FAQ – Perguntas e respostas frequentes sobre a LGPD – Lei Geral de Proteção de Dados Pessoais na Santa Marcelina Cultura
A Lei Geral de Proteção de Dados (13.709/2018) foi criada com o objetivo de proporcionar à pessoa natural, cidadão brasileiro, um controle e conhecimento maior sobre o tratamento de seus dados pessoais. Neste sentido, a LGPD estabelece princípios e cria regras a serem observadas tanto por organizações privadas quanto públicas, além de criar uma entidade reguladora específica para o tema.
A fiscalização referente à aplicação, implantação e implementação da LGPD será realizada pela Agência Nacional de Proteção de Dados (ANPD), órgão da administração pública federal responsável por zelar, implementar e fiscalizar o cumprimento da Lei nº 13.709/2018. Compete à ANPD, entre outras atribuições, editar normas e diretrizes, orientar os agentes de tratamento e instaurar processos administrativos para apuração de infrações, podendo aplicar as sanções administrativas previstas na legislação quando constatadas irregularidades.
Adicionalmente, o Ministério Público permanece competente para atuar na tutela dos direitos difusos, coletivos e individuais homogêneos relacionados à proteção de dados pessoais, especialmente quando houver interesse público, sem prejuízo das atribuições conferidas à ANPD.
A Agência Nacional de Proteção de Dados (ANPD) é uma Agência Reguladora vinculada ao Ministério da Justiça e Segurança Pública, que tem como responsabilidade fiscalizar e garantir o cumprimento dos requisitos e exigências previstos em lei, bem como aplicar sanções administrativas em caso de descumprimento.
Nos casos em que se fizer necessário, a ANPD guiará a interpretação da Lei e regulamentará padrões e técnicas aplicáveis às questões de segurança da informação, interoperabilidade e processos de anonimização, além de poder requisitar informações sobre tratamentos de dados pessoais para agentes de tratamento, editar normas e orientações.
A lei se aplica a quaisquer operações que envolvam os procedimentos de coleta e tratamento de dados pessoais e que sejam realizadas em território brasileiro.
É toda a pessoa natural a quem se referem os dados pessoais que são objetos de coleta e tratamento.
Segundo a Resolução CD/ANPD nº 18, de 16 de julho de 2024, o DPO (Data Protection Officer) ou Encarregado de Dados Pessoais é a pessoa indicada pela controladora (Santa Marcelina Cultura) para atuar como canal de comunicação entre o controlador, os(as) titulares dos dados e a ANPD.
Ele está identificado no site institucional da Santa Marcelina Cultura e possui um canal específico para o recebimento de comunicações, solicitações e demais demandas relacionadas à proteção de dados pessoais.
É todo dado pessoal cuja informação está relacionada à pessoa natural identificada ou identificável. Como exemplos: número do CPF, data de nascimento, endereço residencial, fotos, vídeos, e-mail, entre outros.
A LGPD traz, no artigo 6º e seus incisos, os princípios que devem ser respeitados no tratamento de dados pessoais:
I - Finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
II - Adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
III - Necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
IV - Livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
V - Qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
VI - Transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
VII - Segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIII - Prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
IX - Não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
X - Responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.
O tratamento de dados pessoais somente poderá ser realizado:
O tratamento de dados é um conceito abrangente, que inclui uma variedade de atos, diante de qualquer tipo de manipulação realizada com informações de cunho pessoal. Em sua abrangência, vão desde processos comuns a diversos tipos de empresas e incluem, geralmente, a coleta, a reprodução, o acesso, o armazenamento e a distribuição de dados pessoais. Um exemplo simples? A criação de uma lista de e-mails ou, ainda, uma planilha contendo informações de pessoas físicas.
São compreendidos como dados pessoais sensíveis, conforme definido na Lei Geral de Proteção de Dados Pessoais (LGPD), aqueles relativos à origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
O tratamento de dados pessoais sensíveis somente poderá ocorrer com consentimento do(a) titular ou seu responsável legal, de forma destacada e para finalidades específicas.
Sem o devido fornecimento de consentimento do(a) titular, nas hipóteses em que for indispensável para:
Cumprimento de obrigação legal ou regulatória pelo controlador;
Pela administração pública, de políticas públicas previstas em leis ou regulamentos;
Estudos por órgão de pesquisa;
Exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral;
Proteção da vida;
Tutela da saúde;
Garantia da prevenção à fraude e à segurança do(a) titular.
Basicamente, podem ser encontrados três atores: o controlador, o operador e o encarregado, sendo que:
O controlador é toda pessoa natural ou jurídica de direito público ou privado, a quem compete as decisões referentes ao tratamento de dados pessoais.
O operador é toda pessoa natural ou jurídica de direito público ou privado que realiza o tratamento de dados pessoais em nome do controlador.
O encarregado de dados é a pessoa indicada pelo controlador e/ou operador para atuar como canal de comunicação entre o controlador, os(as) titulares dos dados e a ANPD.
A LGPD é aplicável a qualquer operação de tratamento de dados pessoais que tenha sido coletada em atividades realizadas dentro do território brasileiro ou que tenha como objetivo oferecer bens ou serviços a pessoas localizadas no Brasil, independentemente de estes dados pessoais terem sido coletados offline ou online, em meios físicos ou digitais.
Os Dados pessoais coletados off-line são aqueles obtidos sem a utilização de ferramentas informatizadas, como, por exemplo, a lista de presença em eventos.
Os dados pessoais coletados online são os que utilizam ferramentas informatizadas e/ou automatizadas para serem obtidos, tais como os cadastros de candidatos para processos seletivos, concorrendo a uma vaga de emprego, por exemplo.
O Dado anônimo ou anonimizado é todo e qualquer dado pessoal que, uma vez submetido a meios técnicos razoáveis, passe a não mais identificar ou a proporcionar a identificação de uma pessoa natural, direta ou indiretamente, de maneira definitiva e irreversível.
Basicamente, são aqueles casos em que o tratamento de dados pessoais é realizado por uma pessoa física para fins particulares e não comerciais, como, por exemplo, a coleta de dados pessoais dos integrantes da família para a elaboração de uma árvore genealógica; para fins exclusivamente jornalísticos, artísticos e acadêmicos; ou pelo Poder Público, nos casos de segurança pública, defesa nacional, segurança do Estado e atividades de investigação e repressão de infrações penais.
É toda a manifestação livre, informada, consciente e inequívoca segundo a qual o(a) titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. O consentimento e sua finalidade devem estar claros e destacados, para os fins a que se destina.
Sim. Nos termos da Lei Geral de Proteção de Dados Pessoais (LGPD), o(a) titular dos dados pode, a qualquer momento, revogar o consentimento anteriormente concedido, mediante manifestação expressa, nos termos da legislação aplicável.
Se a organização, por suas atividades, precisar de um dado pessoal já coletado com o consentimento do(a) titular para outra finalidade de uso, é necessário informá-lo sobre este novo intuito, considerando a especificidade. Importante ressaltar que, além de informar, é preciso atualizar o consentimento do(a) titular, por meio de nova coleta ou meio de obtenção da autorização.
O termo de consentimento, como consta no Art. 8º da Lei nº 13.709/2018 (LGPD), pode ser obtido por meio escrito ou por qualquer outro meio que demonstre, de forma inequívoca e consciente, a manifestação de vontade do(a) titular.
A lei não faz esta distinção. O consentimento para os dados sensíveis deve sempre explicitar a finalidade de seu uso, de forma destacada. Se houver alteração na finalidade, é preciso renovar o consentimento de forma expressa, conforme informado acima.
Se o responsável pelo tratamento de dados não o realizar dentro do que está previsto na lei, os controladores deverão ser diretamente notificados e responsabilizados. Caso o operador não tenha cumprido as rotinas e orientações repassadas e informadas dentro das normativas da LGPD pelo controlador, ou ainda, falhe na segurança dos dados, este também pode ser penalizado.
O grau e tipo de penalidade imposta irão depender da avaliação da Agência Nacional de Proteção de Dados, mas podem variar desde uma advertência, a determinação da publicação e divulgação da infração cometida, o bloqueio ou eliminação dos dados que sofreram violações e também multas simples e/ou diárias.
As multas são de até 2% do faturamento da empresa, limitadas a R$ 50.000.000,00 (cinquenta milhões de reais) por infração, além da possibilidade de suspensão das atividades de coleta e tratamento, sem prejuízo da responsabilidade civil e da obrigação de indenizar os danos causados aos(às) titulares dos dados.
A Lei considera como compartilhamento de dados pessoais toda comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicas, no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, mediante autorização específica, para uma ou mais modalidades de tratamento permitidas, bem como entre entes privados.
De acordo com a LGPD, o compartilhamento de dados pessoais pode ocorrer mediante o consentimento livre, informado, expresso e específico do(a) titular dos dados, bem como pela administração pública, por seus órgãos e entidades, para o tratamento e o uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres.
A LGPD já determina que o compartilhamento de dados sensíveis com o objetivo de obter vantagem econômica poderá ser vedado ou regulamentado pelas autoridades, e, no caso de dados que envolvam menores de idade (criança e adolescentes), poderá ser realizado em seu melhor interesse e diante das finalidades justificadas.
A LGPD estabelece critérios específicos, tanto no seu artigo 14 como no Enunciado nº 1/23, do Conselho Diretor da Agência Nacional de Proteção de Dados (CD/ANPD), no sentido de que o tratamento de dados pessoais de crianças e adolescentes poderá ser realizado em seu melhor interesse e diante das finalidades justificadas.
Para tratamento de dados de crianças até 12 anos de idade, será necessário obter o consentimento específico e, observando de forma obrigatória, pelo menos um dos pais ou o responsável legal.
Os dados de crianças e adolescentes poderão ser coletados sem o consentimento, quando for necessário para sua proteção ou para contatar os pais ou o responsável legal, sendo utilizados uma única vez e sem armazenamento. Sem o devido consentimento ou justificativa, não se admite, em nenhum caso, o compartilhamento ou o repasse dos dados a terceiros.
A LGPD determina que o controlador deverá comunicar, tão logo tome conhecimento e confirmadas as evidências, tanto ao (à) titular quanto à ANPD sobre a ocorrência de qualquer incidente de segurança, independentemente de porte, que possa causar risco, ameaça ou dano ao (à) titular.
Diante da ocorrência de fatos que resultem em incidentes, o Controlador deverá comunicar à ANPD e ao(s) titular(es) dos dados comprometidos/atingidos, além de executar as medidas necessárias para conter o vazamento de dados, reverter ou mitigar os efeitos do incidente, conforme o plano de resposta a incidentes e de remediação previamente estabelecido pela instituição.
Sim. Quaisquer dados pessoais tratados pelo Poder Público também estão sujeitos à LGPD. Contudo, em razão das prerrogativas legais, o Poder Público poderá realizar o tratamento de dados pessoais sem o consentimento do(a) titular quando esse tratamento for necessário à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, desde que sejam observados os princípios da LGPD e adotadas as medidas necessárias e proporcionais para assegurar o atendimento ao interesse público.
Segundo o artigo 26 da Lei nº 13.709/2018 (LGPD), faz-se a previsão de que o uso compartilhado de dados pessoais pelo Poder Público deve atender a finalidades específicas de execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, respeitados os princípios de proteção de dados pessoais elencados no art. 6º da LGPD.
A Lei proíbe a transferência dos dados pessoais constantes de bases de dados a que se tenha acesso, à exceção dos seguintes casos:
A análise e as ações para entrar em conformidade com a LGPD devem passar pela composição de pessoas, processos e tecnologia. É sabido que o uso da tecnologia faz muita diferença e é importante, pois, devido ao nível de complexidade da organização, seu apoio irrestrito consistirá em gerenciar todo o ambiente, unidades, serviços, departamentos e atividades, de acordo com os requisitos da lei, buscando realizar a gestão de maneira que consiga agregar, registrar e controlar todas as demandas relativas ao controle, privacidade, proteção e segurança dos dados, dentro dos padrões de boas práticas, governança e em atenção aos princípios gerais previstos na Lei e às demais normas regulamentares.
O uso de mecanismos automatizados e algoritmos não é proibido pela LGPD, uma vez declarada sua finalidade. Contudo, o artigo 20 da Lei, que cita situações que envolvam as decisões tomadas exclusivamente por meio de automação, isto é, sem que haja a participação de seres humanos, determina que, de acordo com o seu convencimento e interpretação, o(a) titular dos dados pode, sempre que assim desejar, requerer e acompanhar a revisão daquela decisão automatizada que tenha afetado seus interesses.
Casos que envolvam aspectos decorrentes das demandas assistenciais, tais como dúvidas, informações, sugestões, críticas e reclamações relacionadas às atividades e serviços desenvolvidos pela Santa Marcelina Cultura, devem ser direcionados ao Serviço de Atendimento ao Usuário (SAU).
Aquelas demandas que envolvam questões de cunho ético, reputacional e que se configurem como denúncias relacionadas às relações de trabalho ou com terceiros, tais como fraudes, corrupção, violência, discriminação, maus-tratos e outras questões de natureza ético-profissional, comportamental e de caráter humanitário, deverão ser encaminhadas por meio do Canal Direto da Santa Marcelina Cultura, disponível em: https://www.santamarcelinacultura.org.br/canaldireto/, que é o meio oficial de reporte de violações previstas no Código de Conduta Ética, Integridade e Transparência (Política de Compliance da Santa Marcelina Cultura, vide: https://www.santamarcelinacultura.org.br/wp-content/uploads/2023/12/CODIGO-DE-CONDUTA-ETICA-SMC_07.12.2023-1.pdf).
Caberá ao Encarregado pelo Tratamento de Dados Pessoais (DPO), entre outras atribuições, na condição de guardião das informações, atuar nas questões relativas à proteção, segurança, privacidade, tratamento, manejo, transferência, eliminação, confirmação de tratamento, acesso ou guarda de dados da organização e de seus(uas) titulares. Para tanto, tais demandas deverão ser encaminhadas por meio de formulário específico, com prazo de resposta de até 15 (quinze) dias, nos termos do art. 18 da Lei nº 13.709/2018 (LGPD).
Este site utiliza cookies e outras tecnologias semelhantes para melhorar a sua experiência em nossos serviços. Ao utilizar nossos serviços, você concorda com tal monitoramento. Consulte a Política de Privacidade para obter mais informações.