Nesta sexta-feira (14), a Lei Geral de Proteção de Dados (LGPD) completa oito anos de sua publicação, consolidando-se como um marco para a conscientização sobre o uso de informações pessoais e para a adoção de princípios como transparência, necessidade, segurança e responsabilização no Brasil. Entre as principais transformações promovidas pela legislação está o reconhecimento da proteção de dados como direito fundamental, avanço que reforçou a relevância do tema e o colocou no centro das discussões sobre governança corporativa. Apesar dos avanços, contudo, as organizações ainda enfrentam o desafio de transformar a conformidade normativa em práticas efetivas.
Segundo Carlos Lima, sócio do Failla Lima Riva Advogados, a LGPD ampliou o alcance da proteção de dados, que passou a ocupar uma posição estratégica na governança das empresas.
“Agora, o desafio é fazer com que a conformidade saia do papel. Muitas organizações possuem políticas e avisos de privacidade, mas não mantêm inventários atualizados, controles adequados sobre fornecedores, prazos claros de retenção, procedimentos eficientes para atendimento aos titulares ou planos de resposta a incidentes efetivamente testados”, afirma Lima.
Embora ainda exista a necessidade de fortalecer uma cultura de proteção de dados nas empresas, o direito consolidado pela LGPD e zelado pela Agência Nacional de Proteção de Dados (ANPD) vem passando por um processo de amadurecimento. A atuação da autoridade, por exemplo, evoluiu de uma fase predominantemente educativa e regulatória para uma abordagem mais estruturada de monitoramento, fiscalização e aplicação de medidas corretivas e sancionatórias.
Essa evolução também se reflete no Judiciário. “A jurisprudência também vem amadurecendo. Os tribunais têm analisado os casos de forma mais contextualizada, considerando a natureza dos dados, a gravidade do incidente, as medidas de segurança adotadas, a resposta da organização e a existência de prejuízo ao titular”.
Nesse cenário, a simples alegação de que uma organização foi vítima de um ataque hacker deixou de ser suficiente para afastar eventuais responsabilidades. As empresas passaram a compreender a importância de produzir e manter evidências de suas práticas de proteção de dados, incluindo registros das operações de tratamento, avaliações de risco, diligências sobre fornecedores, contratos adequados, treinamentos, controles de segurança, documentação do atendimento aos titulares e procedimentos de resposta a incidentes.
Para os próximos anos, Lima aponta como prioridade a integração entre governança de dados, segurança cibernética e governança de inteligência artificial. Embora esses temas ainda sejam frequentemente tratados de forma separada pelas organizações, os riscos associados a eles estão cada vez mais interconectados.
“A tendência é de maior cobrança por accountability, ou seja, pela capacidade de explicar e comprovar como decisões envolvendo dados e algoritmos foram tomadas. A inteligência artificial não cria uma zona sem lei: quando um sistema utiliza dados pessoais, a LGPD acompanha essas informações durante todo o seu ciclo de vida”, ressalta.
