LGPD não é a GDPR com rótulos em português

O curso de nível Sênior "Conformidade: GDPR a fundo" construiu os hábitos. Uma base legal escolhida antes de a linha existir, os direitos dos titulares como fluxos de verdade e uma eliminação que alcança backups e logs além de uma tabela. Um schema que minimiza e retém de propósito, um registro de suboperadores, um prazo para vazamentos. Nada disso é reconstruído aqui. Se você fez aquele curso, já tem a disciplina de que este precisa; o que muda é o regime para o qual ela aponta.

A Lei nº 13.709/2018, a Lei Geral de Proteção de Dados, entrou em vigor em setembro de 2020. O regime de sanções dela, com as multas e a parte visível da fiscalização, só começou em agosto de 2021. Ela foi escrita com a GDPR aberta na mesa. As duas compartilham os mesmos movimentos centrais. Há controlador e operador, uma base legal antes do tratamento, direitos que o titular pode exercer e uma autoridade nacional que pode multar.

Repetir o curso de GDPR lição por lição, trocando "data subject" por titular, não ensinaria nada novo. Também seria um jeito estranho de passar sete lições num regime em que a maioria das pessoas de engenharia no Brasil já vive mais do que na GDPR.

Então este curso inverte o enquadramento. Você já conhece o formato. O que importa é onde a LGPD diverge, e onde ela não corresponde à GDPR de jeito nenhum.

Por que "prima próxima" subestima as diferenças

Algumas diferenças são estruturais, bem além do cosmético. A GDPR dá seis bases legais; a LGPD dá dez para dados pessoais comuns e uma lista separada e menor para dados sensíveis. São duas listas, e confundi-las é o erro mais comum de um time que trata a LGPD como um exercício de tradução.

A GDPR é fiscalizada por uma autoridade em cada Estado-membro da UE, coordenadas por uma autoridade principal quando um caso cruza fronteiras. A LGPD tem uma única autoridade nacional para o país inteiro, a ANPD, sem problema de coordenação entre fronteiras para resolver, porque só existe um Brasil.

O prazo de resposta da GDPR a um pedido de titular é de um mês; o da LGPD é outro. Um checklist de conformidade não deve tratar os dois números como intercambiáveis. Nenhuma dessas diferenças é "mesma regra, outra palavra". São formatos diferentes para os quais um time Rails precisa construir.

As seis lições pela frente

• Lição 2: as dez bases legais contra as seis da GDPR, quais não têm equivalente claro e o que ter dez muda na hora de escolher uma.
• Lição 3: a ANPD. Uma única autoridade nacional e os poderes de sanção dela, em vigor desde agosto de 2021. Também por que um modelo de autoridade única é um formato de conformidade diferente do da GDPR, com muitas autoridades.
• Lição 4: titular, controlador, operador, encarregado. O vocabulário que um time brasileiro usa, e onde encarregado significa mais do que a palavra portuguesa para "DPO".
• Lição 5: os direitos dos titulares em que a LGPD diverge da GDPR. Informação sobre com quem os dados foram compartilhados, revisão de decisões automatizadas e prazos de resposta diferentes do mês da GDPR.
• Lição 6: sanções, com o teto em porcentagem do faturamento, o teto por infração e as regras de dosimetria da ANPD. Também as transferências internacionais para fora do Brasil, sob a regulamentação de transferências da própria ANPD.
• Lição 7: o que um time Rails que atende usuários da UE e do Brasil constrói uma vez e liga aos dois regimes. E o que precisa de tratamento separado.

Uma regra básica, mantida sem mudança

Nada neste curso é aconselhamento jurídico, em nenhuma das duas línguas. O detalhe regulatório brasileiro, em especial as resoluções da ANPD, muda mais rápido do que a maioria das pessoas de engenharia espera. Ele altera o detalhe operacional de regras que continuam estáveis no texto da lei. Quando um número ou um prazo é do tipo que uma resolução da ANPD pode revisar, este curso diz isso com clareza em vez de apresentá-lo como permanente.

O trabalho de uma pessoa sênior aqui é o mesmo do curso de GDPR. Saiba quais decisões são jurídicas e seja quem transforma "o encarregado disse que precisamos disto" numa migration e num objeto de serviço.

Com isso definido, a lição 2 começa pelo número que surpreende quem acha que a LGPD é a GDPR em português. São dez bases legais, onde a GDPR tem seis.