LGPD protege os dados das empresas? Entenda os limites da lei

Informações empresariais podem ser estratégicas e sigilosas, mas a Lei Geral de Proteção de Dados foi criada para proteger pessoas físicas

Faturamento, dados bancários, informações fiscais, contratos e documentos internos estão entre os ativos mais sensíveis de uma empresa. Diante do avanço da Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), é comum que empresários presumam que essas informações também estejam protegidas por ela. A premissa, porém, é equivocada: a LGPD não foi concebida para proteger a pessoa jurídica, mas a pessoa natural.

É o que estabelece o próprio art. 1º da lei, ao definir como seu objetivo a proteção dos direitos fundamentais de liberdade e de privacidade e do livre desenvolvimento da personalidade da pessoa natural. Em coerência com essa finalidade, a lei define dado pessoal como a informação relacionada a pessoa natural identificada ou identificável (art. 5º, I) e titular como a pessoa natural a quem se referem os dados (art. 5º, V).

Para Bruna Ribeiro Santana, compreender essa distinção é essencial, porque as empresas aparecem na LGPD sobretudo como responsáveis pelo tratamento de informações, e não como titulares dos direitos que a lei assegura às pessoas físicas. Isso não significa que as informações empresariais estejam desprotegidas, mas que sua proteção decorre de outros fundamentos jurídicos.

A empresa trata dados, mas não é a titular protegida pela lei

É comum confundir os papéis previstos na LGPD, já que a pessoa jurídica é mencionada logo no primeiro artigo da lei. Essa menção, porém, tem um propósito específico: deixar claro que a lei se aplica a quem realiza o tratamento de dados, seja uma pessoa natural ou uma pessoa jurídica de direito público ou privado.

Na prática, são justamente as empresas que, na maioria das vezes, ocupam a posição de controladoras, quando decidem como e para que os dados serão utilizados, ou de operadoras, quando executam o tratamento em nome do controlador (art. 5º, VI e VII). Já o titular, aquele cujos direitos a lei protege, é sempre uma pessoa natural (art. 17).

Um exemplo simples ajuda a entender essa distinção. Uma loja que mantém um cadastro com nomes, telefones e endereços de clientes é responsável por administrar essas informações, mas não é titular delas. Os titulares são os próprios clientes, e é perante eles que a empresa responde pelo uso adequado de seus dados.

Dados exclusivamente empresariais não são protegidos

O caráter estratégico ou confidencial de uma informação não a converte em dado pessoal. Razão social, CNPJ, faturamento, demonstrativos contábeis e demais registros que dizem respeito apenas à pessoa jurídica estão, em regra, fora do alcance da LGPD, ainda que sua divulgação possa causar sérios prejuízos à empresa. Essas informações são protegidas, mas por outras normas, como se verá adiante.

A fronteira, contudo, nem sempre é precisa. No caso do microempreendedor individual e do empresário individual, a atividade empresarial confunde-se com a própria pessoa física, e parte relevante da doutrina entende que, nessas hipóteses, informações vinculadas ao CNPJ podem revelar dados pessoais de seu titular e, portanto, atrair a incidência da lei.

Empresas contam com outros instrumentos de proteção

O fato de a LGPD não proteger a pessoa jurídica como titular não significa que suas informações estejam juridicamente desamparadas. O ordenamento brasileiro oferece diversos mecanismos para essa finalidade.

A Lei de Propriedade Industrial tipifica como crime de concorrência desleal a divulgação ou a utilização, sem autorização, de informações confidenciais obtidas em razão de relação contratual ou empregatícia, bem como a obtenção dessas informações por meios ilícitos ou fraudulentos (art. 195, XI e XII, da Lei nº 9.279/1996). O Código Civil, por sua vez, estende às pessoas jurídicas, no que couber, a proteção dos direitos da personalidade (art. 52), e o Superior Tribunal de Justiça reconhece que a pessoa jurídica pode sofrer dano moral (Súmula 227), o que abre espaço para a reparação em casos de violação de sua honra objetiva e de sua reputação.

A esses instrumentos somam-se os acordos de confidencialidade, as cláusulas contratuais de sigilo e as regras de responsabilidade civil, que permitem à empresa buscar reparação pelos prejuízos decorrentes do uso indevido de suas informações.

A pergunta certa a fazer

Diante desse cenário, não basta perguntar se determinado dado está protegido pela LGPD. É preciso identificar a natureza da informação e o regime jurídico que se aplica. Para isso, a empresa precisa conhecer as informações que trata e distinguir, em cada contrato, sistema ou base de dados, o que pertence à esfera corporativa e o que se refere a pessoas físicas.

Embora a lei não reconheça a pessoa jurídica como titular de dados pessoais, a empresa permanece integralmente responsável sempre que trata informações de clientes, empregados, sócios, representantes ou de qualquer outra pessoa natural. Compreender com precisão essa fronteira é, ao mesmo tempo, condição para o cumprimento da LGPD e instrumento de proteção do próprio negócio. 

Sobre Bruna Ribeiro Santana

Bruna Ribeiro Santana é advogada inscrita na OAB/DF sob o nº 59.971, sócia do Santana & Couto Advogados, com 8 anos de atuação profissional e especialização em Direito Processual Civil.

Conteúdo de caráter informativo. A incidência da LGPD depende da natureza das informações tratadas e das circunstâncias concretas de cada operação.