Tal como trazido pela Lei Geral de Proteção de Dados, o conceito de “dado pessoal” é bastante abrangente e abarca toda e qualquer informação relativa a uma pessoa física “identificada ou identificável”. De outra forma dito, é toda informação que possa identificar uma pessoa física, quer direta, quer indiretamente, como - por exemplo - um nome, um número de identificação, um telefone celular, dados de localização, dados identificadores por via eletrônica, número de conta bancária, informações financeiras e um ou mais elementos específicos da identidade física, fisiológica, genética, mental, econômica, cultural ou social dessa pessoa.

Portanto, lembre-se: será dado pessoal até mesmo aquela informação que, apenas quando em conjunto com outras, possa levar a identificação de uma pessoa física (não jurídica).

Face ao maior potencial ofensivo trazido pelo tratamento de determinados dados pessoais, com o propósito de prevenir eventuais abusos ou discriminações, a Lei Geral de Proteção de Dados optou por reuni-los em uma categoria apartada e dotada de regras de tratamento próprias, a qual denominou de “dado pessoal sensível”.

De forma objetiva, em seu artigo 5º, II, a própria LGPD traz uma listagem detalhada daquilo que considera ser um “dado pessoal sensível”, a saber: toda e qualquer informação que diga respeito a origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, bem como dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculados a uma pessoa física.

Para avaliar se a Lei Geral de Proteção de Dados se aplica a uma determinada atividade de tratamento de dados dois requisitos devem estar cumulativamente preenchidos.

Como primeiro requisito, temos o seu escopo material. Vez que o conceito de dado pessoal se refere apenas a informações que possam identificar uma pessoa física, a LGPD não se aplica: i) a informações exclusivamente referentes a pessoas jurídicas, sejam elas empresas, sociedade anônimas, autarquias, fundações, cooperativas, entidades reguladores, dentre outras; nem ii) a dados anonimizados, contanto que o processo de anonimização ao qual foram submetidos não possa ser revertido, mediante aplicação de esforços razoáveis.

Como segundo requisito, o seu escopo territorial. Haverá incidência da LGPD apenas quando: i) a atividade de tratamento for realizada no Brasil; ou, ainda que realizada no exterior, ii) tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no Brasil; ou, simplesmente, iii) quando os dados pessoais que compõem o seu objeto tenham sido coletados no Brasil, independentemente de onde estejam localizados no momento efetivo do tratamento.

De forma geral, a aprovação da Lei Geral de Proteção de Dados impõe uma mudança de comportamento por parte de todos os agentes que realizem o tratamento de dados pessoais, em prol de um melhor resguardo aos direitos fundamentais e às liberdades civis dos titulares neles envolvidos.

Qualquer que seja a atividade de tratamento, se envolver dados pessoais, os seguintes princípios deverão ser observados, desde a coleta do dado até o descarte da informação:

• Boa-Fé - O tratamento de dados pessoais deverá sempre ser pautado em boas intenções, assim como na ética e respeito aos titulares.
• Finalidade - O tratamento de dados pessoais deverá ser realizado unicamente para o cumprimento de uma finalidade legítima, específica, pré-determinada e informada ao titular.
• Livre Acesso - Deve ser garantido, aos Titulares, a consulta facilitada e gratuita, sobre quais dados seus são tratados, por quem o são, a forma e a duração do tratamento.
• Necessidade e Adequação - O tratamento de dados pessoais deverá ser restrito ao mínimo relevante, adequado e necessário para o alcance da sua finalidade pré-determinada.
• Precisão e Qualidade - Deverá ser garantida a acurácia dos dados pessoais tratados, a fim de que sejam precisos e atualizados.
• Segurança e Prevenção - Os dados pessoais deverão ser protegidos preventivamente contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, durante todo o seu ciclo de vida.
• Transparência - Deverá ser garantida a transparência ao titular sobre o tratamento dos seus dados pessoais, por meio de informações claras, precisas e facilmente acessíveis.
• Não Discriminação - O tratamento de dados pessoais jamais poderá ser realizado para fins discriminatórios, ilícitos ou abusivos.
• Responsabilização – Deverão ser armazenados registros das medidas implementadas para cumprimento da Lei Geral de Proteção de Dados, inclusive no que concerne a eficácia e eficiência dessas medidas.

Mesmo observando todos os princípios introduzidos pela Lei Geral de Proteção de Dados, para que um tratamento de dados pessoais possa ser realizado, ele deverá estar embasado em uma das hipóteses previstas nos artigos 7º e 11 da LGPD, as quais convencionou-se denominar de “bases legais”.

Tendo em conta o escopo de atuação do TRIBANCO, as bases legais listadas na tabela abaixo são aquelas que mais comumente tendem a se aplicar. Importante: note como as bases legais aplicáveis ao tratamento de dados pessoais “simples” não coincidem integralmente com as de dados pessoais sensíveis.

Dentre as 10 (dez) bases legais previstas pela Lei Geral de Proteção de Dados uma delas é o “consentimento”, que pode ser definido como a manifestação de vontade livre, informada e inequívoca do titular, cujos efeitos jurídicos é autorizar o tratamento de seus dados pessoais para uma finalidade determinada.

Para que seja livre, o consentimento deverá ser fornecido pelo titular dos dados de forma voluntária, ou seja, deverá ser coletado pelo TRIBANCO sem qualquer forma de constrangimento, e mediante o oferecimento de uma escolha genuína em relação ao aceite ou não dos termos pretendidos para o tratamento. Portanto, por exemplo, quando, em função da recusa em consentir, o titular incorrer em alguma forma de prejuízo, o seu consentimento não será livre.

Para que seja informado, o consentimento deverá ser coletado com base na adequada e tempestiva instrução do titular sobre o tratamento dos seus dados pessoais, observados os padrões mínimos de transparência sobre quais dados são tratados, por quem o são, a forma e a duração do tratamento.

Para que seja inequívoco, o consentimento deverá ser coletado por meio de uma ação evidente do titular, de modo que não reste qualquer dúvida quanto a sua concordância. Assim, por exemplo, se o consentimento for coletado como parte de um contrato, o seu termo ou requisição deverá estar claramente distinguida das demais, quer de maneira destacada, quer por meio de um documento em apartado.

Quando o consentimento for a base legal aplicável ao tratamento, o TRIBANCO informará você, titular, sobre a possibilidade de não o fornecer, assim como sobre as consequências de tal negativa (por exemplo, inviabilizar a oferta/prestação de um produto/serviço). Por sua vez, na hipótese em que já o tenha fornecido, garantiremos o seu direito de revogá-lo a qualquer tempo, por meio de procedimento gratuito e facilitado.

A Lei Geral de Proteção de Dados garante aos titulares dos dados pessoais o direito de obter, a qualquer momento e mediante requisição:

• Confirmação da existência do tratamento de seus dados;
• Acesso a informações claras, precisas e facilmente acessíveis sobre como, quais e por quais agentes os seus dados são tratados, bem como sobre as entidades públicas ou privadas com as quais os seus dados foram compartilhados;
• Correção de dados incompletos, inexatos ou desatualizados, quando necessário;
• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou que, por ventura, tenham sido tratados em desconformidade com a LGPD;
• Portabilidade dos dados a outro fornecedor de serviço ou produto, ainda que para concorrentes diretos ou indiretos;
• Eliminação dos dados tratados com ou sem o seu consentimento;
• Informações sobre a possibilidade de não fornecer consentimento e sobre as consequências desta eventual negativa;
• Revogação do consentimento, caso já o tenha fornecido;
• Revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais e que afetem os seus interesses.

Embora a Lei Geral de Proteção de Dados procure estimular práticas e hábitos que contribuam com a efetivação dos direitos dos titulares, estes não são absolutos. Desse modo, quando ao TRIBANCO, não for possível atender, mediante esforços razoáveis, à solicitação de um titular, este poderá se recusar a fazê-lo, contanto que o faça de forma justificada.

Alguns exemplos em que isto poderá ocorrer incluem, mas não se limitam a: segredos de negócio, impossibilidade técnica de dissociação das informações pessoais de um titular das de terceiros, inexistência das informações, impossibilidade da validação da identidade do solicitante, dentre outros.

Como consequência do “princípio da necessidade”, todo e qualquer armazenamento de dados pessoais deverá se restringir ao mínimo relevante, adequado e necessário para o alcance da sua finalidade pré-determinada e informada ao titular. Assim, tão logo sejam exauridos os fins para os quais são armazenados, todos os dados pessoais deverão ser eliminados de forma segura e permanente, autorizada a sua conservação apenas quando:

• For necessário o cumprimento de uma obrigação legal ou regulatória pelo TRIBANCO;
• O TRIBANCO tiver transferido a informação pessoal à um terceiro, desde que respeitados os requisitos de tratamento de dados dispostos na LGPD; ou
• Uso exclusivo do TRIBANCO, vedado seu acesso por terceiro, e desde que anonimizados os dados.

Com o propósito de assegurar a observância destas regras, a Lei Geral de Proteção de Dados faculta à Autoridade Nacional a possibilidade determinar o fim do armazenamento dos dados sempre que houver violação das regras de proteção de dados.

Finalmente, sempre o tratamento tiver como base legal o “consentimento”, deverá ser garantido, ao titular, o direito obter a eliminação destes dados, exceto quando já verificada a existência de outra base legal que autorize o armazenamento, ou quando diante de uma das hipóteses acima listadas.

Para assuntos relacionados à dúvidas, reclamações ou esclarecimentos sobre a LEI 13.709/2018 – Lei Geral de Proteção de Dados nas Empresas Tribanco Email: dpo@tribanco.com.br

A Autoridade Nacional de Proteção de Dados (“ANPD”) é o órgão criado pela Lei nº 13.853, de 08 de julho de 2018, a cargo do qual ficará o dever de zelar, implementar e fiscalizar o cumprimento da Lei Geral de Proteção de Dados.

As suas atribuições, assim, são diversas, incluindo, mas não se limitando a: i) emitir opiniões técnicas ou recomendações, ii) editar normas, regulamentos e procedimentos complementares, iii) elaborar estudos sobre as práticas nacionais e internacionais de proteção de dados pessoais e privacidade, iv) realizar auditorias, ou determinar sua realização, no âmbito da atividade de fiscalização, e v) aplicar sanções em caso de tratamento de dados realizado em descumprimento à legislação brasileira.