Informativo Proteção de Dados e Cybersecurity: Tratamento de dados em campanhas eleitorais, regulamento sobre transferências internacionais de dados e mais notícias
ANPD aprova regulamento sobre transferências internacionais de dados
No dia 23 de agosto de 2024, a Autoridade Nacional de Proteção de Dados (ANPD) publicou a Resolução CD/ANPD nº19/2024 ("Resolução") que aprovou o Regulamento de Transferência Internacional de Dados ("Regulamento") e as cláusulas-padrão contratuais. O Regulamento estabelece os procedimentos e as regras aplicáveis às operações de transferências internacionais de dados pessoais.
De forma geral, o Regulamento prevê os seguintes mecanismos para correta operação de transferência internacional de dados:
Decisão de adequação pela ANPD, reconhecendo que o país importador possui um grau adequado de proteção de dados pessoais;
Cláusulas-padrão contratuais;
Cláusulas contratuais específicas; e
Normas corporativas globais
O texto das cláusulas-padrão contratuais aprovado pela Resolução não poderá ser alterado caso a transferência internacional seja amparada nessas cláusulas. Caso as cláusulas-padrão não possam ser utilizadas, há a possibilidade de utilização de cláusulas contratuais específicas, que deverão ser redigidas com um nível de proteção de dados semelhante ao assegurado pelas cláusulas-padrão contratuais e submetidas à aprovação da ANPD.
Para transferências internacionais entre organizações do mesmo grupo ou conglomerado de empresas poderão ser utilizadas as normas corporativas globais, desde que estejam vinculadas à implementação de um programa de governança em privacidade da empresa, as quais também devem ser submetidas à aprovação da ANPD.
A Resolução previu prazo de 12 meses da data de publicação para as empresas implementarem as cláusulas-padrão contratuais em seus instrumentos contratuais.
> Fontes:
https://valor.globo.com/legislacao/noticia/2024/08/24/anpd-regulamenta-aplicacao-da-lgpd-na-transferencia-internacional-de-dados.ghtml
https://www.jota.info/executivo/anpd-regulamenta-transferencia-internacional-de-dados-e-abre-prazo-para-adequacao
https://www.gov.br/anpd/pt-br/assuntos/noticias/resolucao-normatiza-transferencia-internacional-de-dados
TSE atualiza regras sobre o tratamento de dados pessoais em campanhas eleitorais
Com a aproximação das eleições municipais de 2024, o Tribunal Superior Eleitoral (TSE) atualizou, por meio da publicação da Resolução nº 23.732/2024, a Resolução nº 23.610/2019 sobre a propaganda eleitoral para trazer novas regras para o tratamento dos dados pessoais de cidadãos em período de campanha eleitoral. Disposições sobre o tratamento de dado pessoais para fins de propaganda eleitoral estão presentes na Resolução nº 23.610/2019 desde 2021, quando foi inicialmente alterada pela Resolução nº 23.671/2021.
Dentre as medidas previstas na Resolução nº 23.610/2019 relacionadas ao tratamento de dados pessoais, destacamos:
Em Municípios com menos de 200 mil eleitores, os partidos políticos, as federações, as coligações e os candidatos serão considerados agentes de tratamento de pequeno porte;
Os partidos políticos, as federações, as coligações e os candidatos deverão manter registro das operações de tratamento de dados pessoais, contendo, dentre outros: o tipo do dado e sua origem, as categorias dos titulares, a descrição do processo e a finalidade, as bases legais, fluxos de compartilhamento dos dados, o período de armazenamento, as medidas de segurança utilizadas e a duração prevista para o tratamento dos dados pessoais;
Os provedores de aplicação, os partidos políticos, as federações, as coligações e os candidatos deverão: (a) garantir o acesso às informações sobre o tratamento de dados pessoais, especialmente quando os dados forem utilizados para propaganda direcionada; (b) garantir o cumprimento dos direitos dos titulares; (c) utilizar os dados para as finalidades consentidas pelo titular, quando o consentimento for a base legal aplicável; (d) implementar medidas de segurança para proteger os dados pessoais; (e) notificar os titulares e a ANPD nos casos de incidentes de segurança que possam acarretar riscos ou danos relevantes aos titulares; e
Elaboração de relatório de impacto para atividades de tratamento que representem alto risco aos direitos e garantias dos titulares em eleições para os cargos de Presidente da República, Governador, Senador e Prefeito das capitais dos Estados.
> Fontes:
https://www.tse.jus.br/comunicacao/noticias/2024/Agosto/confira-as-novas-regras-sobre-o-tratamento-de-dados-pessoais-por-candidaturas-e-partidos
https://www.conjur.com.br/2024-ago-07/novas-regras-do-tse-para-uso-e-tratamento-de-dados-pessoais-nas-eleicoes/
https://www.tse.jus.br/legislacao/compilada/res/2019/resolucao-no-23-610-de-18-de-dezembro-de-2019
Supremo Tribunal Federal e Superior Tribunal de Justiça discutem temas do Marco Civil da Internet
Estão em discussão no Supremo Tribunal Federal (STF) três processos que têm como tema principal o Marco Civil da Internet (MCI). Em razão da proximidade dos temas discutidos, os Ministros relatores dos três processos, Dias Toffoli, Luiz Fux e Edson Fachin, os liberaram para julgamento e solicitaram a análise conjunta ao presidente do STF, em Plenário, que ainda não foi marcada.
O Recurso Extraordinário 1.037.396 discute a constitucionalidade do art. 19 do MCI por exigir ordem judicial específica para responsabilizar provedores de aplicação por danos decorrentes de conteúdo publicado por terceiros, enquanto o Recurso Extraordinário 1.057.258 versa sobre a responsabilidade dos provedores de aplicação por conteúdos de terceiros e sobre a possibilidade de remoção de conteúdos que propagem fake news, e a Arguição de Descumprimento de Preceito Fundamental 403, em discussão desde 2016, avalia eventual violação ao direito de liberdade de expressão em razão do bloqueio de plataformas de tecnologia por decisões judiciais.
O tema também está em voga no Superior Tribunal de Justiça (STJ). No dia 27 de agosto de 2024, a 3ª Turma, ao julgar o Recurso Especial nº 2139749-SP, decidiu que, mesmo sem ordem judicial, os provedores de aplicação poderão moderar conteúdos que violem suas políticas. A decisão veio após um usuário de uma plataforma de vídeos alegar censura e violação à sua liberdade de expressão ao ter seus conteúdos removidos com base na justificativa de violação das políticas da plataforma por veicular desinformação.
Em sua decisão, o Ministro relator Ricardo Villas Boas Cueva entendeu ser legítimo que um provedor de aplicação, mesmo sem ordem judicial, retire de sua plataforma determinado conteúdo quando este violar a lei ou os seus termos de uso, exercendo, portanto, uma espécie de autorregulação. O Ministro afastou, ainda, a alegação à ofensa ao princípio da liberdade de expressão, visto que a política da plataforma de vídeos também proibia a veiculação de certos conteúdos moderados.
> Fontes:
https://www.conjur.com.br/2024-ago-23/ministros-pedem-julgamento-conjunto-no-stf-sobre-marco-civil-da-internet-e-plataformas/
https://www.migalhas.com.br/quentes/413900/relatores-pedem-julgamento-conjunto-do-marco-civil-da-internet
https://www.migalhas.com.br/quentes/414072/stj-valida-remocao-de-videos-de-medico-pelo-google-sem-ordem-judicial
https://www.migalhas.com.br/arquivos/2024/8/56E0144F133E86_Resp2139749(1).pdf
Supremo Tribunal Federal determina a suspensão do X e o bloqueio das contas da Starlink no Brasil
No dia 30 de agosto de 2024, o ministro do Supremo Tribunal Federal, Alexandre de Moraes, determinou a suspensão do funcionamento do X no país, em razão do descumprimento, pela empresa de decisões proferidas pela Suprema Corte.
A emblemática teve início após o ministro determinar, em 07 de agosto de 2024, que o X bloqueasse contas de alguns usuários envolvidos em investigações de milícias digitais. Em contraposição, Elon Musk, acionista majoritário do X, afirmou que não cumpriria com a decisão, bem como que encerraria as atividades da subsidiária brasileira. Após as declarações de Elon Musk, e o encerramento das atividades do X no país, Alexandre de Moraes determinou que o X indicasse um representante legal no Brasil. Findo o prazo estabelecido, o STF determinou a suspensão do funcionamento do X até que todas as ordens judiciais proferidas sejam cumpridas
Nos termos da decisão, o presidente da Agência Nacional de Telecomunicações (Anatel) deve adotar as providências cabíveis para garantir a suspensão, notificando prestadoras de serviço para que bloqueiem o acesso dos usuários ao X. A decisão determinou, ainda, a aplicação de multa para quem utilizar VPN (Rede Privada Virtual) para acessar o X.
Além de suspender o funcionamento do X, Alexandre de Moraes também determinou o bloqueio das contas bancárias da Starlink no país, empresa da qual Elon Musk também é acionista majoritário e CEO. O bloqueio das contas da Starlink tem como objetivo quitar as dívidas do X com a justiça brasileira e, a princípio, não afetaria os serviços prestados pela empresa no Brasil.
> Fontes:
https://noticias.stf.jus.br/postsnoticias/stf-determina-suspensao-do-x-antigo-twitter-em-todo-o-territorio-nacional-2/
https://www.infomoney.com.br/politica/suspensao-do-x-mensagens-revelam-inicio-da-disputa-entre-moraes-e-musk-diz-jornal/
https://www.estadao.com.br/politica/coluna-do-estadao/risco-de-prisao-deixa-x-de-elon-musk-sem-perspectiva-de-ter-novo-representante-no-brasil/
https://www.estadao.com.br/politica/prazo-de-moraes-a-musk-para-bloqueio-do-x-se-esgota-hoje-a-noite-saiba-o-que-pode-acontecer-nprp/
https://www.estadao.com.br/politica/starlink-de-elon-musk-confirma-que-teve-contas-bloqueadas-por-moraes/
Justiça Federal concede liminar em ação movida pelo IDEC e MPF contra empresa de tecnologia
No dia 14 de agosto de 2024, a Justiça Federal da 3ª Região concedeu uma liminar contra uma empresa de tecnologia, em uma ação civil pública ajuizada pelo Instituto de Defesa dos Consumidores (IDEC) e pelo Ministério Público Federal (MPF), proibindo a empresa de compartilhar dados pessoais de seus usuários com outras plataformas da própria empresa para "finalidades próprias", como a exibição de anúncios personalizados.
A ação, ajuizada em julho de 2024, teve como justificativa as mudanças realizadas na política de privacidade da empresa em 2021, que estão vigentes até hoje e, segundo o IDEC e o MPF, violam os direitos de privacidade e proteção de dados dos usuários da plataforma, infringindo as disposições da Lei Geral de Proteção de Dados (LGPD), do MCI e do Código de Defesa do Consumidor (CDC). Também é parte no processo a ANPD, acusada de falhas no processo de fiscalização da plataforma, considerando as alterações que a empresa realizou em suas políticas.
Além de solicitar medidas para cessar a violação dos direitos dos usuários, como a abstenção de compartilhamento dos dados com as demais plataformas da empresa, o IDEC e o MPF pleiteiam a sua condenação ao pagamento de R$1,73 bilhão por danos morais coletivos.
Na decisão, o Magistrado entendeu que os usuários foram "praticamente coagidos a aceitar a política de privacidade", vez que o prazo para o aceite dos termos acarretaria restrição de uso e que, sem aceitar os termos, os usuários não conseguiriam acessar a plataforma, pois a reiterada aparição do termo bloqueava o uso do aplicativo.
Dessa forma, além de proibir o compartilhamento dos dados pessoais "para finalidades próprias", também obrigou a empresa a disponibilizar, em até 90 (noventa) dias, métodos eficazes de opt-out dentro do aplicativo, capazes de afastar os consentimentos fornecidos desde 2021.
> Fontes:
https://idec.org.br/release/justica-concede-liminar-contra-o-whatsapp-em-acao-do-idec-e-mpf
https://idec.org.br/release/idec-e-mpf-de-sp-entram-com-acao-judicial-de-r-17-bilhao-contra-o-whatsapp-e-anpd
https://www.mpf.mp.br/sp/sala-de-imprensa/noticias-sp/mpf-e-idec-querem-que-whatsapp-pague-r-1-7-bilhao-por-violacoes-de-direitos-em-politica-de-privacidade#:~:text=(11)%203269%2D5701
https://www.jota.info/justica/liminar-proibe-whatsapp-de-compartilhar-dados-brasileiros-com-apps-da-meta
https://valor.globo.com/empresas/noticia/2024/08/14/justica-proibe-whatsapp-de-compartilhar-dados-com-outras-plataformas-da-meta-no-brasil.ghtml
https://macmagazine.com.br/post/2024/08/14/justica-brasileira-proibe-whatsapp-de-compartilhar-dados-com-apps-da-meta/
INSS recorre à mediação pela AGU após ANPD manter condenação pela não comunicação de incidente de segurança
No início do ano, a ANPD condenou o Instituto Nacional do Seguro Social (INSS) por não ter comunicado a ocorrência de incidente de segurança, que tomou conhecimento entre os meses de agosto e setembro de 2022, aos titulares de dados. O incidente ocorreu nos sistemas DATAPREV e SISBEN, controlados pelo INSS. O INSS realizou comunicação preliminar da ocorrência à ANPD, mas não aos titulares afetados. A ANPD, então, em despacho decisório, determinou que o INSS realizasse a comunicação do incidente de segurança a todos os titulares de dados afetados pelo incidente, bem como que juntasse aos autos as provas da comunicação.
Como o INSS se manteve inerte, foi iniciado um procedimento administrativo sancionador, que, ao final, o condenou a publicar a infração em seu site oficial e aplicativo, cujo texto da publicação foi previamente definido pela ANPD.
O INSS, por sua vez, interpôs recurso administrativo contra a decisão, alegando, dentre outras razões, (i) que o incidente de segurança tem natureza sigilosa, conforme disposições da Lei de Acesso à Informação (LAI) e do Decreto nº 10.478/2021, e (ii) que a decisão inovou ao definir o conteúdo a ser publicado na comunicação, criando uma nova metodologia que não está prevista na LGPD. Ao final, pediu pela reforma da decisão, considerando as alegações suscitadas.
Já o Conselho Diretor da ANPD, em 26 de julho de 2024, atuando pela primeira vez em sede de recursos administrativos, decidiu pelo não provimento dos argumentos pleiteados pelo INSS, ratificando a decisão da Coordenação-Geral de Fiscalização da ANPD que impôs a publicização da infração e fixando, portanto, o primeiro precedente da Autoridade.
No entanto, em um despacho proferido no dia 20 de agosto de 2024, o INSS comunicou à Coordenação-Geral de Fiscalização da ANPD que autorizou a submissão da controvérsia à Câmara de Mediação e de Conciliação da Administração Pública Federal – CCAF, da Advocacia-Geral da União, ao considerar a maneira mais célere para a solução do conflito. Não há, até o momento, nenhuma informação sobre resposta da ANPD ou início dos procedimentos.
> Fontes:
https://www.gov.br/anpd/pt-br/assuntos/noticias/anpd-sanciona-inss-e-secretaria-de-educacao-do-df-por-violacoes-a-lgpd
https://www.gov.br/anpd/pt-br/composicao-1/coordenacao-geral-de-fiscalizacao/PAS_INSS_principal_publica.pdf
https://www.gov.br/anpd/pt-br/composicao-1/coordenacao-geral-de-fiscalizacao/PAS_INSS_recurso_publica.pdf
https://www.in.gov.br/en/web/dou/-/despacho-decisorio-pr/anpd-n-27/2024-574539957
https://dataprivacy.com.br/anpd-decide-primeiro-recurso-no-caso-inss-entenda/
https://convergenciadigital.com.br/governo/inss-briga-contra-condenacao-chama-agu-e-vira-prova-de-fogo-da-anpd/
MJSP solicita adoção de medidas de segurança em smartphones
Como medida do Projeto Celular Seguro, que visa o combate ao furto e ao roubo de aparelhos, o Ministério da Justiça e Segurança Pública (MJSP), no dia 06 de agosto de 2024, enviou ofícios às principais empresas de sistemas operacionais de smartphones solicitando providências para o aumento da segurança nos acessos aos aplicativos de e-mails instalados em dispositivos móveis de usuários. Dentre as medidas abordadas no ofício, estão a implementação de senha e biometria nos aplicativos de e-mails.
O foco da medida tem relação com os padrões dos criminosos atualmente que, após roubarem ou furtarem os celulares das vítimas, encaminham um link para recuperação das senhas dos aplicativos bancários em seus e-mails. O foco dos criminosos, atualmente, não é mais a revenda dos aparelhos, e sim o acesso às contas bancárias das vítimas.
Como a senha ou a biometria é solicitada apenas no momento de desbloquear os aparelhos, é mais fácil aos criminosos terem acesso aos aplicativos de e-mail. Medida semelhante já foi implementada pelo WhatsApp, cabendo ao usuário configurá-lo para adicionar senha ou biometria no acesso ao aplicativo.
> Fontes:
https://www.gov.br/mj/pt-br/assuntos/noticias/mjsp-pede-que-google-e-apple-incluam-senha-e-biometria-para-acesso-a-aplicativos-de-e-mails
https://valor.globo.com/empresas/noticia/2024/08/08/ministerio-da-justica-pede-que-google-e-apple-adotem-medidas-no-ambito-do-projeto-celular-seguro.ghtml
Tecnologias de reconhecimento facial utilizadas em estádios
O Centro de Estudos de Segurança e Cidadania (CESeC) publicou o relatório "Esporte, Dados e Direitos: O Uso de Reconhecimento Facial nos Estádios Brasileiros", que, como parte de seus objetivos, analisa a implementação e o avanço da utilização das tecnologias de identificação biométrica em estádios brasileiros e o impacto nos direitos de crianças e adolescentes.
Como medida para aumentar a segurança e permitir a identificação de indivíduos procurados pela polícia, a utilização dessas tecnologias vem aumentando nos estádios brasileiros e cresceu primordialmente no ano passado, em razão da Lei nº 14.597/2023, também conhecida como Lei do Esporte. No entanto, o relatório apresenta diversos pontos controversos quanto à utilização dessas tecnologias.
Dentre os pontos mencionados, estão a falta de transparência com os torcedores, falta de minimização dos dados coletados e o tratamento de dados pessoais de crianças e adolescentes. O relatório menciona que alguns clubes estão infringindo as disposições da LGPD, do Estatuto da Criança e do Adolescente (ECA) e do Acordo de Cooperação nº 7/2023, celebrado entre a Confederação Brasileira de Futebol (CBF) e o Ministério da Justiça e Segurança Pública, ao utilizar tecnologia de reconhecimento facial em estádios.
O Acordo de Cooperação nº 7/2023 proíbe a coleta biométrica é obrigatória para menores de 18 anos. No entanto, diversos estádios determinam que todas as pessoas, independentemente da idade, devem cadastrar a biometria de suas faces. Além disso, o relatório também aborda a falta de clareza e regulamentação sobre como os dados biométricos coletados serão tratados, apontando que diversos indivíduos já foram reconhecidos pelas câmeras de tecnologia de reconhecimento facial instaladas.
Como base de comparação, a Autoridade de Proteção de Dados Francesa (Comission Nationale l'Informatique et des Libertés – CNIL) publicou, no fim de junho de 2024, uma página com perguntas e respostas ("Q&A") sobre a utilização de dispositivos de monitoramento pela organização dos Jogos Olímpicos e Paralímpicos de 2024 com a finalidade de garantir maior segurança ao público presente. Dentre os dispositivos utilizados, o Q&A trouxe um enfoque especial a dois deles: (i) a utilização de "câmeras aumentadas" e (ii) a obtenção de um passe com QR Code para que o público acesse determinadas áreas de Paris. Logo, apesar do emprego de "câmeras aumentadas" para fins de segurança e para identificar movimentos suspeitos, as câmeras não foram utilizadas com a finalidade de reconhecimento facial.
> Fontes:
https://www.conjur.com.br/2024-ago-27/reconhecimento-facial-de-criancas-em-estadios-fere-lgpd-e-eca-diz-relatorio/
https://www.opanoptico.com.br/#publicacoes
https://www.cnil.fr/en/2024-olympics-cnils-qa-your-privacy-and-freedoms
https://www.cnil.fr/en/cnil-investigations-2024-minors-data-olympic-games-right-access-and-digital-receipts
STJ confirma o direito à revisão de decisões automatizadas de motoristas de aplicativo
A 3ª Turma do Superior Tribunal de Justiça reconheceu o direito à revisão de decisões automatizadas por motoristas de aplicativo no julgamento do Agravo em Recurso Especial nº 2.135.783-DF. O objeto da ação discutia a possibilidade de descredenciamento definitivo e unilateral de motoristas de aplicativo pelo cometimento de atos graves.
No caso em questão, o motorista foi descredenciado do aplicativo que utilizava após recorrentes reclamações de passageiros afirmando que o motorista finalizava as viagens em local diverso do qual o passageiro foi desembarcado. Essas reclamações, segundo a Ministra Nancy Andrighi, são utilizadas para a formação do perfil comportamental do motorista e são, portanto, consideradas dados pessoais. Uma vez que a decisão de descredenciamento é feita por meio de uma inteligência artificial, o motorista do aplicativo possui direito de exigir a revisão de decisões automatizadas que definam seu perfil profissional.
A Ministra destaca, ainda, que a transparência, além de pautar as relações contratuais, é um princípio da LGPD e, portanto, o agente de tratamento (no caso, o aplicativo) deve informar ao titular, quando solicitado, a razão pela qual seu perfil foi descredenciado da plataforma.
> Fontes:
https://www.conjur.com.br/2024-ago-07/stj-resguarda-o-direito-dos-motoristas-de-aplicativo-a-revisao-de-decisoes-automatizadas/
https://www.stj.jus.br/sites/portalp/Paginas/Comunicacao/Noticias/2024/15072024-Motorista-de-aplicativo-pode-ser-suspenso-imediatamente-por-ato-grave--mas-plataforma-deve-garantir-defesa.aspx
