A sociedade terá até 31 de Março de 2011, para manifestar-se acerca da Proteção de Dados Pessoais.
Autor: Jurídica Digital | Publicado: 2011-01-26T04:28:00-08:00

O Ministério da Justiça prorrogou por mais 60 dias, até 31 de Março de 2011, o debate sobre Proteção de Dados Pessoais, portanto, a população terá um tempo maior para levantar questões acerca de um tema tão importante da atualidade.Durante todo este período ocorrerá  um debate público no Blog Público Cultura Digital  ( http://culturadigital.br/dadospessoais/), onde o tema estará sendo tratado pela sociedade em geral. A  participação popular é de grande importância em um tema que terá influência direta na vida de cada cidadão, afinal, a coleta de dados pessoais é vista hoje como verdadeiro patrimônio, muitas vezes disputado  e utilizado  de forma abusiva.Atualmente a lei brasileira já prevê a proteção de dados pessoais  no artigo 43 do Código de Defesa do Consumidor, que dispõe que as pessoas tenham livre acesso às informações sobre elas mesmas que estejam incluídas em bancos de dados. Determina ainda  que sua inclusão nesses cadastros lhes seja comunicada. Outras previsões ocorrem na Lei Complementar do Sigilo Bancário (LC no 105/2001) e na lei de habeas data (no 9.507/97). Também a Constituição Federal que prevê no artigo 5o, inciso X,  que sejam invioláveis a intimidade e a vida privada. No inciso XII, trata da inviolabilidade do sigilo da correspondência e das comunicações telefônicas, salvo por ordem judicial. Não obstante tais disposições legais, o atual projeto em debate irá tratar sobre o tema de forma mais pontual e dando a ênfase necessária para um assunto tão em pauta na atualidade.Veja a íntegra do Projeto:PROJETO DE LEI Nº , DE DE DE .Dispõe sobre a proteção de dadospessoais, a privacidade e dá outrasprovidências.O CONGRESSO NACIONAL decreta:TÍTULO IDA TUTELA DOS DADOS PESSOAISCAPÍTULO IDISPOSIÇÕES GERAISArt. 1º Esta lei tem por objetivo garantir e proteger, no âmbito do tratamento dedados pessoais, a dignidade e os direitos fundamentais da pessoa, particularmente emrelação à sua liberdade, igualdade e privacidade pessoal e familiar, nos termos do art.5º, incisos X e XII da Constituição Federal.Art. 2º Toda pessoa tem direito à proteção de seus dados pessoais.Art. 3º A presente lei aplica-se aos tratamentos de dados pessoais realizados noterritório nacional por pessoa física ou jurídica de direito público ou privado, aindaque o banco de dados seja localizado no exterior.§ 1º A presente lei não se aplica:I – ao tratamento de dados pessoais realizado por pessoa física para finsexclusivamente pessoais e domésticos, desde que os dados tratados não sejamdestinados à comunicação;II – aos bancos de dados utilizados para o exercício da atividade jornalística eexclusivamente para tal fim.§ 2º Os bancos de dados instituídos e mantidos para fins exclusivos de segurançapública, defesa, segurança do Estado e suas atividades de investigação e repressão dedelitos serão regidos por legislação específica.Art. 4º Para os fins da presente lei, entende-se como:I - dado pessoal: qualquer informação relativa a uma pessoa identificada ouidentificável, direta ou indiretamente, incluindo todo endereço ou número deidentificação de um terminal utilizado para conexão a uma rede de computadores;II - tratamento: toda operação ou conjunto de operações, realizadas com ou sem oauxílio de meios automatizados, que permita a coleta, armazenamento, ordenamento,conservação, modificação, comparação, avaliação, organização, seleção, extração,utilização, bloqueio e cancelamento de dados pessoais, bem como o seu fornecimentoa terceiros por meio de transferência, comunicação ou interconexão;III - banco de dados: todo conjunto estruturado de dados pessoais, localizado em umou vários locais, em meio eletrônico ou não;IV - dados sensíveis: dados pessoais cujo tratamento possa ensejar discriminação dotitular, tais como aqueles que revelem a origem racial ou étnica, as convicçõesreligiosas, filosóficas ou morais, as opiniões políticas, a filiação sindical, partidária oua organizações de caráter religioso, filosófico ou político, os referentes à saúde e àvida sexual, bem como os dados genéticos e biométricos;V - titular: pessoa física a quem se referem os dados pessoais que são objeto detratamento nos termos desta lei;VI - responsável: a pessoa física ou jurídica, de direito público ou privado, a quemcompetem as decisões referentes às finalidades e modalidades de tratamento de dadospessoais;VII - subcontratado: a pessoa jurídica contratada pelo responsável pelo banco dedados como encarregado do tratamento de dados pessoais;VIII - comunicação: ato de revelar dados pessoais a um ou mais sujeitos determinadosdiversos do seu titular, sob qualquer forma;IX - difusão: ato de revelar dados pessoais a um ou mais sujeitos indeterminadosdiversos do seu titular, sob qualquer forma;X - interconexão: transferência de dados de um banco de dados a outro, mantido ounão pelo mesmo proprietário, com finalidade semelhante ou distinta;XI - bloqueio: a conservação do dado pessoal ou do banco de dados com a suspensãotemporária de qualquer operação de tratamento;XII - cancelamento: a eliminação ou destruição de dados ou conjunto de dadosarmazenados em banco de dados, seja qual for o procedimento empregado;XIII - dissociação: ato de modificar o dado pessoal de modo a que ele não possa serassociado, direta ou indiretamente, com um indivíduo identificado ou identificável;XIV - dados anônimos: dados relativos a um titular que não possa ser identificado,nem pelo responsável pelo tratamento nem por qualquer outra pessoa, tendo em contao conjunto de meios suscetíveis de serem razoavelmente utilizados pelo responsávelpelo tratamento dos dados ou por qualquer outra pessoa para identificar o referidotitular;Art. 5º O tratamento de dados pessoais por parte de pessoas jurídicas de direitopúblico é permitido para o cumprimento de suas funções institucionais, dentro doslimites da lei.Art. 6º O tratamento de dados pessoais é atividade de risco e todo aquele que, pormeio do tratamento de dados pessoais, causar a outrem dano patrimonial, moral,individual ou coletivo, é obrigado a ressarci-lo, nos termos da lei.Art. 7º A defesa dos interesses e direitos dos titulares de dados poderá ser exercidaem juízo individualmente ou a título coletivo, na forma do disposto nos artigos 81 e82 da Lei 8.078, de 11 de setembro de 1990, na Lei 7.347 de 24 de julho de 1985 enos demais instrumentos de tutela coletiva estabelecidos em Lei.CAPÍTULO IIPRINCÍPIOS GERAIS DE PROTEÇÃO DE DADOSArt. 8º Os responsáveis pelo tratamento de dados pessoais deverão atender, dentreoutros, aos seguintes princípios gerais de proteção de dados pessoais:I - Princípio da finalidade: a não utilização dos dados pessoais objeto de tratamentopara finalidades distintas ou incompatíveis com aquelas que fundamentaram a suacoleta e que tenham sido informadas ao titular; bem como a limitação destetratamento às finalidades determinadas, explícitas e legítimas do responsável;II - Princípio da necessidade: a limitação da utilização de dados pessoais ao mínimonecessário, de forma a excluir o seu tratamento sempre que a finalidade que seprocura atingir possa ser igualmente realizada com a utilização de dados anônimos oucom o recurso a meios que permitam a identificação do interessado somente em casode necessidade;III - Princípio do livre acesso: a possibilidade de consulta gratuita, pelo titular, de seusdados pessoais, bem como de suas modalidades de tratamento;IV - Princípio da proporcionalidade: o tratamento de dados pessoais apenas nos casosem que houver relevância e pertinência em relação à finalidade para a qual foramcoletados;V - Princípio da qualidade dos dados: a exatidão dos dados pessoais objeto detratamento, com atualização realizada segundo a periodicidade necessária para ocumprimento da finalidade de seu tratamento;VI - Princípio da transparência: a informação ao titular sobre a realização dotratamento de seus dados pessoais, com indicação da sua finalidade, categorias dedados tratados, período de conservação destes e demais informações relevantes;VII - Princípio da segurança física e lógica: o uso, pelo responsável pelo tratamentode dados, de medidas técnicas e administrativas proporcionais ao atual estado datecnologia, à natureza dos dados e às características específicas do tratamento,constantemente atualizadas e aptas a proteger os dados pessoais sob suaresponsabilidade da destruição, perda, alteração e difusão, acidentais ou ilícitas, ou doacesso não autorizado;VIII - Princípio da boa-fé objetiva: o respeito à lealdade e à boa-fé objetiva notratamento de dados pessoais; eIX - Princípio da responsabilidade: a reparação, nos termos da lei, dos danos causadosaos titulares dos dados pessoais, sejam estes patrimoniais ou morais, individuais oucoletivos.X – Princípio da prevenção: o dever do responsável de, para além das disposiçõesespecíficas desta Lei, adotar, sempre que possível, medidas capazes de prevenir aocorrência de danos em virtude do tratamento de dados pessoais.CAPÍTULO IIIREQUISITOS PARA O TRATAMENTO DE DADOS PESSOAISArt. 9º O tratamento de dados pessoais somente pode ocorrer após o consentimentolivre, expresso e informado do titular, que poderá ser dado por escrito ou por outromeio que o certifique, após a notificação prévia ao titular das informações constantesno art. 11.§ 1º Nos serviços de execução continuada, o consentimento deverá ser renovadoperiodicamente, nos termos do regulamento.§ 2º O tratamento de dados pessoais de crianças somente será possível com oconsentimento dos responsáveis legais e no seu melhor interesse, sendo vedada autilização destes dados para finalidades comerciais.Art. 10. O consentimento pode ser revogado a qualquer momento.Art. 11. No momento da coleta de dados pessoais, o titular será informado de formaclara e explícita sobre:I - a finalidade para a qual os seus dados pessoais estão sendo coletados e de queforma serão tratados;II – a identidade e o domicílio do responsável pelo tratamento;III - a natureza obrigatória ou facultativa do fornecimento dos dados;IV - as conseqüências de uma eventual negativa em fornecê-los;V - os sujeitos para os quais os dados podem ser comunicados e o seu âmbito dedifusão; eVI - os seus direitos, em particular da possibilidade de negar-se a fornecer os dadospessoais e sobre o seu direito de acesso e retificação gratuitos.Parágrafo único. Considera-se nulo o consentimento prestado caso as referidasinformações tenham conteúdo enganoso ou não tenham sido fornecidas de forma clarae explícita.Art. 12. O consentimento, caso prestado em conjunto com outras declarações, devefigurar de forma expressa e apartada.Art. 13. O consentimento será dispensado quando o tratamento:I - for necessário para a execução de obrigações derivadas de um contrato do qual éparte o titular, para a execução de procedimentos pré-contratuais requeridos por este,ou para o cumprimento de uma obrigação legal por parte do responsável;II - referir-se a dados provenientes de registros, atos ou documentos públicos deacesso público irrestrito;III - for necessário para o exercício de funções próprias dos poderes do Estado;IV - for realizado unicamente com finalidades de pesquisa histórica, científica ouestatística;V - for necessário para a proteção da vida ou da incolumidade física do titular ou deum terceiro, nos casos em que o titular não possa prestar o próprio consentimento porimpossibilidade física ou por incapacidade de compreensão;VI - for necessário para o exercício do direito de defesa ou para fazer valer um direitoem sede judicial, desde que os dados coletados sejam tratados exclusivamente paraesta finalidade e estritamente pelo período de tempo necessário para sua execução;VII - disser respeito a dados sobre o inadimplemento de obrigações por parte dotitular, caso em que o titular deverá ser notificado previamente por escrito, nos termosdo art. 43 da Lei 8.078/90 – Código de Defesa do Consumidor.Art. 14. Os dados pessoais que forem objeto de tratamento deverão ser:I - tratados de forma lícita e com boa-fé;II - coletados e armazenados para finalidades determinadas, explícitas e legítimas;III – exatos, claros, objetivos, atualizados e de fácil compreensão;IV - pertinentes, completos, proporcionais e não excessivos em relação à finalidadeque justificou sua coleta ou tratamento posterior;V - conservados de forma a permitir a identificação de seu titular por um período detempo não superior ao necessário para as finalidades que justificaram sua coleta outratamento posterior; eVI - conservados por período não superior ao estabelecido em lei ou regulamentoespecífico para cada setor.§ 1º É vedado o tratamento de dados pessoais obtidos por meio de erro, dolo, coaçãoe lesão.§ 2º Os dados pessoais obtidos ou tratados de forma contrária à presente lei e àdisciplina referente à proteção de dados não poderão ser utilizados e deverão sercancelados.CAPÍTULO IVDOS DIREITOS DO TITULARArt. 15. O titular dos dados poderá obter do responsável pelo tratamento aconfirmação da existência de dados pessoais que lhe digam respeito, bem como oacesso aos dados em si, tanto diretamente, como por meio da ação de habeas data,nos termos da lei.§ 1º As informações requeridas serão fornecidas, imediatamente, de formasimplificada ou, no prazo de 5 (cinco) dias, por meio de um extrato claro e completo,abrangendo a informação sobre a sua origem, bem como sobre a lógica, os critériosutilizados e a finalidade do respectivo tratamento.§ 2º O fornecimento destas informações não importa em ônus para o titular dosdados.§ 3º Estas informações, por escolha do titular, poderão ser fornecidas por escrito oupor meio eletrônico, seguro e idôneo para tal fim.§ 4º A informação deve ser ampla e versar sobre a totalidade do registro existente,mesmo quando o requerimento compreender somente um aspecto dos dados pessoaisdo titular.§ 5º Os dados pessoais serão armazenados de forma que permitam o exercício dodireito de acesso.Art. 16. Mediante solicitação do titular dos dados, o responsável deverá, sem ônus,no prazo de 5 (cinco) dias:I - corrigir os dados pessoais que forem incompletos, inexatos ou desatualizados;II - cancelar, dissociar ou bloquear os dados pessoais que forem desnecessários,excessivos ou tratados em desconformidade com a presente lei.Parágrafo único. O responsável obriga-se, no prazo de 5 (cinco) dias, a comunicar aosdestinatários das informações a realização de correção, cancelamento, dissociação ebloqueio dos dados.Art. 17. O titular dos dados poderá opor-se, total ou parcialmente, ao tratamento deseus dados pessoais:I - sempre que tiver motivos legítimos, salvo nos casos em que o tratamento sejanecessário para o cumprimento de uma obrigação imposta pela lei à pessoaresponsável;II - quando seus dados forem utilizados para fins publicitários, ainda que tenham sidosubmetidos a um procedimento de dissociação.Art. 18. Nos casos de descumprimento desta lei, o titular poderá pleitear os seusdireitos perante a Autoridade de Garantia, na forma do regulamento.Art. 19. O titular dos dados tem direito a não ser submetido a decisões que lheafetem, de maneira significativa, unicamente com base em um tratamentoautomatizado de dados pessoais destinado a definir o perfil ou a personalidade dotitular.§ 1º Qualquer decisão desta natureza pode ser impugnada pelo titular, que tem odireito de obter informações do responsável pelo tratamento a respeito dos critériosdesta avaliação e sobre o procedimento em que esta se baseou.§ 2º Admite-se esta modalidade de decisão nos casos em que tenha sidoexpressamente solicitada pelo titular e desde que garantidos o devido processo legal ea ampla defesa.CAPÍTULO VTRATAMENTO DE DADOS SENSÍVEISArt. 20. Nenhuma pessoa pode ser obrigada a fornecer dados sensíveis.Art. 21. É proibida a formação de bancos de dados que contenham informações que,direta ou indiretamente, revelem dados sensíveis, salvo disposição legal expressa,respeitados os direitos de personalidade do titular, em especial a garantia de nãodiscriminação.§ 1º O tratamento de dados sensíveis será permitido quando:I - o titular tiver dado o seu consentimento livre, informado e por escrito, sempre queeste tratamento for indispensável para o legítimo exercício das atribuições legais ouestatutárias de seus responsáveis.II - for realizado por associações e outras entidades sem fins lucrativos de naturezapolítica, filosófica, religiosa ou sindical para a realização de finalidades lícitas ecompreendendo os dados pessoais de seus inscritos, sempre que os dados não sejamcomunicados ou difundidos para terceiros e quando o ente em questão determinemedidas idôneas de garantia dos direitos do titular para o tratamento realizado;III - for necessário para a proteção da vida ou da incolumidade física do titular ou deum terceiro, nos casos em que o titular não possa prestar o próprio consentimento porimpossibilidade física ou por incapacidade de compreensão; ouIV - for realizado unicamente com finalidades de pesquisa histórica, científica ouestatística;V - for relativo a dados manifestamente tornados públicos pelo seu titular.VI - for realizado por profissionais da área da saúde ou entidades sanitárias e semostrar indispensável para a tutela da saúde do interessado.VII – for necessário para o exercício de funções próprias dos poderes de Estado,previstas em lei.§ 2º Em qualquer hipótese, considerar-se-á ilegal o tratamento de dados sensíveis quefor utilizado para fins discriminatórios.Art. 22. A Autoridade de Garantia poderá indicar medidas de segurança e de proteçãoao titular de dados sensíveis que deverão ser adotadas pelo responsável pelotratamento.CAPÍTULO VISEGURANÇA DOS DADOSArt. 23. O tratamento de dados pessoais será feito de modo a reduzir ao mínimo,mediante a adoção de medidas idôneas de segurança preventiva, o risco de suadestruição ou perda, de acesso não autorizado ou de tratamento não permitido pelotitular ou diverso da finalidade da sua coleta, independentemente do motivo.Parágrafo único. As medidas referidas no caput devem ser proporcionais ao atualestado da tecnologia, à natureza dos dados e às características específicas dotratamento, em particular no caso do tratamento de dados sensíveis.Art. 24. Um conjunto de medidas mínimas de segurança preventiva será publicadopela Autoridade de Garantia dentro de, no máximo, um ano após a entrada em vigorda presente lei, e atualizado periodicamente, com base na evolução da tecnologia e naexperiência adquirida.Art. 25. O subcontratado deve ter experiência, capacidade e idoneidade para garantiro respeito às disposições vigentes em matéria de tratamento de dados pessoais, eresponderá solidariamente com o responsável pelos prejuízos causados pela suaatividade aos titulares dos dados.Parágrafo único. O subcontratado deverá realizar o tratamento segundo as instruçõesfornecidas por escrito pelo responsável, que, mediante inspeções periódicas, verificaráa observância das próprias instruções e das normas sobre a matéria.Art. 26 O responsável, o subcontratado ou qualquer outra pessoa que intervenha emqualquer fase do tratamento de dados pessoais obriga-se ao dever de segredo emrelação aos mesmos, dever este que permanece após o término do respectivotratamento ou do vínculo empregatício existente.Art. 27. O responsável pelo tratamento deverá comunicar à Autoridade de Garantia eaos titulares dos dados, imediatamente, sobre o acesso indevido, perda ou difusãoacidental, seja total ou parcial, de dados pessoais, sempre que este acesso, perda oudifusão acarretem riscos à privacidade dos seus titulares.Parágrafo único. Nos casos mencionados no caput, a Autoridade de Garantia poderátomar as providências que julgar necessárias, no âmbito de suas competências,inclusive determinando ao responsável a ampla divulgação do fato em meios decomunicação.CAPÍTULO VIICOMUNICAÇÃO E INTERCONEXÃO DOS DADOS PESSOAISArt. 28. A comunicação ou a interconexão dos dados pessoais somente será permitidacom o consentimento livre e expresso do titular e para o cumprimento de finsdiretamente relacionados com as funções legítimas do cedente e do cessionário.§ 1º O consentimento para a comunicação ou interconexão é revogável a qualquertempo.§ 2º O consentimento será dispensado quando:I - os dados forem provenientes de registros, atos ou documentos públicos acessíveis aqualquer pessoa, levando em consideração os limites estabelecidos para o acesso epublicidade destes dados;II - para o cumprimento de uma obrigação prevista em lei;III - quando for necessária para a proteção da vida ou da incolumidade física do titularou de um terceiro, nos casos em que o titular não possa prestar o próprioconsentimento por impossibilidade física ou por incapacidade de compreensão.Art. 29. O cessionário ficará sujeito às mesmas obrigações legais e regulamentares docedente, inclusive quanto à responsabilidade solidária pelos danos eventualmentecausados e ao dever de receber e processar impugnação e realizar correções.CAPÍTULO VIIIDO TÉRMINO DO TRATAMENTO DOS DADOS PESSOAISArt. 30. Os dados pessoais serão cancelados quando deixarem de ser necessários oupertinentes para a finalidade que justificou sua coleta e tratamento.Parágrafo único. Lei ou regulamento poderá dispor sobre períodos máximos para otratamento de dados pessoais em setores e situações específicas.Art. 31. No término do tratamento dos dados pessoais, sem prejuízo dos direitos dotitular, e sempre que houver necessidade ou pertinência, os dados podem ser:I - cedidos a terceiros, desde que destinados a tratamento para finalidades análogasàquelas para as quais foram colhidas e mediante o consentimento dos titulares;II - conservados para fins exclusivamente pessoais e não destinados à comunicação ouà difusão;III - conservados ou cedidos a terceiro, unicamente para finalidades históricas,estatísticas ou de pesquisa científica.CAPÍTULO IXTRATAMENTO DE DADOS PESSOAIS NO SETOR PÚBLICOArt. 32. A comunicação e interconexão de dados pessoais entre pessoas jurídicas dedireito público será admitida nos casos em que suas competências não versem sobrematérias distintas, respeitados os direitos estabelecidos nesta lei.Parágrafo único. A comunicação de dados pessoais entre pessoas jurídicas de direitopúblico com competências sobre matérias distintas será admitida:I - mediante expressa previsão legal, sempre no respeito aos direitos dos titulares dosdados; ouII - quando for necessária para a realização das suas competências institucionais.Art. 33. Os responsáveis pelos bancos de dados públicos poderão, mediante decisãofundamentada e somente pelo período necessário, negar o cancelamento e a oposiçãoao tratamento dos dados pessoais, quando for indispensável para:I - a proteção da ordem pública;II - a proteção de direitos de terceiros;III – não obstaculizar a atuação judicial ou administrativa em curso, vinculadas àinvestigação sobre o cumprimento de obrigações tributárias, o desenvolvimento defunções de controle da saúde e do meio ambiente e a verificação de infraçõesadministrativas.CAPÍTULO XTRATAMENTO DE DADOS PESSOAIS NO SETOR PRIVADOArt. 34. Toda entidade privada que realize o tratamento de dados pessoais para odesenvolvimento de suas atividades e conte com mais de duzentos empregados deveráapontar um diretor responsável pelo tratamento de dados pessoais.§ 1º O diretor responsável pelo tratamento de dados pessoais deverá zelar, de formaindependente, pela observância das disposições da presente lei.§ 2º As atividades do diretor responsável pelo tratamento de dados pessoaisconsistem, entre outras, em:I – atuar como o correspondente imediato da Autoridade de Garantia;II - orientar os demais funcionários a respeito das práticas a serem tomadas emrelação à proteção de dados pessoais; eIII - manter uma relação dos tratamentos de dados pessoais realizados pela empresa,imediatamente acessível pelos titulares que requisitem seus próprios dados pessoais.§ 3º A entidade informará à Autoridade de Garantia sobre a identidade do diretorresponsável pelo tratamento de dados pessoais.CAPÍTULO XITRANSFERÊNCIA INTERNACIONAL DE DADOSArt. 35. A transferência internacional de dados pessoais somente é permitida parapaíses que proporcionem um nível de proteção de dados equiparável ao da presentelei, salvo as seguintes exceções:I - quando o titular tiver manifestado o próprio consentimento livre, expresso einformado para a transferência;II - quando for necessária para a execução de obrigações derivadas de um contrato doqual o titular for parte;III - quando for necessária para a garantia de um interesse público relevante previstoem lei;IV – quando for necessária para a cooperação internacional entre órgãos públicos deinteligência e de investigação, de acordo com os instrumentos de direito internacionala que o Brasil se vincule;V - quando for necessária para a defesa de um direito em juízo, se os dados foremtransferidos exclusivamente para esta finalidade e pelo período de tempo necessário;VI - quando for necessária para a proteção da vida ou da incolumidade física do titularou de terceiro, se o titular não puder fornecer o próprio consentimento porimpossibilidade física, por incapacidade de agir ou de compreender.Art. 36. A Autoridade de Garantia reconhecerá o caráter adequado do nível deproteção de dados do país de destino levando em conta a legislação em vigor nestepaís e as demais circunstâncias relativas à transferência de dados.Parágrafo único. Para os fins do previsto no caput, a Autoridade considerará anatureza dos dados, as normas gerais e setoriais presentes em seu ordenamento, aobservância dos princípios de proteção de dados e das medidas de segurançaprevistas.Art. 37. A Autoridade de Garantia poderá autorizar uma transferência ou série detransferências para um país estrangeiro que não disponha de um nível adequado deproteção quando o responsável pelo tratamento ofereça garantias suficientes emrelação à proteção da privacidade dos titulares, às medidas de segurança adotadas e apossibilidade do exercício dos direitos dispostos nesta lei.Parágrafo único. A transferência de dados pessoais ao exterior, neste caso, somentepoderá ocorrer após a autorização expressa da Autoridade de Garantia.TÍTULO IITUTELA ADMINISTRATIVACAPÍTULO IAUTORIDADE DE GARANTIAArt. 38. É criado o Conselho Nacional de Proteção de Dados Pessoais, comautonomia administrativa, orçamentária e financeira, com a atribuição de atuar comoAutoridade de Garantia quanto à proteção de dados pessoais, cuja estrutura eatribuições serão estabelecidas em legislação específica.Art. 39. Compete ao Conselho Nacional de Proteção de Dados Pessoais:I - zelar pela observância desta lei, de seu regulamento e do seu regimento interno;II - planejar, elaborar, propor, coordenar e executar ações da política nacional deproteção de dados pessoais;III - editar normas e provimentos sobre matérias de sua competência;IV - aprovar seu regimento interno;V - receber, analisar, avaliar e encaminhar consultas, denúncias, reclamações ousugestões apresentadas por titulares de dados pessoais, entidades representativas oupessoas jurídicas de direito público ou privado, referentes à proteção de dadospessoais, nos termos do regulamento;VI – aplicar, de ofício ou a pedido de parte, conforme o caso, sanções, medidascorretivas e medidas preventivas que considere necessárias, na forma desta lei;VII – criar, manter e publicar, para fins de transparência, um registro de bancos dedados pessoais de caráter de categorias e setores que considere relevantes, nos termosde regulamento;VIII - verificar se os tratamentos respeitam as normas legais e os princípios gerais deproteção de dados;IX - promover o conhecimento entre a população das normas que tratam da matéria ede suas finalidades, bem como das medidas de segurança de dados;X - vetar, total ou parcialmente, o tratamento de dados ou prover seu bloqueio se otratamento se torna ilícito ou inadequado, nos termos de regulamento;XI - reconhecer o caráter adequado do nível de proteção de dados do país de destinono caso de transferência internacional de dados pessoais, bem como autorizar umatransferência ou série de transferências para países terceiros que não contem com estenível adequado;XII – determinar ao responsável pelo tratamento de dados pessoais, quandonecessário, a realização de estudo de impacto à privacidade, na forma de regulamento.XIII - desenvolver outras atividades compatíveis com suas finalidades.Art. 40. Os Estados, o Distrito Federal e os Municípios poderão criar suas própriasautoridades de proteção de dados pessoais, com competência concorrente e nas suasrespectivas áreas de atuação administrativa.CAPÍTULO IISANÇÕES ADMINISTRATIVASArt. 41. Sem prejuízo das sanções civis e penais cabíveis e de outras sançõesadministrativas a serem definidas em normas específicas, as infrações das normasprevistas nesta Lei ficam sujeitas, conforme o caso, às seguintes sançõesadministrativas:I - multa;II – bloqueio dos dados pessoais;III – dissociação dos dados pessoais;IV – cancelamento dos dados pessoais;V – proibição do tratamento de dados sensíveis;VI – suspensão temporária de atividade; eVII – proibição de funcionamento do banco de dados.§ 1º As sanções previstas neste artigo serão aplicadas pela Autoridade de Garantia, noâmbito de sua atribuição, podendo ser aplicadas cumulativamente, inclusive pormedida cautelar, antecedente ou incidente de procedimento administrativo.§ 2º As condições e procedimentos para a aplicação das sanções previstas, que devemser graduadas em razão da gravidade, extensão da violação, natureza dos direitospessoais afetados, reincidência e dos prejuízos dela derivados, serão determinados pormeio de regulamentação.Art. 42. A multa será estipulada:I - no caso de empresa, em até vinte por cento do valor do faturamento bruto no seuúltimo exercício, excluídos os impostos;II - No caso das demais pessoas físicas ou jurídicas de direito público ou privado, bemcomo quaisquer associações de entidades ou pessoas constituídas de fato ou dedireito, ainda que temporariamente, com ou sem personalidade jurídica, não sendopossível utilizar-se o critério do valor do faturamento bruto, em montante não inferiora R$ 2.000,00 (dois mil reais) e não superior a R$ 6.000.000,00 (seis milhões dereais).Parágrafo único. Em caso de reincidência, as multas cominadas serão aplicadas emdobro, não se aplicando, em tal hipótese, o limite máximo indicado no inciso II.Art. 43. Sem prejuízo das sanções cabíveis, a Autoridade de Garantia, atuando deofício ou a pedido de parte, deverá impor, aos responsáveis que incorram em infraçãoàs normas desta lei, as medidas corretivas que considere necessárias para reverter osefeitos danosos que a conduta infratora tenha causado ou para evitar que esta seproduza novamente no futuro, fixando o valor da multa diária pelo seudescumprimento.§ 1º As decisões administrativas transitadas em julgado que apliquem medidascorretivas em favor do titular dos dados constituem título executivo extrajudicial.§ 2º Sempre que as medidas corretivas se dirigirem a um titular específico, é deste alegitimidade para executar a decisão.Art. 44. Em qualquer fase do processo administrativo é facultado à Autoridade deGarantia adotar medidas preventivas, de ofício ou a pedido de parte, quando houverindício ou fundado receio de que o representado, direta ou indiretamente, cause oupossa causar à coletividade lesão irreparável ou de difícil reparação no âmbito daproteção de dados pessoais, ou torne ineficaz o resultado final do processo, fixando ovalor da multa diária pelo seu descumprimento.TÍTULO IIICÓDIGOS DE BOAS PRÁTICASArt. 45. Os responsáveis pelo tratamento de dados pessoais, individualmente ouatravés de organizações de classe, poderão formular códigos de boas práticas queestabeleçam as condições de organização, regime de funcionamento, procedimentosaplicáveis, normas de segurança, padrões técnicos, obrigações específicas para osdiversos envolvidos no tratamento e no uso de dados pessoais e demais quesitos egarantias para as pessoas, com pleno respeito aos princípios e disposições da presentelei e demais normas referentes à proteção de dados.§ 1º Os códigos de boas práticas vincularão os respectivos responsáveis pelotratamento de dados e os membros de uma determinada classe profissional.§ 2º A Autoridade de Garantia solicitará às respectivas organizações de classe aelaboração dos códigos de boas práticas quando julgar conveniente e poderá participarde sua elaboração.§ 3º Entre outras categorias profissionais, a Autoridade de Garantia priorizará ofomento à elaboração de códigos de boas práticas em tema de:I - vigilância e monitoramento;II - publicidade e marketing direto;III - bancos de dados de proteção ao crédito;IV - seguros; eV - demais matérias pertinentes.§ 4º Os códigos de boas práticas serão depositados na Autoridade de Garantia, quepoderá não aprová-los se estiverem em desconformidade com as disposições legais eregulamentares sobre a matéria, ao que seguirá uma solicitação para que sejam feitasas modificações necessárias e indicadas.§ 5º Os códigos de boas práticas serão disponibilizados publicamente e deverão seratualizados sempre que se demonstrar necessário.TÍTULO IVDISPOSIÇÕES FINAIS E TRANSITÓRIASArt. 46. Os direitos previstos nesta lei não excluem outros, decorrentes de tratados ouconvenções internacionais de que o Brasil seja signatário, da legislação internaordinária, bem como de regulamentos expedidos pelas autoridades administrativascompetentes.Art. 47. Ficam revogados os artigos de 2º, 3° e 4º da Lei 9.507, de 12 de novembro de1997.Art. 48. Esta Lei entrará em vigor no prazo de 90 dias contados da data da suapublicação.