O início da vigência da Lei Geral de Proteção de Dados (LGPD) e os principais riscos para as empresas

Autor convidado: André H. Paris, autor do Livro “Compliance – Ética e Transparência como Caminho”. Certified Information Privacy Manager (CIPM) pela International Association of Privacy Professionals (IAPP). Certified Compliance and Ethics Professional-International (CCEP-I) pelo Compliance Certification Board (CCB). Certificação Profissional em Compliance Anticorrupção – CPC-A pelo LEC Certification Board. Mestre em Direito Processual pela Universidade Federal do Espírito Santo (UFES). Ll.m em Direito Societário pela FGV.

O Senado Federal aprovou, no último dia 26 de agosto, a MP º 959/2020, proposta pelo Governo Brasileiro, que adiava o início da vigência da Lei Geral de Proteção de Dados (LGPD) para meados de 2021. Apesar da validação legislativa da Medida Provisória, o artigo específico que determinava este adiamento não foi aprovado, apenas suas demais disposições.

Desse modo, o adiamento anteriormente previsto não será mantido e, assim que a Presidência da República (dentro de 15 dias úteis contados a partir do dia 26) sancionar ou vetar o projeto de lei, a LGPD terá imediato vigor.

A Lei Geral de Proteção de Dados foi aprovada no mês de agosto de 2018 e seu principal objetivo é orientar as empresas acerca da forma adequada para a condução de suas atividades de tratamento de dados pessoais e para a promoção da proteção dos dados pessoais sob sua custódia. Independentemente do início da vigência da Lei (ou de suas sanções administrativas – ainda adiadas para meados de 2021), é essencial que as empresas do país já iniciem seu processo de adequação. A experiência até o momento de adequação das organizações às obrigações trazidas pela norma geral brasileira tem mostrado que os projetos de preparação, dependendo do porte da empresa, podem demorar entre oito e 12 meses para completarem todas as etapas necessárias. Afinal, são inúmeras as exigências previstas pela LGPD.

Além disso, na prática, autoridades públicas, como o Ministério Público, já estão fiscalizando e buscando penalizar empresas que não deram o tratamento devido aos dados pessoais utilizados em suas atividades de tratamento, ou que não foram capazes de proteger os dados sob sua custódia (só lembrar dos recentes casos do Banco Inter, Facebook, Uber etc.).

Ainda, com o início da vigência das demais disposições da Lei Geral de Proteção de Dados, os direitos nela previstos já poderão ser exercidos pelos titulares e terem seu cumprimento exigido perante as empresas. A inobservância de tais direitos por parte das organizações pode originar ações judiciais (tanto individuais ou coletivas) em desfavor da empresa (fazendo-as dispender recursos para defender-se judicialmente e para arcar com eventuais condenações que lhe venham a ser aplicadas).

As empresas já estão vulneráveis e a jornada de adequação é longa.