LGPD (Lei 13.709)

LGPD (Lei 13.709)

1. Proteção e tratamento de dados pessoais

   • Competência da União
     • Organizar
     • Fiscalizar
     • legislar (privativamente)
   • Dados pessoais
     • qualquer meio
       • Físico
       • Digital

2. Objetivo

   • PROTEGER
     • direitos fundamentais
       • liberdade
       • privacidade
     • livre desenvolvimento
       • personalidade da PESSOA NATURAL

3. Alcance

   • Norma nacional (vale para U/M/E/DF)
   • Se aplica
     • Pessoa física
     • Pessoa jurídica
       • Direito público
       • Direito privado

4. Fundamentos

   • autodeterminação informativa
   • respeito à privacidade
   • liberdade de expressão, comunicação, opinião e informação
   • livre iniciativa, livre concorrência e defesa do consumidor
   • desenvolvimento tecnológico, econômico e inovação
   • inviolabilidade da intimidade, honra e imagem
   • direitos humanos, livre desenvolvimento da personalidade, dignidade e exercício da cidadania pelas pessoas naturais

5. APLICA-SE a qualquer operação de tratamento

   • independentemente
     • país onde estejam localizados os dados
     • país sede
   • desde que
     • I - realizada em território nacional
       • Onde está o titular da informação?
     • II - tenha por objetivo a oferta ou fornecimento de bens e serviços de indivíduos no território nacional
     • III- dados pessoais tenham sido COLETADOS em território nacional

6. Não se aplica

   • Realizado por pessoa natural p/ fins exclusivamente particulares e não econômicos
   • Fins exclusivos
     • Jornalísticos
     • artísticos
     • acadêmicos (não afasto integralmente a LGPD)
     • Segurança pública
       • Regida por legislação específica
     • Segurança do Estado
     • Defesa Nacional
     • Atividades de investigação e repressão de infrações penais
     • É vedado o tratamentos destas informações por pessoa de direito privado
       • Exceto em procedimentos sob tutela de pessoa jurídica de direito público
       • A totalidade dos dados pessoais do banco de dados não pode ser tratada por pessoa de direito privado
         • Exceção: aquela que possua capital integralmente constituído pelo poder público
   • Provenientes de fora do território nacional
     • Comunicação
     • Uso compartilhado
     • Transferência internacional

7. Princípios das atividades de tratamentos de dados pessoais

   • boa-fé
   • 3) finalidade
     • Propósitos legítimos, específicos e explícitos
       • Não pode -> tratamento posterior de forma incompatível com as finalidades
   • adequeção
     • Compatibilidade (tratamento/finalidade)
   • 2) necessidade
     • Limitação ao mínimo necessário p/ realização das finalidades
       • Apenas os dados pessoais essenciais devem ser coletados e tratados
   • livre acesso
     • Consulta facilitada e gratuita
   • transparência
     • informações claras, precisas e facilmente acessíveis
   • 1) prevenção
     • adoção de medidas para prevenir a ocorrência de danos
   • qualidade dos dados
     • Exatidão, clareza, relevância e atualização dos dados
   • segurança
     • utilização de medidas técnicas e administrativas aptas a proteger os dados
       • acesso não autorizado
       • situação acidental ou ilícita
   • 4) não discriminação
     • Proibido para fins discriminatórios ilícitos e abusivos
   • responsabilização e prestação de contas
   • garantia aos titulares

8. Conceitos

   • Dado pessoal
     • Sensível
       • origem racial ou étnica
       • convicção religiosa
       • opinião política
       • saúde ou vida sexual
       • genético ou biométrico (vinculado a pessoa natural)
       • filiação a sindicato ou organização (filosófico, religioso ou político)
     • Pessoa natural (identificada ou identificável)
   • Titular
   • Dado anomizado
     • Dado relativo a titular que não possa ser identificado
     • Atenção: Deixa de ser um dado pessoal
   • Anonimização
     • Pseudoanomização
       • Dado perde a associação, direta ou indireta, a um indivíduo
         • Salvo por informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro
         • Atenção: Continua sendo dado pessoal
       • Processo REVERSÍVEL
     • Meios técnicos razoáveis e disponíveis
     • Perda da possibilidade de identificação
   • Tratamento
     • Toda operação realizada com dados pessoais
   • Eliminação
     • INDEPENDE do procedimento empregado
   • Agentes de tratamento
     • Controlador
       • Tomas as DECISÕES referentes ao tratamento de dados
         • Faz a gestão do banco de dados
       • ANPD pode determinar a elaboração do RELATÓRIO DE IMPACTO À PROTEÇÃO de dados pessoais/ dados sensíveis
         • Contendo: descrição dos processos de tratamento que podem gerar riscos e medidas de mitigação de riscos adotados
     • Operador
       • Realiza o tratamento em nome do controlador
     • Pessoa natural ou jurídica, de Direito Público ou Privado
     • Devem manter REGISTRO das operações de tratamento de dados pessoais realizadas
       • ANPD poderá dispor sobre o TEMPO DE GUARDA DOS REGISTROS
     • Caso o OPERADOR ou CONTROLADOR causem dano patrimonial, moral, individual ou coletivo, eles serão OBRIGADOS a repará-lo.
       • Ressarcimento de danos
         • OPERADOR responde SOLIDARIAMENTE
           • Quando descumprir as obrigações da lei
         • os CONTROLADORES diretamente envolvidos nos danos respondem SOLIDARIAMENTE (vários controladores)
         • EQUIPARO operador ao controlador para fins de responsabilização
           • Quando o operador não seguir as instruções LÍCITAS do controlador
         • Juiz PODERÁ inverter ônus da prova a favor do titular (controlador/operador vai ter que provar)
           • Quando a alegação for verossímil, houver hipossuficiência para fins de produção de prova ou a produção de prova pelo titular for excessivamente onerosa
         • Aquele que reparar o dano ao titular tem DIREITO DE REGRESSO contra os outros responsáveis
         • Os agentes de tratamento podem ser excluídos da responsabilização
           • Dano decorre exclusivamente de culpa do titular/terceiro
   • Encarregado
     • Atua como canal de comunicação entre o controlador, o titular do dados e a ANPD
     • Indicação do controlador (e operador)
     • Identidade e contato devem ser PÚBLICOS
       • PREFERENCIALMENTE na internet
     • Atividades
       • Recebe reclamações dos titulares, presta esclarecimentos e adota providências
       • Comunicações da ANPD
       • Orientar os funcionários e os contratados
     • ANPD pode dispensar a indicação em alguns casos
   • Autoridade Nacional
     • Órgão da ADM Pública responsável por fiscalizar e implementar a lei
   • Órgão de pesquisa
     • ADM DIRETA ou INDIRETA ou pessoa jurídica de direito privado sem fins lucrativos

9. Requisitos para o tratamento de dados pessoais:

   • 1) c/ consentimento do titular
     • DISPENSA: dados tornados manifestamente públicos pelo titular
     • Forma: Escrito
       • cláusula destacada
       • ou outro meio que confirme a manifestação de vontade
     • ônus da prova -> controlador
     • Vinculação a finalidade determinada
       • Autorizações genéricas serão NULAS
     • Controlador precisa comunicar/ compartilhar dados pessoais com outros controladores -> deve obter consentimento específico do titular para esse fim
       • Exemplo: Apple
   • 2) cumprimento de obrigação legal pelo CONTROLADOR
   • 4) realização de estudos
     • SEMPRE QUE POSSÍVEL, dado deverá ser anonimizado
   • 3) ADM Pública: dados necessários à execução de políticas públicas
     • previsão em leis, regulamentos, contratos, convênios ou afins
     • tratamento ou uso compartilhado
   • 10) proteção do crédito
   • 5) execução de contrato ou procedimentos preliminares do qual seja parte o titular, A PEDIDO do titular dos dados
   • 6) exercício dos direitos
     • processo judicial, administrativo ou arbitral
   • 7) proteção da vida ou incolumidade física (TITULAR OU TERCEIROS)
   • 8) Tutela de saúde
     • EXCLUSIVAMENTE por profissionais habilitados
   • 9) atender interesses legítimos do controlador ou terceiros
   • O tratamento posterior dos dados pessoais poderá ser realizado para NOVAS FINALIDADES
     • O controlador deverá informar previamente o titular, podendo o titular revogar o consentimento
       • A revogação pode ocorrer a qualquer momento mediante MANIFESTAÇÃO EXPPRESSA
         • gratuito
   • Sem consentimento
   • Direito ao ACESSO DE INFORMAÇÕES sobre o tratamento de seus dados
     • finalidade específica do tratamento
     • identificação e contato do controlador
     • forma e duração do tratamento, observados os segredos comercial e industrial
     • direitos do titular
     • As informações devem ser disponibilizadas de forma clara
     • responsabilidades dos agentes
     • sobre uso compartilhado de dados pelo controlador e a finalidade

10. Requisitos para o tratamento de dados pessoais SENSÍVEIS

    • Consentimento do titular
      • Titular ou responsável legal
      • De forma específica/destacada
      • Para finalidades específicas
    • Sem consentimento
      • 1) cumprimento de obrigação legal ou regulatória pelo CONTROLADOR
      • 2) ADM Pùblica: tratamento compartilhado de dados necessários à execução de políticas públicas
        • previsão em leis e regulamentos
      • 3) realização de estudos por órgão de pesquisa
        • SEMPRE QUE POSSÍVEL, dados anonimizados
      • 4) exercício regular de direitos em processo judicial, administrativo e arbitral
        • inclusive em contrato
      • 5) proteção da vida ou da incolumidade física do TITULAR ou de TERCEIRO;
      • 6) tutela da saúde
      • 7) garantia da prevenção à fraude e à segurança do titular
        • Não pode fazer se houve alguma ofensa a direito e garantia individual
      • QUANDO FOR INDISPENSÁVEL
    • Comunicação e compartilhamento entre controladores para obter VANTAGEM ECONÔMICA
      • Pode haver VEDAÇÃO ou REGULAMENTAÇÃO por parte da ANPD
      • Quando for referente à SAÚDE será VEDADO
        • Há exceções
          • No interesse do titular:
            • Quando titular solicitar portabilidade de dados
            • Transações financeiras/administrativas decorrentes da prestação do serviço de saúde
    • VEDADO
      • plano privado de assistência à saúde
        • utilizar os dados para SELEÇÃO DE RISCOS

11. Término no tratamento de dados

    • Fim alcançado
    • Dado deixar de ser NECESSÁRIO ou PERTINENTE
    • Fim do período
    • Determinação da ANPD
    • Comunicação do titular/revogação
      • Resguardado o interesse público em algumas situações
    • Após isso, ELIMINAÇÃO dos dados
      • Conservação AUTORIZADA para:
        • 1) cumprimento de obrigação legal pelo CONTROLADOR
        • 2) Estudo por órgão de pesquisa
        • 3) Transferência a terceiros
        • 4) Uso exclusivo do CONTROLADOR
          • OBRIGATÓRIO -> Anonimização dos dados
          • VEDADO acesso a terceiros

12. Direitos do Titular

    • QUALQUER MOMENTO + requisição
      • requerimento EXPRESSO do TITULAR ou de REPRESENTANTE LEGAL
      • SEM CUSTOS
    • Quais direitos?
      • confirmação da existência de tratamento
        • Fornecimento
          • Formato simplificado (IMEDIATAMENTE)
            • ANPD pode fixar prazos distintos conforme setores diferentes
          • Declaração completa
            • Prazo de 15 dias
          • A critério do titular
            • Meio eletrônico
            • Impresso
      • acesso aos dados
      • correção de dados
      • anonimização, bloqueio ou eliminação
        • desncessários
        • excessivos
        • desconformidade
        • O responsável deverá informar, de MANEIRA IMEDIATA, aos agentes de tratamento com os quais tenha realizado uso compartilhado de dados .
          • EXCETO nos casos em que esta comunicação seja comprovadamente impossível ou implique esforço desproporcional.
      • PORTABILIDADE dos dados a outro fornecedor de serviço/produto
        • observados os segredos comercial e industrial
        • Não inclui dados que já tenham sido anomimizados pelo controlador
      • eliminação dos dados tratados em consentimento
        • Há ressalvas
      • informações das entidades (públicas e privadas)
        • com quem os dados forma compartilhados
      • informações sobre
        • possibilidade de não consentir
        • consequências da negativa
      • revogação do consentimento
    • Pessoa natural
      • assegurada a titularidade
        • dados pessoais
      • garantidos
        • direitos fundamentais
          • intimidade
          • privacidade
          • liberdade
    • Outros direitos
      • PETICIONAR contra controlador perante a autoridade nacional/ organismos de defesa do consumidor
        • CF - Direito de PETIÇÃO aos poderes Públicos em DEFESA DE DIREITOS
      • Opor-se ao tratamento realizado em uma das hipóteses de dispensa de consentimento
      • Solicitar a REVISÃO de decisões tomadas unicamente com base em TRATAMENTO AUTOMATIZADO de dados pessoais (perfil pessoal, profissional, de consumo e de crédito ou aspectos da personalidade)
        • Caso o controlador não ofereça informações sobre os critérios utilizados para a decisão automatizada, a ANPD poderá realizar AUDITORIA para verificação de aspectos discriminatórios

13. Tratamento dos dados pelo PODER PÚBLICO

    • Regras
    • Responsabilidades
      • Quando houver infração a lei por órgãos públicos:
        • ANPD vai pedi as medidas cabíveis para cessar a violação
          • Pode solicitar também a publicação de relatórios de impacto à proteção de dados pessoais e sugerir adoção de boas práticas

Imágenes y archivos del mapa