A LGPD, Lei 13.709/2018, dispõe sobre o tratamento de dados
pessoais, inclusive nos meios digitais, por pessoa jurídica de direito público
ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e
de privacidade e o livre desenvolvimento da personalidade da pessoa natural.
Sancionada em 2018 e com entrada em vigor em setembro de
2020, a lei tem muitos efeitos para todas as empresas, que tiveram mais de dois
anos para se adaptar. É evidente que algumas atuam diretamente no tratamento de
dados pessoais, e deverão ter máxima atenção à implementação de medidas
eficazes com vistas ao atendimento da lei no âmbito de sua atividade fim. De
fato, muitas implementaram as medidas e já cumprem os protocolos de tratamento
de dados.
Outras empresas, no entanto, parecem não se preocupar tanto
com os efeitos da LGPD, seja porque entendem que sua atividade não abrange o
tratamento de dados de forma direta, seja porque entendem que a questão já
estaria regulada em legislação própria referente à sua atividade.
É o que acaba por acontecer com escritórios de advocacia,
que opuseram certa a resistência a se adaptar à LGPD porque entenderam, num
primeiro momento, que a legislação que regula especificamente a atividade já
impunha a obrigação de sigilo e não se consideram "alvo" da lei.
Importante trazer alguns conceitos básicos da LGPD que, além
de se prestarem aos objetivos acadêmicos de praxe, servem para dar a exata
noção de que há muito o que fazer para implementar as medidas adequadas de
proteção de dados, inclusive nos escritórios de advocacia:
— Dados pessoais: informação relacionada a pessoa natural
identificada ou identificável;
— Dados sensíveis: "dados pessoais sobre origem
racial ou étnica, convicção religiosa, opinião política, filiação a sindicato
ou a organização de caráter religioso, filosófico ou político, dado referente a
saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma
pessoa natural";
— Controlador: pessoa natural ou jurídica, de direito
público ou privado, a quem competem as decisões referentes ao tratamento de
dados pessoais — nos escritórios, em geral, são os sócios gestores ou
administradores, que representam a sociedade e tomam efetivamente as decisões;
— Operador: pessoa natural ou jurídica, de direito
público ou privado, que realiza o tratamento de dados pessoais em nome do
controlador — nos escritórios, em geral, são os colaboradores que tratam dados
pessoais, como a equipe de RH, a área financeira e mesmo os advogados e
estagiários que lidem com dados pessoais de clientes;
— Encarregado: pessoa indicada pelo controlador e
operador para atuar como canal de comunicação entre o controlador, os titulares
dos dados e a Autoridade Nacional de Proteção de Dados (ANPD) — o escritório
deve nomear uma pessoa, de preferência, alguém que tenha domínio completo da
gestão interna e poderes de administração, para figurar como encarregado;
— Agentes de tratamento: o controlador e o operador;
— Tratamento: toda a operação realizada com dados pessoais,
como as que se referem a coleta, produção, recepção, classificação, utilização,
acesso, reprodução, transmissão, distribuição, processamento, arquivamento,
armazenamento, eliminação, avaliação ou controle de informação, modificação,
comunicação, transferência, difusão ou extração;
— Consentimento: manifestação livre, informada e
inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais
para uma finalidade determinada;
— Relatório de impacto à proteção de dados pessoais:
documentação do controlador que contém a descrição dos processos de tratamento
de dados pessoais que possam gerar riscos às liberdades civis e aos direitos
fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de
riscos.
Como se vê pela profundidade e detalhamento dos conceitos
acima listados, o bem jurídico protegido pela LGPD é distinto do bem jurídico
protegido pelo Estatuto da Advocacia e pelo Código de Ética e Disciplina da
OAB. Pode haver ponto de toque e, de fato, o mesmo dado ser objeto do sigilo
protegido pela relação advogado-cliente e ser dado pessoal, protegido pela
LGPD, mas não necessariamente isso ocorre.
Além disso, mais abrangente do que a proteção da informação
em si, a LGPD prevê cuidados com recebimento, consentimento, tratamento,
armazenamento e eliminação de dados pessoais, bem como a necessidade de planos
de contingência em caso de vazamento, atribuindo as responsabilidades aos
indicados pela lei, que prestarão contas à ANPD (Agência Nacional de Proteção
de Dados). É uma verdadeira norma de compliance voltada
especificamente a dados pessoais, mais completa, abrangente e exigente que as
legislações específicas que cuidam da ética nas atividades (advocacia e
outras).
O não atendimento aos ditames da lei pelos colaboradores dos
escritórios de advocacia expõe seus clientes e colaboradores, bem como a
sociedade a severos riscos, tanto de imagem e credibilidade quanto financeiros,
em razão das multas previstas na legislação, razão pela qual o cumprimento
dessa norma é obrigatório a todos os colaboradores e fornecedores dos
escritórios de advocacia.
Como em todas as empresas, a adaptação dos escritórios aos
ditames da lei exige empenho conjunto de equipe especializada e da gestão do
escritório em suas mais diversas áreas.
A terceirização da análise dos dados tratados, dos perfis de
acesso e do mapeamento das ações a serem tomadas pode ser medida eficiente de
forma a garantir maior independência nas soluções propostas e, ao mesmo tempo,
não canalizar energia interna, no primeiro momento, para um trabalho que exige
conhecimento específico.
Além de profissionais com expertise jurídica e empresarial
para cuidar do tema, é importante ressaltar que assim como há diversos ramos do
Direito, há diversas especialidades no âmbito da área de tecnologia da
informação. Nessa linha, nem sempre o apoio de TI já existente no escritório é
o mais especializado para implementar as medidas exigidas pela lei, de forma
que aqui a terceirização também pode ser interessante e mais segura.
É evidente que terceirizar essa tarefa pode trazer algum
custo, mas libera a gestão interna do escritório da fase inicial, muito
trabalhosa, de mapear os dados, fluxos e, consequentemente, os riscos. A
escolha de um bom ponto focal interno, que trabalhará nessa fase com um bom
especialista externo é suficiente para que se mapeie quais dados pessoais são
recebidos e armazenados, os atuais fluxos de dados pessoais no âmbito
interno, desde seu recebimento, sua guarda, as permissões de acesso a eles e
sua eliminação, bem como os riscos de vazamento. Essa parte do processo deve
ser conduzida por quem de fato conhece as operações como um todo.
Uma vez cumprida essa primeira etapa, o entendimento sobre
os efetivos riscos de vazamento e suas consequências deve ser compartilhado com
a gestão do escritório como um todo, com máximo envolvimento das principais
lideranças.
Em seguida, devem ser designados os profissionais que
responderão pela implantação das medidas previstas na lei, especialmente do
encarregado — pessoa indicada pelo controlador e operador para atuar
como canal de comunicação entre o controlador, os titulares dos dados e a
Autoridade Nacional de Proteção de Dados (ANPD).
Feito isso, passamos à fase de elaboração dos normativos
internos e da política a ser implementada e publicada, que deverão detalhar, em
cada área e esfera de atuação, o fluxo dos dados pessoais, como se dará o
consentimento, forma e tempo de guarda, perfis de acesso e forma segura de
eliminação ou anonimização, quando for o caso, e, não menos importante, o plano
de contingência em caso de vazamento de dados.
É fundamental a elaboração de termos de consentimento, seja
para clientes, seja para colaboradores e outros eventuais fornecedores de dados
que lhes dê total conhecimento sobre a forma de tratamento e eliminação de
dados adotada pelo escritório.
Cuidados adicionais devem ser adotados em contratos de
trabalho, contratos de honorários e com fornecedores, prevendo cláusulas
específicas que visem resguardar o escritório, seja como coletor ou fornecedor
de dados pessoais.
A participação das lideranças internas junto aos consultores
externos é fundamental para que as medidas sugeridas não atrapalhem a operação
do escritório, mas apenas permitam a adaptação da rotina à LGPD.
Por fim, antes da publicação e divulgação da nova política,
deve ser feito um profundo trabalho de conscientização interna do teor da lei,
seus efeitos e riscos, o que, sabemos, não é tarefa fácil, mesmo em escritórios
de advocacia. Isso porque desviar, ainda que brevemente, a atenção da
atividade-fim — a advocacia em si — para procedimentos de
gestão é um grande desafio e essa fase já não pode ser assumida exclusivamente
por consultores externos, porque liderar é sobretudo dar exemplo.
Assim como tudo o que se refere à gestão, os resultados de
uma boa implementação de políticas seguras de proteção de dados superam, em
muito, seus pequenos e temporários inconvenientes. Trata-se de mais um viés da
valorização da gestão no âmbito dos escritórios e departamentos jurídicos, que
mantém segura, consistente, perene e eficiente a atividade jurídica.
Fonte: Consultor Jurídico
