Lei Geral de Proteção de Dados exige rigor com dados pessoais

Mais transparência e responsabilidade com dados dos usuários. É o que promete a Lei Geral de Proteção de Dados Pessoais (LGPD) ao estabelecer uma série de regras para o uso de dados de pessoas físicas ou jurídicas.

Setores públicos e privados deverão se adequar às diretrizes para dados on-line e off-line. Desde que a norma entrou em vigor, são cobrados mais pedidos de autorização e eles devem ser específicos sobre os dados coletados e a destinação que será dada a eles. E quem trata os dados deve prestar esclarecimentos caso os titulares solicitem informações sobre quais dados estão sob o seu controle e o uso que está sendo feito das informações pessoais.

A Lei categoriza os dados e cria a classe dos sensíveis. São aqueles passíveis de discriminação, tais quais os referentes à saúde, vida sexual, genética, biométrica, raça, crenças, ideologias ou filiações políticas. (Por isso a gente concede tantas autorizações).

As empresas devem detalhar aos usuários qual tratamento dará aos dados pessoais. Os pedidos de autorização precisam ter finalidades determinadas, sem termos genéricos. O uso do CPF por farmácias e drogarias só é permitido caso os estabelecimentos prestem informações prévias adequadas e claras sobre a abertura de cadastro com os dados pessoais.

A Lei estabelece também que alguns pedidos de autorização devem ser vistos individualmente, não podem ser disponibilizados como parte de um conjunto de autorizações. Por exemplo, o reaproveitamento de endereços eletrônicos fornecidos para envio de mensagens promocionais deverá ser autorizado por meio de requerimento específico.

A partir da sanção da Lei em agosto de 2018, as empresas tiveram 24 meses (dois anos) para se adaptar às regras de proteção de dados pessoais. Muitas das grandes empresas já seguem diretrizes da norma europeia para dados, muito parecida com a, agora, adotada pelo Brasil. Outras ainda precisam se adequar.

Em junho deste ano, uma lei adiou em um ano a vigência do Capítulo da Fiscalização, que estava prevista para 1º de agosto de 2020. Nesse capítulo estão previstas as punições administrativas para tratamentos de dados irregulares e o valor das multas. Por isso, ainda não se sabe ao certo a data em que as organizações começarão a ser cobradas por violações de regras de proteção de dados pessoais.

Em caso de “incidentes de segurança da informação”, as empresas deverão comunicar o órgão regulador e o titular dos dados prontamente. Ao fim da relação entre usuário e empresa, os dados deverão ser excluídos permanentemente, exceto em casos estabelecidos para cumprimento da mesma Lei.