FORMAÇÃO

PROFISSIONAL DE
PRIVACIDADE
DE DADOS (LGPD)

Realização Apoiadores
Apresentação do Instrutor

Prof. Matheus Passos Silva

IAPP® CIPP/E, CIPM | EXIN® Certified DPO
EXIN® Certified Blockchain Foundation | Inteligência Artificial
▪ Data Protection Officer na L’Oréal Portugal.
▪ Professor Convidado na Faculdade de Direito da Universidade NOVA de Lisboa
▪ Doutorando em Direito e Tecnologia pela Universidade Nova de Lisboa
[Link]
▪ Doutorando em Direito pela Universidade de Lisboa
@profmatheuspassos
▪ Pós-Graduação Avançada em Direito da Proteção de Dados
▪ Graduado e Mestre em Ciência Política
▪ Graduado em Ciência da Computação

Slide 2
Módulo

Agentes de tratamento de dados

pessoais

Slide 3
Em qual parte da lei estamos?

I
X II

IX III
Capítulos
da LGPD
VIII IV

VII V
VI
CAPÍTULO VI - OS AGENTES DE TRATAMENTO DE DADOS PESSOAIS
Artigos 37 ao 45 Seção I - Do Controlador e do Operador – artigos 37 ao 40 Seção II - Do
Encarregado pelo Tratamento de Dados Pessoais – artigo 41 Seção III - Da Responsabilidade e do
Ressarcimento de Danos – artigos 42 ao 45

Slide 4
Lembrando
Art. 5º Para os fins desta Lei, considera-se:
• IX - agentes de tratamento: o controlador e o operador.

Dados
pessoais
Controlador Operador

Encarregado (ou DPO) não é um

agente de tratamento

Slide 5
Seção I

Do Controlador e do Operador

Slide 6
Registro de tratamento de dados
Art. 37. O controlador e o operador devem manter registro das operações de tratamento
de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.
Registro de tratamento de dados
Art. 37. O controlador e o operador devem manter registro das operações de tratamento
de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.
Registro de tratamento de dados
Art. 37. O controlador e o operador devem manter registro das operações de tratamento
de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.
Registro de tratamento de dados
Art. 37. O controlador e o operador devem manter registro das operações de tratamento
de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.
Relatório de impacto à proteção de dados pessoais (RIPD)
Art. 38. A autoridade nacional poderá determinar ao controlador que elabore relatório de
impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas
operações de tratamento de dados, nos termos de regulamento, observados os segredos
comercial e industrial.
• Parágrafo único. Observado o disposto no caput deste artigo, o relatório deverá conter,
no mínimo:
• A descrição dos tipos de dados coletados
• A metodologia utilizada para a coleta e para a garantia da segurança das informações
• A análise do controlador com relação a medidas
• Salvaguardas e mecanismos de mitigação de risco adotados.
 Relatório de impacto à proteção de dados pessoais (RIPD)

• Software open source da CNIL:

[Link]
pia-software-helps-carry-out-data-
protection-impact-assesment
• Versões para Mac, Windows, Linux,
front end, back end
Relatório de impacto à proteção de dados pessoais (RIPD)
Relatório de impacto à proteção de dados pessoais (RIPD)
Operador x Controlador
Art. 39. O operador deverá realizar o tratamento segundo as instruções fornecidas pelo
controlador, que verificará a observância das próprias instruções e das normas sobre a
matéria.

Dados
pessoais
Controlador Operador
Outras obrigações dos agentes de tratamento
• Informação e transparência
• Privacy by Design
• Contratos entre Controlador e Operador
• Medidas de Segurança
• Notificações em caso de violação de dados pessoais
Padrões de interoperabilidade

Art. 40. A autoridade nacional poderá dispor

sobre padrões de interoperabilidade para fins
de portabilidade, livre acesso aos dados e
segurança, assim como sobre o tempo de
guarda dos registros, tendo em vista
especialmente a necessidade e a transparência.
Seção II

Do Encarregado pelo Tratamento de

Dados Pessoais
Será abordado no próximo módulo
Seção III

Da Responsabilidade e do
Ressarcimento de Danos
Reparação de danos
Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento
de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em
violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.
• § 1º A fim de assegurar a efetiva indenização ao titular dos dados:
I - o operador responde solidariamente pelos danos causados pelo tratamento quando
descumprir as obrigações da legislação de proteção de dados ou quando não tiver
seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se
ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei;
II - os controladores que estiverem diretamente envolvidos no tratamento do qual
decorreram danos ao titular dos dados respondem solidariamente, salvo nos casos de
exclusão previstos no art. 43 desta Lei.
Reparação de danos
Art. 42.
• § 2º O juiz, no processo civil, poderá inverter o ônus da prova a favor do titular dos dados
quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de
produção de prova ou quando a produção de prova pelo titular resultar-lhe
excessivamente onerosa.
• § 3º As ações de reparação por danos coletivos que tenham por objeto a
responsabilização nos termos do caput deste artigo podem ser exercidas coletivamente
em juízo, observado o disposto na legislação pertinente.
• § 4º Aquele que reparar o dano ao titular tem direito de regresso contra os demais
responsáveis, na medida de sua participação no evento danoso.
Quando agentes não serão responsabilizados?
Art. 43. Os agentes de tratamento só não serão responsabilizados quando provarem:
• I - que não realizaram o tratamento de dados pessoais que lhes é atribuído;
• II - que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído,
não houve violação à legislação de proteção de dados; ou
• III - que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro.
Quando o tratamento é considerado irregular?
Art. 44. O tratamento de dados pessoais será irregular quando deixar de observar a
legislação ou quando não fornecer a segurança que o titular dele pode esperar,
consideradas as circunstâncias relevantes, entre as quais:
• I - o modo pelo qual é realizado;
• II - o resultado e os riscos que razoavelmente dele se esperam;
• III - as técnicas de tratamento de dados pessoais disponíveis à época em que foi
realizado.
• Parágrafo único. Responde pelos danos decorrentes da violação da segurança dos dados
o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas
no art. 46 desta Lei, der causa ao dano.
Violação do direito do titular
Art. 45. As hipóteses de violação do direito do titular no âmbito das relações de consumo
permanecem sujeitas às regras de responsabilidade previstas na legislação pertinente.