Lei Geral de

Proteção de
Dados
(LEI Nº 13.709/2018)

Lei Geral de Proteção de Dados

Sumário

Palavra do Diretor 4
Definições Importantes 5
LGPD – Aplicação 7
Fundamentos da Proteção de Dados 7
Quais providências o Sesc deve tomar? 8
Princípios da LGPD 9
Quais providências o Sesc deve tomar? 10
Tratamento de Dados Pessoais 11
Bases Legais da LGPD 11
O que o Sesc precisa saber e como deve agir 13
Tratamento de dados pessoais sensíveis 15
O que o Sesc precisa considerar 16
Dados de crianças e adolescentes 17
O que o Sesc precisa fazer 18 3
Término do tratamento de dados 19
Não aplicação da LGPD 19
Direitos do Titular dos Dados Pessoais 21
Agentes de Tratamento de Dados Pessoais 24
Controlador e Operador 24
Responsabilidades do controlador e do operador 24
Não responsabilização do controlador e operador 25
Encarregado 26
Responsabilidade do encarregado 27
Sanções 28
Providências importantes que o Sesc deve tomar 28
Transferência Internacional de Dados 29
Segurança da Informação 31
Boas Práticas e Governança 33
Autoridade Nacional de Proteção de Dados (ANPD) 34
Assessoria de Proteção de Dados (APD) 36

Lei Geral de Proteção de Dados

 Palavra do Diretor Definições Importantes

O Sesc e a proteção de dados das pessoas Dado pessoal: informação relacionada à pessoa natural
que possibilite sua identificação, direta (ex.: nome, RG, CPF) ou
Instituição privada com finalidade pública, o Sesc historicamente indiretamente (ex.: nacionalidade, profissão, interesses específicos
orienta sua ação no sentido de proporcionar o bem-estar e etc.). Para que se dê a identificação de forma indireta, é necessária
contribuir para a elevação da qualidade de vida dos trabalhadores a associação de vários dados pessoais, os quais, isoladamente, não
e trabalhadoras do comércio de bens e serviços, assim como da estariam aptos à efetiva identificação.
comunidade em geral. O porte, a diversidade e a capilaridade
alcançados pela entidade ao longo das suas sete décadas de Dado pessoal sensível: dado pessoal sobre origem racial ou
existência fazem com que as interfaces mantidas com a sociedade étnica; convicção religiosa; opinião política; filiação a sindicato
sejam vastas e múltiplas, refletindo a abrangência de seus programas ou organização de caráter religioso, filosófico ou político; dado
e a distribuição estratégica das unidades operacionais nos territórios. referente à saúde ou à vida sexual; dado genético ou biométrico,
quando vinculado a uma pessoa natural.
Os atores com os quais o Sesc São Paulo interage constantemente
podem ser agrupados em três grandes eixos: 1) os públicos de
Dado anonimizado: dado não associado direta ou indiretamente
a um indivíduo, ou seja, que não é, por si só, capaz de identificar
suas ações, 2) os fornecedores e parceiros que tornam possíveis as
uma pessoa; por isso, o dado anonimizado não é considerado um
atividades e 3) os próprios funcionários da instituição. A interação
4 dado pessoal. 5
permanente com esses agentes, em suas diversas posições em
relação à entidade, esteve sempre respaldada por parâmetros legais,
Anonimização: utilização de meios técnicos razoáveis e
o que garante a probidade dos pactos e compromissos com eles
disponíveis no momento do tratamento para dissociar um dado

?
firmados. Parte integrante desses acordos, o registro e tratamento de
pessoal de um indivíduo, em caráter irreversível, de modo que seu
dados pessoais condizem a práticas correntes na gestão do Sesc São
titular não possa mais ser identificado, direta ou indiretamente.
Paulo e passam a ser objeto da Lei Geral de Proteção de Dados.
Pseudonimização: é o tratamento por meio do qual um dado
Observável nos níveis federal, estadual e municipal, o dispositivo perde a possibilidade de associação, direta ou indireta, a um indivíduo,
representa mais um importante instrumento para balizar o trabalho senão pelo uso de informação adicional mantida separadamente
do Sesc São Paulo no que tange à proteção dos direitos à privacidade e pelo controlador em ambiente controlado e seguro.
à liberdade dos indivíduos ligados de diferentes modos à instituição,
01011100100 1 11
resguardando-os do uso indevido de seus dados pessoais. Vê-se,
01 0 1 10011000 1
Banco de dados: coleção ou conjunto organizado, físico ou
portanto, que o fomento à condição cidadã e o zelo pelos direitos 0 0 1110001110111 eletrônico, de registros relacionados entre si contendo dados sobre
1 1 1 1 0 0 0 1 1 0 0 0 0 01 1 1
civis, aspectos essenciais da missão institucional, encontram-se 111111101100011 pessoas, lugares ou coisas.
presentes também em seus processos administrativos, devendo ser
assegurados por procedimentos funcionais que lidam, mais do que Tratamento de dados: toda e qualquer operação realizada com
com dados, com traços das vidas de pessoas. dados pessoais: coleta, produção, recepção, classificação, utilização,
acesso, reprodução, transmissão, distribuição, processamento,
arquivamento, armazenamento, eliminação, avaliação, controle,
Danilo Santos de Miranda, Diretor Regional do Sesc São Paulo modificação, comunicação, transferência, difusão, extração.

Lei Geral de Proteção de Dados

 LGPD – Aplicação

!
Incidente de segurança: qualquer evento adverso que, Fundamentos da Proteção de Dados
confirmado ou sob suspeita, coloque em risco os valores básicos
de Segurança da Informação (confidencialidade, disponibilidade e De acordo com a LGPD, são fundamentos da proteção de dados:
integridade) de um sistema, um banco de dados ou uma rede de P o respeito à privacidade;
computadores. P a autodeterminação informativa;
01011100100 1 11 P a liberdade de expressão, de informação, de comunicação e de
01 0 1 10011000 1
Vazamento de dados: evento de Segurança da Informação 0 0 1110001110111 opinião;
1 1 1 1 0 0 0 1 1 0 0 0 0 01 1 1
correspondente ao acesso ou à exposição indevida de dados, não 111111101100011 P a inviolabilidade da intimidade, da honra e da imagem;
autorizados, de modo acidental ou ilícito. P o desenvolvimento econômico e tecnológico e a inovação;
P a livre iniciativa, a livre concorrência e a defesa do consumidor;
Titular: pessoa natural a quem se referem os dados pessoais P os direitos humanos, o livre desenvolvimento da personalidade,
que são objeto de tratamento. Obs: a lei não se aplica a dados de a dignidade e o exercício da cidadania pelas pessoas naturais.
pessoas falecidas.
Vigência: em 18/9/2020
Agentes de tratamento: o controlador e o operador
6 Observância: a lei deve ser observada pela União, Estados, 7
Controlador: pessoa física ou jurídica responsável pelas decisões Distrito Federal e Municípios
sobre o tratamento de dados pessoais. É quem demanda o
tratamento de dados. Objeto: regula o tratamento de dados pessoais que estejam em
meio físico ou eletrônico (on-line e off-line)
Operador: pessoa física ou jurídica que realiza o tratamento
de dados pessoais em nome do controlador. Essa pessoa apenas Objetivo: proteger os direitos fundamentais à liberdade e à
cumpre as ordens determinadas pelo controlador. privacidade

Encarregado: pessoa indicada pelo controlador, que servirá de Sujeitos:

canal de comunicação entre o controlador, os titulares de dados - sujeitos protegidos pela lei (aqueles que têm os dados tratados
e o órgão competente – ANPD – Autoridade Nacional de Proteção ou “titular dos dados”): pessoas físicas, somente;
de Dados). É o denominado DPO – Data Protection Officer – na lei - sujeitos responsabilizados pela lei (aqueles que tratam os dados
europeia. ou “agentes de tratamento”): pessoas físicas que tratem dados
com finalidade econômica e pessoas jurídicas, públicas ou
Autoridade Nacional de Proteção de Dados – ANPD: privadas, que tratem dados com ou sem finalidade econômica.
órgão da Administração Pública responsável por zelar pela
proteção dos dados pessoais, implementar diretrizes para a Política
Nacional de Proteção de Dados Pessoais e da Privacidade, fiscalizar
o cumprimento da lei e aplicar sanções em caso de tratamento
irregular de dados.
Lei Geral de Proteção de Dados
 Abrangência da lei:
A lei regula qualquer operação de tratamento de dados Princípios da LGPD
pessoais (coleta, utilização, armazenamento, compartilhamento,
eliminação etc.): 1. Finalidade: realização do tratamento de dados para
P realizada por pessoa natural, com finalidade econômica, ou fins legítimos, específicos, explícitos e informados ao
por pessoa jurídica (entidades públicas ou privadas), com ou titular, sendo vedado o tratamento posterior divergente
sem finalidade econômica; da finalidade comunicada ao titular.
P realizada dentro ou fora da internet, por meios eletrônicos ou 2. Adequação: tratamento de dados compatível com a
não; finalidade informada ao titular.
P realizada no Brasil; 3. Necessidade: tratamento de dados limitado ao mínimo
P realizada no estrangeiro: necessário para a realização da finalidade informada.
1) que tenha por finalidade a oferta ou o fornecimento de bens ou 4. Livre acesso: garantia, ao titular, de acesso fácil e
serviços no Brasil; gratuito sobre a forma e a duração do tratamento, bem
2) de dados coletados no Brasil (obs: a coleta de dados é considerada como sobre a integralidade de seus dados pessoais.
realizada no Brasil quando o titular (brasileiro ou estrangeiro) está 5. Qualidade dos dados: garantia, ao titular, de
8 no Brasil no momento da coleta). exatidão, clareza, relevância e atualização dos dados, 9
conforme os princípios da necessidade e finalidade.
Quais providências o Sesc deve tomar? 6. Transparência: garantia, ao titular, de informação
clara, precisa e de fácil acesso sobre o tratamento de
Cada Gerência, Coordenação, área, setor ou núcleo dados, bem como sobre os agentes de tratamento,
deve, considerando as características, as finalidades, os observados os segredos comerciais e industriais.
procedimentos e o público de suas ações, analisar seus 7. Segurança: adoção de medidas técnicas e
processos e instrumentos de trabalho para detectar o administrativas para proteção dos dados, de modo
alcance da LGPD em seu trabalho e, em consequência a inviabilizar o acesso não autorizado, bem como a
disso, promover as devidas adequações à lei. destruição, perda, alteração, comunicação ou difusão,
acidentais ou ilícitas.
Obs.: A LGPD não revoga normas específicas que 8. Prevenção: adoção de medidas para prevenção de
também regulam dados pessoais, como aquelas danos decorrentes do tratamento de dados pessoais.
dos setores da saúde e financeiro etc. Essas 9. Não discriminação: proibição de tratamento de
normas setoriais devem continuar sendo dados com fins discriminatórios, ilícitos ou abusivos.
observadas, apesar da LGPD. 10. Responsabilização e prestação de contas:
demonstração, pelo agente, da adoção de medidas
eficazes e aptas a comprovar a observância e o
cumprimento das normas de proteção de dados
pessoais e, inclusive, da eficácia dessas medidas.
Lei Geral de Proteção de Dados
 Tratamento de Dados Pessoais

Bases Legais da LGPD

Quais providências o Sesc deve tomar? O tratamento de dados pode ser realizado desde que enquadrado
em uma das hipóteses previstas em lei:
P O Sesc deve revisar suas políticas internas e seus
processos de trabalho de modo a adequá-los aos 1. Consentimento: manifestação livre, informada
princípios da LGPD. Todas as atividades e procedimentos e inequívoca por meio da qual o titular autoriza o
que envolvam tratamento de dados pessoais devem tratamento de seus dados pessoais para uma finalidade
ser reavaliados e adaptados: registros de empregados, determinada.
de fornecedores e do público frequentador do Sesc; Exemplo: o titular assina documento em que autoriza
contratos, formulários e demais documentos que a coleta e a manutenção de seus dados pessoais por
envolvam dados pessoais, elaborados pelas unidades e instituição que se propõe a lhe enviar mensalmente
gerências da Administração Central etc. uma agenda de cursos.
P O Sesc deve, ainda, manter registros escritos de todas O tratamento de dados será realizado, ainda que não
as medidas adotadas (pesquisas, procedimentos haja consentimento, nos casos de:
de alteração de documentos e sistemas, palestras,
2. Obrigação legal ou regulatória: obrigação de
10 treinamentos etc.) com a finalidade de comprovar a
tratar dados por força de lei ou de regulação, anteriores
11
busca pela adequação de todas as formas de tratamento
de dados pessoais aos princípios da LGPD. ou posteriores à LGPD, aprovadas em definitivo.
Exemplo: tratamento de dados pessoais de empregados
por motivo de folha de registro.
3. Execução de políticas públicas: tratamento e uso
compartilhado de dados pela Administração Pública,
para a execução de políticas públicas previstas em leis e
regulamentos ou respaldadas em contratos, convênios
ou instrumentos semelhantes.
Exemplo: cadastramento no programa Bolsa Família
4. Execução de contratação: execução de contrato ou
procedimentos preliminares relacionados a contrato do
qual seja parte o titular, a pedido do titular dos dados.
Exemplo: coleta de dados pessoais para elaboração
de contrato de locação em que o titular figura como
contratante.
5. Exercício regular de direitos: exercício regular de
direitos em processo judicial, administrativo ou arbitral.
Exemplo: tratamento de dados de contribuintes para
cobrança de impostos, via ação judicial.
Lei Geral de Proteção de Dados
 6. Proteção da vida: proteção da vida ou da O que o Sesc precisa saber e como deve agir
incolumidade física do titular ou de terceiros.
Exemplo: acesso a documentos de uma pessoa P Toda e qualquer operação de tratamento de dados deve
que tenha sofrido acidente de trânsito, para fins estar obrigatoriamente associada a alguma das bases
de comunicação com sua família ou chamar uma legais acima citadas. Durante seus processos de trabalho
ambulância. o Sesc deve verificar, criteriosamente, qual a base de
7. Tutela da saúde: para a tutela da saúde, dados a ser utilizada para fundamentar o tratamento
exclusivamente, em procedimento realizado por de dados, em cada caso concreto. É necessário manter
profissionais de saúde, serviços de saúde ou autoridade registro dessa análise e fundamentação.
sanitária. P O consentimento deve ser fornecido por escrito ou por
Exemplo: coleta e guarda de dados por posto de saúde outro meio que demonstre a manifestação de vontade do
para controle em campanha de vacinação. titular. Caso seja fornecido por escrito, deverá constar de
8. Atividade acadêmica: realização de estudos por cláusula destacada das demais cláusulas contratuais. Não
órgão de pesquisa, garantida, sempre que possível, a se admite consentimento tácito. Em todos os casos, o agente
anonimização dos dados pessoais. de tratamento deve manter documentos que comprovem a
12 Exemplo: IBGE, IPEA etc., podem coletar dados pessoais obtenção de consentimento conforme a LGPD. 13
para produção de pesquisas e estudos. P Como o consentimento sempre é dado para uma

9. Proteção do crédito – CDC: proteção do crédito, finalidade específica, em caso de alteração de finalidade
inclusive quanto ao disposto na legislação pertinente. incompatível com o consentimento original, o agente
Exemplo: empresa credora de determinado indivíduo deve informar previamente o titular sobre essa mudança
pode fornecer dados pessoais para órgãos de proteção de finalidade, momento em que poderá revogar o
de crédito, como Serasa e SPC. consentimento, caso discorde das alterações.
10. Interesse legítimo: quando necessário para P As bases legais nºs 2 a 10 independem de

atender aos interesses legítimos do controlador ou consentimento, ou seja, o tratamento de dados

de terceiros, exceto no caso de prevalecerem direitos fundamentado nas bases legais nºs 2 a 10 será realizado,
e liberdades fundamentais do titular que exijam a consinta o titular dos dados ou não.
proteção dos dados pessoais. P Os dados tornados manifestamente públicos pelo titular
Exemplos: tratamento de dados de empregados para desobrigam o agente a obter o consentimento para
programas de retenção de talentos ou programas tratamento, desde que esse tratamento tenha a mesma
de bem-estar; prospecção de novos clientes; finalidade para a qual os dados foram tornados públicos
fornecimento de imagens de câmeras de segurança pelo titular.
para fins de seguro.

Lei Geral de Proteção de Dados

 Tratamento de dados pessoais sensíveis
P O tratamento de dados pessoais baseado no legítimo
interesse do controlador ou de terceiros deverá ser A LGPD confere aos dados pessoais sensíveis proteção especial,
realizado para finalidades legítimas, consideradas, dentre o que se justifica por dois motivos: primeiro, porque atingem
outras, situações concretas que poderão incluir: a privacidade da pessoa natural de forma mais profunda, por
- apoio e promoção de atividades do controlador; exemplo, quando se referem à vida sexual ou à saúde; em segundo
nesse caso, somente os dados pessoais estritamente lugar, porque podem configurar meio de discriminação, quando
necessários para a finalidade pretendida poderão ser relativos, por exemplo, à opinião política ou filosófica.
tratados, e, além disso, o controlador deverá adotar
O tratamento de dados pessoais sensíveis somente poderá ocorrer
medidas para garantir a transparência do tratamento;
se houver consentimento do titular ou de seu responsável legal,
- proteção do exercício regular de direitos pelo titular
o qual deverá ser concedido de forma explícita e destacada, para
ou prestação de serviços que o beneficiem, desde que
finalidades específicas.
respeitadas as legítimas expectativas dele e que não
violem seus direitos e liberdades fundamentais, nos Por outro lado, o tratamento dos dados pessoais sensíveis será
termos da lei. realizado, ainda que sem consentimento do titular ou de seu
14 A ANPD poderá, a qualquer momento, solicitar que o
responsável legal, quando for indispensável para: 15
controlador apresente relatório de impacto à proteção de 1. cumprimento de obrigação legal ou regulatória pelo
dados pessoais, sempre que o tratamento de dados tiver controlador;
como base legal o “interesse legítimo”. Segundo a LGPD, o 2. tratamento compartilhado de dados necessários à execução,
relatório de impacto é uma “documentação do controlador pela administração pública, de políticas públicas previstas
que contém a descrição dos processos de tratamento em leis ou regulamentos;
de dados pessoais que podem gerar riscos às liberdades 3. realização de estudos por órgão de pesquisa, garantida, sempre
civis e aos direitos fundamentais, bem como medidas, que possível, a anonimização dos dados pessoais sensíveis;
salvaguardas e mecanismos de mitigação de risco” 4. exercício regular de direitos, inclusive em contrato e em
processo judicial, administrativo e arbitral;
Assim, sempre que tratar dados pessoais fundamentados
em seu legítimo interesse, o Sesc, na qualidade de 5. proteção da vida ou da incolumidade física do titular ou de
controlador, deverá preparar relatório de impacto à terceiros;
proteção de dados pessoais para apresentá-lo à ANPD, 6. tutela da saúde, exclusivamente, em procedimento realizado por
quando solicitado. profissionais de saúde, serviços de saúde ou autoridade sanitária;
7. garantia da prevenção à fraude e à segurança do titular,
nos processos de identificação e autenticação de cadastro
em sistemas eletrônicos, exceto no caso de prevalecerem
direitos e liberdades fundamentais do titular que exijam a
proteção dos dados pessoais.

Lei Geral de Proteção de Dados

 Trata-se das mesmas bases legais utilizadas para fundamentar o Dados de crianças e adolescentes
tratamento (sem consentimento) de dados pessoais “comuns” (não
sensíveis), ressalvando-se que: A LGPD conferiu destaque especial ao tratamento de dados de
crianças e adolescentes. Segundo o Estatuto da Criança e do
- As bases legais de “proteção ao crédito” e “legítimo interesse”,
Adolescente – ECA:
previstas para tratamento de direitos pessoais “comuns” (não
sensíveis), não se compatibilizam com dados pessoais sensíveis.
P criança: pessoa com até 12 anos incompletos
Assim, não é possível tratar dados pessoais sensíveis utilizando,
P adolescente: pessoa de 12 a 18 anos
como justificativa, “proteção ao crédito” e “legítimo interesse”.

- A lei acrescentou a base legal da “garantia da prevenção à Para tratamento de dados da criança, é necessário o consentimento
fraude e à segurança do titular” para o tratamento de dados específico de pelo menos um dos pais ou do responsável legal.
pessoais sensíveis, que não está contida no rol de bases legais Nesse ponto específico, a lei silenciou sobre os adolescentes,
para tratamento dos direitos pessoais comuns. A lei refere-se entretanto, considerando-se que o ordenamento jurídico visa
à possibilidade de tratamento de dados sensíveis para evitar proteger aqueles que se encontram em posição de vulnerabilidade,
fraude e para preservar a segurança do titular nos processos o melhor entendimento é o de que pessoas entre 12 e 18 anos,
16 de identificação e autenticação de cadastro em sistemas assim como aquelas de até 12 anos, só tenham seus dados pessoais 17
eletrônicos, salvo nos casos de prevalência de direitos e tratados mediante o consentimento de pelo menos um dos pais ou
liberdades fundamentais do titular que exijam a proteção do responsável legal.
daqueles dados pessoais.
Exceção: a coleta de dados pessoais de crianças e adolescentes
O que o Sesc precisa considerar poderá ser feita sem consentimento, se necessária para contatar os
FÁTI
MA
pais ou o representante legal (uma única vez e sem armazenamento),
É fundamental que exista um controle rígido e cauteloso ou se necessária para sua proteção (e os dados não poderão ser
sobre dados médicos e odontológicos de empregados repassados a terceiros).
e credenciados plenos. Esses dados são extremamente
sensíveis e, por isso, apenas pessoas criteriosamente Iii999 Em caso de divergência dos pais sobre dar ou não o consentimento
designadas podem ter acesso a eles. para tratamento dos dados pessoais dos filhos, é recomendada a
suspensão do tratamento até que o conflito seja solucionado.
Outros pontos a serem cuidadosamente considerados, são:

P forma de envio, recebimento e compartilhamento de

declarações, atestados, receitas, prontuários e exames
médicos;
P digitalização, extração de cópias, arquivamento desses
documentos.

Lei Geral de Proteção de Dados

 O que o Sesc precisa fazer Término do tratamento de dados

P capacitar todas as suas equipes e adequar seus processos O tratamento de dados pessoais finalizará quando:
de trabalho para cumprimento integral das exigências da
LGPD; 1. for verificado que a finalidade foi alcançada ou
P tomar providências de ordem técnica necessárias para o constatado que os dados deixaram de ser necessários
tratamento de dados de forma segura; ou pertinentes ao alcance da finalidade desejada;
P manter registro de todas as operações de dados pessoais 2. ocorrer o fim do período de tratamento;
realizadas; 3. o titular manifestar sua vontade nesse sentido (revogação
P garantir aos titulares dos dados o exercício de seus do consentimento), ressalvado o interesse público;
direitos, de forma facilitada e gratuita; 4. houver uma determinação legal.
P oferecer aos titulares dos dados informações em
linguagem clara e adequada. Não aplicação da LGPD

A LGPD não se aplica ao tratamento de dados pessoais:

18 19
P realizado por pessoa natural para fins exclusivamente
particulares e não econômicos. Ex.: a agenda telefônica
do celular pessoal
P realizado para fins exclusivamente jornalísticos, artísticos
ou acadêmicos.
Ex.: fins jornalísticos: em casos de notícias de interesse
público ou relevância social
Ex.: fins artísticos: obras literárias, musicais,
cinematográficas etc.
Ex.: fins acadêmicos: pesquisa acadêmica para o
desenvolvimento de novos medicamentos
 realizado para fins exclusivos de segurança pública,
defesa nacional, segurança do Estado.
Ex.: implantação, nas cidades, de sistemas de
monitoramento por câmeras que transmitem imagens
em tempo real

Lei Geral de Proteção de Dados

 Direitos do Titular dos Dados Pessoais

Em atendimento ao Princípio do Livre Acesso, a lei estabelece

P realizado em virtude de atividades de investigação e
que o titular tem direito ao acesso facilitado às informações
repressão de infrações penais.
sobre o tratamento de seus dados. Essas informações deverão ser
Ex.: captação de imagens pela polícia para identificação
disponibilizadas de forma clara, adequada e ostensiva, e versam
de criminosos
sobre:
P provenientes do estrangeiro e que não sejam objeto de
compartilhamento com agentes de tratamento
1. finalidade específica, forma e duração do tratamento;
brasileiros ou objeto de transferência internacional com
outro país (exceto com o país de proveniência, se este 2. identificação e informações de contato do controlador;
dispuser de política de proteção de dados adequada à 3. informações acerca do uso compartilhado de dados pelo
proteção de dados prevista na LGPD). controlador e a finalidade;
Ex.: empresa inglesa que contrata empresa brasileira para 4. responsabilidades dos agentes que realizarão o tratamento;
tratar dados de cidadãos ingleses, com retorno desses 5. direitos do titular, com menção explícita aos direitos a seguir
dados à empresa contratante. detalhados.

*Acesso facilitado a informações sobre o tratamento de

20 dados significa: 1) a apresentação das informações deve ser feita 21
nos moldes da deflagração do processo de tratamento, ou seja,
se o início do tratamento deu-se pela internet, as informações ao
titular devem ser fornecidas pela internet; caso tenha se iniciado
em meio físico, as informações devem ser disponibilizadas
fisicamente; 2) o titular precisa ter acesso aos seus dados de
forma simples e gratuita.

A lei confere ao titular de dados requerer, a qualquer tempo, os

seguintes direitos:

1. Confirmação da existência do tratamento;

2. Acesso facilitado e imediato aos dados.

Lei Geral de Proteção de Dados

 O titular tem o direito de obter do controlador, a qualquer tempo, a 5. Portabilidade dos dados a outro fornecedor de serviço ou
confirmação da existência de tratamento de seus dados, bem como produto, por solicitação expressa do titular.
acesso a eles, o que poderá ocorrer, mediante requisição: 6. Eliminação dos dados após o término do tratamento (direito
ao esquecimento). Exceções à obrigatoriedade de eliminação
P imediatamente, em formato simplificado; de dados quando do término do tratamento: os dados
P no prazo de 15 dias, contados do requerimento do titular, na pessoais deverão ser mantidos, mesmo após o término de seu
forma de declaração clara e completa que indique a origem tratamento, para as seguintes finalidades:
dos dados, a inexistência de registro, os critérios utilizados e a
finalidade do tratamento.

Obs.: as informações poderão ser fornecidas por meio eletrônico

ou sob forma impressa, a critério do titular. Nos casos em que o
tratamento tiver como base consentimento ou contrato, o titular
poderá solicitar cópia eletrônica integral de seus dados pessoais.

22 3. Correção dos dados que estejam incompletos, inexatos ou 23

desatualizados;
4. Anonimização, bloqueio ou eliminação de dados que sejam
excessivos, desnecessários ou desconformes com a LGPD; P cumprimento de obrigação legal ou regulatória pelo controlador;
P estudo por órgão de pesquisa, garantida, sempre que
P Anonimização de dados: considerando-se que, para fins possível, a anonimização dos dados pessoais;
de proteção legal, “dado pessoal” é aquele relacionado à P transferência a terceiro, desde que respeitados os requisitos
pessoa física identificada ou identificável, a anonimização de tratamento de dados dispostos nesta Lei;
de dados é o tratamento conferido aos dados pessoais de P uso exclusivo do controlador, vedado seu acesso por terceiro,
forma a desvinculá-los de demais informações que permitam e desde que anonimizados os dados.
identificar o seu titular. São dados que não estão associados
direta ou indiretamente a um indivíduo. São chamados dados 7. Informação sobre o compartilhamento de dados, sua
anonimizados. finalidade e extensão.
P Bloqueio: trata-se da suspensão temporária de qualquer 8. Negativa de consentimento para o tratamento de dados
operação de tratamento, mediante guarda do dado pessoal e informação sobre as consequências decorrentes dessa
ou do banco de dados. negativa.
P Eliminação: é a exclusão dos dados armazenados em banco de 9. Revogação de consentimento, a qualquer momento,
dados, independentemente do procedimento empregado. independentemente de justificativa.

Lei Geral de Proteção de Dados

 Agentes de Tratamento de Dados Pessoais

Controlador e Operador 2. Entre controlador e operador, quando este agir conforme as

O controlador e o operador devem manter registro das operações instruções do primeiro, mas essas instruções violarem a LGPD;
de tratamento de dados pessoais que realizarem, sendo que, 3. Entre controladores, quando ambos estejam envolvidos em
o operador fica incumbido de realizar o tratamento de dados tratamento do qual decorram danos ao titular.
segundo as instruções fornecidas pelo controlador.
Tratamento irregular de dados pessoais: aquele realizado
Sempre que solicitado pela a ANPD, o controlador elaborará sem observância da legislação ou sem a segurança esperada pelo
relatório de impacto à proteção de dados pessoais (inclusive de titular, consideradas as circunstâncias relevantes, dentre as quais:
dados sensíveis) referente a suas operações de tratamento de dados.
O relatório deverá conter a descrição dos tipos de dados coletados, 1. o modo pelo qual é realizado;
a metodologia utilizada para a coleta e para a garantia da segurança 2. o resultado e os riscos que razoavelmente dele se esperam;
das informações e a análise do controlador com relação a medidas,
3. as técnicas de tratamento de dados pessoais disponíveis à
salvaguardas e mecanismos de mitigação de risco adotados.
época em que foi realizado.

Responsabilidades do controlador e do operador

O controlador ou o operador que causar dano por deixar de
24 adotar medidas de segurança no tratamento de dados, será 25
O tratamento de dados pessoais realizado em desacordo com
responsabilizado pelos danos decorrentes da violação da segurança
a LGPD, que tenha causado danos ao titular, gera a obrigação de
dos dados.
reparação.

Assim, controlador e operador (agentes de tratamento) respondem

Não responsabilização do controlador e operador
pelos danos que causarem, sejam materiais ou morais, individuais
Controlador e operador só não serão responsabilizados quando
ou coletivos.
provarem:
Em regra, a responsabilidade é individual1, entretanto, poderá haver
responsabilidade solidária2 para ressarcimento de danos: 1. que não realizaram o tratamento de dados pessoais que lhes é
atribuído;
1. Entre controlador e operador, quando este não seguir as
instruções lícitas determinadas pelo primeiro;

1 Responsabilidade individual: aquele que cometer ato ilícito e causar danos

a alguém, fica obrigado a repará-los.
2 Responsabilidade solidária: aqueles que, em conjunto, cometerem ato ilícito
e causarem danos a alguém, respondem solidariamente pelo ressarcimento.
Nesse caso, a vítima do dano poderá requerer indenização total de qualquer
um dos responsáveis.
Lei Geral de Proteção de Dados
 2. que, embora tenham realizado o tratamento de dados
pessoais que lhes é atribuído, não houve violação à LGPD; Responsabilidade do encarregado
3. que o dano é decorrente de culpa exclusiva do titular dos De acordo com a LGPD, o encarregado não responde civilmente
dados ou de terceiro. perante titulares nem à ANPD pelo tratamento de dados realizado
pelo controlador, mas responde perante o controlador e, na esfera
Encarregado penal, perante o controlador e terceiros pela má execução de suas
O encarregado pelo tratamento de dados pessoais ou DPO – Data atribuições.
Protection Officer – é a pessoa indicada pelo controlador e operador
para atuar como canal de comunicação entre o controlador, os Apesar de a LGPD não prever sua responsabilização por danos, é do
titulares dos dados e a Autoridade Nacional de Proteção de Dados encarregado a responsabilidade de verificar o cumprimento da lei
– ANPD. pelo controlador quando do tratamento de dados.

Suas atividades consistem em:

P aceitar reclamações e comunicações dos titulares, prestar

26 esclarecimentos e adotar providências; 27
P receber comunicações da autoridade nacional e adotar
providências;
P orientar os funcionários e os contratados da entidade a
respeito das práticas a serem tomadas em relação à proteção
de dados pessoais;
P executar as demais atribuições determinadas pelo controlador
ou estabelecidas em normas complementares.

É de responsabilidade do controlador a indicação do encarregado,

bem como a divulgação pública, de forma clara e objetiva, de sua
identidade e informações de contato, preferencialmente em seu
sítio eletrônico.

*O encarregado não é considerado agente de tratamento,

portanto, responde de forma diferenciada por seus atos.

Lei Geral de Proteção de Dados

 Sanções Transferência Internacional de Dados

Os agentes de tratamento de dados que cometerem infrações à A transferência internacional de dados é uma forma de tratamento
LGPD estão sujeitos à aplicação, pela ANPD, das seguintes sanções ! por meio da qual os dados pessoais são transferidos para país
administrativas: estrangeiro ou organismo internacional do qual o país seja membro.

1. advertência, com determinação de prazo para adoção das É importante observar que, a transferência internacional de dados
medidas corretivas; pode estar presente nas situações mais simples do cotidiano das
2. multa simples, de até 2% do faturamento da pessoa jurídica, instituições. Por exemplo, configuram transferência internacional
limitada a R$50.000.000,00 (cinquenta milhões de reais), por de dados os procedimentos de:
infração;
3. multa diária; - empresa que coleta dados pessoais de indivíduos no Brasil e
4. publicização da infração, após confirmação de sua ocorrência; armazena em seu servidor, localizado na Alemanha;
5. bloqueio dos dados pessoais a que se refere a infração até sua - agência de viagens que encaminha dados de clientes para hotel
regularização; localizado na Espanha;
6. eliminação dos dados pessoais relativos à infração. - empresa americana que oferece serviços a pessoas localizadas
no Brasil e que compartilha os dados pessoais a outras empresas
28 Providências importantes que o Sesc deve tomar americanas; 29
- mero uso de um serviço de armazenamento de dados em um
Os procedimentos de trabalho que envolvam tratamento de
servidor na nuvem.
dados devem ser constantemente monitorados para fins de
verificação do cumprimento integral da LGPD, bem como para
A LGPD determina que a transferência internacional de dados é
identificação de pontos de falha que possam acarretar infrações
permitida somente nos seguintes casos:
à lei.

1. para países ou organismos internacionais que proporcionem

Em caso de violação à LGPD, é importante adotar uma postura de
grau de proteção de dados pessoais adequado;
cooperação para solução das questões relacionadas, buscando
minimizar os danos decorrentes. 2. quando o controlador oferecer e comprovar garantias de
cumprimento dos princípios, dos direitos do titular e do
A instituição deve contar com um setor interno e com equipe regime de proteção de dados previstos nesta Lei, na forma
externa especializados, para atendimento às solicitações de: a) cláusulas contratuais específicas para determinada
da ANPD, inclusive, para demonstrar a adoção de medidas transferência; b) cláusulas-padrão contratuais; c) normas
necessárias à prevenção de danos decorrentes do tratamento corporativas globais; d) selos, certificados e códigos de
de dados, com vistas à mitigação de eventuais penalidades conduta regularmente emitidos;
impostas. 3. quando a transferência for necessária para a cooperação
jurídica internacional entre órgãos públicos de inteligência, de
investigação e de persecução;

Lei Geral de Proteção de Dados

 Segurança da Informação

4. quando a transferência for necessária para a proteção da vida Os agentes de tratamento devem adotar medidas de segurança,
ou da incolumidade física do titular ou de terceiro; tanto técnicas quanto administrativas, para proteger os dados
5. quando a autoridade nacional autorizar a transferência; pessoais de acessos não autorizados e de situações acidentais ou
6. quando a transferência resultar em compromisso assumido ilícitas de destruição, perda, alteração, comunicação ou qualquer
em acordo de cooperação internacional; outra forma de tratamento irregular ou ilícito.
7. quando a transferência for necessária para a execução de
Cabe à ANPD estabelecer os padrões técnicos mínimos de
política pública ou atribuição legal do serviço público;
segurança para proteção dos dados pessoais, e, para tanto, levará em
8. quando o titular tiver fornecido o seu consentimento
consideração a natureza das informações tratadas, as características
específico e em destaque para a transferência, com informação
específicas do tratamento e o estado atual da tecnologia.
prévia sobre o caráter internacional da operação, distinguindo
claramente essa de outras finalidades;
A segurança dos dados deverá ser garantida pelos agentes
9. quando necessário para cumprimento de obrigação legal ou de tratamento ou terceiros que eventualmente interfiram no
regulatória pelo controlador, execução de contrato qual seja tratamento mesmo após o seu término.
parte o titular e para o exercício regular de direitos.
Incidentes de segurança capazes de acarretar risco ou dano
30 Esse rol de hipóteses é taxativo, e, portanto, não admite ampliação. relevante aos titulares devem ser comunicados à ANPD e aos
31
titulares dos dados, pelo controlador, em prazo razoável, com
menção das seguintes informações:

1. descrição da natureza dos dados pessoais afetados;

2. informações sobre os titulares envolvidos;
3. indicação das medidas técnicas e de segurança utilizadas para
a proteção dos dados;
4. riscos relacionados ao incidente;
5. motivos da demora, no caso de a comunicação não ter sido
imediata;
6. medidas que foram ou que serão adotadas para reverter ou
mitigar os efeitos do prejuízo.

Lei Geral de Proteção de Dados

 Boas Práticas e Governança

De acordo com a gravidade do incidente, a ANPD, para fins de Os controladores e operadores, individualmente ou por meio
preservar direitos dos titulares, poderá determinar ao controlador, de associações, poderão formular regras de boas práticas e de
que: governança que estabeleçam as condições de organização,
o regime de funcionamento, os procedimentos, incluindo
- providencie ampla divulgação do fato em meios de reclamações e petições de titulares, as normas de segurança,
comunicação; os padrões técnicos, as obrigações específicas para os diversos
envolvidos no tratamento, as ações educativas, os mecanismos
- tome medidas para reverter ou mitigar os efeitos do incidente.
internos de supervisão e de mitigação de riscos e outros aspectos
relacionados ao tratamento de dados pessoais.
É aconselhável que os agentes de tratamento tomem medidas
técnicas adequadas que tornem os dados pessoais afetados A LGPD informa que, o controlador, considerando a especificidade
ininteligíveis para que não sejam passíveis de acesso por terceiros dos dados pessoais sob seu tratamento, poderá implementar
não autorizados. Ainda, os agentes devem estruturar seus sistemas programa de governança em privacidade que, no mínimo:
de modo a atender aos requisitos de segurança, aos padrões de
boas práticas e de governança, bem como aos princípios da lei. 1. demonstre o comprometimento do controlador em adotar
processos e políticas internas que assegurem o cumprimento,
32 A comprovação do emprego de tais medidas será considerada pela de forma abrangente, de normas e boas práticas relativas à 33
ANPD quando da avaliação da gravidade do incidente. proteção de dados pessoais;
2. seja aplicável a todo o conjunto de dados pessoais que
estejam sob seu controle, independentemente do modo
como se realizou sua coleta;
3. seja adaptado à estrutura, à escala e ao volume de suas
operações, bem como à sensibilidade dos dados tratados;
4. estabeleça políticas e salvaguardas adequadas com base
em processo de avaliação sistemática de impactos e riscos à
privacidade;
5. tenha o objetivo de estabelecer relação de confiança com
o titular, por meio de atuação transparente e que assegure
mecanismos de participação do titular;
6. esteja integrado a sua estrutura geral de governança e estabeleça
e aplique mecanismos de supervisão internos e externos;
7. conte com planos de resposta a incidentes e remediação;
8. seja atualizado constantemente com base em informações
obtidas a partir de monitoramento contínuo e avaliações
periódicas.

Lei Geral de Proteção de Dados

 Autoridade Nacional de Proteção de Dados (ANPD)

A Autoridade Nacional de Proteção de Dados (ANPD), órgão P promover e elaborar estudos sobre as práticas nacionais e
da administração pública federal, integrante da Presidência da internacionais de proteção de dados pessoais e privacidade;
República, que tem natureza jurídica transitória e poderá ser P editar regulamentos e procedimentos sobre proteção de
transformada pelo Poder Executivo em entidade da administração dados pessoais e privacidade, bem como sobre relatórios de
pública federal indireta, submetida a regime autárquico especial e impacto à proteção de dados pessoais para os casos em que
vinculada à Presidência da República. o tratamento representar alto risco à garantia dos princípios
gerais de proteção de dados pessoais previstos na lei;
Esse órgão tem autonomia técnica e decisória e é composto de P comunicar às autoridades competentes as infrações penais
Conselho Diretor (órgão máximo de direção); Conselho Nacional das quais tiver conhecimento.
de Proteção de Dados Pessoais e da Privacidade; Corregedoria;
Ouvidoria; órgão de assessoramento jurídico próprio; unidades
administrativas e unidades especializadas necessárias à aplicação
do disposto nesta Lei.

Dentre outras atividades, compete à ANPD:

34 35
P zelar pela proteção dos dados pessoais;
P elaborar diretrizes para a Política Nacional de Proteção de
Dados Pessoais e da Privacidade;
P f iscalizar e aplicar sanções em caso de tratamento de dados
realizado em descumprimento à legislação;

Lei Geral de Proteção de Dados

 Assessoria de Proteção de Dados (APD)

A Lei Geral de Proteção de Dados Pessoais – LGPD – veio para

consolidar os avanços econômicos e tecnológicos no Brasil,
garantindo direitos fundamentais e de cidadania, uma vez que
regulamenta a coleta e o tratamento de dados pessoais por meio de
seus princípios e bases legais, assegurando aos titulares de dados
pessoais privacidade e autoridade sobre as próprias informações.

O Sesc São Paulo, em seu compromisso com a cidadania, inovação

e transparência sempre esteve atento às questões de respeito à
privacidade de seus públicos, e desta forma trabalha intensamente
na busca da melhoria de seus processos internos para o perfeito
cumprimento dessa lei.

Tendo isso em vista o Sesc SP instituiu a Assessoria de Proteção

de Dados – APD – e nomeou um encarregado que, assessorado
36 por equipe multidisciplinar, atuará para garantir o cumprimento 37
dos direitos e deveres assegurados pela LGPD, sendo também o
responsável pelas comunicações com os titulares de dados e com
a Autoridade Nacional de Proteção de Dados – ANPD –, de modo a
garantir o cumprimento dos direitos e deveres assegurados pela lei.

Para Saber Mais

[Link]
[Link]
Lei Geral de Proteção de Dados
38

Sesc - Administração Regional no Estado

de São Paulo
Av. Álvaro Ramos, 991
Tel.: 2607-8000

[Link]