Enquanto a União Europeia dá os últimos retoques no AI Act e os Estados Unidos intensificam investigações sobre o uso de IA em grandes plataformas, o Brasil avança na criação de um marco regulatório próprio. Mas será que estamos no caminho certo?

Brasil: avanços e desafios no PL de IA 

No Brasil, o Projeto de Lei sobre Inteligência Artificial (Projeto de Lei n° 2338, de 2023) avançou no Congresso, tendo sido apresentado na Câmara dos Deputados em 17 de março de 2025.  O PL propõe um marco regulatório para o desenvolvimento e uso da IA no País e visa estabelecer padrões de transparência, responsabilidade e segurança, assegurando que as aplicações de IA respeitem os direitos fundamentais e promovam o bem-estar social.

A proposta do PL estabelece a criação do Sistema Nacional de Regulação e Governança de Inteligência Artificial (SIA), formalizando a Autoridade Nacional de Proteção de Dados (ANPD) como coordenadora. Esse sistema é integrado pela coordenação (ANPD); por Autoridades setoriais (Anatel, Anvisa, Anac, Aneel, Banco Central, etc); Conselho Permanente de Cooperação Regulatória de Inteligência Artificial (CRIA); e pelo Comitê de Especialistas e Cientistas de Inteligência Artificial (CECIA). Vale destacar que o projeto sofreu cortes em pontos como direitos na proteção dos trabalhadores em relação a sistemas de IA, mas ainda contempla direitos mínimos, medidas de governança e sistemas de fiscalização para proteger os trabalhadores dos impactos negativos da IA.

Um dos pontos mais relevantes de destaque é a participação social e de entidades dos mais diversos setores da sociedade. Tem-se construído, a partir dos debates multissetoriais, uma regulamentação equilibrada e dialógica, sem abrir mão da inovação ou da segurança jurídica. 

Além disso, em 11 de março de 2025, o Conselho Nacional de Justiça (CNJ) publicou a Resolução nº 615, estabelecendo diretrizes para o desenvolvimento, uso e governança de soluções de IA nos tribunais brasileiros.

Principais diretrizes da Resolução nº 615:

• Governança e Auditoria: Os tribunais devem implementar processos internos que garantam a segurança e a transparência das soluções de IA, prevenindo erros e vieses discriminatórios. ​Confira mais detalhes em artigo de Laura Schertel Mendes e Rodrigo Badaró no Consultor Jurídico. 
• Classificação de Riscos: A resolução define critérios para classificar soluções de IA conforme seu nível de risco, com regulamentações mais rigorosas para aplicações consideradas de alto risco, como sistemas de identificação biométrica para monitoramento de comportamento. 
• Proibições Específicas: É vedado o uso de IA para avaliar traços de personalidade ou comportamentais de indivíduos com o intuito de prever crimes ou a probabilidade de reincidência, bem como para classificar pessoas com base em atributos sociais ou comportamentais na avaliação de direitos e méritos judiciais. ​

Em maio de 2025 ocorreu a instauração da comissão especial, presidida pela deputada Luisa Canziani e com relatoria do deputado Aguinaldo Ribeiro. No dia 27 de maio de 2025 aconteceu a Segunda reunião extraordinária da Comissão Especial para a apresentação do plano de trabalho que foi aprovado com aditamentos (inclusão de novos especialistas e ciclos de debates específicos por setor, por exemplo). A próxima reunião foi agendada para o dia 10 de junho e trata-se de realização de audiência pública e deliberação de requerimentos.

União Europeia: a implementação do AI Act e AI Action Summit

Na Europa, o AI Act entrou em fase de implementação prática, com as primeiras diretrizes detalhadas para a classificação de risco dos sistemas de IA. As regras se tornaram ainda mais rigorosas para aplicações de alto risco, como por exemplo, reconhecimento facial em espaços públicos e sistemas preditivos na segurança pública. Empresas que não se adaptarem podem enfrentar sanções financeiras significativas, o que tem levado startups que atuam com esses tipos de sistemas, a repensar os seus modelos de negócio.

A abordagem do AI Act segue a lógica de classificação de risco, com regras mais rígidas para sistemas que podem impactar direitos fundamentais, como reconhecimento facial e decisões automatizadas no setor público.

No entanto, algumas mudanças de última hora têm gerado críticas. Empresas de tecnologia pressionam para suavizar exigências, alegando que uma regulamentação excessiva pode impor barreiras à inovação e ao desenvolvimento. Já grupos de defesa de direitos digitais cobram regras mais duras, principalmente para a IA generativa, como o ChatGPT. O impasse está colocado: regular demais ou de menos pode gerar efeitos colaterais imprevistos.

Ainda em âmbito Europeu, Paris sediou o AI Action Summit em fevereiro de 2025, reunindo líderes globais para discutir estratégias e políticas relacionadas à IA. O evento contou com a presença de mais de 1.000 (mil) participantes de mais de 100 (cem) países, incluindo chefes de Estado, representantes de organizações internacionais, acadêmicos e membros da sociedade civil. O principal foco do Summit foi explorar as oportunidades econômicas proporcionadas pela IA, embora questões de segurança e ética também tenham sido abordadas.

O primeiro Relatório Internacional de Segurança de IA orientou as discussões no evento. Publicado em 29 de janeiro de 2025 pelo governo do Reino Unido, contando com a colaboração de 96 (noventa e seis) especialistas em IA, incluindo representantes indicados por 33 (trinta e três) países e organizações intergovernamentais, o relatório explora os avanços e riscos da inteligência artificial ao redor do mundo na atualidade.

Durante o Summit, a União Europeia anunciou o lançamento do InvestAI, uma iniciativa de €200 (duzentos) bilhões destinada a impulsionar o desenvolvimento de IA no continente. Este investimento inclui €20 (vinte) bilhões para a construção de “gigafábricas” de IA, visando treinar modelos de grande escala e complexidade. Além disso, uma coalizão de mais de 60 (sessenta) empresas europeias lançou a EU AI Champions Initiative, planejando investir €150 (cento e cinquenta) bilhões em negócios e infraestruturas relacionadas à IA nos próximos cinco anos.

No entanto, o Summit também evidenciou divergências significativas entre as nações. Estados Unidos e Reino Unido optaram por não assinar a declaração conjunta que visava promover uma IA inclusiva e sustentável, alegando preocupações com possíveis impactos na inovação e na segurança nacional. O vice-presidente dos EUA, JD Vance, enfatizou uma abordagem mais otimista e menos regulatória em relação à IA, alinhada à política “America First” do presidente Donald Trump.

Essas diferenças destacam os desafios na busca por uma governança global unificada para a IA. Enquanto a União Europeia e outras nações defendem uma regulamentação mais rigorosa para garantir o uso ético e seguro da tecnologia, países como os EUA e o Reino Unido trazem um balanço expressando receios de que regulamentações excessivas possam sufocar a inovação e a competitividade.

Estados Unidos: mudança de governo e ordens executivas 

Em janeiro de 2025, o presidente Donald Trump assinou uma ordem executiva revogando as regulamentações estabelecidas por seu antecessor, Joe Biden, relacionadas à Inteligência Artificial. Trump considerou essas regulamentações “perigosas”, argumentando que impediam a inovação ao impor controles governamentais desnecessários. A nova diretriz busca promover sistemas de IA “livres de vieses ideológicos” e “manter a liderança global dos EUA nessa tecnologia”. 

Além disso, Trump instruiu seus assessores a desmantelar políticas anteriores. A nova ordem estabelece a criação de um Plano de Ação em Inteligência Artificial dentro de 180 dias, visando reforçar a dominância global dos EUA em IA e promover a competitividade econômica, segurança nacional e o bem-estar humano. 

A OpenAI enfatizou a importância de investimentos externos e regulamentações de apoio para manter a liderança dos EUA em IA em relação à China. Em seu “Economic Blueprint”, a empresa destacou a necessidade de investimentos em chips, dados e energia, além de regulamentações nacionais imediatas. A OpenAI alertou que US$175 (cento e setenta e cinco) bilhões em fundos globais de investimento em IA poderiam migrar para a China se não fossem atraídos pelos EUA, potencialmente elevando a posição global chinesa. 

China: controle e padronização estatal 

Enquanto isso, a República Popular da China avançou em sua regulação com novas diretrizes obrigando empresas a submeter modelos de IA generativa à revisão estatal antes de lançá-los ao mercado – A Administração do Ciberespaço da China, a Comissão Nacional de Desenvolvimento e Reforma, o Ministério da Educação, o Ministério da Ciência e Tecnologia, o Ministério da Indústria e Tecnologia da Informação, o Ministério da Segurança Pública e a Administração Nacional de Rádio e Televisão divulgaram em conjunto as Medidas Provisórias para a Gestão de Serviços de Inteligência Artificial Generativa. Trata-se da primeira regulamentação administrativa sobre a gestão de serviços de IA Generativa da China, que entrou em vigor em 15 de agosto de 2023 e tem sido implementada durante o ano de 2025, inclusive com novas regras entrando em vigor no mês de setembro deste ano.

Em janeiro de 2025, a DeepSeek lançou seu primeiro aplicativo de chatbot gratuito, baseado no modelo DeepSeek-R1, disponível para iOS e Android. Em menos de três semanas, o aplicativo superou o ChatGPT como o mais baixado na App Store dos Estados Unidos, provocando uma queda de 13% (U$465 bilhões de queda) nas ações da Nvidia. Esse sucesso foi descrito como “uma revolução na IA”, marcando o início de “uma nova era de política arriscada em matéria de IA”. 

A DeepSeek, oficialmente conhecida como Hangzhou DeepSeek Artificial Intelligence Basic Technology Research Co., Ltd., é uma empresa chinesa de inteligência artificial especializada no desenvolvimento de modelos de linguagem de grande porte (LLMs) de código aberto. Fundada em 2023 por Liang Wenfeng, cofundador do fundo de hedge High-Flyer, a empresa está sediada em Hangzhou, Zhejiang. 

O modelo DeepSeek-R1 destacou-se por oferecer desempenho comparável a outros LLMs contemporâneos, como o GPT-4 da OpenAI, mas com custos significativamente menores. Enquanto o treinamento do GPT-4 custou cerca de US$100 milhões em 2023, o DeepSeek-R1 foi desenvolvido com um investimento estimado de US$6 milhões, utilizando apenas um décimo da potência computacional necessária para modelos similares. Esses avanços ocorreram em meio às sanções dos Estados Unidos que visavam restringir a capacidade da China de desenvolver sistemas avançados de IA. 

Iniciativas dignas de nota ao redor do mundo 

É impossível capturar, em um único texto, tudo o que está acontecendo no universo de debates sobre o tema da inteligência artificial. Ainda assim, algumas iniciativas merecem destaque por sinalizarem caminhos distintos – e, muitas vezes, ousados – na tentativa de regular, impulsionar ou redirecionar os rumos da IA ao redor do globo.

Índia: Em janeiro de 2025, o governo indiano anunciou a criação do Instituto de Segurança em IA para Inovação Responsável em IA (IndiaAI Safety Institute for Responsible AI Innovation) para garantir a aplicação ética e segura de modelos de IA. O instituto promoverá pesquisas alinhadas à diversidade social, econômica, cultural e linguística do país, utilizando conjuntos de dados locais e colaborando com instituições acadêmicas e do setor privado.

Singapura: Em maio de 2025, Singapura apresentou o “Consenso de Singapura sobre Prioridades Globais de Pesquisa em Segurança de IA” durante a Conferência Internacional sobre Representações de Aprendizado (ICLR). A iniciativa visa promover a colaboração internacional na pesquisa de segurança de modelos de IA avançados, enfatizando o desenvolvimento seguro de modelos e o controle de comportamentos de IA.

Arábia Saudita: Em maio de 2025, a Arábia Saudita lançou a empresa de inteligência artificial Humain, com o objetivo de desenvolver centros de dados avançados e fortalecer a infraestrutura tecnológica do país. A iniciativa faz parte da estratégia do governo para diversificar sua economia e se tornar um ator global no setor de IA. No mesmo mês, a Humain anunciou uma parceria com a Nvidia para o desenvolvimento de “fábricas de IA” na Arábia Saudita, com o intuito de posicionar o país como uma referência no setor no Oriente Médio.

E o que vem por aí? 

O primeiro semestre de 2025 sinalizou que a regulação da IA está avançando de forma acelerada e não homogênea pelo mundo. Países membros da União Europeia têm implementado estruturas regulatórias abrangentes, como o AI Act, que estabelece classificações de risco e diretrizes rigorosas para o uso de IA. 

Já nos Estados Unidos, apesar da existência de debates intensos, a abordagem tem sido mais fragmentada, com investigações específicas e ordens executivas que refletem mudanças das políticas internas. 

Em contraste, muitas nações (majoritariamente do Sul Global) enfrentam desafios como infraestrutura limitada, falta de expertise técnica e recursos financeiros restritos, o que dificulta a elaboração e a implementação de regulamentações eficazes. 

A ausência de uma abordagem coordenada globalmente contribui para disparidades na governança da IA em diferentes jurisdições, aumentando o risco de lacunas regulatórias que podem ser exploradas por atores mal-intencionados.

O desafio continua sendo encontrar um ponto de equilíbrio entre a necessidade de regulação e a busca por um ambiente favorável à inovação. Os próximos meses prometem novas discussões e ajustes legislativos que podem redefinir os rumos dessa temática. Estaremos acompanhando de perto.

Para os curiosos de plantão

Abaixo deixamos algumas indicações de materiais para aprofundar o tema desenvolvido por aqui:

• [Podcast] Podcast Café da Manhã – A IA em debate no Congresso
• [Análise Técnica] A construção da legislação de Inteligência Artificial no Brasil: análise técnica do texto que será votado no Plenário do Senado Federal
• [Matéria] Fortune – The Paris AI Action Summit was a fork in the road—but whether the chosen path leads to prosperity or disaster remains unclear
• [Matéria] Projeto de Lei n. 2338/2023: Por uma regulação de Inteligência Artificial que defenda direitos!
• [Relatório] International AI Safety Report 
• [Livro] A Ética da Inteligência Artificial: Princípios, Desafios e Oportunidades

O post Regulação de IA no Brasil e no mundo: o que aconteceu no 1º semestre de 2025? apareceu primeiro em Maria Cecília.

Para entender esse “valor” é importante pensar nas informações não apenas como um “produto”, mas também um item de valor social e comportamental com implicações em outras áreas como acesso à saúde, educação, segurança, e mais.

É sobre isso que vamos tratar neste artigo. Entenda melhor a importância dos dados, seu valor e como protegê-los. 

O que são dados? 

Os dados são, como explica Bruno Bioni, “migalhas de informação que vão compor o retrato sobre quem nós somos” e que vão ficando pelo caminho quando usamos buscadores, aplicativos, redes sociais ou a internet de modo geral. São chamados dados pessoais as informações que identificam ou podem identificar uma pessoa.

Talvez você acredite que por entrar em um site e não deixar nenhuma informação sobre você, como seu e-mail, aquela empresa não pode identificar que você esteve ali — mas a realidade é um pouco diferente.

Os cookies são pequenos pacotes de dados que ficam armazenados entre o computador e o servidor de um usuário e que salvam as suas preferências de navegação. Então, se você entrar em um site mais de uma vez, ele poderá detectar as suas preferências e aplicá-las novamente, mostrando principalmente o que acredita que você deseja ver. 

Isso torna você e a sua navegação identificáveis para certos sites. Portanto, a menos que você use aplicativos e softwares que vão bloquear o compartilhamento dessas informações, essa coleta de dados acontece por toda a internet. 

Mas, o que há de interessante nessas informações de navegação? Qual o valor desses dados? É sobre isso que queremos conversar. 

? Veja também: O que são dados pessoais sensíveis e por que é importante protegê-los? 

Valor dos dados: o que isso significa? 

O valor dos dados não é um valor numérico específico. Não existe um número exato para falar quanto eles valem e, além disso, esse valor nem sempre está relacionado a uma questão financeira, mas também social, comportamental e até política. 

Em geral, os dados de uma única pessoa não são tão valiosos entre as empresas, mas são úteis na produção de um grande volume de informações sobre ela e sobre outras pessoas também. Com mais dados, é possível construir uma ideia cada vez mais completa de cada indivíduo e, também, de grupos específicos. 

Esse grande conjunto de dados usados pelas empresas pode ser chamado de big data e são usados de diversas formas pelas empresas. Seja para produzir oportunidades de negócio, entender melhor seus clientes e até, por exemplo, modular as tarifas de certos serviços de acordo com o comportamento. 

Falar sobre o valor dos dados significa pensar no quanto vale, para cada pessoa, entregar suas informações considerando a destinação que elas podem receber. 

Valor financeiro dos dados pessoais 

O mercado de publicidade digital, avaliado em US$ 300 bilhões, está concentrado em algumas poucas, mas grandes empresas como Alphabet, proprietária do Google, Meta, proprietária do Instagram, Facebook e WhatsApp, Amazon, Apple e TikTok. 

Cada uma delas tem seu próprio processo de coleta e tratamento de dados. Depois, é feito o processamento, segmentação e disponibilização e venda dessas informações, para que sejam desenvolvidas estratégias comerciais cada vez mais específicas e com ganhos cada vez maiores. 

Com estratégias mais direcionadas, se tornam maiores os números de vendas e o investimento em anúncios pagos se torna um ciclo. Por isso, a tendência é que se tornem mais específicos, invasivos e direcionados. 

Você já entrou em um site e, mesmo sem ter inserido seu e-mail, recebeu na sua caixa de entrada um conteúdo promocional daquela empresa? Esse tipo de ação pode vir justamente de campanhas publicitárias pagas em que o buscador vende as informações do perfil relacionado àquela busca. 

Outro caso é quando você pesquisa um produto e, ao entrar em outros sites, começa a receber anúncios daquele mesmo item. Esse é o retargeting, uma ação específica das campanhas de anúncios pagos que tem como objetivo impactar novamente um usuário que já realizou determinada busca. 

E como os serviços de anúncio sabem que você fez aquela busca? Pode ser pela conta logada no buscador, pelo computador, pelo IP ou uma série de outras informações que estão sendo captadas o tempo inteiro enquanto você navega na internet. 

Valor social dos dados pessoais 

O valor social dos dados pessoais está atrelado ao seu impacto na vida de cada pessoa. Com essas informações, empresas podem atingir diretamente como vivemos e as escolhas do nosso dia a dia. Cada empresa possui seu público-alvo, isto é, um grupo de pessoas cujo perfil possui maior probabilidade de se interessar ou comprar seus produtos ou serviços. 

Empresas que vendem cosméticos e produtos de beleza feminina, por exemplo, sabem quais produtos são mais prováveis de serem comprados por mulheres mais jovens ou mais velhas. Para se tornarem ainda mais personalizadas, usam os dados para entender quais conteúdos esse público consome, que sites acessa, quais perfis segue ou que tipo de conteúdo consome. 

Esses dados podem ser coletados pela própria empresa ou comprados de terceiros. A venda desses dados não costuma ser informada ou consentida pelo usuário do serviço. Depois, serão usados para ações ou análises de comportamento. Acontece que nem sempre esse uso tem um impacto apenas comercial, podendo chegar a outras camadas e causar impactos cada vez mais sérios de invasão de privacidade, por exemplo.  

Recentemente, uma mulher recebeu pelo WhatsApp um disparo publicitário de um laboratório que oferecia o serviço de congelamento do cordão umbilical de bebês. Ela havia mantido a gravidez em segredo e, naquele momento, havia acabado de passar por um aborto espontâneo. 

A informação da gravidez provavelmente foi comprada do laboratório onde ela havia feito o teste de gravidez. Contudo, se trata de um dado pessoal sensível que em nenhuma hipótese poderia ter sido divulgado sem o conhecimento ou autorização da titular dos dados. 

Esse é apenas um exemplo do uso desse tipo de informação. Pensando em outros cenários, podemos ver empresas comprando dados de laboratórios para descobrir se funcionárias estão grávidas ou querem engravidar. Serviços de seguro de saúde podem aumentar o valor da tarifa a partir do histórico médico ou até de compras em farmácias. Tudo isso viola uma série de artigos da LGPD e atinge diretamente o princípio da não discriminação dos dados.

? Veja também: Você sabe o que são os dados de saúde? Confira o conceito e exemplos! 

Valor político dos dados 

A empresa Cambridge Analytica, especializada em “political data”, ou dados políticos, foi contratada, em 2015, pelo então candidato à presidência dos EUA, Donald Trump, para realizar disparos e divulgações pagas para a sua campanha. A empresa usou dados fornecidos pelo Facebook para mapear o comportamento dos usuários da rede e influenciá-los politicamente. 

Segundo o Facebook, esse tipo de dados só poderiam ser acessados para fins acadêmicos. Quando um usuário cria sua conta no Facebook ele automaticamente autoriza que seus dados sejam usados nesse cenário. Acredita-se que a empresa coletou as informações sob o pretexto de usá-las para pesquisa e posteriormente usou o material na campanha de Donald Trump. 

São milhares de informações que vão desde preferências pessoais e localização até comportamento e interação, como qual o horário que determinada pessoa entra no Facebook ou quais páginas costuma verificar. Com esses dados, foram capazes de criar campanhas cada vez mais personalizadas e direcionadas aos eleitores. 

O caso da Cambridge Analytica é um marco no valor político dos dados pessoais e, também, no seu uso indevido. Além disso, também levantou uma série de questionamentos sobre o comportamento de empresas como Facebook e Google em relação às informações dos usuários.

Valor dos dados e privacidade 

Há quem defenda o uso dos dados para melhorar a qualidade dos serviços prestados, gerando mais personalização e maior valor aos clientes, mas existem dois problemas centrais nesse argumento: a base legal para autorizar o uso dessas informações e os problemas em relação à privacidade dos titulares de dados.

Um dos grandes problemas da coleta de dados hoje é que esse processo muitas vezes é feito às escondidas, sem que os seus titulares saibam como essas informações estão sendo coletadas, como vão ser usadas e quais são os seus direitos nessa relação. Indo além, essas informações, que podem ser pessoais ou até mesmo pessoais sensíveis, se vazadas, podem gerar consequências graves para os indivíduos. 

Ainda que os dados sejam cedidos pelo usuário, permanece a pergunta sobre a compreensão do valor dos dados. Será que sabemos realmente o quanto os nossos dados valem? Para entender o cenário, imagine que você descobre ser dono de uma antiguidade familiar e alguém, que você não conhece, deseja comprá-la. 

Você não sabe o valor daquele bem, mas o que está sendo oferecido parece ser algo razoável. Contudo, e se esse objeto for uma antiguidade que vale mais do que é oferecido? E se o preço é inestimável? Qual o valor emocional daquele objeto? 

Os dados compartilhados na internet podem ser vistos de forma parecida: antes de aceitar o valor que é oferecido por eles, vale a pena entender melhor o quanto valem e a sua importância. 

As possibilidades são infinitas e, com certeza, ainda não fomos capazes de prever todas elas. Por isso, os dados se tornam bens cada vez mais valiosos — e a importância de protegê-los está cada vez maior. 

? Saiba também: O que é o Direito de Acesso a dados pessoais?

Quer saber mais? 

Esse artigo é uma introdução para a compreensão do valor dos dados pessoais. Aqui estão algumas dicas para continuar os estudos: 

Para ver 

[TEDx] Por que a proteção de dados pessoais importa? | Bruno Bioni

Palestra sobre a importância de proteger dados pessoais e a relevância dessas informações para as empresas. 

[Documentário] Terms and Conditions May Apply

Documentário de 2013 que discute o que empresas e órgãos governamentais podem aprender sobre as pessoas a partir da forma como usam a internet e o que podem fazer com esses dados. 

[Documentário] Privacidade Hackeada 

Para entender um pouco mais o caso da Cambridge Analytica. 

O post O valor dos dados: quanto valem as suas informações? apareceu primeiro em Maria Cecília.

Para usá-los, é preciso seguir as bases legais definidas pela legislação e manter um olhar atento ao cumprimento dos princípios da LGPD. O titular é a pessoa sobre a qual essas informações se referem. No caso, você é o titular dos seus dados pessoais. 

Eles também são centrais em muitas ações desenvolvidas por empresas e órgãos governamentais, como campanhas de publicidade e atividades de vigilância. O uso dos dados pode trazer impactos sérios na autonomia e desenvolvimento de uma pessoa. 

Por isso, é importante protegê-los e garantir aos titulares conhecimento sobre seus direitos e obrigações dos operadores dessas informações. Sobretudo, para usar dados pessoais é preciso manter um alinhamento com os 10 princípios definidos pela LGPD e você confere cada um deles a seguir: 

10 princípios da LGPD, a Lei Geral de Proteção de Dados

A LGPD, a Lei Geral de Proteção de Dados do Brasil, foi publicada em 2018 e passou a valer em setembro de 2020. A legislação trouxe uma clareza maior sobre o tratamento correto a ser conferido aos dados pessoais, destacando fundamentos como a proteção à privacidade e intimidade da vida privada, e também o livre desenvolvimento da personalidade.  

Os 10 princípios gerais para o tratamento correto e legal de dados pessoais estão definidos no artigo 6º da LGPD. São eles: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas. 

Veja como cada um deles deve ser compreendido:

Finalidade 

O princípio da finalidade, na LGPD, é descrito como a “realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades”. 

Isso significa que os dados solicitados devem ser usados para cumprir a finalidade específica e plenamente adequada. Há a possibilidade de utilizar os dados para finalidades subsequentes, desde que essas sejam compatíveis com a finalidade inicial. 

Há ainda o artigo 10 que diz que “o legítimo interesse do controlador somente poderá fundamentar tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas”. Portanto, é importante que essa finalidade não seja trabalhada em abstrato, em contextos que podem ou não existir, mas a partir de um cenário real pretendido. 

Por exemplo, usar o dado de um cliente que entrou em contato com a empresa via SAC para ações de E-mail Marketing é, possivelmente, um caso de desvio de finalidade. Outro caso acontece quando alguém se inscreve para receber uma Newsletter e acaba recebendo também outros conteúdos de Marketing — aqui há uma maior compatibilidade com a finalidade originalmente definida. 

Adequação 

O princípio da adequação na LGPD é definido como a “compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento”. 

A violação do princípio da adequação seria usar os dados do titular em um contexto muito diferente do que aquele para o qual eles foram entregues originalmente.  

Necessidade

O princípio da necessidade na LGPD está previsto como a “limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados”. 

Quanto maior o volume de dados coletados, maior a responsabilidade sobre eles. Por isso, o tratamento dessas informações deve estar restrito ao mínimo necessário para o cumprimento da sua finalidade. 

Para realizar uma compra na farmácia, enviar uma newsletter ou baixar um e-book não é necessário coletar o CPF do titular. Esses dados podem ser fornecidos de forma voluntária, mas não exigidos como obrigatórios — nesse caso, podem ser vistos como uma violação do princípio da necessidade. 

Livre acesso 

O princípio do livre acesso na LGPD é caracterizado como a “garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais”. 

O proprietário dos dados tem o direito a acessar, de forma fácil e gratuita, as suas informações salvas por uma empresa ou organização. Além disso, também pode solicitar explicações sobre como eles estão sendo usados.  

Portanto, se o titular fizer o pedido, a empresa deverá, com base no princípio do Livre Acesso, fornecer informações sobre como esses dados foram coletados, onde e como. 

Saiba mais sobre esse princípio e como utilizá-lo: O que é o Direito de Acesso a dados pessoais? 

Qualidade dos dados 

O princípio da qualidade dos dados está previsto na LGPD como a “garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento”. 

Os dados pessoais tratados devem ser verdadeiros, claros, exatos e devem ter relevância para o propósito da empresa ou organização. Isso significa que é dever de quem coleta as informações, por exemplo, checar se os dados são realmente do usuário que os informou. 

Um exemplo dessa violação pode acontecer quando uma pessoa tem o acesso a crédito negado por informações de uma dívida que consta como aberta mas que, naquele momento, já está quitada. A informação usada está desatualizada e deve ser corrigida.

Em qualquer situação, o titular deve ter assegurado o direito de corrigir os dados fornecidos. 

Transparência

O princípio da transparência é tratado na LGPD como a “garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial”. 

A informação sobre o uso dos dados deve ser passada aos titulares de forma clara e transparente. Esse ponto reforça o direito que cada pessoa possui em saber para o que e como seus dados estão sendo utilizados. 

Portanto, ao solicitar acesso aos seus dados, por exemplo, é dever da empresa informar o que será feito com essas informações coletadas, com quem serão compartilhadas e outros tratamentos que serão feitos. 

Segurança 

O princípio da segurança é posto na LGPD como a “utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão”.  

Quem realiza o tratamento de dados pessoais tem como dever preservá-los e impedir que sejam usados por terceiros não autorizados. Caso o titular perceba que sofreu dano patrimonial ou moral pode, por exemplo, solicitar reparação junto à  Autoridade Nacional de Proteção de Dados, a ANPD.  

Prevenção 

O princípio da prevenção definido pela LGPD prevê a “adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais”. 

Para evitar que os dados pessoais sejam alvo de ataques, vazamentos ou acesso indevido por pessoal não autorizado, é obrigatória a adoção de medidas de prevenção. Portanto, cabe ao operador de dados pessoas agir também antes de alguma ocorrência.

Não discriminação 

O princípio da não discriminação é determinado pela LGPD como a “impossibilidade de realização do tratamento para fins discriminatórios, ilícitos ou abusivos”. 

Os dados informados não podem ser usados em ações discriminatórias em suas mais diversas formas, como preconceito racial, religioso, político, orientação sexual, filiação partidária, sindical.  

Um exemplo é a suspeita do impacto do gênero no valor do crédito concedido nos cartões Goldman Sachs, como apurado pelo Washington Post. Segundo o casal responsável por evidenciar o caso, apesar de terem o mesmo score de crédito, o homem possuía um valor 20 vezes maior. 

Sob a luz da legislação brasileira, caso confirmada a diferenciação por gênero, essa ação poderia ser uma violação do princípio da LGPD. 

Responsabilização e prestação de contas

Segundo a LGPD, o princípio de responsabilização e prestação de contas refere-se à “demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas”.

O responsável pelo tratamento de dados deve comprovar as ações realizadas para cumprir as normas e princípios da LGPD. Caso essa demonstração não seja possível, ele poderá ser penalizado. O grau e o tipo de penalidade vão depender da avaliação da ANPD. 

Confira como fazer uma denúncia à  ANPD: Como fazer uma denúncia à ANPD? 

Quer saber mais? 

Esse artigo serviu para apresentar brevemente os 10 princípios que norteiam a aplicação da LGPD e também a proteção dos dados pessoais. Caso queira saber mais, separamos alguns conteúdos que podem ajudar: 

Bons estudos! ?

Para ler

• Lei Geral de Proteção de Dados e GDPR: histórico, análise e impactos

Para assistir

• Quais direitos são garantidos pela LGPD? 
• LGPD em Movimento: Legítimo Interesse
• LGPD em Movimento: LGPD e Direito dos Titulares

O post Princípios da LGPD: entenda quais são e confira exemplos apareceu primeiro em Maria Cecília.

Neste artigo, entenda o que é o Direito de Acesso a dados pessoais e como ele pode ser exercido. Vamos lá?

O que é Direito de Acesso a dados pessoais?

Nos moldes da LGPD, o direito de acesso permite que o titular acesse quais dados pessoais são mantidos sobre ele, como estão sendo tratados e com quem são compartilhados. Especialmente em um ecossistema de tratamento de dados cada vez mais complexo, o direito de acesso pode desempenhar um papel crucial na proteção de direitos e garantias dos titulares de dados.

Os direitos dos titulares tem como objetivo possibilitar que toda pessoa tenha assegurada a titularidade e o controle sobre seus dados pessoais. No âmbito da Lei Geral de Proteção de Dados, estão assegurados no Art. 17. Além disso, a Lei possui um capítulo inteiro (Capítulo III – arts. 17 a 22) dedicado ao regime dos direitos dos titulares de dados pessoais. 

Assim, após um pedido de acesso aos dados pelo titular, deve ser possível verificar a adequação de uma organização aos outros princípios, como necessidade, finalidade, qualidade e não discriminação. Ainda, o direito de acesso pode ser uma oportunidade para as organizações melhorarem a relação e o atendimento ao titular, principalmente ao responderem às demandas de direito de acesso de forma eficiente e transparente, sempre maximizando a qualidade dos dados pessoais que possuem.

Como o titular deve ser informado ao exercer o seu Direito de Acesso?

No exercício do direito de acesso é indispensável que o titular seja informado sobre as categorias de dados objeto de tratamento, bem como sobre o conteúdo desses dados. Dessa forma, em uma resposta ao direito de acesso, não basta que o responsável pelo tratamento informe ao titular que o tratamento incide sobre o seu nome, endereço, data de nascimento e interesses.

O responsável pelo tratamento tem de informar e compartilhar com o titular, por exemplo, o nome: José; endereço: Endereço: Avenida Paulista, 100, São Paulo; a data de nascimento: 17.03.1991; e outros dados sobre compartilhamentos, tratamentos, direitos de titulares e demais informações extraídas, como inferências que gosta de forró, tem interesse em tecnologia e viagens para a Ásia. É importante também que seja fornecida a origem desses dados e a base legal para o tratamento.

?Caso você entenda que algum preceito da LGPD foi descumprido, você pode realizar uma denúncia à autoridade competente: confira aqui como realizar uma denúncia à ANPD.

Como exercer o Direito de Acesso a dados pessoais?

Para exercer o direito de acesso, o titular deve entrar em contato com qualquer organização que trate seus dados pessoais e solicitar o acesso aos dados objeto de tratamento.

Algumas organizações possuem plataformas específicas para solicitação de direitos, mas caso a organização não possua, basta solicitar através de algum contato institucional, como e-mail, carta, verbalmente, ou outra forma que a demanda chegue à organização. Normalmente as organizações possuem um endereço de e-mail encarregado@ ou privacidade@ em seu site, ou podem ter um contato geral ou endereço de e-mail de suporte.

Assim, escreva para a organização, incluindo seu nome completo, endereço e telefone de contato, e caso tenha qualquer informação usada pela organização para identificá-lo ou distingui-lo de outros com o mesmo nome (números de conta, IDs exclusivos etc.); e inclua detalhes das informações específicas que você precisa e quaisquer datas relevantes.

A resposta poderá se dar de duas formas:

(i) em formato simplificado, caso a confirmação ou o acesso seja providenciado imediatamente;

(ii) por meio de declaração clara e completa, com indicação da origem dos dados, inexistência de registro, critérios utilizados e finalidade do tratamento, conforme o caso, no prazo de quinze dias a contar da data do requerimento do titular dos dados.

Em relação aos custos, o requerimento referido deverá ser atendido sem custos para o titular, nos prazos e nos termos previstos em regulamento (art. 18, §5º).

Confira um modelo de solicitação de Acesso a Dados pessoais. Lembre-se de incluir seu nome completo e outros detalhes relevantes para ajudar a identificá-lo: 

Modelo de solicitação de acesso a dados pessoais

Prezados,

Solicito que forneça os dados pessoais que possui sobre mim, que tenho direito a receber por previsão da Lei Geral de Proteção de Dados Pessoais (LGPD), mantidos em:

[Forneça detalhes específicos de onde pesquisar os dados pessoais que deseja, por exemplo:]

• meu arquivo pessoal;
• meus registros médicos (entre 2014 e 2017) mantidos pelo ‘Dr X’ no ‘hospital Y;
• demonstrações financeiras (entre 2013 e 2017) mantidas na conta número xxxxx.
• dados de processo seletivo (entre 2019 e 2020) no processo X.

Caso precise de mais informações, por favor me avise o mais rápido possível.

[Se relevante, indique se você prefere receber os dados em um formato eletrônico específico ou impresso].

Pode ser útil para você saber que a LGPD exige que você responda a uma solicitação de dados pessoais dentro de quinze dias.

Se você normalmente não lida com essas solicitações, envie esta carta ao seu responsável pela proteção de dados ou membro da equipe relevante.

Com os melhores cumprimentos,

[Assinatura]

Após enviar o seu pedido, guarde uma cópia da solicitação e de todas as mensagens trocadas com a organização, isso será importante se você precisar reclamar mais tarde à ANPD que a organização não lhe forneceu as informações às quais você tem direito após fazer a solicitação de acesso a dados. 

Caso a organização não forneça os dados completos ou não responda, você pode procurar outras formas de solucionar essa demanda. Caso ainda não tenha visto, o texto anterior traz informações de como fazer uma denúncia a Autoridade Nacional de Proteção de Dados (ANPD) e os órgãos de defesa do consumidor. Confira aqui!

Quero aprender mais! por onde posso começar?

O propósito deste artigo foi apresentar um breve panorama de como fazer uma solicitação de acesso a dados pessoais. Contudo, o tema é mais profundo e existe uma série de conteúdos que você pode acessar para continuar estudando.

Vamos apresentar, aqui, algumas dessas fontes. Bons estudos! ?

Para ler

•  O direito de acesso na Lei Geral de Proteção de Dados Pessoais (LGPD);

Para assistir

• Quais direitos são garantidos pela LGPD?

O post O que é o Direito de Acesso a dados pessoais? apareceu primeiro em Maria Cecília.

Você já ouviu falar em dados biométricos? 

Trata-se de um conceito muito relevante em nosso atual contexto tecnológico. Vamos falar de um caso real para exemplificar essa importância.

No ano de 2018, o Instituto Brasileiro de Defesa do Consumidor (IDEC) ajuizou uma ação civil pública contra a empresa ViaQuatro, concessionária da linha 4 do metrô da cidade de São Paulo (a linha amarela). O IDEC pedia o desligamento das câmeras dessa linha em função de um uso indevido dos dados das imagens dos transeuntes, além de solicitar o pagamento de danos morais coletivos.

O problema era que as imagens captadas pelas câmeras estavam sendo utilizadas para analisar as emoções dos passageiros. Dessa forma, era possível avaliar a resposta destes passageiros aos anúncios publicitários veiculados no interior do metrô.

Ou seja, a tecnologia era capaz de afirmar se a pessoa gostou ou não da propaganda, com base nas expressões de seu rosto.

A decisão liminar proferida em 2018, pelo Tribunal de Justiça de São Paulo (TJSP), determinou que as câmeras fossem desativadas e cobertas com adesivos. No ano passado, em 2021, o caso foi sentenciado, com a condenação da ViaQuatro ao pagamento do valor de R$100 mil.

Conforme ficou decidido no caso, houve coleta de dados sem o consentimento dos usuários, em desobediência às regras vigentes sobre proteção de dados. Você pode conferir mais sobre o ocorrido nessa matéria do IDEC. 

Recomendamos, também, a leitura da sentença do TJSP. Ela é um importante marco sobre o tema.

Esse caso ilustra aspectos relevantes sobre a proteção de dados biométricos. No presente artigo, vamos explicar o que são estes dados e quais são seus principais tipos.

Ao final você vai encontrar, como de costume por aqui, referências para aprofundar seus estudos!

O que são dados biométricos?

Dados biométricos são informações relacionadas a características biológicas e comportamentais mensuráveis da pessoa natural, capazes de identificá-la ou torná-la identificável. Um exemplo clássico de dados biométricos são as impressões digitais.

Dizendo de maneira mais simples: dados biométricos são informações reveladas pela nossa biologia ou comportamento, que podem ser medidas e utilizadas para nos identificar.

A definição acima surge da combinação de alguns dispositivos legais em vigência no ordenamento brasileiro, contidos:

1. Na Lei Geral de Proteção de Dados (LGPD), em seu art. 5º, incisos I e II;
2. No Decreto nº 10.046, de 9 de outubro de 2019, em seu art. 2º, inciso II.

Em primeiro lugar, a LGPD estabelece que dados biométricos são tipos de dados pessoais sensíveis, nos termos do art. 5º, inciso II. 

Por consequência, são tipos também de dados pessoais. Ou seja, estão relacionados à pessoa identificada ou identificável.

Em segundo lugar, encontramos outra definição no Decreto 10.046 de 2019. Trata-se de uma norma relativa ao compartilhamento de dados no âmbito da administração pública federal. Institui, também, o Cadastro Base do Cidadão e o Comitê Central de Governança de Dados, o qual está atualmente sendo questionado na Ação Direta de Inconstitucionalidade 6649 perante o Supremo Tribunal Federal (STF).

Este decreto conceitua, em seu art. 2º, inciso II, os chamados “atributos biométricos”, da seguinte forma:

“(…) características biológicas e comportamentais mensuráveis da pessoa natural que podem ser coletadas para reconhecimento automatizado, tais como a palma da mão, as digitais dos dedos, a retina ou a íris dos olhos, o formato da face, a voz e a maneira de andar”.

Quais são os principais tipos de dados biométricos?

Confira, a seguir, alguns exemplos de dados biométricos:

1. Impressões digitais

As impressões digitais, encontradas em nossos dedos, são características físicas únicas de cada pessoa, como a maioria dos outros dados biométricos.

Atualmente, existem sistemas de reconhecimento por impressão digital em vários caixas eletrônicos e também nos celulares. Além disso, elas também são utilizadas como assinaturas, no caso de pessoas que não sabem assinar o próprio nome.

2. Palma das mãos

A palma da mão também pode nos identificar. Mais especificamente, alguns sistemas de reconhecimento analisam fatores como a sua geometria, que é particular de cada pessoa.

Você já assistiu a algum filme que retrata aqueles sistemas super tecnológicos de segurança? Se sim, já deve ter visto cenas em que as pessoas utilizam as palmas das mãos para abrir alguma porta ou cofre.

3. Rosto

De maneira similar à geometria das mãos, o formato do nosso rosto também é um dado com o potencial de nos identificar. Analisando a distância entre pontos da face, é possível encontrar padrões únicos em cada pessoa.

Além de possuir um potencial de identificação, a configuração do rosto pode revelar também informações sobre nosso estado emocional. Alguns programas de computador conseguem analisar eventuais movimentos de boca e sobrancelhas, por exemplo, para inferir se estamos tristes, felizes ou irritados.

4. Retina ou íris dos olhos

A retina ou íris dos olhos são outra espécie de dados biométricos. Hoje em dia já é comum que sejam utilizadas, inclusive, pelos celulares. Isso porque alguns smartphones utilizam sua câmera frontal para verificar os olhos da pessoa que tenta acessá-los, através de uma luz infravermelha.

5. Voz

O som produzido por nossas cordas vocais também é particular de cada pessoa, e constitui-se também como dado biométrico.

A tecnologia relacionada ao reconhecimento por voz está sendo muito desenvolvida atualmente. Computadores e outros dispositivos efetivamente compreendem o que estamos dizendo — é a ideia por trás de uma conversa com Alexa, Siri ou com mesmo com o Google.

Quero aprender mais sobre dados biométricos! Por onde posso começar?

O propósito deste artigo foi apresentar um conceito básico de dados biométricos e seus tipos. Contudo, o tema é mais profundo e existe uma série de conteúdos que você pode acessar para continuar estudando.

Vamos apresentar, aqui, algumas dessas fontes. Bons estudos! 😉

Para ler

• “Reconhecimento facial e o setor privado — Guia para a adoção de boas práticas”, manual elaborado pelo InternetLab, em parceria com o IDEC;
• “Linha de metrô é condenada por instalar câmeras com captura facial”, matéria do site Migalhas;
• “Proteção de dados pessoais em tempos de pandemia: novos paradigmas para o compartilhamento e o uso secundário de dados no poder público”, artigo de Miriam Wimmer, publicado no Panorama Setorial da Internet (vide entrevista II, com Nina da Hora)

Para assistir

• “O que é reconhecimento facial e como ele pode afetar sua vida“, vídeo da Folha de São Paulo, disponível no Youtube. 
• “O que precisamos saber sobre vigilância facial”, vídeo de Kade Crockford, disponível na plataforma TED.

Para escutar

• “Base que reúne dados de brasileiros ajuda ou atrapalha?”, podcast da Folha Café da Manhã, disponível no Spotify;

O post Descubra os dados biométricos, o que são e quais são os seus tipos apareceu primeiro em Maria Cecília.

Dados pessoais possuem uma importância sem precedentes em nosso atual sistema socioeconômico. Através da coleta de dados sobre pessoas, as empresas, os órgãos governamentais e outros atores captam subsídios para tomar decisões e alcançar seus objetivos.

Pesquisas, direcionamento de anúncios, vigilância e desenvolvimento de produtos: essas são algumas das aplicações que eles possuem nos dias de hoje. Mas seu potencial vai muito além, podendo inclusive afetar nossa autonomia para fazer escolhas.

A relevância desses tipos de dados impulsionou a edição de normas, no Brasil e no mundo, para garantir a sua proteção e fornecer ao titular um maior controle dos seus dados, na chamada autodeterminação informativa. Nós, enquanto juristas ou na condição de titulares dessas informações, precisamos compreender melhor como elas funcionam.

A partir da compreensão dessas normas, podemos obter mais segurança no uso de produtos e serviços, evitando danos decorrentes do vazamento ou tratamento indevido de dados pessoais. Essas situações, infelizmente, têm se tornado comuns.

Para citar um exemplo recente: 5 milhões de estudantes brasileiros foram vítimas de uma exposição indevida de seus dados, no mês de agosto de 2021. Clique aqui para conferir a matéria completa, de autoria do site The Hack.

O incidente ocorreu em função de falhas de configuração em um sistema do Instituto Nacional de Estudos e Pesquisas Educacionais Anísio Teixeira (Inep). No presente texto, vamos explicar o conceito de dados pessoais a partir da descrição deste caso concreto.

Vamos lá!

O que são dados pessoais?

Em síntese, dados pessoais são informações que identificam ou possibilitam a identificação de uma pessoa natural. Em outras palavras, são informações relacionadas a uma pessoa identificada ou identificável. Confira a seguir alguns exemplos de dados pessoais:

• Nome;
• CPF;
• Endereço de e-mail;
• endereço de IP (protocolo de internet) e cookies;
• Prontuário médico;
• Dados de localização geográfica.
  

Vamos explicar em mais detalhes a definição acima, a partir dos ensinamentos do autor Bruno Bioni na obra “Proteção de dados pessoais — A função e os limites do consentimento” (item 2.2.2 do livro).

De acordo com seu entendimento, a qualificação de um dado como pessoal depende de uma análise contextual, sobre o local (ou banco de dados) em que ele se situa. Para ilustrar, vamos tomar como exemplo o caso de vazamento introduzido no início deste texto.

Mas, antes disso é necessário ressaltar que a definição doutrinária sobre o tema ainda está sendo consolidada. Ao final do texto, vamos indicar algumas fontes para que você possa se aprofundar no assunto.

Dados pessoais na prática: entenda a diferença entre pessoa identificada e identificável

Retomando o caso do vazamento de dados pelo Inep: ocorreram, na ocasião, falhas no sistema do Exame Nacional de Desempenho dos Estudantes (Enade), que possui ligações diretas com o banco de dados do Exame Nacional do Ensino Médio (Enem). 

Em função das falhas, qualquer estudante com acesso ao sistema poderia consultar informações das pessoas cadastradas no Enade ou no Enem, a partir da edição de 1995. Bastariam conhecimentos básicos de programação.

O site The Hack testou essa afirmação e conseguiu extrair 9 mil cadastros com nome, email, gênero, senha em hash, nome da mãe e data de ingresso no sistema, a partir da consulta pelo CPF.

Para fins didáticos, fizemos essa tabela ficcional com algumas das informações que poderiam ser obtidas:

Essa tabela é um modelo de banco de dados relacionais. A relação entre suas linhas e colunas empresta significado aos dados que contém, de forma que podemos extrair delas certas informações.

Quais dos dados acima podem ser considerados dados pessoais?

Em relação ao CPF, fica mais fácil responder a essa pergunta. Isso porque ele se trata de um identificador único — para cada pessoa, existe apenas um CPF correspondente. A pessoa é devidamente identificada a partir desse dado, pelo que pode ser considerado um dado pessoal.

E em relação à coluna com o nome das pessoas? Como você pode perceber, existe um homônimo na tabela. Esse dado, por si só, não informa qual “Ana Maria dos Santos” estava registrada no sistema do Enade.

É possível, no entanto, relacionar esse dado com os demais e, assim, saber de maneira precisa de qual Ana Maria estamos falando. Há potencial de identificar a pessoa. Em outras palavras, ela é identificável.

Mas afinal, as informações da pessoa identificável também são consideradas dados pessoais?

Depende de qual linha é adotada.

Linha expansionista e linha reducionista

Há entendimentos diferentes no conceito de dados pessoais, os quais  podem ser sintetizados em duas linhas de pensamento: (i) expansionista; e (ii) reducionista.

• Na linha expansionista, ambas as informações de uma pessoa identificada e identificável seriam consideradas dados pessoais, e estariam assim abarcadas pelos institutos legais que visam a proteger esse bem jurídico. A pessoa relacionada ao dado pode ser indeterminada, e o vínculo com seus dados pode ser “mediato, indireto, impreciso ou inexato”, nas palavras de Bruno Bioni.
• Já na linha reducionista, os dados pessoais seriam apenas as informações de uma pessoa identificada. Ela se torna, portanto, uma pessoa específica e determinada por essas informações, com as quais se estabelece um vínculo “imediato, direto, preciso ou exato”.

A adoção de uma ou outra linha varia conforme a opção de cada ordenamento jurídico, e exerce influência direta na esfera de proteção de cada jurisdição. Vamos abordar, agora, a definição de dados pessoais segundo a Lei Geral de Proteção de Dados (LGPD).

O que são dados pessoais segundo a LGPD?

A LGPD considera como dados pessoais as informações pelas quais a pessoa natural se torna identificada ou identificável, conforme estipula seu art. 5º, inciso I. Adota, portanto, a linha expansionista na definição desse instituto.

Confira a íntegra do dispositivo abaixo:

“Art. 5º Para os fins desta Lei, considera-se:

I – dado pessoal: informação relacionada a pessoa natural identificada ou identificável;”

Essa opção da LGPD vai ao encontro da definição estampada em outras normas brasileiras sobre proteção de dados. Podemos citar, a respeito, o Decreto nº 8.771, de 11 de maio de 2016 (art. 14, inciso I), e a Lei nº 12.527, de 18 de novembro de 2018 (art. 4º, inciso IV), que também adotam a linha expansionista.

Na linha expansionista, podemos relacionar os seguintes exemplos de dados pessoais:

• Nome;
• E-mail;
• CPF;
• Endereço de IP;
• CEP; e
• Cookies, etc.

Como podemos depreender do art. 1º da LGPD, dados pessoais estão diretamente relacionados aos seguintes direitos fundamentais, disciplinados pela Constituição Federal de 1988:

• Direito à liberdade;
• Direito à privacidade;
• Direito ao livre desenvolvimento da personalidade.

A Lei Geral de Proteção de Dados também introduz um outro conceito importante sobre proteção de dados, que iremos abordar abaixo.

Quais são os tipos de dados pessoais?

Dentro do gênero “dados pessoais” existe uma espécie, denominada “dados pessoais sensíveis”, definidos pela LGPD da seguinte forma:

Art. 5º, inciso II – dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

A preocupação normativa em estabelecer esse tipo de dados pessoais se dá em função da maior vulnerabilidade que representam, do ponto de vista de seu titular. São informações que podem acarretar discriminação e, por isso, ensejam uma proteção maior da lei.

No caso do vazamento de dados do Inep, acredita-se que havia possibilidade de se levantar informações de laudos médicos dos estudantes. Mas podemos citar também outro caso concreto e emblemático sobre o tratamento de dados sensíveis.

Trata-se de acontecimento envolvendo a loja de departamento Target, dos Estados Unidos. Em resumo, ela havia desenvolvido uma tecnologia capaz de calcular a probabilidade de suas consumidoras estarem grávidas. 

Alcançava, inclusive, uma boa aproximação da data de nascimento da criança! As informações obtidas por essa ferramenta eram usadas para oferecer descontos em produtos para bebês.

O caso veio à tona quando um pai descobriu, em função dessas ofertas, que sua filha adolescente estava grávida, e serve para ilustrar o terreno delicado em que se encontram os dados pessoais sensíveis. Você pode entender mais sobre o ocorrido nessa matéria.

Ao lado dos dados pessoais sensíveis, existem outros que não representam o mesmo risco de discriminação de seus titulares. Nesse sentido, alguns exemplos seriam:

• Nome;
• Data de nascimento;
• Número de telefone;
• Número do CPF.

? Saiba mais sobre os dados pessoais sensíveis em outro artigo do nosso blog: O que são dados pessoais sensíveis e por que é importante protegê-los?

O que não são dados pessoais?

Por exclusão, os dados não considerados pessoais são aqueles que não identificam ou possibilitam a identificação de pessoas naturais. Como exemplo, temos os dados empresariais, como CNPJ e endereço eletrônico de empresas, e também dados anonimizados.

Importa ressaltar, no entanto, a importância de uma análise contextual para tal classificação. Tomadas isoladamente, algumas informações não serão consideradas como dados pessoais. Porém, a depender de sua conjugação com outras informações, elas podem mudar de categoria.

Um CEP, por exemplo, não é capaz de identificar alguém por si só. Pode ser que se refira a um prédio com vários apartamentos, ou a uma casa em que residam várias pessoas. Entretanto, se o CEP existir em um banco de dados com outras informações, como nome da mãe, é possível cruzar os dados e identificar seu titular.

Quero aprender mais sobre o assunto! Por onde posso começar?

O propósito deste artigo foi apresentar um conceito básico de dados pessoais. Contudo, o tema é mais profundo e existe uma série de conteúdos que você pode acessar para continuar estudando.

Vamos apresentar, aqui, algumas dessas fontes. Bons estudos! 😉

Para ler

• “Proteção de dados pessoais: A função e os limites do consentimento”, livro de Bruno Ricardo Bioni — capítulo II “Dados pessoais e direitos de personalidade”;
• “Da privacidade à proteção de dados pessoais”, livro de Danilo Doneda — capítulo III “A proteção de dados pessoais”;
• “Proteção de dados pessoais: Fundamento, conceitos e modelo de aplicação”, artigo de Laura Schertel Mendes.

Para assistir

• “Proteção de dados nas relações de consumo”, vídeo da Maratona LGPD: Os desafios na proteção de dados pessoais”, produzida pela OAB Nacional, disponível no YouTube;
• “O lado obscuro da coleta de dados pessoais voltada para o marketing”, vídeo de Kirk Grogan, disponível na plataforma TED;
• “Como os corretores de dados venderam minha identidade”, vídeo de Madhumita Murgia, disponível na plataforma TED.

Para escutar

• “Decisão histórica do STF estabelece proteção de dados como direito fundamental”, episódio 10 do podcast “Dadocracia”, do Data Privacy Brasil, disponível no Spotify;
• “Ouvi Direito? Dados Pessoais”, podcast do Instituto Brasileiro de Defesa do Consumidor, disponível no Spotify.

O post Você sabe o que são os dados pessoais? Compreenda o conceito! apareceu primeiro em Maria Cecília.

Quando falamos em proteção de dados, algumas pessoas acham que se faz muito alarde por poucos motivos.

“Qual é o problema de dar meu CPF na farmácia? Por quê não responder à pesquisa dessa empresa? Deixa eu fazer meu cartão da empresa X, não faz mal!”

De fato, muitas dessas situações parecem não representar qualquer risco grave.

No entanto, nós podemos perder o controle do que se sabe a partir dos nossos dados, e do que será feito com essa informação. Isso ocorre especialmente em função do tratamento de grandes bancos de dados.

Quando falamos em dados pessoais sensíveis, esse quadro se agrava. Eles merecem um cuidado especial, tanto de seus controladores quanto de seus titulares, para evitar certos problemas.

Por isso, preparamos o presente artigo. Vamos apresentar o conceito de dados pessoais sensíveis e falar um pouco sobre o seu tratamento legal, e explicar porquê é importante prestar uma atenção especial à sua proteção.

Boa leitura!

O que são dados pessoais sensíveis segundo a LGPD?

Dados pessoais sensíveis são dados pessoais “sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural”.

Esta é a definição contida na Lei Geral de Proteção de Dados (LGPD), em seu art. 5º, inciso II. Tal dispositivo estabelece um rol exemplificativo de dados pessoais sensíveis. 

Isso quer dizer que a LGPD nos apresenta uma lista exemplificativa de quais tipos de dados podem ser considerados sensíveis.

Exemplos de dados pessoais sensíveis

• Testes de DNA e perfis de mapeamento genético;
• Dados biométricos, como impressão digital ou reconhecimento facial;
• Score de crédito (registro dos hábitos de pagamento das pessoas e perfil socioeconômico);
• Prontuário e histórico médico;
• Ficha de cadastro em organizações religiosas, dentre outros.

Quando pode ser feito o tratamento de dados pessoais sensíveis?

O tratamento de dados pessoais sensíveis deve ocorrer conforme os procedimentos descritos na Seção II do Capítulo II da LGPD, que vai do seu art. 11 ao art. 13.

No art. 11, temos duas orientações fundamentais nesse sentido, tanto para os titulares quanto para os controladores dos dados. Ele nos diz que o tratamento de dados pessoais sensíveis pode ocorrer nas seguintes hipóteses:

1. Quando o titular ou responsável legal dos dados consentir com o tratamento, de forma específica e destacada, para finalidades específicas.
2. Sem o consentimento do titular, nas hipóteses em que o tratamento for indispensável para as situações indicadas nas alíneas de “a” a “g” no mesmo artigo.

Agora, vamos nos debruçar mais um pouco sobre cada uma dessas hipóteses.

1. Tratamento mediante o consentimento do titular

A primeira regra indicada no art. 11 da LGPD é de que o tratamento de dados pessoais sensíveis poderá ser feito mediante o consentimento da pessoa em questão. 

E quando este consentimento será considerado válido?

A resposta para essa pergunta passa por uma série de questões. Mas, em resumo, é necessário que o titular entenda, com detalhes, o que será feito com os seus dados, de forma específica e bem explicada. 

É preciso que existam informações suficientes para que ele tenha condições de decidir, por si mesmo, se quer autorizar ou não o tratamento de seus dados. Além disso, as condições devem ser bem veiculadas, de forma que a pessoa possua condições fáticas de compreender o tratamento e a sua finalidade. Isso alinhado à definição de consentimento trazida no art. 5, XII da LGPD, que é a: “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada”. 

Existe um termo para essa capacidade de decisão, ele é chamado de autodeterminação informativa. Trata-se de uma noção importantíssima quando falamos em proteção de dados.

A LGPD elege a autodeterminação informativa, inclusive, como um dos fundamentos da proteção de dados, em seu art. 2º, inciso II. Se você quiser entender melhor este conceito e suas origens históricas, pode conferir este artigo da autora Laura Schertel.

2. Tratamento sem o consentimento do titular

A LGPD também autoriza o tratamento de dados pessoais sensíveis sem consentimento de seu titular, em algumas situações específicas previstas nas alíneas do art. 11, inciso II. São os casos em que o tratamento for indispensável para:

• “cumprimento de obrigação legal ou regulatória pelo controlador;

• tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;

• realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;

• exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);

• proteção da vida ou da incolumidade física do titular ou de terceiro;

• tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou

• garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9º desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.”

Além de especificar bastante as hipóteses do tratamento, a LGPD também estabelece uma série de vedações e outras regras para lidar com os dados pessoais sensíveis. Percebe-se assim que eles possuem um regime mais rígido e mais protetivo.

Qual é a justificativa para toda essa preocupação legal com os dados pessoais sensíveis?

Por que os dados pessoais sensíveis recebem uma maior proteção pela LGPD?

Os dados pessoais sensíveis, por natureza, estão relacionados às informações delicadas sobre as pessoas — como etnia, religião e saúde. Por isso, existe o risco de serem utilizados em situações de discriminação, pelo que recebem proteção legal significativa.

Vamos dar um exemplo.

Suponha que uma trabalhadora gestante esteja desempregada. Ela inicia um processo seletivo e chega até sua última etapa, quando a empresa decide por não contratá-la.

Neste caso hipotético, a trabalhadora era a mais qualificada para exercer o cargo pretendido. Na verdade, ela foi desconsiderada por um motivo bem específico: a empresa descobriu sobre sua gestação, que iria representar uma série de custos no futuro.

Mas como essa informação foi descoberta? A trabalhadora, certamente, não a comunicou.

Pode ser que a seguradora de seu plano de saúde tenha compartilhado esse dado pessoal sensível, de forma indevida, com a empresa do processo seletivo. De qualquer forma, seu tratamento acarretou uma situação discriminatória.

Com a tecnologia que possuímos atualmente, muitos processos de tomada de decisão ocorrem com base em nossos dados pessoais. Nesta matéria, do veículo de comunicação El País, o escritor Manuel G. Pascual discute sobre as repercussões desse contexto tecnológico.

Em face desse cenário, é preciso redobrar os cuidados com nossos dados pessoais sensíveis. É por isso que lei, controladores e titulares precisam protegê-los.

Quero aprofundar meus estudos! Por onde posso começar?

O propósito deste artigo foi apresentar um conceito básico de dados pessoais sensíveis. Contudo, o tema é mais profundo e existe uma série de conteúdos que você pode acessar para continuar estudando.

Vamos apresentar, aqui, algumas dessas fontes. Bons estudos! 😉

Para ler

• “Dados pessoais sensíveis e consentimento na Lei Geral de Proteção de Dados Pessoais“, artigo de Caitlin Mulholland no Migalhas;
• “Algoritmos de destruição em massa — Como o Big Data aumenta a desigualdade e ameaça a democracia”, livro de Cathy O’Neil;
• “Da privacidade à proteção de dados pessoais”, livro de Danilo Doneda — capítulo III “A proteção de dados pessoais”;

Para assistir

• “Por que proteção de dados pessoais importa?“, vídeo de Bruno Bioni, disponível na plataforma TED
• “11° Seminário de Privacidade] O tratamento de dados pessoais sensíveis e práticas discriminatórias“, vídeo do 11º Seminário de Proteção à Privacidade e aos dados Pessoais no NICbrvideos. 

Para escutar

• “Dados faciais e cadastro biométrico”, podcast de Valente Cast, Temporada 2, episódio 113, disponível no Spotify
• “Ouvi Direito? Dados Pessoais”, podcast do Instituto Brasileiro de Defesa do Consumidor, disponível no Spotify

O post O que são dados pessoais sensíveis e por que é importante protegê-los? apareceu primeiro em Maria Cecília.