Inovações e Impactos da Nova Lei de Proteção de DadosInnovations and Impacts of the New Data Protection Law

Introdução

A Lei nº 13.709/2018, Lei Geral de Proteção de Dados (“LGPD”), publicada no dia 15 de agosto de 2018, estabeleceu o marco legal para a proteção de dados pessoais no Brasil.

O âmbito de incidência da LGPD é o mais amplo possível, uma vez que a lei é aplicável a todo aquele que realize operação de tratamento de dados pessoais dentro das hipóteses previstas na norma, alcançando determinados indivíduos, o poder público e empresas nacionais e estrangeiras atuantes nos mais diversos segmentos da sociedade, nos ambientes físico e virtual.

Em vista da sua abrangência, a LGPD demandará um esforço geral dos mais diversos setores da economia para adaptação aos novos requisitos legais. O esforço de adaptação deverá ser maior para setores que não estavam sujeitos às regras da Lei nº 12.965/2014 (“Marco Civil da Internet”), que pode ser entendida como precursora da LGPD em diversos aspectos. O prazo para entrada em vigor da LGPD é de 18 meses contados da data da sua publicação, o que deve proporcionar tempo razoável para adaptação à nova lei.

A LGPD aproveitou em grande medida as definições de dados pessoais e atividade de tratamento de dados pessoais contidas no Decreto nº 8.771/2016, que regulamentou o Marco Civil da Internet.

Dessa forma, a LGPD define “dado pessoal” como informação relacionada a pessoa natural identificada ou identificável e “tratamento” como a atividade de coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração de dados pessoais.

A LGPD também definiu “dado pessoal sensível”, assim entendido como o dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

A LGPD aplica-se ao tratamento de dados pessoais que, de alguma forma, tenha pontos de contato com o Brasil. Nesse sentido, seu art. 3 traz as seguintes hipóteses: (i) tratamento realizado no Brasil; (ii) tratamento com objetivo de oferta, fornecimento de bens ou serviços no Brasil; (iii) tratamento que envolva dados de indivíduos localizados no Brasil; ou (iv) dados pessoais objeto do tratamento coletados no Brasil.

Por outro lado, a LGPD não se aplica a tratamento de dados pessoais com finalidade exclusivamente: (i) particular e não econômica; (ii) jornalística, artística ou acadêmica; e (iii) de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais. Também não se aplica para dados pessoais provenientes de fora do Brasil e que não sejam objeto de comunicação, uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência internacional de dados com outro país que não o de proveniência, salvo se o país de proveniência proporcionar grau de proteção de dados pessoais adequado ao previsto na LGPD.

Sujeitos

A LGPD tem três principais figuras na relação de tratamento dos dados pessoais: de um lado, o “titular” dos dados, cuja proteção no âmbito da LGPD é restrita a pessoas naturais; de outro, as figuras do “controlador”, que é aquele que toma as decisões referentes ao tratamento de dados, e, por isso, tem maior responsabilidade no âmbito da LGPD, e do “operador”, que é quem realiza qualquer operação do tratamento de dados em nome do controlador.

Objeto

O tratamento de dados pessoais, em regra geral, é permitido em 10 (dez) hipóteses listadas no artigo 7º da LGPD, sendo o consentimento livre, informado, inequívoco e específico do titular dos dados pessoais apenas uma delas.

O tratamento também é permitido: (i) para cumprimento de obrigação legal ou regulatória pelo controlador; (ii) pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres; (iii) para realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais; (iv) quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados; (v) para o exercício regular de direitos em processo judicial, administrativo ou arbitral; (vi) para a proteção da vida ou da incolumidade física do titular ou de terceiro; (vii) para a tutela da saúde, em procedimento realizado por profissionais da área da saúde ou por entidades sanitárias; (viii) para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente; e (ix) quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.

Essa última hipótese de tratamento (para atendimento de interesses legítimos do controlador) é a mais controversa da LGPD. O conceito de “interesse legítimo do controlador” envolve certa subjetividade e deverá ser determinado com base nos elementos dos casos concretos. Assim, os contornos desse conceito deverão ser delimitados ao longo dos anos, com a formação de jurisprudência sobre o tema nos tribunais nacionais.

Note-se, ainda, que a LGPD não permite o tratamento de dado pessoal sensível com base em “interesse legítimo do controlador”, conferindo maior proteção a dados dessa natureza.

Responsabilidade

O controlador e o operador respondem por danos patrimoniais, morais, individuais ou coletivos, causados em virtude do tratamento de dados pessoais em violação à LGPD. O Operador responde de forma solidária por danos decorrentes do descumprimento da LGPD ou inobservância de instruções do controlador.

A nova lei estabelece que o controlador e operador só não serão responsabilizados quando provarem (i) que não realizaram o tratamento de dados pessoais que lhes é atribuído; (ii) que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou (iii) que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro. A LGPD também estabelece hipóteses em que o juiz poderá inverter o ônus da prova no processo civil.

No caso de violações de direitos do titular associados a relações de consumo, as disposições da Lei nº 8.078, de 11 de setembro de 1990 (o Código de Defesa do Consumidor) sobre responsabilidade deverão ser aplicadas.

Sendo verificado um incidente de segurança envolvendo dados pessoais, o controlador deverá comunicar o fato à Administração Pública em espaço de tempo razoável, não estabelecendo a LGPD um prazo fixo para tanto.

Sanções Administrativas

No âmbito administrativo, as sanções aplicáveis em caso de infração à LGPD são (i) advertência, com prazo razoável para saneamento; (ii) multa simples, de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50 milhões por infração; (iii) multa diária, observado o mesmo limite; (iv) publicização da infração após apuração e confirmação da sua ocorrência; (v) bloqueio dos dados pessoais a que se refere a infração até a sua regularização; e (vi) eliminação dos dados pessoais a que se refere a infração.

Vetos

Dentre as matérias objeto de veto presidencial, destacam-se: (i) determinadas vedações ao compartilhamento de dados pela Administração Pública, (ii) certas sanções administrativas que previam suspensão do funcionamento de bancos de dados, bem como suspensão ou vedação ao tratamento de dados; e (iii) a criação da Autoridade Nacional de Proteção de Dados (“ANPD”).

O projeto da LGPD previa a vedação ao compartilhamento de dados no âmbito do Poder Público e o dever de a Administração Pública tornar públicos todos os compartilhamentos de dados realizados, o que foi vetado sob fundamento de que o compartilhamento de informações é medida recorrente e essencial para o regular exercício de diversas atividades públicas e, ainda, o risco de que a publicidade irrestrita da comunicação de dados entre órgãos e entidades de direito público tornaria inviável o exercício regular de algumas ações públicas.

Com relação às sanções administrativas vetadas, o veto ocorreu sob a justificativa da insegurança que estas sanções poderiam trazer, inclusive para o sistema financeiro nacional.

Por fim, a criação de imediato da figura da ANPD, autarquia vinculada ao Ministério da Justiça, com a finalidade de aplicar sanções, fiscalizar e editar normas para a política nacional de proteção de dados, foi vetada sob o fundamento de vício de inconstitucionalidade na origem, por não observância da iniciativa privativa do Chefe do Poder Executivo para criação de órgãos da administração pública, e por não se tratar de lei específica para a criação. A expectativa, no entanto, é de que o Chefe do Poder Executivo edite norma criando a referida autarquia.

Advogados Responsáveis

Marcelo Padua Lima
Renato Moraes
Aaron Papa de Morais
Vinicius Venancio CostaIntroduction

Law No. 13,709/2018, the General Data Protection Law (“LGPD“), published on August 15, 2018, established the legal framework for the protection of personal data in Brazil.

The scope of LGPD is as wide as possible, since it is applicable to anyone who processes personal data in the events provided for in the law, including certain individuals, public authorities and domestic and foreign legal entities acting in the most diverse segments in society, both in the physical and virtual environments.

Due to its scope, LGPD will require a general effort from the most diverse sectors of the economy to adapt to the new legal requirements. The adaptation effort should be greater for sectors that were not subject to the rules of Law No. 12,965/2014 (“Internet Law “), which is a precursor to LGPD in several aspects. The deadline for entry into force of LGPD is 18 months from the date of its publication, which should provide a reasonable time to adapt to the new law.

LGPD used, to a large extent, the definitions of personal data and personal data processing provided in Decree No. 8.771/2016, which regulated the Internet Law.

Thus, LGPD defines “personal data” as information related to an identified or identifiable individual and “processing” as the data collection, production, reception, classification, use, access, reproduction, transmission, distribution, processing, filing, storage, deletion, evaluation or control activities, or personal data modification, communication, transfer, dissemination or extraction.

LGPD also defined “sensitive personal data” as the personal data on racial or ethnic origin, religious belief, political opinion, trade union membership or organization of a religious, philosophical or political nature, health or sexual life data, genetic or biometric data, when linked to an individual.

LGPD applies to the processing of personal data that somehow has points of contact with Brazil. In this sense, its Article 3 provides for the following situations: (i) processing performed in Brazil; (ii) processing aimed at offering or supplying goods or services in Brazil; (iii) processing involving data from individuals located in Brazil; or (iv) personal data subject to processing collected in Brazil.

On the other hand, LGPD does not apply to the processing of personal data aimed exclusively at: (i) private and non-economic purposes; (ii) journalistic, artistic or academic purposes; and (iii) public security, national defense, state security or criminal investigation and prosecution activities. It also does not apply to personal data from outside Brazil that is not the object of communication, shared use of data with Brazilian processing agents or the object of international data transfer with a country other than that of origin, unless the country of origin provides adequate degree of personal data protection as provided for in LGPD.

Relevant Parties

LGPD applies to three relevant parties in the personal data processing relationship: on one side there is the data “holder”, an individual whose personal data is protected under LGPD; on the other side there is the “controller”, an individual or legal entity who makes the decisions regarding data processing, and, therefore, has greater liability under LGPD; and the “operator”, an individual or legal entity who performs any processing activity on behalf of the controller.

Object

The personal data processing, as a general rule, is permitted in ten (10) different hypotheses listed in Article 7 of LGPD. Processing based on free, informed, unambiguous and specific consent of the holder of the personal data is only one of these hypotheses.

Processing is also permitted: (i) to comply with controller’s legal or regulatory obligations; (ii) by public authorities, for the processing and shared use of data required for the execution of public policies provided for in laws and regulations or backed by contracts, agreements or similar instruments; (iii) to carry out studies by a research body, being ensured, wherever possible, the anonymization of personal data; (iv) when necessary for the performance of a contract or preliminary procedures related to a contract to which the data holder is a party, at the request of the data holder; (v) for the regular exercise of rights in judicial, administrative or arbitration proceedings; (vi) for the protection of the life or physical safety of the owner or third party; (vii) for health protection, in a procedure performed by health professionals or by health entities; (viii) for the protection of credit, including regarding the provisions in the applicable laws; and (ix) when necessary to meet the legitimate interests of the controller or third party, except in the case of the data holder’s fundamental rights and freedom that require the protection of personal data.

This last processing case (to meet the legitimate interests of the controller) is the most controversial hypothesis for data processing under LGPD. The concept of “legitimate interest of the controller” involves a certain level of subjectivity and must be determined based on the particularities of each specific case. Thus, the limits of this concept are likely to be determined over the years, based on case law and legal doctrine.

It should also be noted that LGPD does not allow the processing of sensitive personal data based on the “legitimate interest of the controller”, granting greater protection to data of this nature.

Liability

The controller and the operator are liable for material, moral, individual or collective damages caused by the processing of personal data in violation of LGPD. The Operator is jointly liable for damages resulting from non-compliance with LGPD or any failure to comply with the controller’s instructions.

The new law provides that the controller and operator shall not be liable only when they prove that (i) they have not processed the personal data in question; (ii) although they have processed the personal data in question, there has been no violation of the data protection law; or (iii) the damage was caused by exclusive fault of the data holder or third parties. LGPD also establishes cases in which the court may reverse the burden of proof in civil proceedings.

In case of violations of the data holder’s rights associated with consumer relations, the provisions of Law No. 8.078 of September 11, 1990 (the Consumer Protection Code) on liability should be applied.

In case of a security incident involving personal data, the controller shall report the fact to the Public Authority within a reasonable period of time, even though LGPD does not establish a deadline for doing that.

Administrative Sanctions

In the administrative sphere, sanctions applicable in case of breach of LGPD are (i) a warning, with a reasonable time for remediation; (ii) fine of up to 2% of the revenues of the private legal entity, group or conglomerate in Brazil in its last fiscal year, excluding taxes, limited, in aggregate, to BRL 50 million per breach; (iii) daily fine, subject to the same limit; (iv) public disclosure of the breach after confirmation of its occurrence; (v) blocking of personal data to which the breach relates until its regularization; and (vi) deletion of the personal data to which the breach refers.

Presidential Vetoes

Certain provisions of LGPD’s original bill of law were vetoed by the Brazilian president, including: (i) certain prohibitions on the sharing of data by the Public Administration; (ii) certain administrative sanctions that determined the suspension of databases, as well as suspension or prohibition of data processing; and (iii) creation of the National Data Protection Authority (“ANPD“).

Prohibition on data sharing within the Public Administration and the duty of the Public Administration to make public all data sharing carried out were vetoed on the grounds that data sharing is a recurring activity essential for the regular exercise of several public activities and, further, that the unrestricted publicity of data sharing among public bodies and entities would make certain activities (such as investigations, audits and policing) impracticable.

Regarding the vetoed administrative sanctions mentioned above, the veto occurred under the justification that these sanctions could bring a high level of insecurity and could hinder the use of data-bases that are indispensable to certain activities, in particular to the national financial system.

Finally, the creation of ANPD, an independent government authority linked to the Ministry of Justice, with the purpose of applying sanctions, supervising and editing rules for the national data protection policy, was vetoed on the ground of unconstitutionality at the origin, since the creation of this type of government authority should be subject to private initiative of the Head of the Executive Branch and requires a specific law. The expectation, however, is that the Head of the Executive Branch will issue a rule creating the aforementioned independent government entity.

This publication is provided by our firm to clients and colleagues. The information contained herein should not be construed as legal advice or legal opinion by our law firm. Questions related to this publication may be directed to our lawyers listed below.

By:

Marcelo Padua Lima, Renato Moraes, Aaron Papa de Morais and Vinicius Venancio Costa