Por: Thoran Rodrigues 

Fundador e CEO da BigDataCorp

Em agosto de 2021, praticamente 3 anos após a versão inicial da lei ser aprovada, finalmente passa a valer, em sua totalidade e incluindo a possibilidade de sanções, a LGPD (Lei Geral de Proteção de Dados). Na Europa, com a GDPR (General Data Protection Regulation), legislação de privacidade que de muitas formas serviu como inspiração para a LGPD, o prazo de adequação de 3 anos foi oficial. Já previsto na própria legislação, é utilizado ativamente pelas empresas para realizar a sua adequação. No Brasil, para o bem ou para o mal, o processo foi mais complexo. De uma previsão inicial na lei de 12 meses para adequação, passamos por mudanças no texto, prorrogações de prazos e ajustes que acabaram tendo exatamente o mesmo resultado prático: 3 anos para as empresas se adequarem. Passado esse prazo, e agora com a ANPD (Agência Nacional de Proteção de Dados) devidamente constituída, o que efetivamente muda para o mercado? De imediato, nada. Por mais que já esteja constituída, a ANPD ainda está se estabelecendo e definindo os seus procedimentos e processos internos, e as maneiras como vai se engajar com o mercado.

Enquanto essas definições não forem finalizadas, nenhum grande movimento –positivo ou negativo– deve acontecer. No curto prazo, ao menos, não devemos esperar grandes pronunciamentos, questionamentos ou sanções por parte da agência. Ao mesmo tempo, e apesar da lei claramente colocar sobre a ANPD a responsabilidade de regular o mercado, já estão correndo no Judiciário diversas ações movidas contra empresas com base em violações dos artigos da LGPD. O risco jurídico do não-cumprimento da lei já existe para todas as empresas, esteja a ANPD pronta para operar ou não.

E, diferente da percepção que podemos ter lendo os relatos da mídia, esse risco é uma preocupação efetiva da maioria das empresas que são diretamente impactadas pela lei. Os relatórios alarmistas, que afirmam que 60%, 80%, ou qualquer outro número de empresas nunca ouviu falar de LGPD e não sabe do que se trata, ignoram o fato de que essa lei não impacta a totalidade de empresas do país, apenas aquelas que efetivamente possuem processos de tratamento de dados e manipulam dados pessoais. E, para essas empresas, a LGPD é uma realidade na qual elas vêm trabalhando para se adequar há bastante tempo.

Apesar do volume de notícias publicadas sobre o assunto, os vazamentos de dados são relativamente raros. Sim, a quantidade de vazamentos vem aumentando expressivamente nos últimos anos. E sim, o volume de dados vazados também tem aumentado de forma significativa. Não podemos negar isso. Mas o próprio volume de dados manipulados e armazenados pelas empresas cresceu exponencialmente.

Os dados hoje permeiam a maioria dos negócios que lidam diretamente com o consumidor, e muitos dos negócios B2B também. E a maioria das companhias que lidam com dados têm uma preocupação mínima com a proteção dessas informações contra vazamentos ou ao menos se beneficiam de ferramentas e tecnologias que protegem os seus dados de forma passiva.

A “proteção” dos dados, portanto, não é a principal questão. A maioria das empresas que são impactadas de forma significativa pela LGPD já adotaram as medidas técnicas e processuais exigidas pela lei para garantir os direitos dos indivíduos e a proteção técnica das informações que estão sobre a sua gestão. Vazamentos e incidentes de segurança podem, e com certeza vão acontecer no futuro, mas eles não são os que mais devem impactar o mercado nos próximos anos.

Portanto, o maior problema enfrentado pelo mercado neste momento é a falta de clareza sobre as questões relacionadas às finalidades de uso da informação que são admitidas pela LGPD, e como essas finalidades vão ser interpretadas e aplicadas na prática. Quais são as bases legais que podem justificar a coleta e o uso de diferentes tipos de informação? Como essas bases legais podem ser estendidas para aplicações adicionais, talvez não imaginadas no momento inicial de coleta? Como e quando isso impacta as questões de consentimento do indivíduo sobre o uso da sua informação? Como a evolução da tecnologia e das aplicações de dados vai ser tratada? As respostas exatas para essas perguntas ainda estão indefinidas, e não são nada simples.

Vamos tomar como exemplo o conceito de “dados anônimos”. A LGPD afirma que dados anônimos são informações que não podem ser identificadas –amarradas a um indivíduo em particular– com esforços técnicos razoáveis. A sua localização geográfica, em um determinado momento e coletada do seu celular, é um dado anônimo, segundo essa definição. A coleta dessa informação, e a forma como ela deve ser tratada, é muito mais simples do que quando lidamos com dados identificados, como o CPF.

No entanto, se uma empresa coleta uma quantidade o suficiente de pontos de localização –100 pontos por dia, ao longo de 30 dias, por exemplo– ela pode criar um identificador único daquele indivíduo e usar esse identificador para então saber exatamente quem é aquela pessoa no futuro. Esse processo, de “de-anonimização” de dados não se encaixa nos critérios de esforço técnico, mas sim na questão do volume de dados coletados, que não é abordado em momento nenhum pela lei.

Essa e outras complexidades do mercado de dados iluminam uma falha crítica no entendimento do propósito de uma legislação sobre dados e de uma agência regulatória para o mercado. Do ponto de vista amplo da sociedade, o maior risco com relação aos dados não está nas falhas e violações de segurança, mas no uso indevido de informações para se obter vantagens competitivas indevidas, para o desenvolvimento de algoritmos que institucionalizam a discriminação ou mesmo para a construção de monopólios virtuais. Para usar uma analogia já amplamente conhecida: dados são o novo petróleo. Não temos uma “Agência Nacional de Proteção do Petróleo”, temos uma Agência Nacional do Petróleo, que olha para todos os aspectos desse importante recurso econômico. Enquanto os dados não forem encarados da mesma forma, a atuação regulatória vai ser enviesada para questões que têm um baixo impacto no mercado.