aula6 Proteção e Governança de Dados

Prévia do material em texto

AULA 6 
 
 
 
 
 
 
 
 
 
 
PROTEÇÃO E GOVERNANÇA 
DE DADOS 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Prof. Daniel Freitas 
 
 
2 
TEMA 1 – HISTÓRICO, ABRANGÊNCIA E CONCEITOS 
Vivemos a época da data-driven economy, uma “economia dirigida aos 
dados”, uma vez que o tratamento e a manipulação de dados representam o maior 
capital que uma empresa pode manter. 
As novas tecnologias da informação, “big data1” e “big analytics2”, 
trabalham com os princípios de volume, velocidade e variedade (3V), e um quarto 
‘V’ pode ser incluído, a veracidade. 
Com base na coleta e no registro de dados, são atribuídas utilizações e 
aplicações que não seriam sequer imagináveis há poucos anos, impondo-se a 
necessidade de regulamentação do tema, sob pena de utilização e invasão sem 
limites dos dados das pessoas. 
Embora a coleta de dados possa ser uma ferramenta mais antiga, foi 
apenas a partir do ano 2000 que se articularam as primeiras informações a 
respeito do tema. 
Hoje, entende-se que circulam nas redes aproximadamente 3 zetabytes 
de dados3 (um número praticamente inconcebível na mente humana), e as 
ciências dos dados (data science), vão além: 
• 235 terabytes de dados foram coletados pela Biblioteca do Congresso dos 
Estados Unidos da América em 2011. 
• A administração Obama investiu mais de U$ 200 milhões em pesquisas 
relacionadas a big data. 
• Até 2020, os negócios B2B e B2C alcançarão 450 bilhões por dia. 
• Facebook armazena, acessa e analisa mais de 30 pentabytes de dados 
gerados pelos usuários. 
• Walmart manipula mais de 1 milhão de transações de consumidores por 
hora, que são importadas de bases de dados que contêm mais de 2.5 
pentabytes de dados. 
 
1 Big Data é uma expressão que designa a grande quantidade de dados que uma empresa 
mantém e o que ela faz com cada um deles, alinhando estratégias e negócios. Também representa 
o volume de dados diariamente gerados no ambiente da internet. 
2 Big Analytics ou Data Analytics é o minucioso processo de análise de dados com base nas 
informações colhidas dos usuários dos ambientes físicos e virtuais. Essa expressão vem sempre 
associada à “mineração” de dados, que é a busca profunda e minuciosa de dados nas redes 
virtuais. 
3 Confira: <https://wdr2021.worldbank.org/stories/crossing-borders/>. Acesso em: 20 jul. 
2023. 
 
 
3 
• Mais de 5 bilhões de pessoas fazem ligações, enviam mensagens de texto 
e acessam a internet de seus celulares ao redor do mundo. 
• 4,6 bilhões de arquivos foram acessados indevidamente ou furtados em 
2018. 
• R$ 80 bilhões é o que o Brasil perdeu em 2018 por conta de ataques 
cibernéticos. 
• Houve 89 mil notificações de vazamento de dados na União Europeia em 
um ano de vigência da GDPR (General Data Protection Regulation). 
• 85% é o percentual de empresas que declararam não estarem preparadas 
minimamente para atender à LGPD (Lei Geral de Proteção de Dados 
Pessoais), em agosto/2019. 
• Em 2008, o Google processou 20 mil terabytes de dados por dia. 
Inúmeras outras informações estatísticas, inclusive mais recentes, 
poderiam ser colhidas, demonstrando um número impensável de movimentações 
de dados movimentados no ambiente virtual, e evidentemente o Direito não pode 
ficar à margem dessas situações. 
O início de toda essa dinâmica de dados e informações4 é a coleta, o que 
ocorre cada dia mais, desde um cadastro de Recursos Humanos em uma 
microempresa até uma negociação firmada pelo administrador de uma 
multinacional em outro país; da portaria de um prédio até os dados fiscais sigilosos 
mantidos pela Receita Federal. 
Nós, indivíduos e cidadãos, não podemos ficar à mercê de novas 
tecnologias e rastreamento de informações pela internet que sequer sabemos ou 
conhecemos, não tendo a mínima opção de evitar ou autorizar a coleta de dados 
em nosso nome e das nossas movimentações virtuais. 
Basicamente, parte-se da evolução do conceito de “privacidade”, que 
historicamente estava relacionado à ideia de exclusão de terceiros; para a atual 
compreensão, tem-se o sentido de que cada indivíduo determine as informações 
sobre si que devem ser protegidas – autodeterminação informativa; incluem-se, 
mas limitam-se os terceiros, conforme desejo do titular dos dados5. 
 
4 Falamos sobre essa distinção no último estudo, mas os termos podem ser intercambiáveis, 
lembrando que, de regra, um dado isolado não permite identificação, nem interpretação; não tem 
importância para a proteção; mas a informação já é o dado, ou os dados, assimilados e 
interpretados. 
5 Privacidade, de forma ampla, vista como o direito de ser deixado só, é o resguardo contra 
interferências alheias, o segredo, a vida privada, o dever geral de abstenção. 
 
 
4 
Nesse contexto, a sociedade que se preocupa com os direitos 
fundamentais de seus indivíduos, em especial a proteção da privacidade e 
intimidade, também se organiza para regulação da propriedade de dados, 
evitando que a manipulação das informações gere concentração de rendas e 
riquezas em nossa sociedade, já tão desigual. 
Lembramos o que já aprendemos em outros estudos: a partir da segunda 
metade do século XX houve uma intensa preocupação com a proteção dos dados 
pessoais diante da Terceira Revolução Industrial, ou Primeira Revolução 
Tecnológica. 
Assim, em 1970, em Hesse, na Alemanha, é editada a primeira lei a 
respeito do tema; em 1973, na Suécia, surge o Estatuto para Bancos (primeira lei 
nacional, inclusive com uma autoridade responsável); e, em 1974, o Privacy Act 
nos EUA (tratando de atos do Governo). 
Os princípios comuns dessas e de outras leis e a crescente expansão 
tecnológica acarretam a manifestação de organismos internacionais e 
comunitários a respeito do tema. São os casos da Organização das Nações 
Unidas – ONU (confira Resolução sobre Direito à Privacidade na Era Digital), da 
Organização para Cooperação e Desenvolvimento Econômico – OCDE e da 
União Europeia, que após a Diretiva 95/46-CE editou o Regulamento 2016/679 – 
GDPR, já estudado. 
No Brasil, a privacidade também é tutelada por uma espécie de Sistema 
de Proteção da Privacidade, com leis ordinárias, como Lei do Habeas Data, Lei 
de Arquivos Públicos, Código Civil, Código de Defesa do Consumidor, Lei de 
Acesso à Informação, Lei do Cadastro Positivo, Marco Civil da Internet e pela 
própria Constituição (Brasil, 1988), como o inc. X, do art. 5º, que trata de direitos 
e garantias fundamentais. 
Uma legislação específica sobre proteção de dados era há muito 
aguardada em solo brasileiro, inclusive para alinhamento com as normas 
protetivas europeias e os movimentos realizados no Mercosul, no qual a Argentina 
e o Uruguai têm importantes regras a respeito do tema. 
A Lei n. 13.709/2018 (Brasil, 2019) – Lei Geral de Proteção de Dados 
(LGPD) – iniciou-se com o projeto de lei sob n. 4.060, de 13/06/2012, do deputado 
Milton Monti, do PR-SP. 
 
 
5 
O projeto caminhou com a morosidade habitual das Casas Legislativas; 
nos anos de 2015-2017 foram realizadas apenas algumas audiências públicas e 
debates com entidades da Administração Pública e da sociedade civil. 
O projeto recebeu maior atenção quando lhe foi apensado o PL 
5.276/2016, do Executivo (do Ministério da Justiça), que acarretou a tramitação 
“prioritária” da medida com a organização de uma Comissão Especial para sua 
apreciação. Apenas em 29/05/2018 é que o projeto foi aprovado na Câmara dos 
Deputados, tendo por relator o deputado Orlando Silva, do PcdoB-SP. Após célere 
tramitação no Senado Federal (PLC 53/2018), também foi inteiramente aprovado, 
indo para sanção presidencial. 
O então presidente da República, Michel Temer, vetou parcialmente o 
projeto, deixando para norma posterior a criação da Autoridade Nacional de 
Proteção de Dados (incluída posteriormente pela Lei 13.853/20196). 
O projeto recém-aprovado recebeu o número 13.709 (Brasil, 2018) e foi 
publicado em 14 de agosto de 2018, com vacância de 24 mesespara a vigência 
de seu texto principal, o que importa o início da sua vigência para agosto de 
2020. 
Finalmente, o Brasil se juntou a outros (pelo menos) 117 países que 
contam com lei regulamentando a proteção de dados, o que amplia e fortifica os 
laços comerciais com outras nações e blocos econômicos7. 
Figura 1 – Leis e Projetos de Lei gerais sobre proteção de dados e privacidade 
em 2018 
 
6 Lei de 08/07/2019, referente à conversão da Medida Provisória n. 869/2018. 
7 Vide: https://blog.tail.digital/lgpd-tudo-o-que-voce-precisa-saber-e-como-se-adaptar/. 
Acesso em: 7 dez. 2019. 
 
 
6 
 
Crédito: Arunas Gabalis/Shutterstock. 
Vale dizer que, talvez, na data em que você estiver estudando e assistindo 
ao presente conteúdo, a lei ainda esteja em vacatio legis, portanto, é o momento 
exato para preparação para aplicação da prática legal de proteção de dados; após 
sua vigência, certamente muitas interpretações e debates serão travados no 
ambiente político, na academia e no Judiciário, dando diferentes compreensões à 
sua aplicabilidade, extensão e efeitos. 
1.1 Aspectos gerais da norma 
A norma se inicia com a seguinte disposição elucidativa: “Art. 1º Esta Lei 
dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por 
pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo 
de proteger os direitos fundamentais de liberdade e de privacidade e o livre 
desenvolvimento da personalidade da pessoa natural”. 
A Lei regulamenta o tratamento de dados pessoais, inclusive digitais, 
operado por pessoa física ou jurídica, de direito público ou privado. Seus objetivos 
enunciados são a proteção aos direitos fundamentais da liberdade e da 
privacidade, bem como o livre desenvolvimento da personalidade da pessoa 
física. 
 
 
7 
Evidentemente, a norma alcança dados de pessoas jurídicas na medida 
em que esses dados apontem para a pessoa física de seu sócio, administrador 
ou funcionários; portanto, a abrangência subjetiva (do sujeito) é ampla. 
A norma obriga as entidades no âmbito da União e das três esferas: 
federal, estadual (distrital) e municipal, o que obriga que toda a Administração 
Pública a ela se submeta e providencie meios legais para dar total cumprimento à 
proteção de dados. 
O art. 2o da Lei orienta os fundamentos a guiar a sua aplicação e 
interpretação: 
I – o respeito à privacidade; 
II – a autodeterminação informativa; 
III – a liberdade de expressão, de informação, de comunicação e de 
opinião; 
IV – a inviolabilidade da intimidade, da honra e da imagem; 
V – o desenvolvimento econômico e tecnológico e a inovação; 
VI – a livre iniciativa, a livre concorrência e a defesa do consumidor; e 
VII – os direitos humanos, o livre desenvolvimento da personalidade, a 
dignidade e o exercício da cidadania pelas pessoas naturais. (Brasil, 
2018) 
Os arts. 3o e 4o dizem quando a norma se aplica, e quando não se aplica. 
Em síntese, a norma se aplica mediante a ocorrência do tratamento realizado 
por pessoa física ou jurídica, em solo nacional, independentemente do meio 
pelo qual se realiza o ato (físico ou virtual), e independentemente do país da 
sua sede ou onde estejam localizados os dados. Também deve ocorrer uma 
das seguintes condutas: 
1) A atividade de tratamento tenha por objetivo a oferta ou o fornecimento de 
bens ou serviços ou o tratamento de dados de indivíduos localizados no 
território nacional; ou, 
2) Os dados tenham sido coletados em solo nacional. 
As exceções são: 
1) Tratamento realizado por pessoa física, de forma particular, sem fins 
econômicos. 
2) Realizado para fins exclusivamente jornalísticos, artísticos ou acadêmicos. 
3) Realizado para fins exclusivamente de segurança pública, defesa nacional, 
ou atividade de repressão e investigação penal. 
4) Tratamento de dados de fora do território nacional, desde que o país de 
origem proporcione grau de proteção de dados pessoais adequado ao 
previsto na LGPD. 
 
 
8 
A leitura atenta do art. 5o da LGPD orienta acerca dos conceitos aplicáveis 
à melhor compreensão normativa, como dados pessoais, dados sensíveis, banco 
de dados, tratamento etc. É o “dicionário” da LGPD. 
Em suma, são esses os elementos primordiais para iniciar uma melhor 
compreensão do contexto, da origem, da aplicabilidade e da extensão do texto 
normativo e protetivo ora sob estudo. 
TEMAS 2 – PRINCÍPIOS E TRATAMENTO DE DADOS PESSOAIS 
Sempre que estudamos um tema jurídico, é importante analisar os 
princípios que o amparam, pois tratam dos seus valores intrínsecos e das balizas 
que vão reger o tema. 
O art. 6o da LGPD traz alguns importantes princípios norteadores da norma, 
a saber: boa-fé, finalidade, adequação, necessidade, livre acesso, qualidade 
de dados, transparência, segurança, prevenção, não discriminação e 
responsabilização. Cada um deles é seguido da sua aplicação e abrangência, 
conforme o legislador determinou. 
O princípio essencial é o da boa-fé, que já vem enunciado no Código Civil 
em dezenas de artigos, sendo base para as relações contratuais (vide, p, ex., art. 
113), e no Código de Defesa do Consumidor, para as relações entre fornecedores 
e consumidores. 
A boa-fé trata da regra ética de conduta de todo ser humano; é dizer que 
todos devem guardar fidelidade e lealdade à palavra dada, sem frustrar ou abusar 
da confiança que constitui a base imprescindível das relações humanas. Agir de 
outra forma acarretaria intensa insegurança nas relações cotidianas. Sendo 
assim, todas as condutas do ser humano devem ser pautadas pela boa-fé como 
regra, e o agir diverso deve ser comprovado. 
No tratamento, uso e manipulação de dados, essa é a regra, bem como a 
finalidade, que trata exatamente da realização do tratamento para propósitos 
legítimos, específicos, explícitos e informados ao titular, sem possibilidade de 
tratamento posterior de forma incompatível com essas finalidades. Isso importa 
em manter em relação ao tratamento de dados a boa-fé, o livre consentimento e 
os demais princípios que se inter-relacionam. 
A adequação traz a compatibilidade do tratamento às finalidades 
informadas ao titular, de acordo com o contexto do tratamento. Vale dizer que 
 
 
9 
novamente se observa a boa-fé no que tange a não realizar condutas diversas 
daquelas inicialmente consentidas. 
A necessidade comporta a limitação do tratamento ao mínimo necessário 
para a realização de suas finalidades, com abrangência dos dados pertinentes, 
proporcionais e não excessivos em relação às finalidades do tratamento de dados. 
Observe como a finalidade e a boa-fé estão envolvidas nesses princípios. 
O uso dos dados não pode ser para toda sorte de pretensões imagináveis, 
mas deve se ater ao mínimo necessário dentro dos propósitos lícitos do agente 
de tratamento. Não há necessidade, por exemplo, de solicitar título de eleitor para 
uma consulta no médico, ou um registro na portaria de um prédio. Deve-se evitar 
os absurdos. 
O livre acesso é outro princípio. Ele visa a garantia, aos titulares, de 
consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como 
sobre a integralidade de seus dados pessoais. Respeita direitos do titular de 
dados, que deve ter liberdade e ciência acerca dos seus próprios dados, 
respeitando seu direito fundamental à privacidade. 
A qualidade dos dados trata da garantia, aos titulares, de exatidão, 
clareza, relevância e atualização dos dados, de acordo com a necessidade e para 
o cumprimento da finalidade de seu tratamento. 
Já a transparência, importante regra do Direito, traz a garantia, aos 
titulares, de informações claras, precisas e facilmente acessíveis sobre a 
realização do tratamento e os respectivos agentes de tratamento, observados os 
segredos comercial e industrial. A exceção deve ser clara e evidente ao titular dos 
dados. 
A segurança é um princípio que importa a utilização de medidas técnicas 
e administrativas aptasa proteger os dados pessoais de acessos não autorizados 
e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação 
ou difusão, ou seja, o controlador/operador deve adotar os meios mais modernos 
e abrangentes em matéria de segurança cibernética para atender à devida 
proteção dos dados que mantém. 
A prevenção deve atrair a adoção de medidas para prevenir a ocorrência 
de danos em virtude do tratamento de dados pessoais, e é exatamente o que faz 
o compliance dentro da empresa, ao elaborar a matriz de riscos e atuar de maneira 
prévia nos problemas eventualmente possíveis. 
 
 
10 
A não discriminação implica a impossibilidade de realização do 
tratamento para fins discriminatórios ilícitos ou abusivos. Noutras palavras, o 
controlador/operador não pode receber os dados para agir de forma 
discriminatória ou segregacional com os titulares, buscando informações para 
atentar contra qualquer cidadão. Abrange também a proteção dos dados sensíveis 
(a seguir mencionados), pois sua categorização está relacionada à percepção de 
que o armazenamento, o processamento e a circulação de alguns tipos de 
informações podem constituir um risco maior à personalidade individual, 
especialmente se usados de forma discriminatória. É exatamente o que outros 
textos normativos, como o GDPR, fazem. 
Finalmente, a responsabilização e a prestação de contas abrangem a 
devida demonstração, pelo agente, da adoção de medidas eficazes e capazes de 
comprovar a observância e o cumprimento das normas de proteção de dados 
pessoais e, inclusive, da eficácia dessas medidas, impondo, igualmente, o dever 
de prestar contas da sua utilização e proteção, bem como a aceitação da total 
responsabilidade por eventuais problemas ocorridos em suas bases de dados. 
2.1 Dos dados e tratamentos realizáveis 
Passando para o tema dos dados em si e do tratamento, para a LGPD, 
“dado pessoal” é a informação relacionada à pessoa natural identificada ou 
identificável; “dados sensíveis” são aqueles sobre origem racial ou étnica, 
convicção religiosa, opinião política, filiação a sindicato ou a organização de 
caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, 
dado genético ou biométrico, quando vinculado a uma pessoa natural. 
O tratamento, cerne da norma sob estudo, alcança inúmeras práticas, a 
saber, toda operação realizada com dados pessoais, como as que se referem à 
coleta, produção, recepção, classificação, utilização, acesso, reprodução, 
transmissão, distribuição, processamento, arquivamento, armazenamento, 
eliminação, avaliação ou controle da informação, modificação, comunicação, 
transferência, difusão ou extração. 
Assim, inúmeras condutas vêm como exemplo na norma, mas outras 
podem ser atribuíveis e classificadas como tratamento para fins de aplicação da 
LGPD, pois o rol é exemplificativo. 
A contrario sensu do disposto no art. 4o, que menciona quando a LGPD não 
será aplicada, o art. 7o dispõe quando o tratamento de dados poderá ser realizado 
 
 
11 
(e, via de consequência, quando a lei vai incidir). Nesse sentido, orienta que 
ocorrerá: 
I – mediante consentimento; 
II – para cumprimento de obrigação legal ou regulatória pelo controlador; 
III – pela Administração Pública, na forma que dispõe; 
IV – para a realização de estudos por órgão de pesquisa; 
V – quando necessário em contratos; 
VI – para o exercício regular de direito em processo judicial, 
administrativo ou arbitral 
VII – para proteção da vida ou incolumidade do titular ou terceiro; 
VIII – para tutela da saúde em procedimentos; 
IX – quando visa atender interesse legítimo do controlador, salvo 
exceção 
X – para proteção do crédito. (Brasil, 2018) 
Sobre o consentimento, ferramenta imprescindível nesse novo sistema, 
vem ele delineado no art. 8o, estabelecendo-se que deve ser fornecido por claro 
e não genérico, referindo-se a finalidades específicas, para cada espécie de 
tratamento (granular ou fatiado), sob pena de nulidade. 
Também deve ser por escrito ou por outro meio que demonstre 
efetivamente a manifestação de vontade do titular. 
A ideia, como já mencionado em outros momentos, é a autodeterminação 
informativa8: a pessoa titular define as informações que deseja disseminar, 
conforme as necessidades que possui. 
O consentimento, caso seja fornecido por escrito, deverá ser destacado das 
demais cláusulas, com a devida ênfase. A ideia é a conscientização do titular 
acerca dos dados que estará transmitindo, suas repercussões, extensão, prazo 
de manipulação etc. É como a disposição de certas cláusulas na esfera do 
consumidor, em que se exige a assinatura de ciência em determinadas cláusulas 
restritivas de direitos. 
O legislador enfatizou que o consentimento pode ser revogado a qualquer 
tempo, mediante manifestação expressa do titular, em procedimento gratuito, 
Vale ressaltar que a lei ressalva não ser necessário o consentimento para 
manipulação de dados que o próprio titular tornou público, mas manteve a 
proteção da lei para, por exemplo, caso queira retirar tais dados da posse de 
terceiros. Há também a exigência de novo consentimento em caso de 
transferência dos dados para terceiros. 
 
8 A proteção de dados como extensão dos direitos da personalidade, uma parte 
imprescindível do ser humano. 
 
 
12 
Por fim, o legítimo interesse do controlador é referido na legislação como 
sendo, por exemplo, apoio e promoção de suas atividades (como no caso da 
coleta de dados para fins publicitários) e proteção do exercício regular de direitos 
que o beneficiem diretamente. São fins específicos do controlador, dentro de um 
espectro de expectativas razoáveis do sujeito que concederá os dados (o titular). 
Acerca do acesso aos dados sensíveis, a lei exige que o consentimento 
seja específico nesse tocante, exceto nos seguintes casos, legalmente previstos: 
cumprimento de obrigação legal ou regulatória do controlador; tratamento pela 
administração pública para execução de políticas públicas; realização de estudos 
por órgãos de pesquisa; exercício regular de direitos em contrato e em processos 
judiciais, administrativos e arbitrais; proteção da vida ou incolumidade física do 
titular ou terceiro; tutela da saúde exclusivamente em procedimento da área; e 
garantia da prevenção à fraude e à segurança do titular nos processos de 
identificação e autenticação de cadastro em sistemas eletrônicos. 
A lei ressalta que os dados para tratamento da saúde não poderão ser 
utilizados pelos planos de saúde para fins de aferir riscos na contratação, bem 
como para obtenção de vantagens econômicas. 
De posse das informações primordiais da LGPD, é importante conhecer os 
principais atores a ela relacionados. 
TEMA 3 – SUJEITOS ENVOLVIDOS NA LGPD E DIREITOS DOS TITULARES DE 
DADOS 
A Lei Geral de Proteção de Dados define os seguintes sujeitos nas relações 
de tratamento de dados: 1) Titular; 2) Controlador; 3) Operador; 4) Encarregado. 
O controlador é definido como a pessoa natural ou jurídica, de direito 
público ou privado, a quem competem as decisões referentes ao tratamento de 
dados pessoais. O operador, por sua vez, é a pessoa que realiza o tratamento 
em nome do controlador. No GDPR, norma europeia já estudada, vemos que os 
termos, para tais papéis, são controller e processor. Ambos são os denominados 
“agentes de tratamento”, pela LGPD, que devem atuar em compliance com a 
norma regente e o sistema jurídico de proteção de dados. 
O art. 37 da LGPD orienta que esses agentes devem manter registro das 
operações de tratamento de dados pessoais que realizarem, especialmente 
quando for seu próprio e legítimo interesse (requisito acima referido). 
 
 
13 
Como comprovação e fiscalização da atuação dos agentes de tratamento, 
a autoridade nacional responsável poderá determinar que eles apresentem 
relatórios de impacto quanto à proteção de dados pessoais, especialmente os 
sensíveis,contendo os dados, a metodologia adotada para coleta e segurança e 
mitigação dos riscos. 
Independentemente da determinação da Autoridade, é evidente que tais 
relatórios são imprescindíveis para o dia a dia da atividade, ostentando a 
característica de ferramenta essencial para os gestores, em especial o 
encarregado e o compliance officer. 
Como o presente estudo refere-se apenas a uma noção geral, não 
entraremos em todos os meandros da lei, mas vale destacar uma importante 
responsabilidade dos agentes de tratamento relacionada à segurança (art. 46): o 
privacy by design, noção de que produtos e serviços precisam tomar a segurança 
e o sigilo de dados como um elemento a ser levado em conta em todas as suas 
fases de concepção, desenvolvimento, aplicação e avaliação. 
O conceito de privacy by design foi desenvolvido na década de 1990 por 
Ann Cavoukian, ex-comissária de Informação e Privacidade da Província de 
Ontário, no Canadá. A ideia é que o futuro da proteção de dados depende 
essencialmente de uma mudança organizacional, transformando o modo de 
operação padrão de entidades que lidam com produtos ou serviços que envolvem 
tratamento de dados ou que impactam a privacidade de seus usuários e terceiros 
envolvidos. 
É um repensar por parte de controladores e operadores, mesmo terceiros, 
acerca de como suas atividades podem impactar o usuário, orientando a 
concepção de um produto/serviço que deverá abarcar tecnologias que facilitem o 
controle e a proteção das informações pessoais de todos. 
Os objetivos do privacy by design, conforme sua autora, são alcançados 
por sete princípios fundamentais: 1) proatividade e prevenção; 2) privacidade por 
padrão (privacy by default); 3) privacidade incorporada ao design; 4) 
funcionalidade integral; 5) segurança em todo o ciclo de vida da informação; 6) 
transparência; e, 7) respeito à privacidade do usuário. 
Outro agente importante trazido pela legislação é o encarregado, definido 
pela lei como sendo a pessoa indicada pelos agentes de tratamento para atuar 
como canal de comunicação entre o controlador, os titulares de dados e a 
 
 
14 
Autoridade Nacional de Proteção de Dados (ANPD). É o denominado, em inglês, 
data protection officer – DPO, encarregado de proteção de dados. 
A função recebeu pouca atenção na LGPD, mas tem um trabalho 
extremamente relevante, pois centraliza em si a integralidade das atribuições 
relacionadas à proteção de dados, fazendo o elo direto com a Autoridade de 
Proteção de Dados, como uma ouvidoria, ou ombudsman, mas também 
trabalhando diretamente em conjunto com o compliane officer para atendimento e 
preservação das regras de proteção de dados dentro da empresa. 
Embora no GDPR seja facultativo (a regra cita os casos em que ele será 
exigível), na LGPD é obrigatório, uma vez que a norma diz que o controlador 
deverá indicar o encarregado, dando maior relevância para o cargo. 
A LGPD orienta que a identidade e as informações do encarregado deverão 
ser divulgadas publicamente, de forma clara e objetiva, de preferência na página 
eletrônica do controlador. Como funções do DPO brasileiro, cita: 
1) Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos 
e adotar providências. 
2) Receber comunicações da autoridade nacional e tomar providências. 
3) Orientar os funcionários e os contratados da entidade a respeito das 
práticas a serem tomadas em relação à proteção de dados. 
4) Executar atribuições determinadas pelo controlador ou estabelecidas na lei. 
Finalmente, a norma delega à autoridade nacional a possibilidade de 
fixação de outras regras a respeito do encargo, inclusive hipóteses de dispensa 
da sua indicação conforme porte e natureza da entidade, ou o volume de 
operações realizadas. Até lá, sua presença é exigível em todas as empresas, e 
diversos questionamentos se abrem, como, por exemplo, os que abordam a 
possibilidade de um mesmo encarregado para várias empresas, uma empresa 
terceirizada para atuação como contratada, uma acumulação de funções, dentre 
outros decorrentes. 
A função exige isenção, liberdade, autonomia, livre trânsito na instituição, 
confiança dos gestores, atuação sob sigilo, conhecimentos em Informática, 
Direito, Negócios e Gestão. 
As reflexões são mais aprofundadas no âmbito da Administração Pública, 
pois geram questionamentos sobre a colocação do profissional como servidor de 
carreira, efetivo, ou comissionado; aborda se há como acumular funções; se é 
possível a criação de cargo e o provisionamento de orçamento da instituição para 
 
 
15 
tal, dentre outras questões que merecem debate na instituição e, quiçá, com 
outras autoridades e dentro da academia. 
O titular dos dados, como já apontado, é a pessoa natural (física) a quem 
se referem os dados pessoais que são objeto de tratamento. 
A LGPD traz seu terceiro capítulo inteiramente dedicado aos “Direitos do 
Titular dos Dados”. Introduzindo o tema, esclarece o legislador que toda pessoa 
natural tem assegurada a titularidade de seus dados pessoais, garantidos os 
direitos fundamentais de liberdade, intimidade e privacidade na forma da lei. 
O art. 17, ora referido, poderia ser o 1o artigo da norma, pois determina sua 
relevância e abrangência, criando uma espécie de microssistema no ordenamento 
jurídico exclusivamente para proteção de dados pessoais de todas as pessoas 
naturais. 
A extensão também abrange os direitos fundamentais da liberdade, o que 
atrai a ideia do consentimento; da intimidade, para que não haja invasão nas 
esferas sensíveis e pessoais da pessoa; e da privacidade, que vai definir o âmbito 
em que os dados poderão ser utilizados. 
A tutela, ou proteção dos direitos do titular, será de acordo com o critério 
de análise – por exemplo: quanto ao conteúdo, poderá ser preventiva ou 
repressiva; quanto à forma de realização, poderá ser judicial ou extrajudicial, 
quanto ao agente, pessoal ou por terceiro, dentre outras formas classificatórias. 
A lei permite ao titular que obtenha seus dados, a qualquer momento, 
mediante requisição, podendo obter, em especial: 
I – confirmação da existência de tratamento; 
II – acesso aos dados; 
III – correção de dados incompletos, inexatos ou desatualizados; 
IV – anonimização, bloqueio ou eliminação de dados desnecessários, 
excessivos ou tratados em desconformidade com o disposto nesta Lei; 
V – portabilidade dos dados a outro fornecedor de serviço ou produto, 
mediante requisição expressa, de acordo com a regulamentação da 
autoridade nacional, observados os segredos comercial e industrial; 
VI – eliminação dos dados pessoais tratados com o consentimento do 
titular, exceto nas hipóteses previstas no art. 16 desta Lei; 
VII – informação das entidades públicas e privadas com as quais o 
controlador realizou uso compartilhado de dados; 
VIII – informação sobre a possibilidade de não fornecer consentimento e 
sobre as consequências da negativa; 
IX – revogação do consentimento, nos termos do § 5º do art. 8º desta 
Lei. (Brasil, 2018) 
Desse modo, tais direitos devem estar assimilados pelos gestores dos 
agentes de tratamento, sendo preservados em toda e qualquer situação, atuando 
como cerne de eventuais reclamações e queixas perante os órgãos pertinentes. 
 
 
16 
TEMA 4 – TRATAMENTO DE DADOS PESSOAIS PELO PODER PÚBLICO 
Para quem atua no setor público, é importante entender que as normas 
de proteção de dados têm profunda relevância e aplicabilidade. 
A LGPD enuncia, no art. 23, que o tratamento de dados operado pelas 
pessoas jurídicas de direito público deverá ser realizado para o atendimento de 
sua finalidade pública, na persecução do interesse público, com o objetivo de 
executar as competências legais ou cumprir as atribuições legais do próprio 
serviço público. 
O artigo faz menção ao tratamento realizado nos termos da Lei n. 
12.527/2011 (Brasil, 2011), a Lei de Acesso à Informação (LAI). 
A LAI tem abrangência em todas as esferasda Federação (União, 
Estados, Distrito Federal e Municípios), em todos os poderes, na administração 
direta e indireta, mesmo para entidades privadas sem fins lucrativos e que 
recebam recursos públicos diretamente do orçamento, ou noutras formas e 
especificações trazidas pela lei. 
A lei veio para o atendimento das principais regras constitucionais que 
tratam da responsabilidade da Administração Pública associada aos princípios da 
publicidade e da transparência. 
O inc. XXXIII, do art. 5o da CF apresenta o seguinte direito fundamental: 
“Todos têm direito a receber dos órgãos públicos informações de seu interesse 
particular, ou de interesse coletivo ou geral, que serão prestadas no prazo da lei, 
sob pena de responsabilidade, ressalvadas aquelas cujo sigilo seja imprescindível 
à segurança da sociedade e do Estado”. 
Esse inciso consagra o direito a todas as pessoas de receber da 
Administração Pública informações do seu interesse particular, coletivo 
(coletividades determinadas) ou geral. 
Também está decretado no texto constitucional que dependeria de 
regulamentação o acesso dos usuários a registros administrativos e a informações 
sobre atos de governo, observado o disposto no art. 5º, X e XXXIII. 
A norma estabelece que o direito de acesso à informação deve respeitar 
os princípios da Administração Pública, tendo a publicidade como regra e o sigilo 
como exceção; que as informações de interesse público devem ser divulgadas 
independentemente de solicitação; que devem ser utilizados meios de 
comunicação viabilizados pela área de TI; que a cultura da transparência deve ser 
 
 
17 
fomentada; e, por fim, deve-se promover o desenvolvimento do controle social da 
administração pública. 
O art. 5o, da LAI, estabelece que é dever do Estado garantir o direito de 
acesso à informação, mediante procedimentos objetivos e ágeis, de forma 
transparente, clara e em linguagem de fácil compreensão, o que veio consolidado 
pela LGPD. 
Dentre inúmeras informações importantes, o art. 31 da LAI dispõe que o 
tratamento das informações pessoais deve ser feito de forma transparente e com 
respeito à intimidade, vida privada, honra e imagem das pessoas, bem como às 
liberdades e garantias individuais. 
O Decreto n. 7.724/2012 (Brasil, 2012), que regulamentou a LAI, fala de 
transparência ativa, que trata do dever do próprio órgão público de agir; e passiva, 
que trata do direito do cidadão de requerer informações das referidas entidades, 
conforme procedimento que especifica. 
A lei restringe o uso de informações relativas à intimidade, vida privada, 
honra e imagem aos agentes públicos legalmente autorizados e à própria pessoa 
a que eles se referirem, sendo permitido o acesso por terceiros mediante previsão 
legal ou consentimento expresso do titular. 
Contudo, a norma excepciona o consentimento nos casos de prevenção 
e diagnóstico médico (quando a pessoa estiver física ou legalmente incapaz); para 
fins de estatísticas e pesquisas científicas de interesse público ou geral (vedada 
a identificação da pessoa); cumprimento de ordem judicial; defesa de direitos 
humanos; e casos em que preponderar a proteção do interesse público e geral. 
Há também classificação das informações, no art. 27, do Decreto n. 7.724 
(Brasil, 2012), em graus ultrassecreto, secreto e reservado, conforme seu teor e 
a imprescindibilidade à segurança da sociedade e do Estado. 
Voltando para a LGPD, que veio ampliar e dar maior eficácia ao tema no 
âmbito da esfera pública, o art. 23 estipula que o tratamento de dados pessoais 
operado pelos órgãos públicos (inclusive serviços delegados pelo Poder Público, 
como órgãos notariais e serviços de registro) deverá ser realizado no estrito 
atendimento da sua finalidade pública, com foco no interesse público, e com o 
objetivo de executar as competências ou atribuições legais do serviço público. 
Noutras palavras, os órgãos deverão manter em seus arquivos as 
informações essenciais à sua finalidade e competência atribuídas pela legislação 
– nada que exceda suas próprias atribuições. 
 
 
18 
Os entes públicos deverão informar, de preferência na sua página virtual, 
as hipóteses em que ocorrerão o tratamento de dados pessoais, apresentando de 
forma clara e atualizada a previsão legal, a finalidade, os procedimentos e as 
práticas para execução das suas atividades. 
A norma também impõe a nomeação de um DPO, um encarregado para 
intermediação interna e externa do órgão, a respeito do tema. 
O legislador da LGPD, de forma didática e consciente, entendendo a 
necessidade de apreciação sistemática do tema, aponta que os prazos e 
procedimentos para exercício dos direitos tutelados pela norma observarão o 
disposto na Lei do Habeas Data (9507/97), na Lei Geral do Processo 
Administrativo (9784/99) e na própria LAI (12.527/2011). 
Finalmente, os arts. 31 e 32 falam da responsabilidade do órgão público 
em caso de infrações à LGPD, sendo que a autoridade nacional poderá enviar 
informe com medidas cabíveis para fazer cessar a violação, e poderá solicitar ao 
agente público que publique relatórios de impacto à proteção de dados pessoais. 
A autoridade também poderá “sugerir” (um termo muito singelo para algo 
que deveria ser um dever) que sejam adotados padrões e boas práticas 
(governança) para o tratamento dos dados que manipulam. 
Em suma, é imprescindível que os entes da Federação adotem políticas 
públicas de proteção de dados junto a normas de integridade (compliance), no 
sentido de divulgação e prevenção de incidentes em matéria cibernética. 
TEMA 5 – AUTORIDADE NACIONAL E RESPONSABILIDADE DECORRENTE DA 
LGPD 
A Autoridade Nacional de Proteção de Dados (ANPD) vem desenhada no 
capítulo IX da LGPD, com base no art. 55-A. 
A questão acabou restando controvertida, pois vinha prevista no Projeto de 
Lei inicialmente proposto, mas foi vetada pelo então presidente da República, 
Michel Temer, por razões técnicas. 
O argumento principal era de que a criação de qualquer estrutura vinculada 
ao Executivo apenas por ele poderia ter sido determinada, tornando-se, portanto, 
incompetente o Legislativo para tal. 
Assim, a Lei 13.853/2019 acrescentou os artigos pertinentes na legislação 
para criação da Autoridade Nacional, tal qual existente nos países da União 
Europeia, sujeitos à GDPR. 
 
 
19 
Uma entidade vinculada ao Executivo pode acabar gerando uma influência 
desnecessária no órgão, por isso a sugestão da doutrina sempre foi de que a 
entidade fosse autônoma, independente, quiçá como uma autarquia, não 
obstante, o formato sugerido também atende ao necessário, ainda que com 
menos liberdade. 
Inclusive, nesse sentido, a LGPD afirma que a natureza jurídica da ANPD 
é “transitória”, podendo ser transformada em entidade da administração pública 
federal indireta, submetida a regime autárquico. O prazo para tal transição é de 
dois anos, a contar do seu estabelecimento inicial. 
A fim de evitar sombras acerca de ingerências, o art. 55-B é expresso em 
declarar a autonomia técnica e decisória da ANPD. 
A Autoridade será composta de um Conselho Diretor, do Conselho 
Nacional de Proteção de Dados Pessoais e da Privacidade, de uma Corregedoria, 
de uma Ouvidoria, de um órgão de assessoramento jurídico próprio e unidades 
administrativas. 
A Lei elenca 24 competências para a ANPD, merecendo ênfase o zelo pela 
proteção dos dados pessoais; a elaboração de diretrizes para a Política Nacional 
de Proteção de Dados Pessoais e da Privacidade; a apreciação de petições contra 
controladores; a promoção e o fomento das normas pertinentes à proteção de 
dados pessoais e das medidas de segurança aplicáveis; editar regulamentos e 
procedimentos a respeito do tema; realizar auditorias e fiscalizações; deliberar 
sobre a interpretação da LGPD; comunicar infrações penais que tiver 
conhecimento; e implementar mecanismos de registro de reclamações sobre 
tratamento de dados em desconformidadecom a lei. 
Com base no art. 58-A, temos a instituição do Conselho Nacional de 
Proteção de Dados Pessoais e da Privacidade (CNPD), que terá 23 
representantes, da forma que menciona. 
O Conselho terá competência para propor diretrizes estratégicas e fornecer 
subsídios para elaboração da Política Nacional de Proteção de Dados Pessoais e 
da Privacidade; avaliar a execução das ações da Política implementada; sugerir 
ações para a ANPD; elaborar estudos e realizar debates e audiências públicas 
sobre o tema; e disseminar o conhecimento a respeito do tema. 
Há certa sobreposição de competências entre a ANPD e o CNPD, mas são, 
evidentemente, órgãos distintos, um – ainda – vinculado ao Executivo e, o outro, 
 
 
20 
mais plural e multirrepresentado, com maior isenção em suas decisões e 
planejamentos. 
5.1 Procedimentos e sanções 
Diante de tudo que a lei dispõe e da prática de boas práticas, governança 
e compliance, as perguntas que se poderia fazer seriam: As empresas 
controladoras conseguirão seguir efetivamente a Lei Geral de Proteção de 
Dados? Que tipo de problema elas podem enfrentar? É aqui que entram os 
denominados “incidentes de segurança”. 
A leitura do art. 46 traz a ideia de algumas formas de incidentes de 
segurança: acesso não autorizado de dados; destruição de dados; perda de 
dados; alteração de dados e qualquer forma de tratamento inadequado ou ilícito. 
Tais violações podem ser divididas em três categorias: I – incidentes de 
confidencialidade: acesso e/ou divulgação não autorizada; II – incidentes de 
integridade: quando há alteração não autorizada; III – incidentes de 
disponibilidade: quando há perda de acesso ou destruição de dados pessoais. 
As consequências originadas de incidentes de segurança podem ser bem 
diversas, com potencial de gerar danos materiais ou morais aos titulares dos 
dados pessoais envolvidos. Roubo de identidade, discriminação, limitação de 
direitos, fraude, perdas financeiras, riscos reputacionais, perda do controle acerca 
das informações mantidas são apenas alguns exemplos de consequências. 
O art. 42 da LGPD esclarece que, se algum dos agentes de tratamento 
causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à 
LGPD, fica obrigado à reparação. 
A norma destaca que o operador responde solidariamente pelos danos 
causados pelo tratamento quando descumprir as obrigações da legislação, ou 
ordens lícitas do próprio controlador; também esclarece que os controladores que 
estiverem diretamente envolvidos no tratamento de dados respondem 
solidariamente. 
Os agentes de tratamento não serão responsabilizados quando provarem: 
1) que não realizaram o tratamento de dados pessoais que lhe foram atribuídos; 
2) que não houve violação à LGPD; 3) que o dano decorreu de culpa exclusiva do 
titular dos dados ou terceiro. 
Há uma importante regra no art. 48, da LGPD, que determina ao controlador 
a obrigação de comunicar tanto à ANPD quanto ao titular a ocorrência dos 
 
 
21 
incidentes de segurança. A lei traz os requisitos para tal notificação asseverando 
que deverá ser feita em prazo razoável, conforme orientações a serem definidas 
pela ANPD, contendo a norma os requisitos mínimos para o documento. 
O Capítulo VIII trata das sanções administrativas para os 
descumprimentos, sendo elas: 
I – Advertência (com prazo para adoção de medidas corretivas); 
II – Multa simples de até 2% do faturamento da pessoa jurídica, limitada 
a R$ 50 milhões por infração; 
III – Multa diária; 
IV – Publicização da infração após devidamente apurada e confirmada 
sua ocorrência; 
V – Bloqueio dos dados pessoais a que se refere à inscrição até a 
regularização. (Brasil, 2018) 
Recentemente, em setembro/2019, foram derrubados vetos da Presidência 
da República, revalidando mais três sanções extremamente graves, a saber: 
X – suspensão parcial do funcionamento do banco de dados a que se 
refere a infração pelo período máximo de 6 (seis) meses, prorrogável por 
igual período, até a regularização da atividade de tratamento pelo 
controlador; 
XI – suspensão do exercício da atividade de tratamento dos dados 
pessoais a que se refere a infração pelo período máximo de 6 (seis) 
meses, prorrogável por igual período; 
XII – proibição parcial ou total do exercício de atividades relacionadas a 
tratamento de dados. 
Em que pese inúmeras discussões a respeito da gravidade dessas 
sanções, da insegurança jurídica que atraem e das ameaças à própria economia 
nacional, é fato que estão vigentes, aguardando apenas a publicação para 
incorporação no texto normativo base da LGPD. 
Evidentemente, para serem aplicadas, as sanções acima mencionadas 
devem respeitar legítimo procedimento administrativo que possibilite a plena 
realização do contraditório e ampla defesa, devendo ser gradativas, aplicadas 
isolada ou cumulativamente, e respeitando as peculiaridades do caso concreto, 
sopesadas pelos critérios estampados no parágrafo 1º do art. 52. Confira: 
I – a gravidade e a natureza das infrações e dos direitos pessoais 
afetados; 
II – a boa-fé do infrator; 
III – a vantagem auferida ou pretendida pelo infrator; 
IV – a condição econômica do infrator; 
V – a reincidência; 
VI – o grau do dano; 
VII – a cooperação do infrator; 
VIII – a adoção reiterada e demonstrada de mecanismos e 
procedimentos internos capazes de minimizar o dano, voltados ao 
tratamento seguro e adequado de dados, em consonância com o 
disposto no inciso II do § 2º do art. 48 desta Lei; 
 
 
22 
IX – a adoção de política de boas práticas e governança; 
X – a pronta adoção de medidas corretivas; e 
XI – a proporcionalidade entre a gravidade da falta e a intensidade da 
sanção. 
A norma ensina que o valor da multa diária deve observar a gravidade da 
falta e a extensão dos danos ou prejuízos causados. A aplicação das sanções 
pela LGPD não afasta investigações e punições nas searas civis e penais. 
Exemplo recente de manipulação de dados se deu nos EUA, envolvendo 
a empresa britânica de marketing político Cambridge Analytica, que tratou dados 
pessoais de aproximadamente 50 milhões de usuários do Facebook sem 
consentimento e conhecimento de seus titulares. Buscava-se traçar um perfil dos 
eleitores americanos para influenciar seu comportamento por meio do 
direcionamento de propagandas eleitorais personalizadas, conforme cada perfil, 
por meio do Facebook. 
Em março de 2018, os jornais The Guardian e New York Times revelaram 
tais fatos, o que acarretou profundo descrédito para a empresa e o término de 
suas atividades. O Facebook, de igual forma, foi alvo de inúmeras críticas e se viu 
obrigado a revisar suas políticas de privacidade, eis que à época dos fatos permitia 
a coleta de dados de usuários por aplicativos, com a justificativa de melhorar a 
experiência do usuário. 
A multa para o Facebook, no caso, pode chegar a L$ 500.000 libras, 
sendo considerada a maior já conferida pela autoridade de proteção de dados do 
Reino Unido. 
Em síntese, vale a pena encerrar ressaltando a importância que eu e você 
devemos dar à proteção de dados, mas, acima disso, sabermos lidar 
individualmente com nossos e outros dados e informações, sem mergulhar na 
sociedade da exposição e da sujeição da vida privada ao crivo alheio. 
 
 
 
23 
REFERÊNCIAS 
BRASIL. Constituição (1988). Diário Oficial da União, Brasília, DF, 5 out. 1988. 
Disponível em: 
<http://www.planalto.gov.br/ccivil_03/Constituicao/Constituicao.htm>. Acesso em: 
7 dez. 2019. 
BRASIL. Decreto n. 7.724, de 16 de maio de 2002. Diário Oficial da União, Poder 
Legislativo, Brasília, DF, 16 maio 2002. Disponível em: 
<http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2012/Decreto/D7724.htm>. 
Acesso em: 7 dez. 2019. 
BRASIL. Lei n. 13.709, de 14 de agosto de 2018. Diário Oficial da União, Poder 
Legislativo, Brasília, DF. Disponível em: 
<http://www.planalto.gov.br/ccivil_03/_ato2015-
2018/2018/lei/L13709compilado.htm#art65>. Acessoem: 7 dez. 2019. 
BRASIL. Lei n. 12.527, de 18 de novembro de 2011. Diário Oficial da União, 
Poder Legislativo, Brasília, DF.Disponível em: 
<http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2011/lei/l12527.htm>. 
Acesso em: 7 dez. 2019. 
BRASIL. Câmara dos Deputados. PL 4.060/2012. Disponível em: 
<https://www.camara.gov.br/proposicoesWeb/fichadetramitacao?idProposicao=5
48066>. Acesso em: 7 dez. 2019. 
 
http://www.planalto.gov.br/ccivil_03/Constituicao/Constituicao.htm
http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2012/Decreto/D7724.htm
http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htm#art65..
http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709compilado.htm#art65..
	TEMA 1 – HISTÓRICO, ABRANGÊNCIA E CONCEITOS
	1.1 Aspectos gerais da norma
	2.1 Dos dados e tratamentos realizáveis
	5.1 Procedimentos e sanções