LGPD: Direitos dos usuários passam a valer caso MP 959 caduque
O Congresso decide nesta semana se a medida provisória 959/20, que jogou para maio de 2021 a vigência da LGPD, será convertida em lei ou se perderá a validade. Caso convertida em lei, o relatório que se conhece até o momento retira o artigo que trata da LGPD.
Nos bastidores, políticos e governo ainda negociam. Há expectativa de adiamento da vigência da LGPD para dezembro deste ano, em um possível meio termo. O setor empresarial defende, no entanto, adiamento até maio. No terceiro setor a posição é inversa, e defende-se a vigência imediata, até como forma de pressionar o governo à criar de uma vez por todas a Autoridade Nacional de Proteção de Dados Pessoais (ANPD).
Na hipótese da entrada em vigor imediatamente caso a MP 959 perca a validade, haverá adaptação sumária por parte das empresas. Para especialistas ouvidos pelo Tele.Síntese, no entanto, boa parte das grandes companhias já se preparou.
Quem mexe com enormes volumes de dados está pronto para atender os usuários – uma vez que este capítulo da LGPD independe da ANPD. Em resumo, passando a lei a vigorar, os direitos dos titulares dos dados (os clientes das empresas) passam a valer imediatamente.
Os direitos dos titulares aparecem no capítulo terceiro da LGPD, no artigo 18, estabelecem que as empresas são obrigadas a:
- confirmar aos clientes que fazem tratamento de dados
- oferecer meios de acesso aos dados por parte do titular
- permitir correção desses dados, garantir anonimização
- bloqueio ou eliminação de dados desnecessários e excessivos
- eliminar dados tratados com o consentimento dos titulares (há algumas exceções no entanto)
- informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados
- informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa
- revogação do consentimento
Um dos pontos que não entrará em vigor é a garantia de portabilidade dos dados, uma vez que isso depende de regulamento da ANPD, que sequer foi criada até o momento, mesmo após dois anos da sanção da LGPD. Em compensação, empresas ficam proibidas de comercializar dados a terceiros sem autorização expressa dos titulares.
Governança
Para Raphael Dutra Campos, sócio da área de Privacidade e Proteção de Dados do escritório CTA Advogados, as empresas e o setor público já vinham se preparando e, por isso, diz achar difícil que haja surpresas. Ainda assim, reforça que na entrada em vigor todos deverão ter nomeado já um DPO, um responsável pela governança dos dados.
“As empresas também devem já ter revisto contratos para adequar a relação com terceiros no tratamento de dados, uma vez que o controlador dos dados poderá acionar operadores desses dados, mas são também responsabilizadas em caso de falha do terceiro”, lembra.
As empresas de grande porte estão mais sujeitas à vigência da lei. Embora a LGPD afete também pequenas e startups, há nas regras previsão de regulamento específico a ser elaborado pela ANPD – que ainda não foi criada.
Para falar com os clientes, as as empresas não precisam ter páginas ou portais na internet. “Precisam estruturar novo processo de disposição dos dados dos titulares, pode ser um site, mas pode ser um email de contato com o DPO”, diz, lembrando que ter um portal seria a forma mais transparente de ação, no entanto.
Direitos válidos, mas sem prazos
Para Rony Vainzof, sócio do Opice Blum, Bruno, Abrusio e Vainzof Advogados, há uma pegadinha na vigência dos direitos dos titulares. A seu ver, os clientes poderão requisitar informações para as empresas e outras ações, mas apenas as informações deverão ser efetivadas. Isso porque cabe à ANPD estabelecer prazos.
“A empresa tem que ter um canal aberto com o titular dos dados para que ele possa exercer esses direitos. Tem de ser capaz vai avaliar a autenticação dos titulares. E tem que atender essas demandas dos titulares com um relatório simples. Mas se o controlador não atender, caberá à ANPD, que não foi criada, receber as reclamações e implementar um mecanismo online de resolução de disputas entre empresas e titulares”, prevê.
Ele ressalta que há a possibilidade de uma chuva de emails sobre atualização de termos de serviços na caixa postal dos usuários de serviços, mas que outras saídas podem ser tomadas, como a adoção de técnicas “visual law” no site das empresas, ou seja, exibição mais simples e didática do que há de novo nos termos de serviço.
Apesar dessas previsões, Vainzof é crítico da situação em que se chegou. Para ele, caso a MP 959 caduque, haverá grande insegurança jurídica. “O Congresso vai ter que editar um decreto legislativo só pra regular as relações jurídicas no período retroativo”, avalia. Além disso, o Judiciário ficará sem o apoio técnico da ANPD para julgar ações que envolvam privacidade e dados pessoais.
Avalanche de ações
O advogado e diretor executivo na Associação Data Privacy Brasil de Pesquisa Rafael Zanatta também vê riscos aos direitos dos usuários não serem efetivados pela ausência da ANPD para fiscalizar e definir prazos. “As empresas estão sendo bem mais transparentes e estão dizendo para as pessoas que usam os dados. Mas as LGPD não estipulou prazos para as demais ações. Então quem solicitar os próprios dados para uma empresa não tem tempo para receber resposta”, exemplifica.
Ele diz que a entrada em vigor da LGPD pode abrir a janela para uma avalanche de pedidos de informação e ações judiciais contra empresas e órgãos públicos que não atendam os requisitos da lei que independem da ANPD, a exemplo do que ocorreu em outros países.
“Isso aconteceu na Europa, onda assim que a GDPR entrou em vigor, vários grupos de usuários fizeram pedidos de acesso aos dados para testar a lei”, diz. Mas, a seu ver, as empresas já estão preparadas. “Até os termos de serviço da minha TV já foram atualizados. Grandes grupos, como UOL, Globo, Netflix, operadoras, atualizaram seus termos de serviço. Quem tem mais risco já se movimentou”, conclui.
