Lei de Proteção de Dados Pessoais avança para sanção presidencial
Foi aprovada pelo Senado Federal na terça feira, 10 de julho de 2018, a Lei Geral de Proteção de Dados Pessoais. Elaborada para ser um marco legal no que diz respeito à proteção, uso e tratamento de dados pessoais e informações, a Lei era uma reinvindicação de várias entidades da sociedade civil – sessenta e sete delas assinaram um manifesto na semana anterior à aprovação, solicitando urgência.
O Projeto de Lei, que é de autoria da Câmara dos Deputados (n.º 53/2018), foi aprovado por votação simbólica no Senado Federal, sem modificações, e agora segue para sanção presidencial. O Brasil passará então a fazer parte do rol de países que contam com disciplina legal para a proteção de dados pessoais – entre eles, os países da União Europeia, nos quais a chamada “GDPR” (Lei Europeia de Proteção de Dados Pessoais) entrou em vigor recentemente.
Entenda os principais pontos da Lei brasileira e veja como ela deverá influenciar a forma como sua empresa lida com dados de clientes e parceiros:
Terminologia
A Lei Geral de Proteção de Dados Pessoais, ao disciplinar a forma como as pessoas físicas e jurídicas devem lidar com tais dados, usa a terminologia “tratamento de dados”. Tratamento de dados é qualquer operação na qual são usados dados pessoais, coletados por qualquer via, e que envolvam atividades de reprodução, transmissão, distribuição, modificação, processamento e arquivamento de dados, entre outras atividades.
Entende-se por dados pessoais qualquer informação relacionada à pessoa natural identificada ou identificável, como por exemplo: nome, apelido, endereço de residência, e-mail, número de cartão de identificação, dados de localização (pelo celular), endereço IP, testemunhos de conexão (cookies), dentre outros.
Situações aplicáveis e entidades obrigadas
Sem dúvidas, o uso de dados pessoais por empresas no comércio virtual e nas redes sociais foi um dos principais motivos impulsionadores da elaboração e aprovação da Lei Geral de Proteção de Dados Pessoais.
Entretanto, a Lei não se restringe a pessoas jurídicas e nem somente à coleta de dados na Internet.
A Lei se aplica “a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados” (art. 3º do projeto aprovado).
Isto quer dizer que estão obrigados a seguir a Lei:
- Pessoas físicas;
- Empresas;
- Entidades estatais;
- Todos que usem dados pessoais de terceiros, na Internet ou em qualquer outro meio.
Desta forma, empresas que coletam dados pessoais de clientes e parceiros – sejam os dados fornecidos por meio verbal, escrito ou com cópia de documento; por meio físico ou virtual – devem estar atentas às exigências desta Lei.
A Lei será aplicável a quaisquer pessoas, mesmo que estejam localizadas no exterior, se a operação de tratamento de dados for realizada no território nacional, se referir-se a pessoas aqui localizadas, se a atividade de tratamento tiver por objetivo ofertar ou fornecer produtos ou serviços a pessoas localizadas em território nacional ou, ainda, se os dados forem coletados no território nacional.
Consentimento e acesso
O ponto central da Lei Geral de Proteção de Dados Pessoais é a exigência de que o tratamento de dados deverá ser precedido de consentimento dos seus titulares.
Os titulares dos dados podem, a qualquer momento, requerer confirmações, acesso, correções ou eliminações de dados.
Tratamento restrito
O tratamento de dados deverá atender a princípios como: boa fé, finalidade, adequação, necessidade, transparência, qualidade dos dados e segurança, entre outros.
Isto significa dizer, entre outras coisas, que empresas não podem coletar e usar dados em qualquer hipótese ou para qualquer finalidade.
No que diz respeito ao princípio da finalidade, destacamos o art. 7º do projeto, o qual dispõe que o tratamento de dados só pode ocorrer em casos específicos, entre eles:
- para o cumprimento de obrigação legal ou regulatória pelo responsável;
- quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual é parte o titular, a pedido do titular dos dados;
- no caso da Administração Pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em lei;
- para o exercício regular de direitos em processo judicial, administrativo ou arbitral;
- entre outros casos.
Casos em que a lei não se aplica
A Lei Geral de Proteção de Dados Pessoais não se estende a operações realizadas fora do território nacional brasileiro, operações sem propósito de fornecimento de bens ou serviços, tampouco em casos de dados usados para fins exclusivamente jornalísticos, artísticos ou acadêmicos; entre outras hipóteses.
O que observar
Como dito, a Lei Geral de Proteção de Dados Pessoais ainda não está em vigor, pois está pendente de sanção pelo Presidente da República e depois de publicada terá um prazo de 18 meses para começar a vigorar
Após isso, a observância da Lei passa a ser obrigatória em todo o território nacional, e as pessoas e entidades que infringirem suas disposições ficam sujeitos à aplicação de:
- advertência;
- multa;
- bloqueio ou eliminação de dados;
- suspensão ou proibição parcial do exercício de atividade de tratamento de dados pessoais;
- entre outras sanções.
Sua empresa já pode começar a se preparar.
É recomendável que a empresa treine sua equipe para requerer expressamente aos clientes a permissão para coletar dados, e informar de que maneira eles serão usados.
Nos casos em que a empresa aja em parceria com outras empresas (parceiros, fornecedores de software etc), não havendo a possibilidade de fornecer por conta própria os dados e/ou realizar as providências requeridas pelos titulares, a empresa deve comunicar expressamente que não é agente de tratamento dos dados e indicar, sempre que possível, o agente; indicando ainda as razões de fato ou de direito que impedem a adoção imediata da providência.
Especiais cuidados são também recomendados em casos de dados de menores de idade, os quais devem ser coletados e usados com o consentimento específico de ao menos um dos pais ou responsável legal.
Estamos à disposição para oferecer suporte jurídico à sua empresa na adaptação dos seus procedimentos à nova Lei.
Continue acompanhando nossas publicações em nosso site e redes sociais.
Dra. Anne Joyce Angher, OAB/SP n° 155.945, é Especialista em Direito Processual Civil, Especialista em Direito Tributário e Direito Processual Tributário, Pós-graduada em Contratos Internacionais e Compliance. Atua nas áreas de Direito Civil, Intelectual, Empresarial, Societário e Direito do Comércio Internacional.
OBS.: Esse texto é de caráter meramente informativo e não vale como consulta jurídica. Entre em contato conosco para maiores esclarecimentos e para que possamos encontrar a melhor maneira de assessorar sua empresa.
