Hipóteses de tratamento de dados na LGPD
As hipóteses de tratamento de dados são apresentadas no art. 7º da LGPD. A primeira delas é a mais tradicional, ou seja, o fornecimento de consentimento do titular. Quando o usuário concorda com o tratamento de dados, em tese, não há óbice algum. Contudo, a lei traz alguns requisitos para a validade desse consentimento. É necessário que haja manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. Isso significa que se existe uma cláusula apresentando finalidade genérica no tratamento dos dados, ela será considerada inválida. Além disso, deve ser feito por contrato escrito, com tal cláusula destacada, ou por qualquer outro meio em que o titular do dado ofereça seu consentimento, desde que haja clareza e destaque dessa informação.
Da mesma forma em que o consentimento pode ser concedido pelo titular, ele também deve poder revogá-lo a qualquer tempo, de forma expressa. É importante saber que, se após a manifestação do consentimento houver qualquer alteração quanto à finalidade, duração, identificação do controlador ou nas informações quanto ao uso compartilhado, o titular deve ser informado e dar um novo consentimento para que seja válido o tratamento. Ainda, caso o controlador necessite compartilhar ou comunicar dados com outros controladores, deve haver um consentimento específico.
Entretanto, se o próprio titular torna público esses dados, o consentimento não precisa ser concedido na forma prescrita pela lei - mas isso não significa a observância dos princípios gerais da LGPD. Existem também outras hipóteses em que o tratamento de dados pode ocorrer sem o consentimento do titular, por exemplo: a) quando houver uma obrigação legal ou regulatória para o controlador (caso ele precise guardar os dados por um tempo determinado em lei); b) quando o tratamento for realizado pela Administração Pública na execução de políticas públicas previstas em leis, regulamentos, contratos ou convênios, desde que justificado o interesse público; c) quando for necessário à realização de estudos por órgãos de pesquisa, desde que garantida a anonimização dos dados pessoais; d) quando for necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido dele próprio; e) para o exercício regular de direitos em processo judicial, administrativo ou arbitral; f) para proteção da vida ou incolumidade física do titular ou de terceiro; g) para a tutela da saúde, em procedimento realizado por profissionais da área da saúde ou por entidades sanitárias; h) para a proteção do crédito; i) quando for necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto nos casos em que prevalecerem direitos fundamentais do titular que exijam a proteção de dados pessoais.
Especificamente sobre as situações em que pode haver legítimo interesse do controlador, o art. 10 da LGPD delimita todas elas. Embora o termo "legítimo interesse" pareça amplo, a lei estabelece alguns requisitos para que ele prevaleça.
Art. 10. O legítimo interesse do controlador somente poderá fundamentar tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas, que incluem, mas não se limitam a:
I - apoio e promoção de atividades do controlador; e
II - proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais, nos termos desta Lei.
§ 1º Quando o tratamento for baseado no legítimo interesse do controlador, somente os dados pessoais estritamente necessários para a finalidade pretendida poderão ser tratados.
§ 2º O controlador deverá adotar medidas para garantir a transparência do tratamento de dados baseado em seu legítimo interesse.
§ 3º A autoridade nacional poderá solicitar ao controlador relatório de impacto à proteção de dados pessoais, quando o tratamento tiver como fundamento seu interesse legítimo, observados os segredos comercial e industrial.
Ademais, quanto às informações sobre o tratamento de dados, elas devem esclarecer quais são as finalidades específicas do tratamento, sua forma e duração (observados os segredos comercial e industrial), a identificação e informação de contato do controlador, se há uso compartilhado de dados pelo controlador e qual sua finalidade, quais são as responsabilidades dos agentes que realizarão o tratamento e os direitos do titular, com menção explícita aos direitos previstos no art. 18 da LGPD.
Hipóteses de tratamento dos dados sensíveis
Dados sensíveis são aqueles dados pessoais que envolvem informações sobre origem racial, étnica, orientação sexual, dentre outros assuntos que podem colocar o titular em situações discriminatórias ou indelicadas. Por isso, o tratamento desses dados apresenta peculiaridades.
Da mesma forma que os demais dados, deve haver consentimento manifesto pelo titular. Contudo, para os dados sensíveis, esse consentimento deve aparecer de foma específica e destacada, exclusivamente para finalidades específicas. E também é importante ressaltar que existem hipóteses de tratamento desses dados mesmo nos casos em que não houver consentimento, nos casos em que a informação for indispensável para: a) o cumprimento de obrigação legal ou regulatória pelo controlador; b) o tratamento compartilhado de dados necessários à execução, pela Administração Pública, de políticas públicas previstas em leis ou regulamentos; c) a realização de estudos por órgãos de pequisa, desde que garantida a anonimização dos dados pessoais sensíveis; d) o exercício regular de direitos em processo judicial, administrativo ou arbitral; e) proteção da vida ou incolumidade física do titular ou de terceiro; f) para a tutela da saúde, em procedimento realizado por profissionais da área da saúde ou por entidades sanitárias; g) a garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9º da LGPD, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.
Uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica
Trata-se de uma hipótese muito restrita. Se, por exemplo, um aplicativo reúne dados e informações sobre a saúde de seus usuários, pode haver esse uso compartilhado, desde que: a) a portabilidade de dados seja consentida pelo titular; b) haja necessidade de comunicação para a adequada prestação de serviços de saúde suplementar; c) seja feito em casos de estudo de saúde pública, observando-se a ocorrência exclusivamente dentro do órgão e a finalidade estrita de realização dos estudos e pesquisas mantidos em ambiente controlado e seguro, com os dados anonimizados na medida do possível.
Tratamento de dados de crianças e adolescentes
Devem ser observados não apenas as informações disponíveis na LGPD, mas também aquelas específicas constantes do Estatuto da Criança e do Adolescente (ECA), sempre visando o melhor interesse da criança e do adolescente. As informações sobre o tratamento desse tipo de dado devem ser simples, clara e acessíveis ao público a que se destina, adequada ao entendimento da criança. Os controladores também deverão manter pública a informação sobre os tipos de dados coletados, a forma de sua utilização e os procedimentos para obtenção de informações. Além disso, deve haver um consentimento específico fornecimento por pelo menos um dos pais, ou pelo responsável legal, cabendo ao controlador o ônus de verificar se esse consentimento foi efetivamente dado por um responsável legal.
Dispensa-se o consentimento nos casos em que a coleta de dados se torna necessária para contatar um dos pais ou representantes legais (numa situação de emergência, por exemplo), desde que utilizados uma única vez e sem armazenamento, ou para sua proteção, e em nenhum caso poderão ser repassados para terceiro.
No caso de jogos, aplicações e outras atividades, apenas as informações estritamente necessárias à realização daquela atividade podem ser obtidas.
Término do tratamento
O tratamento dos dados será encerrado quando a finalidade da coleta de dados e tratamento for realizada, ou seja, quando não houver mais motivos para que o controlador permaneça em posse dos dados. Também se encerra o tratamento quando findo o período anteriormente previsto ou quando houver a revogação por parte do titular, nas hipóteses já analisadas. Também pode existir uma determinação da autoridade nacional quando houver violação aos dispositivos da lei e, nesse caso, a atividade de tratamento poderá ser cessada por sua determinação - nesse caso, os dados devem ser eliminados do banco do controlador, sendo autorizada a conservação apenas em casos de cumprimento de determinação legal, ou para estudo de órgão de pesquisa (mantendo-se a anonimização), ou para transferência a terceiros (observados os requisitos), ou para uso exclusivo pelo controlador (desde que não compartilhados e anônimos).