O que é a LGPD e por que ter uma Política de Privacidade
A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018 – LGPD) é o marco regulatório brasileiro que disciplina o tratamento de dados pessoais por pessoas físicas ou jurídicas, de direito público ou privado. Vigente desde setembro de 2020, com sanções administrativas aplicáveis desde agosto de 2021, a LGPD transformou profundamente a relação entre empresas e consumidores no Brasil.
A Política de Privacidade é o instrumento pelo qual o controlador de dados cumpre o dever de transparência previsto no art. 9º da LGPD, informando ao titular: quais dados são coletados, para quais finalidades, com quem são compartilhados, por quanto tempo são armazenados e como exercer os seus direitos.
Toda empresa que coleta, armazena, utiliza ou processa dados pessoais de pessoas físicas — seja por meio de site, aplicativo, formulário físico ou qualquer outro meio — deve possuir uma Política de Privacidade atualizada, acessível e redigida em linguagem clara.
Elementos obrigatórios da Política de Privacidade
Para estar em conformidade com a LGPD, a Política de Privacidade deve conter, no mínimo:
- Identificação do controlador: razão social, CNPJ e dados de contato da empresa responsável pelo tratamento dos dados.
- Encarregado (DPO): nome e canal de contato do Encarregado pelo Tratamento de Dados, conforme art. 41 da LGPD.
- Dados coletados e finalidades: quais categorias de dados são tratados e para quais propósitos específicos.
- Bases legais: o fundamento jurídico do tratamento (consentimento, execução contratual, obrigação legal, legítimo interesse, etc.), nos termos do art. 7º da LGPD.
- Compartilhamento: com quais operadores ou terceiros os dados são compartilhados.
- Prazo de retenção: por quanto tempo os dados são mantidos antes de serem eliminados ou anonimizados.
- Direitos dos titulares: como o titular pode exercer os direitos previstos no art. 18 da LGPD.
Direitos dos titulares de dados
O art. 18 da LGPD assegura ao titular dos dados pessoais um conjunto amplo de direitos que devem ser atendidos pelo controlador no prazo de 15 dias úteis:
- Confirmação da existência de tratamento;
- Acesso aos dados;
- Correção de dados incompletos, inexatos ou desatualizados;
- Anonimização, bloqueio ou eliminação de dados desnecessários ou excessivos;
- Portabilidade para outro fornecedor de serviço ou produto;
- Eliminação dos dados tratados com consentimento;
- Informação sobre compartilhamento com terceiros;
- Revogação do consentimento;
- Petição à Autoridade Nacional de Proteção de Dados (ANPD).
A Política de Privacidade deve indicar claramente o canal para exercício desses direitos, preferencialmente o e-mail do DPO.
Sanções por descumprimento da LGPD
O art. 52 da LGPD prevê sanções administrativas aplicáveis pela ANPD às empresas que descumprirem a lei, incluindo:
- Advertência com indicação de prazo para adoção de medidas corretivas;
- Multa simples de até 2% do faturamento da empresa no Brasil no último exercício, limitada a R$ 50 milhões por infração;
- Multa diária observado o limite total acima;
- Publicização da infração após devidamente apurada e confirmada;
- Bloqueio ou eliminação dos dados pessoais a que se refere a infração;
- Suspensão parcial ou total do banco de dados por até 6 meses, prorrogável.
Além das sanções administrativas, a empresa pode responder civilmente por danos causados aos titulares em razão do tratamento inadequado de dados pessoais, com inversão do ônus da prova em favor do titular consumidor (art. 42 e 43 da LGPD).