SIM, a Autoridade Nacional de Proteção de Dados (ANPD), agência federal que regula e fiscaliza a proteção de dados no Brasil, editou a RESOLUÇÃO CD/ANPD Nº 2, de 27 de janeiro de 2022, que deixa claro que toda empresa/instituição, pública ou privada, que trate dados pessoais, independentemente do seu porte, faturamento, número de funcionários, nicho de mercado e público final, está sujeito à LGPD e deve se adequar a ela, sob pena das sanções nela previstas.

A LGPD já está em vigor, a ANPD está atuando e uma série de decisões judiciais baseadas na LGPD já foram prolatadas pela Justiça. Além dos riscos de penas administrativas (multas, bloqueio de dados, entre outras) a empresa estará sujeita, ainda, às indenizações civis e trabalhistas pelo eventual uso indevido ou violações da LGPD.

Depende. A LGPD é uma lei de compliance, portanto, de aplicação permanente. A não atualização anual dos processos de tratamentos de dados, regras, treinamentos de colaboradores, implica na perda da conformidade com a lei.

A ausência de orçamento para realizar o processo de adequação não é desculpa para não aplicação da lei. A ANPD irá exigir da sua empresa que seu processo de adequação seja compatível com o grau de risco e exposição aos titulares de dados que você trata. Uma consultoria séria irá orientá-lo como proceder nesses casos.

A Lei foi publicada em 14.08.2018 e concedeu prazo de dois anos para todas as empresas se adequarem às suas regras. Logo, a LGPD já está em vigor, desde 14 de agosto de 2020, podendo as fiscalizações e penalizações retroagir a fatos que ocorreram desde então. 

Toda empresa, independentemente do seu porte, que trate dados pessoais em algumas das situações a seguir estão obrigadas a designar formalmente um DPO:

i. em larga escala

ii. dados sensíveis (relativos à origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a um indivíduo)

iii. dados de crianças e adolescentes

iv. dados de idosos

O DPO pode ser um funcionário interno, porém, ele NÃO deverá executar outras atividades na empresa onde são realizados tratamentos de dados pessoais, ter independência e não estar submisso a nenhum gestor de área, para que não incorra em conflito de interesses, ou seja, deverá ser designado exclusivamente para a função de DPO

O DPO as a service (profissional terceirizado) por consultoria ou empresa especializada, traz inúmeras vantagens para sua empresa:

i. reconhecimento do mercado de que o tema da proteção de dados é tratado profissionalmente pela empresa;

ii. disponibilidade de atendimento permanente ao titular de dados, não sujeitando a empresa a férias, afastamentos, faltas de um funcionário designado para a função;

iii. Continuidade do programa de privacidade e proteção de dados - eventual ausência do profissional que executa a função não implicará em perda da eficiência ou validade do programa de privacidade até então executado.

iv. no modelo de DPO as a service por meio de Centro de Serviços Compartilhados (como é o caso da Seusdados) - minimização dos custos mensais com DPO, atuação multidisciplinar envolvendo diversas áreas de conhecimento, dentre outras.