LGPD - FAQ - Dúvidas frequentes

O que é a LGPD? 

Lei Geral de Proteção de Dados (Lei 13.709/2018) dispõe sobre o tratamento de dados pessoais, incluindo os meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, objetivando proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. 

A LGPD já está em vigor? 

Sim. 

O que são dados pessoais? 

Toda e qualquer informação relacionada a pessoa natural identificada ou identificável. 

O que é o tratamento de dados pessoais? 

Todas as operações realizadas com dados pessoais, como por exemplo as que se referem à coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração. 

Quem é o “titular”? 

A pessoa natural a quem se referem os dados pessoais que são objetos de coleta e tratamento. 

O que são “dados pessoais sensíveis”? 

Qualquer dado pessoal, conforme descrito na lei, sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. 

O que compreende o tratamento destes dados? 

É um conceito abrangente o tratamento de dados, que inclui qualquer tipo de manipulação realizada com informações pessoais. Processos comuns a diversos tipos de empresas incluem, geralmente, a coleta, a reprodução, o acesso, o armazenamento e a distribuição de dados pessoais.  

Em quais casos de tratamento de dados pessoais a lei é aplicada? 

A lei se aplica a tudo que envolve a coleta e o tratamento de dados pessoais, que seja realizada em território brasileiro. 

Esta Lei aplica-se apenas ao tratamento de dados pessoais coletados na Internet? 

A Lei Geral de Proteção de Dados é aplicável a toda operação de tratamento de dados pessoais que tenham sido coletados dentro do território brasileiro ou que tenha como objetivo oferecer bens ou serviços a pessoas localizadas no Brasil, independentemente destes dados pessoais terem sido coletados offline ou online, em meios físicos ou digitais. 

Mas o que são dados pessoais coletados offline ou online? 

No caso dos dados Offline, São dados obtidos sem a utilização de ferramentas informatizadas, como por exemplo, a lista de presença em eventos. 

Os dados pessoais coletados online são os que utilizam ferramentas informatizadas e/ou automatizados para serem obtidos, tais como os cadastros de candidatos para vagas de emprego. 

Quais são os principais atores no tratamento de dados pessoais de acordo com a LGPD? 

O controlador, o operador e o encarregado. 

O controlador é pessoa natural ou jurídica de direito público ou privado, a quem compete as decisões referentes ao tratamento de dados pessoais. 

O operador é pessoa natural ou jurídica de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador. 

O encarregado é a pessoa indicada pelo controlador e/ou operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. 

Quais são os casos de tratamento de dados pessoais em que a LGPD não será aplicada? 

Quando for feito por uma pessoa física, para fins particulares, e não comerciais, por exemplo, coleta de dados pessoais dos integrantes da família para a montagem de uma árvore genealógica; para fins exclusivamente jornalísticos, artísticos e acadêmicos; ou pelo Poder Público - no caso de segurança pública, defesa nacional, segurança do Estado e atividades de investigação e repressão de infrações penais. 

O que é um dado anônimo ou anonimizado? 

É qualquer dado pessoal que, submetido a meios técnicos razoáveis, passe a não mais identificar ou a proporcionar a identificação de uma pessoa natural, direta ou indiretamente, de maneira definitiva e irreversível.  

O tratamento de dados pessoais (sensíveis) pode ser realizado em quais condições? 

Somente poderá ocorrer com consentimento do titular ou seu responsável legal, de forma destacada e para finalidades específicas. 

Sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para: 

• Cumprimento de obrigação legal ou regulatória pelo controlador; 

• Pela administração pública, de políticas públicas previstas em leis ou regulamentos; 

• Estudos por órgão de pesquisa; 

• Exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral; 

• Proteção da vida; 

• Tutela da saúde; 

• Garantia da prevenção à fraude e à segurança do titular. 

Quais são os princípios da LGPD? 

São princípios que devem ser respeitados no tratamento de dados pessoais: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas. 

Quais são as Bases Legais para tratamento de dados pessoais? 

O tratamento de dados pessoais somente poderá ser realizado: 

Com consentimento do titular; 

Para cumprimento de obrigação legal ou regulatória; 

Pela Administração Pública; 

Para realização de estudos por órgãos de pesquisa; 

Para execução de contratos, a pedido do titular; 

Em processos judiciais, administrativos ou arbitrais; 

Para proteção da vida; 

Para tutela da saúde; 

Em legítimo interesse do Controlador; 

Para proteção do crédito. 

O que é “consentimento”? 

É a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. O consentimento e sua finalidade devem estar claros e destacados.  

E quando a finalidade muda? O que a empresa deve fazer? 

Caso a empresa precise tratar um dado pessoal já coletado com o consentimento do titular para outra finalidade, é necessário informá-lo sobre este novo intuito. Cumpre ressaltar que, além de informar é preciso atualizar o consentimento do titular. 

O termo de consentimento deve ser escrito ou digital? 

Conforme disposto no Art. 8, pode ser adquirido por escrito ou por outro meio que demonstre a manifestação de vontade do titular. 

O titular dos dados pode revogar seu consentimento? 

Sim, a Lei estabelece que o titular dos dados poderá, a qualquer momento, revogar seu consentimento. 

Há alguma diferença entre o consentimento para o tratamento de dados pessoais e para tratamento dados pessoais sensíveis? 

Não. O consentimento para dados sensíveis deve sempre explicitar a finalidade de seu uso, de forma destacada. Se houver alteração na finalidade, é preciso renovar o consentimento de forma expressa. 

Em casos de irregularidade no tratamento de dados, quem será responsabilizado? 

Nesse caso os controladores serão responsabilizados. Caso o operador não tenha cumprido ordens passadas pelo controlador ou falhe na segurança dos dados, este também pode ser penalizado. 

Quais são as penalidades que podem ser aplicadas nos casos de irregularidades? 

A penalidade irá depender da avaliação da autoridade responsável (ANPD) mas pode ser uma advertência, a determinação da publicação e divulgação da infração cometida, o bloqueio ou eliminação dos dados que sofreram violações e também multas simples e/ou diárias. 

Ações que infrinjam a lei podem acarretar em multas? 

As multas são de até 2% do faturamento da empresa, limitados a R$ 50.000.000,00 (cinquenta milhões de reais) por infração, além da possibilidade de suspenção das atividades de coleta e tratamento, sem prejuízo da indenização pelos danos que causarem aos titulares dos dados. 

O que é GDPR? (General Data Protection Regulation) 

É a Lei europeia vigente que trata da proteção de dados pessoais, e que culminou na criação da LGPD. As empresas e órgãos estatais brasileiros que mantenham negócios com os países europeus terão a obrigatoriedade de garantir que suas políticas de tratamento de dados estejam em conformidade com a GDPR, sob o risco de penalidades, bem como perda de clientela, valor de marca e credibilidade no mercado internacional. 

O que é DPO? (Data Protection Officer) 

É o encarregado que irá atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. 

A LGPD dispõe sobre a transferência de dados entre o Poder Público e instituições do setor privado? 

 O artigo 26 prevê que o uso compartilhado de dados pessoais pelo Poder Público deve atender a finalidades específicas de execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, respeitados os princípios de proteção de dados pessoais elencados no art. 6º da Lei. 

Veta a transferência dos dados pessoais constantes de bases de dados a que tenha acesso, exceto: 

• Em casos de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado, observado o disposto na Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação); 

• Em casos em que os dados forem acessíveis publicamente; 

• Quando houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres; 

• Para prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados. 

Como a LGDP protege as pessoas de decisões automatizadas, baseadas exclusivamente em meios tecnológicos? 

O titular dos dados tem direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, bem como de decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade. Além disso, o controlador deverá fornecer, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial. 

É necessário adequar o tratamento dos dados de Pessoas Jurídicas na base de clientes da empresa? 

Não havendo dados de pessoas naturais vinculados ao cadastro da Pessoa Jurídica, pois a LGPD regulamenta apenas o tratamento de dados pessoais. 

Qual o papel da tecnologia na implementação da LGPD? 

Por conta de todas as variáveis envolvidas, o uso da tecnologia faz muita diferença, pois, dependendo do tamanho e nível de complexidade de uma organização, gerenciar todo o ambiente de acordo com os requisitos da lei sem uma ferramenta de gestão que consiga agregar, registrar e controlar todas as demandas pode se tornar extremamente difícil. Visto que a análise e as ações para entrar em conformidade com a LGPD devem passar por pessoas, processos e tecnologia.

Segundo o Art. 49 da Lei, os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos na Lei e às demais normas regulamentares. 

O que é compartilhamento de dados pessoais? 

A Lei considera compartilhamento de dados toda comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados. 

Como é permitido o compartilhamento de dados pessoais? 

O compartilhamento de dados pessoais pode ocorrer em caso de consentimento expresso e específico do titular dos dados e pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres. 

É permitido o compartilhamento de dados pessoais sensíveis? 

Conforme a Lei, o compartilhamento de dados sensíveis com o objetivo de obter vantagem econômica poderá ser vedado ou regulamentado pelas autoridades, e no caso específico de dados de saúde determina a vedação, exceto nos em casos de consentimento expresso ou para a adequada prestação de serviços de saúde suplementar, de assistência farmacêutica e de assistência à saúde, incluídos os serviços auxiliares de diagnose e terapia. 

 A LGPD restringe a tomada de decisões automatizadas baseadas no uso de algoritmos? 

Não é vedado pela LGPD o uso de algoritmos. No entanto, o artigo 20, que aborda decisões tomadas exclusivamente por meio de automação, ou seja, sem participação de seres humanos, determina que o titular dos dados pode, sempre que desejar, requerer a revisão de decisão automatizada que afete seus interesses. 

Como proceder em caso de incidente de dados pessoais? 

Em caso de incidentes o Controlador, através deverá comunicar à autoridade nacional e ao(s) titular(es) dos dados comprometidos, além de executar as medidas para reverter ou mitigar os efeitos do incidente, conforme plano previamente estabelecido de resposta a incidentes e remediação da empresa. 

Existe uma autoridade pública que regula o tratamento de dados pessoais? 

Sim. A Autoridade Nacional de Proteção de Dados é o órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD.