EGP - Aula 03 (Básico).lgpd conhecimento

lgpd

1. ENCARREGADO DE PROTEÇÃO DE
DADOS PARA O SETOR PÚBLICO
Iago Capistrano Sá
Ana Luisa Schiavo

2. Recapitulando...

3. Módulo I
28/11
Aula de abertura do Curso
29/11
LGPD, Princípios e Agentes de
Tratamento
30/11
Bases legais, direitos dos
titulares e término do
tratamento
Encarregado, boas práticas e
incidentes de segurança da
informação
Tratamento de Dados pelo
Poder Público
01/12
02/12

4. Recapitulando...
O que vimos até agora:
Contexto e Histórico da Proteção de Dados (Aula 1)
LGPD: surgimento, fundamentos, objetivos, aplicação,
princípios e agentes de tratamento (Aula 2)

5. Aula 03
8:00-12hrs
Bases legais, direitos dos titulares e término do
tratamento
Missão de hoje:

6. Roteiro
1
30/11/2022
Direitos dos titulares
2
Término do tratamento
3
Bases legais

7. Então, na visão da LGPD por capítulos, estamos assim:
✅⏳
⏳
⏳
⏭
⏭
⏭
⏭
⏭

9. 1
Direitos dos titulares

10. Direitos dos titulares

11. Acesso e confirmação
Direito de acesso: permite que o titular do dado
pessoal possa requisitar e receber uma cópia dos seus
dados pessoais que são tratados pelo controlador
Direito de confirmação da existência: .em atenção ao
princípio da transparência, o titular deverá ser
informado do tratamento de seus dados pessoais,
mesmo independente de requisição.

12. Acesso e confirmação

13. Correção
Direito de correção: permite que o
titular do dado possa, a qualquer
momento, solicitar a correção
e/ou retificação dos seus dados
pessoais, caso seja identificada
alguma incorreção ou inexatidão

14. Revogação do consentimento
O consentimento pode ser revogado a qualquer
momento mediante manifestação expressa do titular,
por procedimento gratuito e facilitado
Mas isso não afetará a legalidade de qualquer
tratamento realizado antes da retirada do
consentimento.
A revogação do consentimento pode inviabilizar a
prestação de serviços ou ao acesso a funcionalidades.
Sempre que isso ocorrer, o titular do dado deverá
comunicado das consequências da revogação de seu
consentimento

15. Portabilidade
Direito de portabilidade: o titular pode solicitar a
transferência dos seus dados pessoais a outro
fornecedor de serviço ou produto.

16. Informação sobre não
consentir
Direito de informação sobre o não consentimento: o
titular deve ter assegurada a possibilidade de saber
que poderá não fornecer o consentimento, além de
quais as consequências disso
*É uma boa prática de transparência que essa
informação já seja dada ao titular antes mesmo de ele
consentir, sem ser necessário que ele peça

17. Oposição ao tratamento
Direito de oposição ao tratamento: nas hipóteses em
que houve dispensa do consentimento (ex.: dados
tornados manifestamente públicos), o titular pode se
opor ao tratamento

18. Oposição ao tratamento
Dados públicos: "O tratamento de dados pessoais cujo
acesso é público deve considerar a finalidade, a boa-
fé e o interesse público que justificaram sua
disponibilização" (art. 7º, §3º)
Manifestamente públicos: "É dispensada a exigência
do consentimento previsto no caput deste artigo para
os dados tornados manifestamente públicos pelo
titular, resguardados os direitos do titular e os
princípios previstos nesta Lei" (art. 7º, §4º)

19. Oposição ao tratamento

20. Informação sobre
compartilhamento
Compartilhamento: permite que o titular receba
informações sobre as entidades públicas e
privadas com as quais os seus dados pessoais
são compartilhados

21. Revisão de decisões
automatizadas
Direito à revisão de decisão automatizada: o
titular do dado também tem o direito de solicitar
a revisão de decisões que afetem seus
interesses e que tenham sido tomadas com base
em operações automatizadas de tratamento de
dados pessoais
Ex.: perfilização (profiling)

22. Revisão de decisões
automatizadas
Quando uma pessoa faz uma compra on-line e o controlador
processa informações pessoais como o nome e o endereço do
titular para realizar a entrega das mercadorias, esse tipo de
tratamento deve ser considerado vinculado à execução do
contrato (base legal abaixo explicada)
Contudo, a utilização dessas informações para criação de perfil
de interesses e preferências de um indivíduo com base nos itens
comprados (profiling) não é necessária para a execução do
contrato, e o responsável pelo tratamento não pode se basear
nessa previsão para operar o tratamento.

23. Revisando...
Quais princípios devem ser observados no caso
acima?
Revisão de decisões
automatizadas

24. Anonimização, bloqueio e
eliminação
Direito à anonimização: dado anonimizado é
aquele que, por mecanismos de tecnologia,
deixa de ser capaz de identificar uma pessoa
natural.
É necessário considerar, numa análise do
todo da LGPD, que esse direito não é irrestrito;
sendo atendido apenas quando possível (arts.
7º, IV; 11, II; 13, caput; e 16, II)

25. Anonimização, bloqueio e
eliminação
Direito ao bloqueio (ou restrição): direito de
obter restrição, temporal ou qualitativa, do
tratamento dos dados
Formas possíveis de restringir: transferência
temporária para outro sistema;
indisponibilização do acesso a determinados
dados por parte dos utilizadores; ou retirada
temporária dos dados de um site (C. 67, GDPR)
Não confundir com a sanção de bloqueio pela
ANPD

26. Eliminação*
Direito de eliminação: permite a
solicitação da exclusão dos dados
pessoais tratados com base no
consentimento do titular.
Há exceções!

27. 2
Término do Tratamento
Abrindo um parêntese...

28. Eliminação*
Cumprir obrigação legal
Estudo por órgão de pesquisa
Transferência a terceiro
Uso exclusivo do controlador, desde que anonimizados
os dados
Resguardo do interesse público
Os dados pessoais poderão ser conservados para:
Exceções ao direito de eliminação

29. Término do tratamento
A finalidade for alcançada ou os dados deixarem
de ser necessários
O período predeterminado do tratamento acabar
Comunicação do titular, resguardado o interesse
público*
Determinação da ANPD em caso de violação grave
à LGPD
Em regra, o tratamento deve terminar quando:

30. 1
Direitos dos titulares
Fechando o parêntese e voltando...

31. Como exercer direitos?
A quem
Controlador
ANPD
Órgãos de Defesa do Consumidor
Justiça

32. Como exercer direitos?
Como
Individualmente
Coletivamente

33. Como exercer direitos?
Em quanto tempo
Imediatamente
Acesso, em até 15 dias
Prazo razoável, se justificado

34. Como exercer direitos?

35. Reclamação à ANPD

36. 3
Bases legais

37. Consentimento Obrigação legal
ou regulatória
Políticas
públicas
Estudos por
órgão de pesquisa
Execução de
contrato
Exercício de
direitos
Proteção da
vida
Tutela da
saúde
Proteção ao
crédito
Bases legais
Dados pessoais comuns
Legítimo
Interesse

38. Consentimento Obrigação legal
ou regulatória
Políticas
públicas
Estudos por
órgão de pesquisa
Execução de
contrato
Exercício de
direitos
Proteção da
vida
Tutela da
saúde
Proteção ao
crédito
X X
X
Bases legais
Dados pessoais sensíveis
Legítimo
Interesse

39. Consentimento Obrigação legal
ou regulatória
Políticas
públicas
Estudos por
órgão de pesquisa
Execução de
contrato
Exercício de
direitos
Proteção da
vida
Tutela da
saúde
Legítimo
Interesse
Proteção ao
crédito
X X
X
+
Prevenção à fraude e
à segurança
Bases legais
Dados pessoais sensíveis

40. Bases legais
Desmistificando!
Primeiro de tudo: o consentimento não é a única nem a
principal base legal!
De acordo com o ICO, nenhuma base é melhor ou mais
importante; a base mais apropriada depende de cada
caso, sua finalidade e sua relação com o titular

41. Bases legais
Desmistificando!
Ainda, o Enunciado 689 sobre Direito Digital e Novas
Tecnologias, da IX Jornada de Direito Civil, determina
que não há hierarquia entre as bases legais

42. Consentimento
"Manifestação livre, informada e inequívoca pela qual o
titular concorda com o tratamento de seus dados
pessoais para uma finalidade determinada"

43. O titular é livre para consentir ou recusar o tratamento
de seus dados
Para ser válido, não pode haver dúvidas de que o
titular (e ele próprio) consentiu com o tratamento
"Livre"
Consentimento

44. Antes de consentir, o titular deve ter sido informado de
maneira clara e acessível, de forma que compreenda o
que será feito com seus dados
"Informado"
Consentimento

45. O controlador deve ser capaz de demonstrar que foi o
próprio titular dos dados que consentiu, e não outra
pessoa em seu lugar
Não há uma forma específica para essa demonstração:
pode ser um botão para click, cláusula destaca em
contrato, gravação de áudio ou de voz, imagem etc.
"Inequívoco"
Consentimento

46. Autorizações genéricas para o tratamento de dados
serão consideradas nulas
*Atenção, principalmente, ao princípio da finalidade
"Finalidades determinadas"
F
i
n
a
lida
d
e
Consentimento

47. Termo de Consentimento
Consentimento

48. Termo de Consentimento
Consentimento

49. Termo de Consentimento
Consentimento

50. Confirmar o consentimento se houver mudança na
finalidade do tratamento
Quando o tratamento de dados for condição para
fornecimento de serviço ou exercício de direito, o titular
deve ser informado
Direitos de revogação e eliminação dos dados tratados
com base no consentimento
Muitas vezes, o consentimento não será a base legal
mais apropriada para o tratamento de dados pessoais
pelo Poder Público
Cuidado!
Consentimento

51. Consentimento apenas?
Tratamento de dados de crianças
Art. 14. O tratamento de dados pessoais de crianças e de
adolescentes deverá ser realizado em seu melhor
interesse, nos termos deste artigo e da legislação
pertinente.
§ 1º O tratamento de dados pessoais de crianças deverá
ser realizado com o consentimento específico e em
destaque dado por pelo menos um dos pais ou pelo
responsável legal.

52. Consentimento apenas?
Tratamento de dados de crianças
O Enunciado 684 sobre Direito Digital e Novas
Tecnologias, da IX Jornada de Direito Civil, determina
que não apenas o consentimento se aplica

53. Intervalo

54. Legítimo Interesse
Art. 10. O legítimo interesse do controlador somente poderá
fundamentar tratamento de dados pessoais para
finalidades legítimas, consideradas a partir de situações
concretas, que incluem, mas não se limitam a:
I - apoio e promoção de atividades do controlador; e
II - proteção, em relação ao titular, do exercício regular de
seus direitos ou prestação de serviços que o beneficiem,
respeitadas as legítimas expectativas dele e os direitos e
liberdades fundamentais, nos termos desta Lei.
O que diz a lei?

55. Legítimo Interesse
§ 1º Quando o tratamento for baseado no legítimo interesse
do controlador, somente os dados pessoais estritamente
necessários para a finalidade pretendida poderão ser
tratados.
§ 2º O controlador deverá adotar medidas para garantir a
transparência do tratamento de dados baseado em seu
legítimo interesse.
§ 3º A autoridade nacional poderá solicitar ao controlador
relatório de impacto à proteção de dados pessoais,
quando o tratamento tiver como fundamento seu interesse
legítimo, observados os segredos comercial e industrial.
O que diz a lei?

56. Mas, afinal, o que é
legítimo interesse?
Legítimo Interesse

57. A lei não traz um conceito específico de "legítimo
interesse"; apenas propõe parâmetros de interpretação
para aplicar essa base legal
Toda atividade baseada no legítimo interesse deve ser
documentada
Legítimo Interesse

58. Finalidade legítima: traz algum benefício ao controlador
ou terceiro, não contraria outras leis e não pode ser
justificada por outra base legal
Situação concreta: deve ser bem definida e possibilitar
uma efetiva expectativa do titular de dados
Teste de balanceamento: identificar as consequências
do tratamento de dados aos direitos e liberdades do
titular, bem como adequá-los à finalidade legítima do
tratamento
1.
2.
3.
Legítimo Interesse
Avaliação de Legítimo Interesse

59. 4. Medidas de proteção aos direitos e liberdades do titular:
identificar apresentar transparência sobre o tratamento
dos dados e as medidas para minimizar danos para o
titular, como o opt-out
Legítimo Interesse
Avaliação de Legítimo Interesse

60. Legítimo Interesse
Avaliação de Legítimo Interesse
Calma, que vamos pôr em prática...

61. Legítimo Interesse
Avaliação de Legítimo Interesse

62. Legítimo Interesse
Avaliação de Legítimo Interesse

63. Legítimo Interesse
Avaliação de Legítimo Interesse

64. Cumprimento de obrigação
legal ou regulatória
Art. 23. O tratamento de dados pessoais pelas pessoas
jurídicas de direito público (...) deverá ser realizado para o
atendimento de sua finalidade pública, na persecução do
interesse público, com o objetivo de executar as
competências legais ou cumprir as atribuições legais do
serviço público (...)

65. Aplicável sempre que existir uma obrigação expressa e
formal determinada em lei ou regulamento
Obrigação legal: norma de dever de cumprimento e
estabelecimento de sanção
Obrigação regulatória: regra de organização do órgão
ou instituição da administração pública
De acordo com a ANPD,
Exs.: licitação; contratação; pagamento de folha
MEC, ANS, BCB...
Cumprimento de obrigação
legal ou regulatória

66. Políticas públicas são programas ou ações criadas pelo
poder público, através de atos normativos (lei ou
regulamento) ou ajustes contratuais (contratos,
convênios etc.)
De acordo com a ANPD, política pública é qualquer
programa ou ação governamental cujo conteúdo inclua:
Políticas públicas
Objetivos
Metas
Prazos
Meios de execução

67. Deve atender a uma finalidade pública e às
competências do serviço público
Além das obrigações gerais (princípios, EPD, segurança e
registro), o poder público deve:
Políticas públicas
As hipóteses em que realiza o tratamento
de dados pessoais;
A previsão legal;
A finalidade; e
Os procedimentos e práticas utilizados
para o tratamento
Informar:

68. Políticas públicas

69. Órgão de pesquisa: órgão ou entidade do Poder Público
ou do setor privado sem fins lucrativos que tenha por
missão institucional a pesquisa (art. 5º, XVIII)
Ex.: Fiocruz
Estudos por órgãos
de pesquisa

70. Para a execução do próprio contrato (ou procedimento
pré-contratual, a pedido do titular), alguns dados
pessoais têm que necessariamente ser tratados
Para cumprir uma obrigação contratual para o titular
Porque o titular pediu para você fazer algo antes da
celebração do contrato (ex.: cotação)
Essa base legal é aplicável:
Execução de contrato

71. O tratamento de dados deve ser estritamente
necessário. O agente deve tratar somente os dados
necessários, da forma menos intrusiva possível
O agente deve documentar o que justifica a utilização
dessa base legal
Execução de contrato

72. Essa base legal não se aplica se:
A organização trata o dados pessoais de uma pessoa,
mas o contrato é com outra organização ou instituição
A organização executar etapas pré-contratuais por sua
própria iniciativa para cumprir outras obrigações ou a
pedido de terceiros
Execução de contrato

73. Essa base legal não se aplica se:
A organização trata o dados pessoais de uma pessoa,
mas o contrato é com outra organização ou instituição
A organização executar etapas pré-contratuais por sua
própria iniciativa para cumprir outras obrigações ou a
pedido de terceiros
Execução de contrato

74. Essa base legal não se aplica se:
A organização trata o dados pessoais de uma pessoa,
mas o contrato é com outra organização ou instituição
A organização executar etapas pré-contratuais por sua
própria iniciativa para cumprir outras obrigações ou a
pedido de terceiros
Execução de contrato

75. Justifica o tratamento de dados pessoais em situações
extremas, em que a vida ou a integridade física do
titular está em risco.
Ex.: tragédia de Brumadinho - Corpo de Bombeiros
utilizaram dados de geolocalização dos celulares das
vítimas
Ex.: atendimento médico de emergência
Proteção da vida ou da
incolumidade física

76. Pode ser utilizada por profissionais da saúde, por
estabelecimentos de saúde e entidades de Vigilância
Sanitária (exclusivamente estes!)
Garantia do sigilo profissional*
Profissionais da saúde: médicos, enfermeiros,
farmacêuticos, fisioterapeutas, nutricionistas,
psicólogos, educadores físicos etc.
Estabelecimentos que prestam serviços de saúde:
hospitais, clínicas, laboratórios etc.
Entidades membros do SNVS: ANVISA e FioCruz (exs.)
Tutela da saúde

77. Essa base legal autoriza usar dados pessoais para
demonstrar a regularidade de determinado fato. Isso
ocorre nos casos em que esses dados são considerados
essenciais para o exercício regular de direitos, seja em
processo judicial, administrativo ou arbitral.
Exemplo: um órgão público contrata seus funcionários
em regime CLT (Consolidação das Leis Trabalhistas);
pode preservar os dados pessoais de seus empregados
por até 5 anos após o fim do contrato de trabalho
Exercício de direito

78. Justifica o tratamento de dados para verificar se o
titular está adimplente (em dia com suas obrigações
financeiras) e pode ter crédito concedido.
Aumenta e facilita a concessão de crédito,
impulsionando o mercado de consumo.
Além da LGPD, é importante respeitar a Lei do Cadastro
Positivo, o Código de Defesa do Consumidor (CDC) e as
portarias do Ministério da Justiça sobre o tema.
Proteção do crédito

79. Trata dos processos para identificar e
autentificar o cadastro dos titulares em
sistemas eletrônicos
Exemplo: com o objetivo de prevenir
fraudes, um órgão público pode dispensar
o consentimento dos titulares para tratar
dados biométricos e confirmar se um
funcionário é autorizado a entrar em área
de acesso restrito da instituição.
Prevenção à fraude
e à segurança

80. Bases legais
Como atribuir a base legal mais adequada?
Analisando o contexto!

81. Bases legais
Como atribuir a base legal mais adequada?
1
Qual a finalidade?
2
Qual o tipo de dado
pessoal?
Respeito aos princípios
Verificar se os dados foram obtidos
de forma legítima
Cuidados:
Tirando consentimento e legítimo
interesse, as bases legais têm
finalidades definidas
Filtro - lembrando das bases não
aplicáveis a dados comuns

82. Bases legais
Vamos praticar?