Bases Legais

O tratamento de dados pessoais é realizado com a observância da base legal aplicável a cada processo de negócio e etapa do ciclo de vida dos dados.

Nesse sentido, o tratamento de dados pessoais no âmbito do INPI se ampara nas hipóteses elencadas abaixo, previstas nos arts. 7º e 11 da LGPD, interpretadas em conjunto e de forma sistemática com os critérios adicionais previstos no art. 23 do mesmo diploma legal:

É importante ressaltar que as unidades do INPI que realizam o tratamento de dados pessoais são orientadas quanto ao rigoroso atendimento da base principiológica da privacidade, representada pelo trinômio finalidade-adequação-necessidade.

Com efeito, o tratamento dos dados pessoais deve ser realizado para “propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades”, nos termos do art. 6º, inciso I, da LGPD. Adicionalmente, o tratamento deve atender a uma “finalidade pública”, conforme previsto no art. 23 da LGPD.

Portanto, o tratamento de dados pessoais deve estar associado a uma finalidade pública, que seja:

I – Legítima
Deve ser lícita e compatível com o ordenamento jurídico, além de amparada em uma base legal, que autorize o tratamento;

II – Específica
A partir da finalidade, deve ser possível delimitar o escopo do tratamento e estabelecer as garantias necessárias para a proteção dos dados pessoais;

III – Explícita
Deve ser expressa de maneira clara e precisa; e

IV – Informada
Deve ser disponibilizada em linguagem simples e de fácil compreensão e acesso ao titular dos dados.

Além disso, o princípio da finalidade estabelece uma limitação ao tratamento posterior dos dados pessoais. Assim, eventual uso secundário dos dados pessoais somente pode ser realizado para uma finalidade que seja compatível com a finalidade original do tratamento dos dados pessoais.

Em sentido similar, o princípio da adequação, previsto no art. 6º, inciso II, da LGPD, impõe a observância da compatibilidade entre o tratamento dos dados pessoais e as finalidades que são informadas ao titular, observado o contexto em que é realizado. Dessa forma, o tratamento do dado deve ser compatível com o propósito informado ao titular.

O princípio da necessidade estabelece, por sua vez, que o tratamento deve ser limitado ao “mínimo necessário para a realização de suas finalidades”, abrangendo apenas os “dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados”, em conformidade com o art. 6º, inciso III, da LGPD. Esse princípio impõe, portanto, que a coleta se atenha à menor quantidade possível de dados para o alcance da finalidade proposta. Da mesma forma, esse princípio desaconselha o próprio tratamento de dados pessoais quando a finalidade que se almeja pode ser atingida por outros meios menos gravosos ao titular de dados.

No que tange a esse princípio, recomenda-se às unidades de tratamento de dados no âmbito do INPI que verifiquem se as informações usualmente coletadas são efetivamente necessárias para as finalidades a que se destinam, não se admitindo a prática de coleta indistinta de dados pessoais.

Mesmo após a coleta de dados pessoais, o princípio da necessidade ainda é importante no sentido de avaliar a necessidade de outros tratamentos, como o armazenamento e processamento, devendo haver absoluta cautela em eventuais tratamentos discriminatórios injustificados que possam ocorrer em decorrência do tratamento de dados pessoais desnecessários.