Source: http://naosouumnumero.blogspot.com/2015/03/apl-de-protecao-de-dadospessoais-pior.html
Timestamp: 2017-08-23 17:35:40+00:00
Document Index: 63131927

Matched Legal Cases: ['artigo 4', 'artigo 6', 'artigo 11', 'artigo 7', 'artigo 11', 'artigo 11', 'artigo 12', 'artigo 12', 'artigo 12', 'artigo 15', 'artigo 24', 'artigo 24', 'artigo 35', 'artigo 33', 'artigo 38', 'artigo 45']

Tal como um filme ruim reprisado inúmeras vezes na TV aberta à tarde, a discussão sobre o anteprojeto de lei de "proteção" de dados pessoais voltou. E como todo filme ruim, ele sempre fica pior a cada reprise. Já no artigo 4º temos:
Esta é a famosa cláusula NSA, que permite que órgãos de segurança e inteligência desconsiderem a lei de "proteção" de dados pessoais em favor de qualquer lei específica; desnecessário dizer que a observância dos "princípios gerais de proteção e os direitos do titular previstos nesta Lei" nada mais é do que uma cortina de fumaça que esconde o fato dos dados pessoais não terem proteção pela lei de "proteção" de dados pessoais. Felizmente, os comentários são negativos à tentativa do desgoverno Dilma Rousseff em isentar as forças de segurança das virtualmente inexistentes proteções oferecidas por esta lei.
E não são apenas as atividades de segurança pública e segurança do Estado (copyright República Democrática Alemã - sim, o desgoverno federal utiliza o mesmo termo do infame Stasi, Ministerium für Staatssicherheit) que têm passe livre em relação a este anteprojeto. O artigo 6º fala dos princípios, eis que temos o parágrafo 2º:
Para variar, temos o uso dum termo esotérico, "políticas públicas", que, invariavelmente, abrigará qualquer coisa executada por ente público ou a mando deste. Pois bem, sabes quais os princípios que a execução de políticas públicas não precisará seguir? Transcrevo-os:
IX – princípio da não discriminação, pelo qual o tratamento não pode ser realizado para fins discriminatórios. Ou seja, para executar uma política pública, não precisará dar acesso gratuito aos titulares da informação, não será necessária manter a qualidade dos dados, transparência é algo que vai para o espaço, os dados não precisarão estar seguros, e, por consequência, não há necessidade de prevenção e discriminação pode ser utilizada.
Continuando, nós temos o art. 7º, que diz que o tratamento de dados pessoais só será feito com consentimento, seguido pelos arts. 8º, 9º e 10, que versam sobre o consentimento. Eis que vem o famigerado art. 11, com as exceções que permitem o tratamento de dados sem consentimento:
Lendo este artigo 11, eu não vejo outra razão para a existência do artigo 7º como mero disfarce, pois este artigo 11 libera geral! Vamos por partes, como diria Jack, o Estripador. Já no começo do artigo 11 temos mais um termo esotérico, os tais dados de "acesso público irrestrito", definição esta que não se encontra no tal anteprojeto de lei. De acordo com Dennys Antoniali, "acesso público irrestrito" não poderiam estar atrás dum CAPTCHA ou de pedido doutras informações pessoais, cujo exemplos que ele citou são facilmente encontráveis. Ou seja, caso o banco de dados consiga suportar requisições sem usar o filtro dum CAPTCHA, os dados passariam à categoria de acesso irrestrito. Daí temos as exceções nos casos que não envolvem dados de "acesso público irrestrito".
O primeiro caso é o cumprimento de obrigações legais. Evidentemente que a lei nada fala da criação de obrigações legais, se dar-se-á por lei, se haverá estudos de impacto de privacidade, nada! É mais outro termo esotérico. E chegamos no segundo caso, que ainda é pior, pois permite o compartilhamento de dados bastando haver apenas um regulamento da administração pública, sem a necessidade de discussão no Legislativo. O terceiro caso fala de cumprimento de obrigações contratuais, o que pode dar margem para o descumprimento dos princípios. O quarto caso é uma das aberrações deste projeto pois permite o acesso a dados pessoais bastando haver uma "pesquisa histórica, científica ou estatística" mesmo sem a dissociação de dados pessoais; algo um tanto inócuo já que é possível identificar pessoas usando dados de transações de cartões de crédito mesmo que não haja dados como nome, endereço, número do cartão e semelhantes. Ou ainda, como em 1990 já era possível identificar a maioria da população americana com os dados dissociados do censo daquele país. Isto para não falar na confusa hipótese do "sempre que possível".
Seguindo nós temos a possibilidade de dispensa de consentimento em processo judicial, nada muito a acrescentar pois é um terceiro que determinará o acesso ao dado pessoal; pois depois vem o problema, haverá dispensa de consentimento em processo administrativo. Traduzido para o português, basta que haja um processo administrativo que teus dados estão em risco. A próxima possibilidade de dispensa de consentimento é para "proteção da vida ou da incolumidade física do titular ou de terceiro", exemplo, se um alguém precisar de "proteção da vida", teus dados podem ser acessados, se o operador julgar necessário. E a última possibilidade é a tal "tutela da saúde", outro termo que não possui nenhuma definição na lei, onde basta ser um profissional da área da saúde ou ser membro duma entidade sanitária para poder acessar dados pessoais sem consentimento. E se isto tudo não fosse suficiente, o parágrafo 3º diz que o operador ou responsável poderá ser punido, isto é, não há sequer a obrigatoriedade de punição, em caso de descumprimento do parágrafo 2º.
E vamos para o artigo 12, que fala sobre o acesso aos dados pessoais sensíveis. Antes de adentrar no artigo 12, eu transcrevo a definição de dado pessoal sensível:
Isto é importante de citar pois o inciso II do artigo 12 prevê a hipótese de dados pessoais sensíveis de acesso público irrestrito; por exemplo, não seria absurdo para esta lei de "proteção" de dados pessoais a existência de um banco de dados público de acesso irrestrito sobre a tua vida sexual ou divulgando teu código genético. E não me repetirei nas hipóteses de acesso aos dados pessoais sensíveis sem consentimento do titular, do tipo, se alguém quiser fazer uma pesquisa histórica, científica ou estatística com teu prontuário médico, tu não podes fazer nada, já que teu consentimento não vale nada. Aliás, eu não sei qual o motivo para esta lei não ter um artigo dizendo que o acesso aos dados pessoais, especialmente os sensíveis, independerá de ordem judicial, pois é muito fácil tu achares uma brecha para acessar dados pessoais, sensíveis ou não, sem o consentimento do titular e sem ordem judicial. E de brinde, tu tens isto:
Sim, a biometria estará a mercê dum órgão competente, talvez para atender a solicitação da Equifax na primeira consulta ao tal anteprojeto. Relembrando que o anterior anteprojeto de "proteção" de dados pessoais considerava dados biométricos como dados pessoais sensíveis, muito embora isto não desse muita proteção ao dado... Falando no anteprojeto anterior, as hipóteses de desconsideração de consentimento eram menos piores do que as atuais.
A seguir, o anteprojeto fala em "cancelamento" dos dados pessoais, lembrando que a definição de cancelamento é omissa em relação a backups. E lá vamos com o artigo 15:
Mas antes, a definição de cancelamento:
Como eu disse, nada de backup (peguei isto dum comentário da sra. Carloni, diga-se de passagem, os comentários não são muito favoráveis a este anteprojeto). E eis que surge a novilíngua: a eliminação de dados significa cessão a terceiros. Traduzindo, ao invés de teus dados serem eliminados, eles serão cedidos a um terceiro. E claro nós temos a senha mágica para todo e qualquer dado pessoal no Brasil, "pesquisa histórica, científica ou estatística". Bem que poderia ter um artigo neste anteprojeto dizendo que a senha que todos os brasileiros devessem usar seria "pesquisa histórica, científica ou estatística". E sem contar na expressão mágica "legislação específica".
Mas nós também temos "direitos".
Tu não entendeste? Eu também não! Ora, se justamente a dispensa de consentimento existe para que o titular do dado não possa se opor ao tratamento do dado, como ele pode opor-se ao tratamento? E que descumprimento seria esse, se a lei permite o tratamento com dispensa de consentimento. Isto não faz sentido algum. E nós temos um artigo antipobre no anteprojeto:
Explico. Se tu fores uma pessoa que não tem acesso a meios eletrônicos, tu terás que pagar para saber se estão a utilizar teus dados pessoais, independentemente do fato do operador estar ganhando dinheiro com teus dados. É tipo estes jogos de azar em que há rodada dupla, evidentemente que o azar é todo do titular do dado.
E, resumindo, acabaram teus "direitos". E para quem acha que não há "parcerias público-privadas", temos o artigo 24:
Claro, qualquer ente estatal poderá interconectar-se com uma base de dados privada por qualquer motivo, já que temos uma pletora de hipóteses de dispensa de consentimento; aliás, este anteprojeto de lei nada mais é do que dar formas para o livre acesso a dados pessoais. E olha que charme a que se alude o inciso II:
XVII – uso compartilhado de dados: a comunicação, a difusão, a transferência internacional, a interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos, no cumprimento de suas competências legais, ou entre órgãos e entidades públicos e entes privados, com autorização específica, para uma ou mais modalidades de tratamento delegados por esses entes públicos;
Bônus Combo! Temos dois termos esotéricos, "competências legais" e "autorização específica". E de brinde temos a transferência internacional destes dados. Continuando com a análise do artigo 24, temos o inciso III que permite ao órgão competente dispensar o consentimento no absurdamente improvável caso de não se ter achado brechas no inciso I e II. E se isto não bastasse, o parágrafo único diz que poderá, e não deverá, ter condicionantes para aplicação do inciso III. Ou seja, o órgão competente poderá dispensar a comunicação da interconexão, poderá dispensar o oferecimento do tal "cancelamento" e poderá dispensar o cumprimento das normas do próprio órgão competente.
E já que citamos transferências internacionais, o anteprojeto de lei também tem um artigo só para este caso:
Já começamos com um inciso NSA, que permite a transferência de dados para o estrangeiro para órgãos de inteligência sem o consentimento do titular. Miraculosamente, não há a infame cláusula da "pesquisa histórica, científica ou estatística". Para variar, a lei permite que o órgão competente autorize a transferência de dados pessoais para o estrangeiro por mera decisão administrativa interna deste órgão. O antigo anteprojeto, no artigo 35, era um pouco mais restrito; esta versão liberou geral. E a identificação de tais transferências é uma mera possibilidade, não uma obrigação do órgão competente, conforme artigo 33.
E depois de tudo isso o anteprojeto de lei vem falar em responsabilidades no setor público:
A Lei 8112/1990, vulgo Estatuto do Servidor Público Federal, nada fala em seu capítulo de proibições sobre o assunto. A Lei 8429/1992, a Lei de Improbidade Administrativa, até fala no assunto:
Embora seja discutível o que significa segredo, uma vez que isso pode ser relativo a classificação de dados sigilosos do governo, e não dados pessoais. E o artigo 38, mais uma vez, joga para qualquer outra legislação a responsabilidade dos agentes públicos com relação aos dados pessoais.
E numa hipótese remotíssima de que dados pessoais sejam divulgados em desacordo com esta lei, o que é um esforço hercúleo dada a inacreditável quantidade de brechas, o artigo 45 dá ampla liberdade, sem obrigatoriedade, para o órgão competente agir:
Este anteprojeto é tão absurdo que sequer obriga a adoção de medidas para reversão ou comunicação aos titulares, estando estes à mercê do órgão competente. Por exemplo, se um site de exames médicos estiver disponibilizando dados pessoais sensíveis, a pronta comunicação dos titulares e/ou a adoção de medidas de reversão dependerá única e exclusivamente da vontade do órgão competente, já que a lei não traz tal obrigação.
E se nós chegarmos a ainda mais remota possibilidade de sanções, lembra-te que os agentes públicos não estão sujeitos à multa. Mas não te preocupas, que o parágrafo 4º diz que as sanções administrativas em nada prejudicam as sanções administrativas, civis e penais das legislações específicas. Isto é simplesmente inacreditável. O projeto sequer é capaz de definir as sanções as violações de seu próprio texto. Eu quero saber onde acho a punição por coletar dados desnecessários, qual a punição para que não "cancela" dados e por aí vai.
Resumo: eu não pensei que o anteprojeto de "proteção" de dados pessoais fosse tão desastroso. Mas, pelo jeito, eu estava errado.
Lei 8112/1990 Lei 8429/1992 Privacidade projeto de lei Projeto de Lei de Dados Pessoais
Marcadores: Lei 8112/1990 Lei 8429/1992 Privacidade projeto de lei Projeto de Lei de Dados Pessoais