Com a entrada em vigor da Lei Geral de Proteção de Dados Pessoais ("LGPD"), muito se tem falado da chamada "Política de Privacidade". No entanto, apesar de terem noção da necessidade de confecção desse documento, muitas empresas que realizam atividades de tratamentos de dados pessoais ("Agentes de Tratamento") ainda não sabem ao certo o que é e para que serve a Política de Privacidade.
O que é a Política de Privacidade?
Primeiramente, oportuno tratar da diferenciação entre Política de Privacidade e Aviso de Privacidade. Conforme entendimento da Associação Internacional de Profissionais da Privacidade (IAPP), Política de Privacidade é o documento interno da empresa direcionado aos colaboradores que apresenta as práticas adotadas e a serem seguidas no tocante à Privacidade e Segurança. Já o Aviso de Privacidade, é o documento externo direcionado aos sujeitos que têm seus dados pessoais tratados ("Titulares") que confere transparência às atividades de tratamento de dados realizadas pela empresa, ou seja, explicita a forma como os dados são coletados, utilizados, armazenados, excluídos etc.
No entanto, essa diferenciação não é comumente utilizada no Brasil, sendo, na prática, ambos os documentos chamados pelo mesmo nome: Política de Privacidade. Mas será que isso não gera um prejuízo no plano prático? Tendo em vista que a finalidade de ambos os documentos é informar e dar transparência sobre as práticas adotadas pela empresa, pode-se dizer que não há prejuízo referir-se a eles pelo mesmo nome.
Neste sentido, a "Política de Privacidade" é o documento que visa atender ao princípio da transparência previsto na LGPD, possibilitando ao Agente de Tratamento, garantir aos Titulares, informações claras, precisas e acessíveis sobre a realização do tratamento.
Elaboração da Política de Privacidade
Antes de iniciar a elaboração da Política de Privacidade, é importante que o Agente de Tratamento conheça (ou busque conhecer) de forma precisa as atividades de tratamento de dados pessoais que realiza em seu dia a dia. Nesse sentido, a confecção do Data Mapping, documento responsável por fornecer um retrato das atividades de tratamento de dados realizadas pelo Agente de Tratamento, mostra-se essencial para a elaboração de uma Política de Privacidade que reflita a realidade da empresa.
Outro aspecto de fundamental importância na elaboração da Política de Privacidade é a forma de sua redação, tendo em vista que esta deve prezar por uma linguagem: (i) adequada, expondo as atividades de tratamento de forma transparente e sem obstáculos a compreensão dos Titulares, e (ii) clara, isto é, comunicando-se com seu público-alvo de forma simples e inteligível.
Vale ressaltar que este é um aspecto que é deixado de lado por muitas empresas, conforme demonstra o resultado da pesquisa The Global State of Online Digital Trust, realizada pela CA Technologies, indicando que apenas 49% dos consumidores consideram que as Políticas de Privacidade de empresas são de fácil entendimento.
O que não pode faltar em sua Política de Privacidade?
Apesar de já existirem documentos que auxiliem no processo de elaboração de Políticas de Privacidade, como o Guia de elaboração de Termo de Uso e Política de Privacidade para Serviços Públicos, cumpre esclarecer que, não há um padrão certo a ser seguido, devendo a Política de Privacidade refletir a real prática de cada empresa. No entanto, alguns aspectos não podem deixar de ser abordados em sua Política de Privacidade, sendo eles:
Definições específicas;
Direitos do titular;
Informações de contato do encarregado;
Dados coletados e finalidades de tratamento;
Forma e duração de tratamento;
Eventual compartilhamento de dados pessoais;
Eventual tratamento com base no legítimo interesse;
Eventual tomada de decisão automatizada;
Eventual realização de transferência internacional de dados pessoais.
Vale ressaltar que o rol elencado acima não é exaustivo, tendo em vista a Política de Privacidade deverá tomar contornos próprios conforme o caso concreto.
Conclusão
Em síntese, a elaboração da Política de Privacidade ajuda a garantir que a empresa cumpra a LGPD, uma vez que dá transparência as atividades realizadas pelo Agente de Tratamento. No entanto, para que essa transparência seja efetivamente alcançada, o Agente de Tratamento deve certificar-se de que sua Política de Privacidade reflete a realidade de suas operações de tratamento, bem como comunica suas práticas de forma adequada e clara aos Titulares.
Renata Ciampi / Ítalo Lima
Equipe de Tecnologia, Propriedade Intelectual e Direito Digital - Motta Fernandes