LGPD - Aplicação nos condomínios e Administradoras - Parte III

Dando sequência aos comentários sobre a Lei Geral de Proteção de Dados Pessoais, popular LGPD, vimos nos dois artigos anteriores os fundamentos, a quem se aplica, o que é tratamento de dados, os conceitos da LGPD, a quem não se aplica, os dez princípios e as hipóteses legais para coleta e tratamentos dos dados; em síntese, deixamos para refletir que na coleta e tratamento dos dados pessoais, temos que considerar a finalidade e a boa-fé, especialmente, quais dados efetivamente precisamos coletar, afinal, ao implementarmos as etapas da LGPD vamos ver que podemos descartar dados, reduzindo assim, nossos riscos.

DO CONSENTIMENTO – ART. 7º, I e ART. 8º.

Vimos que um dos requisitos para o tratamento de dados pessoais é a necessidade de consentimento pelo titular. O consentimento deve ser dado por escrito, sem vícios de consentimento ou de forma genérica, sob pena de nulidade.

Nos contratos, a cláusula do consentimento de coleta e tratamento dos dados deve estar de forma destacada, demonstrando a importância do consentimento, que deve atender a finalidade determinada para a coleta.

Cabe ao controlador (pessoa natural ou jurídica) que coleta os dados o ônus da prova quanto ao consentimento, por isto, ter formulários de consentimento ou contratos com cláusulas claras é fundamental.

O consentimento poderá ser revogado a qualquer momento por expressa manifestação do titular. Não estamos falando aqui da coleta para atendimento de normas legais e outras situações que independe do consentimento.

DO ACESSO FACILITADO DO TITULAR AS INFORMAÇÕES SOBRE SEUS DADOS - ART. 9º

O titular tem direito ao acesso facilitado às informações sobre o tratamento de seus dados, que deverão ser disponibilizadas de forma clara, adequada e ostensiva acerca, entre outras características previstas em regulamentação para o atendimento do princípio do livre acesso:

I - finalidade específica do tratamento;

II - forma e duração do tratamento, observados os segredos comercial e industrial;

III - identificação do controlador;

IV - informações de contato do controlador;

V - informações acerca do uso compartilhado de dados pelo controlador e a finalidade;

VI - responsabilidades dos agentes que realizarão o tratamento; e

VII - direitos do titular, com menção explícita aos direitos contidos no art. 18 desta Lei.

DO TRATAMENTO DE DADOS PESSOAIS SENSÍVEIS – Art. 11 – vide art. 5º, II

Vimos no primeiro artigo os conceitos elencados no artigo 5º, inciso II, que dispõe sobre dados sensíveis, compreendendo dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.

Pois bem, sendo necessário tratar dados sensíveis, esta ação somente pode ocorrer nas seguintes hipóteses:

I - quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;

II - sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:

a) cumprimento de obrigação legal ou regulatória pelo controlador;

b) tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;

c) realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;

d) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);

e) proteção da vida ou da incolumidade física do titular ou de terceiro;

f) tutela da saúde, em procedimento realizado por profissionais da área da saúde ou por entidades sanitárias; ou

f) tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou

g) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9º desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.

DADOS ANONIMIZADOS NÃO SÃO DADOS PESSOAIS – HÁ EXCEÇÃO – art. 12

Conforme apresentado no artigo 01 destes comentários, o inciso III, do artigo 5º define dado anonimizado, como dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.

Ou seja, o controlador adota sistemas de tecnologia da informação com segurança da informação que determinado dado é anonimizado, ou seja, não é possível descobrir, por meios razoáveis esta informação “embaralhada” em linguagem de máquina ou dispersa em planilhas excel.

Nesta situação os dados anonimizados não serão considerados dados pessoais para os fins desta Lei, mas o próprio dispositivo (artigo 12) faz uma ressalva: não será dado anonimizado se quando o processo de anonimização ao qual foram submetidos for revertido utilizando exclusivamente meios próprios, ou quando com esforços razoáveis, puder ser revertido.

A determinação do que seja razoável deve levar em consideração fatores objetivos, tais como custo e tempo necessários para reverter o processo de anonimização, de acordo com as tecnologias disponíveis, e a utilização exclusiva de meios próprios.

DO TRATAMENTO DE DADOS PESSOAIS DE CRIANÇAS E DE ADOLESCENTES – Art. 14

Não há impedimento a coleta e tratamento de dados de crianças e adolescentes, mas, deverá ser realizado em seu melhor interesse, e com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.

Poderão ser coletados dados pessoais de crianças sem o consentimento dos pais, quando a coleta for necessária para contatar os pais ou o responsável legal, utilizados uma única vez e sem armazenamento, ou para sua proteção, vedado o repasse dos dados a terceiros.

É ônus do controlador verificar que o consentimento dos pais foi efetivamente dado pelo responsável pela criança, consideradas as tecnologias disponíveis.

DO TÉRMINO DO TRATAMENTO DOS DADOS – Arts. 15 E 16

Coletado os dados, o tempo de permanência destes com o coletor deverá seguir as seguintes hipóteses:

I - verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;

II - fim do período de tratamento;

III - comunicação do titular, inclusive no exercício de seu direito de revogação do consentimento conforme disposto no § 5º do art. 8º desta Lei, resguardado o interesse público; ou

IV - determinação da autoridade nacional, quando houver violação ao disposto nesta Lei.

Todavia, os dados pessoais serão eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades, MAS, autorizada a conservação para as seguintes finalidades:

I - cumprimento de obrigação legal ou regulatória pelo controlador;

II - estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

III - transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta Lei; ou

IV - uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.

Síndicos e empresas administradoras, a cada comentário estamos vivenciando que coletar dados da pessoa natural deve estar ligado a finalidade do seu tratamento, especialmente para atender a legislação trabalhistas, tributária, fiscal e outras, estas independente do consentimento do titular. Mesmo assim, as responsabilidades pela conservação e privacidade impõe obrigações e responsabilidade do controlador e encarregado.

No próximo artigo vamos ver os direitos do titular, afinal, nos termos do artigo 17, toda pessoa natural tem assegurada a titularidade de seus dados pessoais e garantidos os direitos fundamentais de liberdade, de intimidade e de privacidade .

Até o próximo.

Autor: Gedaias Freire da Costa, advogado, presidente do SIPCES