Um dos maiores desafios para os projetos de adequação de uma empresa à legislação de proteção de dados pessoais é o enquadramento do tratamento de determinado dado pessoal em alguma base legal disponível na lei; dependendo do país e, consequentemente, da sua lei local, não existe sequer a possibilidade de escolha de base legal para enquadramento, como ocorre, por exemplo, nos EUA. Porém, essa dificuldade atinge tanto o Brasil quanto a maior parte dos países europeus.
Como a Lei Brasileira de Proteção de Dados (LGPD) possui apenas um ano de vigência e suas penalidades começaram a vigorar há pouco mais de 30 dias, os maiores exemplos dessa dificuldade no enquadramento acabam vindo do velho mundo. É impressionante a quantidade de penalidades que são atribuídas pelas autoridades nacionais de proteção de dados, nos respectivos países europeus, a empresas que, segundo tais autoridades, enquadram inadequadamente o tratamento de tais dados pessoais e, portanto, são penalizadas por violarem a lei.
Dessa forma, a Autoridade Nacional de Proteção de Dados no Reino Unido (Information Comissioner’s Office – ICO) criou uma ferramenta on-line interativa para auxiliar aqueles que buscam orientação no enquadramento do tratamento de dados pessoais em algumas das bases legais previstas na GDPR, lei europeia de proteção de dados, da qual o Reino Unido foi signatário antes de sua separação da União Europeia.
Para poder utilizar tal serviço gratuitamente, o usuário deve acessar o website https://ico.org.uk/for-organisations/gdpr-resources/lawful-basis-interactive-guidance-tool/ .
Ao entrar, ele já encontra um questionário pré-definido com as seguintes questões, conforme abaixo definido:
Após a submissão dos resultados, de acordo com a resposta, é apresentada uma justificativa para qual ou quais bases legais o usuário deveria efetuar o enquadramento do tratamento dos dados pessoais; caso o usuário tenha respondido que não sabe ou de alguma forma, a autoridade o instrui a identificar o que seria necessário para validar a sua opção pelo enquadramento.
Dessa forma, a ICO faz o usuário navegar pelas seis bases legais previstas na GDPR para o enquadramento do tratamento de dados pessoais. É uma iniciativa simples, mas muito útil, considerando que, assim como existem grandes corporações com muitos recursos para buscar uma consultoria adequada que possa indicar o caminho, existem muitas empresas que não possuem recursos adequados e têm muita dificuldade em entender e aplicar a lei. A ICO realmente merece os parabéns pela iniciativa.
Algo semelhante poderia ser feito no Brasil, guardadas as proporções quanto às diferenças previstas entre as legislações, já que aqui temos dez bases legais para o enquadramento do tratamento de dados pessoais comuns, oito bases legais para o enquadramento do tratamento de dados pessoais sensíveis e ainda um enquadramento diferenciado para o tratamento de dados pessoais de crianças e adolescentes -- neste caso, ainda com controvérsia de entendimento sobre a aplicabilidade, se somente para crianças ou se também para adolescentes, visto que o legislador não foi feliz na sua redação correspondente.
