LGPD – DOS DEVERES

As organizações devem cumprir requisitos para que possam realizar o tratamento de dados, estando em consonância com ao menos uma das bases legais previstas pela Lei Geral de Proteção de dados[1], listadas a seguir:

- Mediante o consentimento do titular dos dados;

- Pela administração pública no que visa o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em nosso ordenamento jurídico;

- Para realização de estudos por órgãos de pesquisa, garantida sempre que possível a anomização dos dados pessoais;

- Quando necessário para execução de contrato ou procedimentos preliminares relacionados a contrato do que seja parte o titular ou a pedido do titular de dados;

- Para o exercício regular de direitos em processo judicial, administrativo ou arbitral;

- Para a proteção da vida ou da segurança pública do titular ou de terceiros;

- Para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviço de saúde ou autoridade sanitária;

- Quando necessário atender aos interesses legítimos do controlador ou de terceiros, exceto no caso de prevalecer direitos e liberdades fundamentais do titular, nos quais exijam a proteção de dados pessoais;

- Para proteção do crédito.

A LGPD diz ainda que o tratamento de dados pessoais cujo acesso é público, que neste caso não carecem de consentimento do titular, todavia, deve considerar a finalidade, a boa-fé e o interesse público que justifiquem sua disponibilização a todos.

As organizações devem assim, avaliar toda a sua estrutura de dados, de forma que seja feita uma adequação ao modelo atual do negócio visando regular seus processos a nova realidade determinada pela LGPD.

Se faz necessário que o tratamento de dados pessoais tenha propósitos legítimos, específicos, explícitos e o titular tenha conhecimento deles. A finalidade é uma condição que determina o motivo pelo qual a organização tratará tais dados pessoais do indivíduo.

Algumas perguntas iniciais devem ser feitas pelo controlador para que a organização esteja em sintonia com a LGPD, questionamentos como: Qual a finalidade de coletar dados pessoais do titular?  Preciso armazená-los? Por quanto tempo? Existe alguma relação direta entre os dados pessoais coletados e a execução de minha atividade? Preciso tratar dados sensíveis? Para que fim? Como acompanharei internamente o tratamento destes dados? Tenho estrutura para isso?

Aqui se faz necessário refrescar conceitos quanto ao enquadramento de dados conforme tabulado pela LGPD: 

- Dado pessoal: informação relacionada a pessoa natural identificada ou identificável, conforme abaixo exemplificado:

                Dados pessoais identificados: Nome, RG, CPF, CNH, CTPS e outros;

              Dados pessoais identificáveis: Endereço de domicílio, nome dos pais, nacionalidade, número de telefone, idade, estado civil e outros.

- Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

- Dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.

Além da finalidade, outro ponto essencial trazido pela LGPD é a adequação. Deve haver uma exata correspondência entre o que foi informado ao titular, quanto a finalidade de seus dados, e sua execução no tratamento.

Neste contexto, veja por exemplo o caso de um laboratório. Ao realizar serviços de exames clínicos, de fato justificaria a coleta de dados pessoais e dados pessoais sensíveis dos pacientes, haja vista que tais informações são importantes para um melhor diagnóstico e própria segurança do indivíduo. Todavia, não se sustentaria o tratamento de dados coletados no que versa dados sensíveis relacionados a opinião política ou filiação de sindicatos por exemplo.

No que tange a adequação, o paciente ao fornecer seus dados deve ter ciência da finalidade que ele será utilizado pelo controlador, não pode o laboratório utilizá-los por exemplo para o envio de publicidades, ofertas, produtos, dele ou mesmo de terceiros, sem que haja o consentimento e conhecimento expresso do titular.

Nesta mesma esteira, deve ser verificada a necessidade de finalidade e adequação do tratamento de dados, oportunizando-se assim, que a organização não realize o tratamento de dados além do que é necessário, pontual.

São muitos os exemplos que hoje infelizmente vemos na prática, imagine por exemplo que ao baixar um aplicativo de lanterna do celular, este solicite a permissão para acessar o sistema de GPS do aparelho. Ora, qual sentido isso faz? Absolutamente nenhum! Não se mostra necessário tal coleta e tratamento de dados para o fim de iluminação do ambiente que o aparelho se encontra. Mesmo despautério não se aplicaria por exemplo a aplicativos que fornecem serviços de rotas rodoviárias e status de trânsito em tempo real para condutores.

O titular de dados pessoais deve sempre estar atento a finalidade que serão empregados seus dados, havendo a possibilidade de escolha. E em casos justificáveis da coleta e tratamento de dados, resta claro que seu consentimento pode ser revogado a qualquer tempo.

Os responsáveis devem também assegurar o livre acesso do titular no que tange ao tratamento de seus dados pessoais, o titular pode questionar quais dados seus estão em posse de uma organização, bem como para que estão sendo utilizados.

Esta postura estabelece uma relação transparente e responsável do controlador, visto que permite que o indivíduo, de alguma forma, audite e retifique informações inconsistentes, sendo um facilitador ao sinalizar alguma insatisfação no tratamento utilizado.

Os agentes devem implementar inclusive, processos de validação das informações do titular, desde momento de sua coleta, para que dados não sejam armazenados incorretamente.

Um pequeno adendo se faz importante, a proteção de dados do individuo foi uma preocupação já prevista na Constituição Federal de 1988[2], até pelo seu contexto histórico, quando estabeleceu a figura de um remédio constitucional denominado Habeas Data. Trata-se de uma ação judicial que visa assegurar o livre acesso de qualquer cidadão a informações a ele próprio relativas, constantes em registros, fichários ou bancos de dados, todavia, aplicável apenas a entidades governamentais ou de caráter público.

Note que pouco adianta garantir a finalidade, transparência e o livre acesso de dados e não se priorizar a segurança no tratamento deles. Deve-se implementar políticas internas, processos, procedimentos e tecnologias para se efetivar a adequação dos preceitos estabelecidos pela LGPD.  

Autora desde artigo: Nadya Prinet Godoy

Disponibilizado em: Abr/2021

Photo by Wesley Tingey on Unsplash

---

[1] Presidência da República. Lei Geral de Proteção de Dados Pessoais (LGPD). Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em: 18 de abril de 2021.

[2] Presidência da República. Constituição da República Federativa do Brasil de 1988. Disponível em: http://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm. Acesso em: 18 de abril de 2021.