Com isso, o Brasil se junta a diversos países do mundo, que já possuem legislação sobre o tema. O projeto agora vai a sanção da presidência

Com Agência Brasil

O Senado aprovou nesta terça-feira (10) um Projeto de Lei da Câmara que trata sobre a proteção dos dados pessoais e define as situações em que estes podem ser coletados e tratados por empresas ou pelo Poder Público. O texto foi aprovado nos termos do conteúdo votado na Câmara dos Deputados no fim de maio.

Com isso, o Brasil se junta a diversos países do mundo que já possuem legislação sobre a proteção de dados pessoais . O projeto agora vai a sanção da presidência da República.

Fica definida no PL a forma como as informações podem ser coletadas e tratadas, especialmente na internet. A proposta vale para dados pessoais de cadastro ou até mesmo textos e fotos publicadas em redes sociais.

“Todas as entidades, sem nenhuma exceção, foram partícipes na construção do projeto de lei e estamos votando algo que é uma unanimidade”, afirmou a senadora Vanessa Grazziotin (PCdoB-AM).

“Estamos vivendo a revolução das redes sociais . Agora vamos ter marco regulatório que permite que cidadão possa acionar aqueles que fizerem mau uso de seus dados”, acrescentou o senador Jorge Viana (PT-AC).

Entenda o projeto de lei de proteção de dados pessoais

O PLC 53 considera dados pessoais a informação relacionada a uma pessoa que seja “identificada” ou “identificável”. Ou seja, o projeto de lei regula também aquele dado que, sozinho, não revela a quem estaria relacionado (um endereço, por exemplo) mas que, processado juntamente com outros, poderia indicar de quem se trata (o endereço combinado com a idade, por exemplo).

Foi criada uma categoria especial, denominada dados “sensíveis”, que abrange registros de raça, opiniões políticas, crenças, condição de saúde e características genéticas. O uso desses registros fica mais restrito, já que traz riscos de discriminação e outros prejuízos à pessoa.

Também há parâmetros diferenciados para processamento de informações de crianças, como a exigência de consentimento dos pais e a proibição de condicionar o fornecimento de registros à participação em aplicações (como redes sociais e jogos eletrônicos).

O projeto abrange operações de tratamento realizadas no Brasil ou a partir de coleta de dados feita no país. A norma vale para empresas que ofertem bens e serviços ou tratem informações de pessoas que estão aqui.

Assim, por exemplo, por mais que o Facebook recolha registros de brasileiros e faça o tratamento em servidores nos Estados Unidos, ele teria de respeitar as regras. Também é permitida a transferência internacional de dados (como no exemplo citado), desde que o país de destino tenha nível de proteção compatível com a lei ou quando a empresa responsável pelo tratamento comprovar que garante as mesmas condições exigidas pela norma por instrumentos como contratos ou normas corporativas.

Ficaram de fora das obrigações o tratamento para fins pessoais, jornalísticos e artísticos. Também não são cobertos o processamento de informações em atividades de segurança nacional, segurança pública e repressão a infrações.

O Poder Público ganhou também a possibilidade de tratar dados sem consentimento das pessoas, em determinadas situações, como na execução de políticas públicas. Para isso, o órgão deve informar em seu site em que hipótese o processamento de dados é realizado, sua finalidade e quais são os procedimentos adotados.

Para coletar um dado, a empresa precisa solicitar o consentimento do titular. Essa autorização deve ser solicitada de forma clara. Caso uma empresa colete um dado para uma coisa e mude sua finalidade, deve obter novo consentimento. A permissão dada por alguém, entretanto, pode ser revogada se o titular assim o desejar.

O projeto prevê, contudo, algumas situações em que este não é necessário, como a proteção da vida, o cumprimento de obrigação legal e procedimento de saúde.

A exceção mais polêmica é chamada de “legítimo interesse”, que na prática permite a uma empresa coletar um dado para um propósito e usá-lo para outro, desde que para “finalidades legítimas” e a “partir de situações concretas”. Nesse caso, somente os dados “estritamente necessários” podem ser manejados.

Outra obrigação das empresas incluída no relatório do deputado Orlando Silva (PCdoB-SP) é a garantia da segurança dos dados, impedindo acessos não autorizados e qualquer forma de vazamento.

A redação prevê direitos ao titular, que pode solicitar acesso às informações que uma empresa tem dele - incluindo a finalidade, a forma e a duração do tratamento - e se houve uso compartilhado com algum outro ente e com qual finalidade.

Também é possível requisitar a correção de um dado incompleto, a eliminação de registros desnecessários ou excessivos e a portabilidade para outro provedor de serviço. Ou seja, o usuário de uma conta de e-mail pode ter todas as suas mensagens, caso deseje abrir conta em outro serviço deste tipo. O titular também pode solicitar a revisão de uma decisão automatizada baseada em seus dados, como uma classificação para obtenção de crédito, por exemplo.

Fiscalização e órgão regulador
Foi proposta também a criação da Autoridade Nacional de Proteção de Dados, que ficará responsável pela edição de normas e fiscalização das obrigações previstas na lei.

Essa autoridade terá poder, por exemplo, para exigir relatórios de impacto à privacidade de uma empresa, que deve identificar como o processamento é realizado, as medidas de segurança e as ações para reduzir riscos.

Se o órgão constatar irregularidades, pode aplicar uma série de sanções, entre as quais multa de até 2% do faturamento da empresa envolvida, com limite de R$ 50 milhões, o bloqueio ou eliminação dos dados tratados de maneira irregular e a suspensão ou proibição do banco de dados ou da atividade de tratamento.

O projeto de lei que trata da proteção de dados pessoais também institui o Conselho Nacional de Proteção de Dados, formado por representantes do Poder Público, da sociedade civil, de empresas e de instituições científicas e tecnológicas.