Se você já recebeu algum telefonema indesejado de uma empresa tentando te vender um produto ou prestar algum serviço que você não solicitou, certamente entende a importância do exercício do direito de eliminação de dados pessoais.
Este artigo vai falar sobre a eliminação de dados pessoais, não somente como um dos direitos do titular, mas também como uma das sanções previstas na Lei Geral de Proteção de Dados (assim como a sanção da multa) e como uma consequência do término do tratamento de dados pessoais.
Vamos abordar também o ponto de vista do controlador – de uma empresa, por exemplo – em relação à eliminação de dados pessoais.
Numa primeira análise, pode parecer que o atendimento ao direito do titular para que seus dados sejam eliminados não seja algo tão complexo. E isso pode ser verdade para as empresas que já passaram pelo processo de adequação à LGPD, mas para aquelas que ainda não iniciaram seus projetos de adequação, atender a essa solicitação pode ser difícil.
Além disso, empresas não adequadas à LGPD normalmente não realizam a eliminação de dados pessoais quando o tratamento dos dados chega ao fim. Somado ao não atendimento do direito do titular, já temos duas infrações importantes à LGPD, que podem culminar num processo administrativo sancionador na ANPD e a consequente aplicação de uma das sanções previstas em lei. Sobre tal processo administrativo, recomendamos o nosso artigo que aborda a Resolução CD/ANPD n°1, de 28 de outubro de 2021, norma regulamentadora do processo administrativo sancionador no âmbito da ANPD.
Vamos, então, a cada uma das facetas da eliminação de dados pessoais.
Índice
A eliminação de dados pessoais como um direito do titular – a importância de observar os direitos do titular e as consequências de não o fazer
O titular está no palco da legislação de proteção de dados pessoais. A lógica de qualquer lei que fale sobre proteção de dados pessoais é a proteção da pessoa humana. Como ressaltamos no nosso artigo sobre os direitos do titular, eventuais violações aos direitos fundamentais de liberdade e privacidade e o livre desenvolvimento da personalidade estão diretamente vinculados à pessoa.
Quando a LGPD reconhece os direitos que o titular tem, ela deixa clara a importância de manter o indivíduo no controle dos seus próprios dados pessoais. É importante ressaltar que a LGPD não é a primeira legislação a reconhecer certos direitos do titular em relação aos seus dados pessoais. A Lei 12.965/2014, muito conhecida como “Marco Civil da Internet”, já previa como direito do usuário, desde sua publicação em 2014, a exclusão definitiva dos dados pessoais que tivesse fornecido a determinada aplicação na internet, a seu requerimento, ao término da relação entre as partes.
O exercício do direito do titular é, portanto, reconhecido pela legislação muito antes da própria publicação da LGPD.
Mas mesmo com essa breve ressalva sobre a importância de observar os direitos do titular, é possível que um controlador se questione: sendo os dados pessoais alguns dos maiores ativos de um negócio, será que não vale a pena deixar de eliminá-los e arcar com eventuais multas decorrentes do descumprimento da LGPD?
A resposta é negativa. Como desenvolvemos no artigo específico sobre as multas, a lei estabelece um limite de 2% (dois por cento) do faturamento no último exercício da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil, excluídos os tributos, até o montante máximo de R$ 50.000.000,00 (cinquenta milhões de reais).
Ainda que a maior parte das empresas no Brasil não obtenha um faturamento alto o suficiente para que a porcentagem de 2% chegue ao valor expressivo de R$ 50.000.000,00 (cinquenta milhões de reais), é fato que o valor atribuído a título de uma multa administrativa pode prejudicar muito as contas de uma empresa.
A título de exemplo, a autoridade nacional de proteção de dados da Argentina (Dirección Nacional de Protección de Datos Personales) aplicou uma multa de 80 mil pesos à empresa Rappi, por descumprimento do direito de eliminação dos dados (derecho de supresión).
Neste caso, a empresa foi demandada por uma pessoa que havia realizado entregas por meio da plataforma durante determinado tempo, mas decidiu se descadastrar. O titular solicitou à empresa a eliminação dos seus dados pessoais, mas seu pedido não foi atendido. Pelo contrário, continuou recebendo mensagens da empresa.
O ex-entregador realizou novos pedidos para a eliminação de seus dados pessoais, todos sem o devido atendimento por parte da empresa. Isso o levou à apresentação de reclamação à autoridade nacional argentina, que iniciou uma investigação e impôs a referida multa à empresa
A íntegra da decisão pode ser acessada neste link.
Mas a resposta para a pergunta é negativa não somente pelo potencial valor de uma multa. O descumprimento da LGPD pode ser administrativamente sancionado por meio de outras punições, para além da sanção pecuniária. Dentre elas, destacam-se a proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados e a publicização da infração após devidamente apurada e confirmada a sua ocorrência.
Sobre essas duas sanções destacadas, vejamos: poucos negócios podem ser inteiramente conduzidos sem o tratamento de dados pessoais. Uma sanção que proíba, ainda que temporariamente, qualquer atividade com dados pessoais, na prática, pode significar uma sanção que proíba a atividade da empresa como um todo.
Além disso, uma sanção de publicização da infração é uma penalidade claramente reputacional. Uma empresa que é conhecida por se envolver em problemas com dados pessoais certamente terá dificuldades para manter negócios com outras empresas.
A proteção de dados pessoais de clientes já é usada por grandes empresas como fator de marketing: “consuma nossos produtos e serviços com a segurança de que cuidamos bem dos seus dados pessoais”.
Além disso, a LGPD prevê responsabilidade solidária de todos aqueles envolvidos nas operações de tratamento de dados pessoais, tanto do controlador como do operador, deixando clara a possibilidade de reparação dos danos patrimonial, moral, individual ou coletivo, sempre que tais danos decorrerem de violação à legislação de proteção de dados pessoais.
Você pode ler mais sobre a responsabilidade na LGPD em outro artigo.
Como a adequação à LGPD facilita o atendimento ao direito do titular
Empresas com robustos programas de Compliance e adequação à LGPD realizam extensa e cuidadosa diligência ao contratar fornecedores e prestadores de serviço. Nessa due dilligence, as empresas que deliberadamente optam pelo descumprimento da lei armazenando dados pessoais como ativo, certamente seriam reprovadas.
Empresas com robustos programas de adequação à LGPD também não teriam tanta dificuldade na operacionalização do atendimento ao direito do titular de eliminação de seus dados pessoais.
Isso porque, como desenvolvemos no artigo sobre a adequação à LGPD na prática, uma das fases de um projeto de adequação é a fase do mapeamento, na qual, como o nome já diz, é realizado o mapeamento do fluxo do dado pessoal na empresa.
Examina-se todo o caminho do dado pessoal, desde o momento de coleta (incluindo a forma como o dado pessoal foi coletado, o propósito da coleta e quais dados foram coletados), até a forma como os dados são utilizados dentro da empresa (transferências internas e externas) e como são armazenados (incluindo a agenda de armazenamento).
Ao final da fase de mapeamento é possível elaborar o Relatório de Atividade de Processamento (ROPA – sigla em inglês para Record of Processing Activities). O ROPA descreve cada tratamento de dados pessoais realizado na empresa, incluindo todas as informações coletadas na fase de mapeamento.
Assim, com o mapeamento fica fácil identificar quais são os dados pessoais do titular que a empresa possui e onde eles estão armazenados; o trabalho de eliminação dos dados pessoais fica extremamente simples nesse cenário.
Por outro lado, uma empresa que ainda não está adequada a lei terá dificuldades em atender à solicitação do titular. Empresas são compostas por diversos funcionários em diferentes setores que, muitas vezes, contam com uma base de dados única, que pode até mesmo ter sido desenvolvida por profissionais de TI distintos. Há equipe que precisa saber o cargo do cliente, há equipe que precisa saber do histórico de compras, outra equipe está mais interessada no endereço do cliente, etc. Como atender à solicitação do titular sem ter mapeado todo esse cenário?
Ainda do ponto de vista operacional, é necessário alertar para a forma de identificação do titular que realiza a solicitação de eliminação dos seus dados pessoais. Ora, se a sua empresa recebe uma solicitação para que os dados pessoais de determinado cliente sejam eliminados, será necessária a realização de uma identificação previa do titular.
Para realizar essa identificação, o controlador necessariamente precisará coletar dados pessoais deste titular. É nesse momento que será necessário cautela para que não seja coletada uma quantidade de dados pessoais que exceda a estrita necessidade de identificação do titular.
Foi justamente este o erro cometido pela DPG Media Magazines, uma empresa holandesa. A autoridade de proteção de dados pessoais holandesa (Dutch Supervisory Authority) impôs uma sanção de multa à empresa no valor de €525,000 (quinhentos e vinte e cinco mil euros) pela coleta excessiva de dados pessoais para identificação para que os titulares pudessem exercer seus direitos, incluindo o direito de eliminação de dados.
A empresa exigia que as pessoas que quisessem exercer seus direitos assegurados pelo Regulamento Europeu de Proteção de Dados (GDPR) deveriam fazer um upload da cópia da carteira de identidade; a autoridade de proteção de dados pessoais holandesa considerou que há dados pessoais demais no documento, o que não seria necessário para atingir a finalidade de identificação do titular.
Acesse aqui a notícia sobre a decisão.
Há formas mais simples de confirmar se o titular é realmente quem diz que é, como por exemplo enviar um e-mail de confirmação para o endereço eletrônico armazenado no banco de dados da empresa.
A eliminação de dados pessoais como sanção administrativa
A LGPD prevê uma série de sanções que podem ser aplicadas aos agentes de tratamento de dados em razão das infrações cometidas às normas previstas na lei. Como mencionamos, há um artigo aqui no blog que trata especificamente de uma dessas sanções: a multa.
A eliminação de dados pessoais é também uma dessas sanções previstas na LGPD. A mesma sanção também é prevista no Regulamento Geral de Proteção de Dados europeu – o GDPR -, norma na qual a nossa legislação se baseou fortemente.
Como o nome já indica, a sanção determina o apagamento definitivo dos dados pessoais objeto da infração, assegurando-se que seja feita de forma irreversível.
Dito de outra forma, é necessário assegurar a plenitude da eliminação dos dados pessoais, de maneira que não seja possível restaurá-los por métodos e tecnologias capazes de recuperação de dados excluídos em armazenamentos magnéticos e outras mídias.
Ressaltamos que a eliminação dos dados pessoais como sanção só será aplicada com um devido processo administrativo sancionador regulamentado e executado pela ANPD.
A eliminação de dados pessoais como consequência do término de um tratamento
Um tratamento de dados pessoais deve ter início e fim. Quando lembramos que a palavra “tratamento” engloba uma variedade de ações realizadas com um dado pessoal, que inclui o simples armazenamento, fica fácil perceber que no dia-a-dia da empresa nem sempre um tratamento de dados pessoais chega ao fim; isso porque uma vez utilizados para a finalidade primária para a qual eles foram coletados, é comum que ocorra seu armazenamento, muitas vezes sem um motivo aparente para tal. Como “armazenamento” também é um “tratamento”, o tratamento acaba não tendo fim.
De qualquer forma, a LGPD determina que o fim do tratamento deve ocorrer nas seguintes situações:
- Quando a finalidade para a qual os dados pessoais foram coletados for atingida;
- Quando os dados pessoais deixarem de ser necessários ou pertinentes para atingir a finalidade para a qual foram coletados;
- Quando chegar o fim do período do tratamento nas ocasiões nas quais há especificação do período da guarda dos dados pessoais;
- Quando houver expressa solicitação do titular para o término do tratamento (nesta hipótese todo o tratamento realizado antes da solicitação do titular será válido);
- Quando houver determinação da ANPD em razão de qualquer violação ao disposto na LGPD.
Uma vez finalizado o tratamento, os dados pessoais devem ser eliminados. Há, porém, algumas situações nas quais a LGPD permite o armazenamento de dados pessoais mesmo depois do fim do tratamento, e mesmo com eventual solicitação do titular para que seus dados pessoais sejam eliminados.
A primeira delas é quando há qualquer determinação legal (federal, estadual, distrital ou municipal) ou regulatória que obrigue o controlador a manter os dados pessoais armazenados.
Além disso, eventuais determinações previstas na legislação internacional e melhores práticas comprovadamente seguidas por determinado nicho da indústria também podem ensejar a retenção dos dados pessoais.
O armazenamento de dados pessoais após o término do tratamento é muito comum no setor de recursos humanos das empresas, que precisam manter os dados pessoais de ex-colaboradores durante anos. É o caso do previsto no Decreto-Lei 3.048/99, o Regulamento da Previdência Social, que obriga a empresa a reter informações pessoais relacionadas a folhas de pagamento dos colaboradores[1].
Neste caso, ainda que o colaborador não mais atue na empresa e mesmo que tenha solicitado a exclusão total de seus dados pessoais, por força de lei, a empresa deverá manter o armazenamento de alguns dados pessoais.
É possível também a retenção dos dados pessoais para o exercício regular de direitos em processo judicial, administrativo ou arbitral.
A LGPD ainda autoriza o armazenamento de dados pessoais para fins de estudo por órgãos de pesquisa. Nessa hipótese, a lei recomenda a realização do processo de anonimização, quando possível.
Um dado anonimizado, como ressaltamos no nosso artigo introdutório sobre a LGPD, não é considerado um dado pessoal para fins da proteção conferida pela LGPD. Isso porque um dado anonimizado não é capaz de identificar uma pessoa, seja de forma direta ou de forma indireta, por meio de um cruzamento de informações.
Desta forma, o armazenamento de um dado anonimizado não violaria de forma alguma a LGPD.
Conclusão
Este artigo tratou sobre a eliminação de dados pessoais, tanto como um direito do titular, como sanção administrativa e como uma consequência do fim de um tratamento.
Seja qual for a razão da eliminação de dados pessoais, deve o controlador garantir que a eliminação será irreversível; é preciso garantir que, uma vez eliminados, os dados pessoais não poderão mais ser acessados de forma definitiva.
Gostou deste conteúdo? Ele foi útil para a sua pesquisa? Esperamos que sim!
Inscreva-se em nossa newsletter para receber nossos textos sobre proteção de dados e outros materiais produzidos pelo escritório.
Você também pode nos avaliar no Google, a sua opinião é muito importante para nós!
*Imagem de Getty Images, no Canva Pro.
[1] § 5º A empresa manterá arquivados os documentos comprobatórios do cumprimento das obrigações de que trata este artigo e os documentos comprobatórios do pagamento de benefícios previdenciários reembolsados até que ocorra a prescrição relativa aos créditos decorrentes das operações a que os documentos se refiram, observados o disposto no § 22 e nas normas estabelecidas pela Secretaria Especial da Receita Federal do Brasil do Ministério da Economia e pelo Conselho Curador do Fundo de Garantia do Tempo de Serviço.
Trackbacks/Pingbacks