Imagem: iStock

O presidente Michel Temer sancionou hoje (14) o PLC 53/18, criando assim a Lei Geral de Proteção de Dados Pessoais. Mas, como se esperava, o Executivo promoveu diversos vetos ao original encaminhado pelo Senado. A principal mudança foi a retirada dos artigos 55 a 59, que determinavam a criação de uma Autoridade Nacional de Proteção de Dados. Sem a autoridade, especialistas temem que o resultado seja uma lei sem fiscalizador acerca do seu cumprimento.

“Sem a Autoridade, a legislação fica “manca”, pois não há reguladores com expertise técnica e tampouco estrutura administrativa para monitoramento das práticas de mercado e de práticas ilegais de uso de dados pessoais pelo Poder Público”, analisa o Instituto Brasileiro de Defesa do Consumidor – Idec.

Para a advogada especialista em direito digital Patricia Peck, a medida pode gerar entraves a relações comerciais com outros países que exijam um marco regulatório com um agente fiscalizador. “A falta de alinhamento no mesmo grau de proteção de dados em nível internacional gera impactos econômicos para o país, pois contribui para aumentar o custo Brasil. É fundamental ter uma autoridade nacional independente, com meios de alcançar eficiência e sustentabilidade, para inclusive estarmos de acordo com o General Data Protection Regulation (GDPR) europeu”, afirma.

Nova lei

A sanção do texto com vetos aconteceu em meio a promessas de Temer de que seria enviado ao Congresso um PL de autoria do Executivo prevendo a criação da autoridade. Gilberto Kassab, ministro do MCTIC, chegou a aventar a possibilidade de edição de uma MP para acelerar a questão.

Mas a emenda ao soneto não agradou ao Idec, que juntamente com outras associações e movimentos da sociedade civil cobravam a aprovação da lei sem modificações. “Corre-se o risco de, com edição de novo Projeto de Lei ou de Medida Provisória, ocorrer a modificação das funções da Autoridade Nacional de Proteção de Dados Pessoais”, cogita.

O instituto também questiona vetos a itens relacionados às sanções sobre as empresas que descumprirem a lei. Um dos vetos retira a previsão legal para que atividades ilícitas de uso de dados sejam suspensas. Na prática, o fiscalizador da lei poderá advertir, multar ou bloquear o uso de dados pessoais. Mas não poderá suspender o funcionamento do banco de dados ou o tratamento de dados. “Esse veto tende a tornar o sistema sancionatório um pouco mais frouxo”, ressalta o Idec.

Por fim, a organização também diz que vetos deixaram o uso de dados dos cidadãos por parte do governo menos transparante. Isso porque o Estado não precisará dar publicidade ao uso que faz de dados pessoais ou a forma como repassa informações das pessoas entre diferentes órgãos. Além disso, retiram a proteção sobre os dados de cidadãos que solicitam informações através da Lei de Acesso à Informação para investigar os poderes públicos.

Ficou preservado

O Idec ressalta, no entanto, que foram preservados pontos positivos. Garantiu-se direitos então inexistentes aos cidadãos. Não houve mudanças quanto aos direitos básicos, nem nos conceitos de proteção a dados sensíveis, regras de transparência, proteção de dados das crianças, direitos de portabilidade de dados e de auditoria de condutas potencialmente discriminatórias.

Conforme a Dra. Peck, as obrigações das empresas seguem inalteradas. As empresas que lidam com dados pessoais terão que explicar ao titular a finalidade da coleta e do uso dos dados, obter o consentimento para o tratamento e garantir acesso, sem custo, às informações armazenadas.

“Um exemplo é a necessidade de usar criptografia em dispositivos que armazenam dados como fotografias, números de documentos, telefone e e-mail. Exige ferramentas, processo de governança, atualização de políticas e normas e camada de gestão, já que é preciso nomear uma pessoa que será responsável pela relação com as autoridades”, explica.