SEÇÃO IV

SEÇÃO IVDo Término do Tratamento de Dados Art. 15. O término do tratamento de dados pessoais ocorrerá nas seguintes hipóteses:I - verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;II - fim do período de tratamento;III - comunicação do titular, inclusive no exercício de seu direito de revogação do consentimento conforme disposto no § 5º do art. 8º desta Lei, resguardado o interesse público; ou IV - determinação da autoridade nacional, quando houver violação ao disposto nesta Lei. 1. Término do tratamento de dados pessoais e providências necessárias A LGPD estabeleceu os marcos que determinam o fim do tratamento de dados. O rol não é taxativo, mas exemplificativo, tendo em vista que algumas hipóteses bastante claras não foram contempladas, como o desinteresse do controlador de continuar realizando o tratamento ou da revogação de lei ou regulamento que daria base legal para o tratamento sem consentimento do titular. Porém, parece-nos claro que a intenção do legislador era garantir que os destinatários da lei observassem, no mínimo, as hipóteses elencadas, e não só, quis também relacionar as hipóteses aos artigos anteriores, a fim de fornecer melhor interpretação da lei. Tratamos nos artigos anteriores sobre o princípio da finalidade, bem como destacamos que o artigo 9º, I, prevê como informação obrigatória que se informe ao titular qual a finalidade do tratamento que se pretende dar a seus dados pessoais. Pois bem. A primeira hipótese da lei é que, ao se alcançar tal finalidade o tratamento de dados deve ser finalizado, pois não se justifica mais. A segunda hipótese legal ainda se encontra no inciso I, qual seja, os dados deixaram de ser necessários ou pertinentes para alcançar a finalidade pretendida, o que observa com primor o princípio da necessidade, pois, se os dados não são necessários para a finalidade a ser alcançada, não devem ser tratados. Ainda segundo o artigo 9º, II, e já tratando da terceira hipótese, é dever do controlador informar a duração do tratamento de dados ao titular. Ao final desta duração, o tratamento deverá ser encerrado ou, se for o caso, haver a renovação da base legal de tratamento, como a nova coleta do consentimento. É possível tratamento de dados pessoais sem prazo determinado? Sim, é possível, mas a ausência de prazo de duração deve se coadunar com a natureza da relação jurídica entre controlador e titular, bem como a finalidade a ser alcançada. Verifique-se, por exemplo, que a execução de contrato é base legal de tratamento, e, por outro lado, o prazo do contrato pode ser indeterminado, o que justifica a duração do tratamento por prazo indeterminado. A quarta hipótese é a possibilidade de revogação do consentimento, já tratada no artigo 8º. O inciso estabelece, ainda, que o interesse público poderá impedir a revogação, mas, a nosso ver, isso só é possível se tal tratamento for abrigado por outra bale legal de tratamento, como a tutela da saúde ou para implementação de políticas públicas. Por fim, a quinta hipótese, estabelecida no inciso IV, contempla o término do tratamento de dados por determinação da autoridade nacional, nas hipóteses de sanção por violação da LGPD, conforme será visto no artigo 52. 112 Vale ressaltar que a eliminação de dados como sanção se dá apenas quanto aos dados a que se refere à infração, ou seja, se no banco de dados do controlador apenas parte deles foram tratados de forma irregular, apenas tais dados deverão ser eliminados. Art. 16. Os dados pessoais serão eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação para as seguintes finalidades:I - cumprimento de obrigação legal ou regulatória pelo controlador;II - estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;III - transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta Lei; ou IV - uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados. 1. Eliminação de dados pessoais após o termino do tratamento Independentemente da razão, o término do tratamento gera a obrigação do controlador eliminar os dados pessoais. Apesar de não constar de forma expressa da definição legal do inciso XIV, do artigo 5º, o ato de eliminar não pode ser passível de reversão, pois, se for, não se trata de eliminação, mas de armazenamento ou pseudoanonimização. Ocorre que a LGPD criou ou reconheceu algumas hipóteses em que os dados poderão ser mantidos, anonimizados ou não. Sempre dependendo dos limites técnicos existentes à época, a primeira hipótese é a manutenção dos dados para cumprimento de obrigação legal ou regulatória pelo controlador, o que apenas repete a disposição do artigo 7º, II, 113 sendo, a nosso ver, redundante e desnecessária. Na tentativa de manter os temas em blocos, o legislador pode gerar mais dúvidas do que esclarecimentos. O mesmo pode ser dito da segunda hipótese, mas, no contexto do artigo 16, há contradição. Isso porque estudo por órgãos de pesquisa é base legal de tratamento de dados, porém, em benefício da pesquisa, não de terceiros. Em outras palavras, se o controlador não é órgão de pesquisa, não poderia se utilizar dos dados pessoais mediante enquadramento nesta hipótese legal. Ora, se o órgão de pesquisa pudesse atuar em benefício de um controlador empresarial, por exemplo, estaria atuando como operador, cabendo ao controlador, ainda, justificar o tratamento. Dessa forma, entendemos que a hipótese do inciso II é exclusiva para utilização de órgãos de pesquisa. A hipótese do inciso III também não parece clara, por permite a “conservação” dos dados para transferência a terceiros. Há de se questionar quais terceiros e sob qual base legal, pois, como vimos, além do conceito de tratamento incluir a transferência, por outro lado essa transferência deve possuir base legal para acontecer. Entendemos que essa hipótese está relacionada às bases legais de cumprimento de obrigação legal ou regulatória, execução de contratos, exercício regular de direitos, legítimo interesse do controlador ou proteção ao crédito. Terceiros além dos participantes das bases legais citadas só poderiam receber os dados se houvesse consentimento, o que depende da observação dos princípios da necessidade, finalidade e transparência. Por fim, a quarta hipótese possibilita que o controlador mantenha os dados mediante anonimização, que é diferente de pseudoanonimização. Enquanto a primeira não permite a reversão da anonimização, a segunda permite mediante técnica de posse do controlador. A nosso ver, ainda sobre o inciso IV, o legislador se equivocou vedando o acesso à terceiros dos dados anonimizados. Ora, se os dados são anônimos, a LGPD não possui eficácia sobre eles, não fazendo sentido a proibição. Nesse sentido, o artigo 12 da LGPD: Art. 12. Os dados anonimizados não serão considerados dados pessoais para os fins desta Lei, salvo quando o processo de anonimização ao qual foram submetidos for revertido, utilizando exclusivamente meios próprios, ou quando, com esforços razoáveis, puder ser revertido. § 1º A determinação do que seja razoável deve levar em consideração fatores objetivos, tais como custo e tempo necessários para reverter o processo de anonimização, de acordo com as tecnologias disponíveis, e a utilização exclusiva de meios próprios. § 2º Poderão ser igualmente considerados como dados pessoais, para os fins desta Lei, aqueles utilizados para formação do perfil comportamental de determinada pessoa natural, se identificada. 3º A autoridade nacional poderá dispor sobre padrões e técnicas utilizados em processos de anonimização e realizar verificações acerca de sua segurança, ouvido o Conselho Nacional de Proteção de Dados Pessoais. Diferente seria se o terceiro tivesse acesso aos dados antes da anonimização, mas não é esse o caso tratado no inciso IV. Art. 52. Os agentes de tratamento de dados, em razão das infrações cometidas às normas previstas nesta Lei, ficam sujeitos às seguintes sanções administrativas aplicáveis pela autoridade nacional: I – advertência, com indicação de prazo para adoção de medidas corretivas; II – multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração; III – multa diária, observado o limite total a que se refere o inciso II; IV – publicização da infração após devidamente apurada e confirmada a sua ocorrência; V – bloqueio dos dados pessoais a que se refere a infração até a sua regularização; Art. 7º, II – para o cumprimento de obrigação legal ou regulatória pelo controlador;

Lei Geral de Proteção de Dados Pessoais Comentada

Seção IV. Do Término do Tratamento de Dados

SEÇÃO IV

Do Término do Tratamento de Dados

Uma nova experiência de pesquisa jurídica em Doutrina. Toda informação que você precisa em um só lugar, a um clique.