O termo tratamento de dados abrange toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.

Os dados pessoais se relacionam, diretamente, às informações acerca de pessoa natural identificada ou identificável. As normas estabelecidas pela Lei nº 13.709/18 são aplicáveis a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que:

I - a operação de tratamento seja realizada no território nacional;

II - a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; ou              

III - os dados pessoais objeto do tratamento tenham sido coletados no território nacional.

Consideram-se coletados no território nacional os dados pessoais cujo titular nele se encontre no momento da coleta.

A Lei nº 13.709/18 apresenta em seu texto, de modo expresso, as hipóteses de situações que não são abrangidas por suas regras, ou seja, quando não se aplicam ao tratamento de dados pessoais:

I - realizado por pessoa natural para fins exclusivamente particulares e não econômicos;

II - realizado para fins exclusivamente:

a) jornalístico e artísticos; ou

b) acadêmicos, aplicando-se a esta hipótese os arts. 7º e 11 da Lei nº 13.709/18;

III - realizado para fins exclusivos de:

a) segurança pública;

b) defesa nacional;

c) segurança do Estado; ou

d) atividades de investigação e repressão de infrações penais; ou

IV - provenientes de fora do território nacional e que não sejam objeto de comunicação, uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência internacional de dados com outro país que não o de proveniência, desde que o país de proveniência proporcione grau de proteção de dados pessoais adequado ao previsto nesta Lei.

Curso online LGPD e Segurança de Dados - Planejamento e Engenharia de Software

O tratamento de dados pessoais relativo à segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais será regido por legislação específica, que deverá prever medidas proporcionais e estritamente necessárias ao atendimento do interesse público, observados o devido processo legal, os princípios gerais de proteção e os direitos do titular.

É vedado o tratamento de dados pessoais relativo à segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais por pessoa de direito privado, exceto em procedimentos sob tutela de pessoa jurídica de direito público.

Em nenhum caso a totalidade dos dados pessoais de banco de dados de que trata o inciso III poderá ser tratada por pessoa de direito privado, salvo por aquela que possua capital integralmente constituído pelo poder público.      

IV - provenientes de fora do território nacional e que não sejam objeto de comunicação, uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência internacional de dados com outro país que não o de proveniência, desde que o país de proveniência proporcione grau de proteção de dados pessoais adequado ao previsto pela Lei nº 13.709/18.

O tratamento dos dados deverá sempre observar os princípios contidos no art. 6º da Lei nº 13.709/18.

Vamos analisar agora as hipóteses de tratamento determinadas pelo texto legal.

Nos termos do art. 7º da Lei nº 13.709/18, o tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses (rol taxativo):

I - mediante o fornecimento de consentimento pelo titular;

II - para o cumprimento de obrigação legal ou regulatória pelo controlador;

III - pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV desta Lei;

IV - para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

V - quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;

VI - para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);

VII - para a proteção da vida ou da incolumidade física do titular ou de terceiro;

VIII - para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;                  

IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou

X - para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.

Curso online LGPD – Lei Geral de Proteção de Dados – Aplicações e Boas Práticas

O tratamento de dados pessoais cujo acesso é público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização.

Vamos observar agora o tema das vedações. Como visto, a Lei nº 13.709/18 não se aplica ao tratamento de dados pessoais realizado para fins exclusivos de: segurança pública; defesa nacional; segurança do Estado; ou atividades de investigação e repressão de infrações penais.

É vedado o tratamento de tais dados por pessoa de direito privado, exceto em procedimentos sob tutela de pessoa jurídica de direito público.

Sabe-se também que é vedado o tratamento de dados pessoais mediante vício de consentimento. O consentimento deverá sempre referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas.

A comunicação ou o uso compartilhado de dados pessoais sensíveis entre controladores com objetivo de obter vantagem econômica poderá ser objeto de vedação ou de regulamentação por parte da autoridade nacional, ouvidos os órgãos setoriais do Poder Público, no âmbito de suas competências.

É vedada a comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, exceto nas hipóteses relativas a prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, para permitir a portabilidade de dados quando solicitada pelo titular ou as transações financeiras e administrativas resultantes do uso e da prestação dos serviços de que trata este parágrafo.               

É vedado ao Poder Público transferir a entidades privadas dados pessoais constantes de bases de dados a que tenha acesso, exceto:

I - em casos de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado, observado o disposto na Lei nº 12.527/11 (Lei de Acesso à Informação);

II - nos casos em que os dados forem acessíveis publicamente, observadas as disposições da Lei nº 13.709/18;

III - quando houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres; ou         

IV - na hipótese de a transferência dos dados objetivar exclusivamente a prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados, desde que vedado o tratamento para outras finalidades. 

Time de Gestão de Conteúdo e Tutoria Unieducar