69% das organizações da sociedade civil (OSCs) já ouviu falar sobre Lei Geral de Proteção de Dados Pessoais (LGPD), mas ainda não se aprofundou no tema, ao mesmo tempo em que 91% acredita que o impacto da nova legislação será, ao menos, moderado para o terceiro setor. Essas são algumas descobertas da pesquisa LGPD e o Terceiro Setor, realizada por Jérémie Dron, gestor de projetos sociais e cientista de dados para avaliação e monitoramento de projetos sociais. 

Com apoio do Atados e da Social Good Brasil, o levantamento tem como objetivo preencher a lacuna de informações sobre a lei e suas implicações para o terceiro setor. Segundo Jérémie, a ideia é que as OSCs possam entender um pouco mais sobre o tema e buscar maneiras de se adequar à nova legislação. 

Sob o número 13.709/2018, a lei versa sobre o “tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado” e tem como objetivo proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. 

Prevista para entrar em vigor em agosto de 2020, foi adiada para maio de 2021 com a Medida Provisória (MP) 959, publicada no Diário Oficial da União em 29 de abril. Em 19 de maio, entretanto, o Senado aprovou um novo projeto de lei (PL 1179/2020) que retoma a entrada de vigência da lei para agosto de 2020, a depender da resolução da MP supracitada, ainda em tramitação na Câmara. 

A importância de uma cultura de proteção de dados 

Jérémie decidiu criar a pesquisa de maneira voluntária depois de perceber, motivado por uma aula de um curso sobre data science, que não havia pesquisas sobre o tema, especialmente com o recorte do terceiro setor. 

Para o gestor, a nova legislação é imprescindível no sentido de fornecer a pessoas físicas uma base legal sólida para defender o tratamento de seus dados e direitos. “Essa agenda é fundamental porque, há alguns anos, entramos em uma nova era da informação, onde o dado é considerado, muitas vezes, como o ‘novo petróleo’. É  extremamente necessário regulamentar a utilização desses dados, de forma a garantir a privacidade, a ética e o controle a seus titulares.” 

As implicações do uso das informações ultrapassam o âmbito jurídico e também interferem em aspectos econômicos. “Instituições europeias que já contam com a GDPR [General Data Protection Regulation] em vigor, podem, por exemplo, decidir não aportar recursos a instituições brasileiras por ainda não contarem com processos adequados à proteção de dados. Outro caso é que algumas empresas brasileiras que tratam dados europeus têm recebido multas, o que gera a necessidade de adequação mais urgente”, reforça o gestor. 

O entendimento das OSCs sobre a lei 

Das 95 organizações respondentes, a maioria se concentra nos estados de São Paulo e Rio de Janeiro, são de pequeno porte (têm de 10 a 49 funcionários), atuam majoritariamente com assistência social, tendo o Objetivo de Desenvolvimento Sustentável (ODS) número 4, educação de qualidade, como causa principal. 

A grande maioria das organização sabe o que são (93%) e trata (98%) dados pessoais. Segundo o gestor, esse é um ponto de atenção, pois o tratamento de dados pessoais significa que as organizações deverão se adaptar à lei. “Dentro do universo dos dados pessoais, a LGPD destaca alguns com os quais são necessários cuidados específicos. Entre eles, estão os dados de crianças e adolescentes e os dados ditos sensíveis, referentes a raça/etnia, religião, opinião política, saúde ou vida sexual, entre outros. A pesquisa mostra que 60% das OSCs consultadas utilizam esse tipo de informação, o que reforça a necessidade de se adequar à nova legislação”, explica. 

Em contrapartida, são 44% as que sempre pedem o consentimento formal dos titulares para uso dessas informações, enquanto 28,4% o faz quase sempre, 17,9% às vezes e 6,3% não realiza o procedimento. Para Jérémie, esse cenário reflete que a cultura da privacidade do dado precisa ser implementada de forma mais eficiente e transversal dentro das instituições.

“A temática é nova para muitas e isso deve levar a repensar de maneira geral a natureza e o uso do dado, tanto para garantir a privacidade e o respeito dos direitos fundamentais de seus titulares, como para uso dos dados em favor dos propósitos das organizações, trazendo elementos de análise mais aprofundados e relevantes para mostrar resultados e impactos das ações.” 

A importância do processo de adequação 

Os formatos mais utilizados pelas organizações para guardar os dados obtidos também chama atenção. Apesar de arquivos digitais em nuvem ou computador (89%) e fotos (81%) serem métodos utilizados por muitas organizações, também é alta a porcentagem daquelas que ainda utilizam arquivos impressos (78%). Vale ressaltar que a lei prevê a adequação das organizações e tratamento de dados tanto digitais quanto em meio físico. 

Quanto ao processo de adequação, a pesquisa aponta que apenas 19% dos respondentes afirma conhecer a lei e já ter iniciado processo de adequação, enquanto 69% das organizações já ouviu falar sobre Lei Geral de Proteção de Dados Pessoais mas ainda não se aprofundou no tema. Ao mesmo tempo, 40% das organizações afirma acreditar que precisariam de um a seis meses para se adequar à lei. 

Com o adiamento da entrada em vigor para maio de 2021, existe a possibilidade de as organizações adiarem o início do processo de adequação e a procura por informações sobre a LGPD. O cenário é agravado, considerando a situação atual de crise ocasionada pela pandemia da Covid-19, o que levou muitas organizações a interromper qualquer atividade que não esteja direcionada a ajudar a sobrevivência da instituição e/ou apoio emergencial aos públicos atendidos. 

“O momento atual representa um desafio jamais enfrentado pela sociedade e pelas organizações do terceiro setor em particular. Postergar a lei deixa mais tempo para as OSCs se organizarem e se adequarem, mas o contexto atual deixou esse assunto em outro plano, longe das prioridades para muitas. Quando passar a crise pandêmica, pode ser que nos encontremos numa situação parecida com aquela do início do ano, faltando alguns meses para adequação e poucas organizações ainda cientes e com organizações, infelizmente, mais enfraquecidas. Por isso será importante que sejam pensadas soluções concretas e práticas”, pontua Jérémie. 

Por onde começar 

O primeiro passo e o mais intuitivo para organizações começarem a se inteirar do tema é buscar informações sobre a legislação que, além da leitura da lei, envolve pesquisas em sites e fontes confiáveis, especialmente aquelas voltadas especificamente ao terceiro setor. Jérémie indica a Escola Aberta do Terceiro Setor, que tem um curso introdutório. 

Na parte jurídica, o gestor também aconselha que procurem entender quais serão as implicações da lei para as organizações. Mas, em termos práticos, a primeira etapa para adequação é o mapeamento dos dados utilizados pela organização, destacando fonte, natureza, tipo, características, quem utiliza, como é coletado, quem é a pessoa responsável, por quanto tempo os dados são mantidos, entre outras informações. “Só a partir desse levantamento será possível definir os próximos passos, como análise de riscos, políticas e processos internos, novas garantias de proteção e privacidade de dados e mudanças estruturais para armazenamento.”