-
disposições gerais
-
tratamento de dados pessoais
-
direitos do titular dos dados
-
tratamento de dados pessoais pelo poder público
-
transferência internacional de dados
-
agentes de tratamento de dados
-
segurança dos dados e boas práticas
-
fiscalização por infrações à LGPD
-
Autoridade Nacional de Proteção de Dados (ANPD)
-
regras finais
-
princípios: orientam como deve ser feito o tratamento de dados no Brasil
- finalidade: dados devem ser coletados para finalidades específicas e informadas ao titular
- adequação: tratamento deve ser compatível com a finalidade informada
- necessidade: apenas os dados estritamente necessários para a finalidade devem ser utilizados
- livre acesso: o titular tem o direito de acessar os seus dados de forma fácil e gratuita
- qualidade dos dados: dados pessoais devem ser claros e atualizados para a finalidade do tratamento
- empresa deve garantir que os dados estejam corretos
- transparência: o titular deve ser informado sobre como seus dados estão sendo utilizados
- segurança: os dados devem ser protegidos com medidas eficazes
- prevenção: empresas devem evitar danos causados pelo tratamento inadequado de dados
- não discriminação: dados não podem ser utilizados para fins discriminatórios ou ilícitos
- responsabilização e prestação de contas: controlador deve tomar medidas eficazes para garantir proteção de dados pessoais
lei sobre o tratamento de dados pessoais
- objetivos:
- proteger direitos fundamentais de liberdade e privacidade
- proteger o livre desenvolvimento da personalidade da pessoa natural
- lei se aplica nos seguintes cenários:
- tratamento de dados para qualquer fornecimento de bens/serviços/tratamento de dados no território nacional
- tratamento de dados no território nacional
- dados pessoais tenham sido coletados no território nacional
- lei NÃO se aplica nos seguintes cenários:
- tratamento de dados:
- por pessoa natural para fins exclusivamente particulares e não econômicos
- realizados para fim exclusivamente jornalístico, artístico ou acadêmico
- realizados para fim exclusivos de:
- defesa nacional
- segurança nacional
- investigação e repressão de infrações penais
- prevenientes de fora do território nacional
- tratamento de dados:
- o tratamento de dados pessoais é autorizado para:
- fornecimento de consentimento pelo titular
- cumprimento de decisão legal pelo controlador
- implementação de políticas públicas pela administração pública
- realizar pesquisas feitas por órgãos públicos, com anonimização
- cumprir contratos que envolvem o titular
- exercício regular de direitos
- proteção física ou proteção da vida
- tutela da saúde em procedimentos envolvendo profissionais da saúda
- atender interesses legítimos do controlador ou de terceiro
- exceto se o tratamento violar direitos e liberdades fundamentais do titular
- proteção de crédito
- exemplos: proteção contra fraude, segurança financeira
-
criança: pessoas de até 12 anos incompletos
-
adolescentes: pessoas de 12 a 18 anos de idade
-
tratamento de dados de crianças deve ser feito apenas com o consentimento de um dos pais ou responsável legal
- exceções (dados não podem ser repassados para terceiros):
- tratamento com o objetivo de entrar em contato com os pais/responsáveis legais
- pode ocorrer apenas uma vez, sem o armazenamento
- para proteção da criança
- tratamento com o objetivo de entrar em contato com os pais/responsáveis legais
- exceções (dados não podem ser repassados para terceiros):
-
término ocorre nos seguintes eventos:
- finalidade dos tratamentos de dados foi alcançada
- dados deixam de ser úteis para a finalidade
- fim do tratamento dos dados
- revogação do consentimento ao tratamento pelo titular
- em caso de violação da LGPD, com ordem de autoridade nacional
-
por regra geral, dados pessoais são eliminados após seu tratamento
-
dados pessoais só podem ser mantidos nos seguintes eventos:
- cumprimento de obrigação legal pelo controlador
- estudo realizado por órgão de pesquisa, com a anonimização dos dados (se possível)
- transferência a terceiro
- exemplo: uma empresa pode compartilhar informações com um prestador de serviços
- para uso exclusivo do controlador
- desde que os dados sejam anonimizados
-
dados podem ser tratados por seres humanos ou processamentos computacionais
- quando requisitado, o controlador deve explicar a motivação por trás de uma decisão automatizada
-
titularidade de seus dados pessoais
-
direitos fundamentais de liberdade, intimidade e privacidade
-
titular pode requisitar do controlador o seguinte:
- acesso aos dados
- confirmação do tratamento
- deve ser atendido imediatamente ou em até 15 dias por meio de uma declaração clara e completa
- correção dos dados (incompletos, desatualizados)
- anonimização dos dados
- bloqueio dos dados
- eliminação dos dados
- portabilidade dos dados para outros fornecedor
- exceto dados que já foram anonimizados
- eliminação dos dados tratados
- exceto quando a LGPD permitir conservar dados após o fim do tratamento
- informação sobre as entidades públicas/privadas com as quais o controlador fez uso compartilhado dos dados
- informação sobre:
- possibilidade de não fornecer o consentimento
- consequências da negativa
- revogação do consentimento
- em caso de descumprimento pelo controlador
- titular pode peticionar para autoridade nacional ou organismo de defesa do consumidor pela proteção de seus direitos
- direitos serão exercidos mediante requerimento expresso do titular
- estatais que atuam em regime de concorrência recebem o mesmo tratamento de particulares
- particulares: indivíduos ou entidades que não são parte do poder público
- estatais que estão planejando/implementando políticas públicas terão o mesmo tratamento dado aos órgãos públicos
- condições para o tratamento de dados pelo poder público:
- o cidadão deve ser informado da hipótese
- hipotése: situação que justifica o tratamento de dados pessoais
- indicação de um encarregado* para realizar operações de tratamento de dados
- o cidadão deve ser informado da hipótese
-
exemplo de uso compartilhado de dados pelo poder público
- Abin teve acesso a dados das carteiras de habilitações de milhões de cidadãos
-
uso compartilhado de dados pelo poder público é autorizado desde que:
- atenda finalidades específicas de políticas públicas
- esteja de acordo com a atribuição legal dos órgãos públicos
- sejam respeitados os princípios da LGPD
-
regra geral: é vedado ao poder público transferir dados pessoais de suas bases de dados para entidades privadas
- exceções:
- execução descentralizada de atividade pública
- quando os dados estiverem acessíveis publicamente
- para cumprir contratos, convênios* ou instrumentos congêneres*
- convênio: acordo formal estabelecido entre duas ou mais partes
- instrumentos congêneres: documentos ou acordos similares a convênios
- prevenção de fraudes e irregularidades
- exceções:
- Autoridade Nacional de Proteção de Dados (ANPD) pode:
- solicitar que órgãos públicos realizem operações de tratamento de dados pessoais
- solicitar informações específicas
- emitir parecer técnico complementar para garantir cumprimento da LGPD
- estabelecer normas complementares para:
- atividades de comunicação
- uso compartilhado de dados pessoais
- enviar medidas cabíveis para cessar violação da LGPD por órgãos públicos
- solicitar publicação de relatórios por agentes do poder público
- sugerir adoção de padrões e boas práticas
-
composto por 23 representantes:
- 5 do poder executivo federal
- 1 do senado federal
- 1 da câmara dos deputados
- 1 do conselho nacional de justiça
- 1 do conselho nacional de ministério público
- 1 do comitê gestor da internet do Brasil
- 3 entidade da sociedade civil, com atuação relacionada a proteção de dados pessoais
- 3 de condeferações sindicais
- 2 entidades representativas do setor empresarial
- 2 entidades representativas do setor laboral
-
mandato de 4 anos
-
membros escolhidos pelo presidente da república + sabatina do senado
- a coleta de cpf não é obrigatória para todas as vendas, depende do tipo de produto comprado
- o tratamento de dados pessoais somente pode ocorrer após o consentimento do titular
- o titular deve acesso e a capacidade de eliminação dos dados tratados
- titular: pessoa natural a quem se referem os dados pessoais que passam por tratamento
- tratamento: toda operação realizada com dados pessoais
- dado pessoal: informação relacionada a pessoa natural identificada
- dado pessoal sensível: dado pessoal sobre:
- origem racial/étnica
- convicção religiosa
- opinião política/filosófica
- saúde ou vida sexual
- dado anonimizado: dado relativo a titular que não possa ser identificado
- anonimização: remoção da possibilidade de associação de um dado com um indivíduo
- banco de dados: conjunto estruturado de dados pessoais
- controlador: pessoa natural/jurídica responsável por decisões dobre o tratamento de dados pessoais
- operador: pessoa natural/jurídica que faz o tratamento de dados pessoais em nome do controlador
- agentes de tratamento: o controlador e o operador
- encarregado: pessoa indicada pelo controlador e operador que media comunicação entre:
- controlador
- titulares dos dados
- Autoridade Nacional de Proteção de Dados (ANPD): órgão que implementa e fiscaliza o cumprimento da LGPD
- autoridade nacional: órgão da administração pública responsável por implementar e fiscalizar o cumprimento da LGPD
- órgão de pesquisa
- consentimento: manifestação livre de que o titular concorda com o tratamento de seus dados pessoasi
- bloqueio: suspensão temporária de qualquer operação de tratamento
- eliminação: exclusão de dados do banco de dados
- transferência internacional de dados: transferência de dados pessoas para país estrangeiro ou organismo internacional
- uso compartilhado de dados: compartilhamento de dados entre diferentes pessoas/organizações
- relatório de impacto à proteção de dados pessoais
- documentação que descreve:
- os processos de tratamento de dados pessoais que pode ameaçar liberdades civis e direitos fundamentais
- medidas de mitigação de risco
- prevenção de fraude e irregularidades, para proteger a segurança do titular
- documentação que descreve:
- vedado: proibido