A partir deste domingo (1º) multas e demais punições referentes a possíveis infrações da Lei Geral de Proteção de Dados (LGPD) começam a ser aplicadas. A legislação atual prevê multas diárias que podem chegar a 2% do faturamento líquido de empresas com base no balanço do ano anterior, algo que, na prática, pode chegar até R$ 50 milhões – valor máximo previsto pela legislação atual.
Além disso, as empresas que passarem por essa sanção podem sofrer também advertências que culminem no bloqueio de banco de dados pelo período de até seis meses.
Essa última punição, em especial, pode ser ainda mais prejudicial do que a multa em si, visto que basicamente todas as companhias hoje funcionam por meio de dados e ter um banco bloqueado pode causar a interrupção da operação do negócio – e, dessa forma e a depender da extensão do caso, o prejuízo pode ser ainda maior do que apenas o montante referente à multa.
A expectativa, no entanto, é de que no início as multas com altos valores ou penalidades mais graves não sejam implementadas de bate-pronto, explica Luiza Sato, sócia da área de proteção de dados, direito digital e propriedade intelectual do ASBZ Advogados.
Na visão da especialista, primeiramente espera-se que haja "aumento da conscientização de empresas e titulares de dados quanto às regras da LGPD", o que deve resultar principalmente na aceleração das atividades de conformidade à Lei para o segundo semestre deste ano, ainda segundo Luiza.
Evolução e punição
A LGPD é responsável por regulamentar a maneira como os dados de pessoas físicas são coletados, utilizados e protegidos no Brasil e entrou em vigor oficialmente em setembro do ano passado .
Às empresas, coube a responsabilidade de se adequarem e garantirem que as diretrizes necessárias fossem postas em prática internamente.
Na era da transformação digital, a computação em nuvem surgiu como resposta para muitas empresas que precisavam encontrar maneiras de lidar com seus dados. Nesse cenário, adotar um serviço de nuvem, seja ela pública ou privada, se tornou premissa básica para muitas organizações.
Para esses dados, também há de ter o mesmo cuidado aplicado em informações internas. Henrique Vaz, CEO da CleanCloud, especializada em segurança da nuvem, explica que a LGPD engloba tanto o uso de infraestruturas internas quanto de serviços terceiros.
"A LGPD engloba a parte legal, como contratos, NDAs e termos de uso, mapeamento de dados, com processos e treinamentos, e a tecnologia, subdividida entre softwares de terceiros e infraestrutura da empresa", explica ele, em entrevista ao Olhar Digital.
No caso de um vazamento de dados, por exemplo, a empresa que fez a coleta tem sua parcela de responsabilidade no manejo dessas informações, mesmo que quem tenha sofrido o vazamento tenha sido um serviço externo. "Se houver um vazamento de dados da nuvem pública que contenha informações pessoais ou sensíveis conforme definidas pela lei, a empresa estará sujeita às sanções da LGPD", aponta.
Ou seja, para mitigar o risco, empresas que utilizam infraestruturas de nuvem pública ou privada para armazenamento de dados devem ter também o cuidado de garantir que essas informações que não estão 'dentro de casa' estejam em consonância com as diretrizes de proteção previstas pela Lei.
"O foco deve ser em assegurar que a configuração da nuvem pública, que estão ligadas com as regras de negócio de cada empresa, estão de acordo com os princípios de proteção de dados estabelecidos pela LGPD", aponta.
Nesse sentido, é papel das companhias estabelecer uma política de acesso aos dados adequada, bem como a encriptação das informações sensíveis, sugere o executivo.
Eber de Meira Ferreira, advogado especializado em direito civil da Peluso, Stupp e Guaritá Advogados, também com atuação em projetos para a área de Proteção de Dados e Privacidade, destaca que as sanções podem ser aplicadas mesmo nos casos em que não há vazamentos.
"As sanções poderão ser aplicadas pela mera desconformidade ao que disciplina a Lei na forma de tratar os dados pessoais, ainda que não haja a ocorrência de um incidente de vazamento de dados", comenta, complementando que a chegada das punições decorrentes da LGPD "marca a plena vigência da Lei Geral de Proteção de Dados e deve ser vista como mais um alerta àqueles que ainda não buscaram se adequar às suas exigências".