Lei de proteção de dados: o que tem mudado para as empresas no Brasil?

Com ajuda de Allan Turano, advogado especialista em Direito do Entretenimento e Negócios Digitais, a Sputnik explica os impactos que a Lei Geral de Proteção de Dados Pessoais (LGPD) tem causado no mercado brasileiro. Para além de questões jurídicas e regulatórias, o tema suscita preocupações pelas empresas de ordem reputacional.

Criada em 2018, inicialmente se discutiu se a Lei Geral de Proteção de Dados Pessoais (LGPD) "pegaria" no Brasil. Havia sérias dúvidas se a lei traria alguma mudança efetiva no país ou apenas criaria obrigações inócuas, a serem ignoradas pelo mercado na prática. O texto legal ainda passou por algumas alterações, tendo sido concedido às empresas um longo período para adaptação, durante o qual boa parte das obrigações legais foram dispensadas.

Apenas em agosto de 2021 a LGPD entrou totalmente em vigor. A Sputnik Brasil analisa o que tem de fato mudado até o momento.

O que é preciso para se adequar à LGPD?

O procedimento de adequação à LGPD pode ser dividido em quatro grandes etapas:

• Identificação dos fluxos de tratamento de dados pessoais (Data Mapping);
• Análise dos fluxos de tratamento e identificação de pontos em desconformidade com a lei, que requerem correção (Gap Analysis)
• Adoção de medidas concretas para correção dos Gaps identificados e elaboração dos documentos recomendados/exigidos pela lei
• Monitoramento periódico contínuo das práticas envolvendo tratamento de dados pessoais e realização de treinamentos de conscientização de capacitação em todos os níveis da empresa.

O referido procedimento envolve a atuação multidisciplinar de vários setores dentro de uma empresa. Não basta a atuação de um departamento de tecnologia/segurança da informação e de um jurídico, áreas como Recursos Humanos, Financeira, Contábil, Marketing e Comercial, ou quaisquer outras que tenham acesso ou de outras formas tratem dados pessoais, também precisam estar envolvidas

Quais os riscos em não se adequar à LGPD?

As empresas que não estiverem em conformidade com a lei estão sujeitas a responder judicialmente por eventuais violações em processos judiciais movidos por titulares de dados pessoais prejudicados.

Outro risco se dá na seara administrativa. A Autoridade Nacional de Proteção de Dados Pessoais – ANPD é a entidade competente para fiscalizar o cumprimento da lei, cabendo a ela, caso identifique uma violação, aplicar sanções como:

• Advertência, com indicação de prazo para adoção de medidas corretivas;
• Multa diária;
• Multa simples de até 2% (dois por cento) do faturamento do grupo econômico no Brasil, limitada a 50 milhões por infração;
• Suspensão ou proibição de utilizar determinados bancos de dados, ou de tratar dados pessoais em geral

Prejuízos patrimoniais não se limitam a eventuais condenações financeiras. Em maio de 2021 o grupo JBS, que atua globalmente na indústria de alimentos, sofreu um ataque cibernético que o fez paralisar parte de suas atividades. A imprensa relata ter sido necessário o pagamento de bitcoins aos invasores, na ordem de 11 milhões de dólares, para que os sistemas informáticos fossem reestabelecidos. Um dos motivos para o pagamento do resgate foi o risco de imagem e reputacional decorrente desse tipo de incidente, muitas vezes superior ao financeiro.

Como o mercado tem reagido?

A primeira reação do mercado foi reconhecer que o procedimento de adequação à LGPD demanda considerável investimento, não só de recursos financeiros, mas em especial de horas de dedicação dos colaboradores internos. Adequação não é algo que se possa comprar ou que se conclua da noite para o dia. Nenhum software de prateleira ou empresa especializada é capaz de promover a adequação sem interação intensa dos funcionários da própria empresa.

Nesse sentido, algumas empresas optaram por simplesmente ignorar a necessidade de adequação à lei, assumindo o risco de eventual responsabilização judicial ou administrativa. Por outro lado, as empresas que optaram por se adequar têm cobrado de seus próprios parceiros comerciais que adotem medidas na mesma linha. Tem sido frequente a negociação de cláusulas contratuais, anexos ou mesmo contratos específicos em separado para estabelecer obrigações relacionadas à proteção de dados pessoais.

Indicativo claro e público dessa tendência foi a quinta temporada do reality show de negócios Shark Tank Brasil, programa televisivo em que um júri, composto por grandes empresários brasileiros, avalia empresas de menor porte com alto potencial de crescimento e fazem ofertas de sociedade aos seus donos para nelas investirem.

Em um desses programas, a startup avaliada foi a Amostrix, que atua no ramo de marketing e utiliza dados pessoais para oferecer suas soluções. O jurado João Appolinário, fundador da empresa Polishop, se interessou em investir na startup propondo a aquisição de uma fatia de 30% de participação por 2 milhões de reais. No entanto, condicionou o seu investimento à garantia de que a empresa estaria adequada à LGPD.

Campanhas publicitárias

Algumas empresas aproveitaram a atenção dada à LGPD para criar campanhas publicitárias. Foi o caso do banco Itaú, por exemplo, que preparou alguns anúncios, exibidos na televisão aberta e fechada, em horário nobre, apenas para divulgar a atualização da sua política de privacidade.

Outro caso curioso foi o da Sociedade Esportiva do Gama, tradicional clube de futebol sediado em Brasília, Distrito Federal. Em 2020, o Gama disputou a final do Campeonato Brasiliense de Futebol e nesse jogo expôs em seu uniforme o patrocínio de uma empresa especializada em tecnologia da informação que presta serviços de adequação à LGPD.

Exemplos como esses mostram que, para além de uma questão regulatória, o mercado tem reconhecido o ganho positivo de imagem que a adequação à LGPD pode prover às empresas, justificando inclusive o investimento na divulgação das ações tomadas para estar em conformidade com a lei. Essa parece ser uma tendência sem volta, não só no Brasil como no mundo.

*Esta matéria foi feita em colaboração com Allan Turano, advogado especialista em Direito do Entretenimento e Negócios Digitais.