PROTEÇÃO DE DADOS – GUIA DE CONFORMIDADE LEGAL PARA A SOCIEDADE CIVIL

PROTEÇÃO DE DADOS GUIA DE CONFORMIDADE LEGAL PARA A SOCIEDADE CIVIL GUIA LGPD FICHA TÉCNICA Live Lgpd Iniciativa: Projeto “Fortalecimento e Regionalização da Plataforma por um Novo Marco Regulatório das Organizações da Sociedade Civil” (CSO-LA/2018/399-177) Coexecução: Cáritas Brasileira e Elo Financiamento: União Europeia Consultoria Jurídica: Szazi, Bechara, Storto, Reicher e Figueiredo Lopes Advogados Equipe responsável: Laís de Figueirêdo Lopes Paula Raccanello Storto Maraísa Rosa Cezarino Rebeca de Oliveira Souza Thais Schiavon Natalia Toito Galli Vinícius Fidelis Projeto Gráfico: Mateus Leal Supervisão Técnica: Laís de Figueirêdo Lopes, Paula Raccanello Storto e Maraísa Rosa Cezarino Revisão: Stella Reicher 2 GUIA LGPD Menu interativo Clique para acessar o conteúdo SUMÁRIO EXECUTIVO 1 2 Organizações da Sociedade Civil (OSC) e Negócios de Impacto (NI)……………………………….. 8 Conhecendo a LGPD. ………………………………………. 12 2.1. Histórico da LGPD……………………………………………………………..12 2.2. LGPD em si. ………………………………………………………………………15 2.2.1.Dados pessoais x dados pessoais sensíveis……………………….16 2.2.2. Princípios da LGPD…………………………………………………………..17 3 Como implementar em 10 passos……………………. 20 3.1. Criação de um canal de comunicação sobre proteção de dados no site………………………………………………………………………..22 3.2. Workshop de sensibilização sobre a lei……………………………..22 3.3. Designação de ponto focal (encarregado(a) ou Comitê de Dados)…………………………………………………………………23 3.4. Mapeamento dos fluxos de dados pessoais……………………….25 3.5. Atribuição de bases legais para justificar os tratamentos de dados atualmente realizados……………………………………………….27 3.5.1. Bases Legais para Tratamento de Dados Pessoais Sensíveis. …………………………………………………………..28 Consentimento. ……………………………………………………………….32 Obrigação legal-regulatória. …………………………………………….34 Execução de políticas públicas………………………………………….35 Realização de estudos por órgão de pesquisa……………………36 Execução de um contrato…………………………………………………36 Proteção da vida………………………………………………………………37 Tutela de saúde………………………………………………………………..37 Legítimo interesse……………………………………………………………38 Proteção ao crédito………………………………………………………….40 3.6. Revisão de sites e aplicativos a partir dos padrões de privacidade e proteção de dados. ……………………………………………..40 3 Menu interativo Clique para acessar o conteúdo 3.7. Adoção de medidas de segurança da informação pela área de TI ..41 3.8. Construção de políticas para proteção de dados pessoais . …45 3.8.1. A Política de Privacidade Externa . ……………………………45 3.8.2. A Política de Privacidade Interna………………………………46 3.8.3. Política de Segurança da Informação e de Incidentes de Privacidade . ……………………………………………………………………..47 3.8.4. Política de Cookies……………………………………………………48 3.9. Elaboração / revisão de cláusulas contratuais e acordos padrão………………………………………………………………………49 3.9.1.A diferença entre o Operador e o Controlador de dados ………………………………………………………………………….49 3.6.2.Cláusulas padrão de tratamento de dados pessoais. ..51 3.10.Capacitação periódica sobre proteção de dados e 4 5 monitoramento da conformidade . …………………………………………..52 A aplicação de sanções pela ANPD……………………. 53 Questões polêmicas: soluções inovadoras………… 56 5.1. Dados pessoais de crianças e adolescentes ……………………………56 5.2. Uso de dados pessoais sensíveis em relatórios finais/prestações de contas de projetos……………………………………….59 5.3. Uso de bases de dados antigas……………………………………………….60 5.4. Compartilhamento de dados com o Poder Público………………….62 5.5. Contratação de microempresários individuais para prestação de serviços…………………………………………………………..64 5.6. Direito de imagem e Propriedade Intelectual………………………….64 5.7. Transferência internacional de dados pessoais . …………………….65 5.8. Uso de dados em relações trabalhistas…………………………………..66 5.9. Alteração de Estatuto Social . …………………………………………………67 5.10. Guarda de documentos………………………………………………………..67 6 7 Agenda regulatória da ANPD e a possibilidade de incidência…………………………………………………………….68 Links úteis………………………………………………………………..72 GLOSSÁRIO . …………………………………………………………………………………..73 GUIA LGPD APRESENTAÇÃO Construímos esse Guia com o intuito de desmistificar, desconcentrar o conhecimento e ajudar a promover a mudança cultural de proteção de dados requerida pela Lei n° 13.709/2018 – Lei Geral de Proteção de Dados, a “LGPD”. O público-alvo deste documento são as Organizações da Sociedade Civil e os Negócios de Impacto, que figuram entre os destinatários da LGPD, trazendo uma camada regulatória que se sobrepõe às leis específicas que regulamentam as suas atividades como pessoas jurídicas. Inicialmente, foi possível perceber uma grande incerteza em torno de como proceder com a adequação a essa lei, totalmente nova, que regula o uso e a transmissão de dados pessoais, matéria prima de praticamente todas as atividades de interação com o público. A incerteza surge do desconhecido e socializar o conhecimento sobre proteção de dados ajuda a gerar mais segurança e engajamento, além de ser ferramenta para promover a aplicação mais adequada da lei, criada para proteger os cidadãos brasileiros das consequências do uso abusivo dos seus dados pessoais. Nesse sentido, é importante destacar que o direito à proteção de dados foi reconhecido como direito fundamental por meio da PEC 17/2019. Após a sua aprovação, pelo Senado, no dia 20 de outubro de 2021, a PEC seguiu para promulgação em sessão do Congresso Nacional. Em 2020, o Supremo Tribunal Federal já tinha reconhecido a proteção de dados como direito fundamental na sua jurisprudência, no julgamento da ADI nº 6.387, quando consolidou o entendimento de que a proteção de dados era uma derivação natural do direito fundamental à inviolabilidade, da intimidade, da vida privada, da honra e da imagem das pessoas (prevista no artigo 5º, X, da Constituição). A afirmação da proteção de dados como direito fundamental fortalece todo o arcabouço de direitos previstos na LGPD. Isso quer dizer que, mais do que nunca, só é possível tratar dados pessoais para uma atividade quando existir o consentimento específico dos titulares de dados ou quando esse tratamento estiver encaixado em uma das hipóteses de tratamento que a LGPD expõe nos artigos 7º para dados pessoais e no 11º para dados sensíveis. No momento em que grandes empresas se valem de recursos de inteligência artificial, para processar e monetizar, em larga escala, os dados pessoais dos cidadãos com o objetivo de prever os seus comportamentos e fornecer produtos, conteúdos e serviços de forma direcionada, a positivação da Proteção de Dados como direito fundamental aumenta a responsabilidade pela construção de uma agenda de atuação pautada pela preocupação coletiva de proteção deste direito. É importante lembrar que, além das chamadas Big Techs, cujo impacto sobre as democracias modernas tem sido amplamente criticado entre especialistas, o Estado muitas vezes apresenta 5 GUIA LGPD iniciativas questionáveis relacionadas, principalmente, a projetos que envolvem o tratamento de dados para a finalidade de eficiência de mecanismos de segurança pública. Nesse sentido, pode-se citar as diversas iniciativas que envolvem a ampliação da captação de dados pelo Estado, com o intuito de aumentar o seu poder de vigilância sobre os cidadãos, por exemplo: a criação de Cadastro Básico de Cidadão, via decreto; a tentativa de emplacar uma criticada Estratégia Brasileira de Inteligência Artificial; a elaboração de um anteprojeto de lei sobre o tratamento de dados e segurança pública; e o crescente uso, pelos Estados, de mecanismos de reconhecimento facial como instrumento de segurança pública. O retrato da problemática envolvendo a ampliação da vigilância estatal foi retratado em pesquisa recentemente produzida pelo Data Privacy Brasil e pelo Instituto LAUT, na qual é possível encontrar uma sistematização daquilo que se vem conceituando como “tecno autoritarismo”, ou seja, a ampliação desmedida da captação de dados pelo Estado para a finalidade de controle da população. Segundo Ingo Wolfgang Sarlet1, o direito fundamental à proteção de dados havia sido incorporado nas Constituições portuguesa (1978) e espanhola, (1976), mas esses países são uma exceção, já que muitos outros ainda não trazem esse direito expressamente em suas constituições. No âmbito da ONU, o direito à proteção de dados tem sido interpretado como derivação do direito à privacidade, embora eles não se confundam. O direito à Privacidade é um direito que se exerce pela possibilidade de isolar determinados aspectos do âmbito público, tratando do direito de não ser incomodado, de não ter determinadas partes da sua vida expostas ao público. Por outro lado, o direito à proteção de dados é um direito positivo, da pessoa que é titular de dados, de exercer controle sobre o fluxo dos dados pessoais que dizem sobre ela. Isso é, significa o direito de saber e conseguir exercer um controle mínimo sobre o fluxo tais dados, inclusive, demandando que ele seja interrompido se for o caso. Em 1981, a Convenção 108 do Conselho da Europa para a Proteção das Pessoas Singulares, conhecida como “Convenção de Estrasburgo”, reconheceu o direito à proteção de dados como direito fundamental, quando realizado por meios totalmente automatizados. Essa convenção foi um passo importante para a consolidação do debate sobre proteção de dados pessoais que, mais tarde, desembocou na GDPR (General Data Protection Regulation), promulgada em 2016. A regulação europeia de proteção de dados influenciou, em larga medida, a construção das disposições da LGPD. Nesse sentido, a aprovação de uma lei robusta, capaz de efetivar a proteção dos titulares de dados, foi objeto de grande mobilização das organizações do terceiro setor e do setor privado entre 2010 e 2018 quando a LGPD foi aprovada. Considerando o escopo de atuação e os interlocutores das OSCs e dos negócios de impacto, a quem se dirige este Guia, efetivar o direito à proteção de dados significa um compromisso de cuidado e respeito com as populações de grupos socialmente vulneráveis que normalmente são o público atingido pelos seus projetos. Assim, o estabelecimento de uma nova cultura de tratamento de dados, pressuposto para a efetivação da LGPD, parte da compreensão de quem é o foco de proteção da lei: todos nós, titulares de dados. A LGPD é construída sobre a premissa de que os dados, para efeito de proteção jurídica, devem ser 1 http://genjuridico.com.br/2021/10/08/protecao-dos-dados-pessoais-privacidade/ 6 GUIA LGPD compreendidos como uma projeção da personalidade das pessoas a quem eles pertencem. Desse modo, ao proteger os dados das pessoas, a LGPD protege as próprias pessoas e o livre desenvolvimento da sua personalidade, uma vez que o processamento massivo de dados tem permitido uma série de decisões sobre elas sem que necessariamente os cidadãos sejam informados sobre como isso ocorre. Neste documento, encontram-se conceitos básicos e relevantes sobre a proteção de dados, dicas de como se adequar à LGPD e, também, uma discussão sobre as possibilidades de disputa interpretativa da lei, que abrem espaço para pensar numa calibragem da sua aplicação às possibilidades e recursos disponíveis aos agentes de pequeno porte. Este material foi elaborado a partir de uma solicitação da Plataforma por um Novo Marco Regulatório das Organizações da Sociedade Civil para a suas consultoras jurídicas, Laís de Figueirêdo Lopes e Paula Raccanello Storto, sócias de SBSA Advogados, entendendo ser este um tema relevante para a atuação das OSC no Brasil e de interesse da Pltaaforma, que pretende difundir informação qualificada para suas mais de 2.000 signatárias com sobre a nova Lei que trata da regulação de dados pessoais. Os questionamentos e dúvidas que este material procura responder foram levantados a partir de solicitações da Plataforma e suas OSC signatárias em atividades locais, regionais e nacionais que tem realziado nos útlimos anos. Tem origem também em um workshop realizado entre a Rede Folha de Empreendedores Socioambientais e SBSA Advogados – que há mais de 10 anos é pareiro do Prêmio – que contou com a presença de finalistas e vencedores do Prêmio Empreendedor Social. Os mais de cem líderes de organizações e negócios sociais receberam em primeira mão parte deste conteúdo, agora ampliado e destinado a todo o ecossistema de impacto social. Estes processos participativos permitiram a clara identificação da sinergia existente entre o universo das OSC e dos Negócios de Impacto no que diz respeito à pauta de regulação de dados pessoais. Foi assim que com esta parceria de peso, nasceu a ideia de unificar os conteúdos neste único Guia, que esperamos possa inspirar o processo de adequação da cultura organizacional de OSCs e dos negócios de impacto à LGPD, apoiando a mudança de comportamento a nova lei traz como um convite ao cuidado e garantia do direito fundamental à proteção de dados pessoais no nosso país. Boa Leitura! Plataforma por um novo Marco Regulatório das Organizações da Sociedade Civil SBSA Advogados Prêmio Empreendedor Social da Folha de S.Paulo 7 01 ORGANIZAÇÕES DA SOCIEDADE CIVIL (OSC) E NEGÓCIOS DE IMPACTO (NI) A LGPD, Lei n° 13.709/2018, em seu artigo 3°, dispõe que devem observar suas disposições para a realização do tratamento de dados as pessoas naturais ou jurídicas de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que (i) a operação tenha sido realizada em território nacional; (ii) a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; ou (iii) os dados pessoais objeto do tratamento tenham sido coletados no território nacional. Dessa forma, a LGPD é aplicável ao Poder Público, às empresas, às Organizações da Sociedade Civil (OSC) e aos Negócios de Impacto. Contudo, como o próprio título deste Guia já anuncia, esse material tem um escopo mais direcionado da aplicação da LGPD a estes últimos: Organizações da Sociedade Civil e Negócios de Impacto. SUMÁRIO 8 GUIA LGPD As OSCs, de acordo com a Lei nº 13.019/2014, conhecida como Marco Regulatório das Organizações da Sociedade Civil (MROSC), são entidades de direito privado sem fins lucrativos – como associações e fundações – que revertem a totalidade de eventuais resultados, sobras e excedentes patrimoniais auferidos no exercício de suas atividades, para a consecução de seu respectivo objetivo social que deve observar a promoção de atividades e finalidades de relevância pública e social (art. 2º, inciso I, alínea “a” e art. 33, inciso I), além das sociedades cooperativas e das organizações religiosas que se dediquem a atividades ou a projetos de interesse público e de cunho social distintas das destinadas a fins exclusivamente religiosos (art. 2º, inciso I, alíneas “b” e “c”). As pessoas jurídicas “sem fins lucrativos” não são impedidas de desenvolver atividade econômica ou de obter resultado financeiro positivo (superávit) mas, ao obtê-lo, não devem distribuí-lo entre os seus associados, conselheiros, diretores, empregados, doadores ou quaisquer terceiros, como numa empresa, mas reaplicá-lo nas suas finalidades de relevância pública. Segundo o MROSC, as OSCs devem manter a escrituração de acordo com os princípios fundamentais de contabilidade e com as Normas Brasileiras de Contabilidade. Os negócios de impacto, por sua vez, são definidos pelo Decreto Federal nº 9.977/2019, que criou a Estratégia Nacional de Investimento e Negócios de Impacto (ENIMPACTO). A definição não cria um tipo jurídico societário novo, mas admite o enquadramento de diferentes tipos jurídicos com ou sem finalidade lucrativa, a partir do impacto socioambiental e resultado financeiro positivo de forma sustentável. Com esta definição também não se qualificou a natureza de pessoas jurídicas no país. Ou seja, não houve qualquer mudança nas regras para abertura ou funcionamento das empresas, associações, fundações e sociedades cooperativas que se enquadrem como um “negócio de impacto” (“NI”). Tanto as OSCs quanto os Negócios de Impacto, a depender da natureza das atividades que desempenham, podem lidar com uma grande quantidade de dados pessoais e dados sensíveis dos beneficiários Desta forma, dois requisitos são exigidos para que um empreendimento se enquadre neste conceito do Decreto: (i) deve se propor a solucionar um problema socioambiental e, ao mesmo tempo, (ii) ter resultado financeiro positivo de forma sustentável – ou seja, a sua atividade deve ser capaz de se “sustentar” sem o necessário apoio de doadores e financiadores. Se a sua organização ou a sua empresa cumpre com os dois requisitos do decreto federal, já pode ser considerada um negócio de impacto. Atuando com matérias variadas e, em geral, com um olhar para públicos específicos, como a população negra, idosa, pessoas com deficiência, crianças e adolescentes, mulheres, povos e comunidades tradicionais, sendo muitas vezes necessário coletar dados e informações para atuar na promoção os direitos dessas populações e/ou interagir com os beneficiários nos projetos que desenvolvem. Nessa lógica, selecionamos nos quadros abaixo alguns tipos de atividades e os dados que são normalmente captados no seu desenvolvimento, a fim de ilustrar a aplicação da LGPD: 9 GUIA LGPD DADOS NORMALMENTE CAPTADOS: ATIVIDADES DE GESTÃO: São as atividades necessárias ao atingimento dos objetivos finais de sua atuação, mas não são o objetivo em si, por exemplo: ● Contratação e gestão de funcionários, estagiários e voluntários; ● Contratação de serviços prestados por pessoas físicas como autônomos ou freelancers; ● Monitoramento de impacto dos projetos; ● Gestão dos contratos e instrumentos de parcerias com outras organizações, empresas ou com o Poder Público; ● Captação de recursos. DADOS PESSOAIS: nome, e-mail, telefone, endereço, cargo atual, nível de escolaridade, experiência prévia de trabalho, informações requisitadas pela CLT, pela Lei de Estágio ou pela Lei do Voluntariado, dados necessários para a concessão de benefícios, situação econômica da pessoa, etc. DADOS PESSOAIS SENSÍVEIS: dados de saúde, origem ética/racial, orientação sexual, orientação político-filosófica, etc. ATIVIDADES DE PROJETOS DADOS NORMALMENTE CAPTADOS São as atividades finalísticas que traduzem os objetivos para a qual foram criadas, como: DADOS PESSOAIS: histórico de saúde mental, histórico de violência, histórico de uso de mecanismos de assistência social, participação em organizações, dados referentes à identidade de gênero, raça e etc. ● Realização de pesquisas sobre o impacto de políticas públicas na região onde atuam; ● Realização de cursos e formações para o público da organização/ negócio; ● Mobilização das pessoas da região de atuação em torno de um tema; ● Oferta de serviços e atendimento de saúde em parceria com o poder público; ● Divulgação de iniciativas e problemas de determinados grupos vulneráveis com os quais a organização/negócio atue. Além de dados cadastrais como nome, e-mail, telefone, endereço, nível de escolaridade, é comum, a depender do tipo de projeto, captar dados sobre a utilização de mecanismos da assistência social, dados sobre situação econômica da pessoa e etc. DADOS PESSOAIS SENSÍVEIS: dados de saúde, origem ética/racial, histórico de situação de violência / vulnerabilidade, orientação sexual, orientação políticofilosófica e etc 10 GUIA LGPD ATIVIDADES DE COMUNICAÇÃO DADOS NORMALMENTE CAPTADOS Normalmente, nos eventos de aparição pública, há a captação de dados pessoais, notadamente na: DADOS PESSOAIS: nome, email, telefone e endereço ou organização/negócio. ● Realização de eventos e lives; DADOS PESSOAIS SENSÍVEIS: raça e orientação político-filosófica ● Divulgação de materiais produzidos pela organização/negócio; ● Divulgação dos projetos implementados pela organização/ negócio. Mas você já parou para pensar se realmente precisa de todos esses dados? Sempre que você estiver diante de um formulário para captação de dados é importante pensar se você precisa mesmo dos dados que estão sendo solicitados. O ideal é que seja evitada a captação de dados desnecessários, sem correspondência com a finalidade que se busca a informação. ATENÇÃO! Em cada uma dessas atividades, é necessário implementar mecanismos para efetivar os princípios e direitos previstos na LGPD, por isso recomendamos: • Construir uma relação de transparência e confiança com os seus colaboradores internos e beneficiários dos serviços, encarando a LGPD como uma oportunidade de revisitar e aperfeiçoar fluxos, processos e projetos da organização/negócio para melhor atingir seus resultados. • Estruturar a sua governança para promover a cultura de proteção de dados, garantir os direitos dos titulares e responder requisições da Agência Nacional de Proteção de Dados (ANPD), a respeito das informações em seu poder, evitando ser responsabilizada em caso de incidentes de proteção de dados, e tendo capacidade de resposta caso venha a ser demandada administrativamente ou judicialmente pelo descumprimento da lei. Ou seja, a LGPD também deve ser observada por todas as pessoas jurídicas, incluindo as Organizações da Sociedade Civil e os Negócios de Impacto, como uma oportunidade de melhoria da sua atuação, tanto na perspectiva da proteção e promoção de direitos quanto no olhar da gestão dos seus projetos e atividades. 11 02 CONHECENDO A LGPD 2.1 Histórico da LGPD Em 2010, o Ministério da Justiça deu início à discussão sobre a regulação da proteção de dados pessoais no Brasil ao promover a primeira consulta pública sobre o Anteprojeto de Lei nacional. Apesar da iniciativa, a temática ganhou novo fôlego e importância em 2013, quando Edward Snowden, ex-funcionário da agência de segurança nacional dos EUA, revelou para o mundo que a agência de espionagem tinha acesso a dados pessoais de milhares de indivíduos por meio servidores grandes empresas da internet como Google e Facebook. Dados divulgados por ele revelavam escutas a então Presidenta Dilma Rousseff e, tamanho escândalo desencadeou na aprovação do Marco Civil da Internet no Brasil. SUMÁRIO Em 2014, com a promulgação do Marco Civil da Internet, diversos ativistas dos direitos na internet se uniram para criar organizações que pudessem mobilizar o debate público e criar condições para um uso saudável da rede mundial de computadores. Essa foi a época do surgimento de organizações como a Codin Rights, o InternetLab, o ITSRio, o IPRec, o IRIS-BH entre outras, além de uma atuação mais constante de organizações como o IDEC para a mobilização em torno da promoção dos direitos humanos na internet. 12 GUIA LGPD Desde então, junto do Comitê Gestor da Internet (CGI) e do Núcleo de Informação e Coordenação do Ponto BR (Nic.br), os profissionais que trabalhavam com essa pauta se engajaram em amplas campanhas de mobilização da sociedade civil, das autoridades e de empresários em torno da pauta da proteção de dados pessoais, buscando a aprovação de uma lei geral de proteção de dados, para compor o ecossistema de regulação do uso da internet. Assim, a discussão sobre proteção de dados pessoais já havia atingido um nível muito mais qualificado em 2015, no lançamento do segundo processo de consulta pública. Em razão da experiência adquirida sobre a temática, e nas vésperas de seu afastamento, a Presidenta Dilma Rousseff encaminhou o texto do anteprojeto à Câmara dos Deputados, que a transformou no PL 5276/2016. De 2016 a 2017, a Comissão Especial realizou 11 audiências públicas e um seminário internacional, proporcionando engajamento dos parlamentares e permitindo a conciliação de posições antagônicas até então, por meio da mobilização promovida principalmente pelas organizações da sociedade civil focadas nas pautas da internet. Enquanto isso, ainda em 2017, o grupo de reformas microeconômicas da Comissão de Assuntos Econômicos do Senado, se manifestou sobre a importância do Brasil instituir sua própria lei de proteção de dados pessoais. 13 o atraso regulatório que já impedia o ingresso do Brasil na Organização para Cooperação e Desenvolvimento Socioeconômico (OCDE), bem como gerava sérias perdas econômicas e de investimentos ao Brasil GUIA LGPD Em 2018, era visível o atraso regulatório do Brasil em relação ao tema e isso já impedia o ingresso do país na Organização para Cooperação e Desenvolvimento Socioeconômico (OCDE). Além disso, esse atraso vinha ocasionando sérias perdas econômicas e de investimentos ao Brasil. Por fim, o escândalo da violação de dados de mais de 50 milhões de usuários para fins políticos e eleitorais pela Cambridge Analytica, foi um acontecimento que gerou um senso de urgência em relação à necessidade da aprovação da LGPD. Após o incidente, em 24 e 28 de maio, Senado e Câmara, respectivamente, aprovaram requerimentos de urgência para a apreciação dos projetos de lei sobre dados pessoais em tramitação. Mais rápida, a Câmara dos Deputados aprovou por unanimidade o substitutivo apresentado pelo Deputado Orlando Silva que também foi aprovado sem qualquer alteração em seu teor pelo Senado. Por essa razão, foi enviado diretamente à sanção do Presidente Michel Temer. Em 14 de agosto 2018, Temer sancionou a LGPD, mas com diversos vetos e, o mais importante deles, vetando a criação da Autoridade Nacional de Proteção de Dados (ANPD) justificando a existência de vício de competência: órgão como este não poderia ser criado pelo Legislativo. Apenas nos últimos dias de seu mandato, Temer cumpriu com sua promessa e criou a ANPD por meio da MP 869/2018. Diante do contexto de criação, das disputas encerradas e dos escândalos de vazamento de dados, fica mais fácil de compreender que a Lei Geral de Proteção de Dados foi criada para devolver às pessoas físicas o controle sobre a sua personalidade2. Do ponto de vista jurídico, a personalidade é compreendida pela aptidão para fruição de direitos e aquisição de deveres, sendo reconhecida a todo ser humano, independentemente da consciência ou vontade do indivíduo, como um atributo inseparável da pessoa. Os direitos da personalidade, portanto, são aqueles que dizem respeito à dignidade e à integridade da pessoa humana, protegendo tudo o que lhe é próprio, como a vida, a liberdade, a privacidade, a imagem, a intimidade, entre outros3. Sendo assim, como nos dias de hoje a vida acontece tanto virtualmente quanto no mundo físico, é de se esperar que essa personalidade, bem como os direitos e deveres que dela decorrem, definam-se por sua movimentação e pelos dados compartilhados na internet. Toda vez que navegamos na internet, ou fazemos cadastros para acessar serviços e produtos diversos, trocamos dados com as empresas que estão do outro lado da nossa tela. A partir das nossas movimentações no mundo online, por exemplo, por meio dos cliques, dos likes, dos conteúdos que consumimos e dos produtos que compramos, as instituições e empresas conseguem identificar e mapear quais são os nossos gostos, concepções sobre os mais diversos assuntos e prever qual seria nosso próximo passo como consumidor dos mais diversos serviços e conteúdos. É por isso, que, vez ou outra, recebemos indicações de conteúdos, propagandas e serviços que parecem ter sido feitos sob medida para o que queremos ou necessitamos. 2 O código civil brasileiro (Lei n° 10.406/2002) dispõe em seus artigos 1° e 2° sobre a capacidade de direito e de gozo, bem como da personalidade civil da pessoa: “art. 1º Toda pessoa é capaz de direitos e deveres na ordem civil; art. 2º A personalidade civil da pessoa começa do nascimento com vida; mas a lei põe a salvo, desde a concepção, os direitos do nascituro.” 3 Conforme preceitua a Constituição Federação de 1988, em seu artigo 5°, caput e incisos X: “Art. 5º Todos são iguais perante a lei, sem distinção de qualquer natureza, garantindo-se aos brasileiros e aos estrangeiros residentes no País a inviolabilidade do direito à vida, à liberdade, à igualdade, à segurança e à propriedade, nos termos seguintes: X – são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o direito a indenização pelo dano material ou moral decorrente de sua violação.” 14 GUIA LGPD Isso quer dizer que os rastros digitais que deixamos têm sido utilizados pelos nossos interlocutores para inferir e embasar nossas decisões, impactando diretamente em nossas vidas e no exercício de nossa cidadania, dentro e fora das redes. Nesse sentido, a Lei Geral de Proteção de Dados foi criada para regular justamente esse ecossistema de tratamento de dados, conferindo proteção a nós, titulares de dados, de finalidades do uso de nossos dados pessoais que possam gerar prejuízos ao desenvolvimento da nossa personalidade e da integridade de tudo que lhe é próprio, como a privacidade e a liberdade , dentre outros direitos intransponíveis. A LGPD busca devolver o controle da formação dessa personalidade para os titulares de dados, tornando a relação entre eles e os controladores de seus dados mais horizontal e paritária. O QUE A LEI QUER DIZER COM “TRATAR” OS DADOS? Tudo! São considerados “tratamento” todos os procedimentos realizados com os dados pessoais, tais como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração. 2.2 LGPD em si A Lei nº 13.709/2018, ou a Lei Geral de Proteção de Dados – LGPD , estabelece princípios e diretrizes para o manuseio e tratamento de dados pessoais com o objetivo de proteger os direitos de seus titulares, sendo considerada especialmente importante para conferir aos indivíduos um maior controle sobre o desenvolvimento de sua própria personalidade na atual era da digitalização. Em linhas gerais, a LGPD determina as regras aplicáveis ao tratamento, armazenamento e compartilhamento de dados pessoais, que são informações que podem tornar uma pessoa identificada ou identificável, como, por exemplo, o nome completo, número de documento, endereço, referências específicas (EX: Maria, dirigente da Organização/negócio “X” que atua com crianças e adolescentes em comunidade de baixo IDH). Todas as pessoas físicas ou jurídicas que tratem dados pessoais são consideradas agentes de tratamento de dados (controladores ou operadores). 15 A LGPD determina as regras aplicáveis ao tratamento, armazenamento e compartilhamento de dados pessoais GUIA LGPD 2.2.1. Dados pessoais x dados pessoais sensíveis É muito comum existir uma confusão entre esses dois conceitos. Dados pessoais, de forma ampla, são quaisquer dados que identifiquem, ainda que indiretamente, os seus titulares. Portanto: CPF, RG, endereço, telefone, etc. Já os dados pessoais sensíveis são aqueles que, atrelados à pessoa natural, podem trazer para ela ou para o grupo ao qual ela pertença, uma possibilidade de discriminação. O inciso II do art. 5º da lei estabeleceu uma lista de quais dados seriam esses: Filiação de organizaçao de caráter religioso, filosófico ou político Origem racial ou etnica Filiação a sindicato Opinião política Dado referente à saúde ou vida sexual TITULAR DOS DADOS Dado genético ou biométrico Convicação religiosa 16 GUIA LGPD Mas é possível entender que outros dados pessoais também sejam considerados sensíveis, mesmo estando fora dessa lista. Por exemplo, o uso de idade de mulheres, para evitar contratar mulheres que venham a ter filhos durante o vínculo de trabalho: Neste caso, vemos a combinação de dois dados que não são sensíveis por natureza: o gênero e a idade, para realizar uma decisão que gera a discriminação do grupo de mulheres que podem vir a ser mães em breve. Assim é que o uso discriminatório dos dados faz com que estes sejam revestidos de sensibilidade, a depender do contexto específico. Princípios da LGPD: O tratamento dos dados pessoais deve ser feito observando os seguintes princípios: FINALIDADE: Realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades. A pessoa física titular do dado tem que saber exatamente por que a OSC ou o NI precisa coletar os dados e o que será feito com essa informação. ADEQUAÇÃO: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento. A OSC ou o NI só poderá tratar os dados conforme a finalidade informada ao(a) titular do dado. NECESSIDADE: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados. A OSC ou o NI deve sempre se perguntar “Eu realmente preciso desses dados?”. Se a resposta for não, nem peça. Elimine e simplifique os campos desnecessários dos formulários. A OSC ou o NI deve ter (e tratar) o mínimo necessário de dados para a finalidade que eles serão usados . 17 GUIA LGPD LIVRE ACESSO: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais. A OSC ou o NI deve disponibilizar aos titulares um meio fácil e gratuito para que identifiquem quais são os dados que mantém e quais tratamentos são realizados a partir deles. QUALIDADE DOS DADOS: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento. A OSC ou o NI deve garantir que os dados que estejam em sua base sejam adequados à realidade. Ou seja, devem sempre refletir a realidade mais atualizada do(a) titular de dados. É importante ter mecanismos para realizar essa atualização ativamente e permitir que, se possível, as próprias pessoas realizem essa atualização. Isso pode ser feito por meio da promoção de recadastramento periódico ou da manutenção de espaço aberto para que o próprio(a) titular de dados atualize suas informações ou possa remetê-las ao encarregado(a) de proteção de dados da organização para que faça isso. TRANSPARÊNCIA: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial. Durante todo o processo de tratamento, é necessário prezar pela transparência na relação com o(a) titular do dado, o que significa dizer que os tipos de tratamento que são realizados a partir dos dados do(a) titular devem ser demonstrados a ele(a) com exatidão e clareza. SEGURANÇA: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão. A OSC ou o NI deve sempre utilizar de medidas técnicas e administrativas, para evitar o vazamento e o acesso não permitido de terceiros à sua base de dados. Isso inclui não apenas sistemas de tecnologia da informação, mas também o treinamento das pessoas, direta ou indiretamente envolvidas no tratamento dos dados, porque muitos incidentes acontecem por causas internas como o despreparo da equipe. 18 18 GUIA LGPD PREVENÇÃO: Adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais. Atrelada à segurança, indica que a OSC ou o NI deve adotar medidas para prevenir a ocorrência de danos, e isso inclui também o treinamento de quem, direta ou indiretamente, trata os dados pessoais. NÃO DISCRIMINAÇÃO: Impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos. Você não pode tratar os dados, especialmente os dados sensíveis, para fins ilícitos ou para promover qualquer tipo de discriminação negativa, em relação à raça, gênero, deficiência, orientação sexual ou quaisquer outros tipos. Registre-se que estamos falando de discriminação negativa e não a positiva presente em ações afirmativas e inclusivas em processo seletivo, por exemplo. Isso porque as positivas são consideradas discriminações benéficas aos titulares de dados pessoais e não estão entre as vedações do espírito da lei. RESPONSABILIZAÇÃO E PRESTAÇÃO DE CONTAS: Demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas. Junto com a transparência, deve-se comprovar que estão sendo cumpridas todas as normas de proteção de dados pessoais com eficácia. Para isso, recomendam-se algumas ações como: criar um canal de comunicação direta com o(a) encarregado(a) de proteção de dados da instituição, fazer um mapeamento dos fluxos de dados dentro da organização/ negócio para entender como eles ocorrem, criar política de privacidade que confira a devida transparência aos tratamentos de dados realizados dentro da organização/negócio, criar políticas internas (de segurança da informação, plano de incidente de segurança, política de resposta aos titulares) capazes de nivelar o que é esperado da equipe no momento de tratar dados pessoais e receber requisições de titulares e autoridades, para dar concretude à Política Geral de Proteção de Dados presente no site. ATENÇÃO! É importante mencionar que no caso de OSCs ou Negócios de Impacto que trabalham com grupos vulneráveis, vazamentos de dados podem acarretar em ataques discriminatórios e de perseguição, tanto de forma online, quanto offline, o que reforça, ainda mais, a atenção à segurança e à necessidade de existência de uma estrutura de governança de dados. 19 03 COMO IMPLEMENTAR EM 10 PASSOS A LGPD nos convida a acrescentar mais um pilar dentro da estrutura de governança interna da pessoa jurídica, para que os dados sejam tratados adequadamente no exercício de suas atividades. É por isso que, para além da construção de uma arquitetura da segurança da informação e de da utilização de sistemas seguros, também é essencial um ponto focal interno capaz de mobilizar a equipe e responsável por realizar treinamentos constantes, conscientizando a todos das obrigações e limites impostos pela LGPD. Dessa forma, não basta alterar os contratos, inserindo cláusulas sobre a LGPD. É necessário mudar a cultura organizacional. Vamos lembrar como foi quando o cinto de segurança passou a ser um item obrigatório nos carros? Inicialmente foi uma mudança difícil de mentalidade sobre a importância do equipamento para a segurança de quem estava dentro do veículo, mas virou corriqueiro depois que, para além da indução da lei, as pessoas compreenderam a sua importância de ordem prática. Quando a chave mudar para as pessoas, teremos de fato organizações e negócios mais engajados na proteção dos dados pessoais! SUMÁRIO E o que fazer para se adequar? Existem etapas até a conclusão de um processo de adequação à LGPD. Contudo, algumas ações podem ser empreendidas desde logo. Pensando em construir mecanismos mínimos para cumprir as disposições da LGPD, abaixo expomos os tópicos chave para adequação de uma OSC ou de um NI a esta nova lei! GUIA LGPD “Adequação em 10 passos”       Fonte: SBSA Advogados. Criação de um canal de comunicação sobre proteção de dados no site 1 2 Designação de ponto focal (encarregado(a) ou Comitê de Dados) Workshop de sensibilização sobre a lei 3 4 Atribuição de bases legais para justificar os tratamentos de dados atualmente realizados Mapeamento dos fluxos de dados pessoais 5 Revisão de sites e aplicativos a partir dos padrões de privacidade e proteção de dados 6 Adoção de medidas de segurança da informação pela área de TI 7 8 Elaboração / revisão de cláusulas contratuais e acordos padrão Construção de políticas para proteção de dados pessoais 9 10 21 Capacitação periódica sobre proteção de dados e monitoramento da conformidade GUIA LGPD 3.1. Criação de um canal de comunicação sobre proteção de dados no site: A primeira coisa… O racional por trás da construção da LGPD é justamente devolver para o(a) titular de dados o controle sobre suas informações. Contudo, isso só é possível se houver um caminho evidente para o exercício dos direitos previstos na LGPD. Nesse sentido, o canal de comunicação específico sobre proteção de dados é uma maneira efetiva de demonstrar que existe uma estrutura sendo construída para endereçar eventuais requisições de exercício de direitos previstos nos artigos 17 a 22 da LGPD. Sugerimos que seja disponibilizado no site um email que funcione como canal de comunicação com os titulares de dados de imediato. Ao facilitar o exercício dos direitos de titulares, os agentes de tratamento evitam que esta pessoa recorra à ANPD ou ao Judiciário para exercer os seus direitos. 3.2. Workshop de sensibilização sobre a lei: Quando falamos em “tratar dados pessoais” dentro de uma pessoa jurídica, estamos nos referindo ao fato de que os seus integrantes – dirigentes, funcionários, voluntários, estagiários e/ou prestadores de serviços – dentro do exercício de suas funções colaboram para esta tarefa. Nesse sentido, é preciso que essas pessoas compreendam os principais conceitos de proteção de dados, para que saibam operar corretamente os dados pessoais com os quais tiverem contato. De nada adianta ter uma Política de Privacidade completa e na prática diária os dados serem tratados sem nenhum cuidado ou atenção em relação às disposições da lei. Assim, é fundamental que todos compreendam a lei e que sejam implementadas práticas e processos para a efetivação de suas disposições. 22 Sugerimos que a sensibilização de dirigentes, funcionários, voluntários, estagiários, prestadores de serviços e outros que façam uso de dados pessoais, sobre a lei e os seus conteúdos, destacando-se pontos de atenção que precisarão ser detalhados em momentos posteriores. GUIA LGPD 3.3. Designação de ponto focal (encarregado(a) ou Comitê de Dados): É preciso definir na sua estrutura quem será o ponto focal de comunicação com a ANPD para responder sobre questões relacionadas a tratamento de dados, que fará a comunicação com os titulares de dados e que internamente mobilizará o tema. A essa pessoa, dá-se o nome de “ encarregado(a) pelo Tratamento de Dados Pessoais”, também conhecido pela nomenclatura em inglês “Data Protection Officer” (DPO). EXISTEM VÁRIAS MANEIRAS PARA DEFINIR QUEM SERÁ O(A) ENCARREGADO(A) DE PROTEÇÃO DE DADOS: A B C D O(A) encarregado(a) pode ser uma pessoa que trabalhe na própria organização, que receba formação técnica, ou seja, a quem seja dada a possibilidade de realizar cursos, formações, mentoria contratada ou até acesse uma certificação, que aprimore suas competências para executar as suas atividades; O(A) cargo de encarregado(a) pode ser atribuído formalmente a uma única pessoa, que pode ser apoiada por um comitê de proteção de dados. Para apoiar o trabalho deste profissional, esse comitê deve conter pessoas de diversas áreas que somarão os seus conhecimentos aos do o(a) encarregado(a) de proteção de dados, permitindo que ele tome decisões de forma apoiada. Também se recomenda que essas pessoas recebam formação técnica ou auxílio de pessoas especialistas do assunto no formato de mentoria para que não haja decisões contrárias à legislação. O cargo de o(a) encarregado(a) pode ser endereçado por um comitê de forma coletiva sem atribuição específica a uma única pessoa para o exercício dessa função, co responsabilizando todos os seus membros. Nesse caso, acontece o mesmo que na hipótese de cima, isto é, recomenda-se que o comitê seja composto por várias pessoas as quais possam somar conhecimentos para endereçar as atribuições de o(a) encarregado(a) de proteção de dados de forma coletiva. Também recomenda-se que essas pessoas recebam formação técnica ou ajuda de pessoas especialistas do assunto no formato de mentoria para que não haja decisões contrárias à legislação; O(A) encarregado(a) pode ser um terceiro, ou seja, é possível contratar uma pessoa jurídica ou física de fora da organização ou do negócio, seja uma empresa ou um escritório de advocacia, que reúna competências prática e teórica em proteção de dados, para realizar essa função. 23 GUIA LGPD Além de ser um ponto de contato, o(a) encarregado(a) de Proteção de Dados deve zelar pela conformidade geral da OSC à LGPD. O Comitê de Proteção de Dados pode fazer as vezes de o(a) encarregado(a) ou apenas apoiar o o(a) encarregado(a) na tomada de decisões sobre proteção de dados. Essa estrutura faz muito sentido, pois segue a lógica da governança mais colegiada presente nas organizações e nos negócios de impacto. Essas são formas interessantes para viabilizar o exercício das atribuições inerentes ao cargo de encarregado(a) de Proteção de Dados de forma coletiva e para gerar conhecimento conjunto. Sugerimos que, depois de tomada a decisão, seja inserido em local visível no site e divulgado nas redes sociais como contatar o Comitê de Proteção de Dados ou o(a) encarregado(a) de Proteção de Dados para tratar de assuntos relacionados! Também deve-se deixar claro nas políticas que forem elaboradas, ou até mesmo no Estatuto Social (no caso da OSC) ou no Contrato Social (no caso dos NI), formalizando o tema da proteção de dados como função que faz parte da sua governança. 24 GUIA LGPD 3.4. Mapeamento dos fluxos de dados pessoais: Mas como obter a visão integral dos fluxos de dados da sua organização/negócio? À primeira vista, falar em mapeamento de dados em poder da organização/negócio pode parecer algo impossível. Contudo, com o avanço da legislação sobre proteção de dados, foi desenvolvida uma metodologia para facilitar o mapeamento das finalidades de uso dos dados, que consiste em compreender de forma aprofundada: (i) (ii) (iii) (iv) (v) quais dados entram na organização/negócio; por qual via eles adentram, como são tratados; como ou se os dados são compartilhados dentro e com entes de fora e; como os dados são descartados. Para entender o “caminho” dos dados na organização/ negócio, normalmente se usa uma tabela, preenchida por pessoas de diferentes áreas, na qual as linhas representam as atividades que contém tratamento de dados pessoais e as colunas contém perguntas sobre esse fluxo de dados. 25 ATENÇÃO! Para estar adequado à lei é preciso entender quais as finalidades de uso dos dados que entram na organização/negócio; Para a redação de uma política de privacidade eficiente é preciso que haja ampla compreensão sobre como ocorrem os fluxos de dados de uma organização/ negócio. GUIA LGPD Roteiro de perguntas para o Mapeamento de Dados: 1 Qual a atividade que você está analisando? 2 Qual a finalidade do uso de dados pessoais dentro desta atividade? 3 Há outras finalidades de uso dos dados diferentes das que foram informadas para o(a) titular de dados? 4 Quais dados são tratados nesse processo? Há tratamento de dados pessoais sensíveis? 5 Qual o perfil do(a) titular dos dados? Eles são adolescentes (pessoas menores de 18 anos) ou crianças (pessoas menores de 12 anos)? 6 Quais sistemas/aplicações são utilizados no tratamento destes dados pessoais? Por quais programas os dados passam, por exemplo: os dados são inseridos no google drive, os dados são tratados no software de CRM de gestão de pessoas, os dados passam por algum programa de edição específico. 7 Os dados foram coletados diretamente do(a) titular dos dados ou vieram de um terceiro? Se sim, como eles chegaram até a organização/negócio? 8 Os dados pessoais coletados são estritamente necessários para que a atividade atinja o seu objetivo ou são coletados mais dados do que é preciso para a realização da atividade. 9 O(a) titular de dados é informado quanto das finalidades para as quais os seus dados podem ser utilizados? 10 Existe transferência de dados para fora do país tendo em vista o tratamento realizado dos dados? Isso inclui, por exemplo, se os dados são armazenados em nuvens fora do país. 11 Qual o tempo médio de armazenamento dos dados? Eles ficam na organização/negócio após atingir a finalidade para a qual foram coletados? 12 Onde os dados estão armazenados? Local físico e software utilizado para armazenar. 13 Os dados ficaram armazenados além da sua organização/negócio com algum parceiro ou prestador de serviço que teve acesso a esses dados? 14 Há alguma forma de anonimização dos dados? Eles são desvinculados do(a) titular para permanecer na base de dados? 15 Os dados são compartilhados com outras organizações ou parceiros para atingir a finalidade informada ao(a) titular ou por outras razões? 16 Como os dados são descartados? 26 ATENÇÃO! GUIA LGPD Para um mapeamento completo, sugerimos que todas as atividades que envolvem o tratamento de dados pessoais sejam sistematizadas e que as perguntas sejam respondidas sobre cada uma das atividades. A partir desta fotografia completa dos tipos de tratamentos de dados realizados pela sua organização/negócio será possível atribuir as bases legais mais adequadas para legitimar os tratamentos de dados pessoais que são realizados. São atividades comuns que envolvem o tratamento de dados pessoais, a captação de dados nos sites com espaços para “Contato”, “fale conosco”, “doe aqui”, “newsletter”, “trabalhe conosco”. Cada um desses espaços para o preenchimento de dados pessoais deve contar um aviso informando para o(a) titular a finalidade de uso dos dados pessoais. Não necessariamente todos os dados vão precisar do consentimento. Na verdade, a partir do mapeamento de dados é que será possível compreender quais tratamentos podem ser justificados pelo consentimento e quais tratamentos podem ser encaixados em outras justificativas legais que os legitimem. 3.5 Atribuição de bases legais para justificar os tratamentos de dados atualmente realizados. Surge então a questão: depois de mapeados, como encontrar a justificativa legal adequada para tratar cada atividade que envolve dados? A legislação de proteção de dados pressupõe que só se pode tratar dados pessoais nas hipóteses autorizadas por Lei. Assim, qualquer tratamento deve ter uma base legal que o autorize, o que deve ser feito a partir das características e finalidades de cada uso de dados, e da relação estabelecida entre controlador e titular. Assim, um mesmo dado, como o CPF de uma pessoa, pode ser usado para diversas finalidades, por exemplo: para cadastro do usuário no site, ou emissão de um recibo de doação, e, portanto, o controlador justificará seu uso de maneira diferente em cada uma dessas hipóteses. Tratar os dados pessoais sem uma finalidade evidente ou sem uma base legal pode ser considerado uma violação à LGPD. 27 GUIA LGPD Diversas são as justificativas (ou “bases legais”) que podem ser empregadas. De acordo com o art. 7º da LGPD, o tratamento de dados pessoais somente poderá ser realizado: a) mediante o consentimento do titular; b) para cumprimento de obrigação legal ou regulatória pelo controlador; c) para a execução de políticas públicas pela administração pública; d) para realização de estudos por órgão de pesquisa; e) para execução de contrato ou procedimentos preliminares a ele relacionados, em que o(a) titular seja parte; f) para o exercício regular de direitos em processo judicial, administrativo ou arbitral; g) para a proteção da vida ou da incolumidade física do(a) titular, ou de terceiro; h) para a tutela da saúde por parte de profissionais de saúde, serviços de saúde ou autoridade sanitária; i) para atendimento aos interesses legítimos do controlador ou de terceiro; e j) para a proteção do crédito. 1S 2L Saúde Legitimo interesse Legal Consentimento 3C Contratos Crédito (proteção) Políticas públicas 4P Pesquisa Processo judicial Proteção da vida A nossa legislação não dá preferência a nenhuma delas. Isso quer dizer que o consentimento não é sempre a base legal mais apropriada. A escolha deve se dar caso a caso, considerando os riscos, exigências e facilidades que aquela base legal trouxer consigo no caso concreto, como veremos mais detalhadamente nos tópicos seguintes. A fórmula abaixo ilustra quais fatores devem repercutir nessa escolha: ATENÇÃO! (ORIGEM DO DADO + TIPO DO DADO + FINALIDADE) X PRINCÍPIOS = BASE LEGAL 3.5.1 Bases Legais para Tratamento de Dados Pessoais Sensíveis O tratamento de dados pessoais sensíveis é diferente, e nem todas as justificativas apresentadas podem ser utilizadas. Excluem-se como bases legais apropriadas para esse tipo de tratamento: a execução de contratos, o legítimo interesse do controlador e a proteção ao crédito. Além disso, no caso de dados pessoais sensíveis, é possível utilizar a justificativa de prevenção à fraude à personalidade do(a) titular para coletá-los, por exemplo, na coleta de biometria para a marcação do ponto dos trabalhadores. Na tabela abaixo, destacamos em laranja as bases legais para dados pessoais sensíveis que não podem ser utilizadas para tratar dados pessoais sensíveis. 28 GUIA LGPD Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses I – mediante o fornecimento consentimento pelo titular; de II – para o cumprimento de obrigação legal ou regulatória pelo controlador; Art. 11. O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses: I – quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades II – sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para: a) cumprimento de obrigação legal ou regulatória pelo controlador III – pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV desta Lei IV – para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais; b) tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas prevista c) realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sen V – quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados; JUSTIFICATIVA INDISPONÍVEL PARA DADOS PESSOAIS SENSÍVEIS VI – para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem) ; d) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem) ; 29 GUIA LGPD VII – para a proteção da vida ou da incolumidade física do titular ou de terceiro; e) proteção da vida ou da incolumidade física do titular ou de terceiro VIII – para a tutela da saúde, em procedimento realizado por profissionais da área da saúde ou por entidades sanitárias; f) tutela da saúde, em procedimento realizado por profissionais da área da saúde ou por entidades sanitárias; ou IX – quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou JUSTIFICATIVA INDISPONÍVEL PARA DADOS PESSOAIS SENSÍVEIS X – para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente. JUSTIFICATIVA INDISPONÍVEL PARA DADOS PESSOAIS SENSÍVEIS g) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9º desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção 30 GUIA LGPD Independentemente da base legal utilizada, o tratamento do dado pessoal segue sujeito aos princípios, fundamentos e garantias da LGPD, como os princípios da necessidade e da transparência. Essa noção é reforçada no art. 7º, parágrafo 6º, da lei: “§ 6º A eventual dispensa da exigência do consentimento não desobriga os agentes de tratamento das demais obrigações previstas nesta Lei, especialmente da observância dos princípios gerais e da garantia dos direitos do titular.” Informar a base legal aos titulares de dados é uma boa prática de transparência ativa (de acordo com a Nota técnica nº 02/2021/CGTP/ANPD, da Autoridade Nacional de Proteção de Dados), mesmo que a LGPD não estabeleça expressamente esta obrigação. Vamos a cada uma delas! Bases Legais para Tratamento de Dados Pessoais (art. 7º da LGPD) Consentimento Obrigação legal-regulatória Execução de políticas públicas Realização de estudos por órgão de pesquisa Execução de um contrato Exercício regular do direito em processos Proteção da vida Tutela de saúde Legítimo interesse Proteção ao crédito 31 GUIA LGPD Consentimento A base legal do consentimento se refere à oportunidade em que o(a) titular expressamente autoriza que façam uso de seus dados. De acordo com o art. 5º, inciso XII, trata-se de: “manifestação livre, informada e inequívoca pela qual o(a) titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada”. E como coletar o consentimento de forma a legitimar os usos de dados da organização/negócio? Para ser válido, o consentimento deve ser LIVRE, INFORMADO e INEQUÍVOCO. Livre: significa que a pessoa que é titular dos dados deve poder discordar do tratamento e seguir utilizando o serviço ou acessando a plataforma/site. A pessoa deve ser realmente livre para dizer não, ou seja, ela não pode ser obrigada a fornecer os dados. Se isso acontecer, é preciso utilizar outra justificativa para legitimar o tratamento de dados pessoais. Informado: se refere à ciência, da pessoa que está informando os dados, quanto às finalidades para as quais serão utilizados, de forma específica; não é possível informar de forma genérica, por exemplo: “usamos os dados para melhorar a sua experiência”. Essa é uma frase que pode abarcar diversas finalidades de uso das informações e, por isso, não cumpre a função de informar o titular. A finalidade tem que ser evidente e pessoa titular dos dados precisa concordar com ela. Por último, inequívoco: o adjetivo inequívoco se refere a ausência de dúvida quanto à livre vontade da pessoa titular de dados em fornecer as informações para as finalidades que lhe foram informadas pelo controlador. A ausência de sua manifestação não pode ser tida como consentimento. A vontade tem que ser realmente expressa pela pessoa titular de dados. Para cumprir com os três requisitos é importante revisar os fluxos de dados pessoais tratados com base nessa justificativa para garantir: i. Que a pessoa titular dos dados não foi obrigada a consentir, ou seja, que tinha opção de seguir utilizando o serviço/plataforma sem fornecer os dados e optou por consentir com o tratamento sem esse tipo de pressão. Exemplo: Durante a inscrição em um evento online, existem dados que são essenciais para viabilizar a participação no evento, como nome e email. Normalmente muitas instituições costumam formar bases de contatos para envio de mensagens posteriormente para aquele titular de dados que se inscreveu no evento. Contudo, é possível permitir que a pessoa decida livremente se deseja ou não 32 GUIA LGPD fazer parte dessa base de contatos. Assim, o ideal é que ela não seja automaticamente inserida nesse mailing, mas sim decida livremente participar. Isso é um exemplo ideal de consentimento livre, pois a pessoa é informada de que será inserida no mailing se consentir com isso. (art. 7º, I, da LGPD) ii. Que a pessoa tenha sido efetivamente informada da finalidade de uso dos seus dados pessoais, ou seja, que existe um aviso evidenciando para ele essa finalidade e permitindo que ele decida sobre o consentimento realmente ciente dessa finalidade e das implicações da decisão pelo não consentimento. Exemplo: Essa imagem precisa vir acompanhada de um aviso informando o porquê a foto do perfil pode ser fornecida pela pessoa. Assim ela pode escolher se deseja ou não fornecer a foto a partir da finalidade de uso da imagem. iii. Que não tenha existido equívoco no momento do consentimento, ou seja, que a pessoa titular de dados pessoais decidiu ativamente fornecer o consentimento. Exemplo: Caixas pré-selecionadas não permitem compreender até que ponto o(a) titular de dados realmente consentiu com o tratamento de dados para o envio de mensagens, ou mesmo se leu a Política de Privacidade antes de assinalar a caixa de seleção, o que não permite afirmar que o consentimento seja inequívoco. Há mais algumas diretrizes relevantes que devem ser observadas quando se faz o tratamento de dados utilizandose o consentimento como base legal. O consentimento deve estar destacado, separado das demais cláusulas contratuais, para garantir que o(a) titular esteja de acordo com aquele uso em específico, e não com a política de privacidade como um todo. Logo, o consentimento não pode ser concedido genericamente (algo como “autorizo o tratamento de meus dados pessoais por tal organização/negócio”). Ao contrário, deve estar expressamente referindose a finalidades específicas. 33 GUIA LGPD Por exemplo, no caso do uso de dados de raça para ações afirmativas, esse tipo de tratamento pode estar justificado pelo consentimento, uma vez que o dado não é necessário para participar de um processo seletivo, apenas para participar da ação afirmativa. Assim, é possível deixar o(a) titular decidir se deseja ou não dar o seu dado para essa finalidade, porque participar do processo seletivo não depende desse dado, somente a participação da ação afirmativa. Os dados necessários para participar do processo seletivo estariam justificados pelo uso da base legal que possibilita o uso dos dados sem consentimento devido à sua necessidade para procedimentos preliminares ao fechamento de um contrato, de acordo com o art. 7º, VII, da LGPD. No caso, o consentimento estaria sendo corretamente captado por meio da desobrigação quanto ao preenchimento deste campo e mediante um aviso, indicando que os dados só serão utilizados para aquela finalidade de priorizar candidatos não brancos, ou seja, para a ação afirmativa. Obtido o consentimento de forma adequada, nos moldes acima expostos, caso se deseje ou precise compartilhar os dados do titular com terceiros, será necessário obter um novo consentimento para essa finalidade específica de compartilhamento, ou então utilizar uma das outras bases legais que justifiquem esse compartilhamento adequadamente. ATENÇÃO! Para utilização de dados pessoais de acesso público, em que a exigência do consentimento é dispensada (art. 7º, parágrafo 4º) deve-se considerar a finalidade, a boa-fé, e o interesse público que justificaram sua disponibilização. Apesar de sua aparente simplicidade, a utilização da base legal do consentimento exige desdobramentos operacionais para obtê-lo, mantê-lo atualizado e assegurar o direito do titular revogá-lo, o que pode feito a qualquer momento. No que se refere aos direitos dos titulares, quando o dado é tratado com base no consentimento, é direito do(a) titular solicitar cópia eletrônica integral de seus dados pessoais, na forma do art. 19, parágrafo 3º da LGPD. Obrigação legal-regulatória Essa base legal, com previsão no art. 7°, inciso II da LGPD, é utilizada nos casos em que o tratamento de determinado dado pessoal é necessário ao cumprimento de uma obrigação legal ou regulatória do controlador. O exemplo mais comum é o das relações trabalhistas entre a organização/negócio e seus colaboradores. Para que esta cumpra com a legislação trabalhista e previdenciária deve ter acesso a documentos oficiais de identificação, como carteira de trabalho, RG e CPF, informações sobre salário, entre outros. Discute-se se a obrigação decorreria apenas de lei em sentido estrito, como aquelas votadas no âmbito do Poder Legislativo, e de normas emitidas pelas agências reguladoras. O entendimento majoritário tem sido o de que qualquer normal de caráter impositivo autoriza o tratamento de dados com base nesse dispositivo da LGPD. 34 GUIA LGPD Execução de políticas públicas Prevista no art. 7°, inciso III da LGPD, essa base legal é utilizada para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas. A política pública em si deve estar prevista em leis, regulamentos, contratos, convênios ou instrumentos similares. Neste sentido, é muito importante adequar os instrumentos de parceria para que neles conste a transferência voluntária de dados do Poder Público para as entidades privadas sem fins lucrativos. A lei traz parâmetros interessantes para o compartilhamento de dados pessoais por parte do poder público com as entidades privadas, que será permitido nos casos de: a) execução descentralizada de atividade pública que exija a transferência para fim específico e determinado; b) previsão legal ou transferência respaldada em contratos, convênios ou instrumentos congêneres; e c) na hipótese de a transferência dos dados objetivar exclusivamente a prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do(a) titular dos dados. A despeito da previsão clara de compartilhamento do Poder Público, há discussão sobre a possibilidade de se utilizar essa base legal também para fundamentar o tratamento de dados pelas organizações que atuam em parceria com a administração pública para execução de políticas públicas. O inciso III do art. 7º da LGPD é expresso ao estabelecer que esta base legal é prerrogativa do poder Público. Nesse sentido, é possível entender que as organizações que tenham firmado um termo ou acordo com órgãos públicos, atuem na condição de mandatárias do Poder Público para a execução dos projetos ou atividades previstos nos planos de trabalho acordados. Assim, agindo como mandatárias ou delegados da administração pública, é possível que no caso concreto a OSC estejam autorizadas a tratar os dados pessoais repassados pelo Poder Público, com fundamento na base legal de execução de políticas públicas, sem necessidade portanto de captar o consentimento dos titulares. De toda forma, entendemos que, para além da execução de políticas públicas, o tratamento de dados por uma OSC no âmbito da implementação de atividades numa relação de parceria com o Poder Público pode ser justificado, nos termos da LGPD, com base na execução do contrato, sempre que os dados captados forem necessários para a finalidade prevista no instrumento. 35 GUIA LGPD Realização de estudos por órgão de pesquisa O tratamento de dados fundamentado com a base legal de realização de estudos por órgão de pesquisa, prevista no art. 7°, inciso IV da LGPD, é prerrogativa exclusiva de órgãos de pesquisa na realização de estudos e levantamentos. Mas o que caracteriza um órgão de pesquisa? Apenas órgãos públicos ou qualquer entidade que realizar estudos estaria enquadrada? Vejamos. A LGPD define órgão de pesquisa como: “órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico” Portanto, para utilização dessa base legal, é necessário que a entidade seja de fato um órgão de pesquisa, exigindo-se para tanto que a organização sem fins lucrativos tenha em seu Estatuto Social como parte de seus objetivos sociais a pesquisa básica ou aplicada, de caráter histórico, científico, tecnológico ou estatístico. Desta forma, as entidades que tenham identidade com este tipo de atuação devem certificar-se de que seu estatuto expresse a pesquisa como um dos objetivos. Esta base não pode ser utilizada por empresas privadas com fins lucrativos. Assim, esta base legal não se aplica aos Negócios de Impacto revestidos da forma jurídica empresarial, mesmo que incumbidos institucionalmente da realização de pesquisas. Cabe lembrar ainda que sempre que possível, deve-se realizar a anonimização dos dados pessoais tratados, de maneira a impossibilitar a associação (direta ou indireta) daquele dado a uma pessoa. Execução de um contrato De acordo com o art. 7°, inciso V, essa base legal se refere à autorização do tratamento de dados pessoais para o cumprimento de obrigações relacionadas ao contrato, no qual o(a) titular seja parte. Um caso comum no âmbito de uma organização/negócio seria o contrato firmado com um prestador de serviço. Para operacionalizar essa obrigação e o pagamento da contrapartida, seria necessário tratar dados bancários do prestador de serviço. Não seria necessário pedir seu consentimento específico, pois o tratamento desses dados é pressuposto para execução do contrato. Outro exemplo é o do fornecimento de newsletter. Para entregar o boletim informativo é necessário tratar os dados pessoais das pessoas que decidiram recebê-lo, independentemente do consentimento. 36 GUIA LGPD A contraprestação de fornecer a newsletter e o acordo de vontade envolvido no seu fornecimento pode ser considerado um contrato que deve ser honrado junto ao titular. É com justificativa nesta base legal que podemos enquadrar o tratamento de dados pessoais de usuários de serviços públicos providos por Organizações da Sociedade Civil, quando esses dados são necessários para a prestação do serviço. Exercício regular do direito em processos Essa base legal com previsão no art. 7°, inciso VI da LGPD, autoriza o uso de dados pessoais para defesa de direitos em processos, sejam eles judiciais, administrativos ou arbitrais. O exemplo clássico é a necessidade de se identificar, na petição inicial, a pessoa contra quem se está ingressando no Judiciário. Não seria possível depender do consentimento dela para isso. É necessário se utilizar de seu nome, RG, CPF, endereço, dentre outros dados. Por meio dessa base legal isso é possível, sem que seja preciso solicitar o consentimento ou “autorização” do(a) titular para tanto. Proteção da vida De acordo com o art. 7°, inciso VII da LGPD, essa base legal permite o tratamento de dados pessoais para a proteção da vida ou da incolumidade física do titular, e até mesmo de terceiro que esteja sob algum risco. Por força da pandemia, diversos foram os exemplos da utilização de dados pessoais para contenção da contaminação do coronavírus, como os dados de geolocalização para monitoramento do deslocamento das pessoas. Tutela de saúde Essa base legal prevista no art. 7°, inciso VIII da LGPD, permite o tratamento de dados pessoais quando este for necessário para proteção da saúde do titular. A LGPD restringe o uso dessa base legal a profissionais de saúde (elencados em regulamento específico), serviços de saúde e autoridades sanitárias. Um exemplo de aplicação dessa justificativa é a de um hospital que precisa ter acesso ao histórico de um paciente que chegou às pressas no pronto-socorro, coletando diversos dados pessoais na primeira interação da pessoa com o(a) médico(a) para que ele(a) possa efetivar os cuidados necessários ao(à) paciente. 37 GUIA LGPD Legítimo interesse De acordo com o art. 7°, inciso IX, essa base legal pode ser utilizada no atendimento de interesses legítimos do controlador ou de terceiro. Mas o que seria um “legítimo interesse”? Há muita discussão em torno do termo, mas tanto a lei quanto a prática trazem algumas balizas para utilização dessa justificativa. ATENÇÃO! O art. 10 da LGPD organiza a ponderação de interesses que deve ser feita e registrada antes da aplicação dessa justificativa. O artigo trata de algumas características que compõem o legítimo interesse, permitindo a sua mobilização para suportar determinada atividade sem o consentimento do titular. Por isso o artigo prevê o que se chama de “teste de legítimo de interesse”, que deve ser documentado quando há a sua utilização. (i) (ii) (iii) apoio e promoção de atividades do controlador e proteção, em relação ao titular, do exercício regular de seus direitos; ou prestação de serviços que o beneficiem, respeitadas suas legítimas expectativas. O legítimo interesse do controlador deve sempre levar em conta as expectativas do(a) titular dos dados em relação ao tratamento de dados que ele deseja realizar utilizando essa base legal, o que chamamos de “Legítima expectativa do titular”. Além disso, conforme os parágrafos 1º e 2º desse mesmo artigo, apenas os dados estritamente necessários para a finalidade pretendidas poderão ser tratados, e deve ser dada total transparência às suas ações. Na prática, é importante fazer uma avaliação sobre a aplicabilidade dessa base legal pois ela exige um grau maior de registro. O art. 37 da LGPD reforça essa noção ao determinar que: “Art. 37: O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.” É possível que a Autoridade Nacional de Proteção de Dados (ANPD) solicite relatório de impacto à proteção de dados pessoais, quando o tratamento tiver como fundamento o legítimo interesse. Para avaliação dos riscos e adequação do legítimo interesse ao caso concreto da sua organização/ negócio, é possível realizar um “teste de quatro passos”: 38 GUIA LGPD FINALIDADE LEGÍTIMA Identificar se a finalidade para qual a organização/negócio deseja se utilizar dos dados é lítica, ou há alguma vedação na legislação brasileira para tanto, partindo-se sempre da análise de uma situação concreta. NECESSIDADE Averiguar ser o legítimo interesse a única base legal possível. E em caso positivo, tratar os dados de acordo com o princípio da minimização, ou seja, tratar o mínimo necessário para determinada finalidade, e ser menos “intrusivo” possível. BALANCEAMENTO Considerar a legítima expectativa do(a) titular (perguntar-se, por exemplo, se o(a) titular poderia esperar o tratamento de dados para aquela finalidade), bem como seus direitos e liberdades fundamentais. SALVAGUARDA Dotar o tratamento do máximo de transparência possível, garantindo o direito de oposição do(a) titular(“opt-out”) e mitigando riscos, como realizar a anonimização, quando possível, e aplicar demais princípios da LGPD exemplo: se a organização decide continuar usando sua base de e-mails antiga sem pedir novo consentimento para isso, é possível utilizar o legítimo interesse para justificar a continuidade do uso dos dados. Nesse sentido, a necessidade está justificada diante da avaliação de que excluir todas as pessoas que não consentiram ativamente com o uso dos seus dados para o envio de comunicações poderia diminuir consideravelmente a base de dados disponível para isso, sendo que é algo estratégico para qualquer organização. Assim, é possível utilizar o legítimo interesse e criar um aviso de transparência que deixe claro: como os dados do(a) titular chegaram até a organização, para quais finalidades eles poderão ser utilizados. Como medida de salvaguarda, é possível garantir um caminho fácil para que a pessoa saia daquela comunicação se desejar e, em respeito ao princípio da finalidade, garantir que os dados serão utilizados somente para aquilo que está sendo informado ao(a) titular no mencionado aviso de transparência 39 GUIA LGPD Proteção ao crédito Só pode ser utilizada por instituições financeiras para tratar de dados pessoais com o objetivo de avaliar os riscos envolvendo a concessão de crédito. Cabe dizer que por se tratar no uso de dados pessoais num contexto específico, diversas normas setoriais e consumeristas se aplicam à temática, além da LGPD. Como exemplo, temos o Código de Defesa do Consumidor (Lei nº 8.078/1990) e a Lei do Cadastro Positivo (Lei nº 12.414/2011 e Lei Complementar nº 166/2019, conhecida também como “Nova Lei do Cadastro Positivo”), além de regulamentações próprias do Banco Central (BACEN) e da Comissão de Valores Mobiliários (CVM). Vale destacar que a princípio, o uso de dados pessoais com fundamento nesta base legal aplica-se também às OSC que atuam com microcrédito, na forma da legislação específica. Isto porque o art. 4º da MP 2172-32, e a Resolução do Banco Central BC 2874, de 26.07.2001, elencam as entidades voltadas ao microcrédito qualificadas como OSCIP entre o rol de pessoas jurídicas autorizadas a este tipo de atividade. 3.6 Revisão de sites e aplicativos a partir dos padrões de privacidade e proteção de dados O conceito de Privacy by Design – que significa privacidade na concepção da arquitetura desde o princípio – tem como foco a criação de ambientes virtuais cujo design seja efetivo para garantir o direito à privacidade e proteção de dados dos usuários. Dentre os princípios do conceito está a noção de agir proativamente, atuando de maneira a prevenir situações de violação, ao invés de se concentrar apenas na reparação de danos causados pela violação. Algumas legislações como a GDPR (“General Data Protection Regulation”), da União Europeia, adotaram explicitamente a obrigação de incorporar padrões de Privacy By Design em plataformas, sites e outros tipos de ambiente online. A LGPD, por sua vez, não estabelece expressamente a obrigação de Privacy By Design como acontece na GDPR. Assim, a necessidade de implementar esses standards, decorre dos fundamentos e princípios da legislação, previstos no seu artigo 6º. Além disso, há a obrigação específica de criar ambientes que fomentem o exercício do direito à proteção de dados, o que pode ser interpretado como obrigação de observar e aplicar medidas de Privacy By Design: Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. (…) § 2º As medidas de que trata o caput deste artigo deverão ser observadas desde a fase de concepção do produto ou do serviço até a sua execução. 40