LGPD

A Lei Geral de Proteção de Dados Pessoais (LGPD), Lei nº 13.709/2018, é um marco legal importante no Brasil, tendo sido atualizada pelas Leis nº 13.853/2019 e 14.460/2022. Seu objetivo central é proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. A lei visa a proteção de dados pessoais de pessoas físicas sempre que houver tratamento de dados (TDP).

Fundamentos e Campo de Aplicação

Fundamentos da LGPD

Os fundamentos são os pilares sobre os quais a lei se sustenta, sendo em sua maioria de natureza constitucional. A disciplina da proteção de dados pessoais tem como fundamentos:

• O respeito à privacidade, à intimidade, à honra e à imagem.
• A autodeterminação informativa, que garante ao titular o direito de controlar suas informações pessoais e decidir como serão utilizadas.
• A liberdade de expressão, de informação, de comunicação e de opinião.
• A livre iniciativa, a livre concorrência e a defesa do consumidor.
• O desenvolvimento econômico e tecnológico e a inovação.
• A livre circulação de bens.
• Os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais.

Campo de Aplicação (Aplicabilidade)

A abrangência da lei é nacional. A LGPD aplica-se a qualquer operação de tratamento de dados realizada por pessoa natural ou pessoa jurídica de direito público ou privado, independentemente do meio (digital ou físico), da sede do agente ou do país onde os dados estão localizados.

A lei se aplica desde que:

1. A operação de tratamento seja realizada no território nacional.
2. A atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional.
3. Os dados pessoais objeto do tratamento tenham sido coletados no território nacional.

Não Aplicabilidade (Exceções)

A LGPD não se aplica quando o tratamento for realizado:

• Por pessoa física para fins exclusivamente pessoais e sem finalidade econômica.
• Para fins exclusivamente jornalísticos, artísticos ou acadêmicos.
• Para fins de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais.
• Dados provenientes do exterior que não sejam objeto de uso compartilhado com agentes de tratamento brasileiros, desde que o país de proveniência proporcione grau de proteção adequado.

Princípios

As atividades de tratamento de dados pessoais devem observar a boa-fé e dez princípios:

1. Finalidade: Realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular.
2. Adequação: Compatibilidade do tratamento com as finalidades informadas.
3. Necessidade: Limitação do tratamento ao mínimo necessário para atingir suas finalidades.
4. Livre Acesso: Garantia de consulta facilitada e gratuita sobre a forma e a duração do tratamento e sobre a integralidade dos dados.
5. Qualidade dos Dados: Garantia de exatidão, clareza, relevância e atualização dos dados.
6. Transparência: Garantia de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes.
7. Segurança: Utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas.
8. Prevenção: Adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento.
9. Não Discriminação: Impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos.
10. Responsabilização e Prestação de Contas: Demonstração, pelo agente, da adoção de medidas eficazes para comprovar a observância e o cumprimento das normas.

Direitos do Titular

O titular dos dados pessoais (pessoa natural a quem os dados se referem) possui diversos direitos garantidos pela LGPD, a serem exercidos a qualquer momento e mediante requisição ao controlador:

• Confirmação da existência de tratamento.
• Acesso aos dados.
• Correção de dados incompletos, inexatos ou desatualizados.
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei.
• Portabilidade dos dados a outro fornecedor de serviço ou produto, observados os segredos comercial e industrial.
• Eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses de conservação previstas na lei.
• Informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados.
• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa.
• Revogação do consentimento.
• Petição em relação aos seus dados contra o controlador perante a Autoridade Nacional.
• Revisão de decisões tomadas unicamente com base em tratamento automatizado de dados.

O titular tem direito a obter acesso facilitado às informações sobre o tratamento de seus dados, que devem ser disponibilizadas de forma clara, adequada e ostensiva.

Responsabilidades dos Agentes

Os agentes de tratamento são o Controlador e o Operador.

Agente	Definição (Pessoa Natural ou Jurídica)	Responsabilidade Principal
Controlador	A quem competem as decisões referentes ao tratamento de dados pessoais.	Deve elaborar o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) se a ANPD solicitar ou quando exigido por lei, detalhando os riscos e medidas de mitigação. Possui o ônus da prova de que o consentimento foi obtido em conformidade com a LGPD.
Operador	Quem realiza o tratamento de dados pessoais em nome do controlador, seguindo suas instruções.	Deve tratar os dados pessoais de acordo com as instruções do controlador.
Encarregado (DPO)	Pessoa indicada pelo Controlador e Operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD.	Responsável por receber reclamações dos titulares, receber comunicações da ANPD e orientar funcionários.

Responsabilidade e Danos

Controlador e Operador respondem solidariamente pelos danos patrimoniais, morais, individuais ou coletivos causados por violação da LGPD. O operador, contudo, só responde solidariamente quando descumprir a legislação ou não tiver seguido as instruções lícitas do controlador.

Aquele que reparar o dano ao titular tem direito de regresso contra os demais responsáveis, na medida de sua participação no evento danoso. Os agentes não serão responsabilizados se provarem que não realizaram o tratamento, que não houve violação da lei, ou que o dano decorreu de culpa exclusiva do titular ou de terceiro.

Aspectos Internacionais (Transferência Internacional de Dados)

A transferência de dados pessoais para países estrangeiros ou organismos internacionais só é permitida em casos específicos:

• Para países ou organismos que proporcionem grau de proteção de dados adequado ao previsto na LGPD. A ANPD avaliará esse nível de proteção.
• Quando o controlador oferecer e comprovar garantias de cumprimento da LGPD (como cláusulas contratuais específicas, normas corporativas globais ou selos de conduta).
• Com consentimento específico e em destaque do titular, com informação prévia sobre o caráter internacional da operação.
• Quando a transferência for necessária para a cooperação jurídica internacional entre órgãos públicos de investigação.
• Para atender a hipóteses previstas no Art. 7º, como cumprimento de obrigação legal, execução de contrato ou exercício regular de direitos.
• Quando a ANPD autorizar.

Segurança

Os agentes de tratamento devem adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais, respeitando os princípios de segurança e prevenção desde a fase de concepção do produto ou serviço.

Incidentes de Segurança

O controlador deve comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Este comunicado deve ser feito em prazo razoável (3 dias úteis, conforme regulamentação da ANPD) e deve conter detalhes sobre a natureza dos dados, as medidas de segurança adotadas e os riscos envolvidos. A ANPD pode exigir medidas adicionais, como a divulgação do incidente.

Boas Práticas e Governança

Controladores e operadores podem formular regras de boas práticas e governança sobre o tratamento de dados (incluindo ações educativas e mecanismos internos de supervisão). É encorajada a implementação de um Programa de Governança em Privacidade.

Autoridade Nacional de Proteção de Dados (ANPD)

A Autoridade Nacional de Proteção de Dados (ANPD) é o órgão máximo da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional.

Características e Estrutura

A ANPD é uma autarquia de natureza especial, dotada de autonomia técnica e decisória, com patrimônio próprio e sede no Distrito Federal. Sua estrutura é composta pelo Conselho Diretor (órgão máximo de direção), o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade (CNPDP), Corregedoria, Ouvidoria, Procuradoria e unidades administrativas.

Fiscalização e Sanções

A aplicação de sanções é competência exclusiva da ANPD. As sanções administrativas aplicáveis aos agentes de tratamento incluem:

• Advertência, com prazo para adoção de medidas corretivas.
• Multa Simples, de até 2% do faturamento da pessoa jurídica de direito privado (grupo ou conglomerado no Brasil no último exercício), limitada a R$ 50.000.000,00 (cinquenta milhões de reais) por infração.
• Multa Diária.
• Publicização da infração.
• Bloqueio dos dados pessoais até a regularização.
• Eliminação dos dados pessoais.
• Suspensão parcial ou total do funcionamento do banco de dados ou do exercício da atividade de tratamento dos dados pessoais.

As multas financeiras são aplicáveis apenas às pessoas jurídicas de direito privado.

Conselho Nacional de Proteção de Dados Pessoais e da Privacidade (CNPDP)

O CNPDP é um órgão importante que compõe a ANPD. Ele é composto por 23 representantes de diversos setores. Suas competências incluem propor diretrizes estratégicas para a Política Nacional de Proteção de Dados, elaborar relatórios anuais de avaliação da execução dessa política, sugerir ações à ANPD e disseminar o conhecimento sobre proteção de dados à população.

👉 Quer mais resumos como este? Acompanhe nosso blog e prepare-se para o seu concurso!