O dever de publicidade na comunicação ou interligação de dados pessoais entre órgãos e entidades reguladas por direito público. Autorização para transferências internacionais de dados pessoais para países com nível de proteção não igual ao da lei.
I NTRODUÇÃO
Anteprojeto de lei de proteção de dados pessoais: contexto
O debate de 2015: formas de participação
O segundo formato permitia comentários baseados em eixos temáticos, mas era pouco utilizado porque a plataforma não deixava clara essa possibilidade. Neste caso, a interação entre os participantes foi limitada, pois não foi possível comentar diretamente o texto dos arquivos.
Qual foi o papel do InternetLab?
Por outro lado, como o texto da lei foi organizado por artigos, notamos uma maior concentração de contribuições nos dispositivos do início da minuta em detrimento dos dispositivos do final do texto.
M ETODOLOGIA
- Como foi feita a análise?
- Comentários da equipe do InternetLab
- O que esperar do presente relatório?
- Licença de uso de conteúdo
Este relatório também inclui comentários feitos pela equipe do InternetLab para aprofundamento contextual das discussões realizadas na plataforma. Todo o conteúdo publicado na plataforma do Ministério da Justiça está sujeito à licença Creative Commons – Atribuição 4.0 Internacional (CC BY 4.0), conforme estipulado no.
M APA DE ARGUMENTOS E PROPOSTAS GERAIS
Como deve ser o órgão responsável pela aplicação da lei de proteção de dados pessoais?
A criação de um sistema nacional de proteção de dados seria uma forma de atingir diversos objetivos. II - planejar, elaborar, propor, coordenar e executar ações da política nacional de proteção de dados pessoais;
Existem outros temas que não foram tratados no anteprojeto de lei de dados pessoais?
A Lei de Proteção de Dados deveria impor restrições processuais ao disposto no Marco Civil, que previa a divulgação de dados pessoais às autoridades judiciárias e aos ministérios públicos. A Lei de Dados Pessoais deve ser aplicada tanto no setor público quanto no privado.
M APA DE ARGUMENTOS E DE PROPOSTAS SOBRE O TEXTO DO ANTEPROJETO
Direitos fundamentais tutelados
- Quais direitos que devem ser protegidos pela lei de dados pessoais?
- Deve ser aumentado o escopo de aplicação da lei previsto no artigo 1º?
1º Esta lei dispõe sobre o tratamento de dados pessoais com o objetivo de proteger os direitos fundamentais previstos na Constituição Federal. 1º Esta lei dispõe sobre o tratamento de dados pessoais com o objetivo de proteger os direitos fundamentais à intimidade, à privacidade, à honra e à imagem da pessoa natural.
Jurisdição e escopo de aplicação da lei
- Quais devem ser as exceções para aplicação da lei de dados pessoais?
- Jurisdição: quais devem ser os limites da aplicação da lei à coleta de dados pessoais?
- Jurisdição: quais devem ser os limites da aplicação da lei ao tratamento de dados
- A lei deve se aplicar a tratamentos realizados por pessoa natural para fins
- A lei deve se aplicar a tratamentos realizados para fins exclusivamente jornalísticos?
- Deve haver outras exceções para a aplicação da lei de dados pessoais? Quais?
- Como deve ser a regra geral sobre a transferência de dados pessoais de bases de dados
- A aplicabilidade da lei em relação ao Estado deve ficar mais explícita?
- A lei deve ser aplicável a empresas públicas e sociedades de economia mista?
Competência: quais devem ser os limites de aplicação da lei para o tratamento de dados pessoais. Qual deverá ser a regra geral relativamente à transferência de dados pessoais de bases de dados públicas para entidades privadas.
Tratamento de dados para fins de segurança pública e do estado de defesa
- Tratamentos de dados para fins exclusivos de segurança pública, defesa e segurança do
- A lei deve tratar de hipóteses de fornecimento de dados pessoais para autoridades?
Tratamento de dados para fins de segurança pública e defesa do Estado. solução republicana se a iniciativa for harmonizar interesses conflitantes com transparência.” 4e III – Será regulamentado o tratamento de dados pessoais realizado exclusivamente para fins de segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais.
Definições
- O conceito de dados pessoais deve ser restringido ou alargado?
- A conceituação da atividade de tratamento de dados pessoais é problemática?
- Deve haver uma diferenciação entre dados pessoais e dados sensíveis?
- O conceito de dados sensíveis deve ser restringido ou alargado?
- Dados anônimos devem ser considerados dados pessoais?
- Dados anônimos devem estar dentro do escopo de aplicação da lei?
- Quais devem ser as obrigações legais para prevenção e segurança com relação à
- Qual deve ser o critério adotado para permissão de procedimentos de anonimização?
- Qual deve ser a definição de “bancos de dados” na lei?
- As pessoas jurídicas deveriam ser também consideradas como titulares de dados
- Com relação à definição de “titular”, deve haver direito de herança aplicável a dados
- Qual deve ser a definição de “responsável” pelo tratamento de dados pessoais na lei? . 64
- Como deve ser definido o ato de “dissociação” de dados pessoais?
- Como deve ser definido o “bloqueio” de dados pessoais?
- A definição de “cancelamento” deve abranger apenas uma determinada base de
- Qual deve ser a definição legal de “uso compartilhado de dados”?
- Qual deve ser a definição legal de “encarregado”, indicado pelo responsável pelo
- A lei deve trazer outras definições? Quais?
No total, foram utilizados 24 (vinte e quatro) substantivos para descrever a atividade de tratamento de dados pessoais. O conceito de “tratamento” deverá abranger qualquer tratamento de dados – e não apenas o tratamento de dados pessoais.
Princípios gerais para o tratamento de dados pessoais
- Propostas gerais sobre os princípios para o tratamento de dados pessoais
- O princípio da finalidade deve ser flexibilizado? Como?
- Princípio da adequação: debates sobre “finalidade almejada” e “legítima expectativa”
- Princípio da necessidade: como definir que um tratamento foi o “mínimo necessário”? . 81
- Princípio da qualidade dos dados: responsabilidade e atualização
- Princípio da transparência
- Princípio da segurança
- Princípio da prevenção
- Princípio da não discriminação
- Dever de publicidade de atividades de tratamento de dados dos órgãos públicos
- Aplicação dos princípios de finalidade, adequação e necessidade ao uso compartilhado
- Existem outros princípios que devem ser positivados na lei?
I – princípio da finalidade, segundo o qual o tratamento deverá ser realizado para fins devidamente divulgados ao titular; I – princípio da finalidade, segundo o qual o tratamento deverá ser realizado para fins legítimos, devidamente informados pelo titular; I - princípio da finalidade, segundo o qual o tratamento deverá ser realizado para fins legítimos e conhecidos do titular;
IX – o princípio da não discriminação: segundo o qual o tratamento não poderá ser realizado para fins discriminatórios.
Consentimento como requisito para o tratamento de dados pessoais
- Vedação do tratamento de dados pessoais cujo consentimento foi obtido mediante erro,
- A adjetivação imposta ao consentimento deve ser restringida ou ampliada?
- Vedação do consentimento como condição para fornecimento de produto ou serviço
- Qual deve ser a forma para se operacionalizar o consentimento e o controle sobre os
- Comentários sobre a revogação do consentimento
- Sugestões de novas definições e deveres relacionados ao consentimento
5. O consentimento deve referir-se a finalidades específicas, sendo nulas as autorizações genéricas para o tratamento de dados pessoais. Deve ser explicitamente declarado que o consentimento deve ser renovado para cada nova finalidade de tratamento de dados pessoais. ALTERAÇÃO] VII - consentimento: é a manifestação livre, inequívoca e informada do titular para o tratamento de seus dados pessoais;
ALTERAÇÃO] §3º O consentimento deverá ser dado de qualquer forma, cabendo ao responsável pelo tratamento dos dados pessoais comprovar o consentimento.
Consentimento de menores de idade para o tratamento de seus dados pessoais
O titular de dados pessoais menor de dezoito anos poderá dar consentimento para o tratamento de dados pessoais de que trata esta Lei somente de acordo com o disposto na Lei Federal nº. 10.406, de 10 de janeiro de 2002 (Código Civil). 8. O titular de dados pessoais com idade entre doze e dezoito anos pode dar consentimento para tratamento que tenha em conta a sua particularidade enquanto pessoa em desenvolvimento, ressalvada a possibilidade de revogação do consentimento pelos pais ou tutores legais, para seu maior benefício. 8º O titular de dados pessoais com idade entre doze e dezoito anos poderá dar consentimento para o tratamento de seus dados pessoais, devendo ser levada em consideração no tratamento sua particularidade como pessoa em desenvolvimento, ressalvada a possibilidade de revogação do consentimento por pais ou responsáveis legais, no seu melhor interesse.
8º O titular de dados pessoais entre doze e dezoito anos poderá dar consentimento para tratamento que leve em consideração sua particularidade como pessoa em desenvolvimento, ressalvada a possibilidade de revogação do consentimento pelos pais ou responsáveis legais, no seu melhor interesse.
Hipótese de fornecimento de consentimento de menores de idade por pais ou responsáveis
A lei deve especificar como os pais ou tutores legais podem consentir no tratamento de dados pessoais de crianças menores de 12 anos. 9 - No caso do titular de dados pessoais até doze anos de idade, o consentimento deverá ser dado pelos seus pais ou responsáveis legais. 9º No caso do titular de dados pessoais menor de doze anos, o consentimento será dado pelos pais ou responsáveis legais, devendo o tratamento dos seus dados ter em conta a sua particular condição de pessoa em desenvolvimento.
9º No caso do titular de dados pessoais menor de doze anos, o consentimento será dado pelos pais ou responsáveis legais, e o tratamento deverá levar em consideração a sua condição particular de pessoa em desenvolvimento.
Elementos necessários para o fornecimento do consentimento para tratamento de dados
- Informações ao titular de dados pessoais para obtenção do consentimento
- Dever de informar a finalidade específica do tratamento de dados pessoais
- Dever de informar a forma e a duração do tratamento de dados pessoais
- Dever de informar dados de contato do responsável pelo tratamento de dados pessoais117
- Dever de informar as responsabilidades dos agentes que realizarão o tratamento de
- Dever de informar os direitos do titular: a possibilidade de acesso e retificação dos
- Dever de informar os direitos do titular: nulidade do consentimento
- Dever de informar os direitos do titular: casos de obtenção de novo consentimento
- Novos deveres de comunicação de informações ao titular de dados pessoais
- Dever de informar o titular de dados pessoais continuamente
- Previsão de encerramento da relação contratual, caso haja revogação do
A lei deverá especificar como cumprir a obrigação de informar o titular dos dados pessoais no momento da obtenção do consentimento. A lei deverá prever o dever de informação ao responsável pelo tratamento, definido pelo responsável pelo tratamento dos dados pessoais. A obrigação de fornecer dados de contacto atualizados do responsável pelo tratamento dos dados pessoais deve ser cumprida através do site.
A lei deverá isentar as atividades de pesquisa de mercado da obrigação de informar continuamente o titular dos dados pessoais.
Hipóteses de dispensa do consentimento
- Deve haver a definição de “dados de acesso público irrestrito”? Qual deve ser ela?
- As exceções à regra do consentimento devem ser ampliadas ou restringidas?
- Dever de tratamento exclusivo para as finalidades e por menor tempo possível nos
- Responsabilização em caso de descumprimento de dever de informação do titular em
- Obrigações e exceções adicionais nas hipóteses de dispensa do consentimento
3º Em caso de descumprimento do disposto no §2º, o operador ou o responsável pelo tratamento dos dados poderá ser responsabilizado. A utilização de dados pessoais com acesso público limitado não deve permitir o cruzamento dos mesmos com outra base de dados pessoal. O tratamento de dados pessoais sem o consentimento do titular só deverá ser feito mediante ordem judicial [Felipe].
INCLUSÃO] VIII - atender ao interesse legítimo do controlador ou de terceiro a quem os dados sejam comunicados;
Dados pessoais sensíveis
- Propostas gerais sobre tratamento de dados sensíveis
- Como deve ser dado o consentimento para tratamento de dados sensíveis?
- Exceções da regra de consentimento especial para dados sensíveis para a
- Exceção à regra de consentimento especial para dados sensíveis para realização de
- Exceção à regra de consentimento especial para dados sensíveis para exercício regular
- Exceção à regra de consentimento especial para dados sensíveis para proteção da vida
- Exceção à regra de consentimento especial para dados sensíveis para tutela da saúde149
- Quem pode tratar dados sensíveis? A quem a lei vai tutelar?
- Vedação ao tratamento de dados pessoais sensíveis “em detrimento do titular”
- Quem pode dirimir dúvidas acerca da sensibilidade de dados pessoais?
2º O tratamento de dados pessoais sensíveis não deverá ser realizado em prejuízo do titular, salvo nos casos determinados por legislação especial. Além desta discussão, outros participantes também opinaram sobre formas de autorizar o tratamento de dados sensíveis. A lei deve prever uma exceção à regra do consentimento específico para garantir a utilização de dados sensíveis na execução de procedimentos pré-contratuais e/ou contratuais em que o titular dos dados esteja inserido numa relação jurídica.
Não deverá haver proibição de tratamento de dados pessoais sensíveis “em prejuízo do titular”.
Medidas adicionais de segurança ou de proteção a dados pessoais sensíveis
- O órgão competente deverá ter competência para estabelecer medidas adicionais de
- Necessidade de autorização prévia do órgão competente para determinadas
- Tratamento de dados biométricos e órgão competente
2º O tratamento de dados pessoais biométricos será regulamentado pela autoridade competente, que determinará as hipóteses em que os dados biométricos serão tratados como dados pessoais sensíveis. Para métodos de tratamento de dados pessoais sensíveis, a lei não deve estipular a necessidade de autorização prévia da autoridade competente. A lei deve estipular que os métodos de tratamento de dados pessoais sensíveis determinados pela autoridade competente dependerão também da obtenção de consentimento especial do titular.
1º A realização de determinados tipos de tratamento de dados pessoais sensíveis poderá estar sujeita a autorização prévia de órgão competente, bem como a consentimento especial do titular, nos termos da regulamentação.
Término do tratamento de dados pessoais
- Término do tratamento de dados pessoais por finalidade alcançada
- Período de tratamento de dados pessoais
- Término do tratamento de dados pessoais por comunicação do titular
- Término do tratamento de dados pessoais por determinação do órgão competente
A autoridade competente poderá fixar prazos máximos para o tratamento de dados pessoais, nos casos previstos na lei. O tratamento de dados pessoais só poderá ser encerrado mediante notificação do titular. quando surgirem razões imperiosas e legítimas. A lei deve estipular que a decisão de cessar o tratamento de dados pessoais deve ter em conta a razoabilidade e a proporcionalidade.
Órgão O órgão competente fixa prazos máximos para o tratamento de dados pessoais, ressalvados os casos previstos em legislação específica.
Cancelamento e conservação de dados pessoais
- Dever de cancelamento: cumprimento de dever legal, legítimo interesse, dissociação e
- Conservação de dados pessoais para fins de pesquisa
- Conservação de dados para cessão a terceiros
- Novas hipóteses de conservação de dados pessoais
- A possibilidade de o órgão competente estabelecer hipóteses específicas de
A lei deve permitir o armazenamento de dados pessoais para fins de pesquisa de mercado e exigir o cancelamento no caso de pesquisa estatística. A transferência de dados para terceiros não deve ser motivo para armazenar dados pessoais após o término do processamento. A possibilidade de o órgão competente estabelecer hipóteses específicas para o armazenamento de dados pessoais.
A lei não deve permitir que o órgão competente crie hipóteses para o armazenamento de dados pessoais.
A titularidade dos dados pessoais
III – transferência a terceiros, nos termos deste dispositivo, desde que atendidos os requisitos de tratamento de dados previstos nesta Lei. Órgão O órgão competente poderá estabelecer hipóteses específicas para a preservação dos dados pessoais, que respeitem os direitos do titular, salvo disposição em legislação específica. Toda pessoa física tem garantida a propriedade de seus dados pessoais, o que garante os direitos fundamentais previstos na Constituição Federal.
A toda pessoa física é garantida a propriedade dos seus dados pessoais, o que garante os direitos fundamentais à liberdade, à intimidade e à privacidade nos termos desta lei.
Direitos do titular dos dados pessoais
- Considerações gerais sobre a garantia de direitos ao titular dos dados pessoais
- Direito de confirmação da existência de tratamento de dados pessoais
- Direito de acesso aos dados
- Direito de correção de dados incompletos, inexatos ou desatualizados
- Direito de dissociação, bloqueio ou cancelamento de dados desnecessários, excessivos
- Propostas de novos direitos do titular dos dados pessoais
- Oposição a tratamento realizado por hipótese de dispensa de consentimento
- O exercício dos direitos do titular mediante seu requerimento a agentes de tratamento
- Casos de impossibilidade de cumprimento imediato de pedido relacionado a direito
- Gratuidade no atendimento de pedidos relacionados a direitos dos titulares dos dados
- Dever do responsável de informar a terceiros a quem os dados tenham sido
IV - desligamento, bloqueio ou cancelamento de dados desnecessários, redundantes ou tratados em desacordo com o disposto nesta lei. O direito de desligamento, bloqueio ou cancelamento de dados pessoais deverá ser limitado no caso de dados pessoais tratados em desacordo. com a lei. MODIFICAÇÃO] IV – desligamento, bloqueio ou cancelamento de dados tratados em desconformidade com o disposto nesta lei;
O exercício dos direitos do Titular mediante solicitação aos agentes de tratamento de dados pessoais para o tratamento de dados pessoais.
Exercício do direito de confirmação de existência ou acesso a dados pessoais
- Prazos para o exercício dos direitos de confirmação de existência ou de acesso a dados
- Propostas de exclusão ou modificação das definições para exercício dos direitos e
- Como a lei deve abordar a questão do formato dos dados a serem disponibilizados aos
- Meio de disponibilização de informações e dados requeridos pelo titular dos dados
- Controvérsia sobre a possibilidade de o órgão competente dispor sobre os formatos
Exercer o direito de confirmar a existência ou o acesso aos dados pessoais. acesso aos dados dos titulares. Prazos para exercício de direitos de confirmação da existência ou acesso a dados pessoais. O pedido de acesso aos dados pessoais deverá estar condicionado a um pedido oficial do titular ao responsável.
A confirmação da existência ou do acesso aos Dados Pessoais será fornecida ao controlador mediante solicitação formal, a critério do titular.
Direito de revisão de decisões tomadas com base no tratamento automatizado de dados
- Fornecimento de informações adequadas sobre decisões tomadas com base no
A lei não deve criar o direito de revisão de decisões tomadas com base no tratamento automático de dados pessoais. A lei deve criar uma exceção ao direito de revisão de decisões tomadas com base no processamento automatizado de dados para fins de pesquisa de mercado. Fornecimento de informação suficiente sobre as decisões tomadas com base no tratamento automático de dados pessoais. tratamento automático de dados pessoais.
A lei não deve prever o fornecimento de informações adequadas sobre as decisões tomadas com base no tratamento automatizado de dados pessoais.
Vedação ao uso de dados pessoais referentes a exercício regular de direitos pelo titular em
2º Fica excluído o tratamento de dados pessoais necessários ao cumprimento de obrigações legais, com respeito pelos segredos comerciais e industriais. Proibição da utilização de dados pessoais no âmbito do exercício regular de direitos pelo titular em prejuízo do titular. A lei não deve proibir a utilização de dados pessoais em detrimento do titular dos dados em relação aos dados obtidos legalmente.
Os dados pessoais relativos ao exercício regular de direitos do titular não podem ser utilizados em prejuízo do titular.
Tutela coletiva dos direitos dos titulares dos dados pessoais
- Normas corporativas globais como meio de obtenção de permissão para
- Poder de requisição de informações suplementares e diligências na análise de
- Novas propostas sobre autorização para transferência internacional de dados
Nos casos de comunicação ou interligação de dados pessoais, o procurador estará sujeito às mesmas obrigações legais e regulamentares do cedente, com quem responderá solidariamente pelos danos causados. Nos casos de comunicação ou interligação de dados pessoais, o cessionário estará sujeito às mesmas obrigações legais e regulamentares do cedente. Nos casos de comunicação ou interligação do tratamento de dados pessoais, a pessoa autorizada estará sujeita às mesmas obrigações legais e regulamentares do cedente, com quem responderá solidariamente pelos danos causados.
Deveria haver uma exceção ao requisito de consentimento para a interligação de dados para fins estatísticos, académicos ou de investigação.
Responsabilidade solidária do cedente e cessionário pelo tratamento de dados pessoais . 232
Permissão de tratamento de dados pessoais transferidos de país estrangeiro
Normas suplementares para identificação de operação de tratamento como transferência
Responsabilidade civil dos agentes do tratamento de dados pessoais
- Qual deve ser a responsabilidade civil dos agentes de tratamento de dados pessoais?236
- Ônus da prova em responsabilização de agentes de tratamento de dados pessoais
Eventual dispensa da exigência do consentimento e observância dos princípios gerais e
Aplicação de punições cabíveis a agentes do tratamento de dados pessoais de órgãos
Competências e responsabilidades relativas à gestão de base de dados de órgão públicos e
Responsável e operador: definições e responsabilidades
- Atribuições legais do operador do tratamento de dados pessoais
- As figuras do “operador” e do “responsável” devem ser solidariamente responsáveis
- Determinação para o responsável elaborar relatório de impacto à privacidade
Dever de manutenção de registro das operações de tratamento de dados pessoais pelo
- Poderes do órgão competente sobre o registro das operações de tratamento de dados
Encarregado pelo tratamento de dados pessoais
- Qual deve ser o escopo das atribuições do encarregado pelo tratamento de dados
- Hipóteses de dispensa no dever de indicação de um encarregado pelo tratamento de
- Dever de informação da identidade e contato do encarregado
- Atividades do encarregado pelo tratamento de dados pessoais
Segurança e sigilo dos dados pessoais
Dever de sigilo dos agentes de tratamento de dados pessoais
Comunicação de incidentes de segurança que possam acarretar prejuízos aos titulares de
- Como deve ser feita a comunicação, entre o responsável e o órgão competente, sobre
Determinação de adoção de providências quanto a incidentes de segurança relacionados a
- Pronta comunicação aos titulares de incidentes de segurança relacionados a seus
Obrigações direcionadas aos sistemas utilizados para o tratamento de dados pessoais
Poder normativo do órgão competente quanto a critérios e padrões mínimos de segurança264
- Reconhecimento e divulgação de boas práticas por parte do órgão competente
Estímulo à adoção de padrões técnicos que facilitem a disposição dos titulares sobre seus
Sanções administrativas
- Propostas gerais sobre sanções administrativas
- Propostas sobre multa simples ou diária
- Propostas sobre sanção de publicização da infração
- Propostas sobre sanções que determinem dissociação, bloqueio ou cancelamento de
- Sanções que determinem a suspensão de operação de tratamento de dados pessoais
- Aplicação cumulativa de sanções
- Procedimentos e critérios para aplicação das sanções administrativas
- Prorrogação de prazos de sanções de proibição pelo órgão competente
- Possibilidade de aplicação de sanções administrativas, civis e penais previstas em
- A que sanções os órgãos públicos devem estar sujeitos? Deve haver diferença entre
Disposições transitórias e finais
Vacatio legis
LISTA DE PARTICIPANTES
