4. M APA DE ARGUMENTOS E DE PROPOSTAS SOBRE O TEXTO DO ANTEPROJETO
4.13. Cancelamento e conservação de dados pessoais
163
Sugestões de redação:
Autor da sugestão: ABRANET.
[MODIFICAÇÃO] IV – determinação de órgão competente quando houver violação de dispositivo legal ou regulamentar, ressalvados os princípios da razoabilidade e da proporcionalidade;
Autor da sugestão: Brasscom.
[MODIFICAÇÃO] IV – determinação de órgão competente quando houver violação de dispositivo legal ou regulamentar, desde que não haja outro remédio mais adequado para a sanção;
Após a compilação das contribuições, a Secretaria Nacional do Consumidor do Ministério da Justiça disponibilizou uma nova versão do anteprojeto de lei. O artigo em debate foi modificado conforme abaixo:
REDAÇÃO DA VERSÃO DE 20/OUTUBRO/2015
Art. 14 15. O término do tratamento de dados pessoais ocorrerá nas seguintes
hipóteses:
I – verificação de que a finalidade foi alcançada ou de que os dados deixaram
de ser necessários ou pertinentes para o alcance da finalidade específica almejada;
II – fim do período de tratamento;
III – comunicação do titular, inclusive no exercício do seu direito de revogação
do consentimento conforme disposto no art. 9, § 5º; ou
IV – determinação de
do órgão competente, quando houver violação de dispositivo legal ou regulamentar da legislação em vigor a respeito.
Parágrafo único. Órgão
O órgão competente estabelecerá períodos máximos
para o tratamento de dados pessoais, ressalvado o disposto em legislação
específica.
164
Art. 15. Os dados pessoais serão cancelados após o término de seu tratamento,
autorizada a conservação para as seguintes finalidades:
I – cumprimento de obrigação legal pelo responsável;
II – pesquisa histórica, científica ou estatística, garantida, sempre que possível,
a dissociação dos dados pessoais; ou
III – cessão a terceiros, nos termos desta Lei.
Parágrafo único. Órgão competente poderá estabelecer hipóteses específicas
de conservação de dados pessoais, garantidos os direitos do titular, ressalvado o disposto em legislação específica.
Neste artigo e em seus incisos, foram sugeridas novas hipóteses de autorização para conservação dos dados, assim como foram feitas observações acerca do significado de término do tratamento e de cancelamento.
4.13.1. Dever de cancelamento: cumprimento de dever legal, legítimo interesse, dissociação e cancelamento definitivo
Propostas avulsas para a regulação deste tema:
(A) O cancelamento de dados pessoais apenas deve ocorrer quando houver expressa manifestação do titular ou quando o término do tratamento decorrer de violação de dispositivo legal ou regulamentar.
“Isso porque é muitas vezes é necessário manter os dados armazenados, como forma de evitar os casos de fraudes nas empresas quando os clientes retomam a relação contratual”.
Autores da proposta: SindiTeleBrasil.
(B) A lei deve permitir a conservação dos dados pessoais em caso de legítimo interesse do responsável e de acordo de boa-fé.
“A conservação de dados para fins exclusivamente cadastrais pode ajudar a prevenir fraudes.”
[ABEMD]
“Sugerimos a exclusão do artigo 15. Após o término da relação contratual, é muitas vezes necessário conservar os dados pessoais, para resguardar direitos daquele que faz o tratamento dos dados, nas hipóteses de ações judiciais onde muitas vezes o ônus da prova é dele, bem como a fim de se verificar informações e evitar, p. ex., casos de fraudes de terceiros”. [Claro]
Autores da proposta: ABEMD, GSMA e Claro.
165
(C) A lei deve permitir a conservação dos dados pessoais que tiverem sido razoavelmente anonimizados.
Autores da proposta: ITI.
(D) A lei não deve dispor sobre cancelamento de dados pessoais, e sim, sobre sua dissociação.
“Sugere-se a substituição do termo cancelados pelo termo dissociação a fim de dar coerência com a definição dada no inciso XIV do artigo 5º”.
Autores da proposta: Fiesp.
(F) A lei deve obrigar o cancelamento a ser definitivo, sem possibilidade de novo acesso aos dados.
Autores da proposta: Giovanna Carloni.
Sugestões de redação:
Autor da sugestão: Fiesp.
[MODIFICAÇÃO] Art. 15. Os dados pessoais serão dissociados após o término de seu tratamento, autorizada a conservação para as seguintes finalidades:
Autor da sugestão: SindiTeleBrasil.
[MODIFICAÇÃO] Art. 15. Após o término do tratamento dos dados pessoais, o responsável deve proceder a sua eliminação quando o titular manifestar formalmente tal desejo ou quando o término decorrer de comprovada violação de dispositivo legal ou regulamentar.
4.13.2. Conservação de dados pessoais para fins de pesquisa
Propostas avulsas para a regulação deste tema:
(A) A lei deve permitir a conservação de dados pessoais para fins de pesquisas de mercado e obrigar o cancelamento no caso de pesquisas estatísticas.
“Dessa forma, torna-se mais clara a exceção feita na lei em benefício das pesquisas históricas, científicas e de mercado”.
Autores da proposta: ABEP.
166
(B) A lei deve permitir a conservação de dados suficientes para que seja possível manter um acervo de informações sobre a relação contratual entre o responsável e o titular.
“Sugere-se que seja permitida a manutenção das informações suficientes para que seja possível manter um acervo de informações a respeito das relações que as entidades mantiveram com seus clientes, incluindo, exemplificadamente, as informações contratuais básicas, os tipos de produtos e volumes contratados, dados de contato para eventual retomada comercial, entre outras informações, respeitados, sempre, os princípios gerais da Lei”.
Autores da proposta: Vivo.
(C) A conservação de dados pessoais também deve ser ampliada para fins de pesquisas
“genealógicas, artísticas, culturais, acadêmicas e de interesse público”.
“Anteprojeto deve manter a autorização da conservação dos dados pessoais com finalidade de pesquisa histórica, científica ou estatística. Contudo, entendemos que este conceito deve ser ampliado também para fins de pesquisas genealógicas, artísticas, culturais ou acadêmicas, e de interesse público”.
Autores da proposta: Associação da Liberdade Religiosa e Negócios.
(D) A lei deve obrigar que dados pessoais usados em pesquisas sejam “anonimizados”, não
“dissociados”.
Segundo defensores desta proposta, seria mais adequado que a lei se refira ao processo mais genérico para abarcar também outras técnicas que existem ou venham a existir.
Autores da proposta: Veridiana/Intervozes e Proteste.
(E) A lei deve vedar a utilização de dados sensíveis em pesquisas estatísticas “de interesse privado”.
“As utilização de dados sensíveis em pesquisas estatísticas não poderão ser utilizadas para o interesse privado. Nossa proposta se baseia na garantia de que empresas não se utilizarão dos dados para estatísticas de interesse privado”.
Autores da proposta: Proteste.
(F) A lei deve tornar a dissociação uma condição para o uso de dados pessoais conservados em pesquisas.
“A dissociação dos dados deve ocorrer sempre. Substituir o: sempre que possível, a dissociação dos dados pessoais. Para: "Sempre com a dissociação dos dados pessoais". Por ser pesquisa ou estatística, imagino que estarão envolvidos os dados de milhares ou milhões de indivíduos. Seria uma brecha para empresas terem acesso a dados públicos ou de seus parceiros comerciais, com o subterfúgio de finalidade estatística ou de pesquisa”.
Autores da proposta: TV Aberta + Merchant = Peculato.
167
Sugestões de redação:
Autor da sugestão: Vivo.
[MODIFICAÇÃO] II – manutenção do acervo de registros, pesquisa histórica, científica ou estatística, garantida, sempre que possível, a dissociação dos dados pessoais; ou;
Autor da sugestão: Associação da Liberdade Religiosa e Negócios.
[MODIFICAÇÃO] II – pesquisa ou conservação de arquivos ou registros históricos, genealógicos, artísticos, científicos, culturais ou acadêmicos, estatísticos ou de interesse público, garantidas as medidas de segurança aplicáveis;
Autor da sugestão: Proteste.
[MODIFICAÇÃO] II – pesquisa histórica, científica ou estatística vinculada à política pública, garantida, sempre que possível, a anonimização dos dados pessoais;
4.13.3. Conservação de dados para cessão a terceiros
Na discussão sobre este inciso, a principal dificuldade apresentada foi a definição do termo “cessão a terceiros” (SindiTeleBrasil e ITI), a Fiesp sugeriu a delegação da definição do termo ao órgão competente. Os participantes também se manifestaram no sentido de buscar formas de proteção do usuário em caso de cessão ou mesmo de desvincular a cessão a terceiros da autorização para conservação de dados.
Propostas avulsas para a regulação deste tema:
(A) A lei deve vedar a cessão de dados pessoais a terceiros sem autorização do titular.
“A cessão deveria depender de autorização do usuário para se concretizar. Essa cessão deveria obrigatoriamente ter que receber nova autorização dos usuários, principalmente se a finalidade, adequação e outros princípios se tornarem diferentes pelo cessionário.
A exceção prevista nesse inciso viola o princípio da boa-fé, o qual estabelece deveres de conduta, dentre eles, o dever de informação , sendo necessário que o responsável pelo tratamento dos dados pessoais informe ao usuário quem acessa e utiliza suas informações.
Portanto, deveria ser exigida a autorização do usuário para que os dados pessoais informados a determinada empresa sejam repassados por ela a outas empresas, pois da maneira como está previsto, permitindo o repasse de dados a empresas/terceiros desconhecidos, está-se violando o
168
direito de informação e aumentando a vulnerabilidade dos usuários”.
Autores da proposta: Flávio Costa e Marina.
(B) A lei não deve permitir a conservação de dados pessoais com a finalidade de cessão a terceiros.
“A cessão de dados a terceiros não deveria ser uma causa para a conservação de dados pessoais após o término do tratamento. Se porventura tais dados foram transferidos a terceiros, respeitada a disciplina de consentimento aplicável a essas operações, esses terceiros também estarão sujeitos a regra de cancelar os dados recebidos quando findado o tratamento. Por outro lado, o caso de cessão a terceiros por força de obrigação legal, como as previstas no Marco Civil da Internet quanto à guarda e disponibilização de registros, já está contemplado no art. 15, I”.
Autora da proposta: Veridiana/Intervozes.
4.13.4. Novas hipóteses de conservação de dados pessoais
Propostas avulsas para a regulação deste tema:
(A) A lei deve permitir a conservação de dados pessoais para comprovação de cumprimento de obrigações contratuais e extracontratuais perante terceiro e/ou perante o próprio titular.
Autor da proposta: Vivo.
(B) A lei deve permitir a conservação de dados pessoais se forem dados anonimizados ou quando isso for expressamente requerido ou consentido pelo titular.
“Os novos incisos propostos se baseiam na ideia de que novos usos de dados pessoais em vários campos do conhecimento ainda estão sendo descobertos e, portanto, caso as hipóteses do art. 15 sejam demasiadamente restritivas, o Brasil corre o risco de inibir ou inviabilizar o processo de inovação e o desenvolvimento benéfico decorrente do uso de (IV) dados anonimizados ou baseado na escolha ou (V) consentimento informado do titular”.
Autor da proposta: Brasscom.
Sugestões de redação:
Autor da sugestão: Vivo.
[INCLUSÃO] IV – conservação das evidências necessárias e suficientes para comprovar o cumprimento de obrigações perante terceiros e o titular;
169 Autor da sugestão: Brasscom.
[INCLUSÃO] IV – quando forem processados de tal forma que não se tratem mais de dados pessoais;
V – quando o titular assim consentir ou expressamente requerer;
4.13.5. A possibilidade de o órgão competente estabelecer hipóteses específicas de conservação de dados pessoais
Propostas avulsas para a regulação deste tema:
(A) A lei não deve abrir a possibilidade de o órgão competente estabelecer hipóteses de conservação de dados pessoais.
“O parágrafo deveria ser excluído. Se houver interesse do Estado na conservação de dados pessoais, deverá obter autorização para tal conservação por meios legais e, então, mantê-los por sua conta”
[ABRANET].
Autores da proposta: ABRANET, ABDTIC e Câmara BR.
(B) A lei deve garantir que a possibilidade de o órgão competente em estabelecer novas hipóteses de conservação de dados pessoais leve em conta a natureza dos dados e da organização que realiza o tratamento.
Autores da proposta: ITI.
Sugestões de redação:
Autor da sugestão: Fiesp.
[INCLUSÃO] § 2º Caso não seja possível a dissociação, os dados pessoais serão cancelados após o término do seu tratamento, ressalvadas as disposições de conservação deste artigo.
Após a compilação das contribuições, a Secretaria Nacional do Consumidor do Ministério da Justiça disponibilizou uma nova versão do anteprojeto de lei. O artigo em debate foi modificado conforme abaixo:
170
REDAÇÃO DA VERSÃO DE 20/OUTUBRO/2015
Art. 15 16. Os dados pessoais serão cancelados eliminados após o término de
seu tratamento, autorizada a conservação para as seguintes finalidades:
I – cumprimento de obrigação legal pelo do responsável;
II – pesquisa histórica, científica ou estatística, garantida, sempre que
quando possível, a dissociação anonimização dos dados pessoais; ou
III – cessão transferência a terceiros, nos termos desta desde que respeitados
os requisitos de tratamento de dados dispostos nesta Lei.
Parágrafo único. Órgão O órgão