Tratamento de Dados (art. 5°)
Já sabemos que a LGPD se aplica para dados digitais ou físicos, a agentes que podem ser pessoa natural ou jurídica e a titulares que sejam pessoas naturais, e uma mesma palavra tem se repetido ao longo das explicações: tratamento. Mas o que seria isso, exatamente?
A Lei define tratamento de dados como qualquer operação feita com dados pessoais e elenca no artigo 5º, X um rol exemplificativo de verbos que configuram tratamento. Nesse sentido, é possível dizer que quando o empregador coleta, recebe, classifica, utiliza, acessa, reproduz, transfere, processa, armazena, elimina, ou modifica (entre outros), ele está tratando dados.
Art. 5º Para os fins desta Lei, considera-se:
X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
Outros conceitos importantes que já foram mencionados são aqueles que dizem respeito aos envolvidos. Assim, temos o titular de dados como a pessoa natural cujos dados são tratados. E temos, por outro lado, a figura do agente de tratamento, que é a pessoa natural ou jurídica que trata dados pessoais, e pode ser subdividido em duas outras categorias:
- Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais (ex: empregador).
- Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador (ex: empresa contratada, terceirizada, empregado).
Já parou para pensar em quem é, na prática, o “agente de tratamento”? Imagine que em uma empresa X existe um setor de RH que armazena dados dos empregados e utiliza os serviços de um escritório de contabilidade para diligências como emissão de holerite. Dentre a empresa, o chefe de RH e a contabilidade, quem seria operador e controlador? A empresa, como um todo, pode ser considerada controladora, pois ela responde perante o Estado pelas obrigações trabalhistas e previdenciárias decorrentes da relação de emprego, além de ter políticas internas de como realizar processos seletivos e armazenar dados. Em um aspecto micro, o chefe de RH também seria controlador, por ele tem como gerenciar os processos internos da empresa de como tratar dados, quais dados tratar, pode elaborar novas políticas e assim por diante. Por outro lado, o empregado do RH, que executa as ordens do chefe de RH e o escritório de contabilidade seriam operadores, pois eles apenas tratam dados de acordo com ordens passadas a eles.
Ainda falando das figuras envolvidas na LGPD, a Lei prevê também o encarregado de dados, que seria a pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). Por ser uma pessoa que vai conciliar direitos dos titulares com interesses da empresa, o ideal seria que o controlador fosse ou uma pessoa contratada especificamente para exercer esta função, ou um terceiro.
Por sua vez, a ANPD é o órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD. Em dezembro de 2020 este órgão foi instituído como parte integrante da Presidência da República e está ainda em fase de estruturação e planejamento de pautas.