A LGPD reúne aspectos discutidos há algum tempo aqui no Brasil e que estavam fragmentados em legislações diversas – como o Marco Civil da Internet – e foi criada com o objetivo de proporcionar ao cidadão brasileiro um controle maior sobre o tratamento de seus dados pessoais.

Para isso, ela coloca regras que devem ser seguidas tanto por empresas privadas quanto públicas. Ou seja: vale para qualquer negócio.

De acordo com a lei, um dado pessoal é todo aquele que pode vir a identificar uma pessoa física, como número do CPF, data de nascimento, endereço residencial ou e-mail. Mas a LGPD também traz o conceito de dado pessoal sensível, e aprofunda as restrições em relação a seu uso, por se tratarem de dados com maior potencial discriminatório. São eles: origem racial ou étnica; convicção religiosa; opinião política; filiação a sindicato ou a organização de caráter religioso, filosófico ou político; saúde; vida sexual; genético ou biométrico.

A lei se aplica a qualquer operação que envolve o tratamento de dados pessoais e que seja realizada em território brasileiro. Mas e se a empresa for sediada no exterior? Caso ela ofereça bens ou serviços para pessoas localizadas no Brasil e, para isso, coletar dados de usuários, a LGPD também se aplica!

O consentimento do titular é a permissão dada por meio de uma declaração para que a empresa possa coletar e utilizar dados específicos para uma finalidade previamente determinada e esclarecida. Ou seja, é preciso ser sempre claro quando se explica como os dados serão utilizados e também se ater à finalidade prevista.

O controle da LGPD será feito pela Autoridade Nacional de Proteção de Dados (ANPD). Este órgão foi criado para fiscalizar o cumprimento da lei, zelar pela proteção de dados pessoais, elaborar diretrizes e também aplicar as sanções em casos de irregularidade.

A LGPD traz duas figuras importantes:

• o controlador, que é a empresa responsável pela coleta dos dados e pelas decisões sobre o seu tratamento;
• e o operador, que é quem efetivamente irá realizar o tratamento dos dados, seguindo orientações do controlador.

Em casos onde o tratamento de dados não acontece como previsto na lei, os controladores serão responsabilizados. Mas o operador também pode ser penalizado, caso não tenha cumprido ordens passadas pelo controlador.

A penalidade imposta irá depender da avaliação da ANPD, mas pode passar por uma advertência, pela determinação da publicação e divulgação da infração cometida, pelo bloqueio ou eliminação dos dados que sofreram violações, pela proibição geral do tratamento de dados por parte da empresa e também por multas.