A Lei Geral de Proteção de Dados Pessoais – LGPD (Lei n. 13.709, de 2018) dispõe sobre o tratamento de dados pessoais das pessoas naturais, definindo as hipóteses em que tais dados podem legitimamente ser utilizados por terceiros e estabelecendo mecanismos para proteger os titulares dos dados contra usos inadequados.

A Lei é aplicável ao tratamento de dados realizado por pessoas naturais ou por pessoas jurídicas de direito público ou privado, e tem, conforme o art 1º, o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.

A LGPD tem por objetivo proteger os direitos fundamentais relacionados à esfera informacional do cidadão. Assim, a Lei introduz uma série de novos direitos que asseguram maior transparência quanto ao tratamento dos dados e conferem protagonismo ao titular quanto ao seu uso.
A aprovação da LGPD e a criação da Autoridade Nacional de Proteção de Dados – ANPD representam também importantes passos para colocar o Brasil no mesmo patamar de muitos outros países que já aprovaram leis e estruturas institucionais dessa natureza.

A constituição de um ambiente jurídico voltado à proteção de dados pessoais corresponde também ao alinhamento com diretrizes da Organização para a Cooperação e Desenvolvimento Econômico – OCDE, que há décadas vem desempenhando um relevante papel na promoção do respeito à privacidade como um valor fundamental e como um pressuposto para o livre fluxo de dados.

Do ponto de vista dos agentes de tratamento de dados, sejam empresas ou o próprio poder público, a LGPD traz a oportunidade de aperfeiçoamento das políticas de governança de dados, com adoção de regras de boas práticas e incorporação de medidas técnicas e administrativas que mitiguem os riscos e aumentem a confiança dos
titulares dos dados na organização.

Com isso, a LGPD pretende aumentar o controle do cidadão quanto aos seus dados pessoais, a transparência e a segurança jurídica, além de elevar o nível de maturidade, ética e competitividade de nossas organizações.

A LGPD adota, no art. 5º, inciso I, um conceito aberto de dado pessoal, definido como a informação relacionada a uma pessoa natural identificada ou identificável.

Assim, além de informações básicas de identificação, a exemplo de nome, número de inscrição no Registro Geral (RG) ou no Cadastro Nacional de Pessoas Físicas (CPF) e endereço residencial, são também considerados dados pessoais outros dados que estejam relacionados com uma pessoa natural, tais como seus hábitos de consumo, sua aparência e aspectos de sua personalidade.

Segundo art. 12, § 2º, da LGPD, poderão ser igualmente considerados como dados pessoais aqueles utilizados para formação do perfil comportamental de determinada pessoa natural, se identificada.

A LGPD garante proteção a todos os dados cujos titulares são pessoas naturais, estejam eles em formato físico ou digital. Assim, a LGPD não alcança os dados titularizados por pessoas jurídicas – os quais não são considerados dados pessoais para os efeitos da Lei.

Segundo a LGPD, no art. 5º, X, tratamento de dados pessoais é toda operação realizada com dados pessoais, como as que se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

Com a entrada em vigor da LGPD, o tratamento de dados pessoais pode ser realizado quando se verificar a ocorrência de qualquer uma das hipóteses previstas na lei, como aquelas constantes em seu artigo 7o ou, no caso de dados pessoais sensíveis, as hipóteses previstas no artigo 11.

Vale notar, conforme o art. 7º, § 4º, que a LGPD é aplicável também aos dados cujo acesso é público e àqueles tornados manifestamente públicos pelos titulares, resguardando-se a observância dos princípios gerais e dos direitos dos titulares previstos na Lei.

O tratamento de dados pessoais poderá ser realizado em qualquer uma das seguintes hipóteses consignadas expressamente na LGPD, como é o caso das previstas no art 7º:

– Mediante o fornecimento de consentimento pelo titular;
– Para o cumprimento de obrigação legal ou regulatória pelo controlador;
– Para a execução de políticas públicas, pela administração pública;
– Para a realização de estudos por órgão de pesquisa;
– Para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;
– Para o exercício regular de direitos em processo judicial, administrativo ou arbitral;
– Para a proteção da vida ou da incolumidade física do titular ou de terceiro;
– Para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
– Para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; 
– Para a proteção do crédito.
– As bases legais para o tratamento de dados pessoais sensíveis estão previstas no art. 11 da LGPD. Já no caso de transferência internacional de dados pessoais, é necessário atender às hipóteses legais indicadas no art. 33.

A ANPD é o órgão da administração pública federal responsável por zelar pela proteção de dados pessoais e por regulamentar, implementar e fiscalizar o cumprimento da LGPD no Brasil.

A missão institucional da ANPD é assegurar a mais ampla e correta observância da LGPD no Brasil e, nessa medida, garantir a devida proteção aos direitos fundamentais de liberdade, privacidade e livre desenvolvimento da personalidade dos indivíduos.

O art. 55-J da LGPD estabelece as principais competências da ANPD.

O Conselho Nacional de Proteção de Dados Pessoais e da Privacidade é órgão de natureza consultiva que viabiliza a participação dos diferentes segmentos da sociedade na conformação do ambiente regulatório de proteção de dados pessoais. Suas principais atribuições, conforme o art.
58-B, são:

– Propor diretrizes estratégicas e fornecer subsídios para a elaboração da
Política Nacional de Proteção de Dados Pessoais e da Privacidade e para a
atuação da ANPD;

– Elaborar relatórios anuais de avaliação da execução das ações da Política
Nacional de Proteção de Dados Pessoais e da Privacidade;

– Sugerir ações a serem realizadas pela ANPD;

– Elaborar estudos e realizar debates e audiências públicas sobre a
proteção de dados pessoais e da privacidade;

– Disseminar o conhecimento sobre a proteção de dados pessoais e da
privacidade à população.

– A participação no Conselho Nacional de Proteção de Dados Pessoais e da
Privacidade será considerada prestação de serviço público relevante, não
remunerada, conforme o art. 58-A, § 4º.

A LGPD estabelece uma série de providências que devem ser adotadas pelos agentes de tratamento, que incluem o mapeamento e o registro das operações de tratamento de dados pessoais que realizarem, incluindo a identificação das respectivas bases legais e finalidades; a adoção de medidas técnicas e administrativas e de processos e políticas internas que
assegurem o cumprimento das normas de proteção de dados pessoais; e o estabelecimento de um canal de contato com os titulares de dados pessoais.

A Lei determina, no art. 41, que os controladores de dados devem indicar um Encarregado para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. Em determinadas circunstâncias, conforme a natureza e o porte da entidade ou o volume de
operações de tratamento de dados, a ANPD poderá estabelecer hipóteses
de dispensa da necessidade de sua indicação (art. 41, § 3º).

O encarregado deve ser indicado pelo controlador por meio de procedimentos administrativos definidos pela pessoa natural ou jurídica.

Conforme previsto na LGPD, no art. 41, § 1º, as informações de contato do encarregado deverão ser divulgadas publicamente de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador.

Não há, até o momento, previsão legal para que os dados do encarregados sejam encaminhados à ANPD. Também não consta na legislação, nem em orientações da ANPD, exigência para que o encarregado possua algum tipo de certificação profissional.

A LGPD não especifica um prazo durante o qual pode haver o tratamento dos dados pessoais, o que dependerá da circunstância e da finalidade do tratamento.

Nos termos do art. 15 da LGPD, o término do tratamento de dados pessoais deve ocorrer nas seguintes hipóteses:

– verificação de que a finalidade foi alcançada ou de que os dados
deixaram de ser necessários ou pertinentes ao alcance da finalidade
específica almejada;
– fim do período de tratamento;
– comunicação do titular, inclusive no exercício de seu direito de
revogação do consentimento, resguardado o interesse público; ou
– determinação da ANPD, quando houver violação ao disposto na LGPD.
Na incidência de qualquer uma das hipóteses acima, a Lei determina que
os dados pessoais sejam eliminados, conforme consta em seu art. 16, mas
autoriza a conservação para as seguintes finalidades:
– cumprimento de obrigação legal ou regulatória pelo controlador;
– estudo por órgão de pesquisa, garantida, sempre que possível, a
anonimização dos dados pessoais;
– transferência a terceiro, desde que respeitados os requisitos de
tratamento de dados dispostos na LGDP; ou
– uso exclusivo do controlador, vedado seu acesso por terceiro, e desde
que anonimizados os dados.
Assim, se na situação concreta não houver a incidência de uma das
finalidades autorizadas pela LGPD, os dados devem ser eliminados após o
término do tratamento.

A ANPD emitirá normas complementares sobre o tratamento dos dados pessoais. No momento, é importante que seja verificada a existência de amparo legal para o tratamento do dado.

LGPD prevê, nos art. 18 e 20, uma ampla gama de direitos dos titulares de dados, dentre os quais podem ser destacados os seguintes:

– acesso facilitado às informações sobre o tratamento de seus dados, que deverão ser disponibilizadas de forma clara, adequada e ostensiva;
– confirmação da existência de tratamento;
– acesso aos dados;
– correção de dados incompletos, inexatos ou desatualizados;
– anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto na LGPD;
– portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial;
– eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 da LGPD;
– informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;
– informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
– revogação do consentimento, mediante manifestação expressa do titular, por procedimento gratuito e facilitado;
– peticionamento em relação aos seus dados contra o controlador, perante a ANPD e perante os organismos de defesa do consumidor;
– oposição a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto na LGPD;
– solicitação de revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade; e
– fornecimento, mediante solicitação, de informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial.

Conforme previsto na LGPD, o titular de dados pessoais possui uma série de direitos perante o controlador, tais como acesso aos dados, correção de dados incompletos, inexatos ou desatualizados, eliminação dos dados pessoais, dentre outros.

Para exercer esses direitos, conforme o art. 18, §3º, deve ser feito requerimento expresso do titular, ou de representante legalmente constituído, diretamente à organização responsável pelo
tratamento dos dados.

Uma vez não atendido, o titular de dados pode apresentar reclamações à ANPD, com a comprovação da reclamação não solucionada pelo controlador (art. 55-J, V).

Vale observar que a LGPD estabelece que requerimentos do titular devem ser atendidos de imediato pelo controlador.

Caso não seja possível, o controlador deve, pelo art. 18, § 4º, enviar resposta ao titular em que poderá (i) comunicar que não é agente de tratamento dos dados e indicar, sempre que possível, o agente; ou (ii) indicar as razões de fato ou de direito que impedem a adoção imediata da providência.

Assim, apenas devem ser encaminhadas à ANPD reclamações formalmente apresentadas anteriormente ao controlador de dados e que não tenham sido respondidas. Na ocasião, devem ser enviados à ANPD os comprovantes do(s) contato(s) estabelecido(s).

Para o envio de petições que se enquadrem na situação mencionada acima, deve ser utilizado o Peticionamento Eletrônico, conforme informações disponíveis em

https://www.gov.br/secretariageral/ptbr/sei-peticionamento-eletronico.

Os organismos de defesa do consumidor também podem ser acionados pelo titular de dados, conforme previsão da própria LGPD (art. 18, § 8º).

Havendo indícios de fraude no tratamento dos dados do titular, orienta-se que seja formalizada denúncia, por meio de boletim de ocorrência, perante a autoridade policial competente.

As considerações da ANPD a respeito do vazamento de dados dos brasileiros podem ser consultadas em notícia disponível no site:

https://www.gov.br/anpd/pt-br/assuntos/noticias/meusdados-vazaram-e-agora.

No link indicado acima constam informações acerca das medidas que estão sendo adotadas no âmbito da ANPD sobre o assunto, bem como orientações aos titulares de dados.

Cabe lembrar, em primeiro lugar, que os dispositivos da LGPD que tratam de sanções administrativas entraram em vigor em 1º de agosto de 2021.

Após essa data, a ANPD poderá aplicar, após procedimento administrativo que possibilite a ampla defesa, as seguintes sanções administrativas:

• advertência, com indicação de prazo para adoção de medidas corretivas;
• multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00(cinquenta milhões de reais) por infração; 
• multa diária, observado o limite total a que se refere o inciso II;
• publicização da infração após devidamente apurada e confirmada a sua ocorrência;
• bloqueio dos dados pessoais a que se refere a infração até a sua regularização;
• eliminação dos dados pessoais a que se refere a infração;
• suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período, até a regularização da atividade de tratamento pelo controlador;
• suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período; e
• proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

A LGPD determina que a ANPD deverá editar regulamento próprio sobre sanções administrativas, que deverá ser objeto de consulta pública, contendo as metodologias que orientarão o cálculo do valor-base das sanções de multa.

Tais metodologias devem ser previamente publicadas e
devem apresentar objetivamente as formas e dosimetrias para o cálculo do valor-base das sanções de multa, que deverão conter fundamentação detalhada de todos os seus elementos, demonstrando a observância dos critérios previstos na LGPD.

Nos termos da Lei, a aplicação de sanções requer, ainda, criteriosa apreciação e ponderação de inúmeras circunstâncias, dentre as quais a gravidade e a natureza das infrações e dos direitos pessoais afetados, a condição econômica do infrator, o grau do dano, a cooperação do infrator, a adoção de política de boas práticas e governança e a pronta adoção de medidas corretivas.

Nos termos da LGPD, cabe à ANPD ouvir os agentes de tratamento e a sociedade em matérias de interesse relevante e prestar contas sobre suas atividades e planejamento.

Ademais, os regulamentos e as normas editados pela ANPD devem ser precedidos de consulta e audiência públicas, bem como de análises de impacto regulatório. 

Por fim, cabe recordar que o CNPDPP é a forma de participação institucionalizada dos diferentes grupos sociais na ANPD.

Não será exigido que pessoas físicas ou jurídicas que realizam tratamento de dados transfiram para a ANPD seus bancos de dados.

Cabe à ANPD fiscalizar e aplicar sanções quando o tratamento de dados ocorrer em
desconformidade com a legislação de proteção de dados, mediante processo administrativo, com contraditório e ampla defesa.

LGPD

ANPD