COMO FUNCIONA A LEI GERAL DE PROTEÇÃO DE DADOS NO BRASIL

Todos os dias, milhões de brasileiros fornecem dados pessoais sem perceber a dimensão dessas informações. Nome, CPF, telefone, endereço, e-mail, localização, dados bancários, histórico de compras e até informações sobre saúde podem circular por empresas, aplicativos, bancos, hospitais, escolas e órgãos públicos.

Nesse ambiente cada vez mais digital, a pergunta deixou de ser apenas quem possui nossos dados. É preciso saber também por que eles são utilizados, com quem são compartilhados, durante quanto tempo são armazenados e quais cuidados devem ser adotados para protegê-los.

É justamente nesse espaço que atua a Lei Geral de Proteção de Dados Pessoais (LGPD), instituída pela Lei nº 13.709/2018.

A legislação estabelece regras para o tratamento de dados pessoais por pessoas físicas e jurídicas, públicas ou privadas, e busca proteger direitos fundamentais relacionados à liberdade, à privacidade e ao livre desenvolvimento da personalidade.

Mais do que uma lei voltada à tecnologia, a LGPD representa uma mudança de cultura: dados pessoais não devem ser tratados como um recurso sem dono ou sem regras. Eles estão relacionados à própria pessoa e exigem responsabilidade.

O que a LGPD protege e como funciona o tratamento de dados

Para compreender a LGPD, primeiro é necessário entender o que são dados pessoais.

A legislação considera dado pessoal qualquer informação relacionada a uma pessoa natural identificada ou identificável. Isso inclui informações aparentemente simples, como nome, endereço, telefone, CPF, e-mail e data de nascimento, além de dados como localização de um celular.

Há ainda os chamados dados pessoais sensíveis. Nessa categoria estão informações que podem revelar aspectos especialmente delicados da vida de uma pessoa, como dados sobre saúde, origem racial ou étnica, religião, opinião política, filiação sindical, vida sexual, dados genéticos e biométricos.

Por apresentarem maior potencial de impacto sobre os direitos individuais, esses dados recebem proteção específica na legislação.

Mas a LGPD não proíbe a utilização de dados.

O objetivo é estabelecer regras para que o tratamento seja legítimo, adequado, necessário e seguro.

Isso significa que uma empresa pode precisar de determinados dados para executar um contrato, emitir uma nota fiscal ou cumprir uma obrigação legal. Um hospital, por exemplo, precisa tratar informações pessoais para prestar atendimento. Um órgão público pode utilizar dados para executar políticas públicas e cumprir suas atribuições legais.

O consentimento é apenas uma das possibilidades previstas pela LGPD. A legislação estabelece diversas bases legais para o tratamento, entre elas o cumprimento de obrigação legal ou regulatória, execução de contrato, exercício regular de direitos, proteção da vida, tutela da saúde, proteção do crédito e legítimo interesse, observadas as condições legais.

Por isso, nem todo tratamento de dados depende de autorização expressa do cidadão.

A lei também estabelece princípios que devem orientar todo o ciclo de utilização das informações. Entre eles estão finalidade, adequação, necessidade, transparência, segurança, prevenção, não discriminação e responsabilização.

Na prática, uma organização não deveria coletar informações simplesmente porque pode. Deve avaliar quais dados são realmente necessários para determinada finalidade e explicar ao titular, de maneira clara, como essas informações serão utilizadas.

Quais são os direitos do cidadão sobre seus dados pessoais

Um dos aspectos mais importantes da LGPD é o fortalecimento da posição do cidadão diante de empresas e instituições que tratam seus dados.

A pessoa é considerada titular dos dados. Já quem toma as principais decisões sobre o tratamento é chamado de controlador. O operador é aquele que realiza o tratamento em nome do controlador, seguindo suas instruções.

Isso significa que o cidadão não precisa simplesmente aceitar passivamente tudo o que acontece com suas informações.

Entre os direitos previstos pela LGPD estão a possibilidade de confirmar se existe tratamento de seus dados, solicitar acesso às informações, pedir correção de dados incompletos ou incorretos e obter informações sobre o compartilhamento realizado pelo controlador.

Em determinadas situações, também é possível solicitar a anonimização, o bloqueio ou a eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.

O cidadão também pode revogar um consentimento anteriormente fornecido, observadas as hipóteses e consequências previstas na legislação. A LGPD ainda assegura direitos relacionados à portabilidade, à oposição a determinados tratamentos e à revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem os interesses do titular.

Há, porém, um ponto importante: os direitos não são absolutos.

Um pedido de exclusão, por exemplo, não significa que uma empresa necessariamente poderá apagar qualquer informação imediatamente. Existem situações em que a legislação exige que determinados dados sejam mantidos.

A própria Autoridade Nacional de Proteção de Dados (ANPD) esclarece que o exercício dos direitos deve observar as circunstâncias concretas e as obrigações legais existentes.

Quando o cidadão quiser exercer seus direitos, o primeiro caminho é procurar o próprio controlador, normalmente por meio do canal indicado em sua política de privacidade ou do encarregado pelo tratamento de dados.

Se o pedido não for atendido ou a resposta não for satisfatória, o titular poderá, em determinadas situações, apresentar uma petição à ANPD. A Autoridade recomenda guardar protocolos, mensagens, e-mails e outras informações que comprovem a tentativa de exercer o direito diretamente com o controlador.

O que empresas e órgãos públicos precisam fazer

A LGPD também mudou a responsabilidade das organizações.

Empresas, instituições e órgãos públicos que tratam dados pessoais precisam compreender quais informações possuem, por que as utilizam, qual é a base legal aplicável, com quem compartilham esses dados e quais medidas adotam para protegê-los.

A ANPD orienta que os agentes de tratamento adotem processos e políticas internas, façam o mapeamento das operações de tratamento e implementem medidas técnicas e administrativas de segurança.

A lei também prevê a figura do encarregado pelo tratamento de dados, que funciona como canal de comunicação entre o controlador, os titulares e a ANPD. Há, contudo, regras específicas para agentes de tratamento de pequeno porte, que podem ter obrigações flexibilizadas, conforme regulamentação da Autoridade.

A proteção de dados, portanto, não é apenas uma tarefa do departamento de tecnologia. Envolve administração, jurídico, recursos humanos, atendimento ao consumidor, marketing, segurança da informação e praticamente todas as áreas que lidam com informações pessoais.

E há consequências para quem descumpre as regras.

A ANPD pode aplicar sanções administrativas previstas na LGPD, incluindo advertência, multa simples de até 2% do faturamento da pessoa jurídica privada no Brasil, limitada a R$ 50 milhões por infração, além de multa diária, publicização da infração, bloqueio ou eliminação de dados e outras medidas previstas na legislação.

Isso demonstra que proteção de dados deixou de ser apenas uma preocupação técnica para se tornar uma questão de governança, confiança e responsabilidade institucional.

Conclusão

A LGPD introduziu no Brasil uma ideia fundamental para a sociedade digital: informação pessoal exige responsabilidade.

O cidadão precisa conhecer seus direitos, mas também precisa adotar hábitos mais seguros, evitando fornecer informações desnecessárias e utilizando mecanismos como senhas fortes, autenticação em duas etapas, atualizações de sistemas e aplicativos de fontes confiáveis. A própria ANPD recomenda cuidados desse tipo.

Para empresas e órgãos públicos, o desafio é ainda maior. É necessário construir uma cultura permanente de proteção de dados, segurança, transparência e respeito ao cidadão.

Em uma economia cada vez mais baseada em informação, proteger dados pessoais não significa impedir a inovação. Significa criar condições para que a inovação aconteça com confiança.

A LGPD, nesse sentido, não deve ser vista apenas como uma obrigação burocrática. Ela representa uma mudança importante na relação entre pessoas, empresas, governo e tecnologia.

Quanto mais conscientes forem os cidadãos e mais responsáveis forem as organizações, maior será a capacidade do Brasil de construir uma sociedade digital segura, inovadora e respeitosa dos direitos fundamentais.