Está causando bastante barulho nos bastidores político-econômico a aprovação, pelo presidente da República, da lei 13.709 de 14 de agosto de 2018, que dispõe sobre o uso, a proteção e a transferência de dados pessoais dentro e fora da internet.
Do texto inicial, vetou-se o item que prevê a criação de uma Autoridade Nacional de Proteção de Dados (ANPD), bem como retirou-se da redação original as penalidades mais severas contra as empresas (cassação da autorização de funcionamento).
Baseada no recém-aplicado Regulamento Geral sobre a Proteção de Dados da União Europeia, ela coloca um freio nas pretensões de muitos operadores do mundo virtual. A transmissão de dados pessoais, com a nova lei, será autorizada, gerida e acompanhada pelo usuário; não mais pelas empresas ou poder público.
Em verdade, a nova lei reafirma o básico: proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade de cada indivíduo. E para isso cria uma série de barreiras para que empresas se utilizem de seu perfil virtual sem autorização expressa.
Ela protege dados pessoais, cria barreiras para dados sensíveis, como a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde, vida sexual, genética ou biometria. E exige a devida atenção para as crianças e adolescentes, que estão expostos a um universo de informações sem qualquer filtro.
A Lei irá prevenir e punir situações hoje corriqueiras, tais como o acesso a funcionalidades do smartphone, como agenda e mensagens em aplicativos que não detém qualquer relação com esses, como os games. Outro exemplo: ferramentas de marketing virtual, que vinculam ofertas publicitárias às páginas pessoais depois que realizamos uma pesquisa de compra, poderão ser consideradas ilícitas.
Igualmente, poderão ser questionadas práticas realizadas por instituições financeiras, por exemplo, no uso do score (pontuação); e até mesmo o cruzamento de dados tributários para fins de fiscalização. Exige maior rigor e segurança daqueles que transmitem dados e estipula sanções severas para aqueles que não seguirem as determinações.
Neste sentido, muitas empresas terão que se adequar ao novo cenário legislativo no prazo de 18 meses contados da publicação da lei (vacatio legis). Dentre os pontos que irão interferir no cotidiano dessas está a criação de um canal para que o usuário consulte, altere, bloquei dados desnecessários, realize a portabilidade e exclua em definitivo as informações que possui. A empresa deverá indicar quem será responsável pela gestão dos dados e disponibilizar meios de contato com o mesmo.
Agora, o uso de dados pessoais em qualquer situação dependerá de consentimentos por escrito do usuário, que deverá concordar com a finalidade pretendida, sendo vedado aceites genéricos ou nulos.
Caberá às empresas adotar medidas de segurança, técnicas e administrativa, aptas a proteger os dados pessoais de acessos não autorizados e de eventos acidentais ou ilícitos de destruição, perda, alteração, comunicação ou difusão ou qualquer outra ocorrência decorrente de tratamento inadequado ou ilícito.
A lei de tratamento e a proteção de dados pessoais apresenta no Direito Brasileiro o princípio geral da finalidade da informação, isto é, o dado coletado não pode ser utilizado para outro fim estranho ao solicitado.
Surge um dever de informar o usuário sobre quais dados estão sendo armazenados ou transmitidos para outras empresas, sejam nacionais ou mesmo fora do Brasil, desde que o indivíduo esteja localizado no território nacional.
Para aqueles que descumpriram a lei, as punições vão desde simples advertência até a aplicação de multa que pode chegar a R$ 50 milhões por infração. Resta às empresas iniciar o processo de adequação para acompanhar a nova era e suas regras.
_____________
*Kristian Pscheidt é sócio da Costa Marfori Advogados e doutor em direito político e econômico.