Maurício Antonio Tamer

Rony Vainzof

Caio César Carvalho Lima

<p align="justify">Estar em compliance. Aí está um dos maiores desafios contemporâneos de qualquer empresa no Brasil. O compliance e, dentro de tal ideia a adoção de políticas anticorrupção, tem ganhado cada vez mais relevância no cenário nacional e internacional, especialmente diante de uma mudança de uma percepção social pela necessidade de se respeitar o sistema legal, principalmente pela compreensão dos prejuízos sociais crescentes e decorrentes da ausência das melhores práticas de conformidade.</p>
<p align="justify">Essa preocupação não é recente e historicamente encontra base em agendas que se ajustam (combate ao crime organizado, tráfico internacional, atos de corrupção, entre outras).<a href="#sdfootnote1sym" name="sdfootnote1anc">1</a> Engana-se, porém, quem compreende o compliance apenas como medidas de mitigação de riscos atrelados às práticas de corrupção. Em verdade, trata-se de verdadeira mudança cultural multidisciplinar nas empresas envolvendo as áreas jurídicas, de tecnologia e segurança da informação, recursos humanos, marketing, entre outras, bem como os ideais de ética empresarial e responsabilidade social.</p>
<p align="justify">Nesse contexto, sem sombra de dúvidas, a Lei Geral de Proteção de Dados é novo grande paradigma de conformidade no Brasil. Aliás, mais que isso, com a previsão expressa do princípio da responsabilização e prestação de contas em seu art. 6º, X<a href="#sdfootnote2sym" name="sdfootnote2anc">2</a>, e com uma série de disposições que considera ser fundamental a adequação pelos agentes de tratamento (v.g. como critério à aplicação de sanção pela Autoridade Nacional<a href="#sdfootnote3sym" name="sdfootnote3anc">3</a>-<a href="#sdfootnote4sym" name="sdfootnote4anc">4</a>), é possível dizer que a LGPD representa segundo<a href="#sdfootnote5sym" name="sdfootnote5anc">5</a> marco legislativo no Brasil em relação ao compliance, mas agora voltado aos dados pessoais, dispondo expressamente sobre a adoção dos referidos procedimentos de integridade.</p>
<ul class="jota-article__internal-links">
<li>+JOTA: <a href="https://www.jota.info/assine">Assine o JOTA e não deixe de ler nenhum destaque!</a></li>
</ul>
<p align="justify">A LGPD consolida a necessidade do uso ético, seguro e responsável dos dados pessoais, e a adequação consiste em verdadeiro plano multidisciplinar para que toda empresa alcance esses objetivos.</p>
<p align="justify">O olhar a ser dado para esse projeto é de algo amplo para todas as áreas da empresa, com a implementação <em>top-down</em>. Ou seja, não deve ser projeto de uma área, mas da própria empresa. Não basta, portanto, sanear apenas um ou mais setores, as regras e princípios de privacidade e proteção de dados precisam ser inseridos e previstos nos princípios, valores e missões de toda a corporação.</p>
<p align="justify">Os empresários que enxergarem a proteção de dados pessoais como importante direito dos indivíduos, que pode se tornar inclusive fundamental<a href="#sdfootnote6sym" name="sdfootnote6anc">6</a>, e não somente como mais uma obrigação a ser cumprida, certamente executarão de forma melhor as necessidades legais, mitigarão mais riscos e ganharão a confiança dos cidadãos e do mercado.</p>
<p align="justify">Para tanto, algumas providências são fundamentais, quais sejam: i) o <em>board</em> da empresa deve dar visibilidade corporativa sobre a importância do projeto de adequação; ii) nomear comitê multidisciplinar que será responsável por elaborar o plano de adequação à LGPD com visão holística; iii) designar <em>Project Management Office – PMO </em>para conduzir e gerenciar o projeto de adequação, por meio de medidas de padronização e efetividade, junto com o comitê; posteriormente, a providência será a própria implementação desse plano.</p>
<p align="justify">Ou seja, a ideia é que os agentes de tratamento que respondem pela Lei (qualquer pessoa jurídica ou natural que trate dados pessoais<a href="#sdfootnote7sym" name="sdfootnote7anc">7</a> e que não esteja enquadrada nas causas de exceção de aplicabilidade do art. 4º<a href="#sdfootnote8sym" name="sdfootnote8anc">8</a>) tenham uma área estruturada e em mãos um plano de ação, verdadeiro passo a passo que mapeie e classifique as atividades, instrua os profissionais envolvidos e indique a contratação de novos colaboradores se necessário, reformule estruturas, planeje e implante normas internas de conformidades, etc. O plano de adequação, em razão dessas aptidões práticas, passa a ser ferramenta fundamental a viabilizar que o agente de tratamento esteja em conformidade com a LGPD. Traz para o plano concreto as principais necessidades, permitindo que as empresas e pessoas naturais se adequem de forma prática ao que a lei exige. Mas quais seriam as principais medidas a serem implantadas; ou seja, o que é essencial em todo plano de adequação à LGPD?</p>
<p align="justify">O primeiro passo é mapear as atividades e todo o <em>data flow</em>. É nessa análise de risco ou<em> risk assessment</em> que de fato se entende o cenário das mais variadas atividades da empresa e modelos de negócio pautados em dados pessoais. E por que essa análise é fundamental? Porque é a partir dela que se extrai o retrato de conformidade do fluxo de dados em todas as áreas da empresa, visando avaliar a legalidade e apontar ajustes (<em>gap analysis</em>).</p>
<p align="justify">Em outros termos, o compliance não se dá de qualquer forma, mas passa necessariamente por referida avaliação, vez que o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem (art. 37). Isso sem prejuízo das regras que devem prever a realização de Relatórios de Impacto à Proteção de Dados Pessoais,<a href="#sdfootnote9sym" name="sdfootnote9anc">9</a> que poderá ser exigido pela ANPD (Arts. 10, §3º, 32, e 38), e visa, por meio da descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, traçar medidas, salvaguardas e mecanismos de mitigação de riscos.</p>
<p align="justify">Isso tudo é fundamental para se avaliar, por exemplo, quais as bases legais de tratamento são necessárias, se é possível a comunicação ou o uso compartilhado entre as empresas, o quanto vale a pena investir em medidas de anonimização e a existência de padrões ou normas técnicas específicas. Identifica-se também qual o ciclo de vida dos dados pessoais na empresa. Isso é fundamental para se compreender quais departamentos e colaboradores devem ser instruídos e onde devem ser aplicadas as soluções tecnológicas, de segurança e procedimentos para garantir a contenção de tais informações, por exemplo.</p>
<p align="justify">Também se apura, na prática, qual a categorização legal da empresa que trata os dados pessoais, se será considerada controladora ou operadora<a href="#sdfootnote10sym" name="sdfootnote10anc">10</a>. Por que essa compreensão é importante? Porque é a partir dela que se sabe quais medidas de adequação devem ser adotadas e a quais riscos de responsabilização a empresa está submetida. Enfim, a análise de risco permite que seja tirada verdadeira fotografia da atividade de tratamento de dados pessoais da empresa, representando o ponto de partida das medidas de adequação.</p>
<p align="justify">A segunda providência do Plano de Adequação, de certa forma relacionada à própria análise de risco, é demonstrar a necessidade do comprometimento dos profissionais com poder de direção em relação à adequação da empresa. A conformidade depende, necessariamente, da destinação de recursos humanos e financeiros, sendo importante que os administradores tenham essa consciência. É investimento a ser feito hoje, que diminuirá os riscos de incidentes de dados pessoais, mitigando prejuízos sancionatórios e de reputação. Melhor atuar preventivamente hoje ou sujeitar a empresa a multas de até 50 milhões de reais por infração (art. 52, II)? Prevenir é sempre melhor que remediar.</p>
<p align="justify">Outra medida de adequação importante é a contratação pelos controladores de profissional vocacionado a assegurar a conformidade da empresa com a LGPD e a realizar a interlocução com a Autoridade Nacional de Proteção de Dados – ANPD. Deve a administração da empresa nomear o chamado Encarregado (art. 5º, VIII) ou <em>Data Protection Officer</em>, atendendo ao que dispõe o art. 41. A quem estiver nessa função competirá aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências, receber comunicações da autoridade nacional e adotar providências, orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares. Como visto, são tarefas variadas e complexas, razão pela qual além do DPO, é importante que a empresa estruture uma área com profissionais que lhe deem respaldo<a href="#sdfootnote11sym" name="sdfootnote11anc">11</a>.</p>
<p align="justify">Como quarta providência de destaque do Plano está a adoção de medidas de segurança, a fim de proteger o tratamento de dados pessoais e a contenção das informações. As medidas de segurança são destinar a mitigar acessos não autorizados aos dados pessoais tratados, situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilegal (art. 46). São medidas fundamentais e, em realidade, são essas medidas que também vão manter o agente de tratamento em conformidade.</p>
<p align="justify">O Plano de Adequação também será responsável por implementar as chamadas medidas de boa governança (art. 50), ou seja, medidas que resultem na organização interna com padrões, normas e procedimentos por meio da implementação de programa de governança em privacidade que no mínimo demonstre o comprometimento do agente em buscar o cumprimento da lei. É nesse ponto, por exemplo, que serão criadas ou ajustadas as políticas internas de segurança da informação, os<em> jobs descriptions</em> dos colaboradores, os códigos de ética, manual de incidente de segurança, dentre outros.</p>
<p align="justify">Por fim, também será fundamental a criação de cultura de proteção de dados, o que pode ser iniciado por meio de cursos, palestras e simulações para instrução permanente dos colaboradores a fim de demonstrar a importância do tema e esclarecer os riscos que a empresa e os próprios profissionais estão sujeitos. Como qualquer providência de organização, o comprometimento das pessoas direta ou indiretamente envolvidas e o direcionamento<em> top-down</em> são absolutamente fundamentais.</p>
<p align="justify">Portanto, o Plano de Adequação se apresenta como ferramenta fundamental e mais adequada no ponto de vista prático para colocar a empresa em compliance com a LGPD, pois reúne de forma direcionada todas as medidas necessárias e viabiliza a conformidade da empresa ponta a ponta, desde de análise da atividade e dos riscos envolvidos até a implementação das providências concretas de ajuste.</p>
<p align="justify">--------------------------------------</p>
<div id="sdfootnote1">
<p align="justify"><a href="#sdfootnote1anc" name="sdfootnote1sym">1</a> Destacam-se em cenário internacional o Foreign Corrupt Practices Act – FCPA dos Estados Unidos e o The England’s Bribery Act de 2010 da Inglaterra. No Brasil, a agenda ganha importância ainda maior a partir da Lei Anticorrupção nº 12.846 de 2013 e o seu Decreto regulamentador nº 8.420 de 2015.</p>
</div>
<div id="sdfootnote2">
<p align="justify"><a href="#sdfootnote2anc" name="sdfootnote2sym">2</a> Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios: [...] X - responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.</p>
</div>
<div id="sdfootnote3">
<p align="justify"><a href="#sdfootnote3anc" name="sdfootnote3sym">3</a> Art. 52. Os agentes de tratamento de dados, em razão das infrações cometidas às normas previstas nesta Lei, ficam sujeitos às seguintes sanções administrativas aplicáveis pela autoridade nacional: [...] §1º As sanções serão aplicadas após procedimento administrativo que possibilite a oportunidade da ampla defesa, de forma gradativa, isolada ou cumulativa, de acordo com as peculiaridades do caso concreto e considerados os seguintes parâmetros e critérios: [...] VIII - a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados, em consonância com o disposto no inciso II do § 2o do art. 48 desta Lei.</p>
</div>
<div id="sdfootnote4">
<p align="justify"><a href="#sdfootnote4anc" name="sdfootnote4sym">4</a> Sobre a criação, estrutura e atribuições da Autoridade Nacional de Proteção de Dados – ANPD veja: <a href="https://www.jota.info/paywall?redirect_to=//www.jota.info/opiniao-e-analise/colunas/direito-digital/a-criacao-da-anpd-e-a-mp-no-869-2018-25012019">https://www.jota.info/paywall?redirect_to=//www.jota.info/opiniao-e-analise/colunas/direito-digital/a-criacao-da-anpd-e-a-mp-no-869-2018-25012019</a>.</p>
</div>
<div id="sdfootnote5">
<p align="justify"><a href="#sdfootnote5anc" name="sdfootnote5sym">5</a> O primeiro é a Lei 12.846/13, que dispõe sobre a responsabilização administrativa e civil de pessoas jurídicas pela prática de atos contra a administração pública, nacional ou estrangeira, e dá outras providências.</p>
</div>
<div id="sdfootnote6">
<p align="justify"><a href="#sdfootnote6anc" name="sdfootnote6sym">6</a> Proposta de Emenda à Constituição n° 17, de 2019. Acrescenta o inciso XII-A, ao art. 5º, e o inciso XXX, ao art. 22, da Constituição Federal para incluir a proteção de dados pessoais entre os direitos fundamentais do cidadão e fixar a competência privativa da União para legislar sobre a matéria.</p>
</div>
<div id="sdfootnote7">
<p align="justify"><a href="#sdfootnote7anc" name="sdfootnote7sym">7</a> Art. 5º Para os fins desta Lei, considera-se: [...] X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.</p>
</div>
<div id="sdfootnote8">
<p align="justify"><a href="#sdfootnote8anc" name="sdfootnote8sym">8</a> Art. 4º Esta Lei não se aplica ao tratamento de dados pessoais: I - realizado por pessoa natural para fins exclusivamente particulares e não econômicos; II - realizado para fins exclusivamente: a) jornalístico e artísticos; ou b) acadêmicos; III - realizado para fins exclusivos de: a) segurança pública; b) defesa nacional;</p>
<p align="justify">c) segurança do Estado; ou d) atividades de investigação e repressão de infrações penais; ou IV - provenientes de fora do território nacional e que não sejam objeto de comunicação, uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência internacional de dados com outro país que não o de proveniência, desde que o país de proveniência proporcione grau de proteção de dados pessoais adequado ao previsto nesta Lei.</p>
</div>
<div id="sdfootnote9">
<p align="justify"><a href="#sdfootnote9anc" name="sdfootnote9sym">9</a> O Relatório é definido no art. 5º, XVII, da LGPD como a “documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.”. Quer dizer, logo em um dos artigos inaugurais e cirúrgicos da Lei, ela traz a importância da confecção de um documento específico que detalha toda a atividade de tratamento para a fiscalização e a quem essa compete.</p>
</div>
<div id="sdfootnote10">
<p align="justify"><a href="#sdfootnote10anc" name="sdfootnote10sym">10</a> Se à empresa competir as decisões referentes ao tratamento de dados pessoais (v.g. quais dados serão coletados e para qual finalidade), será classificada como controladora (art. 5º, VI), porém se apenas realizar o tratamento dos dados sob orientação e comando de outra empresa, será considerada mera operadora.</p>
</div>
<div id="sdfootnote11">
<p align="justify"><a href="#sdfootnote11anc" name="sdfootnote11sym">11</a> Inclusive, no caso de eventual e indesejado incidente de exposição de dados, deverá a empresa, por meio do Encarregado, informar à Autoridade o mais rápido possível (art. 48), correndo o risco de ser sancionada caso não o faça ou atrase injustificadamente tal comunicação. A existência de uma área estruturada é fundamental também nesse aspecto.</p>
</div>


pexels-photo-1342460

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

O que é essencial em todo plano de adequação à Lei Geral de Proteção de Dados?

Compliance e LGPD: Plano de adequação como ferramenta de mitigação de riscos legais

O que é essencial em todo plano de adequação à Lei Geral de Proteção de Dados?