e privacy by default“
Vamos entender os conceitos de “privacy by design” e “privacy by default” para compreender o teor deste tópico?
“Privacy by design” é uma prática cujo objetivo é implementar a proteção de dados em todos os produtos, serviços, projetos, processos, práticas, tecnologias e infraestruturas que envolvam o tratamento de dados sensíveis, desde a concepção de cada um.
Já a “privacy by default” explora a ideia de que todas as ferramentas para preservar a privacidade estejam em funcionamento-padrão, garantindo o maior nível de privacidade possível ao titular de dados pessoais.
Sendo assim, ao aplicar a primeira prática, deve-se lançar mão de recursos que facilitem a prestação de contas e transparência no tratamento de dados sensíveis.
Com o uso da “privacy by default“, é preciso especificar os dados pessoais sensíveis antes de iniciar o tratamento dessas informações e tratar apenas os dados necessários para a finalidade estrita do projeto em questão.
Outras medidas que podem ser adotadas no tratamento de dados sensíveis são:
- Restringir ao máximo o acesso aos dados sensíveis;
- Ter o mapeamento de todos os dados sensíveis coletados, além da finalidade e real necessidade;
- Agir preventivamente para demonstrar à ANPD, a qualquer hora, que o tratamento de dados sensíveis tem razão de ser e segue todos os princípios da lei;
- Sempre que possível, adotar medidas extras de segurança da informação para evitar que os dados sensíveis fiquem vulneráveis.
E se minha empresa não cumprir a LGPD, o que acontece?
Ao longo deste guia, pudemos ver que a função primordial da LGPD em uma empresa é proteger os dados pessoais, incluindo os dados sensíveis, de seus clientes, colaboradores e demais pessoas físicas, como stakeholders, que estiverem envolvidos com a companhia.
Caso a organização seja flagrada descumprindo a lei, ela ficará sujeita a diversas consequências que podem, em situações mais graves, levá-la a paralisar suas operações.
Então, além de apresentar as obrigações das empresas e os direitos dos titulares com relação aos dados sensíveis, a LGPD também prevê penalidades administrativas a quem descumprir a lei.
Antes de mostrar as sanções abordadas na LGPD, listaremos logo abaixo exemplos do que pode ser considerado uma infração à lei:
- Coletar um dado pessoal, principalmente um dado sensível, para determinada finalidade e usá-lo para outra;
- Não informar ao titular qual é o propósito do tratamento do dado sensível coletado;
- Comprar banco de dados ou vendê-lo para outra empresa;
- Coletar e tratar dados pessoais de forma excessiva;
- Disponibilizar termos de consentimento que não têm muita clareza;
- Não adotar medidas efetivas que garantam a proteção de dados sensíveis;
- Descumprir as regras específicas para a proteção de dados sensíveis;
- Desconsiderar a reivindicação de algum direito por parte do titular dos dados.
Veja, a seguir, as principais penalidades caso as empresas descumpram a LGPD.
Advertência
Se o órgão fiscalizador flagrar a empresa infringindo algum princípio da LGPD, a primeira medida que ele irá tomar é emitir uma advertência.
Nela, será determinado um prazo para que a infratora regularize sua situação seguindo os princípios da lei. Se o descumprimento à LGPD permanecer, serão tomadas medidas mais sérias.
Multa
Empresas que não regularizarem sua situação após receber advertência do órgão fiscalizador estarão sujeitas a multas, que podem ser simples ou chegar a 2% do faturamento do negócio, tendo como limite R$ 50 milhões.
O valor da multa depende da gravidade da infração e dos prejuízos causados aos titulares dos dados pessoais, inclusive os dados sensíveis.
Nesse sentido, quanto mais dano causar, maior será a multa.
Divulgação da infração
A ANPD, ao confirmar que a empresa está, reiteradamente, tratando os dados pessoais de forma irregular, irá publicar a infração.
Isso compromete a reputação da marca, gerando má impressão entre os públicos interno e externo, fora os prejuízos financeiros.
Bloqueio e eliminação dos dados pessoais
Uma vez que o descumprimento à lei é constatado e persiste, os dados pessoais do sistema da empresa são bloqueados até a situação ser regularizada.
Em casos mais graves, esses dados serão eliminados do sistema, praticamente inviabilizando o andamento das operações na empresa.
Ações judiciais
Desde que a LGPD começou a ter validade, ela vem sendo usada como base para ações judiciais.
Ora os titulares movem ações contra empresas por elas violarem princípios do tratamento de seus dados pessoais, ora órgãos, como o Ministério Público e o Instituto Brasileiro de Defesa do Consumidor (Idec), é que reivindicam o correto cumprimento da lei.
E assim, amigo leitor, vamos finalizando mais um guia.
Será que sua empresa está em dia com a LGPD e a proteção dos dados sensíveis tratados? A AM3 Soluções pode te ajudar no cumprimento dessa lei tão importante. Entre em contato com a gente.