Menu
Menu
Assegurar o direito à privacidade e à proteção de dados pessoais dos usuários, por meio de práticas transparentes e seguras, garantindo direitos fundamentais.
Estabelecer regras claras sobre tratamento de dados pessoais.
Fomentar o desenvolvimento econômico e tecnológico.
Estabelecer regras únicas e harmônicas sobre tratamento de dados pessoais, por todos os agentes e controladores que fazem tratamento e coleta de dados.
Fortalecer a segurança das relações jurídicas e a confiança do titular no tratamento de dados pessoais, garantindo a livre iniciativa, a livre concorrência e a defesa das relações comerciais e de consumo.
Promover a concorrência e a livre atividade econômica, inclusive com portabilidade de dados.
A LGPD regulamentará qualquer atividade que envolva utilização de dados pessoais, inclusive nos meios digitais, por pessoa natural ou jurídica, no território nacional ou em países onde estejam localizados os dados.
Sim, nos seguintes casos:
São considerados dados pessoais coletados no território nacional, aqueles cuja coleta dos dados do titular ocorreu em território nacional.
Dado pessoal é todo aquele relacionado à pessoa natural identificada ou identificável (artigo 5º, I, da Lei 13.709/2018). Isso quer dizer: dados pessoais são todos aqueles que podem identificar uma pessoa – números, características pessoais, qualificação pessoal, dados genéticos etc.
A lei também definiu alguns tipos de dados pessoais, como os dados sensíveis (artigo 5º, II, da Lei 13.709/2018). Trata-se de informações que podem ser utilizadas de forma discriminatória e, portanto, carecem de proteção especial. A lei define como dados sensíveis aqueles que implicam sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
O tratamento de dados pessoais de crianças deverá ser realizado com o consentimento específico por pelo menos um dos pais ou pelo responsável legal (art. 14, §1º). O controlador deve realizar todos os esforços razoáveis para verificar que o consentimento a que se refere o § 1º deste artigo foi dado pelo responsável pela criança, consideradas as tecnologias disponíveis (art. 14, §5º).
É o dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento. (art. 5, III).Desta forma, estariam fora do escopo de aplicação da lei, à exceção se o processo de anonimização puder ser revertido ou se estes forem utilizados na formação de perfis comportamentais. Dados efetivamente anonimizados são essenciais para o funcionamento de tecnologias no campo da Internet das Coisas, inteligência artificial, machine learning, smart cities e análise de grandes contextos comportamentais.
Os titulares dos dados pessoais tiveram seus direitos ampliados e devem ser garantidos de forma acessível e eficaz. (art.18)
Controlador e operador são os agentes de tratamento de dados pessoais, devendo manter registro das operações de tratamento que realizarem, especialmente quando baseadas em legítimo interesse (art. 37).
O operador deve realizar o tratamento de dados de acordo com as instruções fornecidas pelo controlador (art. 39). O controlador deve indicar o encarregado (DPO – Data Protection Officer) pelo tratamento de dados pessoais (art. 41). Conforme inovação trazida pela redação da Medida Provisória n.º 869/2018, o DPO pode ser pessoa física ou jurídica (nacional ou internacional), que atue como canal de comunicação entre o controlador e a ANPD e os titulares.
A identidade e as informações de contato do encarregado devem ser públicas, claras e objetivas, de preferência no site do controlador (art. 41, §1º); e o encarregado deverá aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; receber comunicações da autoridade nacional e adotar providências; orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares (art. 41, §2º).
Atualmente, parte relevante da economia gira em torno da coleta, tratamento e comercialização de dados pessoais. Com a LGPD (art. 7º), no 1º inciso deste artigo, prevê-se que: [o tratamento de dados pessoais poderá ser realizado] mediante o fornecimento de consentimento pelo titular por escrito ou por outro meio que demonstre a manifestação de vontade do titular (art. 8°).
Isso significa que a pessoa autoriza o tratamento de determinados dados após ter recebido informações suficientes para formar sua opinião – quais as condições de tratamento? Há comercialização ou informação de dados para terceiros?
Em caso de alteração de informação, o controlador deverá informar ao titular, com destaque de forma específica do teor das alterações, podendo o titular, nos casos em que o seu consentimento é exigido, revogá-lo caso discorde da alteração (art. 8°, §6º).
O consentimento pode ser revogado a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado, ratificados os tratamentos realizados sob amparo do consentimento anteriormente manifestado enquanto não houver requerimento de eliminação (art. 8°, §5º).
O tratamento de dados também poderá ser realizado para o cumprimento de obrigação legal ou regulatória noa seguintes casos:
A LGPD incluiu duas hipóteses adicionais que autorizam o tratamento de dados pessoais, no artigo 7, IX e X. O tratamento de dados pessoais poderá ser realizado quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.
O conceito de “interesse legítimo” foi incluído no texto para autorizar determinadas situações nas quais o consentimento não precisaria ser emitido. São situações nas quais não é necessário perguntar ao cidadão ou cidadã se aquele tratamento pode ou não ser realizado, pois, segundo a lei, ele deve contemplar as suas “legítimas expectativas”.
Um exemplo é o uso de dados bancários dos clientes pelas próprias instituições bancárias, para coibir fraudes (como o seu perfil de gastos) sem que haja consentimento expresso do titular dos dados. É ônus do responsável demonstrar que está fazendo uso da hipótese de legítimo interesse de modo adequado e por meio do devido sopesamento entre seus interesses e os direitos dos titulares. Potenciais abusos poderão ser coibidos pelas autoridades responsáveis por zelar pela proteção de dados.
Com relação a última hipótese, a inclusão da coleta para proteção de crédito entre as exceções permite a coleta automática de informações para fins de proteção de crédito, para o chamado “cadastro positivo”, ou seja, manutenção de cadastros por empresas privadas que disponibilizam informações dos consumidores aos fornecedores de crédito.
O Estado detém enormes bancos de dados pessoais, muitos deles formados a partir de informações fornecidas obrigatoriamente pelos cidadãos e cidadãs. A LGPD não faz menção À expressão “dados públicos”, mas sim a “dados pessoais cujo acesso é público” (§3º do art. 7º) – ou seja, dados cuja divulgação pública é obrigatória por lei, como por exemplo, o fato de alguém ser proprietário de um imóvel, sócio de uma empresa, ou os dados acerca das atividades de órgãos públicos.
Segundo a LGPD [o] tratamento de dados pessoais cujo acesso é público devem levar em consideração a finalidade, a boa-fé e o interesse público que justificam a sua disponibilização, sendo dispensada a exigência do consentimento de seu titular para os dados tornados manifestamente públicos pelo titular, resguardados os direitos do titular e os princípios pela LGPD.
Atualmente, uma série de funcionalidades e serviços são disponibilizados graças à possibilidade de armazenar, tratar e analisar enormes quantidades de dados de maneiras inovadoras – o chamado big data. A partir de tais capacidades de armazenamento, tratamento e análise de dados pessoais coletados a partir de nossos hábitos, torna-se plausível inferir tendências e traços de personalidade, predizer possíveis comportamentos e estabelecer perfis bastante detalhados de todos nós.
O desenvolvimento de ferramentas para realizar essas operações parece cada vez mais essencial para grande parte do setor de tecnologia da informação, razão pela qual o assunto foi intensamente tratado pela LGPD. O processamento automatizado de dados realizado por algoritmos é peça chave nesse quebra-cabeça. Algoritmos são formas de automatizar processos decisórios e estão por detrás de muitas coisas que acontecem também na Internet, como decidir qual anúncio será exibido para você ou quem é a próxima pessoa a aparecer em um aplicativo de relacionamentos. Por meio deles, a sua experiência de navegação pode mudar e, com isso, o seu acesso a determinadas informações, ofertas ou até mesmo oportunidades de emprego.
Para lidar com essa questão, a LGPD prevê em seu art. 20 que titulares de dados pessoais (todos nós) podem solicitar a revisão das decisões automáticas quando estas afetarem seus interesses. Estabelece ainda uma obrigação ao responsável pelo tratamento de tais dados para que forneça, se solicitado, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada. Segundo a lei, o responsável pelo tratamento de dados só não será obrigado a fornecer critérios e procedimentos que possam revelar segredos comerciais e industriais.
“Artigo 20: O titular dos dados tem direito a solicitar revisão, por pessoa natural, de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, inclusive de decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.
§ 1º O controlador deverá fornecer, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial.
§ 2º Em caso de não oferecimento de informações de que trata o § 1º deste artigo baseado na observância de segredo comercial e industrial, a autoridade nacional poderá realizar auditoria para verificação de aspectos discriminatórios em tratamento automatizado de dados pessoais.”
Os direitos assegurados ao titular são bastante amplos, refletindo boa parte do modelo europeu de proteção de dados (Regulamento Geral de Proteção de Dados – GPDR). A tutela efetiva desses direitos essencialmente depende de uma autoridade de proteção de dados independente e com corpo técnico qualificado capaz de aplicar e interpretar a lei de modo equilibrado.
Do ponto de vista das empresas, é preciso considerar que pessoas têm diferentes preocupações sobre privacidade. Assim, as empresas devem seguir boas práticas de transparência e clareza quanto aos dados que coletam, de modo que o titular possa fazer suas próprias escolhas sobre como eles são utilizados, bem como, no caso de serviços online, oferecer ferramentas e configurações que permitam a implementação prática dessas escolhas feitas pelo titular.
A LGPD estabelece, em seu art. 53, atribuições de eventual órgão competente para zelar pela implementação e fiscalização da lei. Esse órgão deverá ser o responsável por elaborar, entre outras coisas, diretriz para uma Política Nacional de Proteção de Dados Pessoais e Privacidade e promover estudos sobre proteção de dados e privacidade.
No entanto, a criação da Autoridade Nacional de Proteção foi vetada pelo presidente da república, sob alegação de que a criação da autoridade pela LGPD teria um vício de iniciativa, já que ela veio de projeto de lei do Congresso Nacional e a casa legislativa não pode criar cargos no Poder Executivo.
Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. (art. 46).
Padrões técnicos mínimos poderão ser definidos pela ANPD. Os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos nesta Lei e às demais normas regulamentares (art. 49).
Os diferentes agentes envolvidos no tratamento de dados – o controlador e o operador – podem ser solidariamente responsabilizados por incidentes de segurança da informação e/ou o uso indevido e não autorizado dos dados, ou pela não conformidade com a lei (artigo 42, §1º, I).
Todavia, a responsabilidade do operador, àquele que pratica o tratamento de dados em nome e a mando do controlador, pode ser limitada às suas obrigações contratuais e de segurança da informação, caso não viole as regras lhe impostas pela LGPD (artigo 43). Importante, portanto, definir se uma empresa deve ser encarada como um controlador ou um operador, ou ambos, para definir os limites da sua responsabilidade.
A ocorrência de incidentes de segurança da informação, devem ser notificados à Autoridade de Proteção de Dados e ao usuário titular do dado, em prazo razoável. Embora a Autoridade de Proteção de dados ainda não exista, enquanto ela não for criada, o usuário deve ser obrigatoriamente comunicado.
A LGPD traz uma série de hipóteses que permitem a transferência internacional de dados pessoais. Destaca-se a possibilidade de transferência baseada no consentimento específico do titular para a transferência, que deve ser prévio e separado das demais finalidades e requisições de consentimento. É possível, ainda, realizar a transferência caso haja a garantia, por meio de instrumento contratuais, do controlador no cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos na lei. Em moldes similares à GDPR, a lei permite a transferência por meio de adoção de selos, certificados e códigos de conduta regularmente emitidos e autorizados pela Autoridade Nacional.
Toda e qualquer atividade de tratamento de dados pessoais deve ser registrada, desde a sua coleta até a sua exclusão, indicando quais tipos de dados pessoais serão coletados, a base legal que autoriza os seus usos, as suas finalidades, o tempo de retenção, as práticas de segurança de informação implementadas no armazenamento e com quem os dados podem ser eventualmente compartilhados, metodologia conhecida como data mapping.
Em caso de descumprimento da lei, a Autoridade Nacional poderá aplicar:
A LGPD terá grande impacto nas relações comerciais e de consumo que demandam coleta de dados, sobretudo diante da crescente tendência de tratamento de dados pessoais de clientes/consumidores com a finalidade de traçar seu perfil, identificando diversas informações, em especial hábitos de consumo e condições financeiras e de crédito.
A utilização dos dados pessoais deve estar relacionada ao negócio jurídico subjacente. Salvo em caso de comprovado interesse público, fica vedada a troca de informações entre varejistas e empresas especializadas em bancos de dados.
A regulação de dados pessoais trazida pela LGPD exige adequações por parte das empresas que coletam dados dos usuários, principalmente no que tange em relação ao consentimento expresso dos usuários sobre a coleta, tratamento de dados, finalidade e eventual transferência de seus dados para terceiros.
Nas relações de trabalho e emprego, como o empregador é detentor de informações pessoais de seus empregados, ele deve observar a LGPD, sob pena de responsabilização civil.
Embora a LGPD autorize as empresas a usar os dados pessoais dos seus empregados e prestadores de serviços (art. 7°, V e IX) para a legítima execução dos contratos, em benefício do próprio trabalhador, é necessário cautela e observância às regras da LGPD em todas as suas fases, nos atos praticados antes da contratação, durante a vigência do contrato, nas terceirizações e após a rescisão dos contratos.
Na terceirização de serviços, é preciso obter consentimento dos empregados por escrito para que a empresa faça o tratamento dos seus dados, sobretudo quando for transmiti-los a terceiros (tomadores de serviço), em decorrência da atividade realizada, ou mesmo por exigências legais e contratuais, especificando de maneira clara quais dados serão repassados e para qual finalidade.
Além do consentimento do empregado, é recomendável que as empresas criem obrigações específicas em seus contratos comerciais, de acordo com as exigências impostas pela LGPD no tratamento de dados.
Com a Medida Provisória n.º 869/2018, a LGPD entrará em vigor no dia 29/12/2020. Ou seja, entidades públicas e privadas terão esse período para se adaptar.
A IAPP (International Association of Privacy Professionals) é uma associação internacional, voltada a atuar com profissionais que tratam da privacidade global de dados.