A Lei Geral de Proteção de Dados Pessoais (LGPD), recentemente promulgada no Brasil, entrará em vigor, daqui a um ano, em agosto de 2020. No entanto, uma implementação cuidadosa e bem orientada da legislação tende a produzir benefícios importantes mesmo antes de sua vigência. Esses impactos se aproximam do que a teoria da regulação denomina de regulação por incentivos (simbolizados pela figura da "cenoura") em oposição ao comando e controle (simbolizados pelo "porrete").
A LGPD se aplica a todas as pessoas que realizam o tratamento de dados pessoais. Assim, estarão sujeitas à lei todas as organizações que, em qualquer setor da economia, realizem operações online ou offline com informação relacionada a pessoa natural identificada ou identificável. O processo de adequação à legislação requer planejamento e prudência, geralmente envolvendo desde um mapeamento dos dados até a definição de políticas de privacidade e treinamento.
Nesse contexto, o primeiro benefício resultante da LGPD decorre do próprio incentivo ao conhecimento das informações tratadas. A organização precisa conhecer os dados que entram, saem e são armazenados em seu âmbito. Mais importante, precisa conhecer o "porquê" desse fluxo de dados, observando princípios como o da finalidade, adequação e necessidade.
Assim, o tratamento precisa ser compatível com os propósitos legítimos informados ao titular dos dados, que devem se limitar ao mínimo necessário para a realização dessas finalidades. A Autoridade Nacional de Proteção de Dados (ANPD) poderá solicitar um relatório de impacto à proteção de dados pessoais, com a descrição dos processos de tratamento de dados e as medidas adotadas para mitigação dos riscos gerados. De modo geral, a organização tem de estar apta a prestar contas sobre o cumprimento das normas de proteção de dados pessoais ("accountability").
Tal esforço de identificação e registro dos dados para adequação à Lei tem o potencial de agregar sinergias produtivas e incrementar o grau de eficiência das companhias caso seja coordenado com uma visão estratégica do negócio (ou da política pública) e dos benefícios que um tratamento de dados mais detalhado e cuidadoso pode gerar. Dados mapeados podem iluminar oportunidades antes obscuras de desenvolvimento de produtos e serviços a partir dessas informações. Podem, igualmente, alimentar iniciativas de marketing mais bem-sucedidas, que dificilmente seriam possíveis em um cenário de dados dispersos e sem tratamento adequado.
Uma segunda "cenoura" importante da LGPD é a criação de uma relação de confiança com o titular dos dados (que em muitos casos será também o consumidor dos produtos ou serviços ofertados pela organização). A Lei requer que os dados tratados sejam exatos, claros, relevantes e atualizados. As informações sobre o tratamento devem estar facilmente acessíveis aos titulares e medidas de segurança devem ser adotadas para evitar incidentes de vazamento.
O resultado da implementação cuidadosa e competentemente comunicada dessas medidas é que o titular dos dados passará a confiar na organização que coleta os seus dados pessoais. A organização poderá então garantir algo daquela "paz de espírito ou alívio" que os juristas norte-americanos Warren e Brandeis celebremente atribuíram à privacidade. Colaboradores se sentirão mais confiantes em compartilhar informações; consumidores atuais ou potenciais estarão mais dispostos a utilizar os serviços e produtos, conhecendo e confiando em protocolos rigorosos e cuidados claros para proteção dos dados.
Um terceiro incentivo que poderia ser destacado é o da preocupação com a reputação. À medida que se aproxima a entrada em vigor da LGPD, as empresas que iniciaram processos sólidos de compliance evitarão contratar parceiros que não estejam em um mesmo grau de adequação. Entre outras razões, porque a lei estabelece a responsabilidade solidária pelos danos causados ao titular dos dados em decorrência do descumprimento das obrigações legais.
Esse componente da reputação pode ser verificado no âmbito internacional. Empresas em conformidade com as melhores práticas internacionais encontram menos obstáculos para transacionar com parceiros globais e podem, de maneira geral, se posicionar como competidores mais efetivos. Curiosamente, verifica-se aqui um dos efeitos apontados nas regulações por incentivos: o "viés de seleção" dos agentes mais bem informados e responsáveis - ou daqueles que, de antemão, menos demandam regulação.
Para aqueles que não souberem se valer adequadamente das cenouras, a LGPD também disponibilizará consideráveis "porretes". O descumprimento da lei poderá acarretar severas "sanções negativas", nos termos utilizados pelo teórico Norberto Bobbio para contrapor a sanções positivas ou premiais. Aquelas incluem, por exemplo, multa diária e multa de até 2% do faturamento anual limitadas a R$ 50 milhões por infração, bem como o bloqueio e a eliminação dos dados pessoais a que se refere a infração. Além disso, a empresa estará sujeita às penalidades de legislações específicas, como o Código de Defesa do Consumidor, e a ações individuais e coletivas dos titulares dos dados. Entre os prêmios estabelecidos na Lei, por outro lado, a adoção de política de boas práticas e governança será um dos critérios que permitirão reduzir as penas do sancionado pela ANPD.
A um ano da entrada em vigor da LGPD, sairão na frente as organizações que souberem identificar as "cenouras", aproveitando corretamente os incentivos propiciados pela legislação. Uma implementação contextualizada, balanceada e atenta aos princípios legais é capaz de reforçar sinergias, confiança e reputação, sem para tanto incorrer em custos desnecessários. Eis um cenário certamente mais atrativo que simplesmente esperar para reagir aos "porretes" que virão.
*Luiz Felipe Rosa Ramos e Ademir Antonio Pereira Junior, sócios da Advocacia José Del Chiaro
