Em 1º de agosto de 2021, uma nova etapa da Lei Geral de Proteção de Dados, a LGPD, entrou em vigor: as sanções administrativas. Passado o período reservado para as empresas se adaptarem e realizarem as mudanças necessárias para a integração à legislação, as multas chegaram para fazer parte da equação, representando um alerta a mais às organizações que não aceleraram a implementação efetiva dos trâmites legais.
O fato é que, apesar da Lei ter sido criada em 2018, entrado oficialmente em vigor em setembro de 2020 e ter o acréscimo das sanções no ano passado, ela ainda é uma dor de cabeça para algumas organizações. Um levantamento recente da BluePex Cybersecurity, por exemplo, revelou que somente 15% das pouco mais de 200 PMEs pesquisadas já estão quase ou totalmente adaptadas às exigências da pesquisa. 37% reconheceram baixa aderência.
Outros estudos, como um realizado pela RD Station em parceria com a Manar Soluções em Pesquisa e o Eduardo Dorfmann Aranovich e Cia Advogados, corroboram o quanto a dificuldade de adequação é, de fato, maior para as empresas de menor porte.
A pesquisa em questão, feita com quase 1.000 participantes de organizações de diferentes tamanhos, identificou que enquanto a média geral de adesão era de 30%, somente entre as grandes empresas era de 39%, resultado que mostra o quanto elas saem na frente. Diante do prognóstico, é importante compreender por que tal adesão ainda é tão complexa.
O panorama das multas
As sanções relacionadas ao descumprimento da Lei Geral de Proteção de Dados podem chegar a até 2% da empresa, não ultrapassando a casa dos R$ 50 milhões. De acordo com um relatório de 2021 produzido pelo escritório de advocacia Opice Blum – e que pode ser conferido na íntegra por aqui -, o início do período em vigor das multas foi “flexível” às organizações. No recorte do ano passado, 77% dos processos envolvendo um suposto descumprimento da Lei por parte das empresas terminou com resultado favorável a elas.
Além disso, o report trouxe dados importantes que auxiliam a identificar como os casos em que há condenação estão sendo tratados. Chama atenção, por exemplo, que 40% dos processos judiciais foram motivados por incidentes. Entre outras informações coletadas:
- 46% das condenações tiveram indenização pecuniária;
- 80% das condenações culminaram com obrigações de fazer ou não fazer;
- Em somente 20% dos casos a indenização foi a única sanção;
- Cerca de 90% das decisões exigiram a comprovação do dano moral.
Apesar do cenário parecer favorável às empresas, o advogado Leandro da Luz Neto, especialista em direito digital do escritório Wilhelm & Niels, esclarece que a preocupação das organizações com a LGPD deve ir além das sanções administrativas. O especialista alerta que descuidar dos dados pessoais dos clientes, consumidores, fornecedores e colaboradores pode acarretar danos de reputação incalculáveis para uma empresa e excluí-la de fato do setor em que atua.
“Hoje uma empresa que cumpre a LGPD começa a se destacar no mercado porque passa uma imagem de credibilidade e confiança para clientes, fornecedores, parceiros e até aos colaboradores, demonstra respeito aos seus clientes. Independentemente de o negócio ser pequeno ou grande, muitos empresários não enxergam a necessidade de proteger a sua empresa, enquanto responsáveis pela gestão das informações”, diz.
Por que as micros, pequenas e médias empresas têm mais dificuldades?
Para Neto, o maior entrave das empresas de menor porte é o financeiro. O advogado destaca que fatores como a falta de divulgação pelo Governo Federal, a falta de conhecimento sobre a Lei de Dados e a ausência de posturas preventivas das empresas e órgãos públicos também contribuem negativamente.
“Médios e pequenos negócios tendem a ter maior dificuldade na implementação da LGPD, pois diferentemente de grandes empresas, geralmente não possuem disponibilidade econômica/financeira para investir numa correta adequação. Todavia, os projetos de adequação à legislação não devem ser encarados como um custo, mas sim um investimento e oportunidade, pois permite a revisão de procedimentos internos, o que pode evitar o desperdício de recursos, além de ganhar destaque e maior valor no mercado, podendo gerar mais oportunidades e novos negócios”, pontua.
As empresas de pequeno porte e as startups têm a seu favor a Resolução CD/ANPD nº 2/2022, criada para flexibilizar algumas das obrigações referentes à LGPD e dispensar outras. Isso não significa, porém, que não haverá a exigência para que as normas sejam seguidas.
Na visão de Thiago Cabral, especialista digital e CEO da Athena Security, é necessário ressaltar que alguns erros cometidos pelas empresas na implantação das exigências podem não apenas garantir o insucesso da adequação, como também aumentar o valor gasto no processo. Um prejuízo que pode ter grave impacto principalmente nas organizações menores.
“Os erros mais comuns cometidos pelas empresas ao tentar se adequar são implementar medidas organizacionais e administrativas sem antes realizar o mapeamento dos processos da organização, além de não estruturar um sistema de gestão de proteção de dados efetivo. A adequação é contínua e requer acompanhamento, além de evidências e melhorias. Se tratando de um tema multidisciplinar, tais problemas podem ser solucionadas através da contratação de uma consultoria especializada que ajude a revisar esses processos e a implementar esta nova cultura de privacidade de dados dentro da organização”, elucida.
Cabral salienta, inclusive, que o mapeamento deve respeitar a adoção de novos modelos de trabalho, como o remoto e o híbrido, caso a empresa faça uso de algum. O executivo esclarece que é fundamental as organizações investirem em treinamentos e capacitação referente à proteção e à privacidade de dados pessoais, uma vez que o despreparo pode culminar em problemas de difícil solução. “Construir uma robusta política de segurança da informação e procedimentos para o trabalho remoto pode impedir possíveis impactos negativos”.
O balanço é positivo?
Apesar de parte do mercado ainda não ter compreendido a importância da implantação da LGPD – ou os riscos e problemas administrativos ocorridos por não fazê-lo -, para Cabral a legislação chegou para agregar. O CEO levanta que as empresas têm cada vez mais se preocupado em proteger os dados de seus titulares, uma vez que possíveis incidentes podem causar danos reputacionais, mas não nega que “a lei traz também algumas incógnitas para os profissionais da privacidade, aliás, pendentes de regulamentação por parte da ANPD (Associação Nacional de Proteção de Dados), como a transferência internacional e o tratamento de dados da base legada”.
Neto, por sua vez, corrobora que o bom aproveitamento da Lei de Dados consiste também em haver uma cultura organizacional clara e que leve a compreensão do tema tanto para os colaboradores quanto para os stakeholders em geral.
“Destaca-se que a LGPD não busca inviabilizar ou dificultar o exercício da atividade empresarial, mas sim regulamentar o tratamento de dados pessoais com vistas à proteção dos direitos fundamentais, como a liberdade, a privacidade, o livre desenvolvimento e a personalidade, de modo a trazer maior segurança a todos os envolvidos”, cita.
Ainda de acordo com o especialista em direito digital, outras vantagens de ter a LGPD implementada envolvem, além da maior credibilidade e da garantia da segurança dos dados, maior controle no trabalho em torno deles. “Garantir a segurança dos dados, ou seja, saber como e onde estão armazenados e como devem ser compartilhados, torna mais fácil estabelecer políticas de segurança e medidas mais efetivas de proteção, além dos benefícios econômico-financeiros que podem ganhar com a revisão dos procedimentos administrativos, pois evita o desperdício de recursos”, finaliza.
