Por meio da Medida Provisória (MP) 959/20, o governo federal propôs o adiamento da entrada em vigor da Lei n.º 13.709/18 (Lei Geral de Proteção de Dados Pessoais, LGPD), postergando o início de sua vigência para o dia 3 de maio de 2021. O Congresso, no entanto, rejeitou a alteração, e a lei está em vigor desde o dia 15 de agosto, dois anos após sua publicação no Diário Oficial. Os únicos artigos da LGPD ainda não vigentes se referem às sanções administrativas, que valerão a partir de 1.º de agosto de 2021.
Fruto de longo debate e inspirada na legislação da União Europeia, a Lei 13.709/18 dispõe sobre a proteção de dados pessoais, definidos como toda “informação relacionada à pessoa natural identificada ou identificável”. O objetivo da lei é proteger a liberdade e a privacidade individuais. Para tanto, a LGPD fixa diretrizes e regras para as instituições privadas e públicas que armazenam dados pessoais, sejam eles de internautas, consumidores, partes em um contrato, usuários de serviços públicos ou destinatários de políticas públicas.
O novo marco jurídico para proteção de dados tem especial importância para a internet e os meios digitais, reforçando os princípios do Marco Civil da Internet (Lei 12.965/2014). A LGPD é, no entanto, mais abrangente, abarcando todas as situações de tratamento de dados pessoais. A nova lei apenas não se aplica ao uso e armazenamento de dados com fins exclusivamente jornalísticos, artísticos, acadêmicos, de segurança pública ou de defesa nacional.
A Lei n.º 13.709/18 dispõe que “toda pessoa natural tem assegurada a titularidade de seus dados pessoais, garantidos os direitos fundamentais de liberdade, de intimidade e de privacidade, nos termos desta lei”. Eis um ponto fundamental: o acesso aos dados de uma pessoa não torna uma empresa proprietária dessas informações. Encerrada a relação com a empresa ou o órgão público, é obrigatória a exclusão dessas informações.
Como regra geral, a LGPD prevê que o tratamento de dados pessoais, como armazenamento do endereço de uma pessoa, exige o consentimento do titular ou do seu responsável. Tal previsão é especialmente aplicável aos chamados “dados sensíveis”, que são as informações sobre origem étnica de uma pessoa, suas convicções religiosas e opiniões políticas, sua filiação a sindicatos ou a organizações de caráter religioso, filosófico ou político, os dados referentes à sua saúde ou vida sexual, bem como dados genéticos ou biométricos. A rede social ou o aplicativo que tenha acesso a essas informações não poderá usá-las sem o consentimento expresso do titular. Previstas no art. 7.º, são poucas as exceções à regra geral. Uma delas é o uso de dados por órgãos de pesquisa. Neste caso, sempre que possível, deverá ser respeitado o anonimato dos titulares dos dados.
Ao ser aprovada pelo Congresso, a LGPD previu a criação da Autoridade Nacional de Proteção de Dados (ANPD), órgão do Executivo federal responsável pela aplicação e regulamentação da nova lei. Em razão de inconstitucionalidade por vício no processo legislativo, o dispositivo foi vetado. Depois, o presidente Michel Temer editou a MP 869/18, criando o órgão com as mesmas funções originalmente previstas. Aprovado no Congresso (Lei 13.853/19), o órgão ainda não foi constituído pelo governo federal. É urgente estruturá-lo adequadamente, com uma composição multissetorial e eminentemente técnica, de forma a exercer suas funções com competência e equilíbrio.
Junto com o Marco Civil da Internet, a LGPD é elemento importante na defesa, nos dias de hoje, de valores de sempre: o respeito à privacidade, à intimidade e à honra, em harmonia com as liberdades de expressão, de informação, de comunicação e de opinião. De alguma maneira, todos têm, todos os dias, dados pessoais tratados por instituições públicas ou empresas privadas. É, portanto, muito oportuno que a nova lei – aprovada há dois anos, depois de ter sido longamente debatida e aprimorada – esteja vigente. Não basta estar no papel, a proteção precisa ser efetiva.