LGPD: Lei Geral de Proteção de Dados Pessoais

Lei Geral de Proteção de Dados Pessoais (LGPD)

• A Lei nº 13.709, de 14 de agosto de 2018, dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais.
• O objetivo principal é proteger os direitos fundamentais de liberdade e privacidade das pessoas naturais.
• As normas gerais contidas nesta lei são de interesse nacional e devem ser observadas pela União, Estados, Distrito Federal e Municípios.

Fundamentos da Proteção de Dados Pessoais

• Respeito à privacidade.
• Autodeterminação informativa.
• Liberdade de expressão, informação, comunicação e opinião.
• Inviolabilidade da intimidade, honra e imagem.
• Desenvolvimento econômico, tecnológico e inovação.
• Livre iniciativa, livre concorrência e defesa do consumidor.
• Direitos humanos, livre desenvolvimento da personalidade, dignidade e exercício da cidadania.

Aplicação da Lei

• Aplica-se a qualquer operação de tratamento realizada por pessoa natural ou jurídica, pública ou privada.
• Independente do meio ou do país onde os dados estão localizados, desde que:
  • A operação de tratamento seja realizada no território nacional.
  • A atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços no território nacional.
  • Os dados pessoais objetos do tratamento tenham sido coletados no território nacional.
• Dados pessoais cujo titular esteja no território nacional no momento da coleta são considerados coletados no território nacional.

Exceções à Aplicação da Lei

• Não se aplica ao tratamento de dados pessoais:
  • Realizado por pessoa natural para fins exclusivamente particulares e não econômicos.
  • Realizado para fins exclusivamente jornalísticos, artísticos ou acadêmicos (com aplicação dos arts. 7º e 11).
  • Realizado para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais.
  • Provenientes de fora do território nacional, desde que o país de proveniência proporcione grau de proteção de dados pessoais adequado ao previsto nesta Lei.

Dados Pessoais

• Informação relacionada a pessoa natural identificada ou identificável.
• Dado pessoal sensível: dado sobre origem racial ou étnica, religião, opinião política, filiação sindical, saúde ou vida sexual, dado genético ou biométrico.
• Dado anonimizado: dado relativo a titular que não possa ser identificado por meios técnicos razoáveis disponíveis.
• Banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico.
• Titular: pessoa natural a quem se referem os dados pessoais.
• Controlador: pessoa natural ou jurídica que toma as decisões sobre o tratamento de dados.
• Operador: pessoa que realiza o tratamento de dados pessoais em nome do controlador.
• Encarregado: pessoa indicada pelo controlador e operador para ser o canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).
• Agentes de tratamento: o controlador e o operador.

Processamento de Dados

• Toda operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração.
• Anonimização: utilização de meios técnicos razoáveis para que um dado não possa mais ser associado a um indivíduo.
• Consentimento: manifestação livre, informada e inequívoca do titular concordando com o tratamento de seus dados para uma finalidade específica.
• Bloqueio: suspensão temporária de qualquer operação de tratamento.
• Eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados.
• Transferência internacional de dados: transferência para país estrangeiro ou organismo internacional.
• Uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais.
• Relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais.
• Órgão de pesquisa: órgão ou entidade que inclua a pesquisa básica ou aplicada em sua missão institucional.
• Autoridade nacional: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da lei.

Princípios do Tratamento de Dados Pessoais

• Finalidade: tratamento para propósitos legítimos, específicos e informados.
• Adequação: compatibilidade do tratamento com a finalidade informada.
• Necessidade: limitação do tratamento ao mínimo necessário.
• Livre acesso: garantia de consulta facilitada e gratuita sobre o tratamento.
• Qualidade dos dados: garantia de exatidão, clareza, relevância e atualização dos dados.
• Transparência: garantia de informações claras e acessíveis sobre o tratamento.
• Segurança: utilização de medidas técnicas e administrativas para proteger os dados.
• Prevenção: adoção de medidas para prevenir danos.
• Não discriminação: impossibilidade de tratamento para fins discriminatórios.
• Responsabilização e prestação de contas: demonstração da adoção de medidas eficazes.

Requisitos para o Tratamento de Dados Pessoais

• Consentimento do titular.
• Cumprimento de obrigação legal ou regulatória.
• Tratamento pela administração pública para políticas públicas.
• Realização de estudos por órgão de pesquisa (anonimização sempre que possível).
• Execução de contrato ou procedimentos preliminares relacionados a contrato.
• Exercício regular de direitos em processo judicial, administrativo ou arbitral.
• Proteção da vida ou da incolumidade física do titular ou de terceiro.
• Tutela da saúde (exclusivamente por profissionais de saúde, serviços de saúde ou autoridade sanitária).
• Atendimento aos interesses legítimos do controlador ou de terceiro (exceto se prevalecerem direitos e liberdades fundamentais do titular).
• Proteção do crédito.

Consentimento

• Deve ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular.
• Em caso de consentimento por escrito, deve constar em cláusula destacada.
• Cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com a lei.
• É vedado o tratamento de dados pessoais mediante vício de consentimento.
• O consentimento deve referir-se a finalidades determinadas (autorizações genéricas são nulas).
• O consentimento pode ser revogado a qualquer momento.
• Alterações nas informações do tratamento devem ser informadas ao titular.

Direitos do Titular

• Acesso facilitado às informações sobre o tratamento de seus dados.
• O titular tem direito a informações claras, adequadas e ostensivas sobre:
  • Finalidade específica do tratamento.
  • Forma e duração do tratamento.
  • Identificação do controlador.
  • Informações de contato do controlador.
  • Informações sobre o uso compartilhado de dados.
  • Responsabilidades dos agentes de tratamento.
  • Direitos do titular.
• Legítimo interesse do controlador: pode fundamentar o tratamento de dados para finalidades legítimas, consideradas a partir de situações concretas (apoio/promoção de atividades do controlador e proteção do exercício regular de direitos).
• O controlador deve adotar medidas para garantir a transparência do tratamento de dados baseado em seu legítimo interesse.
• A autoridade nacional pode solicitar relatório de impacto à proteção de dados pessoais.

Tratamento de Dados Pessoais Sensíveis

• Art. 11. O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses:
• Quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;
• Sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:
  • Cumprimento de obrigação legal ou regulatória pelo controlador;
  • Tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;
  • Realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;
  • Exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral;
  • Proteção da vida ou da incolumidade física do titular ou de terceiro;
  • Tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou
  • Garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9° desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.

Dados Anonimizados

• Não são considerados dados pessoais para os fins desta lei, exceto se revertidos.
• Podem ser considerados dados pessoais se utilizados para formação do perfil comportamental de pessoa natural identificada.
• A autoridade nacional pode dispor sobre padrões e técnicas de anonimização.
• Em estudos de saúde pública, o acesso a bases de dados pessoais deve ocorrer exclusivamente dentro do órgão, para a finalidade de estudos e pesquisas, em ambiente controlado e seguro.

Tratamento de Dados de Crianças e Adolescentes

• Art. 14. O tratamento de dados pessoais de crianças e de adolescentes deverá ser realizado em seu melhor interesse, nos termos deste artigo e da legislação pertinente.
• Consentimento específico e em destaque de um dos pais ou responsável legal.
• Os controladores devem manter pública a informação sobre os tipos de dados coletados, a forma de sua utilização e os procedimentos para o exercício dos direitos a que se refere o art. 18 desta Lei.
• Os dados pessoais poderão ser coletados quando necessários para contatar os pais ou o responsável legal, utilizados uma única vez e sem armazenamento.
• Os controladores não deverão condicionar a participação dos titulares em jogos, aplicações da internet ou outras atividades ao fornecimento de Informações pessoais além das estritamente necessárias à atividade.

Término do Tratamento de Dados

• Art. 15. O término do tratamento de dados pessoais ocorrerá nas seguintes hipóteses:
  • Verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;
  • Fim do período de tratamento;
  • Comunicação do titular, inclusive no exercício de seu direito de revogação do consentimento conforme disposto no § 5º do art. 8° desta Lei, resguardado o interesse público; ou
  • Determinação da autoridade nacional, quando houver violação ao disposto nesta Lei.
• Os dados pessoais serão eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação para as seguintes finalidades:
  • Cumprimento de obrigação legal ou regulatória pelo controlador;
  • Estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;
  • Transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta Lei; ou
  • Uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.

Direitos do Titular

• Toda pessoa natural tem assegurada a titularidade de seus dados pessoais e garantidos os direitos fundamentais de liberdade, de intimidade e de privacidade.
• O titular tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição:
  • Confirmação da existência de tratamento;
  • Acesso aos dados;
  • Correção de dados incompletos, inexatos ou desatualizados;
  • Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei;
  • Portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial;
  • Eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 desta Lei;
  • Informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;
  • Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
  • Revogação do consentimento, nos termos do § 5º do art. 8º desta Lei.

Tratamento de Dados pelo Poder Público

• Art. 23. O tratamento de dados pessoais pelas pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da Lei nº12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação), deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público.
• Sejam informadas as hipóteses em que, no exercício de suas competências, realizam o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos;
• Seja indicado um encarregado quando realizarem operações de tratamento de dados pessoais, nos termos do art. 39 desta Lei; e
• A autoridade nacional poderá dispor sobre as formas de publicidade das operações de tratamento.

Transferência Internacional de Dados

• Art. 33. A transferência internacional de dados pessoais somente é permitida nos seguintes casos:
  • Para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto nesta Lei;
  • Quando o controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos nesta Lei, na forma de:
    • Cláusulas contratuais específicas para determinada transferência;
    • Cláusulas-padrão contratuais;
    • Normas corporativas globais;
    • Selos, certificados e códigos de conduta regularmente emitidos;
  • Quando a transferência for necessária para a cooperação jurídica internacional entre órgãos públicos de inteligência, de investigação e de persecução, de acordo com os instrumentos de direito internacional;
  • Quando a transferência for necessária para a proteção da vida ou da incolumidade física do titular ou de terceiro;
  • Quando a autoridade nacional autorizar a transferência;
  • Quando a transferência resultar em compromisso assumido em acordo de cooperação internacional;
  • Quando a transferência for necessária para a execução de política pública ou atribuição legal do serviço público, sendo dada publicidade nos termos do inciso I do caput do art. 23 desta Lei;
  • Quando o titular tiver fornecido o seu consentimento específico e em destaque para a transferência, com informação prévia sobre o caráter internacional da operação, distinguindo claramente esta de outras finalidades; ou
  • Quando necessário para atender as hipóteses previstas nos incisos II, V e VI do art. 7º desta Lei.

Agentes de Tratamento de Dados Pessoais

• O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.
• A autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial.
• O operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria.