LGPD, as pequenas empresas e o difícil ponto de equilíbrio

A tecnologia muda muito rapidamente a vida das pessoas. Hoje em dia é possível fazer cursos de graduação ou de pós-graduação a distância no exterior, sem sair do Brasil. É possível assistir a documentários interessantíssimos por meio de tecnologia streaming. Pesquisas acadêmicas foram sobremaneira facilitadas por meio do compartilhamento de informações em tempo real.

Mas o avanço tecnológico tem um lado deletério. Torna-se tarefa hercúlea separar as informações corretas das erradas, a verdade da mentira, o bom do ruim, e tal fato prejudica e confunde as pessoas. Além disso, a utilização da internet deixa rastro de informações dos internautas e dados são constantemente coletados, como os bancários e aqueles referentes ao estado físico e de saúde dos pacientes. Inúmeras informações podem ser tratadas e comercializadas, legal ou ilegalmente. É a tecnologia colocando em xeque a privacidade dos indivíduos.

Por isso, legisladores e reguladores de diversos países passaram a se preocupar em proteger os dados e a privacidade. Na União Europeia, um movimento para dar mais proteção se iniciou há vários anos, culminando com a adoção da General Data Protection Regulation. Tal regulação, diferentemente das diretivas tradicionais, exercerá efeitos diretamente sobre os cidadãos, independentemente de os países adotarem suas próprias leis neste sentido.

No Brasil, vamos pelo mesmo caminho. A chamada Lei Geral de Proteção de Dados (LGPD) está inserida nesta realidade e foi aprovada para proteger cidadãos da utilização indevida e ilegal de informações, de maneira abrangente.

A proteção dada pela LGPD muda um importante paradigma: a informação, que antes era de quem a desenvolvia, agora passa a ser de titularidade da pessoa natural a quem ela se refere. Assim, o histórico de crédito desenvolvido por uma instituição financeira a respeito de um cliente não mais pertence a tal empresa, mas sim ao usuário dos serviços bancários. Logo, por ser o proprietário de tais informações, o usuário poderá determinar, por exemplo, que seus dados sejam entregues a outros bancos concorrentes, na tentativa de obter taxas de juros menores em um empréstimo bancário.

Como titular das informações, a pessoa natural passa a ter vários direitos, como ter acesso a todos os dados relativos a si; que seus dados sejam corrigidos, caso inexatos; ou que suas informações tornem-se anônimas ou sejam eliminadas da rede.

Note-se que boa parte do texto da LGPD ainda não entrou em vigor e alguns aperfeiçoamentos vêm sendo constantemente discutidos, inclusive alguns que decorrerão de regulamentação infralegal. Especial atenção deverá ser dada ao previsto no artigo 55-J, XVII, que determina que a Autoridade Nacional de Proteção de Dados (ANPD) poderá criar procedimentos simplificados e diferenciados para as micro e pequenas empresas, e as startups.

Como se sabe, as micro e pequenas empresas são muito importantes para a economia brasileira, pois representam mais do que 90% de todas as empresas, empregam mais de 50% dos trabalhadores com carteira assinada e compõem mais de 25% de todo o Produto Interno Bruto nacional. Apesar da importância, são geralmente frágeis e pouco capitalizadas. Como resultado, estar em plena conformidade com tudo o que determina a LGPD pode representar enorme problema, como a obrigação de pagar multa equivalente a até 2% do faturamento bruto da pessoa jurídica que desrespeitar a lei, para cada ato de infração. O valor previsto para multas é mais do que exorbitante para empresas diminutas que mal conseguem pagar aluguel e tributos.

O difícil ponto de equilíbrio reside na criação de um nível mínimo de proteção dos interesses das pessoas naturais, sem subjugar a importância que as micro e pequenas empresas possuem para a economia, uma vez que exigir estruturas complexas de governança para pequenos bares, farmácias e restaurantes, ao que parece, não é boa política e tem poucas chances de melhora na vida das pessoas.

Parece ser exagerado e desnecessário, por exemplo, exigir o registro de informações, como determina o artigo 37 da LGPD, para empresas de menor porte que não sejam do setor de tecnologia da informação ou que atuem em setores que apresentam risco real de violação da privacidade das pessoas.

Ao final e ao cabo, a ANPD precisa levar estes e vários outros pontos em consideração ao regular o artigo 55-J, XVII, da LGPD, caso contrário o referido texto legal será visto como tirânico e inaplicável na prática.

Sobre os autores:

Leandro Hernandez, é especialista em segurança cibernética e mestre em Comércio Internacional pela Universidade de Nova York

Marcelo Godke, é professor da FAAP, do Insper, do CEU Law School e palestrante da FGV e do IBMEC.