Gabriela Bilo/Estadão

A LGPD foi sancionada em agosto de 2018, e deveria ter entrado em vigor em 14 de agosto deste ano

A votação desta quarta-feira, 26, no Senado, em que foi derrubado o artigo da Medida Provisória (MP) 959/2020 que adiava para dezembro a vigência da Lei Geral de Proteção de Dados Pessoais (LGPD), fez muita gente finalmente comemorar a chegada da legislação. Entretanto, não demorou para surgirem dúvidas sobre quando exatamente ela passa a valer: agora - ou seja, vigência imediata - ou apenas após a sanção do presidente Jair Bolsonaro, o que pode levar ainda 15 dias?  

Ainda na noite de quarta, 26, o Senado Federal indicou que a lei não entra em vigor nesta semana pela obrigatoriedade de passar pelo presidente. 

“A LGPD não entrará em vigor imediatamente, mas somente após sanção ou veto do restante do projeto de lei de conversão, nos exatos termos do § 12 do art. 62 da Constituição Federal:

Art. 62 (…)

§ 12. Aprovado projeto de lei de conversão alterando o texto original da medida provisória, esta manter-se-á integralmente em vigor até que seja sancionado ou vetado o projeto."

Assim, ressaltamos que a Lei Geral de Proteção de Dados – LGPD só entra em vigor após a sanção ou veto dos demais dispositivos da MP 959/2020”.

É o que pensa Bruno Bioni, fundador e professor do Data Privacy Brasil. “A LGPD não entra em vigor hoje ou amanhã. Somente depois que que houver a sanção ou veto da Medida Provisória pelo presidente - algo que deve ocorrer em até 15 dias. Isso está previsto no artigo 62 da Constituição Federal”, diz. “A confusão se dá por conta da grande expectativa em torno da lei, mas, em termos jurídicos, não há muita discussão”. 

Mas há quem conteste isso. Segundo Paulo Rená, Mestre em Direito, Estado e Constituição da UnB, a lei tem interpretação para começar nesta quinta-feira, 27. De acordo com o especialista, uma decisão do Supremo Tribunal Federal no ano passado definiu que, caso a MP referente à LGPD caducasse, ou seja, ficasse sem a análise do Senado, a data para entrar em vigor seria definida anteriormente — 14 de agosto deste ano. 

“Utilizo uma metáfora que é a 'vigência de Schrödinger', porque a LGPD está ao mesmo tempo em vigência e fora de vigência. A gente tem uma situação da lei como um todo e uma situação peculiar da medida provisória, com a alteração de data. A MP tem um prazo de vigência, que se não for cumprido perde a eficácia”, explica Rená. 

Por julgar ser parte de uma outra lei analisada anteriormente — a 14.010 — o Senado optou por não rever a MP que versa sobre a LGPD na casa. “O Senado tinha que ter analisado em 60 dias - à medida que não foi analisado, o texto perde a eficácia”. Os 60 dias citado por Rená terminaram nesta quarta-feira, quando o artigo da MP foi votado, mas o texto não foi analisado.

É como se existissem dois cenários possíveis para a LGPD e nenhum esclarecido — mas os dois funcionando ao mesmo tempo — afirma Rená. No primeiro, o fato da MP não ter sido analisada no Senado faz com que ela perca eficácia e a vigência passa a ser no dia 14 de agosto. No segundo, a lei só começa a vigorar depois da sanção presidencial, que pode sair em até quinze dias depois da entrega dos documentos, resultado da votação. 

Sendo assim, o certo é que, principalmente para cobrir o período de incertezas entre as possíveis datas de vigência, será necessário um ato jurídico para, formalmente, indicar qual é a verdadeira data de vigência da lei, em resposta à confusão criada pelo processo da MP. Isso, porque pessoas ou empresas que tiverem algum problema relacionado à proteção de dados nesse período precisam estar cobertas com alguma decisão sobre os dias em que a lei estava ou não valendo.

“O que se espera agora é algum ato jurídico que defina a vigência em 14 de agosto. No meu entender e de algumas outras pessoas, essa vigência já foi disparada pela não análise da MP no Senado. O que faz entrar em vigência é o decurso do prazo. Tem que ter um acontecimento jurídico que faz entrar em vigência, que, nesse caso, seria o fim do prazo”.

Em relação às punições por descumprimento da lei, as multas ficarão mesmo apenas para o ano que vem — serão aplicadas apenas a partir de 3 de agosto de 2021. Mas, com a falta de clareza e o imbróglio que se arrastava durante o ano, muitas empresas já se movimentam para se adequar às exigências da lei. 

“A confusão sobre a data de entrada em vigor da LGPD, mesmo após a votação no Congresso, não deixa de ser simbólico porque reflete as idas e vindas que marcaram o debate legislativo da lei”, explica Carlos Affonso de Souza, diretor do Instituto de Tecnologia e Sociedade do Rio de Janeiro (ITS-Rio). 

“Isso chega ao ponto de que exista disputa pela dúzia de dias que diferem entre os que entendem que ela já estaria em vigor agora e os que defendem a necessidade de sanção. Essa diferença não é trivial porque, por exemplo, se a lei já estivesse em vigor hoje um vazamento de dados deveria dar ensejo ao regime de notificação previsto na LGPD, ao passo que sem ela não há parâmetros legais para dar os contornos do que deve uma empresa fazer”, diz ele. 

Imbróglio desde sempre

De fato, o assunto é confuso e causa dúvidas desde o seu início. A LGPD foi sancionada em agosto de 2018, e deveria ter entrado em vigor em 14 de agosto deste ano. Mas, em abril, o presidente Jair Bolsonaro editou MP com o prazo de maio de 2021. Na Câmara, o relator, deputado Damião Feliciano (PDT-PB), retirou o artigo que adiava a LGPD. 

O plenário aprovou, contudo, destaque da base aliada do governo para que a lei começasse a valer a partir de 31 de dezembro deste ano. A data foi um meio-termo construído em acordo com a maioria das lideranças partidárias, mas foi derrubada na sessão desta quarta-feira no Senado.

*é estagiária sob supervisão do repórter Bruno Romani