Source: https://gustavorochacom.com.br/2019/05/15/um-pouco-mais-sobre-compliance-digital-e-a-lei-geral-de-protecao-de-dados-lgpd/?shared=email&msg=fail
Timestamp: 2019-05-21 17:44:59+00:00

Document:
Um pouco mais sobre Compliance Digital e a Lei Geral de Proteção de Dados – LGPD – GustavoRocha.com
Um pouco mais sobre Compliance Digital e a Lei Geral de Proteção de Dados – LGPD
Postado em maio 15, 2019 maio 11, 2019
Já escrevi sobre este tema, mas coloco sobre outro enfoque para análise.
Como já explicitado, traduzindo de maneira sucinta, Compliance se traduz em regramento, e é oriundo do verbo To Comply que junto ao tema digital, temos um conjunto de normas, normativas e regras que orientam o mundo digital.
Infelizmente não temos no Brasil a cultura do dado, nem mesmo do digital de forma mais plena.
Por exemplo, ao ingressar numa academia, numa portaria de prédio, nos é solicitado nossa identidade, muitas vezes biometria e a coleta destes dados fica armazenada onde? Para qual finalidade estes dados ficam armazenados? No dia a dia digital, nossos dados também ficam armazenados em navegadores, celulares, computadores entre outros dispositivos e a realidade é simples: Nos pedem os dados, fornecemos e na maioria das vezes após este fornecimento sequer sabemos para que fim estes dados estão sendo utilizados e se concordamos ou não com seu uso.
A Lei Geral de Proteção de Dados aprovada no Brasil (Lei 13.709/2018) registra de forma inequívoca a necessidade de interesse legítimo e autorização para coleta de dados, nos moldes do artigo 6º da lei:
Restritivo não é mesmo? E cria também conceitos que antes eram quiçá existentes, mas ainda não notórios, como por exemplo: Quem irá controlar estes dados dentro das empresas?
Nosso maior exemplo atual é a lei já em vigor européia sobre proteção de dados que criou a necessidade de regramentos como o Data Protection Impact Assessment (DPIA), figura apresentada no artigo 35 do referido regulamento, se fazendo necessário em hipóteses em que um certo tipo de tratamento, em particular que utilize novas tecnologias e tendo em conta a sua natureza, âmbito, contexto e finalidades, for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares. O DPIA trata de regras específicas de compliance digital onde conterão as informações necessárias do impacto da proteção de dados na empresa e seus riscos, cuidados, entre outros.
https://www.i-scoop.eu/gdprarticle/gdpr-article-35-data-protection-impact-assessment-dpia/
E no Brasil, quem irá tratar do DPIA?
A figura do controlador e do operador estão determinadas a partir do artigo 37 da Lei 13.709/2018 e determinam uma série de exigências e regramentos para coleta, uso e descarte dos dados.
E o impacto destes regulamentos no compliance digital?
Se a lei determina autorização expressa para tratamento dos dados pessoais (artigo 7º, I da Lei 13.709/18) e hoje temos a virtualização dos contatos entre empresas, relacionamento entre cliente e empresa, compras, venda e muito mais tudo no ambiente digital (onde leia-se: site, blogs, redes sociais, aplicativos de celular, blockchain, etc) a coleta e tratamento destes dados deverá obedecer toda normativa da lei e caberá ao jurídico e setores de compliance ditar as regras para como isto será feito.
Num exercício de raciocínio de mercado, vejamos a seguinte hipótese: Empresa A coleta dados do cliente B para que este compre mercadoria da empresa A. Observância clara da finalidade e autorização para coleta nos moldes da Lei. E quando a entrega da compra for finalizada e, portanto, a transação for encerrada? O artigo 15, inciso I é específico quanto ao término dos dados e o artigo 16 e seus incisos que o dado não pode ser armazenado.
Art. 15. O término do tratamento de dados pessoais ocorrerá nas seguintes hipóteses:
I – verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;
I – cumprimento de obrigação legal ou regulatória pelo controlador;
II – estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;
III – transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta Lei; ou
IV – uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.
E endereço, telefone, cartão de crédito e outros armazenados em sites, bancos de dados e outros?
E antes do término, nos requisitos iniciais para coleta e uso dos dados, houveram autorizações expressas (eletrônicas com prova da autorização)?
A lei entrará em vigor em breve e é imperioso que sejam repensados os fluxos internos atuais nas empresas, seus bancos de dados, relacionamento com cliente e outros para adequação a norma.
Principalmente porque as sanções por descumprimento são de valores elevados e com possibilidade de publicizar a infração (propaganda negativa mesmo), nos termos do artigo 52, incisos I, II, III e IV, que segue:
II – multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração;
III – multa diária, observado o limite total a que se refere o inciso II;
IV – publicização da infração após devidamente apurada e confirmada a sua ocorrência;
Para que esta realidade seja benéfica e não uma tormenta, será necessário que sejam revistas as regras atuais de compliance, em especial o digital, inserindo a nova norma e seus conceitos de maneira clara, objetiva e principalmente simples, para dar a ciência inequívoca dos principais conceitos de coleta e uso dos dados, bem como minimizando riscos financeiros e de publicidade negativa as empresas.
Publicado em Compliance/Integridade, GustavoRochacom, Lei Geral de Proteção de Dados - LGPDMarcado Compliance, Compliance/Integridade, GustavoRochaCom, Lei Geral de Proteção de Dados – LGPD
Anterior Você conhece a inteligência artificial que ajudará na solução dos casos de violência? #ColunaOnOffnoEV
Avançar Entrevista com Santo Ivo, sobre jurimetria e destino!

References: artigo 6
 artigo 35
 artigo 37
 artigo 15
 artigo 16
 artigo 52