5 anos da LGPD em vigor: 5 pontos de atenção
No dia 18 de setembro de 2025, a Lei Geral de Proteção de Dados Pessoais (“LGPD”) completará 5 anos em vigor. Se uma música pudesse representar o que aconteceu com a interpretação da legislação nesse período, ela possivelmente teria os versos iniciais de uma conhecida canção de Adriana Calcanhotto: “Nada ficou no lugar, eu quero quebrar essas xícaras”.
No primeiro quinquênio da já não tão nova legislação de proteção de dados, muitas coisas mudaram no que tange à aplicação da lei e sua interpretação pela Autoridade Nacional de Proteção de Dados (“ANPD”). Há 5 pontos que merecem atenção especial, considerando o impacto que trazem para os programas de governança em privacidade e proteção de dados de qualquer organização:
1. Encarregado
Com a edição do Regulamento sobre a atuação do Encarregado pelo tratamento de dados pessoais, a ANPD trouxe maior clareza sobre o que se espera dessa posição e criou regras novas, não previstas na LGPD.
Além de um Encarregado titular, os controladores devem também nomear um substituto, para os casos de vacâncias, ausências ou impedimentos do titular. A identidade dos Encarregados (titular e substituto) deve ser divulgada em políticas e avisos de privacidade, e os profissionais escolhidos para exercer a função devem falar português fluente. Uma avaliação para garantir que não haja conflito de interesses no exercício da função de Encarregado deve ser realizada antes da sua nomeação.
2. Comunicação de incidentes de segurança
Em abril de 2024, a ANPD publicou o Regulamento de Comunicação de Incidente de Segurança, estabelecendo os requisitos para a comunicação de eventos dessa natureza, como o prazo de 3 dias úteis a partir da data de conhecimento do incidente para seu reporte à ANPD e aos titulares afetados.
Além disso, o regulamento também especifica quais critérios devem ser avaliados pelo controlador para identificar se determinado incidente pode resultar em risco ou dano relevante aos titulares de dados afetados, e cria novas obrigações documentais, como a necessidade de produzir um registro de incidentes de segurança ocorridos nos últimos 5 anos.
3. Transferências internacionais
Se a sua empresa transfere dados pessoais para fora do Brasil, é importante atentar às regras previstas no Regulamento de Transferência Internacional de Dados, aprovado pela ANPD em agosto de 2024.
Um dos pontos previstos na norma e que merece atenção diz respeito à necessidade de eventuais ajustes em políticas ou avisos de privacidade, que precisam conter um tópico específico para abordar o tema das transferências internacionais, inclusive listando para quais países os dados serão transferidos.
Também é fundamental garantir que eventuais transferências para fora do país sejam pautadas em um mecanismo de transferência específico, como as cláusulas-padrão contratuais aprovadas pela ANPD.
4. Bases legais
Não há na legislação qualquer obrigação expressa determinando que o controlador informe ao titular quais bases legais são utilizadas para pautar o tratamento de seus dados pessoais. Quando se verifica o art. 9o da LGPD, por exemplo, percebe-se que a indicação das bases legais não consta como uma das informações que deve ser obrigatoriamente apresentada em avisos de privacidade.
Ainda assim, a ANPD tem adotado a visão de que a base legal de tratamento deveria ser informada ao titular. Assim, talvez seja conveniente revisar seu aviso de privacidade para incluir essa informação, alinhando-se ao posicionamento da Autoridade.
5. Relatório de impacto
Embora ainda não tenham sido regulamentados os casos em que a elaboração de relatórios de impacto à proteção de dados é obrigatória, uma manifestação recente da ANPD indica que o relatório deve ser elaborado toda vez que a operação de tratamento implicar nível de risco elevado para a garantia dos direitos dos titulares.
A visão da Autoridade é a de que os princípios da prevenção, da segurança e da responsabilização e prestação de contas já são suficientes para exigir a elaboração do relatório de impacto, ainda que o tema esteja pendente de regulamentação pela ANPD.
As mudanças promovidas nos temas citados acima nos últimos 5 anos deixam claro que a conformidade com a LGPD não é uma corrida com linha de chegada, mas um esforço contínuo e perene.
>>> Este conteúdo faz parte da BMA Review #88. Clique aqui e leia outros artigos.
