LGPD: consentimento e suas armadilhas

São quase sete anos de promulgação da Lei 13.709, a Lei Geral de Proteção de Dados (LGPD), que passou a valer de forma escalonada, atingindo a vigência completa em 2021. Na rotina de auxiliar diversas empresas para que suas atividades estejam em conformidade com a LGPD, de forma invariável encontro o mesmo panorama sobre esse entendimento — de que o consentimento é a salvação para os negócios. Mas esta é uma interpretação que requer muito cuidado e não pode ser considerada como a “bala de prata” para atender a legislação.

Quando treinamos as equipes das empresas, apresentando desde conceitos básicos da Lei até detalhes sobre a sua relevância nas operações empresariais, aplicamos um questionário para entender a maturidade da equipe e focar em pontos que demandam maior atenção.

Nessa etapa, uma pergunta sempre requer maior tempo de dedicação: “Entre as hipóteses legais para tratamento de dados pessoais, qual delas é mais importante?” O resultado aponta que pouco mais de 60% das respostas indicam que “o consentimento é a base legal de maior importância na LGPD”. Acontece que não há hierarquia entre as hipóteses legais para tratamento, mas sim um entendimento equivocado de que o consentimento seria o suficiente para garantir a conformidade dos processos internos à LGPD.

O alerta é de que o consentimento demanda atenção, gestão e acompanhamento, e nem todas as empresas parecem cientes. No entanto, é extremamente importante salientar sobre a necessidade de observar a aplicação de outras hipóteses de tratamento que dispensem a necessidade de consentimento. Isso porque o consentimento é de natureza personalíssima e há a possibilidade de o titular revogá-lo a qualquer tempo. Ou seja, é possível que o agente de tratamento de dados pessoais/empresa esteja baseando processos internos no consentimento dos titulares, o que pode ser alterado e acaba por prejudicar as atividades da companhia.

De igual forma, há o risco de que o consentimento esteja associado à coação para a sua obtenção, tornando-o nulo. Nesse ponto, em notas técnicas, bem como em regulamentações, a Agência Nacional de Proteção de Dados já demonstrou o seu entendimento acerca do dever de o agente de tratamento de dados esclarecer as finalidades pretendidas com o consentimento, bem como garantir que o consentimento não sofra influências externas que coajam o titular a firmá-lo.

O consentimento do titular exige das empresas maior cuidado, bem como o desenvolvimento de práticas que garantam a segurança para a obtenção do consentimento. Este último ponto vai contribuir com o agente de tratamento de dados na gestão das operações com dados pessoais, de modo que os dados obtidos pelo consentimento não sofram a destinação para finalidades não especificadas no consentimento, que, aliás, deve ser: expresso, livre e inequívoco, empre desassociado de outras contratações ou adesões.

Por fim, embora sempre alerte para o fato de que não há exatamente um fim no que diz respeito à conformidade à LGPD, existe uma preocupação latente a respeito da frequente ausência da gestão dos consentimentos. Todo ele deve ser corretamente gerido pelo agente de tratamento, para que justamente se torne possível o acompanhamento da correta aplicação dos dados pessoais às finalidades esclarecidas e, mais importante, seja possível localizar o consentimento diante de eventual revogação do consentimento.

Sob o aspecto técnico, o consentimento para tratamento de dados inspira cuidados que muitas vezes são negligenciados. É preciso um olhar atento sobre o assunto.