LGPD
Lei nº 13.709/2018
Cláudia Ruiz Hespanha Advocacia
Privacidade
vida privada, particular,
íntima. Dic. Oxford
Cláudia Ruiz Hespanha Advocacia
Constituição da República Federativa do Brasil
1988
• Art. 5º Todos são iguais perante a lei, sem distinção de qualquer natureza, garantindo-se aos brasileiros e aos
estrangeiros residentes no País a inviolabilidade do direito à vida, à liberdade, à igualdade, à segurança e à
propriedade, nos termos seguintes: [...]
• X - são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o direito a indenização pelo dano
material ou moral decorrente de sua violação;
• XI - a casa é asilo inviolável do indivíduo, ninguém nela podendo penetrar sem consentimento do morador, salvo em caso de
flagrante delito ou desastre, ou para prestar socorro, ou, durante o dia, por determinação judicial; (Vide Lei nº 13.105, de
2015) (Vigência)
• XII - é inviolável o sigilo da correspondência e das comunicações telegráficas, de dados e das comunicações telefônicas, salvo, no
último caso, por ordem judicial, nas hipóteses e na forma que a lei estabelecer para fins de investigação criminal ou instrução
processual penal; (Vide Lei nº 9.296, de 1996)
• LXXII - conceder-se-á "habeas-data":
• a) para assegurar o conhecimento de informações relativas à pessoa do impetrante, constantes de registros ou bancos de dados de
entidades governamentais ou de caráter público;
• b) para a retificação de dados, quando não se prefira fazê-lo por processo sigiloso, judicial ou administrativo;
Cláudia Ruiz Hespanha Advocacia
Marco Civil da Internet -
LEI Nº 12.965, DE 23 DE
ABRIL DE 2014
• Art. 3º A disciplina do uso da internet no Brasil tem os seguintes princípios:
• II - proteção da privacidade;
• Art. 7º O acesso à internet é essencial ao exercício da cidadania, e ao usuário são
assegurados os seguintes direitos:
• I - inviolabilidade da intimidade e da vida privada, sua proteção e indenização pelo
dano material ou moral decorrente de sua violação;
• III - inviolabilidade e sigilo de suas comunicações privadas armazenadas, salvo por
ordem judicial;
• Art. 8º A garantia do direito à privacidade e à liberdade de expressão nas
comunicações é condição para o pleno exercício do direito de acesso à internet.
• I - impliquem ofensa à inviolabilidade e ao sigilo das comunicações privadas, pela
internet; ou
• Art. 10. A guarda e a disponibilização dos registros de conexão e de acesso a
aplicações de internet de que trata esta Lei, bem como de dados pessoais e do
conteúdo de comunicações privadas, devem atender à preservação da intimidade,
da vida privada, da honra e da imagem das partes direta ou indiretamente
envolvidas.
• E mais 9 artigos ou incisos que abordam especificamente a privacidade
Cláudia Ruiz Hespanha Advocacia
Dados
Conhecimento que se tem sobre algo, usado para
solucionar uma questão, fazer um julgamento,
criar ou colocar em prática um pensamento, uma
opinião; informação
Cláudia Ruiz Hespanha Advocacia
O que são dados?
• Identificados: nome, fotografia, digitais
• Identificáveis: informações que, somadas chegam a um indivíduo.
• Titular do dado: pessoa dona dos dados.
• Dados Sensíveis: capazes de discriminar o indivíduo. Partido Político,
Religião, Saúde, etc.
• Dados anonimizados: não tratados pela LGPD. Informação que passa
por uma técnica para que não seja identificado. Informação
codificada, por exemplo RA.
Cláudia Ruiz Hespanha Advocacia
A quem se aplica? Dados Pessoais Dados Pessoais Sensíveis Exemplos
Qualquer pessoas- física Segundo a Lei, dados Filiação a organização Relação entre usuários e
ou jurídica de direito pessoais são qualquer religiosa, política ou serviços de internet.
público ou privado – que informação que possa filosófica. Origem étnica Relação entre empresas e
realize tratamento de identificar uma pessoa ou racial. Opinião Política. clientes. Relação
dados pessoais, ou seja, direta ou indiretamente. Filiação a sindicatos. trabalhista. Relação entre
exerça atividade em se Dados cadastrais (nome, Dados biométricos ou médicos, hospitais,
utilizem dados pessoais CPF, email, telefone, etc) genéticos. Dados de saúde laboratórios e pacientes.
(coleta, armazenamento, Dados de GPS, ou vida sexual. Negócios mesmo que
compartilhamento, informações eletrônicas Regras mais rígidas e offline. Qualquer atividade
exclusão, etc). (endereço de IP). maiores sanções para que utilize dados pessoais.
Inclusive nos meios eventuais problemas.
digitais.
• Fonte: [Link]
Cláudia Ruiz Hespanha Advocacia
Cláudia Ruiz Hespanha Advocacia
Por que proteção de
dados pessoais importa?
Cláudia Ruiz Hespanha Advocacia
Por que proteção de • [Link]
vQA6I
dados pessoais
importa? | Bruno
Bioni | TEDxPinheiros
Out/2018
Cláudia Ruiz Hespanha Advocacia
O Caso
[Link]
ch?v=x1SnHHby0wA&t=14s
Cláudia Ruiz Hespanha Advocacia
• O Facebook sofreu um forte abalo no último
sábado (03/2018) com a revelação de que as
informações de mais de 50 milhões de pessoas
foram utilizadas sem o consentimento delas pela
empresa americana Cambridge Analytica para
fazer propaganda política.
• A empresa teria tido acesso ao volume de dados
ao lançar um aplicativo de teste psicológico na
rede social. Aqueles usuários do Facebook que
participaram do teste acabaram por entregar à
Cambridge Analytica não apenas suas
informações, mas os dados referentes a todos os
amigos do perfil.
• A denúncia, feita pelos jornais The New York
Times e The Guardian, levantou dúvidas sobre a
transparência e o compromisso da empresa com
a proteção de dados dos usuários. Fonte G1
Cláudia Ruiz Hespanha Advocacia
Quais dados vazaram?
Foram dois vazamentos:
Um deles tinha 223 milhões de números de CPF, acompanhado de informações como nome, sexo e data de nascimento, além de uma tabela com dados
de veículos e uma lista com CNPJs (Cadastro Nacional de Pessoas Jurídicas). Essas informações circulam na internet de forma gratuita.
O outro incluía, além dos 223 milhões de CPFs, informações sobre escolaridade, benefícios do INSS e programas sociais (como o Bolsa Família), renda,
entre outras informações. Esse está sendo vendido por criminosos.
Juntos, os dois vazamentos continham:
•Dados básicos relativos ao CPF (nome, data de nascimento e endereço).
•Endereços.
•Fotos de rosto.
•Score de crédito (que diz se é bom pagador), renda, cheques sem fundo e outras informações financeiras.
•Imposto de renda de pessoa física.
•Dados cadastrais de serviços de telefonia.
•Escolaridade.
•Benefícios do INSS.
•Dados relativos a servidores públicos.
•Informações do LinkedIn.
Cláudia Ruiz Hespanha Advocacia
Decisões automatizadas e o
princípio da não discriminação
Cláudia Ruiz Hespanha Advocacia
• Quando Brisha Borden, de 18 anos, foi presa em 2014 por pegar uma bicicleta destrancada e andar com ela
na rua em Fort Lauderdale, ela foi avaliada por um programa de computador na prisão federal como estando
em alto risco de cometer um futuro crime. Um ano antes, Vernon Prater, de 41 anos, um criminoso com
condenações anteriores, havia sido preso enquanto furtava US $ 86.000 em ferramentas de uma loja. O
mesmo algoritmo classificou Prater como de baixo risco.
• Dois anos depois, enquanto Borden não havia sido acusada de nenhum novo crime, Prater estava de volta
à prisão. E a única diferença crucial entre os dois casos, de acordo com a organização sem fins lucrativos de
jornalismo investigativo ProPublica, que analisou as estatísticas do algoritmo: Borden era negra e Prater
branco.
• Embora as características de uma pessoa, como cor da pele ou sexo, não possam ser especificamente
divulgados, os algoritmos fazem correlações com base em outras características, como escola ou local de
residência, bem como dados históricos que podem já conter preconceitos humanos. Mas quem é o
responsável por previsões imprecisas ou preconceitos em um caso como este? Fonte: Giesecke+Devrient
Cláudia Ruiz Hespanha Advocacia
Cláudia Ruiz Hespanha Advocacia
Objetivos
Cláudia Ruiz Hespanha Advocacia
• Toda operação realizada com
dados pessoais, como as que se
referem a coleta, produção,
recepção, classificação,
utilização, acesso, reprodução,
transmissão, distribuição,
processamento, arquivamento,
armazenamento, eliminação,
avaliação ou controle da
informação, modificação,
comunicação, transgerência,
difusão, extração.
Cláudia Ruiz Hespanha Advocacia
Exceções
Cláudia Ruiz Hespanha Advocacia
• Art. 4º Tratamento realizado por pessoa natural para fins particulares e não comerciais
• Tratamento para fins jornalísticos, artísticos, acadêmicos, segurança pública, defesa nacional,
segurança do Estado ou atividade de investigação e repressão de infrações penais.
Cláudia Ruiz Hespanha Advocacia
Envolvidos
Cláudia Ruiz Hespanha Advocacia
• Titular dos dados
• Controlador – toma as decisões sobre o tratamento dos dados
(pessoa, empresa ou órgão público)
• Operador – realiza o tratamento dos dados pessoais em nome do
controlador
• DPO (Encarregado) – pessoa indicada para atuar na
interface/comunicação entre o controlador, os titulares e a ANPD.
• ANPD Autoridade Nacional de Proteção de Dados
[Link]
Cláudia Ruiz Hespanha Advocacia
Bases legais
Cláudia Ruiz Hespanha Advocacia
Quem, quando, como, onde, o que, por que e
quanto
• Art. 1º Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por
pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger
os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da
personalidade da pessoa natural.
• Art. 3º Esta Lei aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por
pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede
ou do país onde estejam localizados os dados,
• Art. 4º Esta Lei não se aplica ao tratamento de dados pessoais I - realizado por pessoa natural
para fins exclusivamente particulares e não econômicos; II - realizado para fins exclusivamente: a)
jornalístico e artísticos; ou b) acadêmicos, aplicando-se a esta hipótese os arts. 7º e 11 desta Lei;
III - realizado para fins exclusivos de: a) segurança pública; b) defesa nacional; c) segurança do
Estado; ou d) atividades de investigação e repressão de infrações penais...
• Art. 5º Para os fins desta Lei, considera-se:
Cláudia Ruiz Hespanha Advocacia
Art. 7º O tratamento de I - mediante o II - para o cumprimento III - pela administração IV - para a realização de V - quando necessário
dados pessoais somente fornecimento de de obrigação legal ou pública, para o estudos por órgão de para a execução de
poderá ser realizado nas consentimento pelo regulatória pelo tratamento e uso pesquisa, garantida, contrato ou de
seguintes hipóteses: titular; controlador; compartilhado de dados sempre que possível, a procedimentos
necessários à execução anonimização dos dados preliminares
de políticas públicas pessoais; relacionados a contrato
previstas em leis e do qual seja parte o
regulamentos ou titular, a pedido do
respaldadas em titular dos dados;
contratos, convênios ou
instrumentos congêneres,
observadas as disposições
do Capítulo IV desta Lei;
VI - para o exercício VII - para a proteção da
regular de direitos em vida ou da incolumidade
processo judicial, física do titular ou de
administrativo ou arbitral, terceiro;
esse último nos termos da
Lei nº 9.307, de 23 de
setembro de 1996 (Lei de
Arbitragem) ;
Cláudia Ruiz Hespanha Advocacia
• VIII - para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços
de saúde ou autoridade sanitária; (Redação dada pela Lei nº 13.853, de 2019) Vigência
• IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de
prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou
• X - para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.
• § 3º O tratamento de dados pessoais cujo acesso é público deve considerar a finalidade, a boa-fé e o interesse
público que justificaram sua disponibilização.
Cláudia Ruiz Hespanha Advocacia
• § 4º É dispensada a exigência do consentimento previsto no caput deste artigo para os dados tornados
manifestamente públicos pelo titular, resguardados os direitos do titular e os princípios previstos nesta Lei.
• § 5º O controlador que obteve o consentimento referido no inciso I do caput deste artigo que necessitar
comunicar ou compartilhar dados pessoais com outros controladores deverá obter consentimento específico
do titular para esse fim, ressalvadas as hipóteses de dispensa do consentimento previstas nesta Lei.
• § 6º A eventual dispensa da exigência do consentimento não desobriga os agentes de tratamento das demais
obrigações previstas nesta Lei, especialmente da observância dos princípios gerais e da garantia dos direitos do
titular.
• § 7º O tratamento posterior dos dados pessoais a que se referem os §§ 3º e 4º deste artigo poderá ser
realizado para novas finalidades, desde que observados os propósitos legítimos e específicos para o novo
tratamento e a preservação dos direitos do titular, assim como os fundamentos e os princípios previstos nesta
Lei. (Incluído pela Lei nº 13.853, de 2019) Vigência
• Art. 11. O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes
hipóteses:
• CAPÍTULO III DOS DIREITOS DO TITULAR
• Art. 37. O controlador e o operador devem manter registro das operações de
tratamento de dados pessoais que realizarem, especialmente quando baseado no
legítimo interesse.
• Art. 41. O controlador deverá indicar encarregado pelo tratamento de dados pessoais.
• Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência
de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.
• Art. 52. Os agentes de tratamento de dados, em razão das infrações cometidas às
normas previstas nesta Lei, ficam sujeitos às seguintes sanções administrativas aplicáveis
pela autoridade nacional:
Cláudia Ruiz Hespanha Advocacia
Presunção de Ilicitude
Cláudia Ruiz Hespanha Advocacia
• Art. 44. O tratamento de dados pessoais será irregular quando deixar de observar a
legislação ou quando não fornecer a segurança que o titular dele pode esperar,
consideradas as circunstâncias relevantes, entre as quais:
• I - o modo pelo qual é realizado;
• II - o resultado e os riscos que razoavelmente dele se esperam;
• III - as técnicas de tratamento de dados pessoais disponíveis à época em que foi
realizado.
• Parágrafo único. Responde pelos danos decorrentes da violação da segurança dos dados
o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas
no art. 46 desta Lei, der causa ao dano.
Cláudia Ruiz Hespanha Advocacia
• [Link]
dados-pessoais-forma-irregular
Cláudia Ruiz Hespanha Advocacia
• [Link]
em-r-572-mil-por-uso-irregular-de-dados-de-consumidores
Cláudia Ruiz Hespanha Advocacia
Cláudia Ruiz Hespanha Advocacia
Fonte: [Link]
Aplicabilidade
Cláudia Ruiz Hespanha Advocacia
Conhecimento sobre receitas, doenças, dependentes,
endereço, imagens, biometria, entre outros.
Quais dados serão coletados?
Recursos Por que serão coletados?
Humanos Onde serão armazenados?
Finalidade, compartilhamento?
Após a demissão, o que será feito com eles?
Cláudia Ruiz Hespanha Advocacia
• Alegam que a empresa não
adota medidas protetivas, ou
não informavam os funcionários
sobre como o tratamento era
feito.
A Lei Geral de Proteção de Dados Pessoais
(LGPD, Lei 13.709/2018) já aparece em 139
ações trabalhistas, segundo levantamento feito
pela empresa de jurimetria Data Lawyer
Insights, a pedido do jornal Valor Econômico. O
total das causas soma R$ 15 milhões e a maior
parte tramita em São Paulo. Fonte: CONJUR
Cláudia Ruiz Hespanha Advocacia
Sem comentários!!
Cláudia Ruiz Hespanha Advocacia
Regimento Interno e Documentações pertinentes
Manual de Condutas
Criação de regras de proteção e tratamento
Observância de Leis correlatas (CLT, LEI Nº 12.737/2012 Crimes
Cibernéticos, LEI Nº 12.527/2011 Lei de Acesso à Informação,
LEI Nº 12.965/2014 Marco Civil da Internet, LEI Nº 8.078/1990
CDC, entre outras. )
Cláudia Ruiz Hespanha Advocacia
Sanções
Cláudia Ruiz Hespanha Advocacia
• Art. 52. Os agentes de tratamento de dados, em razão das infrações cometidas às normas
previstas nesta Lei, ficam sujeitos às seguintes sanções administrativas aplicáveis pela
autoridade nacional:
• I - advertência, com indicação de prazo para adoção de medidas corretivas;
• II - multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de
direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os
tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração;
• III - multa diária, observado o limite total a que se refere o inciso II;
• IV - publicização da infração após devidamente apurada e confirmada a sua ocorrência;
• V - bloqueio dos dados pessoais a que se refere a infração até a sua regularização;
• VI - eliminação dos dados pessoais a que se refere a infração;
Cláudia Ruiz Hespanha Advocacia
• § 1º As sanções serão aplicadas após procedimento administrativo que possibilite a
oportunidade da ampla defesa, de forma gradativa, isolada ou cumulativa, de acordo
com as peculiaridades do caso concreto e considerados os seguintes parâmetros e
critérios:
• I - a gravidade e a natureza das infrações e dos direitos pessoais afetados;
• II - a boa-fé do infrator;
• III - a vantagem auferida ou pretendida pelo infrator;
• IV - a condição econômica do infrator;
• V - a reincidência;
• VI - o grau do dano;
Cláudia Ruiz Hespanha Advocacia
• VII - a cooperação do infrator;
• VIII - a adoção reiterada e demonstrada de mecanismos e procedimentos internos
capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados,
em consonância com o disposto no inciso II do § 2º do art. 48 desta Lei;
• IX - a adoção de política de boas práticas e governança;
• X - a pronta adoção de medidas corretivas; e
• XI - a proporcionalidade entre a gravidade da falta e a intensidade da sanção.
• § 2º O disposto neste artigo não substitui a aplicação de sanções administrativas, civis ou
penais definidas na Lei nº 8.078, de 11 de setembro de 1990 (CDC), e em legislação
específica.
• § 3º O disposto nos incisos I, IV, V, VI, VII, VIII e IX do caput deste artigo poderá ser aplicado às
entidades e aos órgãos públicos, sem prejuízo do disposto na Lei nº 8.112, de 11 de dezembro
de 1990 (Estatuto do Servidor Público Federal) , na Lei nº 8.429, de 2 de junho de 1992 (Lei de
Improbidade Administrativa) , e na Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à
Informação) .
• § 4º No cálculo do valor da multa de que trata o inciso II do caput deste artigo, a autoridade
nacional poderá considerar o faturamento total da empresa ou grupo de empresas, quando não
dispuser do valor do faturamento no ramo de atividade empresarial em que ocorreu a infração,
definido pela autoridade nacional, ou quando o valor for apresentado de forma incompleta ou
não for demonstrado de forma inequívoca e idônea.
• § 5º O produto da arrecadação das multas aplicadas pela ANPD, inscritas ou não em dívida
ativa, será destinado ao Fundo de Defesa de Direitos Difusos de que tratam o art. 13 da Lei nº
7.347, de 24 de julho de 1985, e a Lei nº 9.008, de 21 de março de 1995.
• § 7º Os vazamentos individuais ou os acessos não autorizados de que trata o caput do art. 46
desta Lei poderão ser objeto de conciliação direta entre controlador e titular e, caso não haja
acordo, o controlador estará sujeito à aplicação das penalidades de que trata este artigo.
Cláudia Ruiz Hespanha Advocacia
Compliance
Cláudia Ruiz Hespanha Advocacia
Cláudia Ruiz Hespanha Advocacia
* Criado a partir do modelo de PFFA Advogados Associados – in Congresso LGPD CERS
Múltiplos
Conhecimentos, departamentos, habilidades, etc
Cláudia Ruiz Hespanha Advocacia
• Autoridade Nacional de Proteção de
Dados [Link]
br/documentos-e-publicacoes
• Associação Nacional dos Profissionais
de Privacidade de Dados
[Link]
Cláudia Ruiz Hespanha Advocacia
Não basta proteger...
• Programas para a conscientização das novas regras,
• Adequação em seus procedimentos internos e contratos,
• Termos de consentimento,
• Tráfego de dados,
• Descarte de dados,
• Políticas da empresa e acordos de confidencialidade,
• Prevenção, entre outros
Cláudia Ruiz Hespanha Advocacia
Decálogo para um
efetivo tratamento
Os seguintes princípios
devem ser observados
na hora de tratar dados
pessoais:
Cláudia Ruiz Hespanha Advocacia Fonte: [Link]