A Lei Geral de Proteção de Dados Pessoais (LGPD) tem por finalidade garantir proteção aos direitos de pessoas físicas no que diz respeito ao tratamento de dados pessoais pelas empresas e pessoas físicas que tratam com fins econômicos os dados pessoais. Tratamento de dados pessoais se refere a qualquer ação que pode ser realizada com um dado pessoal, a exemplo, uso, processamento, arquivamento, compartilhamento e descarte.
Porém, antes da vigência da LGPD, já tínhamos o Marco Civil da Internet (Lei 12.965/14) regulando o acesso à internet, sendo essencial ao exercício da cidadania, e garantindo ao usuário o direito à publicidade e à clareza de eventuais políticas de uso de organizações que fornecem serviços através da internet.
- A LGPD trouxe como dever a necessidade das empresas respeitarem os direitos dos titulares através de medidas e regras, em conformidade com os princípios do art. 6º da LGPD:
- Da finalidade, quando só é possível usar o dado pessoal se tiver um propósito legítimo para tal;
- Da necessidade, quando realiza a uso do dado pessoal dentro do limite necessário para desenvolvimento da finalidade;
- Da transparência, no qual o titular dos dados pessoais deve ser informado sobre como seus dados pessoais estão sendo tratados.
Em razão do último princípio mencionado, o da transparência, ratificou-se a obrigação legal que surgiu com o Marco Civil da Internet de implementar na empresa a Política de Privacidade, que vai informar para o titular de dados que a empresa respeita e protege os dados pessoais tratados, quem são os agentes de tratamento, ou seja, quem é o controlador dos dados, e se existe compartilhamento aos operadores de dados.
Toda empresa deve constituir sua Política de Privacidade e inserir em local de fácil acesso, a exemplo e mais frequente, em página específica no site para que o titular antes de depositar seus dados pessoais à empresa, faça a leitura e analise os possíveis riscos existentes.
O que é política de privacidade
A Política de Privacidade é, como dito acima, uma obrigação legal, através de um documento jurídico que compõe um conjunto de esclarecimentos que descreve às pessoas físicas como os dados pessoais são utilizados na organização.
Portanto, ela tem por fim, com base no princípio da transparência e do Marco Civil da Internet, informar precisamente e esclarecer aos titulares de dados pessoais como as suas informações pessoais são utilizadas.
O documento deve ser elaborado de forma personalíssima, entendendo a realidade de cada empresa, com informações de quais dados são tratados, quais medidas de segurança são utilizadas, com quem compartilha os dados pessoais, qual canal de comunicação relativo à proteção de dados a empresa possui, quais sistemas a empresa utiliza, quem tem acesso aos dados pessoais tratados; em caso de site ou aplicativo, quais cookies são utilizados, entre outros esclarecimentos.
A política de privacidade funciona como uma ferramenta de transparência entre empresa e usuário, gerando credibilidade e confiança.
No mundo digital, os dados podem ser captados pelos chamados cookies, páginas de captura, interpretadas a partir do comportamento do usuário. Em caso de uso de cookies em sites ou aplicativos, a Política deve fornecer quais cookies utilizam, de que forma, para que servem os cookies utilizados, bem como quais as opções de desativar um cookie. Essas informações podem vir dentro da Política de Privacidade, ou em documento separado, com a denominação de Política de Cookies.
O objetivo da Política de Privacidade é mostrar para qualquer pessoa que acessar um site, ou baixar um aplicativo, ou transacionar com uma empresa, de que maneira as informações dela serão usadas.
Ela objetiva tornar pública a forma de captação, coleta, armazenamento, compartilhamento, entre outras ações, das informações pessoais que a empresa realiza.
Como montar uma política de privacidade com a LGPD
A Política é um dos documentos de boas práticas e de governança para a proteção de dados pessoais e tem como finalidade dar transparência e visibilidade ao tratamento dos dados pessoais em um serviço aos titulares envolvidos. E, por esse motivo, é preciso garantir que o conteúdo seja conciso, de fácil acesso e compreensão.
O documento jurídico tem que ser a mais assertivo possível, ou seja, ser desenvolvido em razão do nicho da organização, bem como em razão da missão, visão e valores da empresa, após um mapeamento de processos em que é possível identificar todas as atividades que tratam dados pessoais, finalidades legítimas, as bases legais aplicáveis e forma de atendimento aos direitos do titular como acesso, retificação, exclusão, revogação de consentimento, oposição, informação sobre possíveis compartilhamentos com terceiros.
Ainda, de suma importância, avaliar a infraestrutura organizacional no que concerne as medidas de segurança aplicáveis, bem como levar em consideração outras legislações e regulamentações relacionadas ao tema e aplicáveis ao setor de atuação da organização.
É importante que haja monitoramento e revisão periódica do documento, sendo caso de necessidade de atualização, que seja feita como nova versão da Política. Na versão é preciso sempre inserir a data de atualização da Política. Como recomendação, é interessante disponibilizar um repositório com as versões anteriores aos usuários e ter um sistema interno de controle de políticas. Com relação ao conteúdo, é importante observar a presença das seguintes informações,que devem estar de modo claro e preciso:
- Informações sobre a organização responsável pelo tratamento;
- A legislação que garante a legalidade da política de privacidade adotada;
- Dados pessoais e respectivas finalidades do tratamento, inclusive os dados não informados pelo usuário (exemplo: IP e localização);
- Base jurídica do tratamento;
- Compartilhamento com terceiros;
- Medidas de segurança utilizadas;
- Prazo de retenção dos dados pessoais;
- Possibilidade de a navegação ser feita anonimamente, se houver;
- Finalidade de uso do e-mail do cliente, se for o caso;
- Utilização de cookies, quando se aplicar;
- Informações do canal de comunicação de Proteção de dados;
- Formas de alteração ou atualização dos dados fornecidos;
- Possibilidade de atualização ou alteração da política e modo de notificação dessa mudança.
A política de privacidade também deve orientar como são atendidos os direitos do titular de dados pessoais, apresentando como ele pode acessar, retificar, solicitar a exclusão de dados, transferir, se opor ao tratamento, e até mesmo excluir seu consentimento. No caso da inviabilidade de alguma operação, é necessário deixar claro o motivo.
As seguintes informações, quando aplicáveis, também devem estar presentes:
- Transferência internacional de dados pessoais;
- Tratamento por legítimo interesse;
- Decisões automatizadas;
- Utilização e proteção de dados de menores de idade, crianças e adolescentes, bem como aos idosos, por serem dados pessoais entendidos como vulneráveis;
- Utilização e proteção de dados sensíveis.
Como recomendação, é importante deixar o usuário informado de que, ao clicar em um anúncio de terceiro, será direcionado para fora do domínio do site da empresa, ficando sob a cobertura da Política de Privacidade do terceiro anunciante e não da empresa cuja página visitou inicialmente (sites de terceiros), sendo a controladora excludente de responsabilidade.
A política de privacidade também pode mencionar o uso de cookies, identificando quais e para qual finalidade. Mas esse conteúdo também pode estar disponível em um documento separado conhecido como Política de Cookies. Recomenda-se também que exista a classificação dos cookies utilizados para dar mais riqueza aos detalhes e maior transparência. Os cookies mais comuns são:
- Estritamente essenciais, obrigatórios para a funcionalidade dos produtos e serviços ofertados;
- Marketing, utilizados para alavancar ou potencializar uma campanha de marketing ou publicitária.
- Também oferecem anúncios para os usuários após encerrada a navegação no site;
- Funcionais, os que salvam as preferências do usuário ao navegar no site;
- Analíticos, que fazem análises dos usuários que visitam o site, por meio de perfil de comportamento, de público-alvo, ou até mesmo de perfil de compras a depender dos cliques feitos no site.
O uso de Cookies é plenamente possível de acordo com a LGPD e o Marco Civil da Internet. Entretanto, é necessário que a empresa respeite os direitos do titular de dados. À título de recomendação, é interessante que a organização invista em gerenciamento de preferências dos cookies, que tem por objetivo dar ao titular o poder de escolha sobre ter o seu dado coletado por todos os Cookies, à exceção os considerados estritamente essenciais devido ao seu caráter necessário para funcionalidade dos serviços ofertados.
Pelo exposto, a Política de Privacidade precisa explicitar de forma clara e simples para os titulares de dados qual a necessidade de uso dos dados pessoais em razão de ofertas de produtos e serviços, como funcionam os botões de compartilhamento de elementos do site ou aplicativos, quais são os direitos dos titulares, a exemplo, de consentir ou revogar um consentimento e outros tipos de informativos, quando for o caso.
A importância de uma política de privacidade
A Política de Privacidade é uma medida prevista no Marco Civil da Internet em seu artigo 7º, no qual determina que as pessoas que utilizam a internet devem receber “informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção de seus dados pessoais”. Vejamos:
“Estabelece princípios, garantias, direitos e deveres para o uso da Internet no Brasil.
Art. 7º O acesso à internet é essencial ao exercício da cidadania, e ao usuário são assegurados os seguintes direitos: (…)
VII – não fornecimento a terceiros de seus dados pessoais, inclusive registros de conexão, e de acesso a aplicações de internet, salvo mediante consentimento livre, expresso e informado ou nas hipóteses previstas em lei;
VIII – informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção de seus dados pessoais, que somente poderão ser utilizados para finalidades que:
a) justifiquem sua coleta;
b) não sejam vedadas pela legislação; e
c) estejam especificadas nos contratos de prestação de serviços ou em termos de uso de
aplicações de internet;
IX – consentimento expresso sobre coleta, uso, armazenamento e tratamento de dados pessoais, que deverá ocorrer de forma destacada das demais cláusulas contratuais;
X – exclusão definitiva dos dados pessoais que tiver fornecido a determinada aplicação de internet, a seu requerimento, ao término da relação entre as partes, ressalvadas as hipóteses de guarda obrigatória de registros previstas nesta Lei;
X – exclusão definitiva dos dados pessoais que tiver fornecido a determinada aplicação de internet, a seu requerimento, ao término da relação entre as partes, ressalvadas as hipóteses de guarda obrigatória de registros previstas nesta Lei e na que dispõe sobre a proteção de dados pessoais; (Redação dada pela Lei nº 13.709, de 2018) (Vigência).
XI – publicidade e clareza de eventuais políticas de uso dos provedores de conexão à internet e de aplicações de internet;
XII – acessibilidade, consideradas as características físico-motoras, perceptivas, sensoriais, intelectuais e mentais do usuário, nos termos da lei; e
XIII – aplicação das normas de proteção e defesa do consumidor nas relações de consumo realizadas na internet.”
A LGPD, tratando de privacidade e proteção de dados pessoais dos cidadãos, ratificou a ideia já antiga do Marco Civil da Internet de proteger os usuários de internet. Sendo assim, a Política de Privacidade é um desses documentos fundamentais para aplicabilidade da normativa, pois vai garantir que princípios da proteção da privacidade, proteção dos dados pessoais, transparência e preservação da segurança da rede. Portanto, a Política de Privacidade confere direitos e garantias aos cidadãos da internet, além de evitar sanções civis, criminais e administrativas previstas no Marco Civil da Internet e na LGPD em razão de falta de informações ou transparência, invasão de privacidade, alegações de abusividade e uso indevido dos dados.
É importante destacar que a maior importância de uma Política de Privacidade bem estruturada é a conquista e confiança dos seus usuários/consumidores. Demonstra que a empresa respeita e leva a privacidade com proteção e segurança dos dados pessoais utilizados.
Conforme estudo feito pela Mckinsey Digital e Cisco, atualmente, 80% dos consumidores informam que é importante conhecer a Política de Privacidade antes de transacionar com a empresa; 53% somente realizam uma compra quando avaliam a reputação em proteção de dados; 91% dos consumidores brasileiros informam que a confiança na marca é mais importante que o amor na marca e 74% das empresas conquistaram mais confiança do cliente com a implementação de medidas de proteção
de dados.
Muito importante não utilizar modelos de políticas de privacidade, pois, sem o mapeamento de dados pessoais dentro da organização e análise do contexto da infraestrutura, que são fases do projeto de adequação à LGPD, o documento não refletirá a realidade empresarial quanto ao tratamento de dados, significando que estará descumprindo o Marco Civil da Internet e a Lei Geral de Proteção de Dados Pessoais e estará sujeita a penalidades e prejuízos.
Autora: Júlia Mayara Medeiros
Advogada, especialista em Direito Digital. LLM em Direito Empresarial. Membro da ANPPD (Associação Nacional dos Profissionais de Privacidade de Dados). Membro da Comissão de Direito das Startups da OAB/PE e de Proteção de Dados da OAB/PE. Membro da ANADD (Associação Nacional de Advogados do Direito Digital) – Comitê de Relações Trabalhistas no Digital. Possui Certificação PDPE Essentials (Especialização em LGPD) pela EXIN. Certificada DPO pela It.Certs.