Origem da LGPD e fatores que motivaram a sua criação

Por Drª Karla Penna

No início, antes de ser promulgada, a Lei Geral de Proteção de Dados (“LGPD”) era um ensaio legislativo, com diversos anteprojetos em tramitação, que acabaram sendo arquivados. Uma série de fatores (veja o quadro abaixo) confluíram para que a ideia de constituir uma Lei única para proteção de dados no Brasil avançasse até a promulgação.

Cronologia

2018 – A Lei Geral de Proteção de Dados (“LGPD”) teve sua promulgação em 14 de agosto.

2019 – Para ganhar robustez, a LGPD foi aditada pela Lei nº 13.853/2019, sendo criada a Autoridade Nacional de Proteção de Dados (“ANPD”) e melhor delimitadas as sanções administrativas em caso de descumprimentos.

2020 – A LGPD entrou em vigor (i.e. se tornaria executável e fiscalizável), a pandemia de COVID-19 assolava as atividades das empresas, que alegaram não estarem aptas para atender os requisitos previstos pela LGPD, tampouco as solicitações dos titulares de dados. Em razão disso a LGPD foi novamente aditada, pela Lei nº 14.010/2020, restando definido que todos os artigos da Lei entrariam em vigor em agosto de 2020,

2021 – Os artigos referentes às exceções das sanções administrativas tornaram-se exequíveis em agosto. A ANPD passou então a ter o direito legal de fiscalizar e aplicar as sanções administrativas, que vão desde advertências a multas de até R$ 50 milhões e paralização das atividades de tratamento de dados.

Atuação da ANPD

Até 2022 a ANPD não possuía a musculatura necessária para exercer seu papel, de modo que o Presidente da República, através da Medida Provisória nº 1.124/2022, transformou a ANPD em autarquia de natureza especial (leia-se: desvinculou a ANPD da Presidência para que ela possua maior autonomia).

Agora a ANPD possui estrutura para atuar frente às empresas e fazer valer a LGPD, que, inclusive, recebeu uma dose de reforço, através da emenda constitucional nº 115/2022, que incluiu a proteção de dados pessoais entre os direitos fundamentais do cidadão brasileiro.

Ocorre que a ANPD, mesmo com o seu fortalecimento, ainda não multa as empresas, por entender que primeiro é necessário verificar o nível de compliance com a LGPD. É como o próprio presidente da ANPD explicou: “Nossa ideia sempre é consultar as empresas ao recebermos qualquer notificação, buscarmos todas as informações, conversarmos, para, a partir daí, começarmos uma atuação”[1]

LGPD na prática – Cases

Embora os agentes de tratamento de dados pareçam menos propensos a se tornarem alvo de uma autuação por descumprimento da LGPD, uma vez que a esfera administrativa está andando a passos lentos, a esfera judicial já está condenando empresas que não estejam em conformidade.

Alguns casos já são emblemáticos, como o processo ajuizado contra a Claro, no qual restou comprovado o acesso de terceiros às informações registradas nos cadastros de serviços de proteção ao crédito (Serasa) e, em razão de tal acesso indevido, o consumidor teve seu score de crédito impactado negativamente, causando-lhe prejuízo financeiro[2].

Outro caso veiculado pela mídia foi o de um banco que contratou em nome de seu cliente idoso, um empréstimo consignado, sem a sua autorização. O banco alegou que a contratação foi feita por um intermediário e que não poderia ser responsabilizado. O juiz concedeu danos morais ao idoso por considerar que a conduta do banco, além de ser uma prática fraudulenta, violou o princípio da boa-fé e a LGPD[3].

Há, inclusive, um site[4] da Associação Nacional dos Profissionais de Privacidade de Dados (“ANPDD”) que lista os casos judiciais que envolvem questões de privacidade e condenações com base na LGPD, servindo como um termômetro para os agentes de tratamento.

Ou seja, as empresas não podem ainda respirar aliviadas pois, por mais que a ANPD não impute as sanções administrativas sem o devido processo legal, os titulares de dados solicitam ativamente seus direitos na Justiça, sujeitando, por conseguinte, as empresas a riscos patrimoniais e reputacionais.

Tanto é, que os órgãos de defesa ao consumidor como o Programa de Proteção e Defesa do Consumidor (“PROCON”) e o Ministério Público também vêm questionando vazamentos de dados e demais ações ilícitas realizadas pelos agentes de tratamento.

Exemplo disso foram as autuações realizadas pelo PROCON nas empresas Leroy Merlin, Privália, James e Centauro, em razão de seus sites e aplicativos possuírem termos de uso abusivos e políticas de privacidade e cookies em inobservância em relação à LGPD[5].

O Grupo Raia Drogasil também foi fiscalizado pelo PROCON e recebeu uma multa de R$ 572 mil, por coletar dados pessoais e biometria dos titulares sem a devida clareza sobre o tratamento que será realizado: demonstrando também falta de treinamento dos funcionários para aplicação da LGPD[6].

Próximos passos

Em resumo, nos últimos dois anos de LGPD houve um avanço legislativo, reforçando a privacidade e proteção de dados dos brasileiros a nível constitucional, assim como a estruturação de uma autoridade competente (ANPD) para agir perante os agentes de tratamento.

Também nesse biênio o Poder Judiciário e os órgãos de proteção do consumidor vêm atuando como fiscais da Lei, coibindo práticas prejudiciais aos titulares de dados, mediante a imposição de sanções como multas às empresas e publicização das autuações.

Nos próximos 2 (dois) anos não sabemos se haverá uma inversão de atividades entre as esferas administrativa e judicial, porém, pelo que foi visto até agora, é possível concluir que a LGPD veio para melhorar as relações de consumo, relações de trabalho e relações governamentais, agregando, desta forma, valor às empresas que estão em conformidade.

Gostou do artigo? Deixe seus comentários e compartilhe suas impressões. E se você tem interesse, dúvidas ou questões pendentes sobre este assunto, consulte nossa equipe.

………………………………………………….

Drª Carolina Carmagnani, advogada Especialista em Direito Empresarial e Digital. Sócia na LFPKC Advogados.