A Lei Geral de Proteção de Dados Pessoais (LGPD), sob o número 13.709/2018, entrou em vigor a partir de 18 de setembro de 2020, mas suas sanções (penalidades) entram em vigor a partir de 1º de agosto de 2021, por força da Lei nº 14.010/2020. Ela regulamenta o uso, a proteção e a transferência de dados pessoais tratados dentro do território brasileiro, visando à regulamentação do tratamento desses dados com o objetivo de proteger os direitos fundamentais de liberdade e privacidade. Uma das principais influências na criação da LGPD, é o GDPR (General Data Protection Regulation), lei de proteção de dados que regulamenta a questão para a União Européia. O GDPR é a mais significante legislação recente sobre proteção de dados, que passou a servir de modelo para muitos outros países adotarem disposições semelhantes ou reforçarem políticas pré-existentes.

A Lei se aplica a qualquer pessoa, física ou jurídica (pública ou privada) que faça o tratamento de dados pessoais, inclusive aqueles coletados antes do início de sua obrigatoriedade. A LGPD possui aplicação chamada extraterritorial. Isso significa que a LGPD se aplica independentemente da localização da sede, ou a localização em que os dados são processados. Nesse caso, a lei é aplicável para empresas e organizações que processam dados pessoais de cidadãos brasileiros, independente da localização física da empresa (se os dados pertencem a indivíduos localizados em Brasil, ou se os dados foram coletados no Brasil – casos em que o titular dos dados estava no Brasil no momento da coleta).

Existem quatro tipos de agentes, com papéis e responsabilidades específicas, de acordo com a LGPD: o controlador, o operador, o titular e o encarregado.

Controlador: É a empresa/organização que toma as decisões em relação aos dados pessoais, que define quando e como os dados serão coletados, para quais finalidades serão utilizados, onde e por quanto tempo serão armazenados. Diante da regra de negócio da Secullum, o cliente contratante do serviço de software possui o papel de controlador dos dados.

Operador: É a empresa/organização que realiza o processamento de dados pessoais sob as ordens do controlador. O operador não toma decisões em relação ao uso dos dados. Dentro da regra de negócio da Secullum, a Secullum e a revenda possuem o papel de operador.

O titular: É a pessoa física a quem se referem os dados pessoais. Pode ser, por exemplo, o funcionário de uma empresa que contratou um software Secullum.

O encarregado: É a pessoa física indicada pelo controlador, que atua como canal de comunicação entre as partes (controlador, os titulares e a autoridade nacional), e orienta os funcionários do controlador sobre práticas de tratamento de dados.

O que pode ser considerado um tratamento de dados? Tratamento é qualquer operação realizada com um dado, da coleta ao descarte. A LGPD estipula normas para qualquer ação de tratamento de dados pessoais: como a coleta, classificação, utilização, compartilhamento, reprodução, processamento, arquivamento, armazenamento etc.

• Acesso; • Armazenamento; • Avaliação; • Classificação; • Coleta; • Compartilhamento; • Comunicação; • Eliminação; • Modificação; • Processamento; • Reprodução; • Transferência; • Utilização.

É toda informação (ou conjunto de informações) relativa à pessoa física identificada ou identificável. É importante destacar que a definição de dado pessoal possui uma segmentação: o dado pessoal sensível, caracterizado como toda informação (ou conjunto de informações) que pode acarretar prática discriminatória. Os dados pessoais sensíveis têm proteção maior na LGPD. Veja alguns exemplos e entenda a diferença:

O titular dos dados é qualquer pessoa física que possui seus dados tratados por empresas e organizações. A LGPD prevê ao titular o amplo direito de informação, acesso, correção e eliminação dos dados, bem como o cancelamento do consentimento do uso e tratamento desses dados anteriormente fornecido. Na prática, a mudança aumenta a transparência e o controle do titular sobre uso dos seus dados.