Amanda Bruneli*
A Lei nº 13.0709, de 14 de agosto de 2018, também denominada Lei Geral de Proteção de Dados Pessoais, entrou em vigor em 18 de setembro de 2020, e trouxe consigo uma série de estratégias normativas para regularizar e normatizar os parâmetros da proteção de dados no Brasil com base no GDPR (General Data Protection Regulation, ou, em português, Regulamentação Geral de Proteção de Dados) – o Regulamento do direito europeu sobre privacidade e proteção de dados pessoais.
A LGPD assegura a proteção dos direitos e garantias fundamentais de liberdade, privacidade e o livre desenvolvimento da personalidade dos indivíduos, sempre que houver tratamento dos dados pessoais em território nacional. Surge, então, a enorme propaganda em torno da necessidade de adequação das empresas brasileiras à nova Lei, sobretudo por conta das sanções e multas que alarmaram o pequeno, médio e grande empresário, já que o respeito à proteção de dados pessoais é um diferencial competitivo capaz de definir uma marca de idoneidade moral do negócio e determinar a busca por parceiros no âmbito empresarial.
Entretanto, pouco se fala da aplicabilidade da Lei, tanto para o segundo quanto para o terceiro setor. Por isso, vamos esclarecer alguns conceitos para que o leitor possa contextualizar a abordagem deste artigo.
O terceiro setor
Ao lado do Estado (Primeiro Setor) e com o Mercado (Segundo Setor), o terceiro setor se identifica como um ente mobilizador de recursos humanos e materiais para alavancar iniciativas voltadas para o desenvolvimento social. Nesse viés, o terceiro setor pode ser abarcado pelas atividades no qual se inserem as sociedades civis sem fins lucrativos, as associações civis e as fundações de direito privado, todas entidades de interesse unicamente social.
Aliás, ressalta-se que o Terceiro Setor não é público e nem privado, no sentido convencional desses termos, na medida em que guarda uma relação simbiótica com ambos – sua identidade advém da conjugação entre a metodologia deste com as finalidades daquele. Logo, o Terceiro Setor é composto por organizações de natureza privada sem finalidade lucrativa, dedicadas à consecução de objetivos sociais ou públicos, ainda que não seja integrante do governo (definido como administração estatal).
Na perspectiva do Terceiro Setor, o empenho na fase de conscientização do projeto de adequação deve ser ainda mais explorado, já que a LGPD será uma oportunidade de profissionalização e modernização na coleta, tratamento e compartilhamento do grande número de dados e informações que compõem o escopo de iniciativas das associações e seus projetos de relevância social. Aliás, quando estamos diante de um setor que tem boa parte de seu financiamento advindo de doações privadas, a transparência, segurança e finalidade são princípios que devem ser respeitados com ainda mais cuidado, já que o nome e boa-fama da Instituição serão um diferencial para atração de investimentos.
Para contextualizar o leitor, a conscientização é uma das primeiras partes do projeto de adequação. Nela, são abordados alguns conceitos iniciais e as etapas do projeto – isso é essencial para as próximas fases, como a de mapeamento dos dados (data mapping), em que os funcionários e a gerência devem ser capazes de entender os questionamento feitos para que seja, posteriormente, analisados os riscos nas operações. Por isso, cabe ao profissional que trabalha com a LGPD prender a atenção da equipe, ser visto como solução para a Instituição, e expor tudo de forma simples – sobretudo para tirar a imagem de fiscalizador da Lei, e assumir um papel positivo no projeto.
Instituições de Longa Permanência para Idosos (ILPIs)
Conceitualmente, as ILPIs são locais de acolhimento residencial para idosos, destinadas ao domicílio coletivo de pessoas com idade igual ou superior a 60 anos, com ou sem suporte familiar, podendo ser governamentais ou não governamentais, e foram criadas com o intuito de proporcionar condições de dignidade, acolhimento e tutela aos idosos, já que o envelhecimento atinge os aspectos sociais, emocionais e físicos do indivíduo.
Porém, é válido ressaltar que o serviço prestado por essas Instituições não está limitado ao atendimento das necessidades mais imediatas relacionadas à integridade e à saúde, física ou psíquica, por exemplo. A tutela do idoso envolve o resguardo em relação aos dados pessoais do mesmo, já que se tratam de alvos preferenciais de crimes relacionados a fraudes e obtenção de informações indevidas. Não obstante, compete a Autoridade de Nacional de Proteção de Dados (ANPD), e abarca os deveres instituídos para toda a sociedade, a obrigação de se “garantir que o tratamento de dados de idosos seja efetuado de maneira simples, clara, acessível e adequada ao seu entendimento, nos termos desta Lei e da Lei nº 10.741, de 1º de outubro de 2003 (Estatuto do Idoso)” (art. Art. 55-J, inciso XIX, LGPD), tornando adequado o tratamento de dados pessoais dos idosos.
Instituições para idosos e controle dos dados
Nessa perspectiva, as Instituições de Longa Permanência para Idosos são consideradas controladoras de dados pessoais, e por isso, cabe a elas atentar-se às diretrizes normativas estipuladas pela LGPD. Por isso: “Responde se causar dano a outrem em decorrência do exercício da atividade de tratamento” (Art. 42, LGPD). Logo, surge a necessidade de criar e monitorar os processos internos dessas instituições, de modo que sejam rigorosos e se atentem aos riscos internos e externos relacionados à proteção de dados, garantindo, não só a proteção dos idosos acolhidos, mas dos funcionários, colaboradores, doadores e terceiros.
Ademais, as ILPIs devem cumprir um papel de barrar as tentativas ilegais e indevidas de obtenção dos dados pessoais dos idosos, através da definição de políticas de governança de dados, compliance e proteção de dados – medidas técnicas e administrativas relativas à segurança da informação e à proteção da privacidade. Destaca-se que o tratamento dos dados pessoais deve ser limitado ao mínimo de funcionários e colaboradores necessário para atingir as respectivas finalidades da Instituição, assim como deve haver o monitoramento constante das políticas implementadas no projeto de adequação, de modo que haja, principalmente, os registros das operações de tratamento, o armazenamento dos dados em ambiente seguro e controlado, o descarte contínuo dos dados desnecessários para a manutenção das atividades, além da conscientização e treinamento abordados no início do artigo.
Conscientização e treinamento dos funcionários
Aliás, essa conscientização dos colaboradores é imprescindível no que tange à confidencialidade e aos cuidados em relação ao tratamento de dados pessoais dos idosos, sobretudo nas questões que envolvem compartilhamento de dados com terceiros e doadores, já que o principal fator de risco de incidentes envolvendo dados pessoais ocorre através do fator humano. Por isso, o treinamento deve envolver todas as áreas da Instituição – desde a alta gerência até a enfermaria, geriatria e assistência social. Ainda, é necessário se atentar para o fato de que estamos lidando com um setor que usa de projetos e propagandas para arrecadar subsídios para a subsistência do idoso. Logo, ainda que haja boa intenção por trás da ação, o dever de respeitar a finalidade e os princípios da LGPD deve permanecer no tratamento dos dados para que a idoneidade moral da Instituição não seja comprometida.
Informações de saúde dos idosos
Outro fator de risco diz respeito aos dados pessoais sensíveis dos idosos, tais como as informações relativas à saúde. Além das restrições legais do tratamento dos dados sensíveis previstas no art. 11 da LGPD estarem expressas no texto da lei, há uma vedação em relação à comunicação ou ao uso compartilhado de dados pessoais sensíveis entre controladores, com objetivo de obter vantagem econômica. Por isso, as ILPIs não poderão usar dados sensíveis dos idosos para angariar parcerias, visando contraprestação econômica – ainda que sob a alegação de que tal dinheiro seria revertido em proveito dos idosos.
Inclusive, no que tange à sustentabilidade na implementação do projeto de adequação à LGPD para as ILPIs, existem diversas fontes estatais de subsídio, o que facilita e torna ainda mais viável assegurar a dignidade e o bem-estar dos idosos, que poderão contar com a colaboração do Estado e de terceiros.
Aplicação da LGPD no terceiro setor
Logo, constata-se que a necessidade de aplicação da LGPD no terceiro setor é inegável, já que o texto da Lei estipula que o tratamento de dados pessoais pode ser feito por pessoas jurídicas de direito privado, que segundo o Código Civil brasileiro, são as associações (como as ILPIs) e fundações de direito. Ainda que a legislação tenha o viés de proteger as pessoas físicas nas relações de consumo, especificamente, quanto ao uso de seus dados pessoais, devemos fazer uma interpretação pormenorizada da expressão “dado pessoal” para melhor aplicabilidade da norma.
Dado pessoal
Dado pessoal é toda informação relacionada a pessoa natural, identificada ou identificável. Aqui temos uma explicação: “informação” pode ser qualquer coisa que, quando relacionada a um ser humano, torne ele capaz de ser identificado ou identificável. Por exemplo: nome, profissão, localização, preferências. Por esse motivo, uma profissão não é um dado pessoal por si só, mas combinada com um nome, pode ser.
Quando a Lei diz “pessoa natural” ela quer mostrar que não protege dados de pessoas jurídicas (como empresas) – estas têm outros aparatos legais para recorrer. Nessa perspectiva, ao usar o termo identificada, significa uma pessoa que foi individualizada por suas características específicas, como o que o ocorre com o uso do CPF. Por outro lado, identificável é uma característica que pode vir a identificar alguém, como um número de matrícula na empresa em que a pessoa trabalha. Ou seja: quanto mais informações (dados pessoais) de um indivíduo a Instituição coleta e faz uso, sem uma justificativa explorada através da base legal que melhor se adeque a finalidade do tratamento, mais riscos aquela operação apresenta.
Cookies
Além disso, é óbvio que existem outros meios de interação entre as organizações e as pessoas físicas, como os cookies, que são usados para rastrear informações dos visitantes de páginas de internet. Nesse caso, as organizações possuem condições de coletar informações e utilizá-las de modo que crie um impacto maior ao gerar uma espécie de “conexão” com a pessoa física e,por isso, esse também deve ser considerado um dado pessoal. Veja, por exemplo, que o intuito da LGPD não é proibir a utilização de cookies para criar esse tipo de aproximação entre público e entidade, mas tão somente que esse tratamento de dados seja feito através de formulários, cookies, tags e endereços de IP’s, se atentando para as finalidades das respectivas coletas – que devem estar amparadas pelas bases legais expostas na Lei. Além disso, é muito importante que os titulares dos dados sejam informados sobre quais de seus dados pessoais estão sendo coletados e para quais finalidades (isso pode ser feito por meio de uma política de privacidade, por exemplo).
Tratamento de dados
Conforme o exposto, quando nos referimos ao “tratamento de dados”, este deve ser entendido como qualquer operação executada com um dado pessoal, desde sua coleta até armazenamento, compartilhamento e descarte. Aliás, a LGPD demonstra o rol de tratamento de dados como taxativo, não sendo permitido outras situações que não as previstas na lei em questão. Essas hipóteses são as chamadas bases legais, em que a lei autoriza o tratamento de dados pessoais previstos no artigo 7º, para dados comuns, e no artigo 11º para dados pessoais sensíveis.
Proteção dos dados dos idosos
Portanto, a Lei Geral de Proteção de Dados consagra elementos essenciais para a proteção dos dados pessoais dos funcionários, colaboradores, empresas, associações e fundações, consumidores, terceiros e principalmente para os idosos acolhidos pelas ILPIs. Como legislação de tratamento de dados, a Lei tem a prerrogativa de colocar o Brasil em um novo patamar de modernidade regulatória, desde que haja a colaboração e aderência de todos os setores. Através de um projeto de adequação específico, a ILPI e suas respectivas operações serão analisadas e alinhadas com a necessidade e finalidade, de modo que entre em conformidade com a base legal estipulada pela Lei, viabilizando o tratamento que se realiza, sob pena de sofrer as sanções administrativas e até mesmo ser responsabilizada judicialmente pelo tratamento indevido de dados.
Ademais, os preceitos constitucionais, aliados às normas trazidas pela LGPD e pelo Estatuto do Idoso, esboçam o conjunto de leis que podem garantir a proteção dos idosos em âmbito social, emocional e físico, sendo as ILPIs o instrumento de implementação e tutela dos idosos, haja vista a precariedade da eficácia das políticas públicas sobre o tema.
Leia outro artigo da autora: Cultura cibernética – entenda os principais ataques cibernéticos e como proteger-se
Amanda Bruneli: Advogada OAB/PR | Direito Civil | Contencioso Civil | Consultora em Proteção de Dados | LGPD
