{"id":33,"date":"2021-11-23T16:21:53","date_gmt":"2021-11-23T13:21:53","guid":{"rendered":"https:\/\/privacidade.interland.com.br\/site\/?page_id=33"},"modified":"2022-04-10T17:26:19","modified_gmt":"2022-04-10T14:26:19","slug":"lgpd","status":"publish","type":"page","link":"https:\/\/dev.situati.com.br\/privacidade\/lgpd\/","title":{"rendered":"LGPD"},"content":{"rendered":"\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Lei Geral de Prote\u00e7\u00e3o de Dados Pessoais<\/h1>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t
LEI No. 13.709, DE 14 DE AGOSTO DE 2018<\/h5>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t
<\/div>\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t
\n\t\t\t
<\/div>\n\t\t<\/div>\n\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t
\n\t\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

LEI No. 13.709, DE 14 DE AGOSTO DE 2018<\/p>

Disp\u00f5e sobre a prote\u00e7\u00e3o de dados pessoais e altera a\u00a0Lei n\u00ba 12.965, de 23 de abril de 2014\u00a0(Marco Civil da Internet).<\/p>

CAP\u00cdTULO I<\/p>

DISPOSI\u00c7\u00d5ES PRELIMINARES<\/p>

Art. 1\u00ba Esta Lei disp\u00f5e sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jur\u00eddica de direito p\u00fablico ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.<\/p>

Art. 2\u00ba A disciplina da prote\u00e7\u00e3o de dados pessoais tem como fundamentos:<\/p>

I – o respeito \u00e0 privacidade;<\/p>

II – a autodetermina\u00e7\u00e3o informativa;<\/p>

III – a liberdade de express\u00e3o, de informa\u00e7\u00e3o, de comunica\u00e7\u00e3o e de opini\u00e3o;<\/p>

IV – a inviolabilidade da intimidade, da honra e da imagem;<\/p>

V – o desenvolvimento econ\u00f4mico e tecnol\u00f3gico e a inova\u00e7\u00e3o;<\/p>

VI – a livre iniciativa, a livre concorr\u00eancia e a defesa do consumidor; e<\/p>

VII – os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exerc\u00edcio da cidadania pelas pessoas naturais.<\/p>

Art. 3\u00ba Esta Lei aplica-se a qualquer opera\u00e7\u00e3o de tratamento realizada por pessoa natural ou por pessoa jur\u00eddica de direito p\u00fablico ou privado, independentemente do meio, do pa\u00eds de sua sede ou do pa\u00eds onde estejam localizados os dados, desde que:<\/p>

I – a opera\u00e7\u00e3o de tratamento seja realizada no territ\u00f3rio nacional;<\/p>

II – a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou servi\u00e7os ou o tratamento de dados de indiv\u00edduos localizados no territ\u00f3rio nacional;<\/p>

III – os dados pessoais objeto do tratamento tenham sido coletados no territ\u00f3rio nacional.<\/p>

\u00a7 1\u00ba Consideram-se coletados no territ\u00f3rio nacional os dados pessoais cujo titular nele se encontre no momento da coleta.<\/p>

\u00a7 2\u00ba Excetua-se do disposto no inciso I deste artigo o tratamento de dados previsto no inciso IV docaput<\/strong>do art. 4\u00ba desta Lei.<\/p>

Art. 4\u00ba Esta Lei n\u00e3o se aplica ao tratamento de dados pessoais:<\/p>

I – realizado por pessoa natural para fins exclusivamente particulares e n\u00e3o econ\u00f4micos;<\/p>

II – realizado para fins exclusivamente:<\/p>

a) jornal\u00edstico e art\u00edsticos; ou<\/p>

b) acad\u00eamicos, aplicando-se a esta hip\u00f3tese os arts. 7\u00ba e 11 desta Lei;<\/p>

III – realizado para fins exclusivos de:<\/p>

a) seguran\u00e7a p\u00fablica;<\/p>

b) defesa nacional;<\/p>

c) seguran\u00e7a do Estado; ou<\/p>

d) atividades de investiga\u00e7\u00e3o e repress\u00e3o de infra\u00e7\u00f5es penais; ou<\/p>

IV – provenientes de fora do territ\u00f3rio nacional e que n\u00e3o sejam objeto de comunica\u00e7\u00e3o, uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transfer\u00eancia internacional de dados com outro pa\u00eds que n\u00e3o o de proveni\u00eancia, desde que o pa\u00eds de proveni\u00eancia proporcione grau de prote\u00e7\u00e3o de dados pessoais adequado ao previsto nesta Lei.<\/p>

\u00a7 1\u00ba O tratamento de dados pessoais previsto no inciso III ser\u00e1 regido por legisla\u00e7\u00e3o espec\u00edfica, que dever\u00e1 prever medidas proporcionais e estritamente necess\u00e1rias ao atendimento do interesse p\u00fablico, observados o devido processo legal, os princ\u00edpios gerais de prote\u00e7\u00e3o e os direitos do titular previstos nesta Lei.<\/p>

\u00a7 2\u00ba \u00c9 vedado o tratamento dos dados a que se refere o inciso III docaput<\/strong>deste artigo por pessoa de direito privado, exceto em procedimentos sob tutela de pessoa jur\u00eddica de direito p\u00fablico, que ser\u00e3o objeto de informe espec\u00edfico \u00e0 autoridade nacional e que dever\u00e3o observar a limita\u00e7\u00e3o imposta no \u00a7 4\u00ba deste artigo.<\/p>

\u00a7 3\u00ba A autoridade nacional emitir\u00e1 opini\u00f5es t\u00e9cnicas ou recomenda\u00e7\u00f5es referentes \u00e0s exce\u00e7\u00f5es previstas no inciso III docaput<\/strong>deste artigo e dever\u00e1 solicitar aos respons\u00e1veis relat\u00f3rios de impacto \u00e0 prote\u00e7\u00e3o de dados pessoais.<\/p>

\u00a7 4\u00ba Em nenhum caso a totalidade dos dados pessoais de banco de dados de que trata o inciso III docaput<\/strong>deste artigo poder\u00e1 ser tratada por pessoa de direito privado.<\/p>

Art. 5\u00ba Para os fins desta Lei, considera-se:<\/p>

I – dado pessoal: informa\u00e7\u00e3o relacionada a pessoa natural identificada ou identific\u00e1vel;<\/p>

II – dado pessoal sens\u00edvel: dado pessoal sobre origem racial ou \u00e9tnica, convic\u00e7\u00e3o religiosa, opini\u00e3o pol\u00edtica, filia\u00e7\u00e3o a sindicato ou a organiza\u00e7\u00e3o de car\u00e1ter religioso, filos\u00f3fico ou pol\u00edtico, dado referente \u00e0 sa\u00fade ou \u00e0 vida sexual, dado gen\u00e9tico ou biom\u00e9trico, quando vinculado a uma pessoa natural;<\/p>

III – dado anonimizado: dado relativo a titular que n\u00e3o possa ser identificado, considerando a utiliza\u00e7\u00e3o de meios t\u00e9cnicos razo\u00e1veis e dispon\u00edveis na ocasi\u00e3o de seu tratamento;<\/p>

IV – banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em v\u00e1rios locais, em suporte eletr\u00f4nico ou f\u00edsico;<\/p>

V – titular: pessoa natural a quem se referem os dados pessoais que s\u00e3o objeto de tratamento;<\/p>

VI – controlador: pessoa natural ou jur\u00eddica, de direito p\u00fablico ou privado, a quem competem as decis\u00f5es referentes ao tratamento de dados pessoais;<\/p>

VII – operador: pessoa natural ou jur\u00eddica, de direito p\u00fablico ou privado, que realiza o tratamento de dados pessoais em nome do controlador;<\/p>

VIII – encarregado: pessoa natural, indicada pelo controlador, que atua como canal de comunica\u00e7\u00e3o entre o controlador e os titulares e a autoridade nacional;<\/p>

IX – agentes de tratamento: o controlador e o operador;<\/p>

X – tratamento: toda opera\u00e7\u00e3o realizada com dados pessoais, como as que se referem a coleta, produ\u00e7\u00e3o, recep\u00e7\u00e3o, classifica\u00e7\u00e3o, utiliza\u00e7\u00e3o, acesso, reprodu\u00e7\u00e3o, transmiss\u00e3o, distribui\u00e7\u00e3o, processamento, arquivamento, armazenamento, elimina\u00e7\u00e3o, avalia\u00e7\u00e3o ou controle da informa\u00e7\u00e3o, modifica\u00e7\u00e3o, comunica\u00e7\u00e3o, transfer\u00eancia, difus\u00e3o ou extra\u00e7\u00e3o;<\/p>

XI – anonimiza\u00e7\u00e3o: utiliza\u00e7\u00e3o de meios t\u00e9cnicos razo\u00e1veis e dispon\u00edveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associa\u00e7\u00e3o, direta ou indireta, a um indiv\u00edduo;<\/p>

XII – consentimento: manifesta\u00e7\u00e3o livre, informada e inequ\u00edvoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;<\/p>

XIII – bloqueio: suspens\u00e3o tempor\u00e1ria de qualquer opera\u00e7\u00e3o de tratamento, mediante guarda do dado pessoal ou do banco de dados;<\/p>

XIV – elimina\u00e7\u00e3o: exclus\u00e3o de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado;<\/p>

XV – transfer\u00eancia internacional de dados: transfer\u00eancia de dados pessoais para pa\u00eds estrangeiro ou organismo internacional do qual o pa\u00eds seja membro;<\/p>

XVI – uso compartilhado de dados: comunica\u00e7\u00e3o, difus\u00e3o, transfer\u00eancia internacional, interconex\u00e3o de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por \u00f3rg\u00e3os e entidades p\u00fablicos no cumprimento de suas compet\u00eancias legais, ou entre esses e entes privados, reciprocamente, com autoriza\u00e7\u00e3o espec\u00edfica, para uma ou mais modalidades de tratamento permitidas por esses entes p\u00fablicos, ou entre entes privados;<\/p>

XVII – relat\u00f3rio de impacto \u00e0 prote\u00e7\u00e3o de dados pessoais: documenta\u00e7\u00e3o do controlador que cont\u00e9m a descri\u00e7\u00e3o dos processos de tratamento de dados pessoais que podem gerar riscos \u00e0s liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitiga\u00e7\u00e3o de risco;<\/p>

XVIII – \u00f3rg\u00e3o de pesquisa: \u00f3rg\u00e3o ou entidade da administra\u00e7\u00e3o p\u00fablica direta ou indireta ou pessoa jur\u00eddica de direito privado sem fins lucrativos legalmente constitu\u00edda sob as leis brasileiras, com sede e foro no Pa\u00eds, que inclua em sua miss\u00e3o institucional ou em seu objetivo social ou estatut\u00e1rio a pesquisa b\u00e1sica ou aplicada de car\u00e1ter hist\u00f3rico, cient\u00edfico, tecnol\u00f3gico ou estat\u00edstico;<\/p>

XIX – autoridade nacional: \u00f3rg\u00e3o da administra\u00e7\u00e3o p\u00fablica indireta respons\u00e1vel por zelar, implementar e fiscalizar o cumprimento desta Lei.<\/p>

Art. 6\u00ba As atividades de tratamento de dados pessoais dever\u00e3o observar a boa-f\u00e9 e os seguintes princ\u00edpios:<\/p>

I – finalidade: realiza\u00e7\u00e3o do tratamento para prop\u00f3sitos leg\u00edtimos, espec\u00edficos, expl\u00edcitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompat\u00edvel com essas finalidades;<\/p>

II – adequa\u00e7\u00e3o: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;<\/p>

III – necessidade: limita\u00e7\u00e3o do tratamento ao m\u00ednimo necess\u00e1rio para a realiza\u00e7\u00e3o de suas finalidades, com abrang\u00eancia dos dados pertinentes, proporcionais e n\u00e3o excessivos em rela\u00e7\u00e3o \u00e0s finalidades do tratamento de dados;<\/p>

IV – livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a dura\u00e7\u00e3o do tratamento, bem como sobre a integralidade de seus dados pessoais;<\/p>

V – qualidade dos dados: garantia, aos titulares, de exatid\u00e3o, clareza, relev\u00e2ncia e atualiza\u00e7\u00e3o dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;<\/p>

VI – transpar\u00eancia: garantia, aos titulares, de informa\u00e7\u00f5es claras, precisas e facilmente acess\u00edveis sobre a realiza\u00e7\u00e3o do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;<\/p>

VII – seguran\u00e7a: utiliza\u00e7\u00e3o de medidas t\u00e9cnicas e administrativas aptas a proteger os dados pessoais de acessos n\u00e3o autorizados e de situa\u00e7\u00f5es acidentais ou il\u00edcitas de destrui\u00e7\u00e3o, perda, altera\u00e7\u00e3o, comunica\u00e7\u00e3o ou difus\u00e3o;<\/p>

VIII – preven\u00e7\u00e3o: ado\u00e7\u00e3o de medidas para prevenir a ocorr\u00eancia de danos em virtude do tratamento de dados pessoais;<\/p>

IX – n\u00e3o discrimina\u00e7\u00e3o: impossibilidade de realiza\u00e7\u00e3o do tratamento para fins discriminat\u00f3rios il\u00edcitos ou abusivos;<\/p>

X – responsabiliza\u00e7\u00e3o e presta\u00e7\u00e3o de contas: demonstra\u00e7\u00e3o, pelo agente, da ado\u00e7\u00e3o de medidas eficazes e capazes de comprovar a observ\u00e2ncia e o cumprimento das normas de prote\u00e7\u00e3o de dados pessoais e, inclusive, da efic\u00e1cia dessas medidas.<\/p>

CAP\u00cdTULO II<\/p>

DO TRATAMENTO DE DADOS PESSOAIS<\/p>

Se\u00e7\u00e3o I<\/strong><\/p>

Dos Requisitos para o Tratamento de Dados Pessoais<\/p>

Art. 7\u00ba O tratamento de dados pessoais somente poder\u00e1 ser realizado nas seguintes hip\u00f3teses:<\/p>

I – mediante o fornecimento de consentimento pelo titular;<\/p>

II – para o cumprimento de obriga\u00e7\u00e3o legal ou regulat\u00f3ria pelo controlador;<\/p>

III – pela administra\u00e7\u00e3o p\u00fablica, para o tratamento e uso compartilhado de dados necess\u00e1rios \u00e0 execu\u00e7\u00e3o de pol\u00edticas p\u00fablicas previstas em leis e regulamentos ou respaldadas em contratos, conv\u00eanios ou instrumentos cong\u00eaneres, observadas as disposi\u00e7\u00f5es do Cap\u00edtulo IV desta Lei;<\/p>

IV – para a realiza\u00e7\u00e3o de estudos por \u00f3rg\u00e3o de pesquisa, garantida, sempre que poss\u00edvel, a anonimiza\u00e7\u00e3o dos dados pessoais;<\/p>

V – quando necess\u00e1rio para a execu\u00e7\u00e3o de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;<\/p>

VI – para o exerc\u00edcio regular de direitos em processo judicial, administrativo ou arbitral, esse \u00faltimo nos termos da Lei n\u00ba 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);<\/p>

VII – para a prote\u00e7\u00e3o da vida ou da incolumidade f\u00edsica do titular ou de terceiro;<\/p>

VIII – para a tutela da sa\u00fade, em procedimento realizado por profissionais da \u00e1rea da sa\u00fade ou por entidades sanit\u00e1rias;<\/p>

IX – quando necess\u00e1rio para atender aos interesses leg\u00edtimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a prote\u00e7\u00e3o dos dados pessoais; ou<\/p>

X – para a prote\u00e7\u00e3o do cr\u00e9dito, inclusive quanto ao disposto na legisla\u00e7\u00e3o pertinente.<\/p>

\u00a7 1\u00ba Nos casos de aplica\u00e7\u00e3o do disposto nos incisos II e III docaput<\/strong>deste artigo e excetuadas as hip\u00f3teses previstas no art. 4\u00ba desta Lei, o titular ser\u00e1 informado das hip\u00f3teses em que ser\u00e1 admitido o tratamento de seus dados.<\/p>

\u00a7 2\u00ba A forma de disponibiliza\u00e7\u00e3o das informa\u00e7\u00f5es previstas no \u00a7 1\u00ba e no inciso I docaput<\/strong>do art. 23 desta Lei poder\u00e1 ser especificada pela autoridade nacional.<\/p>

\u00a7 3\u00ba O tratamento de dados pessoais cujo acesso \u00e9 p\u00fablico deve considerar a finalidade, a boa-f\u00e9 e o interesse p\u00fablico que justificaram sua disponibiliza\u00e7\u00e3o.<\/p>

\u00a7 4\u00ba \u00c9 dispensada a exig\u00eancia do consentimento previsto nocaput<\/strong>deste artigo para os dados tornados manifestamente p\u00fablicos pelo titular, resguardados os direitos do titular e os princ\u00edpios previstos nesta Lei.<\/p>

\u00a7 5\u00ba O controlador que obteve o consentimento referido no inciso I docaput<\/strong>deste artigo que necessitar comunicar ou compartilhar dados pessoais com outros controladores dever\u00e1 obter consentimento espec\u00edfico do titular para esse fim, ressalvadas as hip\u00f3teses de dispensa do consentimento previstas nesta Lei.<\/p>

\u00a7 6\u00ba A eventual dispensa da exig\u00eancia do consentimento n\u00e3o desobriga os agentes de tratamento das demais obriga\u00e7\u00f5es previstas nesta Lei, especialmente da observ\u00e2ncia dos princ\u00edpios gerais e da garantia dos direitos do titular.<\/p>

Art. 8\u00ba O consentimento previsto no inciso I do art. 7\u00ba desta Lei dever\u00e1 ser fornecido por escrito ou por outro meio que demonstre a manifesta\u00e7\u00e3o de vontade do titular.<\/p>

\u00a7 1\u00ba Caso o consentimento seja fornecido por escrito, esse dever\u00e1 constar de cl\u00e1usula destacada das demais cl\u00e1usulas contratuais.<\/p>

\u00a7 2\u00ba Cabe ao controlador o \u00f4nus da prova de que o consentimento foi obtido em conformidade com o disposto nesta Lei.<\/p>

\u00a7 3\u00ba \u00c9 vedado o tratamento de dados pessoais mediante v\u00edcio de consentimento.<\/p>

\u00a7 4\u00ba O consentimento dever\u00e1 referir-se a finalidades determinadas, e as autoriza\u00e7\u00f5es gen\u00e9ricas para o tratamento de dados pessoais ser\u00e3o nulas.<\/p>

\u00a7 5\u00ba O consentimento pode ser revogado a qualquer momento mediante manifesta\u00e7\u00e3o expressa do titular, por procedimento gratuito e facilitado, ratificados os tratamentos realizados sob amparo do consentimento anteriormente manifestado enquanto n\u00e3o houver requerimento de elimina\u00e7\u00e3o, nos termos do inciso VI docaput<\/strong>do art. 18 desta Lei.<\/p>

\u00a7 6\u00ba Em caso de altera\u00e7\u00e3o de informa\u00e7\u00e3o referida nos incisos I, II, III ou V do art. 9\u00ba desta Lei, o controlador dever\u00e1 informar ao titular, com destaque de forma espec\u00edfica do teor das altera\u00e7\u00f5es, podendo o titular, nos casos em que o seu consentimento \u00e9 exigido, revog\u00e1-lo caso discorde da altera\u00e7\u00e3o.<\/p>

Art. 9\u00ba O titular tem direito ao acesso facilitado \u00e0s informa\u00e7\u00f5es sobre o tratamento de seus dados, que dever\u00e3o ser disponibilizadas de forma clara, adequada e ostensiva acerca de, entre outras caracter\u00edsticas previstas em regulamenta\u00e7\u00e3o para o atendimento do princ\u00edpio do livre acesso:<\/p>

I – finalidade espec\u00edfica do tratamento;<\/p>

II – forma e dura\u00e7\u00e3o do tratamento, observados os segredos comercial e industrial;<\/p>

III – identifica\u00e7\u00e3o do controlador;<\/p>

IV – informa\u00e7\u00f5es de contato do controlador;<\/p>

V – informa\u00e7\u00f5es acerca do uso compartilhado de dados pelo controlador e a finalidade;<\/p>

VI – responsabilidades dos agentes que realizar\u00e3o o tratamento; e<\/p>

VII – direitos do titular, com men\u00e7\u00e3o expl\u00edcita aos direitos contidos no art. 18 desta Lei.<\/p>

\u00a7 1\u00ba Na hip\u00f3tese em que o consentimento \u00e9 requerido, esse ser\u00e1 considerado nulo caso as informa\u00e7\u00f5es fornecidas ao titular tenham conte\u00fado enganoso ou abusivo ou n\u00e3o tenham sido apresentadas previamente com transpar\u00eancia, de forma clara e inequ\u00edvoca.<\/p>

\u00a7 2\u00ba Na hip\u00f3tese em que o consentimento \u00e9 requerido, se houver mudan\u00e7as da finalidade para o tratamento de dados pessoais n\u00e3o compat\u00edveis com o consentimento original, o controlador dever\u00e1 informar previamente o titular sobre as mudan\u00e7as de finalidade, podendo o titular revogar o consentimento, caso discorde das altera\u00e7\u00f5es.<\/p>

\u00a7 3\u00ba Quando o tratamento de dados pessoais for condi\u00e7\u00e3o para o fornecimento de produto ou de servi\u00e7o ou para o exerc\u00edcio de direito, o titular ser\u00e1 informado com destaque sobre esse fato e sobre os meios pelos quais poder\u00e1 exercer os direitos do titular elencados no art. 18 desta Lei.<\/p>

Art. 10. O leg\u00edtimo interesse do controlador somente poder\u00e1 fundamentar tratamento de dados pessoais para finalidades leg\u00edtimas, consideradas a partir de situa\u00e7\u00f5es concretas, que incluem, mas n\u00e3o se limitam a:<\/p>

I – apoio e promo\u00e7\u00e3o de atividades do controlador; e<\/p>

II – prote\u00e7\u00e3o, em rela\u00e7\u00e3o ao titular, do exerc\u00edcio regular de seus direitos ou presta\u00e7\u00e3o de servi\u00e7os que o beneficiem, respeitadas as leg\u00edtimas expectativas dele e os direitos e liberdades fundamentais, nos termos desta Lei.<\/p>

\u00a7 1\u00ba Quando o tratamento for baseado no leg\u00edtimo interesse do controlador, somente os dados pessoais estritamente necess\u00e1rios para a finalidade pretendida poder\u00e3o ser tratados.<\/p>

\u00a7 2\u00ba O controlador dever\u00e1 adotar medidas para garantir a transpar\u00eancia do tratamento de dados baseado em seu leg\u00edtimo interesse.<\/p>

\u00a7 3\u00ba A autoridade nacional poder\u00e1 solicitar ao controlador relat\u00f3rio de impacto \u00e0 prote\u00e7\u00e3o de dados pessoais, quando o tratamento tiver como fundamento seu interesse leg\u00edtimo, observados os segredos comercial e industrial.<\/p>

Se\u00e7\u00e3o II<\/strong><\/p>

Do Tratamento de Dados Pessoais Sens\u00edveis<\/p>

Art. 11. O tratamento de dados pessoais sens\u00edveis somente poder\u00e1 ocorrer nas seguintes hip\u00f3teses:<\/p>

I – quando o titular ou seu respons\u00e1vel legal consentir, de forma espec\u00edfica e destacada, para finalidades espec\u00edficas;<\/p>

II – sem fornecimento de consentimento do titular, nas hip\u00f3teses em que for indispens\u00e1vel para:<\/p>

a) cumprimento de obriga\u00e7\u00e3o legal ou regulat\u00f3ria pelo controlador;<\/p>

b) tratamento compartilhado de dados necess\u00e1rios \u00e0 execu\u00e7\u00e3o, pela administra\u00e7\u00e3o p\u00fablica, de pol\u00edticas p\u00fablicas previstas em leis ou regulamentos;<\/p>

c) realiza\u00e7\u00e3o de estudos por \u00f3rg\u00e3o de pesquisa, garantida, sempre que poss\u00edvel, a anonimiza\u00e7\u00e3o dos dados pessoais sens\u00edveis;<\/p>

d) exerc\u00edcio regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este \u00faltimo nos termos da Lei n\u00ba 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);<\/p>

e) prote\u00e7\u00e3o da vida ou da incolumidade f\u00edsica do titular ou de terceiro;<\/p>

f) tutela da sa\u00fade, em procedimento realizado por profissionais da \u00e1rea da sa\u00fade ou por entidades sanit\u00e1rias; ou<\/p>

g) garantia da preven\u00e7\u00e3o \u00e0 fraude e \u00e0 seguran\u00e7a do titular, nos processos de identifica\u00e7\u00e3o e autentica\u00e7\u00e3o de cadastro em sistemas eletr\u00f4nicos, resguardados os direitos mencionados no art. 9\u00ba desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a prote\u00e7\u00e3o dos dados pessoais.<\/p>

\u00a7 1\u00ba Aplica-se o disposto neste artigo a qualquer tratamento de dados pessoais que revele dados pessoais sens\u00edveis e que possa causar dano ao titular, ressalvado o disposto em legisla\u00e7\u00e3o espec\u00edfica.<\/p>

\u00a7 2\u00ba Nos casos de aplica\u00e7\u00e3o do disposto nas al\u00edneas “a” e “b” do inciso II docaput<\/strong>deste artigo pelos \u00f3rg\u00e3os e pelas entidades p\u00fablicas, ser\u00e1 dada publicidade \u00e0 referida dispensa de consentimento, nos termos do inciso I do caput do art. 23 desta Lei.<\/p>

\u00a7 3\u00ba A comunica\u00e7\u00e3o ou o uso compartilhado de dados pessoais sens\u00edveis entre controladores com objetivo de obter vantagem econ\u00f4mica poder\u00e1 ser objeto de veda\u00e7\u00e3o ou de regulamenta\u00e7\u00e3o por parte da autoridade nacional, ouvidos os \u00f3rg\u00e3os setoriais do Poder P\u00fablico, no \u00e2mbito de suas compet\u00eancias.<\/p>

\u00a7 4\u00ba \u00c9 vedada a comunica\u00e7\u00e3o ou o uso compartilhado entre controladores de dados pessoais sens\u00edveis referentes \u00e0 sa\u00fade com objetivo de obter vantagem econ\u00f4mica, exceto nos casos de portabilidade de dados quando consentido pelo titular.<\/p>

Art. 12. Os dados anonimizados n\u00e3o ser\u00e3o considerados dados pessoais para os fins desta Lei, salvo quando o processo de anonimiza\u00e7\u00e3o ao qual foram submetidos for revertido, utilizando exclusivamente meios pr\u00f3prios, ou quando, com esfor\u00e7os razo\u00e1veis, puder ser revertido.<\/p>

\u00a7 1\u00ba A determina\u00e7\u00e3o do que seja razo\u00e1vel deve levar em considera\u00e7\u00e3o fatores objetivos, tais como custo e tempo necess\u00e1rios para reverter o processo de anonimiza\u00e7\u00e3o, de acordo com as tecnologias dispon\u00edveis, e a utiliza\u00e7\u00e3o exclusiva de meios pr\u00f3prios.<\/p>

\u00a7 2\u00ba Poder\u00e3o ser igualmente considerados como dados pessoais, para os fins desta Lei, aqueles utilizados para forma\u00e7\u00e3o do perfil comportamental de determinada pessoa natural, se identificada.<\/p>

\u00a7 3\u00ba A autoridade nacional poder\u00e1 dispor sobre padr\u00f5es e t\u00e9cnicas utilizados em processos de anonimiza\u00e7\u00e3o e realizar verifica\u00e7\u00f5es acerca de sua seguran\u00e7a, ouvido o Conselho Nacional de Prote\u00e7\u00e3o de Dados Pessoais.<\/p>

Art. 13. Na realiza\u00e7\u00e3o de estudos em sa\u00fade p\u00fablica, os \u00f3rg\u00e3os de pesquisa poder\u00e3o ter acesso a bases de dados pessoais, que ser\u00e3o tratados exclusivamente dentro do \u00f3rg\u00e3o e estritamente para a finalidade de realiza\u00e7\u00e3o de estudos e pesquisas e mantidos em ambiente controlado e seguro, conforme pr\u00e1ticas de seguran\u00e7a previstas em regulamento espec\u00edfico e que incluam, sempre que poss\u00edvel, a anonimiza\u00e7\u00e3o ou pseudonimiza\u00e7\u00e3o dos dados, bem como considerem os devidos padr\u00f5es \u00e9ticos relacionados a estudos e pesquisas.<\/p>

\u00a7 1\u00ba A divulga\u00e7\u00e3o dos resultados ou de qualquer excerto do estudo ou da pesquisa de que trata ocaput<\/strong>deste artigo em nenhuma hip\u00f3tese poder\u00e1 revelar dados pessoais.<\/p>

\u00a7 2\u00ba O \u00f3rg\u00e3o de pesquisa ser\u00e1 o respons\u00e1vel pela seguran\u00e7a da informa\u00e7\u00e3o prevista nocaput<\/strong>deste artigo, n\u00e3o permitida, em circunst\u00e2ncia alguma, a transfer\u00eancia dos dados a terceiro.<\/p>

\u00a7 3\u00ba O acesso aos dados de que trata este artigo ser\u00e1 objeto de regulamenta\u00e7\u00e3o por parte da autoridade nacional e das autoridades da \u00e1rea de sa\u00fade e sanit\u00e1rias, no \u00e2mbito de suas compet\u00eancias.<\/p>

\u00a7 4\u00ba Para os efeitos deste artigo, a pseudonimiza\u00e7\u00e3o \u00e9 o tratamento por meio do qual um dado perde a possibilidade de associa\u00e7\u00e3o, direta ou indireta, a um indiv\u00edduo, sen\u00e3o pelo uso de informa\u00e7\u00e3o adicional mantida separadamente pelo controlador em ambiente controlado e seguro.<\/p>

Se\u00e7\u00e3o III<\/strong><\/p>

Do Tratamento de Dados Pessoais de Crian\u00e7as e de Adolescentes<\/p>

Art. 14. O tratamento de dados pessoais de crian\u00e7as e de adolescentes dever\u00e1 ser realizado em seu melhor interesse, nos termos deste artigo e da legisla\u00e7\u00e3o pertinente.<\/p>

\u00a7 1\u00ba O tratamento de dados pessoais de crian\u00e7as dever\u00e1 ser realizado com o consentimento espec\u00edfico e em destaque dado por pelo menos um dos pais ou pelo respons\u00e1vel legal.<\/p>

\u00a7 2\u00ba No tratamento de dados de que trata o \u00a7 1\u00ba deste artigo, os controladores dever\u00e3o manter p\u00fablica a informa\u00e7\u00e3o sobre os tipos de dados coletados, a forma de sua utiliza\u00e7\u00e3o e os procedimentos para o exerc\u00edcio dos direitos a que se refere o art. 18 desta Lei.<\/p>

\u00a7 3\u00ba Poder\u00e3o ser coletados dados pessoais de crian\u00e7as sem o consentimento a que se refere o \u00a7 1\u00ba deste artigo quando a coleta for necess\u00e1ria para contatar os pais ou o respons\u00e1vel legal, utilizados uma \u00fanica vez e sem armazenamento, ou para sua prote\u00e7\u00e3o, e em nenhum caso poder\u00e3o ser repassados a terceiro sem o consentimento de que trata o \u00a7 1\u00ba deste artigo.<\/p>

\u00a7 4\u00ba Os controladores n\u00e3o dever\u00e3o condicionar a participa\u00e7\u00e3o dos titulares de que trata o \u00a7 1\u00ba deste artigo em jogos, aplica\u00e7\u00f5es de internet ou outras atividades ao fornecimento de informa\u00e7\u00f5es pessoais al\u00e9m das estritamente necess\u00e1rias \u00e0 atividade.<\/p>

\u00a7 5\u00ba O controlador deve realizar todos os esfor\u00e7os razo\u00e1veis para verificar que o consentimento a que se refere o \u00a7 1\u00ba deste artigo foi dado pelo respons\u00e1vel pela crian\u00e7a, consideradas as tecnologias dispon\u00edveis.<\/p>

\u00a7 6\u00ba As informa\u00e7\u00f5es sobre o tratamento de dados referidas neste artigo dever\u00e3o ser fornecidas de maneira simples, clara e acess\u00edvel, consideradas as caracter\u00edsticas f\u00edsico-motoras, perceptivas, sensoriais, intelectuais e mentais do usu\u00e1rio, com uso de recursos audiovisuais quando adequado, de forma a proporcionar a informa\u00e7\u00e3o necess\u00e1ria aos pais ou ao respons\u00e1vel legal e adequada ao entendimento da crian\u00e7a.<\/p>

Se\u00e7\u00e3o IV<\/strong><\/p>

Do T\u00e9rmino do Tratamento de Dados<\/p>

Art. 15. O t\u00e9rmino do tratamento de dados pessoais ocorrer\u00e1 nas seguintes hip\u00f3teses:<\/p>

I – verifica\u00e7\u00e3o de que a finalidade foi alcan\u00e7ada ou de que os dados deixaram de ser necess\u00e1rios ou pertinentes ao alcance da finalidade espec\u00edfica almejada;<\/p>

II – fim do per\u00edodo de tratamento;<\/p>

III – comunica\u00e7\u00e3o do titular, inclusive no exerc\u00edcio de seu direito de revoga\u00e7\u00e3o do consentimento conforme disposto no \u00a7 5\u00ba do art. 8\u00ba desta Lei, resguardado o interesse p\u00fablico; ou<\/p>

IV – determina\u00e7\u00e3o da autoridade nacional, quando houver viola\u00e7\u00e3o ao disposto nesta Lei.<\/p>

Art. 16. Os dados pessoais ser\u00e3o eliminados ap\u00f3s o t\u00e9rmino de seu tratamento, no \u00e2mbito e nos limites t\u00e9cnicos das atividades, autorizada a conserva\u00e7\u00e3o para as seguintes finalidades:<\/p>

I – cumprimento de obriga\u00e7\u00e3o legal ou regulat\u00f3ria pelo controlador;<\/p>

II – estudo por \u00f3rg\u00e3o de pesquisa, garantida, sempre que poss\u00edvel, a anonimiza\u00e7\u00e3o dos dados pessoais;<\/p>

III – transfer\u00eancia a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta Lei; ou<\/p>

IV – uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.<\/p>

CAP\u00cdTULO III<\/p>

DOS DIREITOS DO TITULAR<\/p>

Art. 17. Toda pessoa natural tem assegurada a titularidade de seus dados pessoais e garantidos os direitos fundamentais de liberdade, de intimidade e de privacidade, nos termos desta Lei.<\/p>

Art. 18. O titular dos dados pessoais tem direito a obter do controlador, em rela\u00e7\u00e3o aos dados do titular por ele tratados, a qualquer momento e mediante requisi\u00e7\u00e3o:<\/p>

I – confirma\u00e7\u00e3o da exist\u00eancia de tratamento;<\/p>

II – acesso aos dados;<\/p>

III – corre\u00e7\u00e3o de dados incompletos, inexatos ou desatualizados;<\/p>

IV – anonimiza\u00e7\u00e3o, bloqueio ou elimina\u00e7\u00e3o de dados desnecess\u00e1rios, excessivos ou tratados em desconformidade com o disposto nesta Lei;<\/p>

V – portabilidade dos dados a outro fornecedor de servi\u00e7o ou produto, mediante requisi\u00e7\u00e3o expressa e observados os segredos comercial e industrial, de acordo com a regulamenta\u00e7\u00e3o do \u00f3rg\u00e3o controlador;<\/p>

VI – elimina\u00e7\u00e3o dos dados pessoais tratados com o consentimento do titular, exceto nas hip\u00f3teses previstas no art. 16 desta Lei;<\/p>

VII – informa\u00e7\u00e3o das entidades p\u00fablicas e privadas com as quais o controlador realizou uso compartilhado de dados;<\/p>

VIII – informa\u00e7\u00e3o sobre a possibilidade de n\u00e3o fornecer consentimento e sobre as consequ\u00eancias da negativa;<\/p>

IX – revoga\u00e7\u00e3o do consentimento, nos termos do \u00a7 5\u00ba do art. 8\u00ba desta Lei.<\/p>

\u00a7 1\u00ba O titular dos dados pessoais tem o direito de peticionar em rela\u00e7\u00e3o aos seus dados contra o controlador perante a autoridade nacional.<\/p>

\u00a7 2\u00ba O titular pode opor-se a tratamento realizado com fundamento em uma das hip\u00f3teses de dispensa de consentimento, em caso de descumprimento ao disposto nesta Lei.<\/p>

\u00a7 3\u00ba Os direitos previstos neste artigo ser\u00e3o exercidos mediante requerimento expresso do titular ou de representante legalmente constitu\u00eddo, a agente de tratamento.<\/p>

\u00a7 4\u00ba Em caso de impossibilidade de ado\u00e7\u00e3o imediata da provid\u00eancia de que trata o \u00a7 3\u00ba deste artigo, o controlador enviar\u00e1 ao titular resposta em que poder\u00e1:<\/p>

I – comunicar que n\u00e3o \u00e9 agente de tratamento dos dados e indicar, sempre que poss\u00edvel, o agente; ou<\/p>

II – indicar as raz\u00f5es de fato ou de direito que impedem a ado\u00e7\u00e3o imediata da provid\u00eancia.<\/p>

\u00a7 5\u00ba O requerimento referido no \u00a7 3\u00ba deste artigo ser\u00e1 atendido sem custos para o titular, nos prazos e nos termos previstos em regulamento.<\/p>

\u00a7 6\u00ba O respons\u00e1vel dever\u00e1 informar de maneira imediata aos agentes de tratamento com os quais tenha realizado uso compartilhado de dados a corre\u00e7\u00e3o, a elimina\u00e7\u00e3o, a anonimiza\u00e7\u00e3o ou o bloqueio dos dados, para que repitam id\u00eantico procedimento.<\/p>

\u00a7 7\u00ba A portabilidade dos dados pessoais a que se refere o inciso V docaput<\/strong>deste artigo n\u00e3o inclui dados que j\u00e1 tenham sido anonimizados pelo controlador.<\/p>

\u00a7 8\u00ba O direito a que se refere o \u00a7 1\u00ba deste artigo tamb\u00e9m poder\u00e1 ser exercido perante os organismos de defesa do consumidor.<\/p>

Art. 19. A confirma\u00e7\u00e3o de exist\u00eancia ou o acesso a dados pessoais ser\u00e3o providenciados, mediante requisi\u00e7\u00e3o do titular:<\/p>

I – em formato simplificado, imediatamente; ou<\/p>

II – por meio de declara\u00e7\u00e3o clara e completa, que indique a origem dos dados, a inexist\u00eancia de registro, os crit\u00e9rios utilizados e a finalidade do tratamento, observados os segredos comercial e industrial, fornecida no prazo de at\u00e9 15 (quinze) dias, contado da data do requerimento do titular.<\/p>

\u00a7 1\u00ba Os dados pessoais ser\u00e3o armazenados em formato que favore\u00e7a o exerc\u00edcio do direito de acesso.<\/p>

\u00a7 2\u00ba As informa\u00e7\u00f5es e os dados poder\u00e3o ser fornecidos, a crit\u00e9rio do titular:<\/p>

I – por meio eletr\u00f4nico, seguro e id\u00f4neo para esse fim; ou<\/p>

II – sob forma impressa.<\/p>

\u00a7 3\u00ba Quando o tratamento tiver origem no consentimento do titular ou em contrato, o titular poder\u00e1 solicitar c\u00f3pia eletr\u00f4nica integral de seus dados pessoais, observados os segredos comercial e industrial, nos termos de regulamenta\u00e7\u00e3o da autoridade nacional, em formato que permita a sua utiliza\u00e7\u00e3o subsequente, inclusive em outras opera\u00e7\u00f5es de tratamento.<\/p>

\u00a7 4\u00ba A autoridade nacional poder\u00e1 dispor de forma diferenciada acerca dos prazos previstos nos incisos I e II docaput<\/strong>deste artigo para os setores espec\u00edficos.<\/p>

Art. 20. O titular dos dados tem direito a solicitar revis\u00e3o, por pessoa natural, de decis\u00f5es tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, inclusive de decis\u00f5es destinadas a definir o seu perfil pessoal, profissional, de consumo e de cr\u00e9dito ou os aspectos de sua personalidade.<\/p>

\u00a7 1\u00ba O controlador dever\u00e1 fornecer, sempre que solicitadas, informa\u00e7\u00f5es claras e adequadas a respeito dos crit\u00e9rios e dos procedimentos utilizados para a decis\u00e3o automatizada, observados os segredos comercial e industrial.<\/p>

\u00a7 2\u00ba Em caso de n\u00e3o oferecimento de informa\u00e7\u00f5es de que trata o \u00a7 1\u00ba deste artigo baseado na observ\u00e2ncia de segredo comercial e industrial, a autoridade nacional poder\u00e1 realizar auditoria para verifica\u00e7\u00e3o de aspectos discriminat\u00f3rios em tratamento automatizado de dados pessoais.<\/p>

Art. 21. Os dados pessoais referentes ao exerc\u00edcio regular de direitos pelo titular n\u00e3o podem ser utilizados em seu preju\u00edzo.<\/p>

Art. 22. A defesa dos interesses e dos direitos dos titulares de dados poder\u00e1 ser exercida em ju\u00edzo, individual ou coletivamente, na forma do disposto na legisla\u00e7\u00e3o pertinente, acerca dos instrumentos de tutela individual e coletiva.<\/p>

CAP\u00cdTULO IV<\/p>

DO TRATAMENTO DE DADOS PESSOAIS PELO PODER P\u00daBLICO<\/p>

Se\u00e7\u00e3o I<\/strong><\/p>

Das Regras<\/p>

Art. 23. O tratamento de dados pessoais pelas pessoas jur\u00eddicas de direito p\u00fablico referidas no par\u00e1grafo \u00fanico do art. 1\u00ba da Lei n\u00ba 12.527, de 18 de novembro de 2011 (Lei de Acesso \u00e0 Informa\u00e7\u00e3o), dever\u00e1 ser realizado para o atendimento de sua finalidade p\u00fablica, na persecu\u00e7\u00e3o do interesse p\u00fablico, com o objetivo de executar as compet\u00eancias legais ou cumprir as atribui\u00e7\u00f5es legais do servi\u00e7o p\u00fablico, desde que:<\/p>

I – sejam informadas as hip\u00f3teses em que, no exerc\u00edcio de suas compet\u00eancias, realizam o tratamento de dados pessoais, fornecendo informa\u00e7\u00f5es claras e atualizadas sobre a previs\u00e3o legal, a finalidade, os procedimentos e as pr\u00e1ticas utilizadas para a execu\u00e7\u00e3o dessas atividades, em ve\u00edculos de f\u00e1cil acesso, preferencialmente em seus s\u00edtios eletr\u00f4nicos;<\/p>

II – (VETADO); e<\/p>

III – seja indicado um encarregado quando realizarem opera\u00e7\u00f5es de tratamento de dados pessoais, nos termos do art. 39 desta Lei.<\/p>

\u00a7 1\u00ba A autoridade nacional poder\u00e1 dispor sobre as formas de publicidade das opera\u00e7\u00f5es de tratamento.<\/p>

\u00a7 2\u00ba O disposto nesta Lei n\u00e3o dispensa as pessoas jur\u00eddicas mencionadas nocaput<\/strong>deste artigo de instituir as autoridades de que trata a Lei n\u00ba 12.527, de 18 de novembro de 2011 (Lei de Acesso \u00e0 Informa\u00e7\u00e3o).<\/p>

\u00a7 3\u00ba Os prazos e procedimentos para exerc\u00edcio dos direitos do titular perante o Poder P\u00fablico observar\u00e3o o disposto em legisla\u00e7\u00e3o espec\u00edfica, em especial as disposi\u00e7\u00f5es constantes da Lei n\u00ba 9.507, de 12 de novembro de 1997 (Lei do Habeas Data), da Lei n\u00ba 9.784, de 29 de janeiro de 1999 (Lei Geral do Processo Administrativo), e da Lei n\u00ba 12.527, de 18 de novembro de 2011 (Lei de Acesso \u00e0 Informa\u00e7\u00e3o).<\/p>

\u00a7 4\u00ba Os servi\u00e7os notariais e de registro exercidos em car\u00e1ter privado, por delega\u00e7\u00e3o do Poder P\u00fablico, ter\u00e3o o mesmo tratamento dispensado \u00e0s pessoas jur\u00eddicas referidas nocaput<\/strong>deste artigo, nos termos desta Lei.<\/p>

\u00a7 5\u00ba Os \u00f3rg\u00e3os notariais e de registro devem fornecer acesso aos dados por meio eletr\u00f4nico para a administra\u00e7\u00e3o p\u00fablica, tendo em vista as finalidades de que trata ocaput<\/strong>deste artigo.<\/p>

Art. 24. As empresas p\u00fablicas e as sociedades de economia mista que atuam em regime de concorr\u00eancia, sujeitas ao disposto no art. 173 da Constitui\u00e7\u00e3o Federal, ter\u00e3o o mesmo tratamento dispensado \u00e0s pessoas jur\u00eddicas de direito privado particulares, nos termos desta Lei.<\/p>

Par\u00e1grafo \u00fanico. As empresas p\u00fablicas e as sociedades de economia mista, quando estiverem operacionalizando pol\u00edticas p\u00fablicas e no \u00e2mbito da execu\u00e7\u00e3o delas, ter\u00e3o o mesmo tratamento dispensado aos \u00f3rg\u00e3os e \u00e0s entidades do Poder P\u00fablico, nos termos deste Cap\u00edtulo.<\/p>

Art. 25. Os dados dever\u00e3o ser mantidos em formato interoper\u00e1vel e estruturado para o uso compartilhado, com vistas \u00e0 execu\u00e7\u00e3o de pol\u00edticas p\u00fablicas, \u00e0 presta\u00e7\u00e3o de servi\u00e7os p\u00fablicos, \u00e0 descentraliza\u00e7\u00e3o da atividade p\u00fablica e \u00e0 dissemina\u00e7\u00e3o e ao acesso das informa\u00e7\u00f5es pelo p\u00fablico em geral.<\/p>

Art. 26. O uso compartilhado de dados pessoais pelo Poder P\u00fablico deve atender a finalidades espec\u00edficas de execu\u00e7\u00e3o de pol\u00edticas p\u00fablicas e atribui\u00e7\u00e3o legal pelos \u00f3rg\u00e3os e pelas entidades p\u00fablicas, respeitados os princ\u00edpios de prote\u00e7\u00e3o de dados pessoais elencados no art. 6\u00ba desta Lei.<\/p>

\u00a7 1\u00ba \u00c9 vedado ao Poder P\u00fablico transferir a entidades privadas dados pessoais constantes de bases de dados a que tenha acesso, exceto:<\/p>

I – em casos de execu\u00e7\u00e3o descentralizada de atividade p\u00fablica que exija a transfer\u00eancia, exclusivamente para esse fim espec\u00edfico e determinado, observado o disposto na Lei n\u00ba 12.527, de 18 de novembro de 2011 (Lei de Acesso \u00e0 Informa\u00e7\u00e3o);<\/p>

II – (VETADO);<\/p>

III – nos casos em que os dados forem acess\u00edveis publicamente, observadas as disposi\u00e7\u00f5es desta Lei.<\/p>

\u00a7 2\u00ba Os contratos e conv\u00eanios de que trata o \u00a7 1\u00ba deste artigo dever\u00e3o ser comunicados \u00e0 autoridade nacional.<\/p>

Art. 27. A comunica\u00e7\u00e3o ou o uso compartilhado de dados pessoais de pessoa jur\u00eddica de direito p\u00fablico a pessoa de direito privado ser\u00e1 informado \u00e0 autoridade nacional e depender\u00e1 de consentimento do titular, exceto:<\/p>

I – nas hip\u00f3teses de dispensa de consentimento previstas nesta Lei;<\/p>

II – nos casos de uso compartilhado de dados, em que ser\u00e1 dada publicidade nos termos do inciso I docaput<\/strong>do art. 23 desta Lei; ou<\/p>

III – nas exce\u00e7\u00f5es constantes do \u00a7 1\u00ba do art. 26 desta Lei.<\/p>

Art. 28. (VETADO).<\/p>

Art. 29. A autoridade nacional poder\u00e1 solicitar, a qualquer momento, \u00e0s entidades do Poder P\u00fablico, a realiza\u00e7\u00e3o de opera\u00e7\u00f5es de tratamento de dados pessoais, informe espec\u00edfico sobre o \u00e2mbito e a natureza dos dados e demais detalhes do tratamento realizado e poder\u00e1 emitir parecer t\u00e9cnico complementar para garantir o cumprimento desta Lei.<\/p>

Art. 30. A autoridade nacional poder\u00e1 estabelecer normas complementares para as atividades de comunica\u00e7\u00e3o e de uso compartilhado de dados pessoais.<\/p>

Se\u00e7\u00e3o II<\/strong><\/p>

Da Responsabilidade<\/p>

Art. 31. Quando houver infra\u00e7\u00e3o a esta Lei em decorr\u00eancia do tratamento de dados pessoais por \u00f3rg\u00e3os p\u00fablicos, a autoridade nacional poder\u00e1 enviar informe com medidas cab\u00edveis para fazer cessar a viola\u00e7\u00e3o.<\/p>

Art. 32. A autoridade nacional poder\u00e1 solicitar a agentes do Poder P\u00fablico a publica\u00e7\u00e3o de relat\u00f3rios de impacto \u00e0 prote\u00e7\u00e3o de dados pessoais e sugerir a ado\u00e7\u00e3o de padr\u00f5es e de boas pr\u00e1ticas para os tratamentos de dados pessoais pelo Poder P\u00fablico.<\/p>

CAP\u00cdTULO V<\/p>

DA TRANSFER\u00caNCIA INTERNACIONAL DE DADOS<\/p>

Art. 33. A transfer\u00eancia internacional de dados pessoais somente \u00e9 permitida nos seguintes casos:<\/p>

I – para pa\u00edses ou organismos internacionais que proporcionem grau de prote\u00e7\u00e3o de dados pessoais adequado ao previsto nesta Lei;<\/p>

II – quando o controlador oferecer e comprovar garantias de cumprimento dos princ\u00edpios, dos direitos do titular e do regime de prote\u00e7\u00e3o de dados previstos nesta Lei, na forma de:<\/p>

a) cl\u00e1usulas contratuais espec\u00edficas para determinada transfer\u00eancia;<\/p>

b) cl\u00e1usulas-padr\u00e3o contratuais;<\/p>

c) normas corporativas globais;<\/p>

d) selos, certificados e c\u00f3digos de conduta regularmente emitidos;<\/p>

III – quando a transfer\u00eancia for necess\u00e1ria para a coopera\u00e7\u00e3o jur\u00eddica internacional entre \u00f3rg\u00e3os p\u00fablicos de intelig\u00eancia, de investiga\u00e7\u00e3o e de persecu\u00e7\u00e3o, de acordo com os instrumentos de direito internacional;<\/p>

IV – quando a transfer\u00eancia for necess\u00e1ria para a prote\u00e7\u00e3o da vida ou da incolumidade f\u00edsica do titular ou de terceiro;<\/p>

V – quando a autoridade nacional autorizar a transfer\u00eancia;<\/p>

VI – quando a transfer\u00eancia resultar em compromisso assumido em acordo de coopera\u00e7\u00e3o internacional;<\/p>

VII – quando a transfer\u00eancia for necess\u00e1ria para a execu\u00e7\u00e3o de pol\u00edtica p\u00fablica ou atribui\u00e7\u00e3o legal do servi\u00e7o p\u00fablico, sendo dada publicidade nos termos do inciso I docaput<\/strong>do art. 23 desta Lei;<\/p>

VIII – quando o titular tiver fornecido o seu consentimento espec\u00edfico e em destaque para a transfer\u00eancia, com informa\u00e7\u00e3o pr\u00e9via sobre o car\u00e1ter internacional da opera\u00e7\u00e3o, distinguindo claramente esta de outras finalidades; ou<\/p>

IX – quando necess\u00e1rio para atender as hip\u00f3teses previstas nos incisos II, V e VI do art. 7\u00ba desta Lei.<\/p>

Par\u00e1grafo \u00fanico. Para os fins do inciso I deste artigo, as pessoas jur\u00eddicas de direito p\u00fablico referidas no par\u00e1grafo \u00fanico do art. 1\u00ba da Lei n\u00ba 12.527, de 18 de novembro de 2011 (Lei de Acesso \u00e0 Informa\u00e7\u00e3o), no \u00e2mbito de suas compet\u00eancias legais, e respons\u00e1veis, no \u00e2mbito de suas atividades, poder\u00e3o requerer \u00e0 autoridade nacional a avalia\u00e7\u00e3o do n\u00edvel de prote\u00e7\u00e3o a dados pessoais conferido por pa\u00eds ou organismo internacional.<\/p>

Art. 34. O n\u00edvel de prote\u00e7\u00e3o de dados do pa\u00eds estrangeiro ou do organismo internacional mencionado no inciso I docaput<\/strong>do art. 33 desta Lei ser\u00e1 avaliado pela autoridade nacional, que levar\u00e1 em considera\u00e7\u00e3o:<\/p>

I – as normas gerais e setoriais da legisla\u00e7\u00e3o em vigor no pa\u00eds de destino ou no organismo internacional;<\/p>

II – a natureza dos dados;<\/p>

III – a observ\u00e2ncia dos princ\u00edpios gerais de prote\u00e7\u00e3o de dados pessoais e direitos dos titulares previstos nesta Lei;<\/p>

IV – a ado\u00e7\u00e3o de medidas de seguran\u00e7a previstas em regulamento;<\/p>

V – a exist\u00eancia de garantias judiciais e institucionais para o respeito aos direitos de prote\u00e7\u00e3o de dados pessoais; e<\/p>

VI – outras circunst\u00e2ncias espec\u00edficas relativas \u00e0 transfer\u00eancia.<\/p>

Art. 35. A defini\u00e7\u00e3o do conte\u00fado de cl\u00e1usulas-padr\u00e3o contratuais, bem como a verifica\u00e7\u00e3o de cl\u00e1usulas contratuais espec\u00edficas para uma determinada transfer\u00eancia, normas corporativas globais ou selos, certificados e c\u00f3digos de conduta, a que se refere o inciso II docaput<\/strong>do art. 33 desta Lei, ser\u00e1 realizada pela autoridade nacional.<\/p>

\u00a7 1\u00ba Para a verifica\u00e7\u00e3o do disposto nocaput<\/strong>deste artigo, dever\u00e3o ser considerados os requisitos, as condi\u00e7\u00f5es e as garantias m\u00ednimas para a transfer\u00eancia que observem os direitos, as garantias e os princ\u00edpios desta Lei.<\/p>

\u00a7 2\u00ba Na an\u00e1lise de cl\u00e1usulas contratuais, de documentos ou de normas corporativas globais submetidas \u00e0 aprova\u00e7\u00e3o da autoridade nacional, poder\u00e3o ser requeridas informa\u00e7\u00f5es suplementares ou realizadas dilig\u00eancias de verifica\u00e7\u00e3o quanto \u00e0s opera\u00e7\u00f5es de tratamento, quando necess\u00e1rio.<\/p>

\u00a7 3\u00ba A autoridade nacional poder\u00e1 designar organismos de certifica\u00e7\u00e3o para a realiza\u00e7\u00e3o do previsto nocaput<\/strong>deste artigo, que permanecer\u00e3o sob sua fiscaliza\u00e7\u00e3o nos termos definidos em regulamento.<\/p>

\u00a7 4\u00ba Os atos realizados por organismo de certifica\u00e7\u00e3o poder\u00e3o ser revistos pela autoridade nacional e, caso em desconformidade com esta Lei, submetidos a revis\u00e3o ou anulados.<\/p>

\u00a7 5\u00ba As garantias suficientes de observ\u00e2ncia dos princ\u00edpios gerais de prote\u00e7\u00e3o e dos direitos do titular referidas nocaput<\/strong>deste artigo ser\u00e3o tamb\u00e9m analisadas de acordo com as medidas t\u00e9cnicas e organizacionais adotadas pelo operador, de acordo com o previsto nos \u00a7\u00a7 1\u00ba e 2\u00ba do art. 46 desta Lei.<\/p>

Art. 36. As altera\u00e7\u00f5es nas garantias apresentadas como suficientes de observ\u00e2ncia dos princ\u00edpios gerais de prote\u00e7\u00e3o e dos direitos do titular referidas no inciso II do art. 33 desta Lei dever\u00e3o ser comunicadas \u00e0 autoridade nacional.<\/p>

CAP\u00cdTULO VI<\/p>

DOS AGENTES DE TRATAMENTO DE DADOS PESSOAIS<\/p>

Se\u00e7\u00e3o I<\/strong><\/p>

Do Controlador e do Operador<\/p>

Art. 37. O controlador e o operador devem manter registro das opera\u00e7\u00f5es de tratamento de dados pessoais que realizarem, especialmente quando baseado no leg\u00edtimo interesse.<\/p>

Art. 38. A autoridade nacional poder\u00e1 determinar ao controlador que elabore relat\u00f3rio de impacto \u00e0 prote\u00e7\u00e3o de dados pessoais, inclusive de dados sens\u00edveis, referente a suas opera\u00e7\u00f5es de tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial.<\/p>

Par\u00e1grafo \u00fanico. Observado o disposto nocaput<\/strong>deste artigo, o relat\u00f3rio dever\u00e1 conter, no m\u00ednimo, a descri\u00e7\u00e3o dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da seguran\u00e7a das informa\u00e7\u00f5es e a an\u00e1lise do controlador com rela\u00e7\u00e3o a medidas, salvaguardas e mecanismos de mitiga\u00e7\u00e3o de risco adotados.<\/p>

Art. 39. O operador dever\u00e1 realizar o tratamento segundo as instru\u00e7\u00f5es fornecidas pelo controlador, que verificar\u00e1 a observ\u00e2ncia das pr\u00f3prias instru\u00e7\u00f5es e das normas sobre a mat\u00e9ria.<\/p>

Art. 40. A autoridade nacional poder\u00e1 dispor sobre padr\u00f5es de interoperabilidade para fins de portabilidade, livre acesso aos dados e seguran\u00e7a, assim como sobre o tempo de guarda dos registros, tendo em vista especialmente a necessidade e a transpar\u00eancia.<\/p>

Se\u00e7\u00e3o II<\/strong><\/p>

Do Encarregado pelo Tratamento de Dados Pessoais<\/p>

Art. 41. O controlador dever\u00e1 indicar encarregado pelo tratamento de dados pessoais.<\/p>

\u00a7 1\u00ba A identidade e as informa\u00e7\u00f5es de contato do encarregado dever\u00e3o ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no s\u00edtio eletr\u00f4nico do controlador.<\/p>

\u00a7 2\u00ba As atividades do encarregado consistem em:<\/p>

I – aceitar reclama\u00e7\u00f5es e comunica\u00e7\u00f5es dos titulares, prestar esclarecimentos e adotar provid\u00eancias;<\/p>

II – receber comunica\u00e7\u00f5es da autoridade nacional e adotar provid\u00eancias;<\/p>

III – orientar os funcion\u00e1rios e os contratados da entidade a respeito das pr\u00e1ticas a serem tomadas em rela\u00e7\u00e3o \u00e0 prote\u00e7\u00e3o de dados pessoais; e<\/p>

IV – executar as demais atribui\u00e7\u00f5es determinadas pelo controlador ou estabelecidas em normas complementares.<\/p>

\u00a7 3\u00ba A autoridade nacional poder\u00e1 estabelecer normas complementares sobre a defini\u00e7\u00e3o e as atribui\u00e7\u00f5es do encarregado, inclusive hip\u00f3teses de dispensa da necessidade de sua indica\u00e7\u00e3o, conforme a natureza e o porte da entidade ou o volume de opera\u00e7\u00f5es de tratamento de dados.<\/p>

Se\u00e7\u00e3o III<\/strong><\/p>

Da Responsabilidade e do Ressarcimento de Danos<\/p>

Art. 42. O controlador ou o operador que, em raz\u00e3o do exerc\u00edcio de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em viola\u00e7\u00e3o \u00e0 legisla\u00e7\u00e3o de prote\u00e7\u00e3o de dados pessoais, \u00e9 obrigado a repar\u00e1-lo.<\/p>

\u00a7 1\u00ba A fim de assegurar a efetiva indeniza\u00e7\u00e3o ao titular dos dados:<\/p>

I – o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obriga\u00e7\u00f5es da legisla\u00e7\u00e3o de prote\u00e7\u00e3o de dados ou quando n\u00e3o tiver seguido as instru\u00e7\u00f5es l\u00edcitas do controlador, hip\u00f3tese em que o operador equipara-se ao controlador, salvo nos casos de exclus\u00e3o previstos no art. 43 desta Lei;<\/p>

II – os controladores que estiverem diretamente envolvidos no tratamento do qual decorreram danos ao titular dos dados respondem solidariamente, salvo nos casos de exclus\u00e3o previstos no art. 43 desta Lei.<\/p>

\u00a7 2\u00ba O juiz, no processo civil, poder\u00e1 inverter o \u00f4nus da prova a favor do titular dos dados quando, a seu ju\u00edzo, for veross\u00edmil a alega\u00e7\u00e3o, houver hipossufici\u00eancia para fins de produ\u00e7\u00e3o de prova ou quando a produ\u00e7\u00e3o de prova pelo titular resultar-lhe excessivamente onerosa.<\/p>

\u00a7 3\u00ba As a\u00e7\u00f5es de repara\u00e7\u00e3o por danos coletivos que tenham por objeto a responsabiliza\u00e7\u00e3o nos termos docaput<\/strong>deste artigo podem ser exercidas coletivamente em ju\u00edzo, observado o disposto na legisla\u00e7\u00e3o pertinente.<\/p>

\u00a7 4\u00ba Aquele que reparar o dano ao titular tem direito de regresso contra os demais respons\u00e1veis, na medida de sua participa\u00e7\u00e3o no evento danoso.<\/p>

Art. 43. Os agentes de tratamento s\u00f3 n\u00e3o ser\u00e3o responsabilizados quando provarem:<\/p>

I – que n\u00e3o realizaram o tratamento de dados pessoais que lhes \u00e9 atribu\u00eddo;<\/p>

II – que, embora tenham realizado o tratamento de dados pessoais que lhes \u00e9 atribu\u00eddo, n\u00e3o houve viola\u00e7\u00e3o \u00e0 legisla\u00e7\u00e3o de prote\u00e7\u00e3o de dados; ou<\/p>

III – que o dano \u00e9 decorrente de culpa exclusiva do titular dos dados ou de terceiro.<\/p>

Art. 44. O tratamento de dados pessoais ser\u00e1 irregular quando deixar de observar a legisla\u00e7\u00e3o ou quando n\u00e3o fornecer a seguran\u00e7a que o titular dele pode esperar, consideradas as circunst\u00e2ncias relevantes, entre as quais:<\/p>

I – o modo pelo qual \u00e9 realizado;<\/p>

II – o resultado e os riscos que razoavelmente dele se esperam;<\/p>

III – as t\u00e9cnicas de tratamento de dados pessoais dispon\u00edveis \u00e0 \u00e9poca em que foi realizado.<\/p>

Par\u00e1grafo \u00fanico. Responde pelos danos decorrentes da viola\u00e7\u00e3o da seguran\u00e7a dos dados o controlador ou o operador que, ao deixar de adotar as medidas de seguran\u00e7a previstas no art. 46 desta Lei, der causa ao dano.<\/p>

Art. 45. As hip\u00f3teses de viola\u00e7\u00e3o do direito do titular no \u00e2mbito das rela\u00e7\u00f5es de consumo permanecem sujeitas \u00e0s regras de responsabilidade previstas na legisla\u00e7\u00e3o pertinente.<\/p>

CAP\u00cdTULO VII<\/p>

DA SEGURAN\u00c7A E DAS BOAS PR\u00c1TICAS<\/p>

Se\u00e7\u00e3o I<\/strong><\/p>

Da Seguran\u00e7a e do Sigilo de Dados<\/p>

Art. 46. Os agentes de tratamento devem adotar medidas de seguran\u00e7a, t\u00e9cnicas e administrativas aptas a proteger os dados pessoais de acessos n\u00e3o autorizados e de situa\u00e7\u00f5es acidentais ou il\u00edcitas de destrui\u00e7\u00e3o, perda, altera\u00e7\u00e3o, comunica\u00e7\u00e3o ou qualquer forma de tratamento inadequado ou il\u00edcito.<\/p>

\u00a7 1\u00ba A autoridade nacional poder\u00e1 dispor sobre padr\u00f5es t\u00e9cnicos m\u00ednimos para tornar aplic\u00e1vel o disposto nocaput<\/strong>deste artigo, considerados a natureza das informa\u00e7\u00f5es tratadas, as caracter\u00edsticas espec\u00edficas do tratamento e o estado atual da tecnologia, especialmente no caso de dados pessoais sens\u00edveis, assim como os princ\u00edpios previstos no caput do art. 6\u00ba desta Lei.<\/p>

\u00a7 2\u00ba As medidas de que trata ocaput<\/strong>deste artigo dever\u00e3o ser observadas desde a fase de concep\u00e7\u00e3o do produto ou do servi\u00e7o at\u00e9 a sua execu\u00e7\u00e3o.<\/p>

Art. 47. Os agentes de tratamento ou qualquer outra pessoa que intervenha em uma das fases do tratamento obriga-se a garantir a seguran\u00e7a da informa\u00e7\u00e3o prevista nesta Lei em rela\u00e7\u00e3o aos dados pessoais, mesmo ap\u00f3s o seu t\u00e9rmino.<\/p>

Art. 48. O controlador dever\u00e1 comunicar \u00e0 autoridade nacional e ao titular a ocorr\u00eancia de incidente de seguran\u00e7a que possa acarretar risco ou dano relevante aos titulares.<\/p>

\u00a7 1\u00ba A comunica\u00e7\u00e3o ser\u00e1 feita em prazo razo\u00e1vel, conforme definido pela autoridade nacional, e dever\u00e1 mencionar, no m\u00ednimo:<\/p>

I – a descri\u00e7\u00e3o da natureza dos dados pessoais afetados;<\/p>

II – as informa\u00e7\u00f5es sobre os titulares envolvidos;<\/p>

III – a indica\u00e7\u00e3o das medidas t\u00e9cnicas e de seguran\u00e7a utilizadas para a prote\u00e7\u00e3o dos dados, observados os segredos comercial e industrial;<\/p>

IV – os riscos relacionados ao incidente;<\/p>

V – os motivos da demora, no caso de a comunica\u00e7\u00e3o n\u00e3o ter sido imediata; e<\/p>

VI – as medidas que foram ou que ser\u00e3o adotadas para reverter ou mitigar os efeitos do preju\u00edzo.<\/p>

\u00a7 2\u00ba A autoridade nacional verificar\u00e1 a gravidade do incidente e poder\u00e1, caso necess\u00e1rio para a salvaguarda dos direitos dos titulares, determinar ao controlador a ado\u00e7\u00e3o de provid\u00eancias, tais como:<\/p>

I – ampla divulga\u00e7\u00e3o do fato em meios de comunica\u00e7\u00e3o; e<\/p>

II – medidas para reverter ou mitigar os efeitos do incidente.<\/p>

\u00a7 3\u00ba No ju\u00edzo de gravidade do incidente, ser\u00e1 avaliada eventual comprova\u00e7\u00e3o de que foram adotadas medidas t\u00e9cnicas adequadas que tornem os dados pessoais afetados inintelig\u00edveis, no \u00e2mbito e nos limites t\u00e9cnicos de seus servi\u00e7os, para terceiros n\u00e3o autorizados a acess\u00e1-los.<\/p>

Art. 49. Os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de seguran\u00e7a, aos padr\u00f5es de boas pr\u00e1ticas e de governan\u00e7a e aos princ\u00edpios gerais previstos nesta Lei e \u00e0s demais normas regulamentares.<\/p>

Se\u00e7\u00e3o II<\/strong><\/p>

Das Boas Pr\u00e1ticas e da Governan\u00e7a<\/p>

Art. 50. Os controladores e operadores, no \u00e2mbito de suas compet\u00eancias, pelo tratamento de dados pessoais, individualmente ou por meio de associa\u00e7\u00f5es, poder\u00e3o formular regras de boas pr\u00e1ticas e de governan\u00e7a que estabele\u00e7am as condi\u00e7\u00f5es de organiza\u00e7\u00e3o, o regime de funcionamento, os procedimentos, incluindo reclama\u00e7\u00f5es e peti\u00e7\u00f5es de titulares, as normas de seguran\u00e7a, os padr\u00f5es t\u00e9cnicos, as obriga\u00e7\u00f5es espec\u00edficas para os diversos envolvidos no tratamento, as a\u00e7\u00f5es educativas, os mecanismos internos de supervis\u00e3o e de mitiga\u00e7\u00e3o de riscos e outros aspectos relacionados ao tratamento de dados pessoais.<\/p>

\u00a7 1\u00ba Ao estabelecer regras de boas pr\u00e1ticas, o controlador e o operador levar\u00e3o em considera\u00e7\u00e3o, em rela\u00e7\u00e3o ao tratamento e aos dados, a natureza, o escopo, a finalidade e a probabilidade e a gravidade dos riscos e dos benef\u00edcios decorrentes de tratamento de dados do titular.<\/p>

\u00a7 2\u00ba Na aplica\u00e7\u00e3o dos princ\u00edpios indicados nos incisos VII e VIII docaput<\/strong>do art. 6\u00ba desta Lei, o controlador, observados a estrutura, a escala e o volume de suas opera\u00e7\u00f5es, bem como a sensibilidade dos dados tratados e a probabilidade e a gravidade dos danos para os titulares dos dados, poder\u00e1:<\/p>

I – implementar programa de governan\u00e7a em privacidade que, no m\u00ednimo:<\/p>

a) demonstre o comprometimento do controlador em adotar processos e pol\u00edticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas pr\u00e1ticas relativas \u00e0 prote\u00e7\u00e3o de dados pessoais;<\/p>

b) seja aplic\u00e1vel a todo o conjunto de dados pessoais que estejam sob seu controle, independentemente do modo como se realizou sua coleta;<\/p>

c) seja adaptado \u00e0 estrutura, \u00e0 escala e ao volume de suas opera\u00e7\u00f5es, bem como \u00e0 sensibilidade dos dados tratados;<\/p>

d) estabele\u00e7a pol\u00edticas e salvaguardas adequadas com base em processo de avalia\u00e7\u00e3o sistem\u00e1tica de impactos e riscos \u00e0 privacidade;<\/p>

e) tenha o objetivo de estabelecer rela\u00e7\u00e3o de confian\u00e7a com o titular, por meio de atua\u00e7\u00e3o transparente e que assegure mecanismos de participa\u00e7\u00e3o do titular;<\/p>

f) esteja integrado a sua estrutura geral de governan\u00e7a e estabele\u00e7a e aplique mecanismos de supervis\u00e3o internos e externos;<\/p>

g) conte com planos de resposta a incidentes e remedia\u00e7\u00e3o; e<\/p>

h) seja atualizado constantemente com base em informa\u00e7\u00f5es obtidas a partir de monitoramento cont\u00ednuo e avalia\u00e7\u00f5es peri\u00f3dicas;<\/p>

II – demonstrar a efetividade de seu programa de governan\u00e7a em privacidade quando apropriado e, em especial, a pedido da autoridade nacional ou de outra entidade respons\u00e1vel por promover o cumprimento de boas pr\u00e1ticas ou c\u00f3digos de conduta, os quais, de forma independente, promovam o cumprimento desta Lei.<\/p>

\u00a7 3\u00ba As regras de boas pr\u00e1ticas e de governan\u00e7a dever\u00e3o ser publicadas e atualizadas periodicamente e poder\u00e3o ser reconhecidas e divulgadas pela autoridade nacional.<\/p>

Art. 51. A autoridade nacional estimular\u00e1 a ado\u00e7\u00e3o de padr\u00f5es t\u00e9cnicos que facilitem o controle pelos titulares dos seus dados pessoais.<\/p>

CAP\u00cdTULO VIII<\/p>

DA FISCALIZA\u00c7\u00c3O<\/p>

Se\u00e7\u00e3o I<\/strong><\/p>

Das San\u00e7\u00f5es Administrativas<\/p>

Art. 52. Os agentes de tratamento de dados, em raz\u00e3o das infra\u00e7\u00f5es cometidas \u00e0s normas previstas nesta Lei, ficam sujeitos \u00e0s seguintes san\u00e7\u00f5es administrativas aplic\u00e1veis pela autoridade nacional:<\/p>

I – advert\u00eancia, com indica\u00e7\u00e3o de prazo para ado\u00e7\u00e3o de medidas corretivas;<\/p>

II – multa simples, de at\u00e9 2% (dois por cento) do faturamento da pessoa jur\u00eddica de direito privado, grupo ou conglomerado no Brasil no seu \u00faltimo exerc\u00edcio, exclu\u00eddos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milh\u00f5es de reais) por infra\u00e7\u00e3o;<\/p>

III – multa di\u00e1ria, observado o limite total a que se refere o inciso II;<\/p>

IV – publiciza\u00e7\u00e3o da infra\u00e7\u00e3o ap\u00f3s devidamente apurada e confirmada a sua ocorr\u00eancia;<\/p>

V – bloqueio dos dados pessoais a que se refere a infra\u00e7\u00e3o at\u00e9 a sua regulariza\u00e7\u00e3o;<\/p>

VI – elimina\u00e7\u00e3o dos dados pessoais a que se refere a infra\u00e7\u00e3o;<\/p>

VII – suspens\u00e3o parcial ou total do funcionamento do banco de dados a que se refere a infra\u00e7\u00e3o pelo per\u00edodo m\u00e1ximo de 6 (seis) meses, prorrog\u00e1vel por igual per\u00edodo at\u00e9 a regulariza\u00e7\u00e3o da atividade de tratamento pelo controlador;<\/p>

VIII – suspens\u00e3o do exerc\u00edcio da atividade de tratamento dos dados pessoais a que se refere a infra\u00e7\u00e3o pelo per\u00edodo m\u00e1ximo de 6 (seis) meses, prorrog\u00e1vel por igual per\u00edodo;<\/p>

IX – proibi\u00e7\u00e3o parcial ou total do exerc\u00edcio de atividades relacionadas a tratamento de dados.<\/p>

\u00a7 1\u00ba As san\u00e7\u00f5es ser\u00e3o aplicadas ap\u00f3s procedimento administrativo que possibilite a oportunidade da ampla defesa, de forma gradativa, isolada ou cumulativa, de acordo com as peculiaridades do caso concreto e considerados os seguintes par\u00e2metros e crit\u00e9rios:<\/p>

I – a gravidade e a natureza das infra\u00e7\u00f5es e dos direitos pessoais afetados;<\/p>

II – a boa-f\u00e9 do infrator;<\/p>

III – a vantagem auferida ou pretendida pelo infrator;<\/p>

IV – a condi\u00e7\u00e3o econ\u00f4mica do infrator;<\/p>

V – a reincid\u00eancia;<\/p>

VI – o grau do dano;<\/p>

VII – (VETADO);<\/p>

VIII – (VETADO);<\/p>

IX – (VETADO);<\/p>

X – a pronta ado\u00e7\u00e3o de medidas corretivas; e<\/p>

XI – a proporcionalidade entre a gravidade da falta e a intensidade da san\u00e7\u00e3o.<\/p>

\u00a7 2\u00ba O disposto neste artigo n\u00e3o substitui a aplica\u00e7\u00e3o de san\u00e7\u00f5es administrativas, civis ou penais definidas em legisla\u00e7\u00e3o espec\u00edfica.<\/p>

\u00a7 3\u00ba O disposto nos incisos I, IV, V, VI, VII, VIII e IX docaput<\/strong>deste artigo poder\u00e1 ser aplicado \u00e0s entidades e aos \u00f3rg\u00e3os p\u00fablicos, sem preju\u00edzo do disposto na Lei n\u00ba 8.112, de 11 de dezembro de 1990 (Estatuto do Servidor P\u00fablico Federal), na Lei n\u00ba 8.429, de 2 de junho de 1992 (Lei de Improbidade Administrativa), e na Lei n\u00ba 12.527, de 18 de novembro de 2011 (Lei de Acesso \u00e0 Informa\u00e7\u00e3o).<\/p>

\u00a7 4\u00ba No c\u00e1lculo do valor da multa de que trata o inciso II docaput<\/strong>deste artigo, a autoridade nacional poder\u00e1 considerar o faturamento total da empresa ou grupo de empresas, quando n\u00e3o dispuser do valor do faturamento no ramo de atividade empresarial em que ocorreu a infra\u00e7\u00e3o, definido pela autoridade nacional, ou quando o valor for apresentado de forma incompleta ou n\u00e3o for demonstrado de forma inequ\u00edvoca e id\u00f4nea.<\/p>

Art. 53. A autoridade nacional definir\u00e1, por meio de regulamento pr\u00f3prio sobre san\u00e7\u00f5es administrativas a infra\u00e7\u00f5es a esta Lei, que dever\u00e1 ser objeto de consulta p\u00fablica, as metodologias que orientar\u00e3o o c\u00e1lculo do valor-base das san\u00e7\u00f5es de multa.<\/p>

\u00a7 1\u00ba As metodologias a que se refere ocaput<\/strong>deste artigo devem ser previamente publicadas, para ci\u00eancia dos agentes de tratamento, e devem apresentar objetivamente as formas e dosimetrias para o c\u00e1lculo do valor-base das san\u00e7\u00f5es de multa, que dever\u00e3o conter fundamenta\u00e7\u00e3o detalhada de todos os seus elementos, demonstrando a observ\u00e2ncia dos crit\u00e9rios previstos nesta Lei.<\/p>

\u00a7 2\u00ba O regulamento de san\u00e7\u00f5es e metodologias correspondentes deve estabelecer as circunst\u00e2ncias e as condi\u00e7\u00f5es para a ado\u00e7\u00e3o de multa simples ou di\u00e1ria.<\/p>

Art. 54. O valor da san\u00e7\u00e3o de multa di\u00e1ria aplic\u00e1vel \u00e0s infra\u00e7\u00f5es a esta Lei deve observar a gravidade da falta e a extens\u00e3o do dano ou preju\u00edzo causado e ser fundamentado pela autoridade nacional.<\/p>

Par\u00e1grafo \u00fanico. A intima\u00e7\u00e3o da san\u00e7\u00e3o de multa di\u00e1ria dever\u00e1 conter, no m\u00ednimo, a descri\u00e7\u00e3o da obriga\u00e7\u00e3o imposta, o prazo razo\u00e1vel e estipulado pelo \u00f3rg\u00e3o para o seu cumprimento e o valor da multa di\u00e1ria a ser aplicada pelo seu descumprimento.<\/p>

CAP\u00cdTULO IX<\/p>

DA AUTORIDADE NACIONAL DE PROTE\u00c7\u00c3O DE DADOS (ANPD) E DO CONSELHO NACIONAL DE PROTE\u00c7\u00c3O DE DADOS PESSOAIS E DA PRIVACIDADE<\/p>

Se\u00e7\u00e3o I<\/strong><\/p>

Da Autoridade Nacional de Prote\u00e7\u00e3o de Dados (ANPD)<\/p>

Art. 55. (VETADO).<\/p>

Art. 56. (VETADO).<\/p>

Art. 57. (VETADO).<\/p>

Se\u00e7\u00e3o II<\/strong><\/p>

Do Conselho Nacional de Prote\u00e7\u00e3o de Dados Pessoais e da Privacidade<\/p>

Art. 58. (VETADO).<\/p>

Art. 59. (VETADO).<\/p>

CAP\u00cdTULO X<\/p>

DISPOSI\u00c7\u00d5ES FINAIS E TRANSIT\u00d3RIAS<\/p>

Art. 60. A Lei n\u00ba 12.965, de 23 de abril de 2014 (Marco Civil da Internet), passa a vigorar com as seguintes altera\u00e7\u00f5es:<\/p>

“Art. 7\u00ba ………………………………………………………………………….<\/p>

…………………………………………………………………………………………….<\/p>

X – exclus\u00e3o definitiva dos dados pessoais que tiver fornecido a determinada aplica\u00e7\u00e3o de internet, a seu requerimento, ao t\u00e9rmino da rela\u00e7\u00e3o entre as partes, ressalvadas as hip\u00f3teses de guarda obrigat\u00f3ria de registros previstas nesta Lei e na que disp\u00f5e sobre a prote\u00e7\u00e3o de dados pessoais;<\/p>

…………………………………………………………………………………..” (NR)<\/p>

“Art. 16. ………………………………………………………………………..<\/p>

…………………………………………………………………………………………….<\/p>

II – de dados pessoais que sejam excessivos em rela\u00e7\u00e3o \u00e0 finalidade para a qual foi dado consentimento pelo seu titular, exceto nas hip\u00f3teses previstas na Lei que disp\u00f5e sobre a prote\u00e7\u00e3o de dados pessoais.” (NR)<\/p>

Art. 61. A empresa estrangeira ser\u00e1 notificada e intimada de todos os atos processuais previstos nesta Lei, independentemente de procura\u00e7\u00e3o ou de disposi\u00e7\u00e3o contratual ou estatut\u00e1ria, na pessoa do agente ou representante ou pessoa respons\u00e1vel por sua filial, ag\u00eancia, sucursal, estabelecimento ou escrit\u00f3rio instalado no Brasil.<\/p>

Art. 62. A autoridade nacional e o Instituto Nacional de Estudos e Pesquisas Educacionais An\u00edsio Teixeira (Inep), no \u00e2mbito de suas compet\u00eancias, editar\u00e3o regulamentos espec\u00edficos para o acesso a dados tratados pela Uni\u00e3o para o cumprimento do disposto no \u00a7 2\u00ba do art. 9\u00ba da Lei n\u00ba 9.394, de 20 de dezembro de 1996 (Lei de Diretrizes e Bases da Educa\u00e7\u00e3o Nacional), e aos referentes ao Sistema Nacional de Avalia\u00e7\u00e3o da Educa\u00e7\u00e3o Superior (Sinaes), de que trata a Lei n\u00ba 10.861, de 14 de abril de 2004.<\/p>

Art. 63. A autoridade nacional estabelecer\u00e1 normas sobre a adequa\u00e7\u00e3o progressiva de bancos de dados constitu\u00eddos at\u00e9 a data de entrada em vigor desta Lei, consideradas a complexidade das opera\u00e7\u00f5es de tratamento e a natureza dos dados.<\/p>

Art. 64. Os direitos e princ\u00edpios expressos nesta Lei n\u00e3o excluem outros previstos no ordenamento jur\u00eddico p\u00e1trio relacionados \u00e0 mat\u00e9ria ou nos tratados internacionais em que a Rep\u00fablica Federativa do Brasil seja parte.<\/p>

Art. 65. Esta Lei entra em vigor ap\u00f3s decorridos 18 (dezoito) meses de sua publica\u00e7\u00e3o oficial.<\/strong><\/p>

Bras\u00edlia, 14 de agosto de 2018; 197o da Independ\u00eancia e 130oda Rep\u00fablica.<\/p>

MICHEL TEMER<\/p>

TORQUATO JARDIM<\/p>

ALOYSIO NUNES FERREIRA FILHO<\/p>

EDUARDO REFINETTI GUARDIA<\/p>

ESTEVES PEDRO COLNAGO JUNIOR<\/p>

GILBERTO MAGALH\u00c3ES OCCHI<\/p>

GILBERTO KASSAB<\/p>

WAGNER DE CAMPOS ROS\u00c1RIO<\/p>

GUSTAVO DO VALE ROCHA<\/p>

ILAN GOLDFAJN<\/p>

RAUL JUNGMANN<\/p>

ELISEU PADILHA<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t<\/section>\n\t\t\t\t<\/div>\n\t\t","protected":false},"excerpt":{"rendered":"

Lei Geral de Prote\u00e7\u00e3o de Dados Pessoais LEI No. 13.709, DE 14 DE AGOSTO DE 2018 LEI No. 13.709, DE 14 DE AGOSTO DE 2018 Disp\u00f5e sobre a prote\u00e7\u00e3o de dados pessoais e altera a\u00a0Lei n\u00ba 12.965, de 23 de abril de 2014\u00a0(Marco Civil da Internet). CAP\u00cdTULO I DISPOSI\u00c7\u00d5ES PRELIMINARES Art. 1\u00ba Esta Lei disp\u00f5e … Read more<\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"elementor_header_footer","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"class_list":["post-33","page","type-page","status-publish"],"acf":[],"_links":{"self":[{"href":"https:\/\/dev.situati.com.br\/privacidade\/wp-json\/wp\/v2\/pages\/33","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/dev.situati.com.br\/privacidade\/wp-json\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/dev.situati.com.br\/privacidade\/wp-json\/wp\/v2\/types\/page"}],"author":[{"embeddable":true,"href":"https:\/\/dev.situati.com.br\/privacidade\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/dev.situati.com.br\/privacidade\/wp-json\/wp\/v2\/comments?post=33"}],"version-history":[{"count":18,"href":"https:\/\/dev.situati.com.br\/privacidade\/wp-json\/wp\/v2\/pages\/33\/revisions"}],"predecessor-version":[{"id":2854,"href":"https:\/\/dev.situati.com.br\/privacidade\/wp-json\/wp\/v2\/pages\/33\/revisions\/2854"}],"wp:attachment":[{"href":"https:\/\/dev.situati.com.br\/privacidade\/wp-json\/wp\/v2\/media?parent=33"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}