Informativo de Proteção de Dados: confira as principais notícias da área de agosto de 2021

Câmara aprova PEC que inclui a proteção de dados pessoais na Constituição

Por 436 votos a 4, em segundo turno, a Câmara dos Deputados aprovou no dia 31.08.2021 a PEC 17/2019, na forma do substitutivo do Dep. Orlando Silva (PCdoB-SP), que altera a Constituição Federal para incluir a proteção de dados pessoais entre os direitos e garantias fundamentais e para fixar a competência privativa da União para legislar sobre proteção e tratamento de dados pessoais.

A PEC altera o artigo 5º da Constituição Federal, que estipula os direitos e garantias fundamentais, para incluir o inciso LXXIX, que assegura "nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais".

O texto de Emenda à Constituição também inclui o inciso XXVI no artigo 21, para fixar que compete à União "organizar e fiscalizar a proteção e o tratamento de dados pessoais, nos termos da lei, que disporá sobre a criação de um órgão regulador independente", de modo a fortalecer o papel da Autoridade Nacional de Proteção de Dados Pessoais (ANPD) e coibir eventual formação de Autoridades estaduais.

No mesmo sentido, a PEC define como competência privativa da União legislar sobre "proteção e tratamento de dados pessoais", nos termos do artigo 22, inciso XXX, o que torna inconstitucional leis municipais e estaduais a respeito do tema.

A previsão expressa do direito à proteção de dados pessoais no texto constitucional não apenas eleva este direito ao status de direito fundamental, como o aloca em um dispositivo autônomo e destacado do direito à privacidade.

A aprovação da PEC 17/2019, junto com a LGPD, é mais um passo importante para a conscientização sobre a importância da proteção de dados pessoais e se soma à construção de uma legislação robusta de proteção de dados pessoais no país. O texto ainda precisa ser aprovado pelo Senado Federal, considerando as alterações que foram realizadas pela Câmara dos Deputados.

ANPD abre consulta pública e inscrições para audiência pública sobre norma de aplicação da LGPD para microempresas e empresas de pequeno porte

A ANPD iniciou a Consulta Pública sobre a minuta de resolução que regulamenta a aplicação da LGPD para microempresas e empresas de pequeno porte. A minuta apresenta procedimentos simplificados e diferenciados, com o fim de facilitar a conformidade de agentes de tratamento de pequeno porte à LGPD, garantindo a observância dos direitos dos titulares e, ao mesmo tempo, trazendo equilíbrio entre o ônus regulatório da LGPD e o porte das organizações.

Entre os procedimentos previstos na minuta estão:

(i) a faculdade de o agente de tratamento optar entre anonimizar, bloquear ou eliminar dados pessoais quando o titular exercer o direito previsto no art. 18, IV, da LGPD;

(ii) a dispensa de fornecer a declaração clara e completa de que trata o art. 19, inciso II, da LGPD;

(iii) a dispensa de nomeação do Encarregado pelo Tratamento de Dados Pessoais;

(iv) a dispensa da necessidade de serem mantidos registros de tratamento de dados pessoais, com o fornecimento pela ANPD de modelos para o registro voluntário e simplificado das atividades de tratamento;

(v) a apresentação de um relatório de impacto à proteção de dados pessoais de forma simplificada quando for exigido;

(vi) prazo em dobro no atendimento às solicitações dos titulares referentes ao tratamento de seus dados pessoais e na comunicação à ANPD e aos titulares da ocorrência de incidente de segurança.

De acordo com a minuta, as dispensas e flexibilizações previstas não se aplicam aos agentes de tratamento de pequeno porte que realizam tratamento que envolva alto risco, como: (i) dados pessoais sensíveis ou dados de grupos vulneráveis; (ii) vigilância ou controle de zonas acessíveis ao público; (iii) uso de tecnologias que possam ocasionar danos materiais ou morais aos titulares, como discriminação e violação do direito à imagem e à reputação; (iv) o tratamento automatizado de dados pessoais que afetem os interesses dos titulares, como decisões destinadas a definir o perfil pessoal, profissional ou aspectos da personalidade; e que represente tratamento em larga escala, impactando um número significativo de titulares, considerando-se, ainda, o volume de dados envolvidos, a duração, a frequência e a extensão geográfica do tratamento realizado.

A Consulta Pública está disponível na plataforma Participa + Brasil pelo período de 30 dias para o envio de contribuições à ANPD.

As inscrições para os interessados em realizar manifestações orais durante as Audiências Públicas, que ocorrerão nos dias 14 e 15 de setembro de 2021, vão até às 18h do dia 09.09.2021 e devem ser realizadas neste link.

Comissão da Câmara aprova projeto que dobra multa por vazamento de dados

A Comissão de Ciência e Tecnologia, Comunicação e Informática da Câmara dos Deputados aprovou proposta que altera a Lei Geral de Proteção de Dados Pessoais para dobrar o valor da multa aplicada às entidades de direito privado em caso de reincidência de vazamento de dados pessoais.

O texto aprovado é um substitutivo do deputado Luis Miranda (DEM-DF), ao Projeto de Lei 3420/19, que pretendia alterar o inciso II do artigo 52, da LGPD para limitar a multa aplicada às empresas em caso de vazamento de dados pessoais, e excluir do texto do artigo a expressão "por infração".

Importante ressaltar que o artigo 53, §1º, da LGPD já prevê que a ANPD é o órgão competente para definir, por meio de regulamento próprio sobre sanções administrativas a infrações, as formas e dosimetrias para o cálculo do valor-base. Recentemente, a ANPD publicou um comunicado, informando que o Regulamento de Fiscalização e Aplicação de Sanções Administrativas está em fase final de análise, e também está em andamento um estudo sobre as metodologias que orientarão o cálculo do valor-base das sanções de multa.

Considerando que já existe um planejamento dentro da agenda regulatória da Autoridade para a aprovação do regulamento e a efetiva aplicação de penalidades, e, portanto, não há necessidade de qualquer alteração na LGPD em relação à aplicabilidade das sanções administrativas, é importante acompanhar o desenvolvimento de projetos de lei como este que potencialmente representem conflitos com as competências regulatória já estabelecidas à ANPD.

O projeto tramita em caráter conclusivo e ainda será analisado pelas comissões de Finanças e Tributação e de Constituição e Justiça e de Cidadania.

CCJ aprova adesão do Brasil à Convenção de Budapeste

A Comissão de Constituição e Justiça e de Cidadania (CCJ), da Câmara dos Deputados aprovou o relatório favorável à adesão do Brasil à Convenção de Budapeste sobre crimes cibernéticos e agora irá para apreciação do Plenário.

A Convenção de Budapeste é um tratado firmado originalmente em 2001, pelo Conselho da Europa, e o Brasil foi convidado a aderir à convenção em 2019. O tratado tem como fim unificar tipos penais e medidas de colaboração relacionadas ao combate aos crimes cibernético. Assim, os Estados Partes devem elaborar leis penais que tipifiquem e punam crimes cibernéticos descritos no texto e se comprometer a extraditar e a prestar assistência, mesmo que não haja acordos bilaterais, tanto em medidas cautelares quanto em investigações que envolvam crimes cometidos em ambientes digitais.

China aprova Lei de Proteção de Informações Pessoais

O Congresso Nacional do Povo da China aprovou a nova Lei de Proteção de Informações Pessoais (Personal Information Protection Law - PIPL), que entrará em vigor no dia 1º de novembro deste ano.

A nova lei aprovada complementa a Lei de Segurança de Dados e a Lei de Cibersegurança, em um esforço do país para regulamentar o uso de dados e trazer mais requisitos de conformidade para as organizações.

A Lei chega em meio a diversas reclamações de que as empresas estariam usando indevidamente dados de clientes e a um enforcement maior pelos reguladores chineses sobre as empresas e aplicativos por supostamente violarem a privacidade do usuário.

O PIPL apresenta semelhanças estruturais com a Lei Geral de Proteção de Dados Pessoais (LGPD) e o General Data Protection Regulation (GDPR) e está dividido em 8 capítulos que tratam sobre (i) requisitos para o tratamento de informações pessoais, (ii) transferência internacional de informações pessoais, (iii) direitos dos titulares, (iv) deveres dos agentes de tratamento, (v) responsabilidade legal, entre outros.

A lei estabelece que o tratamento de dados pessoais deve ter um propósito claro e razoável e deve ser limitado ao "escopo mínimo necessário para atingir os objetivos de manuseio" de dados, bem como que as organizações designem um indivíduo responsável pela proteção de informações pessoais e que os manipuladores conduzam auditorias periódicas para garantir o cumprimento da lei.

Em relação à extensão territorial da Lei, quaisquer organizações que façam negócios na China que envolvam o tratamento de dados pessoais enfrentarão requisitos regulatórios, como a necessidade de designar representantes locais e reportar a agências de supervisão na China.

Nosso time de Proteção de Dados, Tecnologia e Negócios Digitais está à disposição para esclarecer quaisquer dúvidas a respeito desses temas e auxiliar na condução de projetos de adequação à LGPD e na estruturação de programas de governança em privacidade e proteção de dados.

Crédito da imagem: rawpixel.com/Freepik