O que faz o DPO? Conheça o papel do “guardião de dados” da imobiliária

Empresas e pessoas físicas que manejam dados de terceiros no mercado imobiliário têm promovido melhorias e adaptações em seus processos após a implantação da Lei Geral de Proteção de Dados (LGPD).

A Lei que objetiva proteger a privacidade e garantir a segurança na disponibilização de dados pessoais entrou em vigor em setembro do ano passado, e as sanções nela previstas já podem ser aplicadas desde agosto de 2021. 

Embora a Autoridade Nacional de Proteção de Dados (ANPD), órgão federal que fiscaliza a aplicação da lei, e o próprio Judiciário mantenham no geral uma atitude de orientação antes da punição, o peso das multas em caso de descumprimento da LGPD (que podem chegar a 2% do faturamento da companhia, num teto de R$ 50 milhões por infração) tem reforçado a atenção de construtoras, imobiliárias e corretores autônomos. 

Empresas mais estruturadas do setor nomearam, inclusive, um profissional com função específica de cuidar da implantação da LGPD. É o chamado DPO, ou Data Protection Officer, o encarregado de cuidar do tratamento e processamento dos dados da empresa e de seus clientes. 

Foi o caso, por exemplo, da Crédito Real, uma das principais imobiliárias do Rio Grande do Sul, que no ano passado designou o gerente jurídico Carlos Matheus Gutierrez para acumular a função de DPO. Passou por ele a revisão de todo o caminho percorrido pelos dados de inquilinos, proprietários, fiadores e mesmo dos colaboradores da empresa, de modo a cumprirem as normas da nova lei. 

Em entrevista ao Imobi Report, Gutierrez conta que a adequação à lei numa imobiliária deve começar com uma varredura dos dados disponíveis dentro da empresa, para verificar o que é descartável e quais são os dados sensíveis que necessitam de uma camada maior de proteção para evitar uso indevido ou vazamentos. Confira. 

Imobi Report: Nesse pouco mais de 1 ano após a implantação, quais foram as maiores dificuldades da Crédito Real ao se adaptar à LGPD? E, por outro lado, essas mudanças trouxeram algum tipo de benefício no sentido de otimizar o manejo das informações dos clientes?

Matheus Gutierrez: Essa pergunta é bem emblemática. A Crédito Real, considerando as áreas de negócio que ela possui, se não tivesse tomado a decisão lá em 2017/2018 de migrar para as operações digitais, talvez tivesse enfrentado mais problemas quando a Lei Geral de Proteção de Dados começou a ser implementada. 

O principal ponto de partida é fazer um novo retrato da operação de locação, da operação de trabalho, e como isso está dentro do meio digital. Assim as imobiliárias terão um controle maior sobre os dados que elas coletam dentro dos seus leads, dentro das suas possibilidades de relação de negócio, por onde circulam esses dados da empresa, qual seria a possibilidade de armazenamento, qual seria a possibilidade de descarte. Esse foi nosso ponto de atenção inicial.

Imobi Report: Especificamente quanto à locação, de que forma o mapeamento desses dados e implantação da LGPD em si foi diferente em relação às demais unidades de negócio?

Matheus Gutierrez: Com relação específica a locações, uma situação que foi avaliada com lupa foi a relação contratual. Foram revistos os contratos de administração e os de locação para que eles seguissem redondos a partir desse ponto, já adequados à LGPD. Nós tivemos que rever essas relações obrigacionais e avaliar a melhor forma de adequar à Lei sem perdermos aquela fluidez desde que a Crédito Real implementou o modelo digital em 2017/2018. 

Além disso, começamos um processo de limpeza da base de dados, porque a LGPD traz no artigo sétimo e seus incisos quais são as possibilidades de eu tratar o dado pessoal dentro das bases legais. Então temos como regra o consentimento, mas sabemos que ele é um item legal um pouco vulnerável. Como a gente brinca aqui internamente: eu posso anoitecer consentindo e amanhecer dissentindo. Então o consentimento é muito volátil. 

Como aconselhamento, digo que o mapeamento de rotina de cada área é um item essencial para eu começar a pensar na adequação à LGPD. 

Imobi Report: Como a imobiliária pode controlar o recebimento e armazenamento de dados por parte dos corretores autônomos, que usam muito o WhatsApp pessoal, por exemplo, sem que isso prejudique o trabalho deles de captação de leads?

Matheus Gutierrez: Este é um assunto muito sensível. Na LGPD há dados pessoais e dados pessoais sensíveis. Então usando essa analogia, o WhatsApp é uma ferramenta que pode ser teu aliado, mas em relação à LGPD ela pode ser um baita tiro do pé. O nosso primeiro passo foi a criação de uma política de privacidade e uma política de segurança da informação, contemplando esses meios alternativos de comunicação, sobretudo preservando o trânsito desses dados pessoais. 

E recomendo que essas políticas sejam compartilhadas através do site, dos aplicativos. E isso também serve para o grupo interno. A gente não pode pensar que está tratando apenas com os clientes, eu preciso me preocupar também com meu funcionário.

Imobi Report: Que cuidados a imobiliária deve adotar ao elaborar os termos de autorização do uso de dados para que eles sejam plenamente válidos?

Matheus Gutierrez: Finalidade é um dos princípios básicos da LGPD. Por que estou obtendo aquele dado? Para uma finalidade X. Então aquela pessoa que fornece voluntariamente seus dados precisa saber o porquê que eu estou coletando. Transparência e a finalidade são dois princípios que devem nortear esse mapeamento de dados na empresa. 

Sabemos que as relações humanas são extremamente mutantes, e a política de segurança da informação é uma blindagem que a imobiliária vai ter se houver algum tipo de autuação, consulta do Procon, Defensoria Pública, órgãos de fiscalização e a própria ANPD.

Imobi Report: Se um parceiro ou empresa terceirizada manejar incorretamente dados do cliente da imobiliária e ferir o que determina a LGPD, a imobiliária pode ser corresponsabilizada judicialmente por essa infração? Como ela pode se prevenir ao problema? 

Matheus Gutierrez: Mais uma vez: política de privacidade e política de segurança de informação. É preciso avisar o usuário ou o cliente da eventual necessidade de compartilhamento dos dados com algum parceiro. Assim, já estou sendo transparente com ele o suficiente para dizer: é possível que eu faça isso. 

Por exemplo, no campo da locação, se a imobiliária terceiriza a manutenção ou a vistoria, essas empresas parceiras terão acesso a dados pessoais do cliente para poderem fazer esses serviços. A política de privacidade e de segurança da informação são instrumentos que permitirão à imobiliária ter o menor problema possível com relação a esse compartilhamento de dados. 

Mas respondendo objetivamente à pergunta, sim, é muito possível que a imobiliária, se não tomar essas precauções, acabe sendo solidariamente responsável por um eventual tratamento equivocado, seja do parceiro ou quando o dado circulou entre o parceiro e o controlador do dado. Minha recomendação é sempre essa: focar na política de privacidade, fazer um monitoramento das rotinas que aquela área de negócio tem, ver quais são os gargalos, quais são os pontos de vulnerabilidade. É um trabalho bem minucioso mesmo.

Imobi Report: Você já percebe na prática que há punições sendo aplicadas em relação à lei? 

Matheus Gutierrez: Percebo uma política muito de orientação por parte da Agência Nacional de Proteção de Dados. Ou seja, ela está possibilitando às empresas e a quem trata de dados pessoais de uma forma geral que haja essas adequações. Mas, ao mesmo tempo, já há notícia de decisões de comarcas no entorno de Porto Alegre que já aplicaram a LGPD, seja com relação à abordagem, seja com relação ao tratamento de dados pessoais equivocados. Já temos, portanto, alguns indicativos de parâmetros de condenações. 

Mas eu ainda acho que há uma certa restrição cognitiva com relação ao entendimento, que deve ir se azeitando ao longo da evolução dos problemas. Por exemplo, que tipo de prova eu vou poder produzir, principalmente a empresa? 

Dou o exemplo de uma comarca ao lado aqui [de Porto Alegre] em que a condenação acabou saindo em R$ 6 mil para a empresa, na qual o juiz não aceitou a prova apresentada do descarte dos dados. Então a empresa apresentou o registro: “Olha, a pessoa pediu para retirar os dados, eu fiz, tá aqui a prova e desde então eu não tenho mais esse dado pessoal dela”. Não foi considerado pelo juiz porque é uma prova unilateral. Então me parece que existe ainda necessidade de evolução com relação à conceituação para que a gente tenha uma razoabilidade na aplicação de eventual punição.

Gostou deste texto? Ele foi adaptado de uma das edições do Imobi Aluguel, primeiro relatório de inteligência do país focado exclusivamente em locação, criado pelo Imobi Report. Em cada edição, o Imobi Aluguel traz um estudo sobre um assunto principal, entrevistas, notícias ligadas ao segmento e indicadores atualizados da locação. Clique aqui para receber o Imobi Aluguel gratuitamente por 7 dias e saber mais sobre o relatório, produzido pela equipe de jornalistas do Imobi Report, com o know-how da CUPOLA, maior consultoria para gestão de imobiliárias do Brasil.