LGPD

A Lei 13.709, de 14 de agosto de 2018, é a Lei Geral de Proteção de Dados Pessoais. Ela trata do tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado (art. 1º). Um PDF com dados de uma pessoa, guardado numa pasta compartilhada ou enviado por e-mail, entra nessa definição.

Dado pessoal é, nos termos do art. 5º, I, a informação relacionada a pessoa natural identificada ou identificável. Nome e CPF são exemplos diretos. Dado pessoal sensível (art. 5º, II) é o que trata de origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, saúde ou vida sexual, e dado genético ou biométrico vinculado a uma pessoa.

Quando a lei se aplica

O art. 3º manda aplicar a lei a qualquer operação de tratamento feita no território nacional, ou que tenha por objetivo oferecer bens e serviços a pessoas localizadas no Brasil, ou ainda com dados coletados aqui. O art. 4º lista exceções, como o tratamento por pessoa natural para fins exclusivamente particulares e não econômicos. Guardar o holerite da família no seu computador, por exemplo, não é o foco da lei. Já uma empresa que guarda holerites de funcionários trata dados pessoais.

A maior parte dos artigos passou a valer em 2020, 24 meses após a publicação, e as sanções dos arts. 52 a 54 em 1º de agosto de 2021 (art. 65).

O que ela pede

Todo tratamento precisa se encaixar em uma hipótese do art. 7º, e o tratamento de dados sensíveis, nas hipóteses do art. 11. O consentimento é uma delas, não a única. Entre as demais estão o cumprimento de obrigação legal ou regulatória, a execução de contrato, o exercício regular de direitos em processo e o legítimo interesse do controlador ou de terceiro.

O art. 6º lista os princípios que o tratamento deve seguir. Entre eles estão a finalidade (propósitos legítimos, específicos, explícitos e informados ao titular), a necessidade (limitação ao mínimo necessário) e a segurança (medidas técnicas e administrativas aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão).

Pelo art. 46, os agentes de tratamento devem adotar medidas de segurança desse tipo. A lei não diz qual medida usar em cada caso: a escolha de uma senha de abertura no PDF, por exemplo, é uma decisão do responsável, que deve considerar o risco.

Terminado o tratamento (art. 15), os dados pessoais devem ser eliminados, dentro dos limites técnicos das atividades, ressalvados os casos do art. 16, como o cumprimento de obrigação legal ou regulatória.

Na prática com PDFs

Um departamento de RH guarda currículos numa pasta do Drive. São dados pessoais coletados para uma finalidade, o processo seletivo. Encerrado o processo, aplicam-se os arts. 15 e 16: ou há hipótese legal para continuar guardando, ou os dados devem ser eliminados.

Uma clínica envia um laudo por e-mail. Dado de saúde é sensível (art. 5º, II), e o art. 46 exige medidas de segurança adequadas. Criptografar o PDF com senha de abertura e enviar a senha por outro canal é uma medida técnica possível, não a única nem uma exigência literal da lei.

Um contrato vai ser publicado para consulta. Se não há hipótese legal para divulgar os CPFs, eles precisam ser removidos do arquivo, e tarjar por cima não apaga: se a tarja for um retângulo desenhado sobre o texto, o texto continua no arquivo e pode ser copiado.

Os metadados também contam: o nome do autor pode estar gravado no arquivo mesmo sem aparecer na tela. A ferramenta de metadados permite ver e limpar esses campos.

Incidentes e sanções

O art. 48 determina que o controlador comunique à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

Entre as sanções do art. 52, aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD), estão a advertência, a multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, excluídos os tributos, limitada a R$ 50 milhões por infração, e a publicização da infração depois de apurada e confirmada. Veja o guia de segurança de PDF para as medidas concretas com arquivos.