Contexto regulatório e fiscalização
A Agência Nacional de Proteção de Dados (ANPD) notificou a Claro e a Serasa após identificar indícios de problemas no compartilhamento de informações pessoais de clientes da operadora. A medida resulta em um processo administrativo sancionador contra a Claro e um procedimento de fiscalização para a Serasa. A ação tem origem em uma fiscalização que analisou uma parceria firmada entre as duas empresas, onde havia sinais de descumprimento da Lei Geral de Proteção de Dados Pessoais (LGPD).
Pelo acordo, a operadora fornecia dados de seus clientes à Serasa para o desenvolvimento de métodos de análise de crédito e para avaliações de condições de mercado. A ANPD identificou violações significativas, incluindo o compartilhamento de dados de consumidores de forma considerada irregular, a falta de clareza nas informações prestadas aos clientes e dificuldades de acesso ao responsável de proteção de dados da empresa.
Detalhes das violações apontadas
Segundo o superintendente de Fiscalização da ANPD, Fabrício Guimarães, mais de 100 informações de cada cliente foram compartilhadas pela Claro com a Serasa. O compartilhamento excessivo viola o princípio da necessidade e da relevância, que são fundamentais na LGPD. Além disso, a transparência foi comprometida, pois os clientes não foram adequadamente informados sobre a extensão e a finalidade do compartilhamento de seus dados.
A dificuldade de acesso ao responsável de proteção de dados (DPO) da Claro também foi apontada como uma violação. A LGPD exige que as organizações designem um DPO e garantam que os titulares dos dados possam entrar em contato com ele para exercer seus direitos. A falta de clareza e acessibilidade no tratamento de dados pessoais é uma falha grave de governança de privacidade.
Implicações regulatórias e sanções
Se as irregularidades forem confirmadas, a Claro poderá ser penalizada com base na LGPD. As sanções podem incluir multa de até R$ 50 milhões por infração e multa de até 2% do faturamento da companhia, limitada a R$ 50 milhões por infração. Além das multas, a ANPD pode impor outras sanções, como a publicação da infração, a proibição parcial ou total do exercício de atividades relacionadas ao tratamento de dados, e a bloqueio ou eliminação dos dados pessoais.
A Serasa também passará por um procedimento de fiscalização para verificar o nível de transparência oferecido aos titulares dos dados e as ferramentas disponibilizadas para o exercício dos direitos previstos na LGPD. A agência vai analisar se a política de privacidade da empresa esclarece quais entidades compartilham informações com a companhia e com quais terceiros esses dados são compartilhados.
Impacto no mercado e conformidade
Este caso é um marco importante para a aplicação da LGPD no Brasil. Ele demonstra que a ANPD está disposta a fiscalizar e sancionar empresas que não cumprem as normas de proteção de dados, mesmo em parcerias comerciais. A decisão pode ter um efeito dominó, incentivando outras empresas a revisar suas práticas de compartilhamento de dados e a fortalecer seus programas de conformidade.
Para o mercado, o caso destaca a importância de uma governança de dados robusta. As organizações devem garantir que o compartilhamento de dados seja baseado em consentimento explícito, finalidade legítima e transparência. A implementação de medidas técnicas e organizacionais para proteger os dados pessoais é essencial para evitar sanções e manter a confiança dos clientes.
Medidas de mitigação e conformidade
Para evitar incidentes semelhantes, as organizações devem adotar as seguintes medidas:
- Revisão de contratos: Revise todos os contratos de compartilhamento de dados com terceiros para garantir que estejam em conformidade com a LGPD. Defina claramente as responsabilidades de cada parte e os controles de segurança necessários.
- Transparência e consentimento: Garanta que os titulares dos dados sejam informados de forma clara e acessível sobre como seus dados são coletados, usados e compartilhados. Obtenha consentimento explícito para o compartilhamento de dados sensíveis.
- Gestão de DPO: Assegure que o DPO esteja acessível e capacitado para lidar com solicitações dos titulares e com as autoridades reguladoras.
- Auditoria de dados: Realize auditorias regulares de processos de tratamento de dados para identificar e corrigir desvios de conformidade.
Conclusão e perspectivas
O processo administrativo contra a Claro e a Serasa reforça a importância da conformidade com a LGPD no Brasil. A ANPD está estabelecendo precedentes que moldarão a prática de proteção de dados nas próximas décadas. As organizações devem estar preparadas para enfrentar um cenário regulatório cada vez mais rigoroso e investir em cultura de privacidade e segurança da informação.
A colaboração entre empresas, reguladores e a sociedade civil é fundamental para construir um ecossistema de dados seguro e confiável. A transparência e a responsabilidade no tratamento de dados pessoais são valores essenciais que devem ser incorporados em todas as operações de negócios.