Source: https://www.opiceblum.com.br/privacidade-e-protecao-de-dados/privacy-by-design-e-protecao-de-dados-pessoais/
Timestamp: 2020-05-30 09:13:50+00:00
Document Index: 117942667

Matched Legal Cases: ['artigo 5', 'artigo 13', 'artigo 6', 'artigo 25', 'artigo 7', 'Artigo 7', 'artigo 189']

"Privacy by Design" e Proteção de Dados Pessoais - Opice Blum | Direito DigitalOpice Blum | Direito Digital
Home Privacidade e proteção de dados “Privacy by Design” e Proteção de Dados Pessoais
201607.06
by Rony Vainzof in Privacidade e proteção de dados Tags: Código Civil, Código de Defesa do Consumidor, Constituição Federal de 1988, Decreto nº 8.771/2016, Lei 10.406/2002, Lei 12.965/2014, Lei 8.078/1990, Marco Civil da Internet, privacidade e dados pessoais, Projeto de Lei nº 5.276/2016
A legislação brasileira, desde a Constituição Federal de 1988, protege, mesmo que de maneira esparsa, a privacidade das pessoas, o que engloba, doutrinariamente, a proteção aos dados pessoais, independentemente do meio físico ou digital. Assim, a Carta Magna garante, dentre os direitos fundamentais previstos em seu artigo 5º, a inviolabilidade da intimidade e da vida privada.
Ao encontro do quanto estipulado pela Constituição Federal, o Código Civil,[1] o Código de Defesa do Consumidor,[2] e, mais recentemente, o Marco Civil da Internet,[3] disciplinaram de forma mais específica referida proteção, especialmente no que diz respeito ao último diploma ora mencionado.[4]
É a partir de referidas previsões legais que o conceito de privacy by designcomeça a ganhar relevância no ordenamento jurídico brasileiro, merecendo atenção especial dos desenvolvedores de aplicações.
A expressão foi cunhada na década 1990, por Ann Cavoukian, ex-comissária de Informação e Privacidade da Província de Ontário, no Canadá, correspondendo a uma forma de abordagem à proteção da privacidade, por meio da qual esta é incorporada diretamente às estruturas tecnológicas desenvolvidas, aos modelos de negócio e às infraestruturas físicas por eles utilizadas[5].
Ou seja, por referido conceito, a privacidade é incorporada à própria arquitetura dos sistemas e processos desenvolvidos, de modo a garantir, pela infraestrutura do serviço prestado, condições para que o usuário seja capaz de preservar e gerenciar sua privacidade e a coleta e tratamento de seus dados pessoais.
Na privacy by design, portanto, a proteção à privacidade advém da seguinte trilogia:
sistemas de tecnologia informação (IT systems);
práticas negociais responsáveis (accountable business practices); e
design físico e infraestrutura de rede (physical and networked infrastructure)[6].
Ainda, para atingir seus objetivos, o conceito em tela é fundado em sete princípios fundamentais:
Proactive not Reactive; Preventative not Remedial, pelo qual é adotada postura preventiva, de modo a evitar incidentes de violação à privacidade;
Privacy as the Default Setting, pelo qual a configuração padrão de determinado sistema deve preservar a privacidade do usuário;
Privacy Embedded into Design, pelo qual a privacidade deve estar incorporada à arquitetura de sistemas e modelos de negócio;
Full Functionality — Positive-Sum, not Zero-Sum, pelo qual devem ser acomodados todos os interesses envolvidos, evitando falsas dicotomias que levam à mitigação de direitos;
End-to-End Security — Full Lifecycle Protection, vez que, na medida em que a segurança de dados é incorporada ao sistema antes da coleta de qualquer informação, esta é estendida para todo o ciclo de vida da informação;
Visibility and Transparency — Keep it Open, pelo qual deve ser assegurado a todos os envolvidos que os sistemas e negócio são operacionalizados de acordo com as premissas e objetivos informados; e
Respect for User Privacy — Keep it User-Centric, que exige que os operadores dos serviços respeitem os interesses dos usuários, mantendo altos padrões de privacidade.
Assim, embora ainda não expressamente previstos na lei brasileira, os princípios estabelecidos pela privacy by design estão de acordo com a ratio legis do Marco Civil da Internet no que concerne à proteção de dados pessoais, ao princípio da finalidade que rege seu tratamento e à necessidade de obtenção de consentimento do usuário para tal finalidade.
A Privacy as the Default Setting, por exemplo, remete à exigência de obtenção de consentimento constante no Marco Civil, pois, ao estabelecer como configuração padrão a maior privacidade possível ao usuário, exige que a coleta de informações, como por meio de cookies, dependa de interação do usuário com o sistema e, portanto, de seu consentimento expresso[7].
O Decreto nº 8.771/2016, que regulamenta o Marco Civil, entre outros aspectos, aproxima ainda mais a legislação brasileira da privacy by design, ao estabelecer, em seu artigo 13, padrões de segurança e sigilo dos registros, dados pessoais e comunicações privadas[8], reforçando a importância da segurança dos dados e o respeito à privacidade dos usuários, por meio da adoção de medidas de tecnologia da informação e de práticas de negócio adequadas, estabelecendo a necessidade da criação de infraestrutura condizente com a preservação da privacidade dos usuários.
Por sua vez, o Projeto de Lei nº 5.276/2016, específico sobre proteção de dados pessoais, também se aproxima do conceito da privacy by design, especialmente no que diz respeito aos princípios da transparência, segurança e prevenção, indicados em seu artigo 6º, possuindo clara inspiração nas novas normatizações europeias[9], que, ampliando o quanto já disposto nos “Considerandos” da antiga diretiva de 1995[10], incorporam a concepção do instituto em estudo.
Assim, o novo Regulamento para a Proteção de Dados Pessoais europeu (Regulamento 2016/679 do Parlamento Europeu e do Conselho), que se encontra em período de vacatio legis e substituirá a Diretiva 45/96 em maio de 2018[11], também traz em seus “Considerandos” a necessidade de respeito aos conceitos de privacy by design e privacy by default[12], além de dedicar seu artigo 25 a estabelecer obrigações relacionas a referidos conceitos, indicando, entre elas, a necessidade de implementação de medidas técnicas e operacionais que, por padrão, restrinjam o processamento de dados àqueles necessários para o propósito específico para os quais foram coletados.[13]
O novo Regulamento europeu, portanto, indica a tendência evolutiva da legislação de incorporar expressamente obrigações decorrentes da privacy by design, sendo provável a expansão de tal tendência legislativa e de mercado ao Brasil, tornando-se cogente que os provedores de serviços de internet e demais empresas do mercado digital acompanhem a evolução normativa relacionada à privacidade e proteção de dados pessoais e os potenciais impactos em suas atividades empresariais e modelos de negócio.
[1] Inclui o direito à privacidade e à intimidade dentre os direitos da personalidade, conforme capítulo II, do Código Civil.
[2] Estabelece regras relacionadas à formação de bancos de dados referentes a consumidores, conforme Seção VI, do Capítulo V, do Código de Defesa do Consumidor.
[3] A Lei nº 12.965/2014, conhecida como Marco Civil da Internet (“MCI”), estabeleceu como um dos princípios do uso da internet no Brasil a proteção da privacidade e dos dados pessoais, conforme art. 3º, II e III, assim como, nos incisos do seu artigo 7º, disciplina os direitos e garantias dos internautas, dentre os quais a “inviolabilidade da intimidade e da vida privada, sua proteção e indenização pelo dano material ou moral decorrente de sua violação”, estabelecendo regras com o intuito de dar efetividade a referidas garantias.
[4] O MCI inovou ao determinar a necessidade de que provedores de serviços de internet forneçam aos seus usuários informações claras e completas acerca da coleta, uso, armazenamento, tratamento e proteção de seus dados pessoais, obtendo seu consentimento expresso para a realização de referidos atos, indicando, ainda, que dados pessoais e registros de conexão e de acesso a aplicações somente poderão ser compartilhados com terceiros mediante consentimento livre, expresso e informado do usuário.
[5] Como disponível emhttps://www.ipc.on.ca/english/Privacy/Introduction-to-PbD/. Acesso em 03.07.2016.
[6] Disponível emhttps://www.ipc.on.ca/images/Resources/7foundationalprinciples.pdf. Acesso em 03/07/2016.
[7] LIMA, Cíntia Rosa Pereira; BIONI, Bruno Ricardo. “A Proteção dos Dados Pessoais na Fase de Coleta: Apontamentos sobre a Adjetivação do Consentimento Implementado pelo Artigo 7, Incisos VIII e IX do Marco Marco Civil da Internet a partir da Human Computer Interaction e daPrivacy By Default”. In Direitos & Internet III –Marco Civil da Internet. Tomo I. São Paulo: Quartier Latin, 2015. p. 281.
[8] Referido artigo do Decreto prevê, em seus incisos: (i) o estabelecimento de controle estrito sobre o acesso aos dados pessoais e registros coletados, mediante a definição de responsabilidades das pessoas que terão possibilidade de acesso a tais informações; (ii) a previsão de mecanismos de autenticação de acesso aos registros, de modo a assegurar a individualização do responsável pelo tratamento dos registros; (iii) a criação de inventário detalhado dos acessos aos registros armazenados, contendo o momento, a duração, a identidade do responsável pelo acesso e o arquivo acessado; e (iv) o uso de soluções de gestão dos registros por meio de técnicas que garantam a inviolabilidade dos dados, como encriptação ou medidas de proteção equivalentes.
[9] Os textos oficiais do regulamento e da diretiva foram publicadas no Jornal Oficial da EU em 04 de maio de 2016. O Regulamento EU – 2016/679 será aplicável a partir de 25 de maio de 2018. Pela Diretiva EU – 2016/680, os Estados-Membros da UE têm até 06 de maio de 2018 para adequarem as suas Leis.
[10] Diretiva 95/46: ” Deliberando nos termos do procedimento previsto no artigo 189º B do Tratado (3), (…) (46) Considerando que a protecção dos direitos e liberdades das pessoas em causa relativamente ao tratamento de dados pessoais exige que sejam tomadas medidas técnicas e organizacionais adequadas tanto aquando da concepção do sistema de tratamento como da realização do próprio tratamento, a fim de manter em especial a segurança e impedir assim qualquer tratamento não autorizado; que compete aos Estados-membros zelar por que os responsáveis pelo tratamento respeitem estas medidas; que estas medidas devem assegurar um nível de segurança adequado, atendendo aos conhecimentos técnicos disponíveis e ao custo da sua aplicação em função dos riscos que o tratamento implica e a natureza dos dados a proteger;”
[11] Como informado em https://ec.europa.eu/justice/data-protection/. Acesso em 03.07.2016.
[12] Regulamento 2016/679: “Whereas: (…) (78) The protection of the rights and freedoms of natural persons with regard to the processing of personal data require that appropriate technical and organisational measures be taken to ensure that the requirements of this Regulation are met. In order to be able to demonstrate compliance with this Regulation, the controller should adopt internal policies and implement measures which meet in particular the principles of data protection by design and data protection by default. Such measures could consist, inter alia, of minimising the processing of personal data, pseudonymising personal data as soon as possible, transparency with regard to the functions and processing of personal data, enabling the data subject to monitor the data processing, enabling the controller to create and improve security features. When developing, designing, selecting and using applications, services and products that are based on the processing of personal data or process personal data to fulfil their task, producers of the products, services and applications should be encouraged to take into account the right to data protection when developing and designing such products, services and applications and, with due regard to the state of the art, to make sure that controllers and processors are able to fulfil their data protection obligations. The principles of data protection by design and by default should also be taken into consideration in the context of public tenders.”
[13] Regulamento 2016/679: “Article 25. Data protection by design and by default. 1.Taking into account the state of the art, the cost of implementation and the nature, scope, context and purposes of processing as well as the risks of varying likelihood and severity for rights and freedoms of natural persons posed by the processing, the controller shall, both at the time of the determination of the means for processing and at the time of the processing itself, implement appropriate technical and organisational measures, such as pseudonymisation, which are designed to implement data-protection principles, such as data minimisation, in an effective manner and to integrate the necessary safeguards into the processing in order to meet the requirements of this Regulation and protect the rights of data subjects.
An approved certification mechanism pursuant to Article 42 may be used as an element to demonstrate compliance with the requirements set out in paragraphs 1 and 2 of this Article.”
Sócio em Opice Blum, Bruno, Abrusio e Vainzof Advogados Associados
Advogado. Desenvolve também atividades acadêmicas e institucionais na Escola Paulista de Direito, FecomercioSP, Fiesp, Conib, dentre outros. É reconhecido por anuários internacionais e autor de diversos artigos sobre direito e tecnologia e de educação digital.
Últimos posts por Rony Vainzof (exibir todos)
Contagem regressiva à adequação e à aplicação da Lei de Proteção de Dados - 17 de agosto de 2019
Você investe em links patrocinados utilizando-se do nome do seu concorrente? Veja por que você não deveria fazer isso.Tecnologia da Informação e as Eleições de 2016
Data Protection Officer x Compliance Officer
WhatsApp: Há como conciliar criptografia e interceptação de dados para investigação de ilícitos?
Coleta de Dados Pessoais: na internet a mercadoria é você!
O sistema do Facebook para barrar ‘vingança pornô’e o Marco Civil da Internet
BACEN e CMN regulamentam o Open Banking (Resolução conjunta 01/2020 e Circular BACEN 4.015/2020)
Nova lei sobre recolhimento de ICMS nas operações online
Selecionar o mês maio 2020 abril 2020 março 2020 fevereiro 2020 janeiro 2020 dezembro 2019 novembro 2019 agosto 2019 julho 2019 junho 2019 março 2018 fevereiro 2018 setembro 2017 agosto 2017 junho 2017 maio 2017 abril 2017 fevereiro 2017 janeiro 2017 dezembro 2016 outubro 2016 setembro 2016 julho 2016 junho 2016 maio 2016 abril 2016 março 2016 fevereiro 2016 janeiro 2016 dezembro 2015 novembro 2015 outubro 2015 junho 2015 abril 2015 março 2015 fevereiro 2015 outubro 2014 agosto 2014 maio 2014 abril 2014 dezembro 2013 agosto 2013 março 2013 fevereiro 2013 janeiro 2013 junho 2012 janeiro 2012 outubro 2011 agosto 2011 junho 2011 maio 2011 abril 2011 março 2011 fevereiro 2011 dezembro 2010 novembro 2010 maio 2010 abril 2010 março 2010 fevereiro 2010 dezembro 2009 novembro 2009 julho 2009 outubro 2008 setembro 2008 agosto 2008 novembro 2007 outubro 2007 setembro 2007 maio 2007 abril 2007 março 2007 fevereiro 2007 novembro 2006 setembro 2006 julho 2006 junho 2006 maio 2006 abril 2006 março 2006 fevereiro 2006 janeiro 2006 novembro 2005 agosto 2005 maio 2005 março 2005 janeiro 2005 maio 2004 novembro 2003 outubro 2003 agosto 2003 julho 2003 maio 2003 abril 2003 janeiro 2003 novembro 2002 junho 2002 abril 2002 janeiro 2002 julho 2001 junho 2001 maio 2001
Daqui a pouquinho no YOUTUBE, às 13h, vai começar a live internacional sobre Contact Tracing Apps e a Proteção de D… https://t.co/dyNFQNRxjp
Mais um capítulo importante sobre a vigência da LGPD aconteceu na noite do dia 19 de maio de 2020, quando o Senado… https://t.co/wRHhEtkHK7
"Um projeto de lei sobre fake news apresentado em abril pela deputada federal Tabata Amaral (PDT-SP) em parceria co… https://t.co/20ekmSslgt
Com a expansão do Covid-19 e a necessidade de isolamento social, boa parte das relações humanas foi substituída por… https://t.co/9a67u55CyT
A CVM aprovou a Instrução CVM nº 626/2020, que trata das regras para a constituição e funcionamento de ambiente reg… https://t.co/77gDKuAJyP
Em sessão remota nesta terça-feira (19), o Plenário do Senado rejeitou o substitutivo da Câmara dos Deputados ao PL… https://t.co/VmiuxTGMMv
O OPICE BLUM CAST é o nosso novo canal de podcast, com notícias e análises semanais sobre o que há de mais relevant… https://t.co/vgBnjkb7LK
Anote aí na agenda: dia 22/05 às 17, nosso sócio @RonyVainzof participa da live da Escola Paulista de Direito. Entr… https://t.co/P9dzVPUXj1
CVM lança regras para SANDBOX regulatório. A norma, que entra em vigor em 01/06, visa fomentar o empreendedorismo e… https://t.co/p9khpBctin
No meio jurídico, a interpretação é que a decisão pode indicar se é possível ou não determinar a possibilidade da q… https://t.co/ALjryY9KCL
O EDPB, órgão criado pelo Regulamento Europeu de Proteção de Dados (GDPR) com o principal objetivo de garantir a ap… https://t.co/58HK4RACZh