LGPD: visão geral da Lei 13.709/18 para concursos

A Lei 13.709/18, a Lei Geral de Proteção de Dados Pessoais (LGPD), regula o tratamento de dados pessoais por pessoas naturais e jurídicas, de direito público ou privado, inclusive nos meios digitais. Seu objetivo é proteger direitos fundamentais de liberdade e privacidade e o livre desenvolvimento da personalidade da pessoa natural. Em provas, o foco está nos conceitos, princípios, bases legais e direitos do titular.

Conceitos fundamentais

• Dado pessoal: informação relacionada a pessoa natural identificada ou identificável. Exemplos: nome, CPF, endereço, e-mail pessoal, número de telefone.
• Dado pessoal sensível: dado sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. Recebe proteção reforçada.
• Dado anonimizado: dado relativo a titular que não pode ser identificado, considerados os meios técnicos razoáveis disponíveis na ocasião do tratamento. Em regra, não é considerado dado pessoal.
• Titular: pessoa natural a quem se referem os dados.
• Tratamento: toda operação com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, armazenamento, eliminação, compartilhamento.
• Anonimização: uso de meios técnicos para que o dado perca a possibilidade de associação a um indivíduo.

A lei protege dados de pessoas naturais. Dados de pessoas jurídicas, como o nome empresarial e o cadastro de uma empresa, em princípio, não se enquadram como dado pessoal.

Agentes de tratamento e outros atores

Figura	Papel
Controlador	Quem toma as decisões sobre o tratamento dos dados
Operador	Quem realiza o tratamento em nome do controlador
Encarregado (DPO)	Canal de comunicação entre controlador, titulares e a autoridade nacional
ANPD	Autoridade Nacional de Proteção de Dados, órgão que fiscaliza e orienta

O encarregado não é agente de tratamento: ele atua como ponto de contato. O controlador e o operador são os chamados agentes de tratamento.

Princípios

O tratamento deve observar a boa-fé e os seguintes princípios:

1. Finalidade: propósitos legítimos, específicos, explícitos e informados ao titular.
2. Adequação: compatibilidade do tratamento com as finalidades informadas.
3. Necessidade: limitação ao mínimo necessário.
4. Livre acesso: consulta facilitada e gratuita sobre o tratamento.
5. Qualidade dos dados: exatidão, clareza e atualização.
6. Transparência: informações claras sobre o tratamento e os agentes.
7. Segurança: medidas técnicas e administrativas para proteger os dados.
8. Prevenção: adoção de medidas para evitar danos.
9. Não discriminação: impossibilidade de tratar dados para fins discriminatórios ilícitos ou abusivos.
10. Responsabilização e prestação de contas: demonstração das medidas adotadas.

Uma dica: a banca costuma descrever uma situação (por exemplo, coletar mais dados do que o necessário) e pedir o princípio violado (neste caso, necessidade).

Bases legais para o tratamento

O tratamento só pode ocorrer se houver uma base legal. Entre as hipóteses previstas estão:

• consentimento do titular;
• cumprimento de obrigação legal ou regulatória pelo controlador;
• tratamento e uso compartilhado de dados necessários à execução de políticas públicas, pela administração pública;
• realização de estudos por órgão de pesquisa, com anonimização sempre que possível;
• execução de contrato ou de procedimentos preliminares a ele;
• exercício regular de direitos em processo judicial, administrativo ou arbitral;
• proteção da vida ou da incolumidade física do titular ou de terceiro;
• tutela da saúde, em procedimento realizado por profissionais de saúde ou autoridade sanitária;
• legítimo interesse do controlador ou de terceiro, respeitados os direitos do titular;
• proteção do crédito.

O consentimento não é a única base: é apenas uma delas. Quando válido, deve ser livre, informado e inequívoco, para finalidades determinadas, e pode ser revogado a qualquer momento. Para dados sensíveis, as hipóteses são mais restritas, e o consentimento, quando usado, deve ser específico e destacado.

Direitos do titular

O titular pode solicitar ao controlador, entre outros pontos:

1. confirmação da existência de tratamento;
2. acesso aos dados;
3. correção de dados incompletos, inexatos ou desatualizados;
4. anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a lei;
5. portabilidade dos dados a outro fornecedor, nos termos da regulamentação;
6. eliminação dos dados tratados com o consentimento;
7. informação sobre as entidades com as quais houve compartilhamento;
8. informação sobre a possibilidade de não fornecer consentimento e suas consequências;
9. revogação do consentimento.

Poder público

A lei também se aplica ao poder público, que pode tratar dados para executar suas competências legais e políticas públicas, devendo informar as hipóteses de tratamento e a finalidade, em veículos de fácil acesso. A LGPD convive com a Lei 12.527/11 (Lei de Acesso à Informação): transparência e proteção de dados pessoais são valores que precisam ser equilibrados no caso concreto.

Segurança e incidentes

Controlador e operador devem adotar medidas de segurança para proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração ou vazamento. Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o controlador deve comunicá-lo à ANPD e ao titular, nos termos da regulamentação.

Sanções

A ANPD pode aplicar sanções administrativas, como advertência, multa, publicização da infração, bloqueio ou eliminação dos dados e suspensão de atividades. Os valores e prazos devem ser conferidos na legislação vigente, e não decorados a partir de fontes não oficiais.

Exemplo resolvido

Situação: uma loja pede CPF, endereço e religião para cadastrar um cliente que só quer receber promoções por e-mail.

Análise: a coleta de dados além do necessário viola o princípio da necessidade. A religião é dado sensível, e o tratamento exigiria hipótese específica, o que não se justifica para essa finalidade. Também há problema de adequação em relação à finalidade informada.

Erros comuns

• Achar que o consentimento é sempre obrigatório.
• Dizer que a LGPD protege dados de pessoas jurídicas.
• Confundir controlador (decide) com operador (executa).
• Classificar o encarregado como agente de tratamento.
• Considerar o dado anonimizado sempre como dado pessoal.
• Esquecer que a lei vale também para o poder público.

Próximos passos

• Relacione com proteção técnica em segurança da informação: ameaças, malware e golpes digitais.
• Veja a custódia de dados em computação em nuvem: IaaS, PaaS, SaaS e modelos de implantação.
• Leia a política editorial.