CDPO/BR cheat sheet

A LGPD (Lei 13.709/2018) rege o tratamento de dados pessoais por pessoa natural ou por pessoa jurídica de direito público ou privado, inclusive fora do ambiente digital e mesmo quando o tratamento ocorre no exterior, se os dados forem coletados no Brasil (art. 3º).

Aplica-se quando: (I) o tratamento é realizado no território nacional; (II) a operação tem por objetivo a oferta ou o fornecimento de bens ou serviços a indivíduos localizados no Brasil; (III) os dados foram coletados no território nacional.

Dado pessoal é informação relacionada a pessoa natural identificada ou identificável; dado pessoal sensível abrange origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados de saúde, vida sexual, genética ou biométricos.

Dado anonimizado é aquele que perdeu a possibilidade de associação, direta ou indireta, a um indivíduo, considerando meios técnicos razoáveis e disponíveis no momento do tratamento; se a reversão for possível, o dado volta ao regime da lei.

A lei não se aplica ao tratamento feito por pessoa natural para fins exclusivamente particulares e não econômicos, para fins jornalísticos/artísticos/literários, para fins acadêmicos (observados os arts. 7º e 11), para segurança pública e defesa nacional, ou a dados de fora do Brasil que não sejam objeto de comunicação com agentes brasileiros.

Titular é a pessoa natural a quem se referem os dados; controlador é quem toma as decisões sobre o tratamento; operador realiza o tratamento em nome do controlador; encarregado é a pessoa indicada para comunicação entre titulares, controlador e ANPD.

A LGPD tem como fundamentos a privacidade, a autodeterminação informativa, a liberdade de expressão e informação, a inviolabilidade da intimidade e honra, o desenvolvimento econômico e a livre iniciativa, entre outros (art. 2º).

O tratamento deve observar a boa-fé e os princípios do art. 6º: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas.

Bases legais do art. 7º para dados comuns: consentimento; cumprimento de obrigação legal ou regulatória; execução de políticas públicas; estudos por órgão de pesquisa; execução de contrato ou procedimentos preliminares a pedido do titular; exercício regular de direitos; proteção da vida ou da incolumidade física; tutela da saúde; legítimo interesse; proteção do crédito.

Para dados sensíveis (art. 11), as bases são mais restritas: consentimento específico e destacado, cumprimento de obrigação legal/regulatória, políticas públicas, estudos por órgão de pesquisa, exercício regular de direitos, proteção da vida, tutela da saúde e prevenção à fraude e segurança do titular em processos de identificação e autenticação.

O legítimo interesse exige avaliação de três elementos: finalidade legítima, necessidade do tratamento e balanceamento com expectativas e direitos do titular, além de salvaguardas e transparência; não se aplica a dados sensíveis.

O consentimento deve ser livre, informado, inequívoco e fornecido por escrito ou por outro meio que demonstre a manifestação de vontade, referindo-se a finalidades determinadas; é nulo se houver vício de consentimento e pode ser revogado a qualquer tempo.

Consentimento para dados sensíveis deve ser específico e destacado, para finalidades específicas, podendo haver vedação de compartilhamento em caso de dados de saúde obtidos com consentimento para outra finalidade.

O princípio da necessidade impõe a limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos.

O princípio da finalidade exige propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades.

O princípio da transparência assegura informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes, observados os segredos comercial e industrial.

Direitos do titular (art. 18): confirmação da existência de tratamento; acesso aos dados; correção de dados incompletos, inexatos ou desatualizados; anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade; portabilidade a outro fornecedor; eliminação dos dados tratados com consentimento; informação sobre compartilhamento; informação sobre a possibilidade de não fornecer consentimento e suas consequências; revogação do consentimento.

O titular pode solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluindo decisões para definir perfil pessoal, profissional, de consumo, de crédito ou de aspectos da personalidade.

O controlador deve responder às solicitações do titular de forma simplificada e imediata ou por declaração clara e completa, observados prazos regulatórios; a resposta deve indicar origem dos dados, critérios utilizados, finalidade e formato dos dados.

O acesso aos dados deve ser fornecido em formato simplificado ou por declaração clara e completa, que indique a origem dos dados, a inexistência de registro, os critérios de tratamento e a finalidade, respeitados segredos comercial e industrial.

O titular tem direito à portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da ANPD, observados segredos comercial e industrial.

A eliminação dos dados tratados com consentimento deve ocorrer mediante pedido do titular, ressalvadas as hipóteses de guarda obrigatória previstas na lei (obrigação legal, estudo, transferência a terceiro com base legal, uso exclusivo do controlador com anonimização).

O pedido de correção deve ser atendido de forma imediata; se a correção não for possível, o controlador deve informar as razões e permitir ao titular a apresentação de contestação.

O titular ou seu representante legal pode peticionar contra o controlador perante a ANPD, que pode adotar medidas administrativas e aplicar sanções, além de solicitar a elaboração de relatório de impacto à proteção de dados.

O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse, e elaborar relatório de impacto à proteção de dados quando solicitado pela ANPD.

O encarregado é indicado pelo controlador e tem funções de aceitar reclamações e comunicações de titulares, prestar esclarecimentos, receber comunicações da ANPD e adotar providências, orientar funcionários e executar demais atribuições determinadas pelo controlador ou em normas complementares.

A identidade e as informações de contato do encarregado devem ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no site do controlador.

A ANPD pode estabelecer normas complementares sobre a definição e as atribuições do encarregado, incluindo hipóteses de dispensa da necessidade de sua indicação, conforme porte e volume de operações de tratamento.

O programa de privacidade deve contemplar mapeamento de dados, bases legais, políticas, treinamento, gestão de incidentes, gestão de terceiros, avaliação de impacto e monitoramento contínuo.

A responsabilização e prestação de contas exigem que o controlador demonstre a adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados.

Cláusulas contratuais com operadores devem definir instruções, finalidade, segurança, subcontratação, auditoria e devolução ou eliminação de dados ao término do tratamento.

Boas práticas e governança (art. 50) incluem políticas e salvaguardas, privacy by design, padrões técnicos, mecanismos de transparência e certificação, além de programas de treinamento.

O relatório de impacto à proteção de dados pessoais (RIPD) deve descrever os processos de tratamento de dados que possam gerar riscos às liberdades civis e aos direitos fundamentais, bem como as medidas, salvaguardas e mecanismos de mitigação de risco.

A ANPD pode determinar ao controlador a elaboração do RIPD, incluindo dados sensíveis, e a avaliação deve observar os parâmetros e critérios por ela estabelecidos.

A avaliação de impacto deve preceder o início de tratamentos de alto risco, como uso de dados sensíveis, decisões automatizadas, monitoramento em larga escala e compartilhamento com terceiros.

Risco de privacidade deve ser analisado em termos de probabilidade e impacto sobre os titulares, considerando natureza dos dados, escala, contexto, vulnerabilidade dos titulares e possibilidade de reidentificação.

O inventário de dados (data mapping) identifica fluxos, finalidades, bases legais, retenção, destinatários e controles aplicáveis a cada tratamento, servindo de insumo para a avaliação de impacto.

Medidas de mitigação incluem minimização, anonimização ou pseudonimização, controles de acesso, restrição de finalidade, prazos de retenção e mecanismos de revisão de decisões automatizadas.

A gestão de riscos deve ser contínua e documentada, com revisão periódica, indicadores, registro de incidentes e evidências de conformidade.

O encarregado e a área de privacidade devem participar da avaliação de novos produtos e projetos (privacy by design) antes da coleta de dados.

O controlador e o operador devem adotar medidas de segurança, técnicas e administrativas, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

A ANPD pode dispor sobre padrões técnicos mínimos para tornar aplicáveis as medidas de segurança, considerando natureza das informações, características específicas do tratamento e o estado atual da tecnologia.

Em caso de incidente de segurança que possa acarretar risco ou dano relevante aos titulares, o controlador deve comunicar à ANPD e ao titular afetado, em prazo razoável, conforme regulamentação.

A comunicação de incidente deve conter, no mínimo, descrição da natureza dos dados afetados, informações sobre os titulares envolvidos, medidas técnicas de segurança utilizadas, riscos relacionados ao incidente e medidas adotadas para reverter ou mitigar os efeitos.

A ANPD pode determinar ao controlador a adoção de providências para reverter ou mitigar os efeitos do incidente e, se necessário, divulgar o ocorrido à sociedade.

O controlador deve manter registro do incidente e das medidas adotadas, como parte da prestação de contas e da demonstração de conformidade.

A segurança deve observar o princípio da prevenção, com controles de acesso, criptografia, segregação de funções, backup, gestão de vulnerabilidades e plano de resposta a incidentes.

O operador responde solidariamente pelos danos causados quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador.

A transferência internacional de dados pessoais é permitida apenas para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto na LGPD.

A ANPD avalia o nível de proteção do país ou organismo internacional, podendo rever as decisões sobre adequação a qualquer tempo.

Outras hipóteses de transferência incluem: garantias oferecidas pelo controlador (cláusulas contratuais específicas, cláusulas-padrão, normas corporativas globais), consentimento específico e destacado do titular, cumprimento de obrigação legal, execução de políticas públicas, estudos por órgão de pesquisa, proteção da vida, tutela da saúde, cooperação jurídica internacional entre órgãos públicos e proteção do crédito.

As cláusulas-padrão contratuais e as normas corporativas globais devem ser aprovadas pela ANPD, conforme regulamentação, e as garantias devem assegurar a observância dos princípios e direitos dos titulares.

A transferência internacional deve observar a finalidade, a necessidade e a segurança, com registro das operações e informações aos titulares sobre o compartilhamento.

A ANPD pode suspender a transferência internacional de dados quando verificar violação à LGPD, após solicitar informações e adotar medidas cabíveis.

A transferência para organismos internacionais e países com grau de proteção adequado dispensa autorização específica, mas permanece sujeita aos demais princípios e obrigações da lei.

O controlador deve manter registro das transferências internacionais e das garantias aplicadas, para fins de prestação de contas e fiscalização.

A ANPD é a autoridade nacional responsável por zelar pela proteção de dados pessoais, editar normas e fiscalizar o cumprimento da LGPD, com autonomia técnica e decisória.

Compete à ANPD elaborar diretrizes para a Política Nacional de Proteção de Dados, fiscalizar e aplicar sanções, atender petições de titulares, comunicar às autoridades competentes infrações penais e promover a cooperação internacional.

Sanções administrativas incluem advertência, multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no último exercício, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio dos dados e eliminação dos dados.

A multa simples pode ser aplicada em valor fixo, até o limite de R$ 50 milhões, quando não for possível estimar o faturamento ou quando o faturamento for insuficiente, conforme regulamentação.

As sanções devem ser aplicadas em processo administrativo com contraditório e ampla defesa, considerando gravidade, boa-fé, vantagem auferida, condição econômica, reincidência, cooperação e adoção de medidas de mitigação.

A ANPD pode editar regulamentos sobre bases legais, encarregado, transferência internacional, segurança, incidentes, direitos dos titulares e relatório de impacto.

A ANPD pode celebrar termos de ajustamento de conduta e adotar medidas de orientação, além de fiscalização e sanção, com foco em conformidade e prevenção de danos.

A ANPD pode solicitar informações e documentos a controladores e operadores, fixando prazo para resposta, e a recusa ou omissão pode caracterizar infração sujeita a sanção.

O Marco Civil da Internet (Lei 12.965/2014) disciplina direitos e garantias dos usuários, guarda de registros de acesso e responsabilidade dos provedores; a LGPD aplica-se ao tratamento de dados pessoais nessas relações, sem substituir o Marco Civil.

O CDC (Lei 8.078/1990) impõe deveres de informação clara, veracidade e proteção contra publicidade enganosa; o tratamento de dados de consumidores deve observar a boa-fé e os direitos do consumidor.

O sigilo profissional e comercial não afasta a LGPD: o tratamento de dados protegidos por sigilo deve observar base legal e salvaguardas, e a transparência pode ser limitada para proteger segredos comercial e industrial.

No setor público, o tratamento de dados pessoais deve ser realizado para o atendimento de finalidade pública, no interesse público, e o poder público deve informar e atualizar as bases de dados e os critérios de tratamento.

O poder público deve observar a LGPD em licitações, contratos, convênios e serviços digitais, incluindo a indicação de encarregado e a publicação de informações sobre tratamento de dados.

Dados de saúde e de setores regulados (financeiro, telecomunicações, educação) sujeitam-se à LGPD e às normas setoriais específicas, prevalecendo a norma mais protetiva ao titular.

A LGPD não afasta a aplicação de normas de proteção de dados específicas, como as do setor público, da saúde e das telecomunicações, que devem ser interpretadas em conjunto com a lei geral.

A cooperação entre ANPD e autoridades setoriais (como Banco Central, CADE, ANS e Ministério Público) é prevista para fiscalização e defesa dos titulares, com troca de informações e atuação coordenada.