O projeto de lei 5.762/19 que busca prorrogar por dois anos, de agosto de 2020 para agosto de 2022, a vigência da LGPD embasa o pedido em estudo publicado pela Brazil IT Snapshot, o qual aponta que somente 24% das empresas pesquisadas possuem orçamento específico para colocar em prática ações para implantação de medidas de proteção de dados em linha com as exigências da LGPD, a morosidade na instalação da Autoridade Nacional de Proteção de Dados (ANPD) e o consequente prejuízo para discussão das propostas de regulamentação até agosto de 2020, resultando na insuficiência de tempo para as empresas se adequarem.
Contudo, o governo brasileiro repetidamente insere a proteção de dados em algumas discussões e movimentações, promovendo e fomentando a relevância do tema, mesmo antes da lei entrar em vigor.
Cenário mundial
Discussões acerca da privacidade e necessária proteção dos dados pessoais estão em evidência no mundo inteiro. Não há como o Brasil manter-se alheio, pois para manter e incrementar a competitividade econômica a proteção de dados é indispensável. Isto porque a União Europeia em sua Lei Geral de Proteção de Dados (General Data Protection Regulation - GDPR), vigente desde Maio de 2018, aponta que para haver negócios e trocas de dados internacionais entre empresas, o país alvo deve possuir legislação de proteção de dados igual ou superior ao seu nível de proteção. A LGPD foi inspirada na GDPR e, portanto, estaria apta a cumprir este requisito. Seguindo a GDPR, em janeiro de 2020, entrou em vigor na Califórnia - EUA, o CCPA (California Consumer Privacy Act). Desta forma, enquanto A LGPD não entrar em vigor, o Brasil ficará em desvantagem no mercado mundial.
Estratégia nacional de segurança cibernética (e-ciber)
Aprovada pelo decreto 10.222/20, publicado em 06 de fevereiro, traz a orientação do Governo Federal à sociedade sobre as ações pretendidas na área de segurança cibernética para o período de 2020 a 2023. Dentre as diversas diretrizes e no que tange a LGPD, a estratégia enfatiza a sua importância, reforça que o risco de crimes cibernéticos também atinge empresas pequenas e médias, e destaca a importância do uso de padrões de privacy by design e default no desenvolvimento de novas soluções pelas empresas.
Organização de cooperação e desenvolvimento econômico - OCDE
Constitui um grupo dedicado à cooperação e discussão de políticas públicas e econômicas que guiam os países membros. O Brasil pediu formalmente para ingressar no grupo e, em 14.01.20, a embaixada americana divulgou nota afirmando que “os Estados Unidos querem que o Brasil seja o próximo país a iniciar o processo de acessão à OCDE”. Para entrar é necessário cumprir uma série de requisitos técnicos e político-diplomáticos, dentre eles possuir uma legislação de proteção de dados e uma autoridade independente e capaz de fiscalizar o seu cumprimento. Para a OCDE, ter uma lei de proteção de dados significa que o país garante a proteção mínima a partir de princípios como transparência, finalidade, necessidade, adequação, entre outros. A tendência é de que o governo aproveite o apoio norte-americano e adote medidas que visem acelerar o atendimento aos requisitos exigidos para sua aceitação no grupo.
Diante disto, é possível que as propostas de prorrogação da vigência da lei de proteção de dados não prosperem.
Poder público
Ainda fora da vigência da Lei de Proteção de Dados, vemos que o Poder Público tem adotado uma postura rígida no que tange a proteção de dados pessoais, especialmente diante dos inúmeros casos noticiados de graves vazamentos ocorridos ao redor do globo. No Brasil, a título exemplificativo, citamos algumas multas aplicadas:
a) Multa de R$ 6.6 milhões aplicada ao Facebook pelo Ministério da Justiça e Segurança Pública, que, por meio do Departamento de Proteção e Defesa do Consumidor, em razão do compartilhamento indevido de dados de usuários brasileiros no caso Cambridge Analytica.
b) Netshoes firmou Termo de ajustamento de conduta (TAC) com o Ministério Público do Distrito Federal e Territórios (MPDFT) após o vazamento de dados de quase 2 milhões de clientes em 2018 no valor de R$ 500 mil.
c) Apple e Google receberam multa do Procon-SP no valor de R$ 7.7milhões e R$ 9.9 milhões, respectivamente, após vazamento de dados através do FaceApp.
Ademais e sem adentrarmos na discussão da plausibilidade da aplicação da lei antes de sua entrada em vigor, vemos algumas inovações aplicadas pelo Poder Público. O Ministério Público do Distrito Federal e Territórios (MPDFT) propôs ação civil pública em face da empresa de telefonia Vivo para que apresente Relatório de Impacto à Proteção de Dados Pessoais (Data Protection Impact Assessment – DPIA), para tratamento de dados coletados para a utilização do produto “Mídia Geolocalizada” do serviço Vivo Ads, plataforma utilizada pela empresa para o rastreamento da geolocalização de seus usuários. Já a juíza da 1ª Vara da Fazenda Pública da Comarca de São Paulo, em decisão liminar proferida em 12.02.20, em ação ajuizada pela Defensoria Pública do Estado de São Paulo (e outros) em face da Companhia Metropolitana de São Paulo, para produção de provas acerca do banco de dados do sistema de monitoramento eletrônico com reconhecimento facial, utilizou-se da lei 13.709/18 como parâmetro do pedido de prova documental sobre a análise de impacto de proteção de dados, contendo os dados que serão coletados e tratados e a base legal para a coleta, entre outros.
Por fim, a proteção de dados está em evidência no cenário mundial e toda a movimentação do Poder Público, aqui demonstrada, indica que o tema tem relevância extrema. A prorrogação da vigência da LGPD, neste momento, seria um contrassenso e enfraqueceria o tema perante o mercado e a sociedade, o que resultaria em desvantagem econômica para o país no mercado internacional, passando uma mensagem negativa e gerando descrédito para os investidores estrangeiros.
___________________________________________________________________________
*Verônica Martin Batista dos Santos é advogada, especialista em compliance pela Legal Ethics Compliance, L.LM Business & Law pelo IBMEC, experiência em departamento jurídico no mercado financeiro, membro do Compliance Women Committee.
*Aline Melsone Marcondes Trivino é advogada, especialista em Direito Penal e Processual Penal, especialista em crimes informáticos. Professora na pós-graduação em Compliance Digital e Proteção de dados. DPO certificada.