A LGPD do Brasil será melhor que o GDPR? Talvez não

O GDPR (Regulamento Geral de Proteção de Dados) europeu trouxe a importância da legislação de privacidade para a consciência pública em todo o mundo. Impulsionado por crescentes preocupações com a privacidade com a Big Tech (Facebook, Google, Apple etc.) invadindo descaradamente a privacidade do usuário, a elaboração do GDPR logo inspirou outros países a seguir suas próprias leis de proteção de dados. Os EUA vieram com a CCPA, a Austrália com a Emenda de Privacidade, o Japão com a emenda na Lei de Proteção de Informações Pessoais, bem como Tailândia, Coréia do Sul, Canadá e outros.

A mais recente dessas leis inspiradas no GDPR é a Lei Geral de Proteção de Dados Brasileira, Lei Geral de Proteção de Dados Pessoais (LGPD). Com lançamento previsto para agosto de 2020, espera-se que a LGPD simplifique e unifique a natureza fragmentada das leis de privacidade no Brasil, com cerca de 40 estatutos legais que regem a proteção de dados no país de maneira setorial.

Este artigo descreve brevemente os principais pontos da lei, suas diferenças com o GDPR e questões relativas à aplicação e governo da LGPD. Muito do que segue foi escrito em co-autoria pelo Sr. Leandro Chahde, advogado brasileiro do Advogado Zona Norte que está diretamente familiarizado com a LGPD.

A quem se aplica a LGPD?

Assim como o GDPR, a LGPD se aplica a qualquer pessoa física localizada no Brasil, independentemente da nacionalidade. Isso significa que qualquer empresa ou site no mundo que processe dados de um indivíduo residente no Brasil deve estar em conformidade com a LGPD. A natureza extraterritorial da lei a torna tão importante quanto o GDPR, já que todas as empresas, nacionais ou multinacionais, grandes ou pequenas, são submetidas aos mesmos padrões e penalidades. sob LGPD.

Direitos do Consumidor sob a LGPD

A LGPD é composta por 10 capítulos com um total de 65 artigos. Esses artigos definem os direitos e disposições abrangidos pela LGPD. Embora um tratamento completo da lei não seja possível aqui, a seguir estão os principais direitos das pessoas sob a LGPD:

Consentimento explícito: o titular dos dados deve ser claramente informado sobre o motivo da coleta de dados pessoais e a finalidade do uso.

Correção: o titular pode solicitar alterações aos seus dados (correções, atualizações e eliminações).

Direito ao esquecimento: independentemente do motivo, o titular pode solicitar a eliminação dos seus dados num determinado sistema.

Portabilidade: deve ser possível ao titular poder exportar os seus dados pessoais de um sistema para outro.

Direito à explicação:  o titular pode solicitar informações sobre todos os algoritmos que interagem com seus dados para entender, por exemplo, por que um empréstimo bancário foi negado.

Como ele difere do GDPR?

O GDPR e a LGPD compartilham muitos pontos de semelhança, mas também diferem de várias maneiras importantes:

• Tratamento de Dados Sensíveis: A lei europeia proíbe o tratamento de dados sensíveis, estabelecendo algumas exceções à proibição. Dois deles não foram contemplados na legislação brasileira: (i) Dados tornados públicos pelo titular; (ii) Dados relativos a atuais ou antigos membros de fundações, associações ou organizações sem fins lucrativos, tratados para fins legítimos e com as devidas medidas de segurança.
• Marketing Direto: a lei brasileira aplica as regras gerais de consentimento, transparência e direito de oposição aos titulares de dados pessoais. O europeu, por outro lado, apresenta previsões específicas. O titular dos dados tem o direito de se opor a qualquer momento ao tratamento dos seus dados pessoais, o que inclui a definição de perfis na medida em que esteja relacionado com marketing direto.
• Relacionamento entre Controlador e Operador: Embora a lei brasileira estabeleça que o operador deve realizar o processamento de dados de acordo com as instruções do controlador, não há exigência de formalização por meio de contrato. Por sua vez, a legislação europeia prevê que o tratamento de dados efetuado por um operador deve ser regido por um contrato ou outro ato jurídico que vincule o responsável pelo tratamento ao operador.
• Relatório de Impacto:  a legislação brasileira não deixou claro em quais situações o controlador será obrigado a realizar um relatório de impacto sobre a proteção de dados pessoais, delegando à regulamentação posterior o tratamento desta questão. A legislação europeia prevê que o responsável pelo tratamento deve apresentar um relatório de impacto sobre a proteção de dados pessoais, quando o tratamento resultar em alto risco para o direito e liberdade dos indivíduos. O GDPR também fornece uma descrição detalhada do que deve ser abordado neste relatório.
• Transferência Internacional de Dados: A legislação brasileira permite a transferência de dados pessoais para países ou órgãos internacionais que forneçam proteção adequada aos dados pessoais. A lei é breve quanto a este procedimento e elementos a considerar adequados. A LGPD estabelece apenas diretrizes genéricas a serem observadas pelas autoridades nacionais. Os regulamentos europeus argumentam que a transferência internacional de dados pode ser realizada independentemente de autorização específica se a Comissão Europeia reconhecer que o país terceiro garante um nível adequado de proteção. Caso contrário, a transferência internacional estará sujeita a garantias adequadas, que devem ser garantidas pelo Agente. Todos os procedimentos e elementos que são levados em consideração pela Comissão para a autorização da transferência estão descritos no GDPR.
• Fiscalização da Aplicação da Lei:  O projeto de lei que deu origem à LGPD previa a criação da Autoridade Nacional de Proteção de Dados, seguindo a mesma linha do regulamento europeu. No entanto, os dispositivos que previam sua criação e responsabilidades foram vetados, por incorrerem em inconstitucionalidade no processo legislativo. Os regulamentos europeus estabelecem a criação do Comitê Europeu de Proteção de Dados, responsável por garantir a aplicação consistente do GDPR.

Quando o GDPR entrou em vigor, os provedores de VPN tiveram que reformular suas políticas de privacidade para acomodar as disposições da nova legislação. Será interessante ver se a LGPD será tratada com o mesmo respeito pela indústria de VPNs.

Quão eficaz será?

A autoridade responsável pela regulamentação e aplicação da LGPD é a Autoridade Nacional de Proteção de Dados (ANPD). No entanto, nenhum membro do órgão foi nomeado ainda. Além disso, o fato de a ANPD estar intimamente ligada ao governo levanta sérias preocupações sobre a aplicação justa da lei.

No Brasil, as principais agências reguladoras são estatais. A consequência disso é a politização desses órgãos e, consequentemente, a corrupção. O favoritismo a empresas poderosas e a interferência injusta do governo em prol de seus interesses políticos não estão, portanto, fora de cogitação.

O fato de o próprio GDPR ter falhado amplamente em responsabilizar as empresas, após dois anos de sua aprovação, é extremamente desanimador. A empresa de navegadores da web Brave apresentou uma queixa à Comissão Europeia, alegando que os governos europeus não forneceram os recursos necessários para que as autoridades de proteção de dados desempenhassem suas funções.

Como tal, os temores de que a LGPD sofra o mesmo destino que o GDPR são completamente válidos. Ao mesmo tempo, porém, temos exemplos positivos de órgãos estaduais que atuam de forma primorosa no Brasil, como o PROCON, que atua na defesa dos direitos do consumidor.

O Brasil é um país conhecido por ter leis que funcionam e outras que não. Com base em experiências anteriores, a crença de que a lei cumprirá parcialmente seu papel não é exagerada. Haverá interesse do governo em obter recursos por meio de multas que serão aplicadas às empresas que não cumprirem os parâmetros estabelecidos pela Lei Geral de Proteção de Dados.

Por fim, certamente haverá uma grande judicialização da questão, por parte de empresas que se sentem injustas devido a multas ilegais ou abusivas. Resta saber se o judiciário brasileiro terá capacidade técnica para resolver tais conflitos.