Adequação à LGPD

A LGPD (Lei Geral de Proteção de Dados, Lei nº 13.709/2018) é o marco geral brasileiro de proteção de dados pessoais. Está em vigor desde setembro de 2020 e é fiscalizada pela autoridade nacional, a ANPD. A adequação à LGPD não é a lei em si, mas a resposta a ela: o trabalho organizado de colocar o tratamento de dados pessoais da organização dentro dos limites que a lei estabelece. Ela faz parte de uma prática mais ampla de proteção de dados.

A lei define as obrigações e a adequação define o trabalho. Assim como a conformidade com o GDPR ou com a CCPA, o termo descreve um programa de inventários, políticas, contratos e procedimentos. Não é uma auditoria pontual nem um certificado a ser conquistado.

A lei

um estatuto que define princípios, bases legais, direitos dos titulares, deveres de cada agente de tratamento e as sanções que a ANPD pode aplicar.

A adequação

o programa do lado da organização: inventário de dados, revisão das bases legais, definição de papéis, contratos com operadores, preparação para incidentes e registros que comprovam que tudo funciona.

A LGPD se aplica a qualquer tratamento de dados pessoais realizado no Brasil. Aplica-se também ao tratamento feito no exterior quando os dados são coletados de pessoas localizadas no Brasil ou quando o tratamento tem como objetivo oferecer-lhes bens ou serviços. Uma empresa sem escritório no Brasil está coberta se o seu site cadastra usuários em São Paulo. As obrigações seguem os dados, não o endereço de registro.

O escopo é intencionalmente amplo. Abrange empresas privadas de qualquer porte e setor, organizações sem fins lucrativos e órgãos públicos, e controladores e operadores têm deveres próprios. Agentes de pequeno porte não estão isentos: a ANPD publicou regras simplificadas que ajustam, mas não eliminam, as suas obrigações.

A adequação começa com um retrato honesto da situação atual. O inventário de dados registra cada categoria de dado pessoal, sua finalidade e origem, os sistemas em que ele está, por quanto tempo é mantido e quem o recebe. Em seguida, a classificação de dados mostra quais dessas categorias são sensíveis. O mapa de fluxo de dados estende o inventário ao movimento: como os dados circulam entre sistemas, fornecedores e canais como e-mail, armazenamento em nuvem e mídias removíveis.

A avaliação compara esse retrato com as exigências da lei. Verifica se cada atividade tem base legal, se os dados sensíveis recebem o cuidado mais rigoroso exigido pelo Artigo 11, se os prazos de retenção estão definidos, se existem contratos com operadores e se um pedido de titular poderia de fato ser atendido a partir desses sistemas. O resultado é um relatório de lacunas e um plano de correção com responsáveis e prazos. Para tratamentos em larga escala ou de alto risco, a ANPD também pode exigir o relatório de impacto à proteção de dados (RIPD), muito mais fácil de elaborar quando o inventário já existe.

O console da Anexet traz padrões prontos para identificadores, como contas bancárias e números de passaporte, que servem de ponto de partida para decidir quais identificadores procurar.

A adequação funciona como um ciclo, e não como um projeto único. Processos mudam, fornecedores mudam e a ANPD continua publicando regras, por isso programas maduros repetem os mesmos cinco passos:

1. 1

   Inventariar os dados

   Liste cada categoria de dado pessoal, sua finalidade, sua origem e onde ela fica armazenada.

2. 2

   Mapear os fluxos

   Acompanhe como os dados se movem entre sistemas, fornecedores e canais.

3. 3

   Fechar as lacunas

   Corrija bases legais, regras de retenção e contratos com operadores que faltem, cada um com responsável e prazo.

4. 4

   Comprovar o funcionamento

   Mantenha registros que mostrem que os controles funcionam, como logs e trilha de auditoria.

5. 5

   Repetir o ciclo

   Refaça os mesmos passos quando mudarem processos, fornecedores ou regras da ANPD.

A LGPD foi redigida com o GDPR à vista, por isso os dois marcos se parecem. Eles compartilham princípios como a limitação da finalidade e a minimização de dados, um catálogo de direitos dos titulares, um encarregado de proteção de dados e a comunicação à autoridade quando ocorre uma violação de dados. Uma organização que já mantém um programa GDPR reconhecerá a maior parte de um plano de adequação.

As diferenças estão nos detalhes, e por isso um programa europeu não pode simplesmente ser rebatizado como brasileiro:

Toda atividade de tratamento precisa se apoiar em pelo menos uma das dez bases legais que o art. 7 lista para dados pessoais comuns: consentimento, obrigação legal, execução de contrato, proteção da vida ou da segurança física, estudos realizados por órgão de pesquisa, legítimo interesse do controlador e proteção do crédito. Para dados sensíveis, como os de saúde, biométricos ou genéticos, o art. 11 restringe a lista. Em geral, isso significa consentimento específico e em destaque, com alternativas estreitas para saúde, pesquisa e proteção da vida.

O legítimo interesse é a base mais usada e a menos compreendida. Ele exige que o controlador pondere a sua finalidade diante dos direitos e das expectativas dos titulares e documente essa ponderação. O consentimento precisa estar vinculado a uma finalidade específica e pode ser revogado a qualquer momento. A lei sustenta essas bases com direitos exigíveis: confirmação, acesso, correção, anonimização, bloqueio ou eliminação, portabilidade e informação sobre com quem os dados foram compartilhados.

A LGPD nomeia seus agentes em português, e esses nomes aparecem em todo plano de adequação porque cada papel tem deveres distintos. A responsabilidade do operador é subsidiária, mas real, e a designação do encarregado precisa ser divulgada publicamente.

Comece pelos dados pessoais cujo vazamento causaria mais dano e depois mapeie os canais por onde eles realmente circulam. Uma adequação planejada para todos os conjuntos de dados de uma vez costuma travar, por isso uma primeira passagem pelos fluxos mais arriscados geralmente traz o maior resultado.

Trabalho semelhante é exigido pela conformidade com a CCPA na Califórnia, então um inventário criado para um regime muitas vezes pode servir ao outro.

Leitura adicional: Use o sistema Anexet Ultimate DLP para atender ao RGPD.