A Lei Geral de Proteção de Dados Pessoais (com sigla LGPD ou LGPDP), ou Lei nº 13.709/2018, é uma lei federal brasileira promulgada em 2018, que estabelece normas para a proteção e tratamento de dados pessoais em território nacional, bem como a proteção de direitos fundamentais, particularmente a privacidade, a honra e a intimidade. A LGPD também alterou os artigos 7º e 16º do chamado Marco Civil da Internet, lei federal que traz normas legais referentes ao uso da Internet no território brasileiro.
Desde a promulgação da LGPD, o Brasil passou a fazer parte dos países que contam com uma legislação específica para a proteção de dados pessoais e da privacidade dos seus cidadãos. Outros regulamentos similares à LGPD no Brasil são o Regulamento Geral sobre a Proteção de Dados (em inglês "General Data Protection Regulation") da União Europeia (UE), mais conhecido pela sigla GDPR, aplicável a todos os países membros do bloco europeu desde 25 de maio de 2018, e também a Lei de Privacidade do Consumidor da Califórnia (California Consumer Privacy Act), aprovada naquele estadunidense em 28 de junho de 2018, sendo também muito conhecida pela sigla CCPA.
A legislação se fundamenta em diversos valores, como o respeito à privacidade; à autodeterminação informativa; às liberdades individuais de expressão, de opinião, de informação e de comunicação; à inviolabilidade da intimidade, da honra e da imagem; ao desenvolvimento econômico e tecnológico e a inovação; à livre iniciativa, livre concorrência e defesa do consumidor e aos direitos humanos de liberdade e dignidade das pessoas humanas.
A LGPD cria um conjunto de novos conceitos jurídicos (por exemplo "dados pessoais sensíveis" e "tratamento de dados pessoais"), estabelece as condições nas quais os dados pessoais podem ser tratados, define um conjunto de direitos para os titulares dos dados, gera obrigações específicas para os controladores e operadores de dados pessoais, e cria uma série de procedimentos e normas para que haja maior cautela possível no tratamento desses dados e em seu compartilhamento com terceiros.
Toda informação relacionada à pessoa natural identificada (ou identificável) que tratem de aspetos raciais étnicos, de convicção religiosa, de opinião política, de visão filosófica, de filiação a sindicato, bem como aqueles referentes à saúde, à vida sexual, à informações genéticas ou biométricas, sempre que os mesmos estiverem vinculados a uma pessoa natural.
Histórico Contexto da aprovação Além do fato de o projeto de lei ter sido fruto da aglutinação de outras propostas que há muito tempo vinham tramitando paralelamente sobre o tema, os escândalos de privacidade do Facebook – em que a empresa Cambridge Analytica utilizou de dados dos usuários para que pudessem fazer uma campanha política mais assertiva e customizada na eleição de Donald Trump em 2016 – também trouxeram visibilidade para o assunto.
A segurança de dados e a privacidade passaram a ser pautas recorrentes, recaindo uma cobrança sobre os políticos brasileiros no sentido de tratar dessas questões, já que não havia no país legislação com objetivo específico de defender os dados dos usuários e definir responsabilidades relativas ao tratamento destes. Tal abordagem se justifica mediante as regulamentações estabelecidas pelo Estado brasileiro para a manipulação, tratamento e armazenamento de dados pessoais por organizações.
Há também investigações acontecendo no Brasil. Várias instituições tem se dividido na defesa dos dados pessoais. Muitas vezes são as instituições de São Paulo que atuam nos casos já que é o estado onde geralmente as multinacionais tem sua sede. No final de julho de 2019, o PROCON-SP cobrou explicações sobre coletas de dados ao FaceApp (aplicativo), Google e Apple. Em 2018 o Ministério Público Federal de São Paulo (MPF-SP) processou a Microsoft por coletas de dados dos usuários sem autorização explícita, também em julho o Ministério Público do Distrito Federal e dos Territórios (MPDFT) sinalizou um possível comércio entre órgãos públicos, onde o produto são os dados das pessoas, obtidos através de informações pessoais como as informações da Carteira Nacional de Habilitação, sem que houvesse consentimento dos donos e que isso estaria violando o Marco Civil da Internet e a própria LGPD. O Serpro negou as acusações, alegando que disponibiliza por meio de um serviço e citando uma portaria do Ministério da Fazenda.
Tramitação no Congresso Nacional Em novembro de 2010 teve início no Brasil o debate sobre a proteção de dados pessoais, com o propósito de se elaborar uma lei específica sobre o tema. Até abril de 2011 foram colhidas manifestações por meio de um blog mantido pelo Ministério da Justiça na plataforma Cultura Digital, do Ministério da Cultura. O resultado desse primeiro debate nunca chegou a ser enviado pelo Poder Executivo ao Congresso Nacional.
Em junho de 2012, o Deputado Milton Monti (PR-SP) apresentou na Câmara dos Deputados o Projeto de Lei nº 4060, como produto das discussões do V Congresso Brasileiro da Indústria da Comunicação. E em 2014, o Senador Vital do Rêgo apresentou o PLS 181/2014.
Em janeiro de 2015 o governo federal reiniciou, sob a gestão da Secretaria Nacional do Consumidor do Ministério da Justiça, o debate público para a elaboração de um anteprojeto de lei. As duas consultas públicas somaram 2.500 contribuições nacionais e internacionais, de todos os setores, além de incontáveis eventos presenciais de debate. O texto resultante foi apresentado publicamente em outubro do mesmo ano.
Em maio de 2016, na véspera de seu afastamento do governo, a então presidente Dilma Rousseff encaminhou ao Congresso, em regime de urgência, o anteprojeto de lei, recebido como Projeto de Lei nº 5276/2016. Em julho de 2016, o presidente interino Michel Temer retirou o regime de urgência e o PL 5276/16 tramitou formalmente na Câmara dos Deputados apensado ao 4060/12.
Em julho de 2018 o Projeto Lei da Câmara 53/2018 foi aprovado no plenário do Senado. A Lei Geral de Proteção de Dados foi sancionada em 14 de agosto de 2018, publicada no Diário Oficial da União em 15 de agosto de 2018, e republicada parcialmente no mesmo dia, em edição extra. O início da vigência seria em 18 meses desde a publicação.
O projeto sofreu vetos. Sob a alegação, bastante questionada, de vício de iniciativa, Temer vetou a criação da Autoridade Nacional de Proteção de Dados (ANPD), órgão de fiscalização.
Em dezembro de 2018, Temer editou a Medida Provisória nº 869, de 27 de dezembro de 2018, prevendo a criação da ANPD e alterando o início da vigência da lei para agosto de 2020.
Definições Relação das definições estabelecidas pela LGPD: Dado pessoal: informação relacionada a pessoa natural identificada ou identificável; Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural; Dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento; Banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico; Titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento; Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais; Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador; Encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD); Agentes de tratamento: o controlador e o operador; Tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração; Anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo; Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada; Bloqueio: suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados; Eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado; Transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro; Uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados; Relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco; Órgão de pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico; e Autoridade nacional: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento desta Lei em todo o território nacional.
Adequação Tanto as empresas como os profissionais autônomos que utilizam dados pessoais em seu negócio devem iniciar um projeto de adequação à LGPD. Porém, a LGPD não é aplicada as pessoas físicas que usam dados pessoais com finalidades domésticas, por exemplo: a utilização de rede social, troca de correspondências, lista de contatos, blogs etc.
E, de acordo com o recente Guia Orientativo da ANPD, os funcionários – do setor público ou privado – que trabalham mediante subordinação das decisões de empresas (poder diretivo, art. 2 e 3 da CLT) também não são considerados agentes de tratamento.
Os dados pessoais São informações de pessoas naturais vivas que, direta ou indiretamente, identificam um indivíduo.
A informação direta é aquela que permite a imediata individualização da pessoa. A informação indireta é a que permite por meio da reunião de informações, chegar à identificação do sujeito.
Para facilitar o entendimento observe os exemplos:
identificação direta: um cliente, ao fazer uma compra on-line, informa seu nome completo e CPF, ou seja, a loja virtual com essas informações consegue identificar o indivíduo que realizou a compra. identificação indireta: uma empresa não cadastrou o nome completo ou o CPF de um cliente, a princípio, a companhia não teria como identificá-lo. Porém, utilizando outras informações que possui, é possível descobrir sua identidade. Tais como: profissão, endereço, gênero, ou qualquer outro dado que ajude a identificá-lo.