LGPD, ANPD, GPDR – Dados e Siglas que
Impactam na Atividade Empreendedora
– Breves comentários
sobre o impacto do novo marco regulatório –
Por Luís Rodolfo Cruz e Creuz
Vivemos
em um universo empresarial cuja captura, utilização, avaliação, uso e reuso de
dados (em geral) adquiriu uma grande importância. Há que diga que “Data is the new oil“ (Clive Humby – matemático britânico primeiro a cunhar
a frase), e há quem
diga que “Data Is Not The New Oil” (Bernard Marr).
Segundo o primeiro, “é valioso, mas se
não refinado, não pode realmente ser usado”. Já ao segundo, “enquanto o petróleo é um recurso finito, os
dados são efetivamente infinitamente duráveis e reutilizáveis”, e “é muito mais produtivo considerar como os
dados são diferentes - a miríade de maneiras pelas quais eles podem ser
capturados, usados e reutilizados e, ao fazê-lo, gerar valor e benefícios para
os seres humanos que nos ajudarão a lidar com grandes problemas, da educação à
saúde, da redução da fome. para combater as mudanças climáticas” [1].
Na seara de empreendedores e
empresários, naturalmente, a informação e os dados relacionados a um
determinado negócio sempre existiram – dados de clientes, produtos, mercado,
concorrentes, dentre outros. Mas, com o avanço e apoio da moderna tecnologia, é
que o tratamento destes dados (velocidade, quantidade, formas, repositórios,
etc), quando não se tornou o principal recurso e fim de um negócio, é elemento
essencial para planejamento, desenvolvimento, operação e expansão de outros.
Hoje, o conceito de Business
Intelligence (“BI”) afeta diretamente profundamente o modo de operação e
a inteligência empresarial, e o modo de tomada de decisões
estratégicas no mundo corporativo. Relaciona-se a processos de coleta, organização,
análise, refinamento, monitoramento e compartilhamento de informações. O BI
atua nesta interpretação de dados, auxiliando o empresário na identificação de
novas oportunidades de negócio, e até na montagem da estratégia corporativa de
longo prazo, sempre visando aumento da competitividade no mercado. O trabalho
com o dito big data leva a novas
possibilidades e horizontes, ou noutras palavras, “o produto dos dados (carros autônomos, drones, wearables etc.) gerarão
mais dados (onde você normalmente dirige, com que rapidez / bem você dirige, quem
está com você etc.)” (Piero Scaruffi, 2016)
A
ausência de regulação neste tratamento de dados também trouxe inconvenientes,
que hoje estão sendo sentidos e contestados globalmente – assim como a
atividade tem sido regulada, por meio de diversas legislações locais e/ou
regionais que tratam de privacidade e tratamento de dados. Trata-se de movimento global que levanta
a preocupação com a coleta e o uso de dados pessoais, em todas as suas esferas.
Mas certamente não é um movimento para
“acabar” com o uso de dados.
Conforme destacado por Bernard Marr, a coleta / mineração não regulamentada
de dados acarreta “um conjunto totalmente
diferente de problemas - problemas de privacidade e também o desequilíbrio de
poder causado pela informação estar nas mãos de poucos, e não de muitos.”.
E tais problemas de privacidade ecoam nos mais distintos níveis pessoais, dado
que inúmeras vezes o titular do dado não tem a menor idéia do que autorizou,
quantos e quais dados são utilizados e de que forma serão tratados seus dados
(sensíveis ou não). Basta rememorar grandes escândalos
mundiais de uso indevido de dados como o da Cambridge Analytica, que envolveu o Facebook, vazamentos de plataformas de games como a Sony, dentre outros casos, e a cada vez maior necessidade de preocupação
com segurança cibernética / cyber security.
E
com isso chegamos aos atuais modelos regulatórios que estão sendo implementados
ao redor do globo. Especialmente importa à atividade empreendedora nacional o
impacto da Lei nº 13.709/2018, conhecida como
Lei Geral de Proteção de Dados, ou simplesmente LGPD.
Dentro
das siglas indicadas, a GDPR refere-se ao
Regulamento Geral sobre a Proteção de Dados nº 2016/679, da União Europeia, em
vigor desde maio de 2018. Trata-se de um regulamento do direito europeu sobre
privacidade e proteção de dados pessoais, que tem aplicabilidade sobre todos os
indivíduos na União Europeia e Espaço Econômico Europeu, e que também
regulamenta, de forma extraterritorial, a exportação de dados pessoais para
fora da UE e EEE. E para empresas e empresários que possuem e lidam com
clientes estabelecidos e baseados na Europa (que utilizem dados deste cidadão),
certamente será necessário cumprir os regulamentos e ditames da GDPR. Veja que,
em tese, ainda que apenas um cidadão europeu estiver presente no banco de
dados, a empresa brasileira automaticamente passa a ter que respeitar as regras
da GDPR. A avaliação criteriosa e pontual irá requerer, portanto, uma cuidadosa
investigação e estruturação de regras de compliance
digital, seja para verificar se existe a atração da incidência da
regulamentação europeia, seja para apontar cuidados necessários aos mais
diversos aspectos da segurança da informação, de suma importância para garantir
proteção para todos os envolvidos.
Sem
prejuízo da importância da regulação estrangeira, no momento o maior interesse
deve estar centrado na LGPD e na ANPD.
A
LGPD é a Lei nacional, cuja vigência tem
início em agosto de 2020, e que dispõe
sobre “o tratamento de dados pessoais,
inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de
direito público ou privado, com o objetivo de proteger os direitos fundamentais
de liberdade e de privacidade e o livre desenvolvimento da personalidade da
pessoa natural.” (Art. 1º). O titular dos dados é pessoa natural a quem se
referem os dados pessoais que são objeto de tratamento (Art. 5º, V).
A
LGPD é uma norma principiológica
e não procedimental, dado que não fixa ou estabelece procedimentos que devam
ser seguidos pelos responsáveis pelo tratamento de dados. A regulação brasileira é baseada
em princípios e busca garantir e alocar direitos aos titulares de dados,
estabelecendo regras claras (em sua maioria) sobre as operações de tratamento
realizadas por órgãos públicos ou privados. E o conceito de “tratamento” é
aquele mais amplo possível, envolvendo “toda operação realizada com dados pessoais, como as que se
referem a coleta, produção, recepção, classificação, utilização, acesso,
reprodução, transmissão, distribuição, processamento, arquivamento,
armazenamento, eliminação, avaliação ou controle da informação, modificação,
comunicação, transferência, difusão ou extração” (Art. 5º, X).
Existem
3 importantes definições das quais o empresário e empreendedor deve ter conhecimento –
controlador, operador e encarregado. O Controlador é aquele definido pela Lei como sendo toda pessoa
natural ou jurídica, de direito público ou privado, a quem competem as decisões
referentes ao tratamento de dados pessoais. O Operador é
pessoa natural ou jurídica, de direito público ou privado, que realiza o
tratamento de dados pessoais em nome do controlador. E por último, o Encarregado, que será a pessoa indicada
pelo Controlador e Operador para atuar como canal de
comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional
de Proteção de Dados (ANPD); (Art. 5º, VI, VII, e VIII, respectivamente).
Um
princípio básico da LGPD é a responsabilização do Controlador (a quem compete a
tomada de decisões referentes ao tratamento de dados pessoais), que deve
ser capaz de demonstrar que o processamento é/foi realizado de acordo com a
regulação (LGPD e regulamentação a ser
fixada pela ANPD), de forma eficaz, ativa e passivamente, inclusive por
meio de prestação de contas.
Importância
da relação entre Controlador e Operador,
pois, ainda que a norma brasileira tenha determinado que o Operador deva realizar o tratamento de dados conforme as instruções
do Controlador, não há exigência de
formalização por meio de contrato ou outro ato jurídico que vincule as partes
(obrigação presente na GDPR). Naturalmente, a melhor recomendação é no sentido
de que o vinculo seja formal e documentalmente estabelecido e regrado.
Caberá
ao controlador dos dados, visando a proteção da reputação, bom nome e imagem do empresário e empreendedor,
afastá-lo e protegê-lo de ações ilícitas, por meio de condutas lastreadas em elevados
padrões éticos e morais. No tocante aos dados, deverá manter tais informações
seguras e comprovadamente demonstrar que está “em compliance" com a LGPD.
A Autoridade
Nacional de Proteção de Dados (ANPD) é a
autoridade
nacional criada como sendo um órgão da administração pública federal,
integrante da Presidência da República, responsável por zelar, implementar e
fiscalizar o cumprimento desta Lei em todo o território nacional. (Art. 5º,
XIX). A ANPD tem autonomia técnica e decisória, e lhe foi conferido um conjunto
de funções regulatórias, sancionadoras e normativas, significando uma atuação
mais ampla e não apenas vinculada ou destinada a aplicação de penalidades e
sanções. Espera-se que os gestores públicos atuem no desenvolvimento de uma
efetiva e melhor cultura relacionada ao uso e tratamento de dados pessoais, com
aprofundamento da privacidade e segurança de tais dados, que já vinham tratados
desde o Marco Civil da Internet (Lei n° 12.965/2014).
É importante reforçar que a LGPD se aplica “a qualquer operação de tratamento realizada por pessoa
natural ou por pessoa jurídica de direito público ou privado, independentemente
do meio, do país de sua sede ou do país onde estejam localizados os dados”, desde que (i) o tratamento seja realizado no
território nacional; (ii) tenha por objetivo a oferta ou o
fornecimento de bens ou serviços ou o tratamento de dados de indivíduos
localizados no território nacional; ou (iii) os dados pessoais objeto do
tratamento tenham sido coletados no território nacional. Devem ser considerados coletados no território nacional os dados
pessoais cujo titular nele se encontre no momento da coleta (Art. 3º).
O que se deve estabelecer, como meta
para mitigar os riscos de atuação e
tratamento de dados, e para não ter que desesperadamente estruturar um plano de
recuperação de desastres, o empresário e empreendedor devem buscar apoio para
desenvolver uma estrutura básica de compliance
digital (monitoramento e controle), que pode envolver (i) avaliação de ferramentas de comunicação e de armazenamento de dados
corporativos, para identificação de usos e gargalos no tratamento de dados
(dados pessoais, dados sensíveis – inclusive de eventuais dados de menores) de
diversas fontes e meios (cadastro de clientes, website da empresa, mailing, softwares internos e licenciados, sistema de criptografia e os
contratos de trabalho, de serviços com parceiros, clientes e fornecedores); (ii) auditoria (due diligence) visando identificação de
ações e rotinas da empresa que necessitam maior atenção e cuidado, e para
estruturação de um planejamento; (iii) análise e adequação de termos de uso e
políticas de privacidade aplicados aos mais distintos meios utilizados pela
empresa; (iv) estabelecimento de níveis de fiscalização e barreiras internas
sobre tratamento e disponibilização de dados; (v) criação e transmissão de nova
cultura corporativa a ser estabelecida por meio de políticas internas (manual
ou cartilha) (gestão dos recursos de tecnologia da informação, gestão e
compartilhamento de dados entre áreas e politicas de tratamento de dados, informando
como dados pessoais de clientes e colaboradores serão tratados, armazenados e
disponibilizados).
De toda forma, não podemos exorcizar
ou buscar eliminar o tratamento de dados e o BI das empresas – não é este o
real alcance das
diversas legislações locais e/ou regionais que tratam de privacidade e tratamento de dados. O que
efetivamente é necessário é a busca pelo equilíbrio entre o BI e os direitos
daqueles titulares de dados que estão sendo tratados. Afinal, “assim como o petróleo era um recurso
natural que alimentava a última revolução industrial, os dados serão o recurso
natural dessa revolução industrial.” (Abhishek Mehta, 2013).
[1] Disponível
em https://www.forbes.com/sites/bernardmarr/2018/03/05/heres-why-data-is-not-the-new-oil
Se você gostou deste artigo, por favor considere
compartilhá-lo!
_______________
Luís Rodolfo Cruz e Creuz, Sócio
de Cruz & Creuz Advogados. Doutor em Direito Comercial pela
Faculdade de Direito da Universidade de São Paulo – USP (2019); Certificate
Program in Advanced Topics in
Business Strategy University of La Verne – Califórnia (2018); Mestre
em Relações Internacionais pelo Programa Santiago Dantas, do convênio das
Universidades UNESP/UNICAMP/PUC-SP (2010); Mestre
em Direito e Integração da América Latina pelo PROLAM - Programa de
Pós-Graduação em Integração da América Latina da Universidade de São Paulo –
USP (2010); Pós-graduado em Direito
Societário - LLM - Direito Societário, do INSPER (São Paulo) (2005); Especialista em Propriedade Intelectual
pela World Intellectual Property
Organization (WIPO). Bacharel
em Direito pela Pontifícia Universidade Católica de São Paulo – PUC/SP (2000). E-mail:
E-mail: E-mail: luis.creuz@lrcc.adv.br / @LuisCreuz
Autor das obras “Acordo de
Quotistas - Análise do instituto do Acordo de Acionistas previsto na Lei
6.404/1976 e sua aplicabilidade nas Sociedades Limitadas à Luz do Novo Código
Civil brasileiro, com contribuições da Teoria dos Jogos”. São Paulo :
IOB-Thomson, 2007. “Commercial and Economic Law - Brasil” da
International Encyclopedia of Laws, editada por Dr Jules Stuyck. Holanda: Kluwer Law International, 2010 (ISBN 978-90-654-4942-9). Coautor do livro “Organizações Internacionais e Questões da Atualidade”, organizada
por Jahyr-Philippe Bichara, sendo autor do capítulo “Organizações
Internacionais e a Integração Econômica: Revisões de Uma Teoria Geral”, Natal,
RN : EDUFRN, 2011 (ISBN 978-85-7273-722-7). “Commercial and Economic Law in Brazil”.
Holanda: Wolters Kluwer - Law & Business, 2012 (ISBN 978-90-411-4088-3). “Defesa da
Concorrência no Mercosul – Sob uma Perspectiva das Relações Internacionais e do
Direito”. São Paulo : Almedina, 2013 (ISBN 978-856-31-8233-3). Coautor do
livro “Direito dos Negócios Aplicado –
Volume I – Do Direito Empresarial”, coordenado por Elias M de Medeiros Neto
e Adalberto Simão Filho, sendo autor
do Capítulo “Acordo de Quotistas aplicado
aos Planejamentos Sucessórios”, São Paulo: Almedina, 2015 (ISBN
978-85-6318-295-1). Coautor do livro “Direito Empresarial Contemporâneo - Uma
visão bilateral entre Brasil e Portugal”, Brasil : 2018, sendo autor do Capítulo “Aquisição de Software e a Utilização de Cópias em Número Superior ao
Contratado – Breve estudo sobre a contratação e aquisição de software e sua
utilização irregular por meio de copias indevidas”. Coautor do livro “Temas
Contemporâneos de Direito Administrativo Econômico da Infraestrutura e
Regulatório”, sendo autor do Capítulo “Definição do Mercado Relevante na Análise Antitruste em um Bloco
Econômico Regional”. São Paulo : Évora, 2019 (ISBN
978-85-8461-086-0)
Se você gostou deste artigo, por favor considere
compartilhá-lo!
© 2019. Direitos autorais reservados
exclusivamente a Luís Rodolfo Cruz e Creuz e Cruz & Creuz Advogados.
