A lei que mudou a conversa sobre dado
Desde 2020, o Brasil tem a Lei Geral de Proteção de Dados, a LGPD, e ela mudou a pergunta que toda organização precisa responder sobre dado. A pergunta antiga era “onde guardo isso?”. A pergunta atual é “por que tenho isso, com que base, até quando, e quem pode cobrar?”. A lei define dado pessoal de forma ampla: qualquer informação relacionada a pessoa natural identificada ou identificável. Nome, e-mail, IP, foto, geolocalização, o histórico de compras que leva de volta ao CPF: se leva à pessoa, é dado pessoal, e a lei se aplica ao processamento dele, em qualquer suporte, digital ou papel. O que a LGPD introduz de mais profundo não é burocracia: é a noção de que dado pessoal tem dono, o titular, e que a organização que processa está de posse provisória, com deveres e prazo. É essa inversão que o resto do módulo detalha.
As bases legais, em uma frase cada
A LGPD exige que todo processamento de dado pessoal se apoie numa base legal dentre dez, e a lista assusta menos quando cada uma cabe numa frase. Consentimento: a pessoa disse sim, específica e livre, e pode retirar. Execução de contrato: o processamento que o próprio contrato com o titular exige, como enviar o produto comprado. Obrigação legal: a lei exige, como a retenção fiscal de nota. Legítimo interesse: a finalidade razoável e expectável, com teste de necessidade e proteção ao titular, como a prevenção a fraude no login. Crédito: proteção ao crédito. Tutela da saúde: sistemas de saúde, por profissional. Exercício de funções públicas: o Estado em suas atribuições. Estudos por pesquisador: dados anonimizados quando possível. Proteção da vida: incolumidade física. Reparação de direitos: exercício em processo. O conselho prático que atravessa a burocracia: prefira a base que dispensa o consentimento quando ela for verdadeira, porque consentimento é a base mais frágil: precisa de prova, de especificidade e de respeito à retirada, e vence quem documenta.
Direitos do titular e como responder
O titular tem direitos sobre o próprio dado, e a organização precisa conseguir atendê-los com prazo definido: confirmação de processamento, acesso ao dado, correção, anonimização, portabilidade, eliminação e informação sobre compartilhamentos. O exercício mais comum e mais revelador é o pedido de acesso ou de exclusão que chega por qualquer canal: e-mail do suporte, DM de rede social, carta. A operação madura tem um fluxo: identificar o titular (prova de que é ela), localizar o dado (o inventário responde), decidir com base legal (exclusão não apaga obrigação fiscal) e responder em prazo. A lei fala em prazo simplificado e a regulamentação da ANPD detalhou os tempos, mas a prática operacional vale mais que a contagem exata: toda solicitação entra num registro com data, e nenhuma fica sem resposta. O pedido mal atendido hoje é a queixa de amanhã na autoridade, e o pedido bem atendido é o melhor teste de maturidade que existe, porque atravessa o sistema inteiro.