Para Theonácio Lima, especialista em proteção de dados e diretor da TI Rio, a legislação provocou uma mudança cultural nas empresas, mas inteligência artificial, ataques cibernéticos e novas formas de uso de dados ampliam os desafios para os próximos anos
A Lei Geral de Proteção de Dados Pessoais (LGPD) completou oito anos no último dia 14 de agosto. Sancionada em 2018, a Lei nº 13.709 estabeleceu um marco para a coleta, o armazenamento, o compartilhamento e a utilização de dados pessoais no Brasil e ajudou a colocar privacidade e proteção de dados no centro das discussões sobre governança e segurança nas organizações.
Para Theonácio Lima, diretor da TI Rio e membro da Comissão de Proteção de Dados da Prefeitura do Rio de Janeiro, o balanço desse período é positivo, principalmente pela mudança de cultura provocada pela legislação. Se antes era comum que organizações acumulassem informações sem avaliar claramente sua finalidade, necessidade ou os riscos envolvidos, hoje a proteção de dados passou a fazer parte de áreas que vão do jurídico e da tecnologia aos recursos humanos, contratos e relacionamento com clientes.
“A principal mudança foi cultural: o titular passou a ter maior consciência de seus direitos, e as empresas começaram a compreender que dados pessoais não podem ser tratados como um recurso ilimitado”, avalia. Segundo ele, a estruturação da Autoridade Nacional de Proteção de Dados (ANPD), a regulamentação de diferentes aspectos da lei e o avanço da fiscalização também contribuíram para esse processo.
A mudança, entretanto, ainda não significa que a LGPD esteja plenamente incorporada à rotina das empresas. Theonácio chama atenção para a diferença entre estar formalmente adequado e possuir uma política efetiva de proteção de dados. Documentos, políticas de privacidade e planos de resposta a incidentes têm pouco efeito quando não se transformam em procedimentos conhecidos e aplicados pelos profissionais.
“A verdadeira maturidade não está na quantidade de documentos produzidos, mas na capacidade de demonstrar que as regras são conhecidas, aplicadas, monitoradas e periodicamente revisadas”, afirma.
Cibersegurança e proteção de dados precisam caminhar juntas
Entre as fragilidades ainda encontradas nas organizações estão a falta de conhecimento sobre quais dados são mantidos pela empresa, permissões de acesso excessivas, contas compartilhadas, ausência de autenticação multifator, sistemas desatualizados, falhas na gestão de fornecedores e retenção de informações por tempo indeterminado.
O cenário ganha importância diante do crescimento dos ataques cibernéticos. Para Theonácio, os incidentes ajudaram a mostrar que a LGPD não deve ser encarada apenas como uma obrigação regulatória. A proteção das informações está diretamente relacionada à continuidade dos negócios, à reputação das empresas e à confiança de clientes, funcionários e parceiros.
Nesse contexto, proteção de dados e cibersegurança são diferentes, mas precisam atuar de maneira integrada. Enquanto a LGPD estabelece princípios, direitos e responsabilidades relacionados ao tratamento de informações pessoais, a segurança da informação oferece controles para protegê-las.
Nas pequenas e médias empresas, o desafio pode ser ainda maior devido às limitações financeiras e de pessoal. Isso, porém, não significa que a adequação dependa necessariamente de investimentos elevados.
Medidas como mapear os dados tratados, restringir acessos, adotar autenticação multifator, atualizar sistemas, realizar backups, treinar equipes e definir regras de retenção e descarte podem reduzir significativamente os riscos. O ponto central, segundo Theonácio, é compreender a proteção de dados como um processo permanente, e não como um projeto realizado uma única vez.
Inteligência artificial abre uma nova fronteira para a LGPD
O avanço da inteligência artificial adicionou uma nova camada ao debate. Ferramentas capazes de processar grandes volumes de informações podem envolver questões relacionadas à transparência, criação de perfis, decisões automatizadas, discriminação e utilização de dados para finalidades diferentes daquelas originalmente previstas.
Antes de incorporar uma solução de IA, as empresas precisam saber quais informações serão enviadas à ferramenta, onde serão processadas, se permanecerão armazenadas, se poderão ser utilizadas para treinamento dos modelos e se haverá transferência internacional de dados.
Theonácio alerta especialmente para o uso indiscriminado de ferramentas públicas. “Dados pessoais, documentos internos, contratos, informações de clientes, dados de saúde, credenciais e segredos comerciais não devem ser inseridos indiscriminadamente em ferramentas de inteligência artificial.”
Além dos cuidados tecnológicos e contratuais, ele defende que as organizações estabeleçam políticas internas de uso de IA, determinem quais ferramentas podem ser utilizadas, capacitem os profissionais e mantenham supervisão humana sobre conteúdos, análises e decisões produzidas pelos sistemas.
Os próximos desafios da proteção de dados
Para os próximos anos, inteligência artificial, biometria, reconhecimento facial, proteção de crianças e adolescentes, decisões automatizadas, transferências internacionais e crimes cibernéticos devem ocupar espaço crescente na agenda de proteção de dados.
Na avaliação de Theonácio, os princípios da LGPD continuam suficientemente sólidos para responder a boa parte dessas transformações. Finalidade, necessidade, transparência, segurança, prevenção, não discriminação e responsabilização permanecem aplicáveis mesmo diante do surgimento de novas tecnologias.
Isso não significa, porém, que a lei seja suficiente isoladamente. O avanço tecnológico deverá exigir novas regulamentações, maior capacidade técnica e fiscalizatória da ANPD e articulação com outras autoridades. Outro desafio será harmonizar a LGPD com as regras que venham a disciplinar inteligência artificial e segurança cibernética no país.
Oito anos depois de sua criação, portanto, o desafio começa a mudar de natureza. Mais do que simplesmente conhecer a LGPD, empresas precisam incorporá-la às suas operações. Para Theonácio, três medidas sintetizam esse caminho: conhecer os dados tratados, proteger os ambientes tecnológicos e preparar continuamente as pessoas.
“Esses três pilares reduzem riscos, fortalecem a conformidade e demonstram responsabilidade perante clientes, parceiros, autoridades e titulares”, conclui.
O caminho até a LGPD
A criação da Lei Geral de Proteção de Dados foi resultado de um processo construído ao longo de vários anos, acompanhando o crescimento da economia digital e a necessidade de estabelecer regras mais claras para o uso de informações pessoais no país.
2010: o Ministério da Justiça iniciou a elaboração de um anteprojeto sobre proteção de dados pessoais e abriu o texto para debate público, com participação de diferentes setores da sociedade.
2012: foi apresentado na Câmara dos Deputados o Projeto de Lei nº 4.060/2012, uma das primeiras propostas legislativas específicas para estabelecer regras gerais sobre o tratamento de dados pessoais no Brasil.
2016: o Poder Executivo encaminhou ao Congresso o PL nº 5.276/2016, elaborado após consultas públicas e contribuições da sociedade. A proposta foi posteriormente incorporada à tramitação do projeto de 2012.
2018: após a aprovação pelo Congresso Nacional, o texto foi sancionado em 14 de agosto, dando origem à Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais.
A implementação ocorreu de forma gradual. Os dispositivos relacionados à criação da ANPD começaram a valer ainda em 2018. A maior parte das regras da LGPD entrou em vigor em 18 de setembro de 2020, enquanto as sanções administrativas previstas pela legislação passaram a valer em 1º de agosto de 2021.
A TI Rio mantém uma área dedicada ao tema, reunindo conteúdos sobre diferentes aspectos da proteção de dados e da LGPD, muitos deles de autoria de Theonácio Lima. Para se aprofundar no assunto e acompanhar análises, orientações e outros conteúdos relacionados à legislação, basta acessar o site da TI Rio.
Texto: Bruno Nasser