O que é a LGPD e por que ter uma Política de Privacidade
A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 – LGPD) é o marco regulatório brasileiro que disciplina o tratamento de dados pessoais por pessoas físicas ou jurídicas, de direito público ou privado. Vigente desde setembro de 2020, com sanções administrativas aplicáveis desde agosto de 2021, a LGPD transformou profundamente a relação entre empresas e consumidores no Brasil.
A Política de Privacidade é o instrumento pelo qual o controlador de dados cumpre o dever de transparência previsto no art. 9º da LGPD, informando ao titular: quais dados são coletados, para quais finalidades, com quem são compartilhados, por quanto tempo são armazenados e como exercer os seus direitos.
Toda empresa que coleta, armazena, utiliza ou processa dados pessoais de pessoas físicas, seja por meio de site, aplicativo, formulário físico ou qualquer outro meio, deve possuir uma Política de Privacidade atualizada, acessível e redigida em linguagem clara.
Elementos obrigatórios da Política de Privacidade
Para estar em conformidade com a LGPD, a Política de Privacidade deve conter, no mínimo:
- Identificação do controlador: razão social, CNPJ e dados de contato da empresa responsável pelo tratamento dos dados.
- Encarregado (DPO): nome e canal de contato do Encarregado pelo Tratamento de Dados, conforme art. 41 da LGPD.
- Dados coletados e finalidades: quais categorias de dados são tratados e para quais propósitos específicos.
- Bases legais: o fundamento jurídico do tratamento (consentimento, execução contratual, obrigação legal, legítimo interesse, etc.), nos termos do art. 7º da LGPD.
- Compartilhamento: com quais operadores ou terceiros os dados são compartilhados.
- Prazo de retenção: por quanto tempo os dados são mantidos antes de serem eliminados ou anonimizados.
- Direitos dos titulares: como o titular pode exercer os direitos previstos no art. 18 da LGPD.
Direitos dos titulares de dados
O art. 18 da LGPD assegura ao titular dos dados pessoais um conjunto amplo de direitos que devem ser atendidos pelo controlador no prazo de 15 dias úteis:
- Confirmação da existência de tratamento;
- Acesso aos dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
- Portabilidade para outro fornecedor de serviço ou produto;
- Eliminação dos dados tratados com consentimento;
- Informação sobre compartilhamento com terceiros;
- Revogação do consentimento;
- Petição à Autoridade Nacional de Proteção de Dados (ANPD).
A Política de Privacidade deve indicar claramente o canal para exercício desses direitos, preferencialmente o e-mail do DPO.
Sanções por descumprimento da LGPD
O art. 52 da LGPD prevê sanções administrativas aplicáveis pela ANPD às empresas que descumprirem a lei, incluindo:
- Advertência com indicação de prazo para adoção de medidas corretivas;
- Multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração;
- Multa diária observado o limite total acima;
- Publicização da infração após devidamente apurada e confirmada;
- Bloqueio ou eliminação dos dados pessoais a que se refere a infração;
- Suspensão parcial ou total do banco de dados por até 6 meses, prorrogável.
Além das sanções administrativas, a empresa pode responder civilmente por danos causados aos titulares em razão do tratamento inadequado de dados pessoais, com inversão do ônus da prova em favor do titular consumidor (art. 42 e 43 da LGPD).