Perguntas e Respostas Frequentes sobre LGPD

Trata-se da Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709, de 14 de agosto de 2018, que regulamenta o tratamento de dados de pessoas naturais (coleta, utilização, acesso, armazenamento etc.), realizado no fornecimento de bens ou serviços, de modo a proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade.

A LGPD protege os dados de pessoas naturais (não alcança dados de pessoas jurídicas), como sobrenome, número de telefone, endereço, remuneração, data de nascimento, sendo que estabelece requisitos mais restritos para o tratamento de dados pessoais sensíveis, como origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato, biometria, dados relacionados à saúde ou à vida sexual, e de dados pessoais de crianças e adolescentes.

Não. A LGPD não será aplicada quando o tratamento de dados pessoais for realizado:

1. por pessoa natural para fins particulares e não econômicos;
2. exclusivamente para fins jornalísticos, artísticos ou acadêmicos;
3. para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais, na forma de legislação específica;
4. com dados vindos de fora do território nacional e não houver comunicação ou compartilhamento com agente brasileiro ou o país de proveniência dos dados proporcionar grau de proteção compatível com a LGPD.

O tratamento de dados pessoais pelo Poder Público deve ser realizado com o objetivo de executar competência ou atribuição legal do órgão ou entidade, estar em conformidade com o interesse público e ter finalidade legítima (lícita e amparada em uma base legal), específica (possível delimitar o escopo do tratamento), explícita (expressa de forma clara e precisa) e informada (fácil acesso e compreensão pelo titular).

Obter o consentimento do titular é uma das hipóteses autorizadas pela LGPD para o tratamento de dados pessoais, desde que mediante declaração livre, por escrito e para finalidade específica, vedadas autorizações genéricas ou com cláusulas subentendidas.

Porém, o consentimento pode ser revogado a qualquer momento pelo titular, de modo que não costuma ser a base legal mais apropriada para o tratamento de dados pessoais pelo Poder Público.

O uso compartilhado de dados pessoais entre entidades do Poder Público deve:

• ser formalizado entre as partes;
• ter como finalidade a execução de política pública ou atribuição legal específica;
• ser limitada aos dados estritamente necessários;
• prever período de duração do compartilhamento;
• assegurar a disponibilização de informações claras, precisas e facilmente acessíveis aos titulares sobre o compartilhamento e sobre como exercer seus direitos;
• adotar medidas de segurança, técnicas e administrativas, para proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas.

Somente será admitido o uso compartilhado de dados pessoais com entidades privadas, se amparada em uma das seguintes hipóteses:

• para execução descentralizada da atividade pública que exija a transferência exclusivamente para fim específico e determinado
• nos casos de dados acessíveis publicamente;
• quando houver previsão legal ou respaldo em contrato ou instrumento congênere; ou
• com o objetivo exclusivo de prevenir fraudes, irregularidades ou resguardar a segurança e a integridade do titular.

Anonimizar significa fazer com que o dado não possa ser associado a nenhuma pessoa, através da supressão, do encobrimento ou da substituição de atributos ou caracteres, por exemplo, e serve para reduzir os riscos de exposição do titular, por vazamento ou acesso indevido dos dados tratados.

De acordo com o Art. 6º da LGPD, as atividades de tratamento de dados pessoais devem observar a boa-fé e os seguintes princípios:

Os agentes de tratamento são o controlador (pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais) e o operador (pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador e de acordo com suas instruções).

De acordo com a Seção III do Capítulo VI, da LGPD, o agente de tratamento (controlador ou operador) que, em razão do exercício de atividade de tratamento de dados pessoais, causar dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

Os agentes de tratamento (controlador e operador) devem adotar as medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Em caso de infração às normas da LGPD, os agentes de tratamento ficam sujeitos à aplicação de Sanções Administrativas pela ANPD, previstas no Art. 52 da Lei.:

Art. 52. Os agentes de tratamento de dados, em razão das infrações cometidas às normas previstas nesta Lei, ficam sujeitos às seguintes sanções administrativas aplicáveis pela autoridade nacional:

I -         advertência, com indicação de prazo para adoção de medidas corretivas;

II -       multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração;

III -     multa diária, observado o limite total a que se refere o inciso II;

IV -     publicização da infração após devidamente apurada e confirmada a sua ocorrência;

V -      bloqueio dos dados pessoais a que se refere a infração até a sua regularização;

VI -     eliminação dos dados pessoais a que se refere a infração;

VII -   (VETADO);

VIII - (VETADO);

IX -     (VETADO);

X -       suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período, até a regularização da atividade de tratamento pelo controlador;  (Incluído pela Lei nº 13.853, de 2019)  

XI -     suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período;  (Incluído pela Lei nº 13.853, de 2019) 

XII -   proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

O Encarregado é a pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados - ANPD.

No Ministério da Integração e do Desenvolvimento Regional – MIDR, as atividades de Encarregado foram atribuídas à Ouvidoria, pelo Art. 9º, V do Decreto nº 11.830/ 2023

O Relatório de Impacto à Proteção de Dados Pessoais – RIPD é o documento a ser mantido pelo controlador, com o registro dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais e das medidas, salvaguardas e mecanismos de mitigação de risco adotados.

A Autoridade Nacional de Proteção de Dados Pessoais – ANPD é uma autarquia de natureza especial, vinculada ao Ministério da Justiça e Segurança Pública, responsável por zelar pela proteção dos dados pessoais e por orientar, regulamentar e fiscalizar o cumprimento da LGPD.