A LGPD — Lei Geral de Proteção de Dados Pessoais —, sancionada em 2018 e que entrou agora em vigor, em agosto de 2020, continua gerando dúvidas sobre o que precisa ser feito pelos agentes que tratam dados e, principalmente, sobre como fazer para implementá-la.
Apesar de muitos destes questionamentos persistirem, até mesmo para especialistas, nosso intuito aqui é contextualizar alguns conceitos e possíveis impactos nos sistemas de bilhetagem eletrônica.
O que a LGPD protege?
O objeto de proteção da LGPD é o dado pessoal, ou seja, toda informação que possa identificar um indivíduo. Por exemplo, RG, CPF, e-mail, telefone (fixo ou celular), endereço residencial, entre outros.
O que pode ser considerado dado pessoal para proteção da LGPD dependerá, em muitos casos, do contexto em que esta informação está inserida. O dado referente à pessoa natural tem que poder identificá-la — ou ter o potencial de identificá-la.
A LGPD também protege dados pessoais sensíveis, aqui com muito mais rigor, que são informações que podem gerar qualquer tipo de discriminação, e aqui entram os dados de biometria, incluindo a facial. Os dados de crianças e adolescentes também são objeto de proteção especial.
Na prática, a LGPD regulamenta como esses dados pessoais podem ser tratados pelas empresas. Esse tratamento de dados inclui qualquer tipo de manipulação realizada com informações pessoais. Processos comuns a diversos tipos de empresas incluem, geralmente, a coleta, a reprodução, o acesso, o armazenamento e a distribuição de dados pessoais.
Um exemplo simples? O cadastro do usuário para uso do cartão de transporte.
Conceitos e aplicações
Um dos pontos de partida para contextualização da lei no ecossistema no qual estamos envolvidos é a identificação dos papéis envolvidos no processo de adequação:
- Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.
- Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.
- Titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento. O usuário.
- Encarregado: pessoa natural indicada pelo controlador para fazer a comunicação entre os titulares que terão seus dados processados e o controlador.
Conhecendo essas definições é possível entender que a adequação não está apenas na tecnologia. A responsabilidade de analisar seu papel no processo de tratamento de dados é de todas as partes envolvidas. Os pontos apresentados a seguir mostram alguns reflexos da normatização no ecossistema de prestação de serviço de transporte público.
Como ela se aplica aos sistemas de bilhetagem eletrônica?
Levando em consideração esses conceitos e aplicações, o tratamento de dados de bilhetagem deve passar por algumas adequações, tanto da parte dos operadores como da parte dos controladores, para atender aos requisitos mínimos da LGPD.
No contexto dos sistemas de bilhetagem eletrônica, algumas questões devem ser tratadas com mais atenção, como:
- Dados de crianças e adolescentes: devem ser tratados com o consentimento específico dado por pelo menos um dos pais ou pelo responsável legal;
- Dados pessoais sensíveis (biometria): poderá ser tratado sem fornecimento do consentimento do titular quando for indispensável para cumprimento de obrigação legal ou regulatória ou garantia de prevenção à fraude e à segurança do titular;
- Dados pessoais do usuário profissional: o empregado celetista que usa vale-transporte pode ter os dados compartilhados somente para a empresa contratante e os dados de uso podem ser acessados apenas para prevenção de fraudes.
Diretrizes mínimas para adequação à LGPD
As empresas deverão adotar medidas aptas a proteger os dados pessoais de: acessos não autorizados, situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.
Duas diretrizes mínimas para adequação à LGPD são a definição e publicação de uma política de privacidade de dados, promovendo as ferramentas adequadas e o treinamento dos colaboradores. Além disso, enquanto controlador, você deverá:
- eleger um encarregado que será responsável pelo tratamento de dados pessoais na empresa;
- adotar protocolos de atendimento às demandas dos usuários;
- implementar uma política de segurança da informação;
- cumprir com a comunicação com os órgãos fiscalizadores.
A segurança dos dados é um fator crucial
Para assegurar o cumprimento de todas essas diretrizes, a segurança dos dados pessoais tratados é imprescindível. É crucial tomar todas as medidas cabíveis para garantir que, tanto administrativa quanto tecnicamente, os dados pessoais tratados estejam devidamente protegidos e mantidos em integridade.
A Empresa 1 zela pela segurança de todas as suas soluções e adota processos e políticas descritos e aplicados com base em normas internacionais ISSO 270001 para o gerenciamento de incidentes relacionados à segurança da informação.
