Questões de LGPD: Lei 13.709/2018

O art. 5º, II, da LGPD inclui dado genético ou biométrico, quando vinculado a pessoa natural, entre os dados pessoais sensíveis. Dado anonimizado é a distratora mais próxima, mas ele não permite identificar o titular, enquanto a biometria existe justamente para identificá-lo.

O art. 5º, VII, define operador como quem realiza o tratamento de dados em nome do controlador. O encarregado é a escolha tentadora, mas sua função é outra: servir de canal de comunicação entre controlador, titulares e Autoridade Nacional, sem tratar dados por conta alheia.

O art. 7º, X, traz a proteção do crédito como hipótese legal de tratamento, ao lado de obrigação legal, execução de contrato e legítimo interesse. Afirmar que o consentimento é a única base legal é a pegadinha recorrente, pois ele é somente uma delas.

O art. 52, II, fixa a multa simples em até 2% do faturamento no Brasil no último exercício, excluídos tributos, com limite de R$ 50 milhões por infração. R$ 5 milhões e R$ 500 milhões apenas deslocam a casa decimal do valor correto.

O art. 48 obriga o controlador a comunicar à autoridade nacional e ao titular o incidente que possa acarretar risco ou dano relevante. Comunicar apenas ao Banco Central é tentador em contexto bancário, mas não atende aos destinatários que a LGPD indica.

O art. 5º, VIII, define o encarregado como canal de comunicação entre controlador, titulares e Autoridade Nacional. O operador é a distratora mais próxima, porém sua função é realizar o tratamento em nome do controlador, sem esse papel de interlocução com titulares e autoridade.

O art. 5º, XII, define consentimento como manifestação livre, informada e inequívoca, para finalidade determinada. Ele não é obrigatório em todo tratamento, porque há outras bases legais, e pode ser revogado pelo titular, conforme o art. 18, o que afasta a ideia de irrevogabilidade.

Pelo art. 5º da LGPD, dado anonimizado é o que não permite identificar o titular, considerados meios técnicos razoáveis. Proteção por senha é a distratora mais tentadora, mas apenas restringe o acesso: quem abre o arquivo ainda consegue saber a quem o dado se refere.

O art. 18 assegura ao titular confirmação, acesso, correção, portabilidade, eliminação de dados tratados com consentimento e revogação do consentimento, entre outros. Escolher o encarregado parece um direito de participação, mas essa indicação é decisão do agente de tratamento, não do titular.

O art. 5º, VI, atribui ao controlador as decisões sobre o tratamento de dados pessoais. O operador é a opção mais tentadora, mas apenas executa o tratamento em nome de quem decide, e essa separação entre decidir e executar é o núcleo da questão.