A regulamentação da LGPD
Em setembro deste ano, a Lei Geral de Proteção de Dados Pessoais (LGPD) completará seu terceiro aniversário de vigência (com exceção das sanções previstas na legislação, que somente entraram em vigor posteriormente, no dia 1º de agosto de 2021).
De setembro de 2020 para cá, muita coisa mudou no ambiente regulatório de privacidade e proteção de dados no Brasil, tema que antes trazia pouca (ou nenhuma) preocupação para empresas brasileiras que não fazem negócios em outros países, mas que passou a se tornar fundamental para a manutenção da relevância de todas as organizações no mercado nacional e internacional.
Hoje, quem não está em conformidade com a LGPD perde negócios, especialmente com organizações que já estabeleceram programas de governança em privacidade e proteção de dados, uma vez que a contratação de terceiros que não tenham condições de comprovar sua aderência à legislação pode trazer riscos relevantes à contratante.
Basta ver que quase não se encontram mais contratos firmados a partir de setembro de 2020 que não tragam disposições específicas sobre aspectos de proteção de dados, muitas vezes impondo declarações e garantias robustas de que a parte contratada possui medidas de segurança apropriadas, planos de resposta a incidentes, pessoas qualificadas para atuar como DPOs, dentre outras condições minuciosas a respeito do tema. E quem se recusa a assinar estas cláusulas por não ter como cumpri-las está fora do jogo.
Ainda que a LGPD tenha tomado essa proporção grandiosa, mesmo após quase três anos de sua vigência continua faltando um aspecto primordial para a legislação: segurança jurídica. A norma, na forma como foi editada, deixou a cargo do regulador a definição de vários pontos centrais para a sua aplicação.
Desde a sua entrada em vigor, alguns desses pontos já foram endereçados pela ANPD, tais como a estruturação de regras específicas para agentes de tratamento de pequeno porte, a regulamentação do processo de fiscalização e do processo administrativo sancionador e, mais recentemente, a disposição sobre a dosimetria e a aplicação das sanções administrativas previstas na LGPD.
Faltam, contudo, regulamentações importantes para que os agentes de tratamento possam cumprir integralmente a legislação. Afinal, como se pode atuar em total conformidade com a norma se ainda não há definição a respeito de transferências internacionais de dados, do prazo legal para a comunicação de incidentes de segurança ou das medidas mínimas de segurança de informação que devem ser adotadas por controladores e operadores?
Nesse cenário, a conclusão é evidente: mesmo as organizações que já implementaram esforços significativos para garantir a sua conformidade à LGPD, com o estabelecimento de um programa de governança robusto, precisarão rever os trabalhos que foram feitos nesse sentido até agora e ajustar lacunas que passarão a existir quando a regulamentação da LGPD estiver enfim completa.
>>> Este conteúdo faz parte da BMA Review 80. Clique aqui para ler mais artigos.
