INTRODUÇÃO À LEI GERAL DE PROTEÇÃO
DE DADOS (LGPD) – Conceitos básicos
Outubro 2021
INTRODUÇÃO
A Lei Nº 13.709 de agosto de 2018, denominada Lei Geral de Proteção de Dados, ou simplesmente LGPD,
é a norma brasileira que regula a atividade de tratamento (coleta, uso, armazenamento,
compartilhamento, etc.) de dados pessoais. Inspirada no Regulamento Geral sobre a Proteção de Dados
da União Europeia (GDPR), a LGPD estabelece padrões a serem seguidos no tratamento dos dados
pessoais de pessoas físicas, visando a limitação desse tratamento a uma finalidade específica.
A LGPD foi um verdadeiro marco para a segurança da informação, uma vez que foi criada com o objetivo
de proteger a liberdade, a privacidade e os direitos fundamentais dos indivíduos, tendo como fundamento
o desenvolvimento econômico, tecnológico e a inovação. Ao se falar de proteção de dados, vinculando-se
o tema à atual sociedade de informação, o direito à privacidade deve fazer referência a possibilidade de o
indivíduo exercer o direito à autodeterminação informativa, ou seja, de exercer o controle sobre o fluxo
das suas informações pessoais.
ATORES DA LEI
TITULAR: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.
CONTROLADOR: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões
referentes aos tratamentos de dados pessoais.
OPERADOR: pessoa natural ou jurídica, de direito público ou privado que realiza o tratamento de dados em nome
do controlador.
ENCARREGADO DE DADOS: pessoa indicada pelo controlador para atuar como canal de comunicação entre o
controlador e a ANPD.
ANPD: a Autoridade Nacional de Proteção de Dados (ANPD) é o órgão da administração pública, vinculado ao
Governo Federal, responsável por zelar, implementar e fiscalizar o cumprimento da Lei Geral de Proteção de Dados
no Brasil.
Cabe à ANPD elaborar diretrizes para a política nacional de proteção de dados, assim como fiscalizar e aplicar
sanções em caso de tratamentode dados realizados em descumprimento à legislação de proteção de dados.
CATEGORIA DOS DADOS PESSOAIS
DADOS PESSOAIS COMUNS: são todas as informações que podem identificar uma
pessoa direta ou indiretamente. Exemplo: nome, CPF, telefone, data de nascimento,
endereço, entre outros.
DADOS PESSOAIS SENSÍVEIS: são aqueles relacionados à origem racial ou étnica; à
convicção religiosa; à opinião política; à filiação a sindicato ou organização de caráter
religioso, filosófico ou político; à saúde ou à vida sexual e à genética ou biometria,
quando vinculados a uma pessoa natural.
PRINCÍPIOS DA LGPD
A LGPD estabelece os seguintes princípios a serem considerados, além da prática da boa-fé, para as atividades
de tratamento de dados pessoais:
BASES LEGAIS
A LGPD prevê dez bases legais que legitimam o tratamento dos dados, sendo necessária uma análise do caso
concreto para a definição de qual é a base legal mais apropriada.
Em resumo, bases legais são condições determinadas pela lei para que seja possível a realização do tratamento
dos dados, sendo elas as seguintes:
CUMPRIMENTO DE OBRIGAÇÃO LEGAL: Quando o tratamento é realizado com base em determinação
prevista em lei ou regulamento.
EXECUÇÃO DE CONTRATO OU DE DILIGÊNCIAS PRÉ- CONTRATUAIS: Quando o titular do dado está
envolvido em contratos, e estes só poderão ser executados se o dado for tratado.
EXERCÍCIO REGULAR DE DIREITOS: Quando processos judiciais, administrativos ou arbitrais só puderem ser
realizados em decorrência do tratamento de dados.
CONSENTIMENTO: Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento dos
seus dados pessoais para uma finalidade determinada.
PROTEÇÃO DA VIDA: Quando o tratamento dos dados é imprescindível para proteger a vida ou a incolumidade
física do titular ou de terceiros.
LEGÍTIMO INTERESSE: Quando ocorrer o tratamento dos dados pessoais para atender interesses legítimos do
controlador ou de terceiros, nesse caso, será necessário um teste chamado Legitimate Interests Assessment
(LIA).
EXECUÇÃO DE POLÍTICAS PÚBLICAS: Quando a administração pública precisa tratar e usar, de forma
compartilhada, dados necessários à execução de políticas públicas.
ESTUDOS POR ÓRGÃO DE PESQUISA: Quando uma entidade pública ou privada sem fins lucrativos reliza o
tratamento de dados para pesquisas científicas, sempre garantindo o anonimato dos dados pessoais.
TUTELA DA SAÚDE: Quando o tratamento é realizado por profissionais de saúde, serviços de saúde ou
autoridades sanitárias.
PROTEÇÃO AO CRÉDITO: é uma hipótese legal de tratamento dos dados visando a proteção do crédito, ou seja,
que tem por finalidade a redução do risco de inadimplência, por exemplo, em casos de concessão de crédito,
realizadas por Instituições financeira.
DIREITOS DOS TITULARES
Confirmação da existência de tratamento e acesso aos Dados pessoais;
Correção dos dados incompletos, inexatos e desatualizados;
Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados
em desconformidade com a legislação;
Portabilidade dos dados;
Informação a respeito do uso compartilhado de dados pessoais;
Possibilidade de revogação do consentimento;
Informações sobre a possibilidade de não fornecimento do consentimento;
Direito de oposição de processamento;
Direitos relacionados à revisão de decisão automatizada.
PENALIDADES
Os agentes de tratamento de dados ficam sujeitos às seguintes sanções administrativas aplicáveis pela
Autoridade Nacional de Proteção de Dados:
Advertência, com indicação de prazo para adoção de medidas corretivas.
Multa simples, de até 2% do faturamento da pessoa jurídica de direito privado, grupo
ou conglomerado no seu último exercício no Brasil, excluídos os tributos e limitada a R$
50 milhões por infração.
Multa diária, observado o limite do parágrafo anterior.
Publicização da infração após devidamente apurada e confirmada a sua ocorrência.
Bloqueio dos dados a que se refere a infração até a sua regularização.
Eliminação dos dados pessoais a que se refere a infração.
Suspensão parcial do banco de dados a que se refere a infração por até 6 (seis)
meses, prorrogável por igual período, até a sua regularização pelo controlador.
Suspensão do exercício da atividade de tratamento dos dados pessoais a que se
refere a infração por até 6 (seis) meses, prorrogável por igual período.
Proibição parcial ou total do exercício de atividades relacionadas ao tratamento de
dados.
SIGILO E SEGURANÇA
O direito ao sigilo, à privacidade, à autonomia e à dignidade são garantias constitucionais, a Lei
Geral de Proteção de Dados (LGPD) vem para reforçar e regulamentar a proteção desses direitos.
O sigilo aplicado ao trabalho na área da saúde demanda um cuidado muito maior, já que o processo
clínico envolve o tratamento de dados sensíveis do paciente, cuja violação tem grande
probabilidade de resultar em lesão aos direitos da personalidade e à dignidade.
Considerando que há dados de saúde do paciente, o prontuário é considerado dado pessoal
sensível para fins da LGPD, cabendo ao médico e à instituição hospitalar zelar pela sua proteção
e privacidade, independentemente do seu formato, seja físico ou digital.
Ademais, o próprio Código de Ética proíbe que médicos permitam o manuseio e o conhecimento de
prontuários e informações do paciente por pessoas não obrigadas ao sigilo profissional.
RESPONSABILIDADE
Toda pessoa física se submete à regra geral da responsabilidade civil prevista no art. 927 do Código
Civil, segundo o qual "Aquele que, por ato ilícito (arts. 186 e 187), causar dano a outrem, fica
obrigado a repará-lo ".
A responsabilização específica para os agentes de tratamento, prevista nos arts 42 a 44 da LGPD,
não exclui a responsabilização geral do art. 927 do Código Civil e a responsabilização específica
de leis especiais, que podem e devem ser harmonizadas com os novos valores que a própria LGPD
consagra.
Dessa forma, a responsabilidade por danos causados ao titular de dados, por quem tenha dado
causa ao incidente, se dará, independentemente da responsabilidade da Instituição Controladora.
BOAS PRÁTICAS
SENHAS - Nunca deixe anotada em locais que outros possam ver.
Jamais compartilhe senhas, nem mesmo com pessoas da sua equipe.
Se perceber uso indevido da senha ou sistemas, comunique à Instituição imediatamente.
Não crie senhas fáceis como datas de nascimento, nomes, etc.
E-MAIL PROFISSIONAL - O e-mail deve ser usado para fins profissionais.
Não abra programas, fotos ou links que dizem oferecer prêmios.
Cuidado com os e-mails falsos de bancos, órgãos públicos, lojas e cartões de crédito.
E-mails de fonte duvidosa ou desconhecida não devem ser abertos, principalmente se os arquivos terminarem
em extensões ’PIF’, ‘SCR’, ‘BAT’, ’VBS’, ’CPL’, ’COM’ e principalmente ‘EXE’.
INSTALAÇÃO DE PROGRAMAS - Qualquer necessidade de instalação de novos programas ("softwares") deverá
ser discutida com o gestor responsável para que sejam seguidas as orientações do setor de TI.
SIGILO - Cuidado com anotações ou informações acessadas.
Os documentos que contenham dados pessoais devem ser guardados em local seguro.
Não compartilhe informações sobre a vida particular ou sobre dados que tenha tido acesso.
Não tire fotos ou compartilhe informações dos pacientes.
VOCÊ É RESPONSÁVEL POR MANTER EM SIGILO OS DADOS QUE ACESSA.