LGPD

PROJETOS DE LEI EM DISCUSSÃO NO

CONGRESSO NACIONAL

Faltam alguns meses para a Lei Geral de Proteção de Dados entrar

em vigor, mas já existem Projetos de Lei no Congresso Nacional que

visam alterar o seu texto. Os temas que estão em discussão são

diversos e contemplam (i) definição do conceito de “decisão

automatizada”, (ii) corregulação de Boas Práticas e Governança, (iii)

não aplicação da LGPD às entidades filantrópicas, (iv) alteração na

dosimetria das multas e (v) ampliação do tempo da vacatio legis.

1
1. Inclusão da definição do Termo “Decisão Automatizada” na LGPD
O Projeto de Lei 4.496/2019 do Senado, de autoria do Senador Styvvenson
Valentim, tem como objetivo inserir no artigo 5º da LGPD, o inciso XX que traz
uma definição de “decisão automatizada”.

Segundo justificativa do PL, é necessário um conceito de “decisão

automatizada” para dar efetividade ao artigo 20 da LGPD que trata do direito
dos titulares dos dados de terem revisadas as decisões tomadas unicamente
em tratamento automatizado. O projeto pretende definir decisão
automatizada como: “processo de escolha, de classificação, de aprovação ou
rejeição, de atribuição de nota, medida, pontuação ou escore, de cálculo de
risco ou de probabilidade, ou outro semelhante, realizado pelo tratamento de
dados pessoais utilizando regras, cálculos, instruções, algoritmos, análises
estatísticas, inteligência artificial, aprendizado de máquina, ou outra técnica
computacional.”

Tendo em vista que a finalidade do artigo 20 da LGPD é permitir ao titular dos

dados o direito de solicitar a revisão de decisões tomadas unicamente com
base em tratamento automatizado que afetem seus interesses, incluídas as
decisões destinadas a definir seu perfil pessoal, entendemos que um passo
anterior a ser dado é a inclusão do conceito de “definição de perfis”.

2
Isso porque a definição do conceito de “decisão automatizada” dentro da lei,
pode se tornar obsoleta ou deveras limitada em face dos avanços tecnológicos,
ou então, se atribuído um conceito amplo, esse pode se caracterizar muito
abrangente, resultando em uma não delimitação do tema.

No entanto, o significado de “definição de perfis” é algo que está sendo

construído no cenário internacional e pode, de fato, facilitar o diálogo com
outros países. Nesse sentido, a GDPR no Artigo 4º, nº 4º, conceitua “definição
de perfis” como “qualquer forma de tratamento automatizado de dados
pessoais que consista em utilizar esses dados pessoais para avaliar certos
aspetos pessoais de uma pessoa singular, nomeadamente para analisar ou
prever aspectos relacionados com o seu desempenho profissional, a sua
situação econômica, saúde, preferências pessoais, interesses, confiabilidade,
comportamento, localização ou deslocações”.

2. Corregulação/Autorregulação das Boas Práticas e da Governança

O Projeto de Lei 6.212/2019, de autoria do Senador Antonio Anastasia, busca
acrescentar disposições que trazem a possibilidade de controladores ou
operadores de dados elaborarem, individualmente ou por meio de associações,
regras de boas práticas e de governança sobre dados pessoais em caráter
vinculativo. Em outras palavras, quer introduzir a autorregulação regulada (ou
corregulação) para as regras de boas práticas e de governança.

3
A finalidade da autorregulação das Boas Práticas e da Governança é dar efeitos
vinculantes para quem os produziu ou, no caso de associações, para todos os
associados quando submetida à Autoridade Nacional de Proteção de Dados,
com a justificativa de que o próprio setor regulado é aquele que detém a
expertise para a produção das regras de conduta.

Esse projeto de lei se aproxima do modelo Estadunidense que historicamente,

ao contrário da Europa, optou em diversos setores relacionados a privacidade
dos dados, pela autorregulação. Questionamos, no entanto, se o Brasil está
preparado e se possui os instrumentos necessários para esse tipo de sistema,
sem prejuízo da papel essencial a ser desempenhado pelos agentes específicos
de cada mercado, inclusive associações, fundações e entidades representativas.

3. Não aplicabilidade da LGPD às entidades filantrópicas

O Projeto de Lei 365/2020 da Câmara dos Deputados, de autoria do Deputado
Ricardo Izar, visa excluir a aplicação da LGPD às entidades filantrópicas. O artigo
4º da LGPD possui um rol de pessoas/organizações que não estão sujeitas à
LGPD, esse PL busca inserir nesta lista as entidades filantrópicas, desde que em
campanha para arrecadação de fundos para manutenção de suas atividades.

O projeto tem como justificativa eliminar necessidade de uma entidade

filantrópica de solicitar autorização do titular dos dados para coletar
informações pessoais necessárias para o prosseguimento de suas atividades.

4
Acontece que, em nenhum momento a LGPD impõe às organizações a
necessidade de requerer autorização em tais atos. A LGPD, pelo contrário,
buscou ampliar as hipóteses legais de tratamento de dados pessoais através dos
10 incisos previstos no artigo 7º. Nesse setindo, essa alteração parece não ser
necessária, uma vez que as entidades filantrópicas poderão continuar suas
atividades justificando-as através das bases legais existentes, desde que
corretamente estabalecidas essas bases.

4. Multas na LGPD
O Projeto de Lei 3.420/2019 de autoria do Deputado Heitor Freire, da Câmara
dos Deputados, tem por escopo a alteração da redação do artigo 52, II da LGPD,
que prevê o montante da multa por infrações decorrentes de violação da lei. A
Atual redação é:
“Art. 52..., II - multa simples, de até 2% (dois por cento) do
faturamento da pessoa jurídica de direito privado, grupo ou
conglomerado no Brasil no seu último exercício, excluídos os tributos,
limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais)
por infração;”

Segundo justificativa do PL, a atual redação não deixa claro o que é “infração”,
subsistindo o risco de se entender que para cada ato individual tratado em
desconformidade com a lei, aplicar-se-ia a multa, podendo uma organização ser
multada diversas vezes em razão de um único ato violador da lei. Assim, o PL
busca eliminar o termo “por infração” da redação desse inciso com intuito de
limitar o campo da penalidade .

5
No entanto, entendemos que a suposta necessidade de definição do termo
“infração” pode ser suprida pela Autoridade Nacional de Proteção de Dados e
em interpretação sistemática com todo o ordenamento jurídico. Ademais, o
parágrafo primeiro do artigo 52 da LGPD é claro no sentido de que a aplicação
da multa se dará somente após procedimento administrativo que possibilite a
oportunidade de ampla defesa considerando as peculiaridades do caso
concreto, elencando parâmetros e critérios na aplicação da mesma.

5. Prorrogação da vigência da LGPD

O Projeto de Lei 5.762/2019, proposto pelo Deputado Carlos Bezerra, busca
alterar a Lei Geral de Proteção de Dados, com intuito de alongar o período de
vacância da lei, atualmente previsto para entrar em vigor em 2020, de modo a
fazer que entrada em vigor ocorra apenas em agosto de 2022. As justificativas
do Projeto são os desafios enfrentados pelas empresas para se adequarem à
LGPD, suas dificuldades financeiras e a morosidade do Poder Público na
composição da Autoridade Nacional de Proteção de Dados.

Embora existam dificuldades, a protelação desse prazo, que já foi estendido

anteriormente, pode ser um entrave para negociar com países que exigem um
grau proporcional de proteção de dados como na GDPR. Ou, a entrada do país
em blocos econômicos como a OCDE, que tem como um dos requisitos certo
nível de proteção de dados pessoais.

6
Além disso, cabe ressaltar que mesmo na Europa onde a temática da proteção
de dados pessoais evolui há décadas, somente 20% das empresas estavam
adequadas ao GDPR quando da entrada em vigor do Regulamento*. Não é de
se esperar, portanto, que todos os agentes de tratamento de dados pessoais
estejam preparados em agosto, mas a vigência da lei pode de fato contribuir no
amadurecimento mais célere da cultura de proteção de dados no país.

*Trust Arc. EU GDPR Research Disponível em: <

https://info.trustarc.com/Web-Resource-2018-07-12-GDPR-
ResearchReport_LP.html>

7
Margareth Kang Kelvin Williamson
mkang@vradv.com.br kwilliamson@vradv.com.br

Antônio Gonçalves
afgoncalves@vradv.com.br