LGPD, GDPR e Privacidade de Dados
Segurança da informação e privacidade de dados são áreas próximas, mas não idênticas: segurança protege dados contra acesso não autorizado; privacidade trata de como dados pessoais podem ser coletados, usados e compartilhados — mesmo por quem tem acesso autorizado. As duas leis mais citadas no mundo hoje são a LGPD (Brasil) e a GDPR (União Europeia).
🎯 O que você vai aprender
- Os princípios centrais que guiam LGPD e GDPR
- Controlador vs. operador de dados
- Os direitos do titular dos dados
- O papel do DPO (Encarregado de Dados)
Princípios centrais
Tanto a LGPD (Lei 13.709/2018) quanto a GDPR (Regulamento UE 2016/679) compartilham princípios muito parecidos:
- Finalidade: dados só podem ser coletados para um propósito específico e legítimo, informado ao titular.
- Necessidade (minimização): coletar apenas o mínimo necessário para aquele propósito, não "tudo que for possível".
- Transparência: o titular tem direito a informações claras sobre como seus dados são tratados.
- Segurança: medidas técnicas e administrativas para proteger os dados contra acesso não autorizado.
- Responsabilização (accountability): a organização deve conseguir demonstrar conformidade, não apenas alegá-la.
Controlador vs. Operador
- Controlador: quem decide o propósito e os meios do tratamento de dados pessoais — a empresa que coleta os dados do cliente, por exemplo.
- Operador: quem trata dados pessoais em nome do controlador, seguindo suas instruções — por exemplo, um provedor de nuvem que armazena os dados, ou uma empresa de envio de e-mail marketing contratada.
Essa distinção importa porque define responsabilidades diferentes em caso de incidente — mas ambos podem ser responsabilizados, cada um dentro do seu papel.
Direitos do titular dos dados
Ambas as leis garantem, com algumas variações, direitos como:
- Acesso: saber quais dados são tratados e como.
- Correção: corrigir dados incompletos ou desatualizados.
- Eliminação: solicitar a exclusão dos dados, quando aplicável.
- Portabilidade: receber os dados em formato que permita transferi-los a outro fornecedor.
- Revogação de consentimento: retirar o consentimento dado anteriormente, quando essa era a base legal usada.
O papel do DPO / Encarregado
O DPO (Data Protection Officer, chamado de "Encarregado" na LGPD) é o ponto de contato entre a organização, os titulares de dados e a autoridade reguladora (a ANPD no Brasil). Suas funções incluem orientar funcionários sobre práticas de proteção de dados, monitorar conformidade e atuar como canal para dúvidas e reclamações de titulares.
💡 Exemplo prático
Uma empresa brasileira usa uma plataforma de e-mail marketing americana para enviar campanhas. A empresa brasileira é a controladora (decide o quê e por quê comunicar); a plataforma é a operadora (processa os dados conforme instruído). Se um cliente pedir para ser removido da lista, a empresa controladora é responsável por garantir que esse pedido seja atendido, inclusive repassando a instrução à operadora.
⚠️ Erro comum
Achar que "ter um banner de cookies" ou "ter uma política de privacidade" equivale a estar em conformidade. Essas leis exigem base legal real para cada tratamento de dados, minimização de coleta, segurança adequada e capacidade de honrar os direitos dos titulares na prática — não só documentação formal sem processo real por trás.
✅ Pontos-chave
- LGPD e GDPR compartilham princípios: finalidade, minimização, transparência, segurança e responsabilização.
- Controlador decide o propósito do tratamento; operador executa conforme instruído.
- Titulares têm direito de acesso, correção, eliminação, portabilidade e revogação de consentimento.
- O DPO/Encarregado é o elo entre organização, titulares e autoridade reguladora.