Teoria Geral LGPD - 03

Prévia do material em texto

TEMA 03 – Exceções à LGPD 
 
 
Aula 01 (parte 1 e 2) – Hipóteses expressas 
 
Diante das situações de subsunção normativa, da mesma forma que a lei 
infraconstitucional lista de forma objetiva as incidências de aplicação, não raras vezes 
também explicita as hipóteses de afastamento. Essa técnica legislativa de 
aproximação e distenção é observada em grande parte das leis brasileiras. 
Desta forma, se o artigo 3º aponta em quais casos a Lei Geral de Proteção de 
Dados (LGPD) é aplicada, no seguinte, objeto de estudo, encontram-se as exceções. 
Atenção à primeira parte do dispositivo. 
 
Art. 4º Esta Lei não se aplica ao tratamento de dados pessoais: 
I - realizado por pessoa natural para fins exclusivamente 
particulares e não econômicos; 
 
De início, lembre-se que de acordo com o artigo 1º da Lei n. 13.709/2018 
pessoas físicas ou jurídicas podem tratar dados pessoais. Contudo, a titularidade de 
tais dados será sempre daquela. Logo, pessoas naturais podem figurar nas duas 
pontas da relação enquanto a pessoa jurídica só pode atuar como agente de 
tratamento. 
Dito isto, entre as hipóteses de incidência da lei para pessoa física, 
necessária a observância de elementos cumulativos. A lei não se aplica para pessoas 
naturais desde que o uso do dado pessoal seja para fins particulares e não 
econômicos. 
Por particular, entenda uma relação jurídica que não irradiará efeitos a 
terceiros de forma direta. Por não econômico, a razão do recebimento deste dado 
 
 
 
pessoal não tem como escopo sua exploração comercial visando qualquer tipo de 
acréscimo patrimonial. 
Em resumo, o tratamento ou coleta de dados pode ser realizado por pessoa 
física ou jurídica, mas somente os dados pessoais de pessoas físicas são 
abrangidos pela LGPD. Assim, planos de negócios, abordagens empresariais 
estratégicas ou documentos constitutivos de pessoas jurídicas, por exemplo, não 
estão abrangidos pela lei em análise, mas isso não significa que não podem ser 
protegidos por outras leis específicas como a Lei de Direitos Autorais. 
Ato contínuo, preceitua o artigo 4º, inciso II, da LGPD. Na leitura, procure 
relacionar seu teor ao direito constitucional de informação, bem como suas nuances 
e limites. 
 
Art. 4º. (...). 
 
(...) 
 
II - realizado para fins exclusivamente: 
a) jornalístico e artísticos; ou 
b) acadêmicos, aplicando-se a esta hipótese os artigos 7º e 11 desta 
Lei. 
 
Nesta situação específica, ainda que eventualmente exista o desejo de 
exploração econômica, por exemplo, artigos jornalísticos por exemplo não precisam 
observar a rigorosidade da LGPD. Todavia, é preciso desmistificar a ideia de que 
produções jornalísticas inverídicas ou prejudiciais à reputação de determinada 
pessoa não estão sujeitas ao crivo revisional do Judiciário mediante provocação. 
Lembre-se que o sigilo da fonte citado na Constituição Federal diz respeito à 
pessoa que passou a informação publicada e não ao profissional que a publicou. 
Este mesmo raciocínio também se aplica a produções artísticas ou acadêmicas. 
Especificamente, sobre este último grupo, a lei faz ressalva à aplicação de 
um grupo de artigos. Isso significa dizer que para produções acadêmicas, a LGPD 
tem aplicação condicionada a determinados artigos. A título de curiosidade, para fins 
acadêmicos, os regramentos que tangem ao tratamento de dados pessoais (art. 7º a 
10) e tratamento de dados sensíveis (art. 11) devem ser observados e regidos 
segundo os princípios e fundamentos da norma jurídica. 
 
 
 
No mais, talvez o que mereça maior destaque quando da análise das 
exceções à aplicação da LGPD diga respeito ao teor dos incisos III e IV do artigo 4º 
e os parágrafos que os complementam. A ver. 
 
Art. 4º (...). 
(...) 
III - realizado para fins exclusivos de: 
a) segurança pública; 
b) defesa nacional; 
c) segurança do Estado; ou 
d) atividades de investigação e repressão de infrações penais; ou 
 
§ 1º O tratamento de dados pessoais previsto no inciso III será regido 
por legislação específica, que deverá prever medidas proporcionais e 
estritamente necessárias ao atendimento do interesse público, 
observados o devido processo legal, os princípios gerais de proteção 
e os direitos do titular previstos nesta Lei. 
 
§ 2º É vedado o tratamento dos dados a que se refere o inciso III 
do caput deste artigo por pessoa de direito privado, exceto em 
procedimentos sob tutela de pessoa jurídica de direito público, que 
serão objeto de informe específico à autoridade nacional e que 
deverão observar a limitação imposta no § 4º deste artigo. 
 
§ 3º A autoridade nacional emitirá opiniões técnicas ou 
recomendações referentes às exceções previstas no inciso III 
do caput deste artigo e deverá solicitar aos responsáveis relatórios 
de impacto à proteção de dados pessoais. 
 
§ 4º Em nenhum caso a totalidade dos dados pessoais de banco de 
dados de que trata o inciso III do caput deste artigo poderá ser 
tratada por pessoa de direito privado, salvo por aquela que possua 
capital integralmente constituído pelo poder público. 
 
Quanto ao inciso III, desnecessárias maiores elucubrações. A República 
Federativa do Brasil (RFB) deve garantir a supremacia do interesse público frente ao 
particular. Isso significa dizer que se questões como a segurança pública, defesa 
nacional, segurança do Estado ou persecução penal estiverem em cheque, evidente 
que tais situações caso exponencialmente possam prejudicar a coletividade e a 
estabilidade se sobrepujam a quaisquer leis infraconstitucionais. Contudo, cabe mais 
uma vez a ressalva. Esse tipo de argumento não pode ser utilizado como “carta 
branca” a desmandos autoritários ou como razão para atos despóticos. A RFB é um 
 
 
 
Estado Democrático de Direito e, portanto, também está sujeita a normas legais 
como seus cidadãos. 
 
 
Fonte imagem: https://destrinchandoodireito.com/lei-geral-de-protecao-de-dados-lgpd-e-as-
consequencias-para-o-direito/ 
 
 Essa constatação, inclusive, é referendada pelo teor do parágrafo primeiro 
do artigo em questão. Note que os limites de ingerência são fixados de acordo com a 
finalidade e proporcionalidade calculadas sobre a real necessidade da coleta dos 
dados pessoais em situações excepcionais. No mais, a Autoridade Nacional de 
Proteção de Dados (ANPD) supervisionará este tipo de situação, restrita a uma 
atuação de pessoas jurídicas de direito público (§ 2º) ou pessoa jurídica de direito 
privado com capital integralmente constituído pelo poder público (§4º). 
Perceba, então, que a utilização de dados pessoais neste tipo de situação 
funciona de forma escalonada. Primeiro, justifica-se o acesso aos dados para, em 
um segundo momento, a ANPD atue como agente fiscalizador da utilização. 
Destarte, quanto ao inciso IV, abaixo colacionado, trata-se de típico caso 
que ventila as hipóteses de extraterritorialidade normativa. Como regra, normas 
brasileiras só se aplicam nos limites do território nacional. Todavia, a segunda parte 
 
 
 
do inciso em questão aponta quais são as situações permissivas à aplicação da 
LGPD fora da premissa. 
 
Art. 4º. (...); 
 
(...) 
 
IV - provenientes de fora do território nacional e que não sejam 
objeto de comunicação, uso compartilhado de dados com agentes de 
tratamento brasileiros ou objeto de transferência internacional de 
dados com outro país que não o de proveniência, desde que o país 
de proveniência proporcione grau de proteção de dados pessoais 
adequado ao previsto nesta Lei. 
 
Aula 02 (parte 1 e 2) – Dados pessoais e dados 
pessoais sensíveis 
 
Como o consentimento é a principal forma autorizativa para o tratamento de 
dados pessoais, prudente reforçar o conceito de tratamento inserido no artigo 5º, 
inciso X, da Lei n. 13.709/2018 e sua tipagem aberta e exemplificativa, antes de 
avançar para uma melhor análise do que são “dados pessoais”. De início, recorde-se 
que toda e qualquer operação realizada com dados pessoais é denominadatratamento. 
 
Art. 5º. (...). 
 
(...) 
 
X – tratamento: toda operação realizada com dados pessoais, como 
as que se referem a coleta, produção, recepção, classificação, 
utilização, acesso, reprodução, transmissão, distribuição, 
processamento, arquivamento, armazenamento, eliminação, avaliação 
ou controle de informação, modificação, comunicação, transferência, 
difusão ou extração. 
 
Isso significa dizer que para tratar um dado pessoal, fazem-se necessárias 
algumas situações específicas, de modo que o artigo 7º da LGPD lista o 
consentimento como uma das hipóteses legais. Como é a principal, salutar o enfoque 
para avançar a situações que “excepcionem” esse consentimento. 
 
 
 
Entretanto, da mesma forma que existem várias formas de tratamento, os 
dados pessoais também são classificáveis. A conceituação também é encontrada no 
artigo 5º, a saber: 
 
Art. 5º (...). 
 
I – dado pessoal: informação relacionada a pessoa natural identificada 
ou identificável; 
 
II – dado pessoal sensível: dado pessoal sobre origem racial ou étnica, 
convicção religiosa, opinião política, filiação a sindicato ou a 
organização de caráter religioso, filosófico ou político, dado referente à 
saúde ou à vida sexual, dado genético ou biométrico, quando 
vinculado a uma pessoa natural; 
 
III – dado anonimizado: dado relativo a titular que não possa ser 
identificado, considerando a utilização de meios técnicos razoáveis e 
disponíveis na ocasião de seu tratamento. 
 
Assim, sem prejuízo da classificação doutrinária do dado pessoal crítico 
(dados bancários, por exemplo) e o desdobramento do conceito de dano 
anonimizado, dependendo da natureza do dado pessoal, do perfil do titular e do perfil 
do agente, que pode ser público ou privado, a base legal de tratamento vai ser 
modificada, notadamente quanto às hipóteses. 
Para fins elucidativos, compare as hipóteses de tratamento de dados 
pessoais previstos no artigo 7º e dos dados pessoais sensíveis indicadas no artigo 11 
da LGPD. 
 
Art. 7º O tratamento de dados pessoais somente poderá ser 
realizado nas seguintes hipóteses: 
 
I - mediante o fornecimento de consentimento pelo titular; 
 
II - para o cumprimento de obrigação legal ou regulatória pelo 
controlador; 
 
III - pela administração pública, para o tratamento e uso compartilhado 
de dados necessários à execução de políticas públicas previstas em 
leis e regulamentos ou respaldadas em contratos, convênios ou 
instrumentos congêneres, observadas as disposições do Capítulo IV 
desta Lei; 
 
IV - para a realização de estudos por órgão de pesquisa, garantida, 
sempre que possível, a anonimização dos dados pessoais; 
 
 
 
 
V - quando necessário para a execução de contrato ou de 
procedimentos preliminares relacionados a contrato do qual seja parte 
o titular, a pedido do titular dos dados; 
 
VI - para o exercício regular de direitos em processo judicial, 
administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 
23 de setembro de 1996 (Lei de Arbitragem); 
 
VII - para a proteção da vida ou da incolumidade física do titular ou de 
terceiro; 
 
VIII - para a tutela da saúde, exclusivamente, em procedimento 
realizado por profissionais de saúde, serviços de saúde ou autoridade 
sanitária; 
 
IX - quando necessário para atender aos interesses legítimos do 
controlador ou de terceiro, exceto no caso de prevalecerem direitos e 
liberdades fundamentais do titular que exijam a proteção dos dados 
pessoais; ou 
 
X - para a proteção do crédito, inclusive quanto ao disposto na 
legislação pertinente. 
 
Art. 11. O tratamento de dados pessoais sensíveis somente poderá 
ocorrer nas seguintes hipóteses: 
 
I - quando o titular ou seu responsável legal consentir, de forma 
específica e destacada, para finalidades específicas; 
 
II - sem fornecimento de consentimento do titular, nas hipóteses em 
que for indispensável para: 
 
a) cumprimento de obrigação legal ou regulatória pelo controlador; 
 
b) tratamento compartilhado de dados necessários à execução, pela 
administração pública, de políticas públicas previstas em leis ou 
regulamentos; 
 
c) realização de estudos por órgão de pesquisa, garantida, sempre 
que possível, a anonimização dos dados pessoais sensíveis; 
 
d) exercício regular de direitos, inclusive em contrato e em processo 
judicial, administrativo e arbitral, este último nos termos da Lei nº 
9.307, de 23 de setembro de 1996 (Lei de Arbitragem); 
 
e) proteção da vida ou da incolumidade física do titular ou de terceiro; 
 
f) tutela da saúde, exclusivamente, em procedimento realizado por 
profissionais de saúde, serviços de saúde ou autoridade sanitária; ou 
 
 
 
 
g) garantia da prevenção à fraude e à segurança do titular, nos 
processos de identificação e autenticação de cadastro em sistemas 
eletrônicos, resguardados os direitos mencionados no art. 9º desta Lei 
e exceto no caso de prevalecerem direitos e liberdades fundamentais 
do titular que exijam a proteção dos dados pessoais. 
 
Da leitura, parece razoável observar algumas hipóteses de aproximação, ou 
mesmo de repetição, enquanto outras apontam para a especificidade do dado 
pessoal. De todo modo, o consentimento é carro-chefe em ambas as situações. 
Ora, se o conceito legal de consentimento da Lei Geral de Proteção de Dados 
(LGPD) remente a uma manifestação livre, informada e inequívoca pela qual o titular 
concorda com o tratamento de seus dados pessoais para uma finalidade determinada 
(art. 5º, XII, LGPD) pode-se resumir essa ideia a uma manifestação de vontade que 
siga tais características. 
Todavia, sabido que o ambiente virtual é fluido e que, não raras vezes, tais 
elementos não se apresentam de maneira tão clara. Pense, por exemplo, em 
consentimentos verbais ou externados por meio de aceite em formulários pré-
aprovados. Aqui, haveria uma “exceção” à aplicação plena da Lei n. 13.709/2018? 
Neste particular, é importante não confundir o consentimento genérico, nulo 
pelos ditames da LGPD (art. 8º, §4º), com o consentimento granularizado. A 
racionalização de recursos na busca pela eficiência não é vedada pelo ordenamento 
jurídico, desde que seja possível identificar, com precisão, a volição do agente. 
Assim, é possível concluir que o consentimento pode ser difícil e frágil 
conforme determinado caso concreto. Por este motivo, o ônus da prova de sua 
validade recai sobre o agente de tratamento e não sobre o titular conforme explicita o 
artigo 8º, §2º, da Lei 13.709/2018. Sobre a temática, atenção a todo o texto legal. 
 
Art. 8º O consentimento previsto no inciso I do art. 7º desta Lei deverá 
ser fornecido por escrito ou por outro meio que demonstre a 
manifestação de vontade do titular. 
 
§ 1º Caso o consentimento seja fornecido por escrito, esse deverá 
constar de cláusula destacada das demais cláusulas contratuais. 
 
§ 2º Cabe ao controlador o ônus da prova de que o consentimento foi 
obtido em conformidade com o disposto nesta Lei. 
 
§ 3º É vedado o tratamento de dados pessoais mediante vício de 
consentimento. 
 
 
 
 
§ 4º O consentimento deverá referir-se a finalidades determinadas, e 
as autorizações genéricas para o tratamento de dados pessoais serão 
nulas. 
 
§ 5º O consentimento pode ser revogado a qualquer momento 
mediante manifestação expressa do titular, por procedimento gratuito 
e facilitado, ratificados os tratamentos realizados sob amparo do 
consentimento anteriormente manifestado enquanto não houver 
requerimento de eliminação, nos termos do inciso VI do caput do art. 
18 desta Lei. 
 
§ 6º Em caso de alteração de informação referida nos incisos I, II, III 
ou V do art. 9º desta Lei, o controlador deverá informar ao titular, com 
destaque de forma específica do teor das alterações, podendo o 
titular, nos casos em que o seu consentimento é exigido, revogá-lo 
caso discorde da alteração. 
 
O destaque que advém do trecho colacionado é que o consentimento não 
necessariamente é escrito, como explicado. Todavia, não se pode confundirconsentimento implícito com consentimento verbal. Enquanto o primeiro não é 
admitido, haja vista não ser inequívoco, o consentimento verbal pode ser 
demonstrado por qualquer forma admitida em direito. O que fica clara é a distribuição 
de tal ônus. 
No mais, como manifestação de vontade, da mesma forma que foi concedido, 
pode ser revogado assim como, em verdadeira escala ponteana, consentimento 
viciado não pode ser reputado como válido, ainda que existente. Sobre este assunto 
SANTOS (2021, p. 03). 
 
Noutra senda, a LGPD autoriza o titular de dados a promover a 
revogação do consentimento a qualquer momento, de forma facilitada 
e gratuita (art. 8º, § 5º), ao passo que a GPDR garante ao titular, a 
qualquer momento retirar o consentimento com igual facilidade da 
outorga e acrescenta que a informação sobre o direito de retirada deve 
acontecer antes do consentimento (art. 7º, item 3). É preciso elucidar 
que a revogabilidade do consentimento sem justificação possibilita ao 
titular de dados o exercício do direito à autodeterminação informativa 
de forma efetiva e sem limites. Afinal, o consentimento é o meio pelo 
qual o indivíduo exerce, além do controle preventivo, também um 
controle posterior8. 
 
8 SANTOS, Karina Menezes. Percepções acerca do consentimento na LGPD. 
Revista Jus Navigandi, ISSN 1518-4862, Teresina, ano 26 , n. 6609, 5 ago. 2021. Cit. p. 03. 
Disponível em: https://jus.com.br/artigos/92195/percepcoes-acerca-do-consentimento-na-
lgpd. Acesso em: 19/12/2022. 
 
 
 
 
Logo, além do consentimento livre precedido de informação, o controlador 
deve estabelecer como padrões de conduta noções inerentes a boa-fé, tudo em 
consonância a princípios não só expressos na LGPD, mas também em todo o 
ordenamento jurídico. Dada a tipicidade aberta e a conceituação abstrata, fatalmente 
a interpretação deve ser integrada. Atenção à figura que distingue a classificação dos 
dados. 
 
 
Fonte imagem: https://www.ebara.com.br/a-ebara/lgpd 
 
Note que, ao contrário de uma análise açodada, afirmar que a dados 
pessoais ou sensíveis estão excluídos de uma necessidade de consentimento prévio 
para tratamento é um erro. As hipóteses de exclusão de aplicabilidade temática 
estão inseridas no artigo 4º da Lei 13.709/2018. 
A questão do tratamento de dados pessoais ou sensíveis, bem como a 
forma como o consentimento é externalizado em cada uma dessas hipóteses de 
incidência é tema correlato, mas não se confunde com o afastamento legislativo. 
Ademais, em qualquer análise que permita a subsunção normativa, é salutar 
revisitar a escala ponteana. Por ela, questões de existência, validade e eficácia são 
pontos de partida comuns e facilitam a interpretação de normas infraconstitucionais. 
 
 
 
 
Referências 
ALVES, Nívea Maria Brito Cidade. Lei Geral de Proteção de Dados 
(LGPD) e as consequências para o Direito. Destrinchando o Direito, 2022. 
Disponível em: https://destrinchandoodireito.com/lei-geral-de-protecao-de-dados-
lgpd-e-as-consequencias-para-o-direito/. Acesso em: 19/12/2022. 
 
BRASIL. Constituição Federal de 1988. Brasília, DF. Disponível em: 
http://www.planalto.gov.br/ccivil_03/constituicao/constituicao.htm. Acesso em: 
19/12/2022. 
 
BRASIL. Lei n. 12.965, de 23 de abril de 2014. Brasília, DF. Estabelece 
princípios, garantias, direitos e deveres para uso da Internet no Brasil. Disponível 
em: http://www.planalto.gov.br/ccivil_03/_ato2011-2014/2014/lei/l12965.htm. Acesso 
em: 19/12/2022. 
 
BRASIL. Lei n. 13.709, de 14 de agosto de 2018. Brasília, DF. Lei Geral de 
Proteção de Dados Pessoais (LGPD). Disponível em: 
http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm. Acesso em: 
19/12/2022. 
 
BRASIL. Lei n. 13.853, de 8 de julho de 2019. Brasília, DF. Altera a Lei nº 
13.709, de 14 de agosto de 2018, para dispor sobre a proteção de dados pessoais e 
para criar a Autoridade Nacional de Proteção de Dados; e dá outras providências. 
Disponível em: http://www.planalto.gov.br/ccivil_03/_Ato2019-
2022/2019/Lei/L13853.htm#art2. Acesso em: 19/12/2022. 
 
EBARA CORPORATION. LGPD. Ebara, 2021. Disponível em: 
https://www.ebara.com.br/a-ebara/lgpd. Acesso em: 19/12/2022. 
 
 
 
 
 
NERI, Leonardo. O consentimento na nova Lei de Dados Pessoais. 
Mazzucco & Mello Advogados, 2022. Disponível em: 
https://www.mazzuccoemello.com/o-consentimento-na-nova-lei-de-dados-pessoais-
2/. Acesso em 19/12/2022. 
 
SANTOS, Karina Menezes. Percepções acerca do consentimento na LGPD. 
Revista Jus Navigandi, ISSN 1518-4862, Teresina, ano 26 , n. 6609, 5 ago. 2021. Cit. p. 
03. Disponível em: https://jus.com.br/artigos/92195/percepcoes-acerca-do-consentimento-
na-lgpd. Acesso em: 19/12/2022. 
 
 
OROSZ, Marco Aurélio; DINIZ, Isadora; CRESPO, Thiago. Legitimate 
Interest Assessment: o que é e quando deve ser utilizado? Finnochio & Ustra, 
2020. Disponível em: https://www.fius.com.br/legitimate-interests-assessment-o-que-
e-quando-deve-ser-utilizado/. Acesso em: 19/12/2022. 
 
PALACIOS, Miguel Ferreira. Prova técnica simplificada e justiça: 
abordagens à luz do princípio da eficiência no Código de Processo Civil. Belo 
Horizonte: Dialética, 2021.