LGPD e Proteção de Dados

A quem a LGPD se aplica

A Lei nº 13.709/2018 alcança qualquer pessoa, física ou jurídica, que trate dados pessoais no Brasil — e não apenas empresas de tecnologia. Uma clínica com prontuários, um escritório com cadastro de clientes, uma loja com programa de fidelidade, um condomínio com controle de acesso, uma campanha eleitoral com base de apoiadores: todos tratam dados pessoais e todos estão sujeitos à lei.

Dois pontos costumam surpreender. O primeiro é que a fiscalização da Autoridade Nacional de Proteção de Dados (ANPD) não é a única consequência: ações de titulares, ações civis públicas e exigências contratuais de clientes maiores costumam chegar antes. O segundo é que dado sensível — saúde, biometria, dado genético, origem racial, convicção religiosa e filiação a partido político — tem regime mais rígido, o que é diretamente relevante para quem atua com campanhas.

Programa de adequação

• Mapeamento de dados — que dados a organização coleta, de quem, por qual meio, para qual finalidade, com quem compartilha e por quanto tempo guarda.
• Base legal — definição da hipótese que autoriza cada tratamento nos arts. 7º e 11 da lei. Consentimento é apenas uma das bases, e frequentemente não é a mais adequada.
• Documentação — política de privacidade, aviso de tratamento, política interna, registro das operações de tratamento e, quando cabível, relatório de impacto à proteção de dados (RIPD).
• Contratos — cláusulas de proteção de dados com fornecedores que atuem como operadores, com definição de responsabilidades, subcontratação e obrigações em caso de incidente.
• Direitos do titular — canal e procedimento para responder a pedidos de acesso, correção, eliminação e portabilidade nos prazos legais.
• Segurança e incidentes — medidas técnicas e administrativas proporcionais ao risco, e plano de resposta a incidentes com definição de quem comunica o quê, a quem e em quanto tempo.

Resposta a incidentes

Vazamentos e acessos indevidos exigem decisão rápida sobre comunicação à ANPD e aos titulares afetados. A avaliação envolve a natureza dos dados, o risco relevante aos titulares e as medidas de mitigação adotadas. O escritório atua na condução dessa análise, na elaboração das comunicações e no acompanhamento de eventual procedimento de fiscalização.

Encarregado de dados como serviço

A lei exige a indicação de um encarregado (DPO), que é o canal de comunicação entre a organização, os titulares e a ANPD. Para organizações que não comportam a função internamente, o escritório assume a atribuição em regime externo, com atendimento a titulares, interlocução com a autoridade e orientação contínua às áreas.

Direito digital

Atuação em remoção de conteúdo ofensivo e desinformação, responsabilidade de plataformas no regime do Marco Civil da Internet, obtenção de dados cadastrais e de registros de conexão por via judicial, e proteção de marca e imagem no ambiente digital — frentes que se cruzam com o Direito Eleitoral em período de campanha.

Perguntas frequentes

A LGPD se aplica a campanhas eleitorais?

Sim, e com atenção redobrada: filiação a partido político é dado pessoal sensível na definição do art. 5º, II da LGPD, submetido a regime mais restrito. Bases de apoiadores, listas de contato para disparo de mensagens e ferramentas de segmentação precisam de base legal definida e de medidas de segurança compatíveis.

Basta publicar uma política de privacidade no site?

Não. A política é a face visível de um programa que precisa existir por trás dela. Publicar uma política que descreve práticas que a organização não adota tende a piorar a situação, porque documenta a divergência entre o declarado e o praticado.

Qual o prazo para comunicar um vazamento?

A lei determina comunicação em prazo razoável, e a ANPD editou regulamentação detalhando prazo e conteúdo da comunicação de incidente de segurança. Como o prazo é curto e contado da ciência do incidente, o plano de resposta precisa estar definido antes de o incidente ocorrer.