LGPD, lei de proteção a dados pessoais, começa a valer

A Lei Geral de Proteção de Dados (LGPD) finalmente é uma realidade. Depois de editar uma medida provisória que tratava de pagamentos do auxílio emergencial e previa o adiamento da LGPD para 2021, o presidente Jair Bolsonaro sancionou o texto que a transforma em uma lei definitiva. Nesta versão, a mudança nos prazos não foi incluída, o que faz as regras sobre tratamento de dados passarem a vigorar imediatamente.

Com a publicação da Lei 14.058/2020 no Diário Oficial da União desta sexta-feira (18), quem trata dados pessoais, isto é, empresas (desde redes sociais até farmácias que oferecem desconto em troca do seu CPF) e órgãos públicos deverão seguir o que estabelece a LGPD a partir de agora. Apesar disso, as sanções pelo descumprimento das regras só serão aplicadas a partir de agosto de 2021.

A publicação da lei encerra o entrave sobre quando a LGPD entraria em vigor. Inicialmente, ela passaria a valer em agosto de 2020. No entanto, em abril, Bolsonaro publicou a medida provisória 959/2020 — transformada na Lei 14.058 —, que detalhava como seriam feitos os pagamentos de auxílios durante a pandemia do novo coronavírus e adiava a lei de proteção de dados para maio de 2021.

Ao analisar a MP 959/2020, a Câmara dos Deputados propôs adiar a lei até dezembro de 2020, depois das eleições municipais. Porém, a mudança não foi aceita pelo Senado, que aprovou a medida provisória sem mudanças nas datas, voltando ao prazo inicial de agosto de 2020 e, na prática, dando início imediato à lei.

O que muda com a LGPD

A lei conta com diversas regras sobre como empresas e órgãos públicos deverão realizar o tratamento de dados pessoais. Entre as mudanças, está a necessidade de consentimento do titular para o uso das informações. A autorização não é necessária em casos como o de realização de políticas públicas, mas os titulares podem pedir a qualquer momento para acessar seus dados.

O tratamento de dados também deverá respeitar princípios como o da finalidade, isto é, os titulares devem ser informados sobre por que suas informações estão sendo coletadas. A LGPD exige ainda que os controladores das informações ofereçam a portabilidade de dados para outros serviços e informem o mais rapidamente possível sobre eventuais vazamentos de dados.

Lei está em vigor, ANPD ainda não

Ainda que tenha sido sancionada, os entraves em torno da LGPD não acabaram. A lei prevê a criação da Autoridade Nacional de Proteção de Dados (ANPD), que precisa ser estabelecida. A ANPD vai detalhar várias questões sobre o tratamento de dados e poderá penalizar empresas e órgãos públicos que não cumprirem as regras com multa de até 2% do faturamento, limitada a R$ 50 milhões, por infração.

A ANPD contará com um Conselho Diretor formado por 5 integrantes, todos indicados pelo presidente da República. A autoridade também terá o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade (CNPD), com 23 integrantes indicados por órgãos como Presidência da República, Senado, Câmara, Comitê Gestor da Internet no Brasil (CGI.br), além da sociedade civil. O grupo contribuirá com a criação de uma política nacional de proteção de dados.

O decreto que estrutura a ANPD foi publicado por Bolsonaro em agosto, mas é questionado por um Projeto de Decreto Legislativo na Câmara. O PDL 394/2020 aponta que o decreto não oferece a autonomia necessária à autoridade ao definir que o CNPD será obrigatoriamente presidido pelo representante da Casa Civil da Presidência da República e que as demais posições deverão ser aprovadas pelo presidente da República.