Em 14 de agosto de 2018, Michel Temer sancionou a Lei Geral de Proteção de Dados (Lei 13.709), com vetos em nove artigos, entre eles a criação da autoridade nacional. A lei deu um prazo de adaptação e passou a orientar contratos entre empresas e fornecedores de tecnologia.
Em 14 de agosto de 2018, o então presidente Michel Temer sancionou a Lei Geral de Proteção de Dados Pessoais, a Lei nº 13.709/2018, conhecida como LGPD. A sanção veio com vetos em dispositivos de nove artigos, incluindo os que criavam a Autoridade Nacional de Proteção de Dados (ANPD). Para fornecedores de serviços digitais, como software houses, agências e provedores de plataformas, a lei marcou o início de um período de adaptação: ela não valia de imediato, mas passou a definir como dados pessoais de clientes e usuários deveriam ser tratados a partir da vigência.
O que foi sancionado e o que foi vetado em agosto de 2018?
A cobertura do site Teletime no dia da sanção registrou os principais vetos. O mais comentado foi o dos artigos 55 a 59, que criavam a ANPD. O governo alegou "vício de iniciativa": a estrutura de um órgão do Executivo deveria ser proposta pela Presidência, não pelo Congresso. Na mesma ocasião, o governo informou que enviaria um projeto separado sobre o tema.
Outros vetos relevantes:
- Artigo 52 (sanções): foram vetadas as penalidades de suspensão parcial ou total do funcionamento do banco de dados e da atividade de tratamento. O argumento foi o risco de insegurança para os controladores e de efeitos sobre o sistema financeiro.
- Artigos 23, 26 e 28 (setor público): caíram dispositivos que restringiam o compartilhamento de dados entre órgãos públicos e com entidades privadas, além da regra de publicidade irrestrita desses compartilhamentos. O governo citou como exemplo políticas como a Previdência Social e o CNIS.
Qual era o calendário da lei?
O texto sancionado previa um período de adaptação antes de produzir efeitos. Segundo análise do escritório SMA Advogados sobre a Medida Provisória 869, o prazo original apontava para fevereiro de 2020 e foi adiado para agosto de 2020 pela própria MP, publicada em 28 de dezembro de 2018.
| Data | Evento |
|---|---|
| 14/08/2018 | Sanção da Lei 13.709, com vetos em nove artigos |
| Agosto de 2018 | Veto à criação da ANPD (arts. 55 a 59) |
| 28/12/2018 | MP 869 cria a ANPD como órgão da Presidência da República |
| Fevereiro de 2020 | Vigência prevista no texto original |
| Agosto de 2020 | Nova vigência definida pela MP 869 |
O ano terminou, portanto, com duas peças no lugar: a lei sancionada e a autoridade criada por medida provisória.
Por que a sanção importou para quem presta serviços digitais?
A LGPD diferencia quem decide sobre o tratamento dos dados (o controlador) de quem trata dados em nome de outro (o operador). Para fornecedores de tecnologia, essa distinção tem efeito direto: uma agência que roda campanhas com a base de clientes de uma marca, ou uma software house que hospeda e mantém um sistema com cadastros, costuma tratar dados em nome do contratante.
Com a sanção, contratos de desenvolvimento, hospedagem, marketing e suporte passaram a ter um parâmetro legal para discutir responsabilidades. A MP 869 acrescentou um detalhe prático: o encarregado pelo tratamento de dados deixou de ter de ser pessoa natural, o que abriu espaço para a função ser exercida por uma pessoa jurídica, como um escritório ou empresa terceirizada. A mesma MP retirou a exigência de que a revisão de decisões automatizadas fosse feita por uma pessoa natural.
O que as empresas passaram a discutir com fornecedores?
Os pontos abaixo resumem os temas que a lei colocou na mesa entre contratantes e fornecedores de serviços digitais. Não são obrigações detalhadas aqui, e sim os assuntos que a LGPD tornou inevitáveis:
- Quem é controlador e quem é operador em cada atividade do contrato.
- Quais dados pessoais o fornecedor acessa, onde ficam e por quanto tempo.
- Quais medidas de segurança o fornecedor adota.
- Como incidentes serão comunicados entre as partes.
- O que acontece com os dados ao fim do contrato.
- Quem exerce a função de encarregado e como os titulares fazem pedidos.
O que isso significa hoje?
Olhar para 2018 ajuda a entender por que cláusulas de proteção de dados aparecem em praticamente toda proposta de tecnologia. Ao contratar uma software house ou uma agência, vale verificar se o fornecedor sabe explicar seu papel no tratamento de dados, que controles de segurança aplica e como responde a incidentes. Na Citeo, é possível comparar empresas de cibersegurança e software houses e pedir esse tipo de informação já na primeira conversa. Este texto é informativo e não substitui orientação jurídica.
Fontes
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
Quando a LGPD foi sancionada?
A Lei 13.709 foi sancionada em 14 de agosto de 2018 pelo presidente Michel Temer. A sanção teve vetos em dispositivos de nove artigos, entre eles os que criavam a Autoridade Nacional de Proteção de Dados.
Por que a ANPD foi vetada em 2018?
O governo alegou vício de iniciativa: a criação de um órgão na estrutura do Executivo caberia à Presidência da República, e não a um projeto de origem parlamentar. A autoridade acabou criada pela Medida Provisória 869, publicada em 28 de dezembro de 2018.
A LGPD passou a valer em 2018?
Não. Em 2018 a lei foi sancionada com um período de adaptação. O texto original previa vigência em fevereiro de 2020, e a MP 869 adiou esse prazo para agosto de 2020.
A sanção da LGPD afetou contratos com agências e software houses?
Sim, porque a lei separa os papéis de controlador e operador e trata de segurança, incidentes e direitos dos titulares. Esses temas passaram a ser discutidos em contratos de desenvolvimento, hospedagem e marketing que envolvem dados pessoais.