No próximo dia 14 de agosto comemoramos 3 anos de publicação da Lei nº 13.709, que dispõe sobre a proteção e o tratamento dos dados pessoais coletados no território nacional, por pessoa natural ou por pessoa jurídica de direito público ou privado, com objetivo de oferta ou fornecimento de bens ou serviços.
O tema é de maior relevância na economia digital atual e demanda um olhar prioritário para o desenho de políticas públicas protetivas, de acordo com o Comitê de Política do Consumidor da Organização para Cooperação e Desenvolvimento Econômico (OCDE), haja vista que diante da onipresença do fluxo informacional fica cada vez mais difícil garantir a privacidade e a proteção adequada de dados pessoais.
Embora publicada em 2018, a LGPD só entrou em vigor em 18 de setembro de 2020, interregno necessário para as necessárias adequações nas esferas pública e privada. Já as disposições sancionatórias passaram a viger no último dia 1º.
Após 3 anos de sanção há inúmeros desafios de implementação do novel diploma que afetam diretamente sua força e eficácia, dos quais destaco 3 que reputo mais evidentes: confrontações normativas, culturais e interpretativas.
No tocante à primeira, tem-se que o contexto normativo que envolve a LGPD é incerto, posto que há diversos pontos pendentes de regulamentação pela Autoridade Nacional de Proteção de Dados (ANPD), como por exemplo o detalhamento previsto no § 3º artigo 12, no tocante ao processo de anonimização de dados pessoais, o exercício do direito à portabilidade referido no Inc. V, do artigo 18, além de outros prazos e normas relacionadas aos direitos dos titulares que ainda estão em aberto. O texto legal também prevê expressamente a atividade regulatória da ANPD no estabelecimento de padrões técnicos mínimos relacionados à segurança da informação e ao sigilo dos dados pessoais e na formatação de metodologia apta para orientar o cálculo do valor-base das sanções de multa.
Importante destacar que a estrutura regimental da ANPD foi aprovada em agosto de 2020, através do Decreto n° 10.474, o qual só teve validade, nos termos do artigo 6º, a partir de 06 de novembro de 2020, quando ocorreu a efetiva nomeação dos integrantes do Conselho Diretor, mais precisamente, do diretor-presidente. Esse lapso temporal afetou as atividades do órgão controlador, além da questão da sua estrutura ainda deficitária ante às inúmeras atribuições e alargado campo de atuação.
Superado esse obstáculo, tem-se que o inevitável processo de aculturamento em relação aos novos paradigmas de proteção de dados também se mostra desafiador. Alterar procedimentos e treinar colaboradores sobre as etapas necessárias de zeladoria de dados pessoais não basta. Urge mudar o antigo formato de tratamento desses ativos, promovendo uma verdadeira transformação cultural de privacidade voltada para a assimilação e internalização de hábitos e práticas protetivas, alinhada a uma política robusta de modelagem de serviços e produtos que considere esse objetivo desde a concepção até o encerramento da atividade de tratamento.
Sabe-se que essa tarefa de mudança cultural e de engajamento é árdua, exigirá esforço contínuo, na certeza de que o enforcement normativo não será suficiente para construir um novo olhar sobre os dados pessoais próprios e do outro. Será necessário bem mais que uma obrigação imposta por lei para gerir riscos e fazer gestão das incertezas diárias que surgem nas atividades de tratamento de dados pessoais. A LGPD precisa ser compreendida como uma jornada, um processo contínuo que inaugurou um manejo inovador dos dados pessoais, mais ético e transparente.
Por fim, o terceiro e último entrave a ser superado diz respeito à interpretação do próprio texto da lei, levando em conta a literalidade dos termos utilizados pelo legislador e a mens legis. O contexto atual de adequação da LGPD tem demonstrado graves distorções, principalmente na esfera pública, o que tem preocupado especialistas e profissionais que atuam na área, já que indiretamente tais desnivelamentos acarretarão a conformação deficiente à legislação e pouca aderência às suas finalidades.
Nessa ótica, chega em boa hora o “Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado”. Publicado pela ANPD em 28 de maio, o documento estabelece diretrizes aos agentes de tratamento e explica quem pode exercer a função do controlador, do operador e do encarregado. Traz definições legais, regimes de responsabilidade desses atores e casos concretos que exemplificam as perguntas frequentes sobre um dos temas que mais encerram concepções equivocadas na seara de implementação da LGPD.
Não obstante as considerações até agora tecidas, há muito a celebrar. A vigência da LGPD colocou o Brasil e seu empresariado no mesmo patamar das economias globais, criando um ambiente seguro de alavancagem de negócios no mercado externo. De igual sorte, vários debates em diferentes arenas têm propiciado a criação de uma consciência individual e coletiva sobre a importância da privacidade e da proteção de dados.
Nesse sentido, recente pesquisa da ONG Data Privacy BR Research indica que após a sanção da LGPD em 2018, já foram apresentadas 340 propostas relacionadas à temática de proteção de dados pessoais no Congresso Nacional, número que em 3 anos superou o quantum de projetos protocolados de 1980 a 2018, qual seja, 313. Essa forte movimentação parlamentar revela que as discussões sobre o assunto estão se intensificando na sociedade, dado ao fato que as pessoas estão despertando para as implicações do uso incorreto dos seus dados pessoais e o quanto é valioso fazer valer o seu direito de autodeterminação informativa.
Por fim, é nesse cenário que os alicerces da cultura de proteção de dados pessoais no Brasil estão sendo erguidos, com a percepção clara de que a LGPD diz mais sobre pessoas, do que sobre tecnologia e processos de trabalho, inaugurando uma nova ética de tratamento de dados, fundada no princípio do Human-centered process e no ideal de uma Justiça de dados que vá além do indivíduo em particular e confira proteção a uma coletividade de usuários, aliviando o pesado ônus daquele que luta sozinho para fazer valer seu direito de autodeterminação informativa perante grandes corporações e o Estado, o que contribuirá para diminuir a assimetria de poder, de força e de informação tão presente nessa relação.
Por: Rose Meire Cyrillo
Especialista em Ouvidoria (CGU/OEA) e Consultora na área de Ouvidoria, LGPD e Programa de Integridade.