Você conhece a LGPD?

*PDF para download ao final da matéria

A lei 13.709 de 14 de agosto de 2018, quando publicada em 2018, determinou várias situações relativas a Proteção de Dados Pessoais. Atualmente, a lei 13.709/2018 é conhecida como LGPD – Lei Geral de Proteção de Dados Pessoais, considerando a redação da lei 13.853/2019.

Assim, a Lei Geral de Proteção de Dados Pessoais - LGPD, visando garantir a proteção dos direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural, reforça a preocupação que os profissionais devam ter quanto aos trabalhos no ambiente empresarial. 

Os investimentos na segurança de dados tornam relevantes para promoção de políticas internas que possam melhorar o processo de transparência.

O cidadão ou titular (pessoa natural) deve ter a garantia de uso dos seus dados pessoais conforme a sua vontade e consentimento que provavelmente, será para uso de boa fé e jamais cause a discriminação ou qualquer outra situação não de acordo com os termos constitucionais ou leis em vigor.  Portanto, a lei determina quando e como poderá ou não utilizar os dados pessoais.

Considerando a data de publicação, nos termos da lei, especificamente no artigo 65 da LGPD, informou assuntos e períodos de vigência. 

No dia 28 de dezembro de 2018 tornaram vigentes os assuntos relativos a Autoridade Nacional de Proteção de Dados (ANPD), órgão da administração pública federal, integrante da Presidência da República, bem como do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade para criar ANPD e compor o Conselho.

No dia 1° de agosto do corrente ano, é que deverão entrar em vigor os assuntos sobre as sanções administrativas, inclusive, como serão determinadas e aplicadas.

Quanto aos demais assuntos publicados no texto legal, provavelmente, teremos a vigência a partir de 24 (vinte e quatro) meses após a data de sua publicação.   A publicação dessa lei aconteceu em 14 de agosto de 2018, logo, marcando dois anos, vamos ter muitas novidades em vigor no próximo mês de agosto do ano de 2021.

Nos parágrafos posteriores, teremos a noção dos assuntos tratados na lei e reflexos significativos com a vigência da LGPD.

A lei 13.709/2018, com 65 artigos, em dez capítulos inicia com as informações preliminares, depois expressa detalhes sobre o Tratamento de Dados Pessoais, Direitos do Titular, Tratamento de Dados Pessoais Pelo Poder Público, Transparência Internacional De Dados, Agentes De Tratamento De Dados Pessoais, Segurança e Boas Práticas, Fiscalização, Autoridade Nacional De Proteção De Dados (ANPD) e do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, terminando com o título “Disposições Finais e Transitórias”, no artigo 60, onde mudou em parte a lei 12.965 de 23 de abril de 2014 conhecida como Marco Civil na Internet.

O tratamento de dados pessoais precisa ser mediante o consentimento do titular que é a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. Em todo caso, quando as informações tornam publicas pelo titular, o consentimento não é exigido. Mesmo assim, o controlador e o operador, devem respeitar os demais termos da LGPD.

Na verdade, o consentimento é um dos requisitos ao tratamento de dados do artigo 7° da LGPD. Vejam o texto da lei:

Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:

I - mediante o fornecimento de consentimento pelo titular;

II - para o cumprimento de obrigação legal ou regulatória pelo controlador;

III - pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV desta Lei;

IV - para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

V - quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;

VI - para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);

VII - para a proteção da vida ou da incolumidade física do titular ou de terceiro;

VIII - para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;      (Redação dada pela Lei nº 13.853, de 2019)      Vigência

IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou

X - para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.

Seguindo os termos do artigo 8° da lei em questão, o consentimento poderá ser por escrito ou de forma a demonstrar a manifestação de vontade do titular, sem caracterizar o vício de consentimento. É importante lembrar que cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com a lei.

O titular tem o direito ao acesso facilitado às informações sobre o tratamento de seus dados, que deverão ser disponibilizadas de forma clara e adequada atendendo ao princípio do livre acesso.  Portanto, o titular deverá saber da finalidade especifica do tratamento, forma e duração do tratamento, identificação do controlador, informações do uso e compartilhamento de dados pelo controlador e qual seria a sua finalidade.

O controlador, com os dados do titular, deverá fazer o uso adequado na forma da LGPD.

A lei LGPD, menciona o tratamento de dados pessoais sensíveis; bem como o Tratamento de Dados Pessoais de Crianças e de Adolescentes.  No artigo 5°, o texto bem apresenta as seguintes definições:

Art. 5º Para os fins desta Lei, considera-se:

I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

Os termos citados no contexto da lei, de certa forma levam ao leitor a ratificar os entendimentos mencionados acerca do consentimento, de forma especifica e destacada, para finalidades especificas e, no caso de tratamento de dados pessoais de crianças e adolescentes, a representação dessas crianças e adolescentes será pelo menos um dos pais ou pelo responsável legal.

O artigo 5° da LGPD também conceituou o “dado anonimizado” como dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.  Nesse caso, o artigo 12 da lei deixa claro não ser necessário o consentimento, diante característica de anonimato.  Traduzindo, não serão considerados dados pessoais.

Então, poderão ser igualmente considerados como dados pessoais aqueles utilizados para formação do perfil comportamental de determinada pessoa natural, se identificada.  A autoridade nacional poderá dispor sobre padrões e técnicas utilizados em processos de anonimização e realizar verificações acerca de sua segurança, ouvido o Conselho Nacional de Proteção de Dados Pessoais.

Quanto ao Tratamento de Dados Pessoais de Crianças e de Adolescentes, é importante ressaltar o fato da existência de leis especificas que estão em vigor e devem ser respeitadas, das quais citamos a lei n° 8.069, de 13 de julho de 1990, que dispõe o Estatuto da Criança e do Adolescente.  As leis civis e criminais, bem como os textos constitucionais (Constituição da República Federativa do Brasil de 1988 – CRFB) jamais serão ignorados ou esquecidos.

Os direitos do titular são relacionados no artigo 17 da LGPD, reforçando a toda pessoa natural a segurança à titularidade de seus dados pessoais e garantidos os direitos fundamentais de liberdade, de intimidade e de privacidade e complementa ter o direito de obter do controlador, em relação aos dados do titular por ele tratados, a confirmação da existência de tratamento, acesso aos dados, correção de dados, anonimização, portabilidade de dados ou eliminação dados. A lei determina que o titular dos dados pessoais tem direitos, mas deve fazer a requisição. Vejam as informações completas no artigo 18 da LGPD:

Art. 18. O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição:

I - confirmação da existência de tratamento;

II - acesso aos dados;

III - correção de dados incompletos, inexatos ou desatualizados;

IV - anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei;

V - portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial;

VI - eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 desta Lei;

VII - informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;

VIII - informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;

IX - revogação do consentimento, nos termos do § 5º do art. 8º desta Lei.

...

Aos direitos do titular dos dados, inclui o requerimento de revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.  

O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse, mas em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

Em detalhes, a legislação determina a possibilidade de o titular dos dados receber a indenização, seja por responsabilidade solidaria do operador ou dos controladores, a não ser que o dano seja decorrente de culpa exclusiva do titular dos dados ou de terceiros. Assim expressam os artigos 42 ao 45 da lei 13.709/2018.

Para completar o assunto, a legislação inclui um capítulo sobre a fiscalização.  Os agentes de tratamento de dados, em razão das infrações cometidas às normas previstas nesta Lei, ficam sujeitos às sanções administrativas aplicáveis pela autoridade nacional, como advertência; multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício; multa diária; publicização da infração após devidamente apurada e confirmada a sua ocorrência; bloqueio dos dados pessoais a que se refere a infração até a sua regularização; eliminação dos dados pessoais a que se refere a infração. As sanções serão aplicadas, a partir do momento que as ocorrências sejam analisadas e constatadas.A autoridade nacional definirá, por meio de regulamento próprio sobre sanções administrativas a infrações a esta Lei.

A partir do momento que todos os artigos da LGPD tenham vigência, o controlador, o operador, o encarregado pelo tratamento de dados pessoais, devem agir com cuidados e transparência ao titular de dados. O titular precisa ter a segurança quando consentir o uso de seus dados pessoais e essa tarefa, destinada ao controlador e operador, diante da realidade e avanço tecnológico, pode ser desafiador na expectativa de garantir a segurança e impedir o uso indevido de dados.

A transparência no tratamento de dados pessoais passa a ter maior valor e o fato da lei não ser cumprida, poderá ocasionar penalidades administrativas, civis ou penais, prejudicando, de forma significativa, a imagem da empresa que se descuidou aos termos da Lei Geral de Proteção de Dados Pessoais.

Por: Patrícia Mariano Queiroz - Professora do Mackenzie Rio