Recentemente, juízes trabalhistas no Brasil têm emitido decisões enfatizando a importância da conformidade com a Lei Geral de Proteção de Dados (LGPD, Lei nº 13.709/2018), especialmente no contexto de violações de confidencialidade por parte de empregados. Estes casos ressaltam a necessidade vital de as empresas adotarem práticas rigorosas de compliance, incluindo estratégias como o “know your employee” (KYE).
Um exemplo notável ocorreu quando um tribunal rejeitou o pedido de um ex-empregado para anular sua demissão por justa causa, motivada pelo envio não autorizado de informações confidenciais da empresa para seu e-mail pessoal. Esta decisão reflete a seriedade com que os tribunais estão tratando a violação de políticas internas de integridade, códigos de ética, e, mais crucialmente, as disposições da LGPD.
A LGPD exige que as empresas protejam dados confidenciais, incluindo informações pessoais sensíveis de clientes. O caso em questão demonstrou que a violação dessas obrigações por um empregado justifica a demissão por justa causa, refutando qualquer reivindicação de reintegração.
Em outro caso, a decisão judicial foi similar quando um empregado anexou indevidamente dados sensíveis de pacientes em um processo trabalhista, expondo informações privadas sem consentimento. Este ato foi visto como uma violação grave da privacidade e intimidade, levando a uma decisão judicial que reforça a responsabilidade dos empregados em proteger a confidencialidade dos dados acessados durante seu trabalho.
Outra situação envolveu a condenação de um ex-empregado por danos morais devido à publicação indevida de informações salariais e outros dados corporativos sigilosos, sem a proteção de segredo de justiça. Esse caso sublinha o dever contínuo de confidencialidade dos funcionários, mesmo após o término do contrato de trabalho.
Essas decisões realçam a urgência de as empresas intensificarem suas medidas de compliance, alinhando-se não só com a LGPD, mas também com normativas trabalhistas. A implementação de programas como KYE é essencial, visando educar os empregados sobre suas responsabilidades e direitos, limitar o acesso a dados confidenciais, e reforçar a adesão a termos de confidencialidade.
Portanto, além de atender às exigências legais, a adoção de estratégias preventivas de segurança de dados representa um benefício claro para as empresas, minimizando riscos legais e protegendo a privacidade dos dados em suas operações cotidianas.
A Lei Geral de Proteção de Dados (LGPD) trouxe consigo diversas mudanças que afetam diretamente os contratos empresariais. Com a implementação da LGPD, as empresas passaram a ter a responsabilidade de garantir a conformidade com os requisitos legais no que diz respeito ao tratamento de dados pessoais. Isso significa que os contratos relacionados a atividades que envolvem o tratamento de dados precisam estar em conformidade com as exigências da lei.
A conformidade com a LGPD não se restringe apenas às empresas em si, mas também aos contratos que refletem como os dados serão tratados. É fundamental que os contratos empresariais estejam em consonância com as disposições da lei, a fim de garantir a proteção adequada dos dados pessoais dos clientes e usuários.
Para compreender a importância da adaptação contratual à LGPD, é necessário ter um conhecimento básico dos principais conceitos abordados pela lei. É fundamental compreender o que são dados pessoais, dados pessoais sensíveis, titular dos dados e tratamento de dados. Esses conceitos servem como base para a elaboração de contratos que estejam alinhados com as exigências legais.
Além disso, é essencial compreender o papel dos agentes de tratamento de dados, que se dividem em controlador e operador. O controlador é responsável por tomar as decisões relacionadas ao tratamento de dados, determinando a finalidade e os meios desse tratamento. Já o operador recebe os dados do controlador e os trata de acordo com suas instruções.
Uma vez que esses conceitos são compreendidos, torna-se possível abordar a adequação da empresa à LGPD. Antes de adaptar os contratos, é necessário que as empresas ajustem suas práticas e diretrizes de acordo com a lei. Isso envolve mapear os dados, identificar quais informações são tratadas, quais processos e sistemas estão envolvidos, quem são os titulares dos dados e qual é a finalidade das operações realizadas.
Para compreender como adequar o contrato à LGPD, é importante ter um conhecimento dos conceitos fundamentais estabelecidos pela lei. Isso ocorre porque o contrato deve refletir a realidade da negociação e cumprir as exigências legais relacionadas à proteção de dados. A seguir, abordaremos alguns desses conceitos essenciais:
Informações pessoais: referem-se a dados como RG, CPF, endereço IP e perfis em redes sociais.
Dados pessoais sensíveis: envolvem informações de natureza racial, religiosa, biométrica e política, que requerem uma proteção especial devido à sua sensibilidade.
Titular dos dados: trata-se da pessoa física a quem os dados pessoais e sensíveis se referem, ou seja, o indivíduo sobre o qual essas informações estão relacionadas.
Tratamento de dados: engloba qualquer atividade que envolva o uso ou manipulação dos dados pessoais dos titulares, como coleta, armazenamento, análise e compartilhamento.
O agente de tratamento é aquele que lida de alguma forma com os dados e pode ser dividido em dois tipos: controlador e operador. Vamos entender a diferença entre eles:
– Controlador: é responsável pelas decisões relacionadas ao tratamento de dados. Ele determina a finalidade e os meios do tratamento dos dados.
– Operador: recebe os dados do controlador e os trata.
A principal diferença entre o controlador e o operador é que o controlador toma as decisões e determina a finalidade do tratamento dos dados. Lembre-se dessa informação, pois voltaremos a ela mais adiante!
Agora que definimos esses conceitos, podemos abordar a parte de adequação da empresa à LGPD. Antes de adequar o contrato, é necessário adequar o negócio, a empresa e as diretrizes da lei. A LGPD é baseada em princípios que visam garantir os direitos dos titulares, como o princípio da finalidade, que estabelece que o tratamento deve ser realizado para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades. Portanto, o primeiro passo para se adequar à lei é mapear os dados. O mapeamento de dados deve responder a perguntas como: quais dados são tratados, quais processos e sistemas estão envolvidos, quais partes estão envolvidas, quem são os titulares dos dados, quais operações estão sendo realizadas e qual é a finalidade dessas operações. Isso envolve uma análise dos processos, finalidades e um inventário de dados. Esse mapeamento deve ser realizado em todos os setores que lidam com o tratamento de dados antes de prosseguir para a próxima etapa. Embora não seja um processo simples, nosso foco neste artigo é a adequação contratual, então vamos para a próxima etapa.
Em seguida, é necessário realizar uma análise de riscos e um plano de ação. Isso envolve corrigir as falhas identificadas no mapeamento e criar medidas para cumprir a lei. Em seguida, passamos para a fase de implementação, que inclui a adequação contratual. Embora essa fase exija a implementação de políticas de privacidade e segurança, vamos nos concentrar na adequação contratual.
Como adequar o contrato à LGPD? Durante a fase de implementação, é necessário adequar o contrato, conforme mencionado anteriormente. Um dos pontos mais importantes dessa adequação legal ao contrato são as definições de controlador e operador. O controlador tem maior responsabilidade, pois toma as decisões relacionadas à finalidade do tratamento. No entanto, nem sempre é fácil determinar quem é o operador e quem é o controlador em negociações empresariais envolvendo duas ou mais pessoas jurídicas. Portanto, é importante entender que o operador, mesmo que tome certas decisões, não é considerado controlador, pois ele atua como um executor, não essencialmente definindo a finalidade do tratamento dos dados. Isso é especialmente importante para evitar conflitos futuros, pois estamos lidando com uma lei que impõe penalidades significativas. Além do esclarecimento dos papéis das partes envolvidas no contrato, também é necessário incluir cláusulas que abordem o tratamento realizado, os dados tratados, a finalidade do tratamento, o cumprimento dos direitos dos titulares, as situações em que é permitido o compartilhamento de dados, as medidas de gestão de riscos em caso de descumprimento e as penalidades em caso de descumprimento. Essas cláusulas podem ser inseridas como anexos ou no corpo do contrato.
Caso estejamos lidando com uma relação contratual já existente, é necessário revisar esses contratos. A lei não se aplica apenas aos negócios realizados após a promulgação da lei, mas também aos contratos existentes, mesmo que tenham sido celebrados antes da LGPD entrar em vigor. A revisão desses contratos envolve uma reformulação contratual por meio de um aditivo ou de um novo instrumento contratual.
