Sob medida: Advogado Tribunais Servidor
Sob medida
Ouvidoria

Processos

Espaço do servidor

Pró-Ser

Gestão de Desempenho

Ministros

Gestão de Documentos

Jurisprudência

Pesquisa

Súmulas

Outros

Publicações

Biblioteca

Entidades Relacionadas

Sessão de Julgamento

Serviços

Certidões

Bacen-Jud

Legislação

Visitação ao STJ

Concursos e estágios

Ouvidoria

Ajuda

Menu
Você está em: Início Leis e normas LGPD
Apresentação

Um marco na regulamentação sobre dados pessoais no Brasil

A Lei Geral de Proteção de Dados Pessoais (LGPD), Lei n. 13.709, de 14 de agosto de 2018 entrou em vigor em setembro de 2020. A lei representa um marco histórico na regulamentação sobre o tratamento de dados pessoais no Brasil, tanto em meios físicos quanto em plataformas digitais, como para instituições públicas e privadas. A proteção de dados pessoais também consta no rol de direitos e garantias fundamentais (art. 5, LXXIX), a partir da promulgação da Emenda Constitucional n. 115/2022.

O Conselho Nacional de Justiça (CNJ) editou a Recomendação 73/2020 e a Resolução 363/2021, que orientam os órgãos do Poder Judiciário a adotarem medidas para a adequação dos tribunais às disposições da legislação de proteção de dados pessoais.

Leia a íntegra da Lei Geral de Proteção de Dados Pessoais
LGPD – INFORMAÇÕES PRINCIPAIS

Os pontos mais importantes da nova lei

As normas introduzidas pela Lei Geral de Proteção de Dados Pessoais (LGPD) são reguladas expressamente pelos seguintes fundamentos:
I – o respeito à privacidade;
II - a autodeterminação informativa;
III – a liberdade de expressão, de informação, de comunicação e de opinião;
IV – a inviolabilidade da intimidade, da honra e da imagem;
V – o desenvolvimento econômico e tecnológico e a inovação;
VI – a livre-iniciativa, a livre concorrência e a defesa do consumidor;
VII – os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais.

A LGPD é aplicável a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país no qual estejam localizados os dados, desde que a operação de tratamento de dados seja realizada no Brasil; a atividade de tratamento tenha por objetivo a oferta de bens ou serviços ou o manejo de dados de indivíduos localizados no país; ou, ainda, que os dados pessoais objeto do tratamento tenham sido coletados em território nacional.

Entretanto, estão excluídos da aplicação da lei alguns meios de tratamentos de dados, a exemplo daqueles realizados para fins exclusivamente jornalísticos, artísticos e acadêmicos, além de informações relacionadas exclusivamente à segurança pública, defesa nacional, segurança do Estado e a atividades de investigação e repressão de infrações penais.

De acordo com a LGPD, as atividades de tratamento de dados pessoais deverão observar a boa-fé e uma série de princípios:
I – finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;
II – adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;
III – necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;
IV – livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;
V – qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;
VI – transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;
VII – segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIII – prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;
IX – não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;
X – responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais, e, inclusive, a eficácia dessas medidas.
A LGPD prevê que o tratamento de dados só pode ser realizado nas seguintes hipóteses:
  1. mediante o fornecimento de consentimento pelo titular;
  2. para o cumprimento de obrigação legal ou regulatória pelo controlador;
  3. pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV desta Lei;
  4. para a realização de estudos por órgão de pesquisa – garantida, sempre que possível, a anonimização dos dados pessoais;
  5. quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;
  6. para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei n. 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
  7. para a proteção da vida ou da incolumidade física do titular ou de terceiro;
  8. para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária;
  9. quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou
  10. para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.

A Lei Geral de Proteção de Dados Pessoais também determina que o titular da informação tem direito ao acesso facilitado às informações sobre o tratamento de seus dados. Essas informações deverão ser disponibilizadas de forma clara e adequada, e precisam esclarecer pontos como a finalidade do tratamento, a identificação do controlador, as responsabilidades dos agentes que realizarão o tratamento e os direitos da pessoa interessada. Nos termos da legislação, o titular dos dados pessoais também tem direito a obter do controlador informações como a confirmação da existência do tratamento; o acesso aos dados; a correção de dados incompletos, inexatos ou desatualizados; a eliminação dos dados pessoais tratados com o consentimento do titular; entre outros.

Segundo a LGPD, o tratamento de dados pessoais pelas pessoas jurídicas de direito público deverá ser realizado para o atendimento de sua finalidade pública e na busca do interesse público.

Com base nesse pressuposto, a lei estabelece que os órgãos públicos devem informar as hipóteses em que, no exercício de suas competências, realizam o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos.

A LGPD veda ao Poder Público transferir a entidades privadas dados pessoais constantes de bases de dados a que tenha acesso – exceto em algumas hipóteses, como nos casos de execução descentralizada de atividade pública que exija a transferência; nos casos em que os dados forem acessíveis publicamente; quando houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres; ou  na hipótese de a transferência dos dados objetivar exclusivamente a prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados.

Outro ponto previsto pela LGPD é que o controlador – pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais – deverá indicar encarregado pelo tratamento de dados pessoais.

O encarregado, por sua vez, é a pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

De acordo com a legislação, compete ao encarregado aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências; receber comunicações da autoridade nacional de proteção de dados, além de orientar os funcionários da entidade sobre as práticas que devem ser tomadas em relação à proteção de dados pessoais.

A Lei n. 13.853, de 8 de julho de 2019, promoveu algumas alterações na Lei n. 13.709/2018 e, para garantir o cumprimento das normas sobre proteção de dados, criou a Autoridade Nacional de Proteção de Dados, órgão vinculado à Presidência da República.

A ANPD é responsável, entre outros pontos, por elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade; fiscalizar e aplicar sanções em caso de tratamento de dados realizado em descumprimento à legislação; promover na população o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança; e promover ações de cooperação com autoridades de proteção de dados pessoais de outros países, de natureza internacional ou transnacional.

A Lei n. 13.853/2019 também criou a composição do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, cujas atribuições envolvem a proposição de diretrizes estratégicas para a elaboração da Política Nacional de Proteção de Dados Pessoais e da Privacidade, a confecção de relatórios anuais de avaliação da política nacional e a realização de debates e audiências públicas sobre a proteção de dados pessoais.

Transparência
A LGPD e o STJ

Pautado pela transparência e pela segurança nas informações, o STJ tem adotado diversas iniciativas para garantir o pleno cumprimento das disposições da Lei Geral de Proteção de Dados Pessoais (LGPD).

Por meio da Portaria STJ/GDG 178/2021, a Corte instituiu o Comitê Gestor de Proteção de Dados Pessoais (CGPD), responsável pelo processo de implementação da LGPD no tribunal.

Antes disso, já havia promovido a adaptação do SOU - Sistema de Ouvidoria do STJ, para o recebimento dos pedidos de tratamento de dados. A iniciativa permitiu ao Tribunal oferecer um canal para que os titulares possam exercer seus direitos, conforme o art. 18 da nova lei.

Você pode realizar e acompanhar os pedidos de tratamento de dados no formulário ao lado ou acessar diretamente o Sistema da Ouvidoria.

No âmbito interno, foi promovida também ação de educação com instrutores internos (facilitadores) sobre a LGPD na Prática, tendo como público-alvo os curadores de dados nomeados para cada unidade do tribunal.

Leia a íntegra da Lei Geral de Proteção de Dados Pessoais Leia o relatório da auditoria do TCU sobre as ações realizadas pelo STJ (2021)
Eventos:

WEBINÁRIO
A Aplicação da Lei Geral de Proteção de Dados Pessoais no Cotidiano do Poder Judiciário e do STJ

Íntegra do webinário (YouTube)

SEMINÁRIO
Seminário Internacional – Lei Geral de Proteção de Dados: a caminho da efetividade – 27/8/2019

Parte 1 | Parte 2
LGPD
Glossário

Com a introdução da Lei Geral de Proteção de Dados Pessoais, novos termos passam a fazer parte do vocabulário relacionado ao tratamento de informações no Brasil, como controlador, anonimização e autoridade nacional. Para evitar confusões, esses termos são descritos pela própria LGPD, e estão relacionados abaixo.

Vocabulário da LGPD Clique nos termos abaixo para conhecer seus significados
O controlador e o operador
Utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.
Órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento desta Lei em todo o território nacional.
Conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico.
Suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados.
Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.
Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.
Dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento.
Informação relacionada a pessoa natural identificada ou identificável.
Dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
Exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado.
Pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).
Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.
Órgão ou entidade da administração pública direta ou indireta, ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico.
Documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco.
Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.
Transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro.
Toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração.
Comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados.
Tipos de tratamento de dados pessoais
Diz respeito à obtenção e/ou visualização. Obtenção com visualização diz respeito à consulta.
Guarda dos dados que são tratados ​​em operações cotidianas. Manter um repositório de dados.
Conservação dos dados que não são usados ​​em operações do dia a dia, mas ainda precisam ser retidos. Ato ou efeito de manter registrado um dado, embora já tenha perdido a validade ou esteja esgotada a sua vigência.
Apreciação qualitativa do dado.
Determinar e atribuir ao dado uma classe, ordem, família, gênero, espécie ou tipo específicos dentro de um contexto organizacional. Maneira de ordenar os dados conforme algum critério estabelecido.
Toda forma de obtenção de novos dados. Pode ser realizada tanto de forma eletrônica – como por e-mail ou formulários web – quanto de forma física – como por contratos ou formulários de impressos.
Ação ou efeito de enviar o dado para um conjunto determinado de destinatários.
Ação ou poder de regular, determinar ou monitorar as ações sobre o dado.
Ação ou efeito de enviar o dado para um conjunto indeterminado de destinatários.
Ato ou efeito de dispor de dados a partir de algum critério estabelecido com outros órgãos, entidades, empresas ou pessoas.
Exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado. Ato ou efeito de excluir ou destruir dados do repositório.
Ato de copiar ou retirar dados de um repositório.
Ato ou efeito de alteração do dado.
Consiste em realizar uma série de atividades executadas ordenadamente sobre qualquer informação de entrada com o objetivo de gerar uma saída esperada ou aceitável.
Qualquer geração de dado, inclusive por análises e inferências.
Dado recebido ao final da transmissão.
Cópia do dado com o objetivo de reproduzi-lo em outro local ou noticiá-lo.
Mudança de dados de uma área de armazenamento para outra, ou para terceiro.
Ação ou efeito de enviar o dado entre dois pontos por meio de dispositivos elétricos, eletrônicos, telegráficos, telefônicos, radioelétricos, pneumáticos etc.
Servir-se do dado para um determinado fim. Ato ou efeito do aproveitamento dos dados.
Outros tipos de tratamento encontrados
Análise de dados que se assenta em técnicas e procedimentos.
Análise de dados qualitativos com foco na aplicação de técnicas que possibilitem uma percepção mais completa e profunda de uma realidade mais restrita.
Backups de dados são projetados para recuperação rápida de dados em casos como perda ou dano da informação.
Tratamento para a criação de uma coleção de dados e seus relacionamentos. É uma forma de estruturar a informação a fim de obter eficiência para buscas e padrões específicos de acesso, necessidades especiais para manejo de grandes volumes como Big Data: vetor, lista, pilha, fila, árvore.
Organização ou agrupamento de dados em uma ordem predeterminada, como uma organização alfabética ou numérica, de modo a permitir a recuperação de uma informação contida num arquivo ou tabela.
Proteção de dados
Legislação e publicações relacionadas
Legislação:
  • Lei Geral de Proteção de Dados Pessoais
  • Lei n. 13.853/2019 – altera a Lei n. 13.709/2018, para dispor sobre a proteção de dados pessoais e para criar a Autoridade Nacional de Proteção de Dados.
  • Lei n. 14.010/2020 – em seu artigo 20, prorroga o início da vigência dos dispositivos que tratam da aplicação das sanções administrativas e multas por infrações cometidas no âmbito da Lei Geral de Proteção de Dados Pessoais – LGPD (Lei n. 13.709/2018, arts. 52, 53 e 54), que passam a ter efeitos a partir de 1º de agosto de 2021.
  • Recomendação 73/2020, do Conselho Nacional de Justiça – orienta os órgãos do Poder Judiciário brasileiro quanto à adoção de medidas preparatórias e ações iniciais para a adequação às disposições contidas na Lei Geral de Proteção de Dados Pessoais – LGPD.
  • Resolução 334/2020, do Conselho Nacional de Justiça – institui o Comitê Consultivo de Dados Abertos e Proteção de Dados no âmbito do Poder Judiciário.
  • Portaria n. 213 - 15/10/202 – Institui Comitê Gestor da Lei Geral de Proteção de Dados Pessoais (CGLGPD) no âmbito do Conselho Nacional de Justiça, e dá outras providências.
  • Portaria n. 212 - 15/10/2020 – Institui Comitê Gestor da Lei Geral de Proteção de Dados Pessoais (CGLGPD) no âmbito do Conselho Nacional de Justiça, e dá outras providências.
Publicações: