Na Huggy, nós levamos a Privacidade de Dados a sério. E agora, queremos levá-la ao mundo.

A Lei Geral de Proteção de Dados - LGPD é a lei brasileira de tratamento de dados pessoais. Salvo algumas exceções, ela se aplica a qualquer pessoa, física ou jurídica, que exerça atividade de tratamento de dados pessoais*, como é o caso dos parceiros da Huggy que armazenam dados dos clientes para oferecer um atendimento melhor e mais personalizado.

Já a General Data Protection Regulation - GDPR é a lei europeia de tratamento de dados pessoais. Apesar de não estar em vigor no Brasil, obriga a adequação das empresas brasileiras que tratam de dados pessoais de clientes ou usuários residentes em países da União Europeia.

Qualquer atividade de tratamento de dados pessoais deve ser realizada em conformidade com a lei aplicável. Estão inclusos aqui o tratamento de dados de:

• consumidores;
• empregados;
• usuários de aplicativos;
• representantes de empresas parceiras.

Essencialmente, todos os setores das organizações são afetados pelo novo paradigma de tratamento de dados pessoais de alguma forma, mas podemos citar as áreas de Marketing, Vendas, TI, Produtos e RH como as principais.

Todo tratamento de dados pessoais precisa ser realizado com fundamento em uma das hipóteses legais que correspondam a uma finalidade legítima. São exemplos delas:

• consentimento do titular;
• legítimo interesse do agente de tratamento ou de terceiros;
• execução de contrato;
• cumprimento de obrigação legal ou regulatória;
• exercício de direito de defesa em processo judicial ou administrativo;
• dentre outros.

Segundo a legislação, nem sempre o consentimento de uma pessoa é fundamento necessário para o tratamento de dados pessoais, devendo inclusive ser evitado em alguns casos. Por isso, uma análise jurídica de cada tratamento de dados pessoais realizado por uma organização é fundamental para assegurar que há base legal que o legitime.

A ideia, portanto, não é impossibilitar que o tratamento seja realizado, mas que ele seja realizado com segurança, utilizando-se a menor quantidade possível de dados pessoais para se atingir uma finalidade específica e legítima, dando o máximo de transparência ao titular quanto à forma de tratamento.

A LGPD empodera os titulares de dados pessoais, fornecendo-lhes direitos a serem exercidos durante toda a existência do tratamento dos dados pessoais do titular pela instituição detentora da informação.

A Lei prevê um conjunto de diretrizes, obrigações e princípios para os agentes de tratamento que se traduzem em mecanismos que aprofundam obrigações de transparência perante o titular de dados pessoais.

São muitos os direitos trazidos pela LGPD e pela GDPR. Entre eles, destacamos estes cinco:

1 - direito à informação dos titulares dos dados, inclusive de acesso a informações sobre os seus dados pessoais armazenados por terceiros;
2 - retificação de informações incorretas, desatualizadas ou incompletas;
3 - cancelamento de autorização de tratamento de dados;
4 - portabilidade de dados;
5 - exclusão de dados, em algumas hipóteses.

Lembramos que o titular pode solicitar a qualquer momento o atendimento destes direitos aos responsáveis pelo tratamento, que devem manter um canal próprio para o recebimento das solicitações e publicizá-lo nas suas políticas de privacidade.

São muitos os princípios trazidos pela LGPD e GDPR. Entre eles, destacamos estes quatro:

1 - Finalidade – Não é mais possível tratar dados pessoais com finalidades genéricas ou indeterminadas. O tratamento de cada informação pessoal deve ser feito com fins específicos, legítimos, explícitos e informados ao titular;
2 - Necessidade (ou minimização) – As empresas só podem utilizar os dados que sejam de fato necessários para alcançar suas finalidades;
3 - Livre acesso – O titular possui o direito de consultar, de forma simples e gratuita, todos os dados que a empresa custodie a seu respeito;
4 - Transparência – Todas as informações sobre tratamentos de dados pessoais realizadas pela empresa devem estar disponíveis ao titular de forma clara, precisa e verdadeira.

Algumas das principais medidas de um plano de adequação são:

• Mapear as portas de entrada e de saída de dados pessoais na organização;
• Designar um Encarregado de Dados Pessoais (“DPO”) para liderar as ações necessárias ao cumprimento das leis de proteção de dados pessoais e gerenciar as solicitações dos titulares e a comunicação com as autoridades externas;
• Verificar se todos os tratamentos de dados pessoais realizados pela organização têm fundamento em alguma base legal e estão de acordo com os princípios da lei;
• Verificar riscos e pontos de atenção nos tratamentos realizados e traçar planos de ação com instituição de políticas de privacidade e segurança da informação, reformulação de procedimentos e treinamentos de equipe;
• Deixar claro nas suas páginas os objetivos pelos quais está capturando cada um dos dados pessoais, e quais tratamentos realiza;
• Criar canal de atendimento próprio às solicitações de titulares;
• Disponibilizar, retificar ou deletar dados armazenados de um indivíduo caso ele solicite com amparo na Lei;
• Alterar termos de uso, contratos e políticas de privacidade para que reflitam com transparência as circunstâncias do tratamento de dados pessoais na organização.

A adequação à LGPD e à GDPR é um processo contínuo que envolve, inclusive, uma mudança cultural e comportamental nas organizações - envolvendo, por exemplo, a alteração de diversos processos internos.

Por isso é tão relevante o engajamento das lideranças e de todos os setores da empresa para que haja a aderência das ações instituídas nas rotinas de trabalho, através de um processo efetivo de conscientização.

Diversas outras medidas são necessárias e recomendáveis, por isso é importante contar com uma equipe técnica e advogados especialistas em proteção de dados pessoais e no universo digital.