Source: http://docplayer.com.br/17992283-Comentarios-e-sugestoes-acerca-do-anteprojeto-sobre-protecao-de-dados-pessoais.html
Timestamp: 2018-09-24 08:31:24+00:00
Document Index: 78774041

Matched Legal Cases: ['artigo 1', 'Artigo 2', 'Artigo 3', 'Artigo 3', 'Artigo 4', 'Artigo 4', 'artigo 8', 'Artigo 4', 'Artigo 4', 'Artigo 4', 'Artigo 4', 'Artigo 4', 'Artigo 4', 'Artigo 5', 'artigo 5', 'artigo 8', 'artigo 8', 'Artigo 8', 'Artigo 9', 'Artigo 9', 'Artigo 10', 'Artigo 11', 'Artigo 16', 'Artigo 19', 'Artigo 21', 'artigo 26', 'Artigo 26', 'Artigo 27', 'artigo 13', 'Artigo 28', 'artigo 13', 'artigo 13', 'Artigo 28', 'Artigo 30', 'artigo 4', 'Artigo 40', 'Artigo 42', 'artigo 47', 'artigo 43']

Comentários e Sugestões Acerca do Anteprojeto sobre Proteção de Dados Pessoais - PDF
Download "Comentários e Sugestões Acerca do Anteprojeto sobre Proteção de Dados Pessoais"
João Lucas Natal Assunção
1 Comentários e Sugestões Acerca do Anteprojeto sobre Proteção de Dados Pessoais Equifax do Brasil Ltda., empresa com mais de 100 anos de existência e presente em mais de 15 países, tendo iniciado suas atividades no Brasil, em 1998, com a aquisição da SCI, empresa fundada em 1974 e pioneira no fornecimento de informações restritivas e positivas sobre pessoas jurídicas no País, vem, por meio desta, oferecer seus comentários e sugestões ao Anteprojeto de lei relativo à Proteção de Dados Pessoais, conforme exposto a seguir: Título I Capítulo I Art. 1º. Esta lei tem por objetivo garantir e proteger, no âmbito do tratamento de dados pessoais, a dignidade e os direitos fundamentais da pessoa natural, particularmente em relação à sua liberdade, igualdade e privacidade pessoal e familiar, nos termos do art. 5º, incisos X e XII da Constituição Federal. Comentário ao artigo 1º: visando deixar claro que esta lei aplica-se a pessoa natural, sugerimos alterar a redação. Art. 2º. Toda pessoa natural, tem direito à proteção de seus dados. Comentário ao Artigo 2º: visando deixar claro que esta lei aplica-se a pessoa natural, sugerimos alterar a redação. Art. 3º. A presente lei aplica-se aos tratamentos de dados pessoais realizados no território nacional por pessoa física natural, ou jurídica de direito público ou privado, ainda que o banco de dados seja localizado no exterior. Comentário ao Artigo 3º: visando adequar o texto à terminologia consagrada no Código Civil Brasileiro, sugerimos alterar pessoa física para pessoa natural. 1º. A presente lei não se aplica: I ao tratamento de dados pessoais realizado por pessoa física natural, para fins exclusivamente pessoais e domésticos, desde que os dados tratados não sejam destinados à comunicação.
2 Comentário ao inciso I, do 1, do Artigo 3 º: visando adequar o texto à terminologia consagrada no Código Civil Brasileiro, sugerimos alterar pessoa física para pessoa natural. Art. 4º I - dado pessoal: qualquer informação relativa a uma pessoa natural identificada ou identificável, direta ou indiretamente, incluindo todo endereço ou número de identificação de um terminal utilizado para conexão a uma rede de computadores; Comentário ao inciso I, do Artigo 4º: visando deixar claro que esta lei aplica-se à pessoa natural, sugerimos qualificar a pessoa como pessoa natural para evitar qualquer futuro questionamento quanto à aplicação desta lei para pessoas jurídicas. Além disto, sugerimos excluir da definição de dado pessoal a referência a endereço porque este é um dado de localização e não de identificação pessoal. Tampouco deve permanecer no conceito de dado pessoal o número de identificação de um terminal de computador, uma vez que este não identifica um indivíduo, mas um equipamento. Neste sentido, é também o entendimento da agência que regula matéria de privacidade no Canadá. Por outro lado, constar na definição de dados pessoais as informações que indiretamente identifiquem o indivíduo, confere amplitude que não condiz com a precisão necessária na definição de um conceito legal, que visa justamente evitar insegurança jurídica. (...) IV - dados sensíveis: dados pessoais cujo tratamento possa ensejar discriminação do titular, tais como aqueles que revelem a origem racial ou étnica, as convicções religiosas, filosóficas ou morais, as opiniões políticas, a filiação sindical, partidária ou a organizações de caráter religioso, filosófico ou político, bem como o tratamento de dados os referentes relativos à saúde e à vida sexual, bem como os dados genéticos e biométricos; Comentário ao inciso IV, do Artigo 4º: A definição de dados sensíveis deve ser precisa e não exemplificativa, uma vez que esta última permite ampliações, interpretações extensivas, que podem gerar insegurança jurídica. Por outro lado, os dados genéticos e biométricos são dados de identificação que, associados a aplicações tecnológicas, podem trazer inúmeras facilidades para seus titulares em geral. Assim, pode vir a ser do interesse do próprio titular destes dados fornecê-los, o
3 que ficará inviabilizado na hipótese de dados genéticos e biométricos passarem a constar na definição de dados sensíveis. Neste sentido, é importante mencionar o texto do artigo 8º da Directiva Européia 95/46, que, no nosso entender, bem regula a matéria: Os Estados-membros proibirão o tratamento de dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, bem como o tratamento de dados relativos à saúde e à vida sexual. V - titular: pessoa natural física a quem se referem os dados pessoais que são objeto de tratamento nos termos desta lei; Comentário ao inciso V, do Artigo 4º: visando adequar o texto à terminologia consagrada no Código Civil Brasileiro, sugerimos alterar pessoa física para pessoa natural. VI - responsável: a pessoa natural física ou jurídica, de direito público ou privado, a quem competem as decisões referentes às finalidades e modalidades de tratamento de dados pessoais; que é titular de um arquivo, registro, base ou banco de dados. Comentário ao inciso VI, do Artigo 4º: visando adequar o texto à terminologia consagrada no Código Civil Brasileiro, sugerimos alterar pessoa física para pessoa natural. Além disto, as adequações efetuadas no texto foram inspiradas no conceito adotado pela legislação argentina, que define com clareza e precisão o termo responsável. VIII revelação comunicação: ato de revelar dados pessoais a um ou mais sujeitos determinados diversos do seu titular, sob qualquer forma; Comentário ao inciso VIII, do Artigo 4º: como o ato é de revelar sugerimos alterar para revelação. X - interconexão: transferência de dados de um banco de dados a outro, mantido ou não pelo mesmo proprietário, com finalidade semelhante ou distinta abrangendo o tratamento que consiste na possibilidade de relacionamento dos dados de um banco de dados;
4 Comentário ao inciso X, do Artigo 4º: A interconexão pode não abranger apenas a transferência de dados de um banco para outro, mas também o relacionamento de dados entre bancos de dados distintos, razão pela qual recomendamos inserir o conceito previsto na legislação portuguesa. XI - bloqueio: a conservação do dado pessoal em ou do banco de dados com a suspensão temporária de qualquer operação de tratamento; Comentário ao inciso XI, do Artigo 4º: o bloqueio de um banco de dado é muito abrangente, e pode afetar matérias distintas, não relacionadas com o dado pessoal afetado; por isto a sugestão de que na definição conste somente o dado pessoal em banco de dados. XIII procedimento de dissociação: todo tratamento ato de modificar o de dados pessoaisl de modo a que a informação que se obtém ele não possa ser associadao, direta ou indiretamente, com um indivíduo a pessoa identificadao ou identificável; Comentário ao inciso XIII, do Artigo 4º: A dissociação é um procedimento/ tratamento. Assim, sugerimos a inclusão na definição deste conceito, conforme o muito bem o fazem as legislações argentina, chilena e espanhola. Art. 5º. O tratamento de dados pessoais por parte de pessoas jurídicas de direito público é permitido para o cumprimento de suas funções institucionais, dentro dos limites da lei. Comentário ao Artigo 5º: como este anteprojeto de lei pretende ser o marco civil de dados pessoais, recomendamos que as pessoas jurídicas de direito público estejam condicionadas às obrigações e direitos previstos neste anteprojeto, razão pela qual entendemos necessário que este artigo 5º seja suprimido. Art. 6º. O tratamento de dados pessoais é atividade de risco e todo aquele que, por meio do tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, é obrigado a ressarci-lo, nos termos da lei, ressalvado os casos de: (i) culpa exclusiva da pessoa ou de terceiro cujos dados pessoais encontram-se protegidos e pela lei e (ii) que inexistiu defeito no tratamento dos dados pessoais. Art. 8º. Os responsáveis pelo tratamento de dados pessoais deverão atender, dentre outros, aos seguintes princípios gerais de proteção de dados pessoais:
5 I - Princípio da finalidade: a não utilização dos dados pessoais objeto de tratamento não podem ser utilizados para finalidades distintas ou incompatíveis com aquelas que motivaram a sua obtenção fundamentaram a sua coleta e que tenham sido informadas ao titular; bem como a limitação deste tratamento às finalidades determinadas, explícitas e legítimas do responsável; Comentário ao inciso I, do artigo 8º: As alterações propostas seguem a redação dada pela legislação argentina para o princípio da finalidade. III - Princípio do livre acesso: a possibilidade de consulta gratuita, pelo titular, de seus dados pessoais, bem como de suas modalidades de tratamento podendo tal acesso ser exercido a uma vez a cada doze meses, salvo se o interessado comprove a necessidade legitima de obter tais informações, hipótese em que poderá realizar a consulta antes do prazo aqui mencionado; Comentário ao inciso III, do artigo 8º: Caso nenhuma restrição seja imposta ao direito do cadastrado acessar suas informações, o exercício deste direito poderá ser economicamente inviável para aqueles que tratam dados. Por outro lado, acessos frequentes e repetitivos não são necessários para proteger os direitos dos titulares. Portanto, diante da onerosidade excessiva que pode causar ao responsável e a inexistência de prejuízo aos titulares, não se justifica a manutenção do texto original. Assim, o direito de acesso gratuito deve ter uma frequência razoável, qual seja, uma vez a cada doze meses, critério este adotado na legislação espanhola, para citar o direito comparado. IX - Princípio da responsabilidade: a reparação, nos termos da lei, dos danos causados aos titulares dos dados pessoais, sejam estes patrimoniais ou morais, individuais ou coletivos. Comentário ao inciso IX, do Artigo 8º: A responsabilidade já está clara no anteprojeto, inclusive neste mesmo artigo que trata dos princípios, razão pela qual recomendamos a supressão deste inciso. Art. 9º 1º Nos serviços de execução continuada, o consentimento deverá ser renovado periodicamente, nos termos do regulamento. Comentário ao 1º, do Artigo 9º: Entendemos que o parágrafo primeiro deve ser suprimido, pois ao titular do dado é assegurado a todo e a qualquer momento revogar o seu consentimento.
6 2º O tratamento de dados pessoais de menores de 16 anos crianças somente será possível se presente concomitantemente os seguintes requisitos: (i) com o consentimento dos responsáveis legais e (ii) no seu melhor interesse do menor de 16 anos, sendo vedada a utilização destes dados para finalidades comerciais. Comentário ao 2º, do Artigo 9º: A lei em nenhum momento menciona o que consistem crianças nem finalidades comerciais e por outro lado garante os direitos dela a restringir o tratamento de seus dados apenas se presente dois requisitos, a saber: consentimento dos representantes legais e no seu melhor interesse. Assim, os ajustes buscam dar maior segurança jurídica aos preceitos trazidos pelo anteprojeto. Art. 10º. O consentimento pode ser revogado a qualquer momento desde que não cause prejuízo a direitos ou interesses legítimos de terceiros, ou quando exista uma obrigação legal de conservar os dados. Comentário ao Artigo 10º: A legislação argentina faz uma ressalva que entendemos deveras importante, qual seja, a revogação não pode causar prejuízo a direitos ou interesses legítimos de terceiro, ou na hipótese de existir uma obrigação legal de conservar os dados. Entendemos muito apropriada a ressalva constante na legislação comparada, razão pela qual sugerimos a inclusão da mesma ressalva no anteprojeto ora em comento. Art. 11º. II a identidade e o domicílio do responsável pela coleta pelo tratamento ; Comentário ao Artigo 11º: nem sempre quando da coleta de dados pessoais sabe-se quem irá tratar os dados. Assim, aqui se faz necessária a correção apontada pois não se trata do responsável pelo tratamento mas sim do responsável pela coleta. CAPÍTULO IV DOS DIREITOS DO TITULAR Art. 16º. O responsável obriga-se, no prazo de 5 (cinco) dias, a comunicar aos destinatários das informações a realização de correção, cancelamento, dissociação e bloqueio dos dados.
7 Parágrafo único. O responsável obriga-se a comunicar aos destinatários das informações, no prazo de 5 (cinco) dias de quando as realizar, a correção, o cancelamento, a dissociação ou o bloqueio dos dados. Comentário ao parágrafo único, do Artigo 16º: A redação merece um ajuste para mencionar qual o fato gerador do início da contagem do prazo dos 5 dias para o responsável efetuar a comunicação aos destinatários das informações. Art. 19º. O titular dos dados tem direito a não ser submetido a decisões que lhe afetem, de maneira significativa, unicamente com base em um tratamento automatizado de dados pessoais destinado a definir o perfil ou a personalidade do titular. 1º Qualquer decisão desta natureza pode ser impugnada pelo titular, que tem o direito de obter informações do responsável pelo tratamento a respeito dos critérios desta avaliação e sobre o procedimento em que esta se baseou. 2º Admite-se esta modalidade de decisão nos casos em que tenha sido expressamente solicitada pelo titular e desde que garantidos o devido processo legal e a ampla defesa. Comentário ao Artigo 19º e seus parágrafos: sugerimos a exclusão deste artigo, porque sua abrangência e amplitude podem gerar incontáveis inseguranças jurídicas. CAPÍTULO V TRATAMENTO DE DADOS SENSÍVEIS Art. 20º. Nenhuma pessoa pode ser obrigada a fornecer dados sensíveis. Art. 21º. É proibida a formação de bancos de dados que contenham informações que, direta ou indiretamente, revelem dados sensíveis, salvo disposição legal expressa, respeitados os direitos de personalidade do titular, em especial a garantia de não discriminação. 1º O tratamento de dados sensíveis será permitido quando :em qualquer das seguintes hipóteses: Comentário ao 1º do Artigo 21º: As hipóteses enumeradas não são cumulativas. Assim, a alteração sugerida visa esclarecer que qualquer uma das hipóteses isoladamente justifica o tratamento de dados sensíveis. CAPÍTULO VI SEGURANÇA DOS DADOS
8 Art. 26º. O responsável, o subcontratado ou qualquer outra pessoa que intervenha em qualquer fase do tratamento de dados pessoais obriga-se ao dever de segredo em relação aos mesmos, dever este que permanece, até um 1 (ano) após o término do respectivo tratamento ou do vínculo empregatício existente. Parágrafo único: Não se aplicará o dever de segredo previsto no caput deste artigo 26, na seguintes hipóteses: I determinação judicial II razões de segurança pública, IIII- razões de defesa nacional; ou IV- razões de saúde pública Comentário ao Artigo 26º: O dever de confidencialidade é essencial nesta atividade mas não pode ser ad eternum, por isso se faz necessária a inclusão de um prazo. Neste sentido, a prática mostra-nos que 01 ano é um prazo razoável. Ademais é importante inserir um parágrafo único com as causas de exceção conforme o faz a legislação argentina. Art. 27º. O responsável pelo tratamento deverá comunicar à Autoridade de Garantia e aos titulares dos dados, imediatamente, sobre o acesso indevido, perda ou difusão acidental, seja total ou parcial, de dados pessoais, sempre que este acesso, perda ou difusão acarretem riscos à privacidade dos seus titulares. Comentário ao Artigo 27º: ao banco de dados competirá comunicar a autoridade de garantia e a autoridade de garantia deverá fazer a análise do grau de seriedade da violação, para, então, definir quem deverá ser comunicado, conforme determina o parágrafo único. Impor ao banco de dados que em todos os casos comunique os titulares dos dados é medida deveras severa, além de desnecessária. CAPÍTULO VII COMUNICAÇÃO E INTERCONEXÃO DOS DADOS PESSOAIS Art. 28º. 1º O consentimento para a comunicação ou interconexão é revogável a qualquer tempo, observado o disposto no artigo 13 desta Lei.
9 Comentário ao 1º, do Artigo 28º: é necessário efetuar a ressalva sugerida uma vez que o artigo 13 trata dos casos de dispensa do consentimento, logo, para as hipóteses identificadas no artigo 13 não há que se falar em revogação de consentimento. 2º O consentimento não será necessário será dispensado quando: Comentário ao 2º do Artigo 28º: entendemos que a expressão será dispensado não é a mais adequada, assim recomendamos o uso da expressão não será necessário como ocorre nas legislações da Argentina e da Espanha. CAPÍTULO VIII DO TÉRMINO DO TRATAMENTO DOS DADOS PESSOAIS Art. 30º. Os dados pessoais serão cancelados quando deixarem de ser necessários ou pertinentes para a finalidade que justificou sua coleta e tratamento. Parágrafo único. Lei ou regulamento poderá dispor sobre períodos máximos para o tratamento de dados pessoais em setores e situações específicas. Comentários ao Artigo 30 e ao seu parágrafo único: o capitulo refere-se ao tratamento dos dados pessoais, de acordo com o artigo 4º, inciso II - tratamento: toda operação ou conjunto de operações, realizadas com ou sem o auxílio de meios automatizados, que permita a coleta, armazenamento, ordenamento, conservação, modificação, comparação, avaliação, organização, seleção, extração, utilização, bloqueio e cancelamento de dados pessoais, bem como o seu fornecimento a terceiros por meio de transferência, comunicação ou interconexão. Assim, ao tratar de cancelamento, o caput deste dispositivo o faz em capitulo que trata de assunto distinto e, portanto deve ser excluído. CAPÍTULO IX TRATAMENTO DE DADOS PESSOAIS NO SETOR PÚBLICO CAPÍTULO X TRATAMENTO DE DADOS PESSOAIS NO SETOR PRIVADO CAPÍTULO XI TRANSFERÊNCIA INTERNACIONAL DE DADOS TITULO II TUTELA ADMINISTRATIVA CAPÍTULO I AUTORIDADE DE GARANTIA
10 Art. 40º. Os Estados, o Distrito Federal e os Municípios poderão criar suas próprias autoridades de proteção de dados pessoais, com competência concorrente e nas suas respectivas áreas de atuação administrativa. Entretanto a decisão da autoridade de proteção de dados pessoais federais vinculará as demais autoridades. Comentário ao Artigo 40º: fizemos a ressalva para que não ocorra divergência entre a autoridade federal e um ou algumas autoridades estaduais/municipais. CAPÍTULO II SANÇÕES ADMINISTRATIVAS Art. 41º. Sem prejuízo das sanções civis e penais cabíveis e de outras sanções administrativas a serem definidas em normas específicas, as infrações das normas previstas nesta Lei ficam sujeitas, conforme o caso, às seguintes sanções administrativas: I - multa; II bloqueio dos dados pessoais; III dissociação dos dados pessoais; IV cancelamento dos dados pessoais; V proibição do tratamento de dados sensíveis; VI suspensão temporária de atividade; VII proibição de funcionamento do banco de dados. 1º As sanções previstas neste artigo serão aplicadas pela Autoridade de Garantia, no âmbito de sua atribuição, podendo ser aplicadas cumulativamente, inclusive por medida cautelar, antecedente ou incidente de procedimento administrativo. 2º As condições e procedimentos para a aplicação das sanções previstas, que devem ser graduadas em razão da gravidade, extensão da violação, natureza dos direitos pessoais afetados, reincidência e dos prejuízos dela derivados, serão determinados por meio de regulamentação. Art. 42º. A multa será estipulada caso a caso, de acordo com o fato ocorrido e levando em conta o princípio da proporcionalidade:
11 I - no caso de empresa, em até vinte por cento do valor do faturamento bruto no seu último exercício, excluídos os impostos; II - No caso das demais pessoas físicas ou jurídicas de direito público ou privado, bem como quaisquer associações de entidades ou pessoas constituídas de fato ou de direito, ainda que temporariamente, com ou sem personalidade jurídica, não sendo possível utilizar-se o critério do valor do faturamento bruto, em montante não inferior a R$ 2.000,00 (dois mil reais) e não superior a R$ ,00 (seis milhões de reais). Parágrafo único. Em caso de reincidência, as multas cominadas poderão serão aplicadas em dobro, não se aplicando, em tal hipótese, o limite máximo indicado no inciso II. Comentários ao Artigo 42º, seus incisos e parágrafo único: Recomendamos que as multas sejam fixadas caso a caso, na análise do caso concreto e observando o principio da proporcionalidade, pois entendemos que esse é o modo que a lei terá força e não poderá ser considerada abusiva. Ademais, a redação atual pode ser considerada contrária e conflitante ao disposto no artigo 47 do Código de Defesa do Consumidor TITULO III CÓDIGOS DE BOAS PRÁTICAS. TITULO IV DISPOSIÇÕES FINAIS E TRANSITÓRIAS Art. 43. Sem prejuízo das sanções cabíveis, a Autoridade de Garantia, atuando de ofício ou a pedido de parte, deverá analisar e assegurando a legitima defesa e contraditório, impor, aos responsáveis que incorram em infração às normas desta lei, as medidas corretivas que considere necessárias para reverter os efeitos danosos que a conduta infratora tenha causado ou para evitar que esta se produza novamente no futuro, fixando o valor da multa diária pelo seu descumprimento. 1º As decisões administrativas transitadas em julgado que apliquem medidas corretivas em favor do titular dos dados constituem título executivo extrajudicial. Comentários ao artigo 43: Inicialmente se faz necessário deixar claro que neste processo há os direitos constitucionalmente consagrados de legitima defesa e contraditório. Como também é assegurado o direito da questão ser analisada pelo poder judiciário, não é possível determinar que a decisão administrativa seja titulo
12 executivo extrajudicial, pois se assim fosse teríamos o risco de uma pessoa executar uma decisão administrativa que encontra-se sub judice.