Impacto da lei de proteção de dados

Coletar dados sem o consentimento do consumidor ou incluir um endereço eletrônico (ie. e-mail) na lista de SPAM para marketing digital sem autorização do internauta, que são atividades comuns para quem trabalha no mundo do comércio eletrônico, estão com os dias contados agora que o Congresso aprovou a lei de proteção de dados no Brasil.

Apesar de ainda faltar a confirmação do presidente Michel Temer, a “GDPR brasileira” deve ser sancionada sem grandes mudanças e passará a valer 18 meses após a publicação no Diário Oficial da União. Um ano e meio para as empresas, principalmente do e-commerce, se adaptarem às novas diretrizes.

“Antes da legislação, se vivia em uma terra sem lei, ou seja, se fazia aquilo que parecia razoável do ponto de vista moral [com os dados], mas isso tinha um fundo muito mais econômico do que qualquer outro. Haverá uma restrição para o tratamento, que tornará [certas atividades] irregulares assim que a lei for sancionada pelo presidente”, afirma Ricardo Oliveira, advogado e sócio do escritório Cots Advogados, que acompanhou de perto as discussões sobre a lei no Congresso Nacional.

A partir de agora, toda vez que um site captar dados que identifiquem um usuário – ou que o tornem identificável -, ele precisará informar ao internauta qual a base jurídica para ter em sua posse essas informações.

O projeto prevê a criação de uma agência fiscalizadora, que terá autorização para penalizar quem desrespeitar as regras.

Segundo o advogado, se o lojista tem uma base de dados cuja origem ele não sabe exatamente qual é – por exemplo, se uma informação vem do comércio físico ou do cadastro do consumidor na internet, ou se foram comprados e adquiridos de terceiros -, ele vai precisar sanear essa base para conseguir separar as informações e identificar claramente qual a sua base legal antes de continuar o tratamento de dados.

Outra novidade trazida pela lei é a necessidade de aperfeiçoar o consentimento, também chamado de opt-in no e-commerce. A partir do momento em que entrar em vigor, não bastará só colher o consentimento, será necessário também informar ao consumidor quais dados serão recolhidos, o porquê e o que será feito com eles.

Uma boa notícia é que não deve haver conflito entre a lei de proteção de dados e a obrigatoriedade de guardar informações para determinados órgãos – como a Receita Federal.

Growth hacking

Empresas que aplicam técnicas de growth hacking como estratégia também precisarão se adaptar à nova realidade.

Algumas táticas para crescimento exponencial, como capturar leads no Facebook sem informar ao internauta – por meio dos comentários de postagens ou por meio do Messenger, por exemplo – serão considerados irregulares.

A multa para quem desrespeitar o tratamento de informações pode chegar a 2% do faturamento da empresa ou até a suspensão do banco de dados.

“Se você não tem uma base legal, a prática de coleta de dados vai ser considerada irregular. Logo, todo ato nesse sentido [utilizado atualmente] com certeza perderá importância no futuro, porque ninguém vai se submeter a ser autuado por tratar os dados de uma forma equivocada ou irregular”, adverte Oliveira.

Personalização

Quem trabalha com personalização, inclusive de preços, também precisará se adaptar. De acordo com o Instituto Brasileiro de Defesa do Consumidor (Idec), a diferenciação de preços no e-commerce poderá ocorrer somente com consentimento do consumidor.

A discriminação de preços não estará proibida, mas os consumidores deverão ter mais controle e informação sobre a relação entre certos tipos de dados coletados e a formação dos valores individualizados.

“Se um site de compra online quiser realizar diferenciação de preços com base na localização, registro de busca ou outras informações relacionadas ao consumidor, deve informá-lo, explicitamente, da existência de coleta e tratamento dos dados e sua finalidade, para permitir a escolha do titular”, explica a entidade em nota divulgada no seu site.

“Percebida a realização de diferenciação de preços sem o seu consentimento, o consumidor pode requerer indenização junto aos órgãos de defesa do consumidor, ou à própria empresa.”

Adaptação

Como existem poucas leis específicas sobre o tratamento de dados pessoais na internet no País – ao menos até a aprovação da “GDPR brasileira” -, muita gente vai ter de se adaptar a esse novo cenário. Embora não se espere que o custo da transição seja elevado, a adequação deve gerar bastante trabalho.

Para o especialista Ricardo Oliveira, sócio do escritório Cots Advogados, mais do que financeiramente custosa, a adaptação corre o risco de ser trabalhosa, justamente por causa da cultura de usar indiscriminadamente os dados pessoais. “Com a nova lei, tudo precisará mudar, e isso envolve os contratados, os fornecedores, os empregados em geral”, complementa.

Mesmo que a mudança pareça trazer dor de cabeça, o especialista orienta os lojistas a pensarem de forma positiva.

Na sua opinião, há duas formas de ver uma legislação nova, que regula um tema até então não regulado: de que aquilo é uma barreira para o seu negócio ou é uma segurança para o negócio.

“Não gostamos muito de tratar a questão como se fosse uma barreira e tentamos olhar sempre o lado mais positivo, ou seja, havendo regras claras sobre o tratamento de dados no Brasil, esse tratamento acontecerá de uma forma mais segura. Tanto startups, e-commerces, quanto as empresas em geral, vão poder atuar, no que se refere ao tratamento de dados, com muito mais segurança com relação aquilo do que pode e o que não pode fazer”, conclui Oliveira.

Por Caio Colagrande, da redação do E-Commerce Brasil

REF: https://www.ecommercebrasil.com.br/noticias/advogado-explica-as-consequencias-da-lei-de-protecao-de-dados-para-o-e-commerce/

Senado aprova projeto de lei sobre proteção de dados pessoais

O plenário do Senado aprovou no dia 10/07/2018 o Projeto de Lei número 53, da Câmara, que disciplina a proteção dos dados pessoais e define as situações em que estes podem ser coletados e tratados tanto por empresas quanto pelo Poder Público. O texto foi aprovado nos termos do conteúdo votado na Câmara dos Deputados no fim de maio.

Com isso, o Brasil se junta a diversos países do mundo, que já possuem legislação sobre o tema. O projeto agora vai a sanção do presidente Michel Temer.

O texto disciplina a forma como as informações são coletadas e tratadas, especialmente em meios digitais, como dados pessoais de cadastro ou até mesmo textos e fotos publicadas em redes sociais. A proposta foi mantida na semana passada pela Comissão de Assuntos Econômicos (CAE), conservando o conteúdo da Câmara e indicando regime de urgência para votação na casa. A urgência foi apresentada em plenário, mas não chegou a ser apreciada.

O senador Ricardo Ferraço (PSDB-ES), relator do projeto na Comissão de Assuntos Econômicos, destacou que a regulação do tema já é uma realidade no resto do mundo. “Mais de 100 países já colocaram de pé leis e diretrizes de proteção de dados no ambiente da internet. A internet não pode ser ambiente sem regras. A privacidade é um valor civilizatório”, salientou.

O senador Eduardo Braga (MDB-AM), nomeado relator em plenário, defendeu a importância da proposta. “Na era digital dados são considerados grande ativo e patrimônio. Dados devem receber grau mínimo de proteção jurídica. Dados trafegam pelas redes e sem consentimento acabam sendo comercializados, em contraposição aos preceitos constitucionais, que garantem o direito à vida privada”, comentou.

“Todas as entidades, sem nenhuma exceção, foram partícipes na construção do projeto de lei e estamos votando algo que é uma unanimidade”, afirmou a senadora Vanessa Grazziotin (PCdoB-AM). “Estamos vivendo a revolução das redes sociais. Agora vamos ter marco regulatório que permite que cidadão possa acionar aqueles que fizerem mau uso de seus dados”, acrescentou o senador Jorge Viana (PT-AC).

Entenda o projeto

O PLC 53 considera dados pessoais a informação relacionada a uma pessoa que seja “identificada” ou “identificável”. Ou seja, o projeto de lei regula também aquele dado que, sozinho, não revela a quem estaria relacionado (um endereço, por exemplo) mas que, processado juntamente com outros, poderia indicar de quem se trata (o endereço combinado com a idade, por exemplo).

Foi criada uma categoria especial, denominada dados “sensíveis”, que abrange registros de raça, opiniões políticas, crenças, condição de saúde e características genéticas. O uso desses registros fica mais restrito, já que traz riscos de discriminação e outros prejuízos à pessoa. Também há parâmetros diferenciados para processamento de informações de crianças, como a exigência de consentimento dos pais e a proibição de condicionar o fornecimento de registros à participação em aplicações (como redes sociais e jogos eletrônicos).

O projeto de lei abrange as operações de tratamento realizadas no Brasil ou a partir de coleta de dados feita no país. A norma também vale para empresas ou entes que ofertem bens e serviços ou tratem informações de pessoas que estão aqui. Assim, por exemplo, por mais que o Facebook recolha registros de brasileiros e faça o tratamento em servidores nos Estados Unidos, ele teria de respeitar as regras. Também é permitida a transferência internacional de dados (como no exemplo citado), desde que o país de destino tenha nível de proteção compatível com a lei ou quando a empresa responsável pelo tratamento comprovar que garante as mesmas condições exigidas pela norma por instrumentos como contratos ou normas corporativas.

Ficaram de fora das obrigações o tratamento para fins pessoais, jornalísticos e artísticos. Também não são cobertos o processamento de informações em atividades de segurança nacional, segurança pública e repressão a infrações. O texto indica que esses temas devem ser tratados em uma lei específica. O Poder Público ganhou também a possibilidade de tratar dados sem consentimento das pessoas, em determinadas situações, como na execução de políticas públicas. Para isso, o órgão deve informar em seu site em que hipótese o processamento de dados é realizado, sua finalidade e quais são os procedimentos adotados. Essas regras especiais se aplicam também aos cartórios.

Obrigações e direitos

Para coletar e tratar um dado, uma empresa ou ente precisa solicitar o consentimento do titular, que deve ser livre e informado. Essa autorização deve ser solicitada de forma clara, em cláusula específica, e não de maneira genérica. Caso uma empresa colete um dado para uma coisa e mude sua finalidade, deve obter novo consentimento. A permissão dada por alguém, entretanto, pode ser revogada se o titular assim o desejar.

O projeto prevê, contudo, algumas situações em que este não é necessário, como a proteção da vida, o cumprimento de obrigação legal e procedimento de saúde. A exceção mais polêmica é chamada de “legítimo interesse”, que na prática permite a uma empresa coletar um dado para um propósito e usá-lo para outro, desde que para “finalidades legítimas” e a “partir de situações concretas”. Nesse caso, somente os dados “estritamente necessários” podem ser manejados.

Outra obrigação das empresas incluída no relatório do deputado Orlando Silva (PCdoB-SP) é a garantia da segurança dos dados, impedindo acessos não autorizados e qualquer forma de vazamento. Caso haja algum incidente de segurança que possa acarretar dano ao titular da informação, a empresa é obrigada a comunicar à pessoa e ao órgão competente.

A redação prevê uma série de direitos ao titular, que pode solicitar acesso às informações que uma empresa tem dele - incluindo a finalidade, a forma e a duração do tratamento - e se houve uso compartilhado com algum outro ente e com qual finalidade. Também é possível requisitar a correção de um dado incompleto, a eliminação de registros desnecessários ou excessivos e a portabilidade para outro provedor de serviço. Ou seja, o usuário de uma conta de e-mail pode ter todas as suas mensagens, caso deseje abrir conta em outro serviço deste tipo. O titular também pode solicitar a revisão de uma decisão automatizada baseada em seus dados, como uma classificação para obtenção de crédito, por exemplo.

Fiscalização e órgão regulador

O relatório de Silva propõe a criação da Autoridade Nacional de Proteção de Dados, que ficará responsável pela edição de normas complementares e pela fiscalização das obrigações previstas na lei. Essa autoridade terá poder, por exemplo, para exigir relatórios de impacto à privacidade de uma empresa, documento que deve identificar como o processamento é realizado, as medidas de segurança e as ações para reduzir riscos. Ou seja, se o órgão suspeitar que em alguma empresa há risco de problemas no tratamento dos dados, o relatório reúne informações necessárias para uma primeira apuração. Pode também fazer uma auditoria, em que se verifique no local da empresa se o manejo dos dados está sendo realizado corretamente.

Se constatar alguma irregularidade em qualquer atividade de tratamento, a autoridade pode aplicar uma série de sanções, entre as quais está prevista multa de até 2% do faturamento da empresa envolvida, com limite de R$ 50 milhões, o bloqueio ou eliminação dos dados tratados de maneira irregular e a suspensão ou proibição do banco de dados ou da atividade de tratamento. O substitutivo também institui o Conselho Nacional de Proteção de Dados, formado por 23 representantes do Poder Público, da sociedade civil, de empresas e de instituições científicas e tecnológicas. O colegiado tem como atribuições propor diretrizes estratégicas sobre o tema e auxiliar a autoridade nacional.

Apoios

O PLC tem apoio de diversas entidades, como a Associação Brasileira de Emissoras de Rádio e TV (Abert), a Associação Brasileira de Empresas de Tecnologia da Informação e Comunicação (Brasscom) e a Coalizão Direitos na Rede, que reúne entidades de defesa de direitos dos usuários de internet. Mas encontrava resistência em organizações do ramo financeiro, como a Federação Brasileira de Bancos (Febraban) e a Confederação Nacional de Seguradoras.

“Este projeto é fundamental para o desenvolvimento da economia digital no Brasil porque ele alcança equilíbrio entre a proteção do direito do cidadão em um arcabouço que ajude as empresas a inovarem”, avaliou a diretora jurídica da Associação Brasileira de Empresas de Tecnologia da Informação e Comunicação (Brasscom).

“Essa discussão contou com dezenas de entidades da sociedade civil mas também com inúmeras entidades do setor empresarial, que entenderam que a proteção de dados é princípio que deve ser garantido na legislação brasileira”, comentou Marcos Urupá, do Coletivo Intervozes, entidade integrante da Coalizão Direitos na Rede, que reúne organizações de defesa de direitos dos usuários.

Publicado em 10/07/2018 - 17:22
Por Jonas Valente – Repórter Agência Brasil
REF: http://agenciabrasil.ebc.com.br/geral/noticia/2018-07/senado-aprova-projeto-de-lei-de-protecao-de-dados-pessoais