Quando falamos da Lei Geral de Proteção de Dados (“LGPD”), uma das perguntas mais comuns com as quais nos deparamos é: “o que é a proteção de dados pessoais na prática”?

Antes de respondê-la, é importante lembrar que a proteção de dados pessoais é uma expansão do direito fundamental à privacidade, sendo que, como consequência do desenvolvimento tecnológico, a proteção de dados foi alocada na categoria de direito específico, autônomo e atribuído a todas as pessoas, em igual patamar.

De fato, faz sentido que o avanço tecnológico tenha alavancado o debate sobre a proteção de dados pessoais. Na atualidade, dados pessoais são coletados, acessados e guardados principalmente em meios digitais, o que faz com que a disseminação e o acesso indevido sejam muito mais fáceis.

Além disso, cada vez mais as pessoas colocam um volume maior de informações sobre si mesmas nas redes sociais. Por mais absurdo que isso possa parecer, quem manipula dados pessoais disponibilizados em meios digitais acaba sabendo mais sobre as pessoas do que elas mesmas.

A capacidade de identificar diversos padrões de comportamento (e de consumo) e de prever a recorrência deles no futuro é uma “mina de ouro” para uma abordagem publicitária assertiva.

Naturalmente, se o avanço tecnológico ampliou a coleta de dados pessoais, a preocupação com a proteção destes dados também se intensificou.

Você já imaginou quantas empresas possuem os seus dados pessoais armazenados em um banco de dados? Já imaginou o que essas empresas podem fazer com os seus dados pessoais e como eles estão sendo protegidos contra incidentes, como um vazamento, por exemplo?

Foi com essa preocupação em mente que foram editadas diversas normas sobre proteção de dados pessoais, incluindo a nossa LGPD. A lógica dessas normas, no fim das contas, é a proteção da pessoa humana.

Logo, o titular dos dados pessoais é o núcleo da existência de qualquer lei de proteção de dados pessoais, já que eventuais violações aos direitos fundamentais de liberdade e privacidade e o livre desenvolvimento da personalidade estão diretamente vinculados à pessoa.

Como consequência, para garantir a proteção na prática, a LGPD inclui em seu texto um consistente rol de direitos que podem (e devem) ser exercidos pelos titulares de dados pessoais.

Neste artigo, abordaremos cada um desses direitos, com foco nas ações práticas que devem executadas pelos agentes de tratamento de dados e que devem ser monitoradas pelos titulares desses dados. Aproveite e veja também o nosso modelo de respostas aos titulares que exercerem seus direitos, disponibilizado gratuitamente ao final do artigo.

 

Obrigatoriedade de resposta à solicitação do titular

 

É no artigo 18 da LGPD que estão relacionados os direitos específicos que podem ser exercidos pelo titular de dados pessoais. De acordo com a redação desse artigo, “o titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição” tudo o que está listado nesse artigo, conforme exploraremos a seguir.

De início, porém, cabe esclarecer que é possível a existência de requisições dos titulares de dados pessoais cujo atendimento não será possível.

Ao contrário do que a redação do artigo 18 pode sugerir, não há obrigatoriedade de atendimento de toda e qualquer requisição do titular. O próprio § 4º do artigo 18, aliás, prevê que uma solicitação do titular pode ser inexequível.

O que é obrigatório é que o titular obtenha uma resposta acerca de sua solicitação, contendo as razões pelas quais o agente de tratamento de dados estaria impedido de adotar a providência solicitada pelo titular.

Assim, mesmo que a requisição do titular seja ilegítima ou despropositada, o agente de tratamento não pode simplesmente ignorá-la. Isso vale inclusive para pequenas empresas, que ainda que venham a ter diferenciações em relação a grandes empresas, também estão obrigadas a responder o titular que exercer o seu direito – mesmo que de forma simplificada.

 

Os direitos dos titulares na prática

 

Confirmação da existência do tratamento

 

Trata-se do direito mais simples dentre aqueles contidos na LGPD. O titular pode, a qualquer momento, requerer ao controlador que confirme a mera existência do tratamento dos seus dados pessoais. O prazo para o envio da resposta ao titular é de 15 dias.

Esse direito está intimamente ligado ao princípio da transparência, fundamental na LGPD, expresso no artigo 6º, inciso VI, que descreve a transparência como a “garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial. ”

 

Acesso aos dados pessoais

 

O exercício desse direito pressupõe o conhecimento prévio acerca da existência da realização do tratamento de dados pessoais pelo controlador. Uma vez munido de tal informação (que pode advir do exercício do direito de confirmação ou de qualquer outro meio), o titular também poderá solicitar acesso a seus dados pessoais.

Inclusive, os titulares vêm exercendo esse direito, como demonstrado nesta notícia comentadada.

Esse acesso pode ser providenciado pelo controlador: a) imediatamente, em formato simplificado, ou; b) no prazo de até 15 dias contados da data do requerimento do titular, por meio de declaração clara e completa que indique I) finalidade específica do tratamento; II) forma e duração do tratamento; III) identificação e informações de contato do controlador; IV) informações acerca do uso compartilhado de dados pelo controlador e a finalidade; V) responsabilidade dos agentes que realizarão o tratamento, e; VII) direitos do titular.

Além disso, a critério do titular, as informações poderão ser fornecidas por meio eletrônico (desde que seguro e idôneo para tal fim), ou sob forma impressa.

 

Correção de dados incompletos, inexatos ou desatualizados

 

O titular tem o direito de assegurar que seus dados pessoais estejam completos, exatos ou atualizados, uma vez que a desconformidade dos dados é elemento que potencialmente pode viabilizar fraudes, especialmente em ambiente on-line. 

Dessa forma, é dever do controlador, a requerimento do titular, atualizar os dados pessoais deste em decorrência de alteração de nome, endereço, estado civil, gênero, entre outras hipóteses.

Dados incompletos devem ser completados e dados equivocados devem ser corrigidos.

Em caso de dúvidas quanto à real identidade do titular que está exercendo seu direito, o controlador pode solicitar informações adicionais para fins de comprovação da legitimidade do postulante.

É necessário sempre ponderar essa medida, porém, com o princípio da necessidade, que prevê que somente aqueles dados estritamente necessários devem ser coletados do titular para fins de tratamento.

Logo, solicitar uma quantidade excessiva de dados pessoais do titular para fins de confirmação de sua identidade seria uma ação em desacordo como princípio da necessidade, devendo, portanto, ser evitada.

 

Anonimização de dados pessoais

 

Dado anonimizado é aquele dado relativo ao titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.

Ou seja, o dado anonimizado não é considerado um dado pessoal, já que dado pessoal é aquela informação capaz de identificar um titular de forma direta ou indireta. É justamente isso que prevê o artigo 12 da LGPD quando diz que “dados anonimizados não serão considerados dados pessoais para os fins desta Lei, salvo quando o processo de anonimização ao qual foram submetidos for revertido, utilizando exclusivamente meios próprios, ou quando, com esforços razoáveis, puder ser revertido. ”

Embora a anonimização seja um direito do titular, tal direito não se dá de forma irrestrita. Isso porque a própria LGPD, nas hipóteses em que menciona o processo de anonimização, faz uma ressalva utilizando os dizeres “sempre que possível”.

O processo de anonimização não é simples e requer mais do que uma mera exclusão da coluna de nome e CPF em uma planilha de Excel. A anonimização, a propósito, é considerada por alguns especialistas como sendo uma ilusão em tempos de Big Data. 

Para ilustrar o quanto o processo de anonimização pode ser complexo, chamamos a atenção para o caso Netflix Prize Dataset.

Há alguns anos, a Netflix criou um concurso cujo desafio era melhorar o algoritmo de sugestão de filmes da plataforma. Para tanto, ela disponibilizou a sua base de dados com todas as avaliações dos filmes de seu catálogo do período de 1998 a 2005 e deletou os nomes dos usuários avaliadores, deixando somente a data e a nota da avaliação.

Adicionalmente, a Netflix ainda utilizou a técnica da randomização: a plataforma alterou algumas datas das notas das avaliações dos seus consumidores. Pensou-se, portanto, que esses procedimentos seriam suficientes para evitar a identificação dos usuários.

Dois pesquisadores, contudo, cujo objetivo era justamente provar as falhas de um processo de anonimização, desenvolveram um sistema e conseguiram cruzar a base de dados disponibilizada pela Netflix com a base do IMDB, um site no qual as pessoas classificam os filmes, usando, muitas vezes, seus nomes reais ao fazê-lo.

Adivinhe! Tal cruzamento permitiu a identificação dos usuários da base de dados da Netflix, de modo que o processo de anonimização foi revertido e aqueles dados voltaram a ser considerados dados pessoais.

O legislador reconhece que o processo de anonimização depende muito dos recursos tecnológicos dos quais o controlador dispõe (a lei fala em “razoabilidade”). Por tal razão, o processo de anonimização será considerado adequado quando, por meios razoáveis, não for possível revertê-lo, o que implica concluir que uma exigência irrestrita de anonimização para fins de atendimento do direito do titular não seria razoável.

Temos um artigo específico sobre anonimização de dados, caso queira se aprofundar no assunto!

 

Bloqueio dos dados pessoais

 

O bloqueio é a suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados.

Trata-se, portanto, do direito que tem o titular de obter restrição quanto ao tratamento em situações específicas. Esse direito não se confunde com o direito ao apagamento de dados, que pressupõe a completa eliminação dos dados quando há o requerimento do titular e quando não existe base legal para a subsistência do tratamento.

Em geral, o bloqueio dos dados pessoais é temporário. Enquanto perdurar o bloqueio, o controlador não poderá fazer qualquer uso dos dados pessoais que não unicamente mantê-los em sua base de dados e sistemas.

 

Eliminação de dados

 

Existem duas possibilidades de solicitação, pelo titular, da eliminação dos seus dados pessoais:

 

1. Eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD

O titular tem o direito de solicitar a eliminação de quaisquer de seus dados pessoais que sejam desnecessários ao tratamento, que sejam excessivos ou que sejam utilizados em desconformidade com a LGPD.

Esse é um direito absoluto que possui o titular, já que dados desnecessários, excessivos ou tratados em desconformidade com a LGPD não deveriam sequer existir, em respeito aos princípios da finalidade, da adequação e da necessidade.

O princípio da finalidade refere-se ao fato de que o motivo da coleta do dado pessoal deve ser compatível com o objetivo final do tratamento. Assim, não é possível coletar um dado pessoal para uma determinada finalidade e aproveitá-lo para usar em outra finalidade, ainda que ambas tenham amparo legal.

Esse princípio, pois, mitiga o uso secundário de um dado pessoal sem que o titular seja informado sobre isso. A finalidade deve ser legítima, específica e explícita.

O princípio da adequação está vinculado ao princípio da finalidade. Tal princípio prevê que o tratamento só pode ser realizado quando houver compatibilidade com as finalidades informadas ao titular, de maneira que a utilização do dado pessoal deve estar sempre vinculada ao motivo que fundamentou a coleta de tal dado. Essa ligação precisa ser levada em conta em qualquer tratamento posterior, por conta do princípio da finalidade.

Uma vez que o dado pessoal é a extensão do indivíduo (a expressão da sua personalidade), a utilização do dado pessoal reflete nesse indivíduo. Por isso a preocupação do legislador em estabelecer princípios que limitam o uso do dado ao proposito informado ao titular.

O princípio da necessidade limita o tratamento ao mínimo necessário para se atingir a finalidade pretendida. Deve-se avaliar quais dados são realmente imprescindíveis. Se determinado dado pessoal não for necessário ao tratamento, coletá-lo será um incidente punível.

Veja todos os princípios de proteção aos dados pessoais previstos na LGPD em nosso artigo sobre essa lei.

 

2. Eliminação dos dados pessoais tratados com o consentimento do titular

Diferente do exposto no ponto anterior, esse direito cuida da eliminação de dados pessoais tratados com base no consentimento do titular.

Para cada atividade realizada com dados pessoais é preciso existir uma base legal. Para o tratamento de dados pessoais, a LGPD traz dez bases legais, que compõem um rol taxativo, ou seja, sem margem para outras hipóteses além daquelas expressamente descritas no texto da lei.

O consentimento é a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.

Quando o tratamento é realizado tendo como base legal o consentimento, é direito do titular solicitar que o tratamento cesse e que seus dados pessoais sejam eliminados a qualquer momento.

Entenda melhor esta base legal em nosso artigo dedicado ao consentimento na LGPD.

É relevante ressaltar que todas as atividades realizadas antes de o titular retirar o seu consentimento são válidas. Todavia, a partir do momento em que o titular retira o seu consentimento, não é mais possível realizar tratamentos com aqueles dados pessoais.

A eliminação dos dados só não precisará ser realizada nos casos excepcionais contidos na LGPD. São eles: I) cumprimento de obrigação legal ou regulatória pelo controlador; II) estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais; III) transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos na lei, ou; IV) uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.

Reiteramos que, ainda que caso não seja possível a eliminação dos dados pessoais nas exceções trazidas pela lei, o controlador deve comunicar e justificar tal impossibilidade ao titular.

 

Portabilidade dos dados

 

Ao titular é permitida a portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial. Portanto, o titular tem o direito de obter, junto ao controlador, seus dados pessoais de forma estruturada e de modo que possam ser transmitidos a outro controlador.

Esse direito é extremamente relevante para o titular, já que evita a ocorrência do chamado vendor lock-in, ou, em português “aprisionamento tecnológico”. Tal circunstância compele o usuário a permanecer vinculado a um determinado controlador já que os custos de uma troca seriam excessivamente elevados e desmotivariam a substituição.

A portabilidade envolve a estruturação para o envio de todos os dados pessoais que um controlador possui do titular, incluindo o histórico do uso de um determinado serviço.

Isso é bastante significativo, por exemplo, no setor bancário ou de cartões de crédito, já que o histórico de uma determinada pessoa com uma empresa de crédito é essencial para ela conseguir condições favoráveis em outra empresa de mesma natureza.

O exercício do direito de portabilidade pode gerar para o controlador um trabalho excessivo caso este não tenha realizado uma adequação efetiva à LGPD.

 

Informações sobre o uso compartilhado de dados

 

O uso compartilhado de dados é toda comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos ou entre entes privados.

Uma vez que a lei permite o uso compartilhado de dados pessoais (em conformidade com as demais disposições da LGPD), o legislador preocupou-se em assegurar ao titular a possibilidade de buscar informações sobre entidades públicas e privadas com as quais o controlador realizou o uso compartilhado de dados.

A intenção do legislador é manter o titular no controle de seus dados pessoais, conhecendo as entidades que fazem uso deles por força do compartilhamento.

 

Informações sobre a negativa do consentimento

 

É direito do titular saber que pode não fornecer seu consentimento para a realização de determinado tratamento e, ademais, conhecer as consequências de tal negativa.

Toda informação dada ao titular deve ser feita de forma clara, expressa e inequívoca.

 

Revogação do consentimento

 

Conforme já mencionado, é direito do titular revogar seu consentimento a qualquer momento, mediante manifestação expressa, por procedimento gratuito e facilitado, ratificados os tratamentos realizados sob amparo do consentimento anteriormente manifestado enquanto não houver requerimento de eliminação.

 

Conclusão

 

A LGPD reconhece diversos direitos do titular, havendo, para cada um deles, um correspondente dever do agente de tratamento de dados. Este artigo detalhou, tanto do ponto de vista do titular, quanto do ponto de vista do controlador, quais são os direitos previstos na lei e qual é a forma correta de atendê-los.

Esperamos, com este conteúdo, contribuir para a adequação à LGPD, ajudando o controlador a atender às demandas do titular de dados pessoais de forma eficaz, em conformidade com as normas que regem a matéria, e ajudando o titular de dados pessoais a compreender a real extensão de seus direitos.

Uma vez que o titular entrou em contato com o controlador de dados pessoais, é preciso que haja uma resposta. Neste artigo, sugerimos dois tipos de resposta: a primeira delas uma resposta imediata, para que o titular tenha ciência do recebimento de sua demanda. A segunda, já com as informações solicitadas pelo titular ou com uma explicação das providencias adotadas em relação a seu requerimento.

 

Modelo de respostas

 

Preencha o formulário abaixo para receber o nosso modelo para responder aos titulares de dados pessoais que exercerem seus direitos e solicitarem acesso ou informações sobre os dados coletados.

Caso a sua empresa esteja no processo de adequação à LGPD e você precisar de apoio jurídico, entre em contato conosco para uma assessoria completa e personalizada. Será um prazer ajudá-lo(a)!

Aproveite para nos avaliar no Google, o seu feedback é muito importante para nós!