Aula 9

Qual é o objetivo central da LGPD e a quem ela se aplica?

A lei existe pra proteger a liberdade, a privacidade e o livre desenvolvimento das pessoas físicas, valendo pra qualquer pessoa ou empresa (pública ou privada, com ou sem fins lucrativos) que trate dados digitais ou físicos em papel. Exemplo: desde uma gigante como a Transpetro guardando contratos digitais até o mercadinho da esquina anotando nome e CPF de clientes no caderno de fiado precisam respeitar a LGPD.

Qual a diferença crucial entre Dado Pessoal, Dado Pessoal Sensível e Dado Anonimizado?

Dado pessoal identifica alguém direta ou indiretamente (nome, CPF, IP); sensível envolve temas íntimos ou discriminatórios (saúde, religião, biometria, política) e exige regras muito mais rígidas; já o anonimizado perdeu de vez o vínculo com a pessoa e deixa de ser dado pessoal pela lei. Exemplo: seu CPF é dado pessoal comum; sua impressão digital ou tipo sanguíneo é dado sensível; uma pesquisa dizendo que 70% dos moradores da cidade usam ônibus (sem listar quem são) é dado anonimizado.

Qual a pegadinha clássica entre Dado Anonimizado e Dado Pseudonimizado?

O anonimizado não pode ser revertido por meios razoáveis (por isso não é dado pessoal); já o pseudonimizado usa códigos que podem ser desfeitos com uma chave guardada à parte, logo continua sendo dado pessoal protegido pela lei. Exemplo: substituir seu nome por um código X-99 numa planilha médica é pseudonimização; se o hospital tiver a tabela que diz que X-99 é você, a LGPD continua valendo integralmente.

Quem são os quatro atores da LGPD e o que cada um faz?

Titular é o dono dos dados (a pessoa física); Controlador é a empresa ou pessoa que manda e decide o que fazer; Operador é quem apenas cumpre ordens e processa os dados a mando do controlador; Encarregado (DPO) é o canal de ponte entre empresa, titulares e governo. Exemplo: você é o titular; a Transpetro é a controladora que decide contratar funcionários; a empresa de TI terceirizada que roda a folha de pagamento é a operadora; e o DPO é o funcionário que atende suas dúvidas sobre privacidade.

Quando o Operador responde pelos danos e quando os agentes ficam livres de punição?

O operador só responde junto (solidariamente) com o controlador se fizer besteira por conta própria, desobedecer a lei ou descumprir as instruções que recebeu; e ambos ficam livres se provarem que não trataram o dado, que não houve violação ou que a culpa foi 100% da vítima ou de terceiro. Exemplo: se o controlador manda apagar um arquivo e a terceirizada (operadora) guarda e deixa vazar, ela responde no bolso junto; mas se o próprio usuário postou sua senha no Twitter, a empresa não tem culpa.

O que são Bloqueio, Eliminação, Relatório de Impacto (RIPD) e Órgão de Pesquisa?

Bloqueio suspende o uso temporariamente; Eliminação apaga de vez do banco; RIPD é o documento do controlador mapeando riscos e medidas de proteção; e Órgão de Pesquisa são apenas entidades públicas ou sem fins lucrativos focadas em ciência e estatística (como IBGE ou IPEA). Exemplo: o Datafolha faz pesquisas eleitorais, mas por ter fins lucrativos não é considerado órgão de pesquisa pela LGPD, ao contrário do IBGE.

Quais são os fundamentos da LGPD previstos no Artigo 2º?

São a base moral da lei: respeito à privacidade, autodeterminação informativa (você no controle dos seus dados), liberdade de expressão/informação, desenvolvimento econômico/tecnológico, livre iniciativa/concorrência e direitos humanos/cidadania. Exemplo: nenhuma empresa pode confiscar seus dados e proibir você de apagá-los, porque a autodeterminação informativa garante que o dado é seu, não dela.

Como funcionam os princípios de Finalidade, Adequação e Necessidade no tratamento de dados?

Finalidade exige motivo legítimo e claro informado antes; Adequação exige que o dado faça sentido com o que foi prometido; Necessidade manda coletar só o mínimo estritamente indispensável (princípio da minimização). Exemplo: um aplicativo de lanterna para celular pedir autorização para acessar sua lista de contatos e localização GPS viola a finalidade e a necessidade, já que pra iluminar a tela não precisa desses dados.

O que determinam os princípios de Livre Acesso, Qualidade dos Dados, Transparência, Segurança, Prevenção, Não Discriminação e Responsabilização?

Livre acesso dá consulta grátis; Qualidade exige dados corretos; Transparência exige clareza; Segurança e Prevenção mandam blindar sistemas antes que o estrago ocorra; Não Discriminação proíbe usar dados pra prejudicar minorias; Responsabilização exige comprovar tudo no papel. Exemplo: um banco não pode usar dados de saúde para recusar empréstimo automaticamente a uma pessoa (não discriminação) e precisa ter firewall atualizado pra evitar vazamentos (prevenção).

Em quais situações a LGPD se aplica e em quais casos ela NÃO se aplica de jeito nenhum?

Aplica-se se o tratamento for no Brasil, se ofertar bens/serviços pra pessoas no país ou se os dados foram coletados aqui; NÃO se aplica pra fins exclusivamente pessoais/particulares, fins puramente artísticos/jornalísticos/acadêmicos ou para segurança pública e investigações penais. Exemplo: sua agenda de contatos do celular com o telefone dos seus amigos não segue LGPD (fim pessoal); mas o cadastro de clientes do seu e-commerce segue a lei à risca.

Quais são as regras de ouro sobre o Consentimento do titular?

Deve ser livre, informado e inequívoco, amarrado a uma finalidade específica (nada de termos genéricos); se for em contrato escrito precisa vir em cláusula destacada; pode ser cancelado a qualquer hora de graça; e quem tem que provar que o usuário autorizou é o controlador. Exemplo: não vale colocar uma caixinha pré-marcada dizendo "aceito compartilhar meus dados com 50 parceiros misteriosos"; o usuário precisa marcar ativamente e saber exatamente pra quem vai o dado.

Quais hipóteses legais dispensam o consentimento do titular para o tratamento de dados?

Cumprimento de lei ou ordem judicial, execução de políticas públicas pelo governo, estudos por órgãos de pesquisa sem fins lucrativos, execução do próprio contrato, proteção da vida, tutela da saúde por médicos, legítimo interesse do controlador e proteção do crédito. Exemplo: a empresa onde você trabalha não precisa pedir seu consentimento pra reter imposto de renda e passar seu CPF pra Receita Federal, porque isso é obrigação legal.

Quais são os principais direitos do titular e qual o prazo de resposta do controlador?

Confirmar se tratam seus dados, acessar o conteúdo, corrigir erros, pedir portabilidade pra concorrente, exigir anonimização de excessos, pedir exclusão do que foi baseado em consentimento e pedir revisão de decisões 100% automatizadas, tudo com resposta em até 15 dias. Exemplo: se um robô do banco recusar seu cartão de crédito sozinho, você tem o direito de pedir que um humano revise os critérios da decisão, mesmo sem o banco ser obrigado a revelar segredos industriais do software.

Como a LGPD protege os dados de crianças e adolescentes?

Exige o consentimento específico e em destaque dado por pelo menos um dos pais ou responsável legal, além de exigir explicações em linguagem simples, visual e lúdica para que os jovens compreendam o que está sendo coletado. Exemplo: um jogo online infantil não pode coletar o e-mail ou localização da criança sem que a mãe preencha uma autorização expressa em tela destacada.

Quando ocorre o término do tratamento e em quais situações a empresa NÃO é obrigada a eliminar os dados?

Termina quando o objetivo foi atingido, quando o prazo acabou ou quando a lei manda; a empresa pode guardar os dados mesmo contra a vontade do titular se precisar cumprir obrigação legal, pra estudos com anonimização ou para uso exclusivo da empresa totalmente anonimizado. Exemplo: você pede demissão e exige que apaguem sua ficha na hora; a empresa pode manter seus recibos guardados por 5 anos pra se defender de eventuais ações trabalhistas por exigência legal.

Em quais condições a transferência internacional de dados é autorizada pela LGPD?

Quando o país de destino tiver leis com nível de proteção adequado aprovado pela ANPD, quando o contrato tiver cláusulas-padrão de proteção global aceitas pela ANPD ou quando o próprio titular der consentimento específico pra esse envio. Exemplo: uma empresa brasileira contratar servidores de nuvem na Alemanha cuja legislação de privacidade segue o padrão GDPR europeu validado pela ANPD.

Como a LGPD trata o setor público, cartórios e empresas estatais?

Cartórios e empresas que aplicam programas sociais (como a Caixa no Bolsa Família) seguem regras rígidas do poder público; estatais que disputam mercado concorrencial livre (como Correios ou bancos comerciais) seguem regras de empresas privadas; e transferir dados do governo pro setor privado é em regra proibido, salvo parcerias legais específicas. Exemplo: um órgão público de trânsito não pode vender sua base de motoristas para revendedoras de veículos particulares anunciarem carros.

Quais são as sanções administrativas previstas na LGPD e quais os limites das multas?

Vão de advertência, bloqueio e eliminação de dados até suspensão parcial ou total do banco de dados por até 6 meses (prorrogável); financeiramente, a multa simples é de até 2% do faturamento da empresa, limitada ao teto máximo de R$ 50 milhões por infração, além de multa diária. Exemplo: se uma grande rede de farmácias cometer vazamento grave por negligência, a ANPD pode aplicar uma multa milionária de 2% do faturamento anual respeitando o teto de 50 milhões.

Qual a natureza jurídica da ANPD e como é formado o seu Conselho Diretor?

É o órgão federal vinculado à Presidência da República encarregado de fiscalizar, multar e ditar diretrizes da política de privacidade; seu órgão máximo de comando é o Conselho Diretor, formado por 5 diretores nomeados pelo Presidente da República, auxiliado por um Conselho Nacional consultivo com 23 membros. Exemplo: se a Transpetro sofrer um ataque hacker com vazamento massivo de cadastros, é para a ANPD que o incidente precisa ser formalmente comunicado de imediato.