Tudo sobre os tipos de dados da LGPD e os conceitos da proteção de dados
Sem dúvida, o primeiro passo para começar a adequação à LGPD – Lei Geral de Proteção de Dados – é entender melhor o que essa legislação estabelece.
Afinal de contas, é necessário conhecer todos os conceitos e contornos jurídicos da legislação para não correr o risco de descumpri-los
Sem contar que ninguém pode justificar o descumprimento da lei em razão de desconhecimento. Ou seja: só assim você vai conseguir garantir a proteção completa da sua empresa.
Pensando nisso, escrevi esse artigo para explicar alguns conceitos básicos da LGPD. Em especial, para diferenciar os tipos de dados e apontar quais dados são tratados pela LGPD.
Nesse contexto, o artigo se divide em duas partes:
- em primeiro lugar, os tipos de dados da LGPD; e, em seguida,
- os conceitos referentes ao tratamento de dados da LGPD.
Qual é a diferença entre dados e informações?
Antes de mais nada, é importante falar que “dados” significam a matéria-prima de uma cadeia estratégica para empresas.
Isso porque a gestão de dados compreende a identificação, o armazenamento, a sistematização, a proteção e o uso de dados para transformá-los em uma fonte de conhecimento para tomar decisões com sabedoria.
Isso quer dizer que, quando bem gerenciados, os dados podem fornecer uma perspectiva interessante da realidade das pessoas colaboradoras, do resultado do trabalho, do mercado e do público-alvo.
Então, essa cadeia estratégica começa com os dados que são transformados em informações. Em seguida, as informações devem construir conhecimentos que, por fim, evoluirão para a sabedoria empresarial (dados – informações – conhecimentos – sabedoria).
Pois bem, a partir da descrição de cada uma das etapas da cadeia estratégica, você pode perceber que, embora muitas vezes usados como sinônimos, existem dados e informações.
Exatamente assim: como dois conceitos diferentes. Que, inclusive, decorrem um do outro. Vou te explicar melhor.
Dados
Os dados são, em termos simples, uma sequência de símbolos quantificáveis. Nesse sentido, textos, descrições, números, imagens, sons, animações podem ser dados.
Informações
As informações, no entanto, são subjetivas. Já que se referem ao significado que uma pessoa dá a um dado. A informação é a interpretação dos dados.
Esses conceitos levam à distinção de outros dois: a diferença entre gestão de dados e gestão de informações.
Gestão de dados x Gestão da informação
A partir disso, a gestão de dados lida com a etapa inicial dos registros empresariais: desde a coleta até a etapa em que eles podem finalmente se transformar em informações.
A gestão da informação, por outro lado, acontece no final dos processos. Ou seja: quando os dados já foram interpretados e podem orientar novas estratégias ou decisões nas empresas.
Tipos de dados da LGPD
De início, é fundamental reiterar que a Lei nº 13.709, Lei Geral de Proteção de Dados (LGPD) já está em vigor e tem como finalidade principal proteger a privacidade das pessoas de forma física e digital.
Ou seja: o principal objetivo da LGPD é evitar o vazamento e o compartilhamento de dados de forma ilegal.
Nesse sentido, a LGPD estabeleceu uma categorização de três tipos diferentes de dados: os dados pessoais, os dados pessoais sensíveis e os dados pessoais anonimizados.
A partir dessa distinção, estabeleceu-se que os dados pessoais anonimizados não recebem um tratamento prescrito pela LGPD. Ou seja: apenas o tratamento dos dados pessoais, sensíveis ou não, devem se adequar à LGPD.
Bom, em primeiro lugar, você deve entender a distinção entre esses três tipos de dados da LGPD. Depois disso, vai ser simples de distinguir quais devem seguir a LGPD e quais não precisam.
Dados pessoais
Os dados pessoais compreendem qualquer informação que possibilite a identificação, mesmo que de maneira indireta, de uma pessoa que esteja viva.
A LGPD define os dados pessoais no inciso I, do artigo 5º: “dado pessoal: informação relacionada à pessoa natural identificada ou identificável”.
Nesse sentido, alguns exemplos de dados pessoais são:
- Nome;
- RG;
- CPF;
- Gênero;
- Data e local de nascimento;
- Telefone;
- Endereço residencial;
- Endereço de e-mail;
- Retrato em fotografia.
Dados identificáveis
Os dados identificáveis são, como o próprio nome sugere, dados em que é possível identificar a pessoa titular.
É importante mencionar que, na grande maioria, os dados não identificam ninguém, se estiverem isolados. No entanto, se estiverem agrupados com outros dados, permitem diferenciar as pessoas.
Isso também leva à conclusão de que, quanto mais informações combinadas umas com as outras, mais fácil é identificar a pessoa titular desses dados. O que, por consequência, aumenta o risco à proteção de dados.
Dados pessoais sensíveis
Dentro da categoria dos dados pessoais, existem os dados pessoais sensíveis, conforme estabelece o inciso II, artigo 5° da Lei Geral De Proteção de Dados.
De forma geral, os dados pessoais sensíveis tratam de informações de caráter mais íntimo das pessoas.
Segundo a legislação, os dados sensíveis referem-se à:
- Origem racial ou étnica;
- Convicção religiosa;
- Opinião política;
- Filiação ao sindicato ou à organização de caráter religioso, filosófico ou político;
- Dado referente à saúde ou à vida sexual;
- Dado genético ou biométrico.
A descrição dos dados pessoais sensíveis é um rol taxativo. Isso significa que apenas são dados sensíveis os dados que se encaixam expressamente nessa classificação.
Isso porque esse tipo de dado tem uma particularidade específica. Por esse motivo, demanda um tratamento distinto pela lei.
Dados anonimizados
Os dados anonimizados são informações que passaram por um processo de anonimização e que, portanto, não são mais identificáveis.
A anonimização é uma técnica de processamento de dados que remove ou modifica informações que possam identificar a pessoa titular.
Quer dizer, esse processo justamente promove a desvinculação entre os dados pessoais e as pessoas titulares, com o objetivo de garantir a segurança e a privacidade.
Em resumo, a anonimização pode acontecer de duas formas: (i) encobrimento de caracteres, em que se substitui os dados por X ou por asteriscos ou; (ii) generalização, em que se substitui os dados por categorias mais amplas ou genéricas.
Quer dizer, são aqueles dados que, isoladamente, não possibilitam a identificação de uma pessoa em razão de técnicas que desvinculam os dados à pessoa.
Um exemplo comum dessa categoria de dados são aqueles de pesquisas e de estudos científicos e não está sujeita à aplicação da LGPD.
É importante ressaltar que ao passar pelo processo de anonimização (e, portanto, se tornar um dado anonimizado), esses dados deixam de ser dados pessoais. Isso é o que garante que eles não se sujeitem à LGPD.
Dados anônimos
Nessa perspectiva, a principal característica de um dado anônimo é de não ser possível identificar a pessoa titular.
Além disso, são dados que não podem mais ser revertidos em dados pessoais. Ou seja, dados que não poderão ser identificáveis novamente.
É por isso que dados anônimos são diferentes de dados pseudônimos. Já que a pseudonimização dos dados consiste em tornar os dados anônimos, mas com a possibilidade de revertê-los para dados pessoais.
Utilização de dados e informações na LGPD
A primeira conclusão que se chega é que a LGPD tem a finalidade de proteger informações específicas, que são os dados pessoais.
Apesar do nome “dados”, a tutela da LGPD se destina às informações pessoais de pessoas físicas e jurídicas, não apenas seus dados.
Essa intenção fica clara quando a legislação, no artigo 5º, define o que é dado pessoal e, de forma ainda mais específica, define uma proteção maior para as informações sensíveis. Olha só:
Art. 5º Para os fins desta Lei, considera-se:
I – dado pessoal: informação relacionada à pessoa natural identificada ou identificável;
II – dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
Conceitos referentes ao tratamento de dados
Além do mais, conhecer conceitos e nomenclaturas da LGPD também faz parte desse processo de adequação à legislação.
Por isso, separamos 4 conceitos que você precisa saber:
Autoridade nacional
De acordo com a LGPD, a Autoridade Nacional de Proteção de Dados (ANPD) é a entidade que regula e fiscaliza o cumprimento da lei.
Inclusive, a Medida Provisória nº 869/18 caracterizou a ANPD como autoridade pública integrante da Presidência da República.
Além do mais, a MP também regulou os atributos da ANPD que se resumem a:
- Editar normas de proteção de dados;
- Monitorar e fiscalizar o cumprimento da LGPD;
- Implementar ferramentas para melhorar a comunicação entre empresas, autoridades e titulares de direitos;
- Realizar pesquisas sobre proteção de dados no exterior;
- Aplicar sanções em caso de descumprimento da LGPD.
Tratamento de dados
O tratamento de dados, de forma geral, refere-se a qualquer operação que utiliza as informações pessoais. Esse processo compreende, portanto, a coleta, a classificação, a reprodução, a transmissão e o armazenamento dos dados.
Para efeitos legais, qualquer empresa ou pessoa física que faça tratamento de dados deve seguir as orientações previstas na LGPD e, portanto, adequar seus processos a ela.
Operador
O operador é a empresa ou a pessoa profissional responsável pelo tratamento dos dados. Por esse motivo, é função do operador manter registros sobre esse processo.
Afinal de contas, sempre que precisar, a ANPD pode solicitar esses registros, para verificar se a empresa está em conformidade com a LGPD.
Pelo mesmo motivo, o operador tem responsabilidade em situações de vazamento ou qualquer outro tipo de dado que o tratamento de dados incorreto da empresa possa causar às pessoas titulares.
Nesse ponto, a LGPD estabelece, inclusive, que o operador responde de forma solidária pelo ressarcimento em razão desses danos, sempre que descumprir as obrigações da legislação ou quando não seguir as instruções.
Relatório de impacto
O Relatório de Impacto é uma “documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais”.
Ou seja: é um documento que analisa e descreve os possíveis riscos no tratamento de dados. Além disso, também prevê medidas de prevenção e mitigação desses riscos.
O relatório de impacto, na verdade, pode ser elaborado pelo operador e pelo controlador e, em algumas situações, solicitado pela ANPD.
Um ponto importante é que o relatório de impacto pode suprimir informações de segredos comerciais e industriais.
Conte com o auxílio de profissionais especializados
Bom, já deu para perceber que quando se trata da gestão de dados é necessário pensar na eficiência e segurança dos dados.
Não tem como fugir. Sua empresa precisa mapear os dados, definir políticas internas, treinar suas equipes e principalmente se adequar à LGPD.
Nesse caso, é fundamental contar com conhecimentos técnicos e aprofundados, já que há várias etapas de adequação à LGPD.
Se a sua empresa não dispõe de recursos suficientes para contar com uma equipe que tenha conhecimento suficiente sobre o assunto, considere conversar com uma assessoria jurídica personalizada é uma alternativa.
A assessoria irá entender quais são as suas necessidades específicas e fornecerá recomendações úteis ao seu negócio.
Inclusive, se quiser começar a se aprofundar nesses temas e já evitar erros na gestão de dados da sua empresa, baixe o e-book sobre LGPD.
Escrito por Beatriz Coelho, redatora e mestra em Direito.
