SEÇÃO II

SEÇÃO IIDas Boas Práticas e da Governança Art. 50. Os controladores e operadores, no âmbito de suas competências, pelo tratamento de dados pessoais, individualmente ou por meio de associações, poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais.§ 1º. Ao estabelecer regras de boas práticas, o controlador e o operador levarão em consideração, em relação ao tratamento e aos dados, a natureza, o escopo, a finalidade e a probabilidade e a gravidade dos riscos e dos benefícios decorrentes de tratamento de dados do titular.§ 2º. Na aplicação dos princípios indicados nos incisos VII e VIII do caput do art. 6º desta Lei, o controlador, observados a estrutura, a escala e o volume de suas operações, bem como a sensibilidade dos dados tratados e a probabilidade e a gravidade dos danos para os titulares dos dados, poderá:I - implementar programa de governança em privacidade que, no mínimo:a) demonstre o comprometimento do controlador em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais;b) seja aplicável a todo o conjunto de dados pessoais que estejam sob seu controle, independentemente do modo como se realizou sua coleta;c) seja adaptado à estrutura, à escala e ao volume de suas operações, bem como à sensibilidade dos dados tratados;d) estabeleça políticas e salvaguardas adequadas com base em processo de avaliação sistemática de impactos e riscos à privacidade;e) tenha o objetivo de estabelecer relação de confiança com o titular, por meio de atuação transparente e que assegure mecanismos de participação do titular;f) esteja integrado a sua estrutura geral de governança e estabeleça e aplique mecanismos de supervisão internos e externos;g) conte com planos de resposta a incidentes e remediação; eh) seja atualizado constantemente com base em informações obtidas a partir de monitoramento contínuo e avaliações periódicas;II - demonstrar a efetividade de seu programa de governança em privacidade quando apropriado e, em especial, a pedido da autoridade nacional ou de outra entidade responsável por promover o cumprimento de boas práticas ou códigos de conduta, os quais, de forma independente, promovam o cumprimento desta Lei. § 3º. As regras de boas práticas e de governança deverão ser publicadas e atualizadas periodicamente e poderão ser reconhecidas e divulgadas pela autoridade nacional. 1. Criação e adoção de boas práticas A LGPD estabeleceu a possibilidade de controladores e operadores, sozinhos ou coletivamente, criarem boas práticas corporativas para o tratamento de dados pessoais. Não convém repetirmos as instruções do extenso e detalhado artigo em análise, sob pena de sermos enfadonhos e redundantes. Contudo, alguns comentários pontuais podem ser úteis. A adoção de boas práticas é um dos itens que são considerados no momento da imposição de sanções administrativas, que podem variar de advertência à multa de 50 milhões de reais, a fim de diminuir a punição imposta, conforme previsto no artigo 52 da LGPD: Art. 52. Os agentes de tratamento de dados, em razão das infrações cometidas às normas previstas nesta Lei, ficam sujeitos às seguintes sanções administrativas aplicáveis pela autoridade nacional: I – advertência, com indicação de prazo para adoção de medidas corretivas; II – multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração; III – multa diária, observado o limite total a que se refere o inciso II; IV – publicização da infração após devidamente apurada e confirmada a sua ocorrência; V – bloqueio dos dados pessoais a que se refere a infração até a sua regularização; VI – eliminação dos dados pessoais a que se refere a infração; […]. § 1º As sanções serão aplicadas após procedimento administrativo que possibilite a oportunidade da ampla defesa, de forma gradativa, isolada ou cumulativa, de acordo com as peculiaridades do caso concreto e considerados os seguintes parâmetros e critérios: I – a gravidade e a natureza das infrações e dos direitos pessoais afetados; II – a boa-fé do infrator; III – a vantagem auferida ou pretendida pelo infrator; IV – a condição econômica do infrator; V – a reincidência; VI – o grau do dano; VII – a cooperação do infrator; VIII – a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados, em consonância com o disposto no inciso II do § 2º do art. 48 desta Lei; IX – a adoção de política de boas práticas e governança; (grifo nosso) X – a pronta adoção de medidas corretivas; e XI – a proporcionalidade entre a gravidade da falta e a intensidade da sanção. […]. Poderá ser implementado o que a LGPD denominou “programa de governança em privacidade”, semelhante a já conhecida política de segurança da informação, mas com foco no cumprimento da nova lei, bem como demonstrando o comprometimento do agente de tratamento em cumprir e fazer cumprir a lei em relação aos seus contratados. A disposição do artigo 50 vem ao encontro das atuais políticas empresariais de governança e compliance, que visam, no contexto geral, realizar uma adequada gestão de riscos, por meio de boas práticas, atendimento da legislação e regulamentos incidentes sobre o negócio e a criação de controles internos. Art. 51. A autoridade nacional estimulará a adoção de padrões técnicos que facilitem o controle pelos titulares dos seus dados pessoais. 1. Padrões técnicos que favoreçam aos titulares A LGPD, pela inovação que representa ao ordenamento jurídico brasileiro, certamente trará a necessidade de mudanças profundas na cultura de tratamento de dados pessoais, pois, se antes se vivia quase numa “terá sem lei”, atualmente não é assim, e quem insistir em tratar dados pessoais irregularmente poderá sofrer as pesadas sanções administrativas da lei, 176 sem prejuízo de responder processos judiciais individuais e coletivos. 177 Passará por esta mudança de cultura tornar o tratamento mais transparente ao titular, permitindo que ele tenha controle sobre seus dados pessoais, revelando ou retendo o que entender conveniente, dentro dos contornos da LGPD. Quando se fala de controle, em uma sociedade cada vez mais digital como é a atual, pode-se vislumbrar que ele ocorrerá, em grande parte, por meio de tecnologias que permitam o acesso aos dados a distância, com segurança e praticidade. O artigo sob comento estabeleceu uma premissa legal para atuação da autoridade nacional, que é a de estimular a adoção de padrões técnicos que facilitem o referido controle. O estímulo poderá ser realizado de diferentes formas, como as atividades focadas na educação e informação dos controladores, a prática de sanções administrativas de menor monta, ante a colaboração e boa-fé demonstradas, entre outras ações. A nosso ver, tais padrões tecnológicos deveriam conceder ao titular não apenas controle sobre os dados tratados, mas também acesso os dados básicos de tratamento, conforme descrito no artigo 9º. Ver mais no artigo 52. Ver mais no artigo 22.

Art. 50 - Seção II. Das Boas Práticas e da Governança

SEÇÃO II

Das Boas Práticas e da Governança

Uma experiência inovadora de pesquisa jurídica em doutrina, a um clique e em um só lugar.