- Qual é o objetivo da LGPD e a quem ela se destina?
A LGPD foi criada com o objetivo de proporcionar ao cidadão brasileiro um controle maior sobre o tratamento de seus dados pessoais. Para isso, a LGPD estabelece princípios e cria regras que devem ser observados tanto por organizações privadas quanto públicas, além de criar entidade reguladora específica para o tema.
- Quem fiscaliza o cumprimento da lei?
A fiscalização referente à LGPD será primariamente realizada pela Autoridade Nacional de Proteção de Dados (ANPD). Este órgão foi criado para fiscalizar o cumprimento da lei, zelar pela proteção de dados pessoais, elaborar diretrizes e também aplicar as sanções em casos de irregularidade. Ademais o Ministério Público continua competente para lidar com a questão no que tange os direitos difusos dos cidadãos.
- Quem é o titular de dados?
É a pessoa natural a quem se referem os dados pessoais que são objetos de coleta e tratamento.
- O que são dados pessoais?
De acordo com a lei, um dado pessoal é informação relacionada à pessoa natural identificada ou identificável: CPF, RG, data de nascimento, endereço residencial e-mail, placa do carro, entre outros.
- O que são dados pessoais sensíveis?
É qualquer dado pessoal, conforme estabelecido na lei, sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
- O que compreende o tratamento destes dados?
O tratamento de dados é um conceito abrangente, que inclui qualquer tipo de manipulação realizada com informações pessoais. Processos comuns a diversos tipos de empresas incluem, geralmente, a coleta, a reprodução, o acesso, o armazenamento e a distribuição de dados pessoais. Um exemplo simples? A criação de uma lista de e-mails.
- Em quais casos de tratamento de dados pessoais a lei é aplicada?
A lei se aplica a qualquer operação que envolve a coleta e o tratamento de dados pessoais e que seja realizada em território brasileiro.
- Esta Lei aplica-se apenas ao tratamento de dados pessoais coletados na Internet?
A LGPD é aplicável a qualquer operação de tratamento de dados pessoais que tenham sido coletados dentro do território brasileiro ou que tenha como objetivo oferecer bens ou serviços a pessoas localizadas no Brasil, independentemente destes dados pessoais terem sido coletados offline ou online, em meios físicos ou digitais.
- Mas o que são dados pessoais coletados offlineou online?
Dados pessoais coletados offline são obtidos sem a utilização de ferramentas informatizadas, como por exemplo, a lista de presença em eventos. Os dados pessoais coletados online são os que utilizam ferramentas informatizadas e/ou automatizados para serem obtidos, tais como os cadastros de candidatos para vagas de emprego.
- Quais são os principais atores no tratamento de dados pessoais de acordo com a LGPD?
São três: o controlador, o operador e o encarregado / DPO.
O controlador é pessoa natural ou jurídica de direito público ou privado, a quem compete as decisões referentes ao tratamento de dados pessoais.
O operador é pessoa natural ou jurídica de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.
O encarregado / DPO é a pessoa indicada pelo controlador e/ou operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD.
- Quais são os casos de tratamento de dados pessoais em que a LGPD não será aplicada?
Quando for feito por uma pessoa física, para fins particulares, e não comerciais, por exemplo, coleta de dados pessoais dos integrantes da família para a montagem de uma árvore genealógica; para fins exclusivamente jornalísticos, artísticos e acadêmicos; ou pelo Poder Público — no caso de segurança pública, defesa nacional, segurança do Estado e atividades de investigação e repressão de infrações penais.
- O que é um dado anônimo ou anonimizado?
Dado anônimo ou anonimizado é qualquer dado pessoal que, submetido a meios técnicos razoáveis, passe a não mais identificar ou a proporcionar a identificação de uma pessoa natural, direta ou indiretamente, de maneira definitiva e irreversível.
- O tratamento de dados pessoais sensíveis pode ser realizado em quais condições?
O tratamento de dados pessoais sensíveis somente poderá ocorrer com consentimento do titular ou seu responsável legal, de forma destacada e para finalidades específicas. Sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:
-
- Cumprimento de obrigação legal ou regulatória pelo controlador;
- Pela Administração Pública, de políticas públicas previstas em leis ou regulamentos;
- Estudos por órgão de pesquisa;
- Exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral;
- Proteção da vida;
- Tutela da saúde;
- Garantia da prevenção à fraude e à segurança do titular.
- Se a empresa for sediada no exterior, também deve se adequar à Lei?
Caso a empresa ofereça bens ou serviços para pessoas localizadas no Brasil e, portanto, coletar dados de usuários, a LGPD também se aplica e com isso a empresa deve se adequar.
- Quais são os princípios da LGPD?
A LGPD traz alguns princípios que devem ser respeitados no tratamento de dados pessoais: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas.
- Quais são as Bases Legais para tratamento de dados pessoais?
As bases legais que autorizam o tratamento de dados pessoais são:
-
- Com consentimento do titular;
- Para cumprimento de obrigação legal ou regulatória;
- Pela Administração Pública;
- Para realização de estudos por órgãos de pesquisa;
- Para execução de contratos, a pedido do titular;
- Em processos judiciais, administrativos ou arbitrais;
- Para proteção da vida;
- Para tutela da saúde;
- Em legítimo interesse do Controlador;
- Para proteção do crédito.
- O que é consentimento?
É a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. O consentimento e sua finalidade devem estar claros e destacados.
- E quando a finalidade muda? O que a empresa deve fazer?
Se a empresa precisa de um dado pessoal já coletado com o consentimento do titular para outra finalidade de uso, é necessário informá-lo sobre este novo intuito. Importante ressaltar que, além de informar é preciso atualizar o consentimento do titular.
- O termo de consentimento deve ser escrito ou digital?
O termo de consentimento, como consta no art. 8º, pode ser adquirido por escrito ou por outro meio que demonstre a manifestação de vontade do titular.
- O titular dos dados pode revogar seu consentimento?
Sim, a LGPD estabelece que o titular dos dados poderá, a qualquer momento, revogar seu consentimento.
- Há alguma diferença entre o consentimento para o tratamento de dados pessoais e para tratamento dados pessoais sensíveis?
Não. O consentimento para dados sensíveis deve sempre explicitar a finalidade de seu uso, de forma destacada. Se houver alteração na finalidade, é preciso renovar o consentimento de forma expressa.
- Como se dá o consentimento de Crianças e Adolescentes?
A LGPD estabelece, no art. 14, que o tratamento de dados pessoais de crianças e adolescentes deverá ser realizado em seu melhor interesse. Para tratamento de dados de crianças até 12 anos de idade, é necessário consentimento específico e em destaque, dado por, pelo menos, um dos pais ou pelo responsável legal. Os dados de crianças e adolescentes poderão ser coletados sem o consentimento, quando for necessário para sua proteção ou para contatar os pais ou o responsável legal, sendo utilizados uma única vez e sem armazenamento. Sem consentimento, em nenhum caso, poderão ser repassados a terceiros.
- Em casos de irregularidade no tratamento de dados, quem será responsabilizado?
Se o tratamento de dados não acontecer como previsto na lei, os controladores serão responsabilizados. Caso o operador não tenha cumprido ordens passadas pelo controlador ou falhe na segurança dos dados, este também pode ser penalizado.
- Quais são as penalidades que podem ser aplicadas nos casos de irregularidades?
A penalidade imposta irá depender da avaliação da ANPD, mas pode ser uma advertência, a determinação da publicação e divulgação da infração cometida, o bloqueio ou eliminação dos dados que sofreram violações e também multas simples e/ou diárias.
- Ações que infrinjam a lei podem acarretar em multas?
As multas são de até 2% do faturamento da empresa, limitados a R$ 50.000.000,00 (cinquenta milhões de reais) por infração, além da possibilidade de suspenção das atividades de coleta e tratamento, sem prejuízo da indenização pelos danos que causarem aos titulares dos dados.
— Não há aplicação de multa para os entes públicos —
- O que é GDPR?
A General Data Protection Regulation (GDPR) é a Lei europeia vigente que trata da proteção de dados pessoais, e que culminou na criação da LGPD. As empresas e órgãos estatais brasileiros que mantenham negócios com os países europeus terão a obrigatoriedade de garantir que suas políticas de tratamento de dados estejam em conformidade com a GDPR, sob o risco de penalidades, bem como perda de clientela, valor de marca e credibilidade no mercado internacional.
- O que é DPO?
DPO, ou Data Protection Officer, é o encarregado que irá atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. Responsável por zelar pela proteção dos dados pessoais e por implementar e fiscalizar o cumprimento da LGPD.
- O Poder Público também está sujeito às disposições da LGPD?
Sim, os dados pessoais tratados pelo Poder Público também estarão sujeitos à LGPD. Porém, o Poder Público pode tratar dados pessoais sem pedir o consentimento do titular sempre que for necessário para a execução de políticas públicas. O Poder Público também poderá tratar dados pessoais, fora do escopo da lei, no caso de segurança pública, defesa nacional, segurança do Estado e atividades de investigação e repressão de infrações penais, que serão tratados de acordo com legislação específica, que contenha medidas proporcionais e necessárias para que o tratamento de dados pessoais atenda ao interesse público. Para a criação das normas específicas para esses casos, a ANPD emitirá recomendações e opiniões técnicas.
- É possível o uso compartilhado de dados entre diferentes órgãos da Administração Pública?
A Lei permite o uso compartilhado de dados pessoais entre entes do Poder Público, desde que atenda a finalidades específicas de execução de políticas públicas e a atribuição legal desses órgãos, respeitados os princípios do art. 6º. O inciso III do art. 7º assegura, como uma de suas dez bases legais para o tratamento de dados, o tratamento e uso compartilhado pela Administração Pública de dados necessários à execução de políticas públicas previstas em leis, regulamentos ou ainda respaldadas em contratos, convênios ou instrumentos congêneres, nos termos do Capítulo IV.
- A LGPD dispõe sobre a transferência de dados entre o Poder Público e instituições do setor privado?
O art. 26 prevê que o uso compartilhado de dados pessoais pelo Poder Público deve atender a finalidades específicas de execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, respeitados os princípios de proteção de dados pessoais elencados no art. 6º da Lei.
Veta a transferência dos dados pessoais constantes de bases de dados a que tenha acesso, exceto:
-
- Em casos de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado, observado o disposto na Lei 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação);
- Em casos em que os dados forem acessíveis publicamente;
- Quando houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres;
- Para prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados.
- Em que casos os dados pessoais podem ser transferidos para fora do Brasil?
A transferência internacional de dados pessoais pode ser feita:
-
- Para países ou organizações internacionais proporcionem grau adequado de proteção de dados pessoais;
- Quando o controlador oferecer e comprovar, por meio de cláusulas contratuais específicas para determinada transferência, cláusulas-padrão contratuais, normas corporativas globais, selos, certificados ou códigos de conduta regularmente emitidos, que está cumprindo com o disposto na LGPD;
- Quando necessário para cumprimento de acordos da cooperação jurídica internacional entre órgãos públicos de inteligência, de investigação e persecução, de acordo com os instrumentos de direito internacional;
- Para proteção da vida do titular ou de terceiros;
- Quando autorizada pela ANPD;
- Quando resultar em compromisso assumido em acordo de cooperação internacional;
- Para a execução de política pública;
- Quando o titular fornecer seu consentimento de forma específica e em destaque para a transferência;
- Para o cumprimento de obrigação legal ou regulatória pelo controlador;
- Quando necessário para a execução de contrato do qual seja parte o titular;
- Para o exercício regular de direitos em processo judicial, administrativo ou arbitral.
- Em caso de incidente o titular deverá ser informado?
A LGPD determina que o controlador deverá comunicar tanto ao titular quanto à ANPD sobre a ocorrência de qualquer incidente de segurança que possa causar risco ou dano ao titular.
- Como a LGDP protege as pessoas de decisões automatizadas, baseadas exclusivamente em meios tecnológicos?
O titular dos dados tem direito a solicitar revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, inclusive de decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade. Além disso, o controlador deverá fornecer, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial.
- É necessário adequar o tratamento dos dados de Pessoas Jurídicas na base de clientes da empresa?
Desde que não haja dados de pessoas naturais vinculados ao cadastro da Pessoa Jurídica, pois a LGPD regulamenta apenas o tratamento de dados pessoais.
- Qual o papel da tecnologia na implementação da LGPD?
A análise e as ações para entrar em conformidade com a LGPD devem passar por pessoas, processos e tecnologia. Por conta de todas as variáveis envolvidas, o uso da tecnologia faz muita diferença e é importante, pois, dependendo do tamanho e nível de complexidade de uma organização, gerenciar todo o ambiente de acordo com os requisitos da lei sem uma ferramenta de gestão que consiga agregar, registrar e controlar todas as demandas pode se tornar extremamente difícil. Segundo o Art. 49 da Lei, os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos na Lei e às demais normas regulamentares.
- O que é compartilhamento de dados pessoais?
De acordo com a lei é considerado compartilhamento de dados toda comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados.
- Como é permitido o compartilhamento de dados pessoais?
De acordo com a LGPD, o compartilhamento de dados pessoais pode ocorrer em caso de consentimento expresso e específico do titular dos dados e pela Administração Pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres.
- É permitido o compartilhamento de dados pessoais sensíveis?
A LGPD já determina que o compartilhamento de dados sensíveis com o objetivo de obter vantagem econômica poderá ser vedado ou regulamentado pelas autoridades, e no caso específico de dados de saúde determina a vedação, exceto em casos de consentimento expresso ou para a adequada prestação de serviços de saúde suplementar, de assistência farmacêutica e de assistência à saúde, incluídos os serviços auxiliares de diagnose e terapia.
- A LGPD restringe a tomada de decisões automatizadas baseadas no uso de algoritmos?
O uso de algoritmos não é vedado pela LGPD. No entanto, o art. 20, que aborda decisões tomadas exclusivamente por meio de automação, ou seja, sem participação de seres humanos, determina que o titular dos dados pode, sempre que desejar, requerer a revisão de decisão automatizada que afete seus interesses.
- O que é a ANPD?
ANPD é um órgão da Administração Pública Federal com autonomia técnica e decisória, vinculado à Presidência da Republica, responsável por fiscalizar e garantir o cumprimento da lei, bem como aplicar sanções administrativas em caso de descumprimento. A ANPD guiará a interpretação da Lei e regulamentará padrões e técnicas aplicáveis às questões de segurança da informação, interoperabilidade e processos de anonimização, além de poder requisitar informações sobre tratamentos de dados pessoais para agentes de tratamento, editar normas e orientações.
- Como fica o relacionamento com parceiros comerciais?
Será necessária revisão dos contratos e procedimentos, com a inclusão de cláusulas específicas sobre proteção de dados com clientes e fornecedores em que possa ocorrer o compartilhamento de dados pessoais de terceiros. Será necessária também a adoção de procedimentos e ferramentas capazes de certificar a segurança dos dados compartilhados.
- Como proceder em caso de incidente de dados pessoais?
A ANPD disponibilizou, em seu site, formulário de comunicação de incidente de segurança de dados pessoais bem como orientações sobre como proceder em caso de um incidente:
-
- Avaliar internamente o incidente – aspectos como natureza, categoria e quantidade de titulares de dados afetados, categoria e quantidade de dados afetados, consequências concretas e prováveis;
- Comunicar ao Encarregado de Proteção de Dados Pessoais (art. 5º, VIII, LGPD);
- Comunicar ao controlador, se você for o operador;
- Comunicar à ANPD e ao titular de dados, em caso de risco ou dano relevante aos titulares (art. 48 da LGPD); e
- Elaborar documentação com a avaliação interna do incidente, medidas tomadas e análise de risco, para fins de cumprimento do princípio de responsabilização e prestação de contas (art. 6º, X, LGPD).