“A conta, por favor”: a hora da verdade para a LGPD

A publicação da Lei Geral de Proteção de Dados – LGPD em 2018, foi o primeiro divisor de águas do tema privacidade no país, estabelecendo os parâmetros para o que deveria ser considerado violador do hoje constitucionalmente protegido direito à privacidade por meio da proteção dos dados pessoais. Ela limitou a interpretação do que era e o que não era permitido fazer com os cada vez maiores volumes de dados que são coletados e circulam na nossa sociedade da informação. E, como em um restaurante, separou as instituições que querem agir de forma transparente e correta, preocupadas com o que estivesse sendo consumido, daquelas que o fazem de forma escusa ou no mínimo relapsa e displicente, agindo como se a conta nunca pudesse chegar à mesa.

O segundo divisor de águas do tema proteção de dados pessoais está prestes a acontecer no Brasil e impactará todos que aqui atuam: a Autoridade Nacional de Proteção de Dados Pessoais – ANPD deverá iniciar a aplicação das penalidades administrativas previstas na LGPD a partir de outubro de 2022. Isto porque embora a lei tenha vigência total desde 1º de agosto de 2021, e a ANPD tenha regulamentado o processo administrativo, necessário para a fiscalização e a investigação das violações à LGPD, até o momento não regulamentou a metodologia para o cálculo das penas previstas na lei, impedindo que fossem efetivamente penalizados aqueles que descumpriram suas obrigações.

Nos últimos 4 anos diversas instituições que queriam traçar o caminho da legitimidade e da licitude no uso de dados pessoais passaram a ter um norte com a publicação da LGPD, e diante da complexidade e das dificuldades a serem superadas para atingir a adequação exigida, deram início às árduas atividades e aos custosos investimentos visando estar em conformidade com a lei. Outras tantas, que acreditam, até hoje, que basta inserir uma cláusula nos contratos, contratar soluções de criptografia, ou assinar acordos de confidencialidade para estarem adequadas, quedaram-se inertes, achando erroneamente que somente seriam punidas se fossem envolvidas em grandes vazamentos noticiados pela mídia.

Ao contrário do que muitos pensam, a LGPD não tem o objetivo de garantir que não ocorram incidentes de privacidade, pois caso assim fosse bastaria inserir em seu texto a expressa sua vedação, algo impossível de se assegurar uma vez que não existe ambiente – físico ou digital – à prova de vazamentos. Mas tem sim o objetivo de exigir uma governança da privacidade nas instituições, públicas e privadas, composta por medidas técnicas e organizacionais de segurança dos dados pessoais, visando reduzir as chances de ocorrerem e mitigar os riscos decorrentes de tais incidentes.

É certo que a multa é tida como o principal motivador para que as instituições estejam em conformidade com a lei, mesmo sendo apenas uma das diversas consequências do descumprimento no cardápio da LGPD, muitas delas podendo inclusive superar financeiramente os impactos causados àquele que violar suas obrigações, como é o caso das ações indenizatórias individuais e coletivas, perda de contratos existentes e novos, a paralização parcial ou total das operações e até mesmo o imensurável impacto reputacional.

A regulamentação esperada para outubro de 2022 trará consigo uma maior maturidade ao tema privacidade para todo o país e será a hora da verdade para a LGPD: ela fará com que a conta chegue para quem violou a LGPD desde 2021, podendo ser zerada para aqueles que seguiram à risca todas as obrigações estabelecidas pela lei, reduzida para aqueles que descumpriram algumas de suas exigências, ou bem salgada para quem pouco ou nada fez.

*Márcio Mello Chaves é especialista em Direito Digital e sócio do escritório Almeida Advogados.