Author name: Admin

A Lei Geral de Proteção de Dados Pessoais (LGPD) foi aprovada em 2018 e entrou em vigor dois anos depois. A Lei modificou a forma como a privacidade e a segurança dos dados pessoais são tratados no Brasil. Dentre suas disposições, a lei previu a criação da autoridade competente para zelar por sua fiscalização e aplicação, a Autoridade Nacional de Proteção de Dados (ANPD). As infrações à LGPD cometidas  a partir de 1º de agosto de 2021 podem gerar penalidades. Dessa forma, cabe à ANPD fiscalizar o cumprimento da LGPD no sentido de aplicar as sanções administrativas a empresas e entes públicos que não cumprirem as normas vigentes. Também é competência da Autoridade a orientação e regulamentação sobre boas práticas  no tratamento de dados pessoais. Em comemoração aos seus 4 anos de atuação, a autoridade apresentou um “Balanço de 4 Anos”, com intuito de tornar público os resultados alcançados, destacando as iniciativas implementadas, os desafios enfrentados, as principais infrações identificadas e as ações de fiscalização realizadas pela Autoridade.   Ações de fiscalização A ANPD fiscaliza o cumprimento da LGPD por meio de ações de monitoramento, orientação, prevenção e repressão. A Autoridade realiza o monitoramento para identificar práticas inadequadas e riscos potenciais no tratamento de dados pessoais. Ao identificar riscos e desvios, a ANPD poderá direcionar suas ações de forma mais eficaz, reforçando sua atuação preventiva por meio do acompanhamento dos requerimentos recebidos, que refletem as demandas da sociedade sobre proteção de dados. Dentre os requerimentos recebidos, há dois principais:  petições de titulares para reclamar sobre alguma violação de seus direitos; e denúncias, que podem ser feitas por qualquer pessoa, física ou jurídica, para informar à ANPD sobre possíveis infrações à LGPD cometidas por empresas ou entes públicos.  O ano de 2024 foi marcado pelo recorde de denúncias e petições, totalizando 517. O resultado foi alcançado devido à modernização dos serviços da ANPD, que facilitou o exercício dos direitos dos titulares de dados. Comunicados de incidentes de segurança Uma outra área de atuação da ANPD consiste na gestão dos Comunicados de Incidentes de Segurança. O Regulamento de Comunicação de Incidentes de Segurança (RCIS) detalha a obrigação dos controladores de informar a autoridade e aos titulares sobre incidentes que possam gerar riscos ou danos relevantes.  Até setembro de 2024, a ANPD recebeu 1.063 notificações de incidentes de segurança, sendo 250 somente em 2024. O mais recorrente foi o ransomware, que é o sequestro de dados. O aumento expressivo reflete a importância do fortalecimento das medidas de segurança pelos agentes de tratamento  e a necessidade de uma proteção cada vez mais robusta dos dados pessoais. A partir das informações obtidas por meio dos mecanismos de monitoramento e da comunicação de incidentes, a ANPD fiscaliza o cumprimento da LGPD. Ao identificar irregularidades, a Autoridade inicia processos de fiscalização. Desde sua criação, a ANPD já concluiu 20 processos de fiscalização e tem outros 17 em andamento. Sanções A ANPD realiza a aplicação de sanções por infrações à LGPD como uma das suas atividades mais relevantes. Entre as penalidades previstas, destacam-se a publicização da infração, advertências, bloqueio, eliminação de dados pessoais tratados irregularmente e a aplicação de multa administrativa, podendo chegar a R$ 50 milhões por infração.  No mais, a ANPD utiliza fatores para definir a gravidade e adequação das sanções, como a reincidência, nível de risco aos direitos fundamentais dos titulares, cooperação do agente para corrigir as irregularidades e impacto causado pela infração. A Autoridade se comprometeu a intensificar sua atuação sancionadora nos próximos anos, o que reforça a necessidade urgente das organizações se adequarem à Lei Geral de Proteção de Dados. As empresas que investirem em segurança da informação e proteção de dados pessoais não apenas evitarão sanções, mas também poderão otimizar processos e fortalecer a confiança dos clientes. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

A Lei nº 13.709, conhecida como  Lei Geral de Proteção de Dados (LGPD), representou um marco na legislação brasileira, regulamentando o uso, a proteção e a transferência de dados pessoais no Brasil. Desde a sua entrada em vigor, em 2020, a conscientização sobre a importância da proteção de dados tem aumentado significativamente, exigindo uma revisão e adequação de políticas internas e processos para garantir a correta adequação à Lei. As penalidades previstas na lei podem ser aplicadas desde 1° de agosto de 2021 pela Autoridade Nacional de Proteção de Dados – ANPD. A LGPD também pode ser invocada no âmbito de processos judiciais para discutir temas relacionados a direitos do consumidor, privacidade, dentre outros. Ao longo dos 4 (quatro) anos iniciais de vigência da lei, há ampla discussão sobre a sua interpretação e aplicação em casos concretos. Nesta esteira, apresentamos precedentes do Superior Tribunal de Justiça (STJ), que tem a competência para consolidação de diretrizes para a interpretação e aplicação da lei, estabelecendo precedentes que refletem as demandas contemporâneas de privacidade e proteção de dados. Decreto sobre bens de agentes públicos não extrapola poder regulamentar Em 2022, a Primeira Turma do STJ, ao julgar o RMS 55.819,  decidiu que o decreto estadual 46.933/2016, que dispõe sobre o dever de agentes públicos disponibilizarem informações sobre seus bens e sua evolução patrimonial, é legal e não viola o direito à privacidade. O mandado de segurança coletivo foi impetrado pelo Sindifisco-MG contra o Estado de Minas Gerais, contestando a legalidade do Decreto 46.933/2016. O relator do recurso, o Ministro Gurgel de Faria, argumentou que a inclusão do inciso LXXIX no artigo 5º da Constituição, que assegura a proteção de dados pessoais, está em consonância com a exigência de transparência patrimonial. O ministro enfatizou que essa garantia não é absoluta, pois os agentes públicos têm sua privacidade e intimidade reduzidas e não podem recusar a divulgação de informações sobre a evolução patrimonial. Análise automática de perfis de prestadores de serviço está sujeita à LGPD Em 2024, no julgamento do REsp 2.135.783, a Terceira Turma do STJ reconheceu que informações relacionadas ao descredenciamento de prestadores de serviços, como motoristas de aplicativos, são dados pessoais e, portanto, estão sujeitas à LGPD. No caso em questão, um motorista de aplicativo foi excluído da determinada plataforma por suposto descumprimento de regras, sem qualquer tipo de notificação prévia.  A relatora, a Ministra Nancy Andrighi, esclareceu que o motorista tem o direito de solicitar a revisão de decisões automatizadas que impactam seu perfil profissional, uma vez que a LGPD protege dados usados para formar perfis comportamentais, incluindo reclamações de passageiros.  Titular de dados vazados precisa comprovar dano efetivo ao pedir indenização No julgamento do AREsp 2.130.619, a Segunda Turma reformou uma decisão do Tribunal de Justiça de São Paulo que havia condenado a Eletropaulo ao pagamento de R$5 mil em danos morais pelo vazamento de dados pessoais de uma cliente. O relator, Ministro Francisco Falcão, apontou que, embora o vazamento de informações seja uma falha no tratamento de dados, isso não gera automaticamente o direito à indenização. O ministro ressaltou que para haver indenização, é necessário a demonstração de efetivo prejuízo. Provedores devem fornecer dados de quem postou vídeo ofensivo a pessoa falecida No julgamento do REsp 1.914.596, a Quarta Turma fixou o entendimento de que provedores de internet devem fornecer dados cadastrais (nome, endereço, RG e CPF) dos responsáveis por vídeos ofensivos à memória de pessoa falecida publicados no YouTube.  Ação foi proposta pela irmã e esposa de Marielle Franco contra o Google solicitando a remoção dos vídeos ofensivos e a identificação dos responsáveis pelas publicações. O Relator, Ministro Luis Felipe Salomão, ressaltou que, para o caso em questão,  a privacidade dos usuários que publicaram os vídeos não prevalecia diante dos indícios de conduta ilegal. Bolsa deve excluir dados inseridos sem autorização no perfil de investidor No REsp 2.092.096, o STJ determinou que a bolsa de valores B3 deve excluir dados alterados no perfil de um investidor após acesso não autorizado. Conforme afirmou a relatora, a Ministra Nancy Andrighi, ao manter um sistema que armazena e utiliza dados dos investidores, tais como nome, CPF, email e telefone, a bolsa de valores realiza operação de tratamento de dados pessoais, razão pela qual se sujeita às normas da LGPD.  Instituição financeira responde por tratamento indevido de dados usados em golpe A Terceira Turma decidiu, no REsp 2.077.278, de relatoria da Ministra Nancy Andrighi, que a instituição financeira é responsável por falhas no tratamento de dados bancários que possibilitam a ocorrência de golpes contra consumidores.  No caso em questão, uma cliente foi vítima de estelionato após receber orientações falsas sobre a quitação de um financiamento, baseado em dados obtidos indevidamente. A relatora argumentou que as instituições financeiras têm a obrigação de preservar o sigilo de operações bancárias e que falhas na proteção desses dados configuram defeito na prestação de serviços, sendo necessário a responsabilização pelos danos causados.  Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.