Monitoramento, algoritmos e privacidade: o que as orientações do CNPD sinalizam para conformidade e gestão de dados
O relatório final do Grupo de Trabalho 1 do Conselho Nacional de Proteção de Dados traz orientações concretas sobre os limites ao monitoramento de trabalhadores e aos riscos de discriminação algorítmica, exigindo que empresas e plataformas reequilibrem seus programas de compliance à luz dos direitos fundamentais.
Em junho de 2026, o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade (CNPD) consolidou o relatório final do seu Grupo de Trabalho 1 (GT1), dedicado à proteção de dados pessoais no contexto laboral. O documento, resultado de 120 dias de trabalho que envolveu especialistas, sindicatos, confederações empresariais e organizações da sociedade civil, representa a análise mais abrangente já empreendida no Brasil sobre a interseção entre LGPD, integridade e relações de trabalho. As recomendações contidas no relatório sinalizam uma mudança significativa na forma como reguladores, gestores e tecnólogos devem compreender o monitoramento, a automatização de decisões e a proteção da privacidade no ambiente corporativo.
A relevância deste diagnóstico vai além do setor público e de grandes corporações. Fornecedores de soluções tecnológicas, consultores de RH, gestores de integridade e compliance, bem como todos aqueles que oferecem ou implementam programas de monitoramento de produtividade, encontram-se em uma encruzilhada: adaptar suas práticas aos parâmetros técnicos definidos pelo relatório ou enfrentar riscos significativos de não conformidade, danos reputacionais e exposição a litígios. O presente artigo examina os principais achados e proposições do relatório, traduzindo suas recomendações em implicações práticas para as organizações.
Monitoramento é legítimo, mas não é ilimitado
O relatório não veda o monitoramento de trabalhadores no contexto laboral. Reconhece que o poder diretivo do empregador, previsto no art. 2º da CLT, inclui a prerrogativa de fiscalizar, disciplinar e organizar a atividade. Contudo, estabelece que essa prerrogativa não é absoluta e deve ser exercida em conformidade com os direitos fundamentais, especialmente a privacidade, a dignidade e a autodeterminação informativa do trabalhador.
O fundamento legal dessa limitação reside nos princípios da Lei nº 13.709/2018 (LGPD), particularmente a finalidade, a necessidade e a proporcionalidade. O relatório consolida entendimento de que a simples identificação de uma hipótese legal não autoriza o tratamento de dados; os princípios funcionam como filtros prévios que delimitam e orientam a escolha da base jurídica. Na prática, significa que um empregador não pode justificar o monitoramento por meio de uma base legal genérica como “legítimo interesse” sem demonstrar, concretamente, por que a medida é necessária, por que é proporcional aos riscos, e se não há formas menos invasivas para alcançar a finalidade declarada.
O relatório aponta como práticas recorrentes e problemáticas: coleta de dados fora do horário de trabalho; monitoramento contínuo sem limites claros; geração de dados sobre locais privados (vestiários, banheiros); captura de tela, registro de teclas e análise de atividades sem justificativa robusta de finalidade; e uso secundário de dados sem consentimento prévio específico. Essas práticas representam não apenas violações técnicas da LGPD, mas também uma compreensão equivocada de que o poder diretivo autoriza vigilância total.
Tecnologias invasivas: biometria, geolocalização e “boss ware”
O relatório dedica análise minuciosa a tecnologias específicas de monitoramento, estabelecendo parâmetros distintos de conformidade para cada uma delas.
Dados biométricos (reconhecimento facial, impressão digital, íris, voz):
Por se tratar de dado pessoal sensível (art. 5º, II, LGPD) e de natureza imutável )não pode ser alterado em caso de incidente de segurança), o uso deve ser excepcional e restrito a situações de risco relevante e devidamente justificado. O cumprimento de obrigação legal relativa ao controle de jornada (art. 74, CLT) não impõe necessariamente o uso de biometria. Deve-se priorizar alternativas menos invasivas, como crachás, sistemas de autenticação por PIN ou verificação por celular. A experiência internacional, citada no relatório (diretrizes da CNIL francesa), indica que biometria deve ser exceção, não regra. Quando adotada, exige realização de Relatório de Impacto à Proteção de Dados (RIPD) conforme a Resolução ANPD nº 23/2025, e salvaguardas técnicas reforçadas.
Geolocalização:
Legítima para controle de jornada e verificação de presença em campo, mas deve ser ativada apenas durante o horário de trabalho, com desligamento automático ao final do expediente. A preferência é por registro por evento (check-in/check-out) ou amostragem, não por rastreamento contínuo 24/7. Geolocalização fora do expediente ou para inferir atividades pessoais (frequência a locais de lazer, consultas médicas, participação em manifestações) viola a privacidade e é vedada. O Tribunal Superior do Trabalho já validou a geolocalização como prova de jornada (decisão ROT-23218-21.2023.5.04.0000), desde que limitada ao local e horário de trabalho.
Softwares de monitoramento de produtividade (“boss ware”):
Ferramentas que capturam cliques, tempo de inatividade, janelas ativas, uso de aplicativos, webcam, áudio ambiente e até reconhecimento facial para análise de emoções são classificadas como altamente intrusivas. O relatório destaca que essas práticas geram impactos negativos comprovados: aumento de estresse, ansiedade, comprometimento da saúde mental. Apesar disso, o Tribunal Superior do Trabalho tem validado seu uso apenas quando há ciência prévia inequívoca do trabalhador e desde que não ultrapasse os limites de necessidade e proporcionalidade.
O relatório recomenda que o desenho dessas soluções siga o princípio de “privacy by default”, privilegiando o menor nível de coleta possível. Métricas devem focar em entregas e resultados, não em vigilância contínua do comportamento. Adicionalmente, identifica-se um risco estrutural: a maioria dos fornecedores dessas ferramentas são grandes empresas estrangeiras, gerando dependência tecnológica e risco de uso secundário dos dados dos trabalhadores pelos próprios fornecedores, sem transparência adequada.
Algoritmos opacos e o direito à revisão de decisões automatizadas
Uma das principais conclusões do relatório é a falha sistêmica na implementação do art. 20 da LGPD no contexto laboral. Este artigo assegura ao titular o direito de obter revisão de decisões automatizadas que afetem seus interesses legais. Na prática, contudo, a opacidade algorítmica prevalece: trabalhadores não sabem como algoritmos distribuem tarefas, calculam pontuações de desempenho, definem sua reputação ou até determinam sua suspensão ou bloqueio.
O relatório aponta que as empresas mantêm esses algoritmos sob sigilo empresarial, argumentando proteção de segredos comerciais. Contudo, o direito do trabalhador à compreensão mínima não é incompatível com a proteção de código-fonte. O que se exige é transparência significativa: quais dados são coletados e como alimentam o algoritmo; quais critérios e métricas são utilizados; como a pontuação é calculada e interpretada; quais decisões podem ser afetadas; se há revisão humana e quais são os canais de contestação.
A ausência de transparência compromete a capacidade do trabalhador de compreender e contestar decisões que afetam sua renda, permanência no vínculo e oportunidades de carreira. O relatório recomenda boas práticas incipientes já implementadas por algumas organizações: disponibilização de dashboards individuais com as métricas utilizadas; possibilidade de solicitar revisão humana; canais de reclamação acessíveis; manutenção de governança algorítmica com inventário de modelos, documentação de testes de viés e registro das decisões que impactam trabalhadores.
Riscos discriminatórios: quando algoritmos reproduzem e amplificam desigualdades
O relatório identifica um risco crítico negligenciado em muitos programas de compliance: sistemas automatizados podem gerar ou amplificar discriminações por raça, gênero, idade, condição de saúde, deficiência e outras características protegidas, mesmo quando critérios são aparentemente neutros. A discriminação algorítmica ocorre por múltiplos mecanismos.
- Vieses em dados históricos: Algoritmos treinados com dados de desempenho passado reproduzem padrões discriminatórios existentes (avaliações inferiores para mulheres em licença-maternidade, menor pontuação para trabalhadores negros em contextos de racismo estrutural).
- Métricas enviesadas: Indicadores como “tempo de inatividade”, “número de pausas” e “velocidade de digitação” penalizam desproporcionalmente pessoas com deficiências, condições crônicas, neurodivergências ou aquelas que realizam tarefas de maior complexidade.
- Penalizações indiretas: Sistemas que ranqueiam automaticamente podem direcionar menos tarefas ou tarefas de menor valor para perfis repetidamente mal avaliados, reduzindo renda e oportunidades.
- Falta de auditoria algorítmica: A maioria dos empregadores não realiza auditorias periódicas para identificar vieses, e a ausência de Relatório de Impacto agrava o risco.
O relatório cita exemplos concretos: softwares que medem tempo de atividade em tela penalizam trabalhadores com responsabilidades familiares; geolocalização usada para avaliar desempenho prejudica quem reside em áreas periféricas; algoritmos de recrutamento treinados com dados históricos excluem automaticamente mulheres, negros ou pessoas mais velhas; sistemas de reconhecimento facial têm precisão menor para determinados grupos demográficos, gerando bloqueios ou avaliações injustas. O caso do iFood, mencionado explicitamente, demonstra como tecnologias de validação de identidade baseadas em reconhecimento facial reproduzem racismo algorítmico.
A jurisprudência recente reconhece essas falhas: condenação de plataforma de recrutamento por dano moral coletivo no TRT da 15ª Região ilustra que uso de algoritmos com viés discriminatório viola a LGPD, a Constituição e a legislação trabalhista. Mitigação desses riscos exige mecanismos estruturados de governança algorítmica, incluindo testes de viés antes da implantação, auditorias periódicas dos resultados e revisão humana significativa antes de qualquer decisão relevante baseada em pontuação automatizada.
Implicações práticas para as organizações
Riscos típicos identificados pelo relatório:
- Coleta excessiva de dados — captura de informações além do necessário, alimentando sistemas de vigilância desproporcional e criando exposição a vazamentos e usos secundários.
- Falta de transparência sobre tecnologias e algoritmos — impossibilidade de o trabalhador compreender e contestar decisões, comprometendo autodeterminação informativa e favorecendo litígios trabalhistas.
- Ausência de testes de viés — algoritmos perpetuando discriminações, gerando danos morais coletivos e responsabilidade civil objetiva das organizações.
- Dependência de provedores estrangeiros — falta de controle sobre uso secundário de dados, vulnerabilidades de soberania digital e transferências internacionais sem salvaguardas adequadas.
- Conformidade formal sem substância — avisos de privacidade genéricos, canais de direitos fictícios, programas de compliance que não reduzem riscos reais.
Oportunidades de conformidade e diferenciação:
- Adoção de “privacy by design” em novas soluções de RH e monitoramento, priorizando arquiteturas que minimizam dados desde a concepção.
- Realização de Relatórios de Impacto à Proteção de Dados (RIPD) para sistemas de monitoramento, avaliação de desempenho e IA, documentando finalidade, necessidade, proporcionalidade e mitigação de riscos.
- Implementação de governança algorítmica robusta: inventário de modelos, documentação de critérios, testes de viés, auditoria periódica de resultados, registro de decisões automatizadas.
- Transparência significativa sobre tecnologias, mediante dashboards com métricas, explicações dos algoritmos em linguagem acessível, e canais de contestação efetivos.
- Renegociação de contratos com fornecedores de software, reduzindo dependência de provedores únicos e incluindo cláusulas sobre limitação de uso secundário e transferências internacionais.
- Diálogo social contínuo com representantes de trabalhadores, incorporando proteção de dados em negociações coletivas e comissões paritárias permanentes.
As recomendações do CNPD consolidam entendimento que já vinha se formando na jurisprudência trabalhista e nas orientações de autoridades internacionais de proteção de dados: monitoramento é legítimo, mas não é ilimitado; transparência algorítmica não é opcional; discriminação automatizada viola direitos fundamentais; e conformidade exige mais que documentos formais — requer mudança estrutural em como tecnologias são desenhadas, implementadas e auditadas. Empresas que antecipar essas mudanças reduzem riscos legais, ganham diferenciação competitiva e consolidam confiança com seus colaboradores e fornecedores.
Fontes:
CONSELHO NACIONAL DE PROTEÇÃO DE DADOS PESSOAIS E DA PRIVACIDADE. Proteção de Dados no Contexto Laboral: relatório final do GT1. Brasília: CNPD, 2026.
Read More
Dia Internacional da Proteção de Dados: um marco global e nacional
Dia Internacional da Proteção de Dados: um marco global e nacional
No dia 28 de janeiro, celebra-se o Dia Internacional da Proteção de Dados, um marco global que destaca a importância da proteção de dados e da privacidade em um mundo cada vez mais digitalizado, onde a segurança das informações é essencial para indivíduos e organizações. Mas por que essa data é tão significativa?
Um marco europeu com impacto global
A data faz referência à ratificação da Convenção 108 do Conselho da Europa, o primeiro tratado internacional sobre proteção de dados pessoais. Desde então, o continente europeu tem liderado os esforços nesse campo, influenciando diversas legislações ao redor do mundo.
A influência europeia sobre legislações estrangeiras é frequentemente chamada de “efeito Bruxelas”, e a proteção de dados é um exemplo claro desse fenômeno. Normas como o Regulamento Geral de Proteção de Dados (General Data Protection Regulation – GDPR) e o Regulamento Mercados Digitais (Digital Markets Act) exerceram um impacto profundo na formulação de legislações em diversos países.
No cenário dos dados pessoais, essa influência não apenas motivou o alinhamento às exigências europeias para facilitar relações comerciais com o bloco, mas também impulsionou um movimento global em defesa da transparência no tratamento de dados.
Com o avanço das tecnologias, os dados pessoais passaram a ser considerados um valioso ativo econômico, destacando a necessidade de regulamentações robustas para garantir transparência e segurança no tratamento dessas informações.
A Lei Geral de Proteção de Dados (LGPD)
No Brasil, a Lei Geral de Proteção de Dados Pessoais (LGPD), instituída pela Lei nº 13.709/2018, alinha o país às melhores práticas globais. Inspirada no GPDR, a LGPD estabelece diretrizes claras para o uso responsável de dados pessoais, protegendo os direitos dos titulares e promovendo transparência e segurança, tanto no setor público quanto no privado.
A lei define como “tratamento de dados” toda operação realizada com informações pessoais, como coleta, uso, armazenamento, compartilhamento e exclusão. Seu objetivo principal é garantir a privacidade e a segurança das informações, estabelecendo regras específicas que promovem responsabilidade e ética no tratamento de dados pessoais.
Para assegurar o cumprimento da LGPD, quatro pilares fundamentais devem ser observados: necessidade, finalidade, livre acesso e transparência. Isso significa que apenas os dados estritamente necessários devem ser tratados, sempre com clareza quanto aos objetivos do tratamento. Além disso, os dados devem ser acessíveis ao titular, permitindo que ele conheça e acompanhe com transparência o uso de suas informações.
Entre os direitos garantidos pela LGPD aos titulares de dados, destacam-se:
- Confirmação do tratamento e acesso: verificar quais dados estão sendo tratados e suas finalidades;
- Correção de dados: solicitar ajustes em informações incompletas, incorretas ou desatualizadas;
- Anonimização, bloqueio ou eliminação: exigir a exclusão ou restrição de uso de dados inadequados ou em desconformidade com a legislação; e
- Informação sobre consentimento: conhecer as consequências de consentir ou não com o tratamento de seus dados.
Atualmente, é impossível dissociar a proteção de dados pessoais de um sistema de governança eficaz, sendo peça-chave nas práticas ESG (ambiental, social e governança). No contexto ESG, a proteção de dados se destaca principalmente nos pilares social e de governança. A dimensão social enfatiza a necessidade de respeito à privacidade dos indivíduos e à ética no tratamento de informações pessoais, enquanto o pilar de governança exige que as organizações adotem políticas consistentes, mecanismos de controle, e nomeiem responsáveis, como o Encarregado de Dados (Data Protection Officer – DPO), para assegurar o cumprimento das obrigações legais.
A transparência, elemento essencial nas práticas ESG, fortalece a confiança entre as empresas, consumidores e demais stakeholders. Empresas que integram a proteção de dados às suas estratégias de ESG não apenas reduzem riscos relacionados a vazamento de informações e violações de privacidade, mas também demonstram compromisso com a sociedade e com a sustentabilidade de longo prazo da instituição.
Dessa forma, o ESG deixa de ser um conceito abstrato e passa a ser uma ferramenta estratégica, onde a proteção de dados assume papel essencial na construção de um ambiente empresarial mais responsável. Mais do que uma exigência legal, a LGPD é fundamental para um sistema de governança eficaz, tanto no setor público quanto no privado.
No âmbito privado, o desenvolvimento de políticas de privacidade e proteção de dados também se tornou um diferencial competitivo indispensável para as empresas.
Em um mercado cada vez mais atento à ética e à transparência, organizações que adotam boas práticas conquistam maior credibilidade. Esse movimento é especialmente relevante em um país historicamente sensível a questões de confiança institucional.
A proteção de dados na Administração Pública
A LGPD dedica um capítulo inteiro ao tratamento de dados pessoais pela administração pública, estabelecendo diretrizes para harmonizar o interesse público e a privacidade. Dessa forma, a adoção de medidas específicas não é apenas uma recomendação, mas um dever de proteger os direitos dos titulares, garantindo, também, transparência na administração.
A compatibilidade entre a LGPD e a Lei de Acesso à Informação (LAI) é um exemplo dessa harmonização. Enquanto a LAI assegura o direito de acesso às informações públicas, a LGPD preserva a privacidade dos dados pessoais, garantindo que tais acessos não comprometam os direitos fundamentais dos indivíduos.
Na administração pública, a proteção de dados se manifesta com destaque a duas formas principais, ainda que estejam interligadas: a forma como os próprios órgãos públicos lidam internamente com o tratamento de dados e o modo como as empresas que contratam com a administração pública adotam essas práticas.
Qual é o impacto do Dia Internacional da Proteção de Dados?
O Dia Internacional da Proteção de Dados vai além de uma simples celebração. É um momento para refletir sobre a importância da privacidade e segurança no tratamento de dados, bem como para reforçar a necessidade de adequação às regulamentações vigentes.
No Brasil, a LGPD se consolida como um importante instrumento para a proteção dos direitos dos titulares e o fortalecimento da transparência e ética nas relações institucionais. Sua implementação não cumpre apenas uma obrigação legal, mas também representa uma oportunidade de promover boas práticas de governança e construir relações de confiança com a sociedade. A data reforça a necessidade de um comprometimento coletivo em prol da segurança e da privacidade em um mundo cada vez mais conectado.
Read MoreA LGPD, agora em parcial vigor, institui regime jurídico devotado à disciplina das operações de tratamento de dados realizadas por entes que compõem o poder público, dos quais se espera que envidem esforços para garantir efetivas prestações estatais para concretizar as normas de proteção de dados pessoais.
Matheus Lopes Dezan[i]
Em 18 de setembro de 2020, sexta-feira, iniciou-se a parcial[ii] produção de vigor pela Lei Federal nº 13.709, de 14 de agosto de 2018, usualmente denominada Lei Geral de Proteção de Dados Pessoais (LGPD)[iii]. Cessa o período de vacatio legis da LGPD após extenso processo legislativo. Isso porque, em 29 de abril de 2020, fora adiada a vigência parcial da LGPD para 03 de maio de 2021, por força do 4º artigo da Medida Provisória nº 959[iv]. Contudo, o Congresso Nacional, em 26 de agosto de 2020, optou pela remoção do artigo 4º da MP nº 959/2020 durante votação acerca da conversão dessa MP em Lei Ordinária Federal nº 14.058, sancionada pela Casa Civil na última sexta-feira, 18 de setembro.
Em face do exposto, vigora parcialmente a LGPD, lei que serve de eixo ao sistema normativo brasileiro de proteção de dados pessoais, provocando importantes alterações para as relações público-privadas[v], sobretudo em face do contexto de uma administração pública eletronizada[vi].
A LGPD E A ORDEM CONSTITUCIONAL
A LGPD regula as operações de tratamento de dados pessoais realizadas por agentes públicos e privados, isto é, regula operações tais quais as de acesso, de coleta, de armazenamento, de processamento e de compartilhamento de dados pessoais (informações que versam sobre atributos da pessoa natural identificada ou identificável – artigo 5º, I, LGPD). Instituem-se, pois, garantias normativas postas em defesa do titular de dados tratados.
Nesse sentido, a fim de tornar efetiva a proteção que confere à categoria de dados pessoais, a LGPD busca dar concreção a normas constitucionais fundamentais. Para isso, afirma como fundamentos seus o respeito à privacidade, ao livre desenvolvimento da personalidade (corolário lógico-jurídico do respeito à dignidade humana, positivado pelo inciso III do artigo 1º da CF/88), aos direitos de autonomia informacional da personalidade, às liberdades de expressão, de informação e de comunicação, à intimidade, à honra, à imagem e a outros direitos fundamentais que servem de axioma à nova lei de proteção de dados (artigos 1º e 2º, LGPD).
Do mesmo modo, operações de tratamento de dados pessoais devem observar, em regra, diretrizes normativas de finalidade, de adequação, de necessidade, de livre acesso, de qualidade de dados, de transparência, de segurança, de não discriminação e outras diretrizes afirmadas pela doutrina estudiosa de temas afeitos à proteção de dados pessoais e positivadas pela LGPD (artigo 6º, LGPD).
Precisamente, no que concerne a operações de tratamento de dados pessoais realizadas pelo poder público, importa a observância das diretrizes positivadas em lei para que haja adequação das relações público-privadas às premissas de um Estado efetivamente Democrático e de Direito, que age em atenção à proteção de direitos fundamentais individuais e coletivos e em prol do interesse público.
Há, no entanto, especificidades próprias do regime jurídico criado pela LGPD e devotado aos órgãos e entidades administrativas, que merecem mais profunda abordagem em tópico apartado.
O TRATAMENTO DE DADOS PELO PODER PÚBLICO
O capítulo IV da LGPD é dedicado à instituição de novo regime normativo para a regulação das operações tratamento de dados pessoais executadas pelo poder público. Trata-se de regime jurídico distinto daquele por meio dos quais são disciplinadas as pessoas jurídicas de direito privado, o que se justifica em razão das particularidades de prerrogativa que a administração pública ostenta.
De pronto, pode-se destacar que o tratamento de dados pelo poder público deve atender a finalidades públicas, com respaldo no interesse público, a fim de que seja possível a execução das atribuições legais do poder público, tais como a execução de políticas públicas, a prestação de serviços públicos e administração da res publica (artigo 23, LGPD). Em todos os casos, deve-se lembrar, observam-se os fundamentos e princípios da LGPD e resguardam-se os direitos do titular dos dados tratos, que deve ser informado sobre os usos que se fazem dos dados tratados por entidades administrativas, bem como deve ter acesso a essas informações em veículos de fácil acesso, sobretudo em portais governamentais em sites da internet (artigo 23, I, LGPD). Ainda, o exercício dos direitos do titular de dados deve ocorrer com amparo no remédio constitucional do Habeas Data, nas disposições da Lei Geral do Processo Administrativo e, ainda, na Lei de Acesso à Informação, todos integrantes do sistema normativo de proteção de dados pessoais ordenado pela LGPD (artigo 23, § 3º, LGPD).
Esse mesmo regime jurídico de direito público disciplina a prestação de serviços notariais e de registros, do mesmo modo que disciplina a execução, por empresas públicas e por sociedades de economia mista, de serviços e políticas públicos (artigo 23, §§ 4º e 5º e artigo 24, parágrafo único, LGPD). Nesses casos, os dados tratados devem ser armazenados em formato interoperável, de modo que seja possível o compartilhamento de dados pessoais entre órgãos da administração pública, para a execução de políticas públicas. O compartilhamento de dados entre entidades administrativas e empresas privadas é estritamente vedado pela LGPD, salvo em casos excepcionais, sendo sempre devida comunicação acerca do compartilhamento à autoridade nacional e ao titular dos dados (artigos 24 e 25, LGPD).
Sem embargos, empresas públicas e sociedades de economia mista que atuam em regime privado de concorrência devem observar a disciplina normativa própria de entidades privadas (artigo 24, caput, LGPD).
Não se aplicam as normas da LGPD quando o tratamento de dados pessoais ocorrer para fins de segurança nacional, de defesa nacional e de segurança do Estado, bem como para fins investigação e de repressão de infrações penais. Dessa forma, em caso de a administração pública tratar dados pessoais para uma das finalidades elencadas, não é devida a aplicação das normas da LGPD.
Similarmente, a LGPD concebe a possibilidade de a administração pública tratar dados pessoais sem o consentimento do titular dos dados tratados para a execução de políticas públicas previstas em lei, em regulamentos ou em contratos, convênios e outros, bem como a para fins de proteção da saúde pela autoridade sanitária, mesmo que sem consentimento do titular de dados (artigo 7º, III e IX, LGPD). De todo modo, é necessário assegurar ao titular dos dados tratados acesso facilitado às informações sobre essas operações de tratamento de dados, tais como informações sobre as formas de tratamento, sobre a identidade dos agentes de tratamento, sobre a finalidade do tratamento e sobre os direitos do titular (artigo 9º, LGPD).
A AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS
Para fiscalizar o cumprimento das normas positivadas pela LGPD, previu-se a criação da Autoridade Nacional de Proteção de Dados (ANPD), criada sem aumento de despesas e vinculada à Presidência da República (artigo 55-A, LGPD). A despeito dessa vinculação, em torno da qual pairam inesgotáveis debates, garante-se à ANPD autonomia técnico-decisória. Do mesmo modo, a autoridade nacional instituída por lei possui natureza jurídica transitória, sendo possível, em momento posterior, que a ANPD seja transformada em entidade da administração pública federal indireta, disciplinada por regime autárquico e especial (artigos 55-A, § 1º, e 55-B, LGPD).
Figuram dentre as competências da ANPD aquelas de zelar pela proteção de dados pessoais e pelo respeito aos segredos comerciais e industriais – sobretudo em caso de haver necessidade de auditar operações de tratamento de dados, como provê o artigo 20 da LGPD – de elaborar diretrizes da Política Nacional de Proteção de Dados Pessoais e da Privacidade e de aplicar sanções em caso de descumprimento das ordens legais (artigo 55-J, LGPD). Ademais, editou-se recentemente o Decreto nº 10.474, de 26 de agosto de 2020, que regulamenta com maior especificidade a estrutura e as atribuições da ANPD[vii].
Nada obstante, as sanções de multa previstas pela LGPD, e passíveis de serem aplicadas pela ANPD, apenas vigoram a partir de 1º de agosto de 2021, período reservado à estruturação da ANPD, o que apenas recentemente se iniciou.
UM PANORAMA GERAL
Em suma, a LGPD, agora em parcial vigor, institui regime jurídico devotado à disciplina das operações de tratamento de dados realizadas por entes que compõem o poder público. Consequentemente, espera-se que a administração pública, imergida no contexto de eletronização de seus atos, envide esforços, como o tem feito desde 2018, no sentido de convergir a sua estrutura interna para as disposições inauguradas pela LGPD, de modo que seja possível garantir efetivas prestações estatais em consonância com a ordem constitucional, concretizada pelas normas de proteção de dados pessoais.
QUADRO COMPARATIVO
Notas de fim de página
[i] Estagiário de Direito em Schiefler Advocacia. Bacharelando em Direito pela Universidade de Brasília (UnB). Membro do Laboratório de Políticas Públicas e Internet (LAPIN). Membro do Grupo de Pesquisa certificado pelo CNPq Direito, Racionalidade e Inteligência Artificial (DR.IA/UnB). Membro do Grupo de Estudos em Direito e Economia (GEDE/UnB/IDP). Membro do Grupo de Pesquisa em Hermenêutica do Direito Administrativo e Políticas Públicas (HDAPP/UniCeub). Membro do Grupo Bioethik: Grupo de Pesquisas em Bioética.
[ii] Por força do inciso I do artigo 65 da LGPD, os artigos 55-A, 55-B, 55-C, 55-D, 55-E, 55-F, 55-G, 55-H, 55-I, 55-J, 55-K, 55-L, 58-A e 58-B vigoram desde 28 de dezembro de 2018, e os artigos 52, 53 e 54, que versam acerca das sanções administrativas a serem aplicadas pela Autoridade Nacional de Proteção de Dados a infratores da Lei, por força do inciso I-A do artigo 65 da LGPD, vigoram apenas a partir de 1º de agosto de 2021. A redação da MP 959/2020, portanto, apenas modificou a redação do inciso II do artigo 65 da LGPD, que cuida da vigência dos demais artigos da lei.
[iii] BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm. Acesso em: 21 ago. 2020.
[iv] BRASIL. Medida Provisória nº 959, de 29 de abril de 2020. Estabelece a operacionalização do pagamento do Benefício Emergencial de Preservação do Emprego e da Renda e do benefício emergencial mensal de que trata a Medida Provisória nº 936, de 1º de abril de 2020, e prorroga a vacatio legis da Lei nº 13.709, de 14 de agosto de 2018, que estabelece a Lei Geral de Proteção de Dados Pessoais – LGPD. Disponível em: https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2250977. Acesso em: 21 ago. 2020.
[v] SCHIEFLER, Gustavo Henrique Carvalho. Diálogos público-privados. 1. ed. Rio de Janeiro: Lumen Juris, 2018.
[vi] SCHIEFLER, Eduardo André Carvalho. Processo administrativo eletrônico. 1. ed. Rio de Janeiro: Lumen Juris, 2019.
[vii] BRASIL. Decreto nº 10.474, de 26 de agosto de 2020. Aprova a Estrutura Regimental e o Quadro Demonstrativo dos Cargos em Comissão e das Funções de Confiança da Autoridade Nacional de Proteção de Dados e remaneja e transforma cargos em comissão e funções de confiança. Disponível em: https://www.in.gov.br/en/web/dou/-/decreto-n-10.474-de-26-de-agosto-de-2020-274389226. Acesso em: 21 ago. 2020.
Read More