Enquadramento de Base Legal para o Tratamento de Dado Pessoal – O Ótimo Exemplo dado pela Autoridade De Proteção de Dados no Reino Unido (ICO)

23.09.2021 – Um dos maiores desafios para os projetos de adequação de uma empresa no âmbito da legislação de proteção de dados pessoais é o enquadramento do tratamento de determinado dado pessoal em alguma base legal disponível na lei; embora, dependendo do país e, consequentemente, da sua lei local, não exista sequer a possibilidade de escolha de base legal para enquadramento, como ocorre, por exemplo, nos EUA. Porém, essa dificuldade atinge tanto o Brasil, quanto a maior parte dos países europeus.

Como a Lei Brasileira de Proteção de Dados (LGPD) possui apenas 1 ano de vigência e suas penalidades começaram a vigorar a partir de pouco mais de 30 dias, os maiores exemplos dessa dificuldade no enquadramento acabam vindo do velho mundo. É impressionante a quantidade de penalidades que são atribuídas pelas autoridades nacionais de proteção de dados, nos respectivos países europeus, a empresas que, segundo tais autoridades, enquadram inadequadamente o tratamento de tais dados pessoais e, portanto, são penalizadas por violarem a lei.

Dessa forma, a Autoridade Nacional de Proteção de Dados no Reino Unido (Information Comissioner’s Office – ICO) criou uma ferramenta online interativa para auxiliar aqueles que buscam orientação no enquadramento do tratamento de dados pessoais em algumas das bases legais previstas na GDPR, lei europeia de proteção de dados, da qual o Reino Unido foi signatário antes de sua separação da União Europeia, ou seja, o famoso Brexit.

Para poder utilizar tal serviço gratuitamente, o usuário deve acessar o website: https://ico.org.uk/for-organisations/gdpr-resources/lawful-basis-interactive-guidance-tool/ .

Ao lá entrar, ele já encontra um questionário pré-definido com as seguintes questões, conforme abaixo definido:

Página	Pergunta	Respostas
Página 1 – Contrato	Você tem ou pretende ter um contrato com o indivíduo?	a) Sim, b) Não, c) Eu não sei
Página 2 – Obrigação Legal	Você está tratando esses dados pessoais para cumprir com alguma lei?	a) Sim, b) Não, c) Eu não sei, d) De alguma forma
Página 3 – Interesses Vitais	Você está tratando esses dados pessoais para salvar ou proteger a vida de alguém?	a) Sim, b) Não, c) Eu não sei, d) De alguma forma
Página 4 – Atividade Pública	Você está tratando esses dados pessoais para desempenhar a sua atividade ou função pública ou outras atividades específicas de interesse público?	a) Sim, b) Não, c) Eu não sei, d) De alguma forma
Página 5 – Consentimento	Você quer dar aos indíviduos o poder de decidirem se você poderá ou não tratar os seus dados?	a) Sim, b) Não, c) Eu não sei, d) De alguma forma
Página 6 – Interesse Legítimo	Você está satisfeito em assumir totalmente a responsabilidade pelo tratamento de dados pessoais?	a) Sim, b) Não, c) Eu não sei, d) De alguma forma

Após a submissão dos resultados, de acordo com a resposta, é apresentada uma justificativa para qual ou quais bases legais o usuário deveria efetuar o enquadramento do tratamento dos dados pessoais e caso o usuário tenha respondido que não sabe ou de alguma forma, a autoridade o instrui a identificar o que seria necessário para validar a sua opção pelo enquadramento.

Dessa forma, a ICO faz o usuário navegar pelas 6 bases legais previstas na GDPR para o enquadramento do tratamento de dados pessoais. É uma iniciativa simples, mas muito útil desenvolvida pela ICO, considerando que, assim como existem grandes corporações com muitos recursos para buscar uma consultoria adequada que possa indicar o caminho, existem muitas empresas que não possuem recursos adequados e tem muita dificuldade em tentar entender e aplicar a lei. A ICO realmente merece os parabéns pela iniciativa.

Algo semelhante poderia ser feito no Brasil, guardadas as proporções quanto às diferenças previstas entre as legislações, já que aqui temos 10 bases legais para o enquadramento do tratamento de dados pessoais comuns, 8 bases legais para o enquadramento do tratamento de dados pessoais sensíveis e ainda um enquadramento diferenciado para o tratamento de dados pessoais de crianças e adolescentes, e, nesse caso, ainda com controvérsia de entendimento sobre a aplicabilidade se somente para crianças ou se também para adolescentes, visto que o legislador não foi feliz na sua redação correspondente.