Exercício dos direitos dos titulares de dados na LGPD

Considerações

Para o exercício dos direitos dos titulares, a Lei prevê um conjunto de ferramentas, que, no âmbito público, traduzem-se em mecanismos que aprofundam obrigações de transparência ativa e passiva, bem como criam meios processuais para provocar a Administração Pública.

Essas obrigações são: (i) obrigações de transparência ativa, isto é, de publicar informações sobre os tratamentos de dados pessoais por elas realizados em seus sítios eletrônicos de forma clara e atualizada (ii) meios de acesso à informação em transparência passiva; e (iii) meios de petição e manifestação à administração pública.

Em todos os casos, o titular do dado tem a faculdade de optar por resposta por meio eletrônico, seguro e idôneo para esse fim ou sob forma impressa.

Transparência Ativa – Publicidade

A LGPD impõe às pessoas jurídicas de direito público obrigações de transparência ativa. Isto é, de publicar informações sobre os tratamentos de dados pessoais por elas realizados em seus sítios eletrônicos de forma clara e atualizada, detalhando a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução desses tratamentos.

Também deve ser dada publicidade aos tratamentos de dados pessoais sensíveis em que seja dispensado o consentimento do titular, seja para cumprimento de obrigação legal ou regulatória, seja para tratamento compartilhado de dados necessários para a execução de políticas públicas previstas em leis ou regulamentos.

Quando o tratamento de dados pessoais envolver a obrigação legal de difusão destes em transparência ativa, estes devem ser publicados em formato interoperável e estruturado para o uso compartilhado, em cumprimento a LGPD e como já previa a LAI.

Quanto à localização da publicação das informações sobre o tratamento de dados pessoais, sensíveis ou não, devem ser publicados em seção específica de acesso a informação.

Serão informações sobre o tratamento de dados pessoais realizado órgão público, compreendendo a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução desse tratamento, dos dados do encarregado, do canal de acesso ao cidadão e o relatório de impacto em cumprimento a LGPD.

Meios de acesso à informação em transparência passiva

Parte substancial dos direitos dos titulares perante o poder público são exercidos por meio do exercício do direito de acesso à informação. É sempre importante salientar que a Lei12.527/2011, a LAI, já previa procedimentos e diretrizes básicas para o tratamento de dados pessoais no âmbito público.

Entre eles, estão o tratamento transparente, a garantia expressa aos direitos de personalidade e o consentimento do titular para a disponibilização de suas informações àqueles que não possuíssem a necessidade de conhecê-la no exercício de sua função pública. Aquela Lei chegou a prever, inclusive, regulamentação específica para o tratamento de dados pessoais no âmbito público.

A LGPD, reconhecendo esse legado, informa que, no âmbito público, os prazos e procedimentos para o exercício dos direitos do titular perante o Poder Público observarão o disposto em legislação específica, citando (mas sem se ater exclusivamente) a LAI, a Lei do Processo Administrativo e a Lei do Habeas data (essa última no âmbito judicial).

Desta forma, submetem-se aos prazos e procedimentos já estabelecidos pela LAI, inclusive com o recebimento dos requerimentos junto ao Serviço de Informação ao Cidadão – o exercício dos seguintes direitos expressamente previstos na Lei Geral de Proteção de Dados Pessoais:

a. Acesso à informação sobre a confirmação da existência de tratamento;

b. Acesso aos dados coletados;

c. Acesso à informação sobre entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;

d. Nos casos em que o tratamento tiver origem no consentimento do titular ou em contrato, o acesso à cópia eletrônica integral de seus dados pessoais. Devem ser observados os segredos comercial e industrial, nos termos de regulamentação da autoridade nacional, em formato que permita a sua utilização subsequente inclusive em outras operações de tratamento; e

e. Acesso às informações a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial.

Meios de petição e manifestação à administração pública

Como já mencionado, no âmbito administrativo, a LGPD cita expressamente as Leis 12.527/2011 (acesso a informação) e 9.784/1999 (processo administrativo) como referência não exclusiva para o exercício dos direitos dos titulares. É de se repisar que, ao mesmo tempo, ela aparta os procedimentos que ela prevê daqueles a serem utilizados em face do poder público, ao mencionar que o exercício de tais direitos seria realizado por meio de legislação específica.

Como a Lei não estabelece a observância exclusiva daquele conjunto das leis mencionadas, e considerando a existência de procedimentos mais benéficos ao titular para o exercício de seus direitos no que se refere a esse último conjunto apresentado, o mecanismo mais célere estabelecido pelo Código de Defesa dos Usuários de Serviços Públicos (Lei nº 13.460/2017) poderia ser adotado como padrão para o recebimento.

De solicitações de providências e reclamações relativas ao tratamento de dados. Além da vantagem em termos de prazo e procedimentos padronizados, com unidades de recebimento de petições e reclamações padronizadas e coordenadas, a Lei 13.460/2017, diferentemente da Lei Geral do Processo Administrativo, tem abrangência nacional, permitindo melhor coordenação entre instituições públicas na defesa dos direitos dos titulares de dados.

O titular do dado tem o direito, mediante requerimento expresso seu ou de representante legalmente constituído, sem custos, nos prazos e nos termos previstos em regulamento, de requisitar manifestação conclusiva do controlador ou agente responsável pelo tratamento sobre os seguintes itens:

a. Correção de dados incompletos, inexatos ou desatualizados;

b. Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto na LGPD;

c. Eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas na lei; e

d. Revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.

Canal de resposta de fácil acesso

A resposta deve ser providenciada de imediato e em formato simplificado; ou por declaração clara e completa, fornecida no prazo previsto em Lei e que indique: origem dos dados, a inexistência de registro, critérios utilizados, finalidade do tratamento (observados os segredos comercial e industrial).

O titular do dado tem a faculdade de optar por resposta por meio eletrônico, seguro e idôneo.

A petição deve ser respondida com agilidade, clareza e completude, sob pena de o titular dos dados ter a prerrogativa de representar contra o responsável na ANPD, organismos de defesa do consumidor ou ajuizar pretensão com tal causa de pedir.

Na impossibilidade de atendimento imediato do requerimento do titular do dado pessoal, o controlador poderá comunicar que não é agente de tratamento dos dados e indicar, sempre que possível, o agente; ou indicar as razões de fato ou de direito que impedem a adoção imediata da providência.

Revisão das decisões de tratamento automatizado

Por último, o titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.

Nas hipóteses acima, o controlador deverá fornecer, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial.

Quando tais segredos impossibilitarem o oferecimento de informações, a ANPD (Agência nacional de proteção de dados), poderá realizar auditoria para verificação de aspectos discriminatórios em tratamento automatizado de dados pessoais. A lei vem estabelecer um conceito claro, os dados pessoais são da pessoa física, e quem os trata precisa seguir o que determina a LGPD, e atender os preceitos normativos que legitimam o titular dos dados a requerer a manutenção e informação dos seus dados.