Com a entrada em vigor da Lei Geral de Proteção de Dados (LGPD) na segunda metade de 2020, muito tem sido dito acerca da importância da adequação de empresas às novas exigências legais no que importa ao tratamento de dados pessoais . Nesse tocante, cumpre relembrar que as normas da LGPD são aplicáveis a todas as pessoas naturais ou jurídicas. Além disso, evidencia-se que a lei considera como “tratamento de dados” qualquer operação de coleta, distribuição, armazenamento, comercialização, dentre outras práticas (art. 5º da LGPD). Desse modo, é altamente relevante que seja percebida essa ação na perspectiva das startups, especialmente sobre seus desafios e vantagens.
O conceito legal de startup foi introduzido no ordenamento jurídico brasileiro pela Lei Complementar n.º 167/2019, que instituiu o programa Inova Simples, que, por sua vez, consiste em um pacote de medidas que visa a facilitar o registro, a consolidação e o fechamento das empresas qualificadas como startups. Segundo referida Lei, em seu artigo 65-A, §§ 1º e 2º, “considera-se startup a empresa de caráter inovador que visa a aperfeiçoar sistemas, métodos ou modelos de negócio, de produção, de serviços ou de produtos, os quais, quando já existentes, caracterizam startups de natureza incremental, ou, quando relacionados à criação de algo totalmente novo, caracterizam startups de natureza disruptiva”.
A Lei Complementar n.º 167/2019 ainda reconhece o cenário típico que envolve esse modelo de negócios, ao passo que “[as startups] caracterizam-se por desenvolver suas inovações em condições de incerteza que requerem experimentos e validações constantes, inclusive mediante comercialização experimental provisória, antes de procederem à comercialização plena e à obtenção de receita.”
Na ótica legal, para que seja considerada startup, a empresa deve, então, possuir caráter inovador (seja ele disruptivo ou incremental), objetivar o aperfeiçoamento de modelos, sistemas, produção, serviços ou produtos e existir em condições de incerteza, o que requer validação e experimentos constantes.
É importante destacar que, embora esse seja o conceito apresentado pela legislação nacional, ainda existe pouca clareza acerca do que define esse tipo de empreendimento. O consenso entre especialistas é de que se trata de empresa pertencente a condições de extrema incerteza, com baixos custos de manutenção, modelo de negócio repetível, inovador, altamente lucrativo e o mais importante: escalável.
Ser escalável significa que, embora haja crescimento intenso, o modelo de negócio se mantém. A empresa crescerá em receita, mas os custos não seguirão o mesmo padrão. Dessa forma, a margem de lucro tenderá a ser crescente, gerando mais riqueza.
A importância da adequação das Startups às normas da LGPD
A LGPD acompanhou a tendência europeia no que concerne à importância da proteção de dados. A adequação a esta lei se tornou fundamental ao êxito de empresas que lidam com o tratamento de dados pessoais, uma vez que, após a entrada em vigor dessas novas regras, as empresas se tornaram responsáveis pelo controle e pelo tratamento seguro dos dados pessoais de seus clientes, usuários e funcionários. Caso sejam descumpridas essas responsabilidades, há risco de sanções que vão desde advertência, até multa e proibição do exercício de atividades relacionadas ao tratamento de dados.
A não-adequação à LGPD é ainda mais onerosa no caso das startups, em razão do modelo de negócios aplicado por elas. A implicação de multa, simples ou diária, e a perda ou bloqueio de dados podem influenciar diretamente a expressão do caráter escalável e, consequentemente, o crescimento da empresa. Além disso, a publicização da infração, depois de apurada e confirmada, poderá afetar fortemente a imagem do negócio perante clientes e, especialmente, perante investidores, o público alvo da maioria das startups.
Por outro lado, com a crescente conscientização da sociedade a respeito da importância da tutela sobre os dados pessoais, uma startup que atua em plena conformidade à LGPD e demais normas protetivas poderá utilizar esse atributo como atrativo para clientes e investidores, sendo, portanto, inegável a relevância de tal adequação para o sucesso do empreendimento.
Nesse cenário, é fundamental a criação de programa interno de proteção de dados, para que uma startup possa desenvolver suas atividades em conformidade com a LGPD, ainda mais no âmbito das empresas que lidam com a comercialização de dados, atividade que segue uma série de limitações e regras específicas.
Para startups novas, que estão em fase embrionária, é importante implementar o modelo de Privacy by Design, que prevê abordagem personalizada de conformidade à lei, desde a criação da startup, de acordo com seu específico modelo de negócios. Essa é uma estratégia de caráter preventivo, que consiste em estruturar todos os processos internos e externos da startup sob a ótica da proteção de dados, visando à redução de custos a médio e longo prazo para a adequação à lei.
É fundamental, também, a constante revisão dos Termos de Uso e Políticas de Privacidade veiculados aos clientes de eventual plataforma desenvolvida pela startup, além da redação de Termo de Consentimento Específico, no caso de dados pessoais sensíveis ou de crianças (vide art. 5º e 11 da LGPD). Além disso, a LGPD exige a nomeação de um DPO (Data Protection Officer), profissional responsável pela segurança dos dados pessoais tratados no âmbito de determinada empresa. Desse modo, espera-se que, cada vez mais, empresas (inclusive startups) busquem o auxílio de advogados e especialistas em proteção de dados, para que seja desenhado um programa de compliance de dados adequado à realidade da empresa, visando a conferir segurança jurídica ao empreendimento, sem prejudicar sua dinâmica interna.
A Autoridade Nacional de Proteção de Dados e a elaboração de normas específicas para as Startups
A Lei Geral de Proteção de Dados, em seu art. 55, instaurou a Autoridade Nacional de Proteção de Dados (ANPD), que começou a atuar ao final de 2020 e possui atribuições tais como zelar pela proteção de dados pessoais, elaborar as diretrizes do Plano Nacional de Proteção de Dados Pessoais e de Privacidade, fiscalizar — mediante auditorias — e aplicar sanções, por meio de processo administrativo, em caso de tratamento de dados realizado em descumprimento à legislação, além de elaborar estudos sobre a proteção de dados no Brasil e editar normativos internos capazes de complementar os termos da LGPD.
Nesse sentido, no último dia 29 de janeiro, a ANPD anunciou processo de tomada de subsídios, pelo qual microempresas e startups poderão enviar, mediante formulário, contribuições que visem à elaboração de uma regulamentação relevante e condizente com empresas desses formatos. Trata-se de questão prioritária na agenda da ANPD, que pretende sanar a questão ainda no primeiro semestre de 2021.
Alguns dos temas abordados na iniciativa dessa tomada de subsídio são: a obrigatoriedade de manutenção de registro das operações de tratamento de dados, a portabilidade de dados pessoais, a implementação da avaliação sistemática de dados e a necessidade da nomeação do DPO no contexto das microempresas e startups. Essa iniciativa é de grande importância, especialmente para as startups, à medida que possibilita diálogo acerca das especificidades desse modelo de negócio, abrindo caminho para a elaboração de possível política de regulamentação assimétrica que beneficie as empresas desse porte.
A tomada de subsídios também almeja a construção dos critérios definidores dos agentes sujeitos a essa eventual abordagem assimétrica da legislação, ao passo que a consulta aberta visa a colher informações sobre o porte econômico das empresas, número de funcionários e, especialmente, o tipo de dados tratados.
Diante disso, caberá às microempresas e às startups participar e acompanhar essa importante discussão no âmbito da ANPD.