Os avanços da Lei de Proteção dos Dados Pessoais – PL n. 53/2018
Publicado em 11 de julho 2018O uso de dados pessoais por empresas vem sendo uma pauta constante nos últimos meses. O seu auge foi atingido quando o escândalo da Cambridge Analytica deflagrou-se, expondo o uso de informações de mais de 87 milhões de usuários do Facebook pela empresa, para inúmeros fins alheios à sua atividade principal.
Assim, os usuários, os quais até então acreditavam que o uso de seus dados estavam restritos aos objetivos da rede social na qual se cadastravam, foram negativamente surpreendidos com a notícia que suas informações eram objetos de comercialização para diversas entidades, inclusive com fins políticos.
Para os mais céticos, nada mais do que o “normal”. Nessa Era online, informação é poder e dinheiro para quem a detém.
O escândalo surgiu em um momento bem interessante. Isso porque, logo após tais acontecimentos, entrou em vigor em, 25 de maio de 2018, na União Europeia a Regulação de Proteção de Dados Gerais – GDPR, que regulamenta o uso de dados por entidades com atuação ou sediadas nos países integrantes deste bloco econômico.
Diante do cenário, o assunto tornou-se bastante relevante, figurando como pauta na mídia e no cenário político. Inclusive, a aprovação do GDPR gerou uma onda de atualização dos Termos de Uso e Política de Privacidade por parte das grandes empresas, visando se adaptarem a normatização aprovada.
Essa movimento de discussão sobre a proteção dos dados pessoais em tempos de inovação tecnológica fez com que o Poder Legislativo Federal colocasse o tema em pauta, originando o Projeto de Lei n. 53/2018, de iniciativa do Deputado Federal Milton Monti (PR/SP).
Após o seu trâmite, em 10 de julho de 2018, o Senado Federal aprovou o conteúdo do Projeto de Lei, segue aguardando o posicionamento do Executivo, que deverá o sancionar em breve.
O referido Projeto de Lei, instituído com o objetivo de dispor sobre a proteção de dados pessoais, alterou a Lei Federal n. 12.965/2014, criada um biênio atrás para estabelecer “princípios, garantias, direitos e deveres para o uso da Internet no Brasil”.
Contendo 64 artigos, a norma denominada de “Lei de Proteção de Dados” dispõe sobre o “tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural”, estabelecendo fundamentos básicos para a regulamentação de dados, dentre os quais estão o respeito à privacidade, a inviolabilidade da intimidade e imagem, bem como a liberdade de expressão (art. 2º).
Salvo algumas exceções, a Lei aplica-se a pessoas jurídicas (públicas ou privadas) ou físicas que realizem tratamento de dados no país onde estejam localizados os dados ou sede da entidade. Em suma, se a entidade realiza coleta de dados no país, realiza tratamento de dados em nossa área ou oferta serviços e bens que demandem o tratamento de dados de pessoas em território brasileiro, esta encontra-se submetida à Lei sob análise.
Para tais sujeitos, foram estabelecidos 10 princípios básicos para o tratamento de dados pessoais, que devem ser estritamente observados, listados a seguir:
“Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:
I – finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
II – adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
III – necessidade: limitação do tratamento ao mínimo necessário para a realização das suas finalidades, com 7 abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
IV – livre acesso: garantia aos titulares de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade dos seus dados pessoais;
V – qualidade dos dados: garantia aos titulares de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
VI – transparência: garantia aos titulares de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
VII – segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIII – prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
IX – não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos; e
X – responsabilização e prestação de contas: demonstração pelo agente da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais, inclusive da eficácia das medidas.”
Todo o conteúdo legal destina-se a regulamentar o tratamento e uso de dados com base nesses princípios, de forma a assegurar ao usuário que este tenha o real conhecimento, de forma clara, adequada e ostensiva, sobre o tratamento que está sendo dado aos seus dados.
A lei prevê algumas inovações jurídicas interessantes, tais como a criação da categoria dos “dados sensíveis”, que são os que tratam sobre “origem racial ou étnica, as convicções religiosas, as opiniões políticas, a filiação a sindicatos ou a organizações de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, dados genéticos ou biométricos, quando vinculados a uma pessoa natural” (art. 5º, II). Por força normativa, tais dados tiveram o seu tratamento vedado, salvo em situações específicas listadas, como o cumprimento de obrigação legal pelo responsável; ou diante do fornecimento de consentimento específico pelo titular, desde que para finalidades pontuais.
A norma aborda ainda em seu conteúdo o tratamento que deverá ser adotado para os dados de crianças e adolescentes, realizado, doravante, sempre com a autorização de pais ou responsável legal, e com consentimento específico. Prossegue abordando quanto ao término do tratamento dos dados, bem como sobre o procedimento a ser adotado pelo poder público no trato com dados pessoais. Algumas discussões mais técnicas também são abordadas na Lei, como a transferência internacional , a descrição dos agente de tratamento, e da fiscalização e sigilo dos dados pessoais.
Dois tópicos desenvolvidos chamam a atenção no conteúdo legal. Um deles consta no capítulo III, que trata dos direitos do titular, no qual é garantido expressamente a titularidade dos direitos pessoais, com base nos princípios constitucionais da liberdade, intimidade e privacidade.
Em decorrência dessa garantia, assegura-se ainda ao titular dos direitos pessoais a prerrogativa de realizar as seguintes requisições ao portador dos seus dados:
“Art. 18. O titular dos dados pessoais tem direito a obter do responsável, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição: I – confirmação da existência de tratamento; II – acesso aos dados; III – correção de dados incompletos, inexatos ou desatualizados; IV – anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei; V – portabilidade dos dados pessoais a outro fornecedor de serviço ou produto, mediante requisição expressa e observados os segredos comercial e industrial, de acordo com a regulamentação do órgão responsável; VI – eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 desta Lei; 19 VII – informação das entidades públicas e privadas com as quais o responsável realizou uso compartilhado de dados; VIII – informação sobre a possibilidade de não fornecer o consentimento e sobre as consequências da negativa; IX – revogação do consentimento nos termos do § 5º do art. 8º desta Lei.”
Por sua vez, a criação da Autoridade Nacional de Proteção de Dados representa outro ponto positivo (art. 55). Esse órgão, integrante da Administração Pública federal indireta, e vinculado ao Ministério da Justiça, terá como objetivo zelar pela proteção de dados pessoais e dos segredos industriais e comerciais, bem como executar inúmeras outras funções listadas no art. 56 da referida Lei.
Assim, a sanção da norma mencionada propiciará ao Brasil o avanço na proteção dos dados, estimulando o desenvolvimento da economia digital de nosso país, com marcos regulatórios bem fundamentados, e semelhantes aos adotados em outras nações que fomentam o desenvolvimento tecnológico. Simultaneamente, observa-se a preocupação constante em resguardar os dados de seus cidadãos, assegurando a proteção aos direitos constitucionais básicos como o da intimidade e privacidade.
