A Lei Geral de Proteção de Dados (LGPD) completa oito anos de sua promulgação, marcando uma trajetória de amadurecimento significativo no cenário empresarial brasileiro. Desde sua criação, a LGPD estabeleceu as bases para a proteção de dados pessoais, ancorada em princípios essenciais como a finalidade, necessidade e transparência, redefinindo a forma como organizações lidam com informações sensíveis. Contudo, o desafio atual transcende a mera conformidade formal: as empresas agora enfrentam a complexa tarefa de demonstrar a efetividade real de suas medidas de proteção.
LGPD: A Trajetória de Oito Anos e o Amadurecimento Empresarial
A Lei Geral de Proteção de Dados (LGPD) completa oito anos desde sua sanção em 14 de agosto de 2018, marcando um período de adaptação e evolução no cenário empresarial brasileiro. Embora suas disposições principais tenham entrado em vigor em setembro de 2020 e as sanções administrativas apenas em agosto de 2021, este marco temporal permite uma análise aprofundada da trajetória de adequação das organizações frente à legislação.
Nos primeiros anos de vigência da LGPD, a abordagem das empresas foi predominantemente formal e jurídica. O foco inicial concentrou-se na elaboração de políticas de privacidade e termos de uso, na indicação de um Encarregado de Dados (DPO), na revisão de contratos com fornecedores e clientes, e na realização de inventários de dados pessoais. Esta fase foi essencial para estabelecer as bases documentais e de governança mínimas exigidas pela lei.
Contudo, o amadurecimento empresarial ao longo desses oito anos tem se manifestado de forma heterogênea. Em organizações mais maduras e proativas, a proteção de dados transcendeu o caráter meramente formal, passando a integrar as decisões estratégicas e operacionais. Nesses ambientes, a LGPD influencia diretamente áreas como tecnologia, segurança da informação, processos de contratação de fornecedores, desenvolvimento de novos produtos e serviços, e a gestão de riscos corporativos.
O grande desafio que emerge neste estágio é a transição de um programa de privacidade apenas documentado para um que demonstre efetividade prática. Já não basta ter as políticas e processos definidos; a exigência atual é provar que os mecanismos de proteção de dados adotados são funcionais e geram resultados tangíveis na salvaguarda dos direitos dos titulares. Esta demanda por comprovação de eficácia se tornou o principal divisor de águas na maturidade da conformidade.
Carlos Lima, sócio do Failla Lima Riva Advogados, aponta que uma das principais dificuldades reside na discrepância entre o que é formalmente documentado e o que realmente ocorre nas operações diárias de tratamento de dados. Problemas como inventários de dados desatualizados, que não refletem os sistemas em uso, bases legais definidas de forma genérica e políticas de retenção que não resultam na exclusão efetiva dos dados, ilustram a persistente lacuna entre a intenção e a execução na prática corporativa.
Fundamentos da LGPD: O Que É e Seus Princípios Essenciais
O Desafio Atual: Da Conformidade Formal à Prova de Efetividade
Nos primeiros anos de vigência da Lei Geral de Proteção de Dados (LGPD), muitas organizações abordaram a conformidade como um projeto predominantemente formal e jurídico. Este período foi marcado pela concentração na criação de políticas de privacidade, designação do Encarregado de Dados (DPO), revisão de contratos e elaboração de inventários de dados pessoais, estabelecendo uma base documental essencial para atender aos requisitos legais.
Contudo, o cenário atual exige um avanço significativo para além da mera formalidade. Embora empresas mais maduras já tenham incorporado a proteção de dados em suas decisões estratégicas de tecnologia, segurança da informação, gestão de fornecedores, desenvolvimento de produtos e avaliação de riscos, o desafio para a maioria é agora comprovar a eficácia prática dessas medidas. A proteção de dados deve transcender o papel e integrar-se à cultura e aos processos operacionais.
O principal divisor de águas reside na necessidade premente de demonstrar a efetividade dos mecanismos de proteção de dados adotados. Não é mais suficiente possuir um programa de privacidade bem documentado; é imperativo que as organizações provem que esses mecanismos funcionam de fato na prática diária, garantindo a proteção dos dados pessoais em todas as suas operações e atendendo aos princípios de responsabilização e prestação de contas (accountability).
As dificuldades atuais manifestam-se na disparidade entre as políticas e procedimentos formalmente estabelecidos e a realidade das atividades de tratamento de dados. Problemas como inventários de dados desatualizados que não correspondem aos sistemas em uso, definição genérica de bases legais sem aderência às operações específicas e políticas de retenção que não resultam na exclusão efetiva dos dados, ilustram a lacuna existente entre a conformidade documental e a operacional. Superar este desafio é crucial para a validação da maturidade em proteção de dados.
Barreiras na Implementação Prática e a Atuação da ANPD
Vazamento de Dados e a Responsabilidade Empresarial: Lições do STJ
A discussão sobre a efetividade das medidas de proteção de dados ganha contornos cruciais quando se analisam os casos de vazamento de informações pessoais, uma das maiores preocupações da Lei Geral de Proteitação de Dados (LGPD). Neste cenário, a jurisprudência do Superior Tribunal de Justiça (STJ) emerge como um balizador fundamental para a interpretação da responsabilidade empresarial, moldando as expectativas sobre o que constitui um programa de privacidade e segurança verdadeiramente funcional. Com oito anos da LGPD, o entendimento do STJ é vital para empresas que buscam não apenas estar em conformidade no papel, mas demonstrar operacionalmente a proteção de dados.
Os vazamentos de dados representam o teste derradeiro para a robustez dos mecanismos de governança e segurança de uma organização. O STJ, ao se debruçar sobre a reparação de danos decorrentes desses incidentes, tem consolidado um entendimento que vai além da mera formalidade. As decisões da Corte Superior destacam a natureza da responsabilidade do controlador e do operador, o ônus da prova e os critérios para a compensação de danos, fornecendo lições valiosas sobre a real dimensão da responsabilidade corporativa na era da proteção de dados.
A Doutrina do STJ e a Responsabilidade por Vazamento
A LGPD, em seus artigos 42 e 43, estabelece a responsabilidade dos agentes de tratamento de dados por danos patrimoniais, morais, individuais ou coletivos causados por violações à lei. Embora a legislação não defina explicitamente a natureza da responsabilidade (objetiva ou subjetiva), a tendência interpretativa do STJ tem apontado para uma responsabilidade majoritariamente objetiva para os controladores e operadores, especialmente quando se trata de danos causados a titulares de dados. Isso significa que, na prática, a empresa pode ser responsabilizada independentemente da comprovação de culpa, bastando a demonstração do dano e do nexo causal com o incidente de segurança. As exceções a essa regra, como a culpa exclusiva do titular ou de terceiros, ou a inexistência de dano, exigem prova cabal por parte da organização.
O STJ tem enfatizado que a mera violação da segurança dos dados, por si só, pode ser suficiente para gerar o dever de indenizar, especialmente quando há exposição a riscos significativos ou quando o incidente afeta direitos fundamentais do titular. A Corte tem avaliado a diligência das empresas na implementação de medidas de segurança e na gestão de riscos, interpretando que a falha em prevenir um vazamento, quando as medidas adequadas poderiam ter sido adotadas, reforça a responsabilidade.
O Desafio da Prova e a Efetividade das Medidas
Um dos pilares das decisões do STJ é a inversão do ônus da prova, ou seja, em muitos casos, cabe à empresa demonstrar que adotou todas as medidas técnicas e administrativas aptas a proteger os dados pessoais ou que o dano não foi decorrente de sua falha. Este ponto é crucial para o desafio de provar a efetividade: não basta possuir políticas de privacidade e segurança no papel; é imperativo evidenciar que tais políticas são executadas de forma consistente e que os controles de segurança estão operacionais e atualizados. A simples existência de um programa de conformidade não exime a responsabilidade se for demonstrado que as falhas de segurança foram decorrentes de lacunas na sua implementação ou monitoramento.
A avaliação da efetividade, pelo STJ, considera não apenas as medidas técnicas (como criptografia e controle de acesso), mas também as organizacionais (como treinamentos, gestão de incidentes e auditorias internas). A capacidade de uma empresa de comprovar a contínua avaliação de riscos, a resposta rápida a incidentes e a mitigação de danos é determinante para a sua defesa. A falha em documentar e demonstrar essa proatividade pode resultar em condenações significativas por danos morais e materiais, além da perda de reputação.
Lições e Recomendações para o Ambiente Empresarial
As decisões do STJ sobre vazamentos de dados oferecem lições inequívocas para as empresas: a conformidade com a LGPD exige uma abordagem proativa e contínua, focada na efetividade das medidas de proteção. A primeira lição é que a responsabilidade não é meramente formal; é prática. Programas de privacidade devem ser vivos, com revisões constantes, simulações de incidentes e testes de segurança para garantir sua funcionalidade real. A segunda lição é a indispensabilidade de um plano de resposta a incidentes de segurança bem definido e testado, pois a agilidade e a transparência na comunicação de um vazamento podem mitigar tanto os danos aos titulares quanto a responsabilidade da empresa.
Para as empresas, a principal recomendação é ir além da checklist inicial de conformidade. É fundamental investir em segurança da informação robusta, treinamento contínuo para colaboradores, auditorias periódicas, e, acima de tudo, manter um registro detalhado de todas as medidas adotadas para a proteção de dados. A capacidade de demonstrar ao STJ (ou a qualquer outra autoridade) que a empresa agiu com diligência e buscou ativamente prevenir e remediar falhas será o principal diferencial para comprovar a efetividade de seus mecanismos de proteção e, assim, gerenciar a responsabilidade em um cenário de vazamento de dados.
Fonte: https://olhardigital.com.br
Yuri Martins é um entusiasta em tecnologia apaixonado por explorar as últimas tendências e inovações do setor. Desde a infância, ele se fascina com a capacidade da tecnologia de transformar vidas. Com vasto conhecimento, Yuri compartilha dicas e insights em seu blog e redes sociais, tornando a tecnologia mais acessível para todos.
