A LGPD e a indústria de intermediação

Dado pessoal: é a informação relacionada a uma pessoa física identificada ou identificável, ou seja, qualquer informação que identifique ou possa identificar uma pessoa natural, tal como nome números e códigos de identificação, endereços, perfil de consumo, histórico de transação, etc.

Dado pessoal sensível: é o dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa física. Por serem dados ligados à intimidade da pessoa, com potencial discriminatório, a lei traz um maior grau de proteção e exigências específicas para o tratamento de dados pessoais sensíveis.

O titular é a pessoa natural a quem os dados pessoais se referem.

São dados relativos ao titular sem que este possa ser identificado. Considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento. Dados que, por meio de uso meios técnicos, impedem a identificação do titular.

O agente de tratamento é o controlador e o operador.

O operador é pessoa natural ou jurídica que realiza tratamento de dados pessoais em nome do controlador.

O controlador é a pessoa natural ou jurídica a quem competem decisões referentes ao tratamento de dados pessoais.

Sim, dados de operações financeiras são dados pessoais pois permitem identificação do indivíduo, mas não são dados classificados como dados pessoais sensíveis. O fato dos dados de operações financeiras e bancários serem protegidos por sigilo, não os torna sensíveis.

Tratamento é coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, avaliação, extração, eliminação etc. Ou seja, tratamento pode ser todo e qualquer uso que se faça de um dado pessoal desde sua obtenção, até o seu descarte.

A função do encarregado, também conhecido como Data Protection Officer ou DPO, é atuar como canal de comunicação entre o controlador, titulares e a ANPD.

Confirmação e Acesso: O titular pode solicitar ao agente de tratamento a confirmação sobre a existência de tratamento dos seus dados pessoais para que, em caso positivo, possa acessá-los, inclusive por meio de solicitação de cópias dos registros que exista sobre ele.

Correção: O titular pode solicitar a correção dos seus dados pessoais caso estes estejam incompletos, inexatos ou desatualizados.

Anonimização, bloqueio ou eliminação: O titular pode solicitar (a) a anonimização dos seus dados pessoais, de forma que eles não possam mais ser relacionados a ele e, portanto, deixem de ser dados pessoais; (b) o bloqueio dos seus dados pessoais, suspendendo temporariamente a possibilidade de tratamento para certas finalidades; e (c) a eliminação dos seus dados pessoais, caso em que os agentes deverão apagar todos os dados pessoais sem possibilidade de reversão.

Portabilidade: O titular pode solicitar que o agente de tratamento forneça os seus Dados Pessoais a outro prestador de serviços, nos termos da legislação e regulamentação aplicáveis.

Informação sobre a possibilidade de não consentir: O titular tem o direito de receber informações claras e completas sobre a possibilidade e as consequências de não fornecer consentimento, quando ele for solicitado pelo agente de tratamento. O seu consentimento, quando necessário, deve ser livre, inequívoco e informado. Portanto, sempre que for pedido consentimento, o titular será livre para negá-lo – nesses casos, é possível que alguns serviços não possam ser prestados.

Informação sobre compartilhamento: O titular deve ser informado claramente sobre o compartilhamento de seus dados pessoais com terceiros de maneira transparente e tem o direito de saber com quem seus dados estão sendo compartilhados.

Revogação do consentimento: Caso o titular tenha consentido com alguma finalidade de tratamento dos seus dados pessoais, o titular pode sempre optar por retirar o seu consentimento. No entanto, isso não afetará a legalidade de qualquer Tratamento realizado anteriormente à revogação. Se o titular retirar o seu consentimento, é possível que o agente de tratamento fique impossibilitado de lhe prestar certos serviços.

Oposição: A lei autoriza o tratamento de Dados Pessoais mesmo sem o consentimento ou um contrato. Nessas situações, somente se tratam Dados Pessoais se houver motivos legítimos para tanto, como, por exemplo, quando for necessário para garantir a segurança, para fins de marketing e divulgação de seus produtos e serviços, etc. Caso o titular não concorde com alguma finalidade de tratamento dos seus dados pessoais, o titular poderá apresentar oposição, solicitando a sua interrupção.

A função da ANPD é, resumidamente, zelar pela proteção dos dados pessoais e interpreta e fiscalizar a observância da LGPD, disseminar conhecimento em proteção de dados, implementar normas necessárias para efetividade da LGPD e punir sua não observância.

Sim, as corretoras e distribuidoras estão sujeitas à LGPD.

Não, o consentimento é uma das dez bases legais previstas na LGPD. Assim, pode haver tratamento lícito de dados pessoais sem consentimento, desde que com fundamento em outra base legal prevista na LGPD.

Consentimento é a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.

Não, o uso de dados pessoais de acesso público deve considerar a finalidade e interesse público que justificam sua disponibilização e ser de boa-fé.

Sim, INR tem todos os direitos previstos na LGPD. A LGPD não discrimina nacionalidade, se houver tratamento de dados no Brasil, os titulares são protegidos independentemente de sua nacionalidade ou localização.

Incidente de segurança com dados pessoais é qualquer evento, confirmado ou sob suspeita, relacionado à violação na segurança de dados pessoais, como: acesso não autorizado acidental ou ilícito, vazamento, tratamento inadequado etc.

Não, mas é uma boa prática e um elemento importante de boa governança de dados e privacidade, sendo que a adoção de políticas e boas práticas de governança é um fator atenuante em caso de imposição de penalidade ela ANPD com base na LGPD.

As sanções são advertência, multa (2% faturamento no Brasil limitado a 50 milhões de reais), multa diária, publicização da infração, bloqueio de dados e eliminação de dados.

As bases legais mais recorrentes são cumprimento de obrigação legal/regulatória e cumprimento de contrato.

Sim, no exercício de suas atividades as corretoras e distribuidoras devem compartilhar dados pessoais dos clientes com a B3, CVM, BACEN e, eventualmente, COAF. Sendo que este compartilhamento não pode ser obstado pelo investidor, já que decorre de obrigação legal/regulatória ou de cumprimento do contrato e, neste, caso sem compartilhar o contrato não pode ser concluído.

Não, o pedido de exercício de direito por titular não é absoluto. O agente de tratamento, no caso a corretora/distribuidora, a ANCORD ou a bolsa, conforme o caso, pode ter motivos legítimos para deixar de atender a uma solicitação de exercício de direitos. Essas situações incluem, por exemplo, casos em que uma revelação de informações específicas poderia violar direitos de terceiros, direitos de propriedade intelectual ou segredos de negócio do agente ou de terceiros, bem como casos em que pedidos de exclusão de dados não possam ser atendidos em razão da existência de obrigação do agente de reter dados, seja para cumprir obrigações legais, regulatórias ou para possibilitar a defesa do agente ou de terceiros em disputas de qualquer natureza.

Não, porque a divulgação de comitentes inadimplentes à bolsa e, conforme o caso, a bancos de dados de devedores inadimplentes tem amparo na LGPD na base legal de proteção ao crédito. Neste caso, o interesse coletivo de proteção ao crédito por meio da informação prevalece sobre o interesse individual do investidor.

Não, apesar da corretora/distribuidora atuar como intermediário entre o investidor e a B3 para suas operações e acesso a central depositária, no exercício de direitos previstos na LGPD, cabe ao investidor procurar a B3 diretamente.

Não, porque os dados solicitados seguem normas da CVM e Banco Central. Assim, não há excessos, há cumprimento de obrigação por parte das instituições para o adequado cadastro que é pressuposto para as operações.