Com 423 contribuições, foi encerrada a consulta pública do projeto de lei sobre o tratamento de dados pessoais (PL 5.276/2016), proposta pelo deputado Alessandro Molon (Rede-RJ) no espaço e-Democracia da Câmara dos Deputados. A matéria, que começou a tramitar em maio, já recebeu 16 emendas dos parlamentares e deveria ser votada assim que a pauta do plenário estivesse liberada, já que o prazo de 45 dias previstos para as matérias em regime de urgência, como é o caso, foi alcançado no dia 28 de junho. Porém, o presidente em exercício, Michel Temer, deve tirar a urgência da proposição.
A Telefônica, uma das empresas que apresentaram contribuições ao texto, afirma que o marco legal colocará o País em um destacado patamar de respeito ao direito à proteção de dados pessoais, privacidade e respeito à intimidade, facilitando, inclusive, as relações comerciais internacionais que as empresas brasileiras venham a firmar. Mas alerta que a eficácia da norma depende, essencialmente, de sua exequibilidade. “Uma norma que, notadamente, não pode ser cumprida não garante o direito do cidadão, mas, pelo contrário, onera o consumidor, que, ao final, arcará com eventuais multas aplicadas à iniciativa privada pelo descumprimento normativo”, disse.
A operadora também sugere uma unidade na lei, que valha tanto para a iniciativa privada quanto para o Estado. “Verificamos uma grande disparidade de tratamento entre entes de direito público e os demais, a qual não se justifica quando o que está em questão é a proteção de dados pessoais dos cidadãos brasileiros”, avalia.
Várias outras entidades também apresentaram sugestões pontuais de melhorias no texto, como a Intervozes, que propôs incluir um parágrafo no artigo 6º, estabelecendo que os órgãos públicos federais, estaduais e municipais elaborem e deem ampla publicidade a suas políticas de privacidade, que tratarão das operações de coleta, tratamento e uso compartilhado de dados realizadas no âmbito de todas as suas atividades, respeitando o disposto na lei e nas normas aprovadas pelo órgão competente.
A Motion Picture Association, que representa grandes estúdios de cinema dos Estados Unidos, sugeriu, entre outras coisas, que seja exigida uma declaração escrita ao titular para tratamento dos dados coletados. A Serasa, por sua vez, pede alteração no artigo 7º para garantir o tratamento de dados para prevenção de fraudes.
A Associação Brasileira de Internet (Abranet), em sua sugestão, pede a exclusão do artigo 12, que assegura ao órgão a possibilidade de estabelecer medidas adicionais de segurança e de proteção aos dados pessoais sensíveis, que deverão ser adotadas pelo responsável ou por outros agentes do tratamento, ou solicitar a apresentação de relatório de impacto à privacidade.
A Associação Brasileira da Indústria Elétrica e Eletrônica (Abinee) aconselha que os dados anonimizados não sejam considerados pessoais quando o titular não for identificado, posição acompanhada pela Sky. A Abinee, a Sky, a Abranet e a BSA Software defendem, por fim, que a norma passe a valer dois anos após a sua sanção, ao invés dos seis meses propostos no texto.
Tramitação
O PL de proteção aos dados pessoais está tramitando conjuntamente nas Comissões de Ciência e Tecnologia, com o deputado Sandro Alex (PSD-PR) de relator; Comissão de Trabalho, de Administração e Serviço Público, que tem o deputado Orlando Silva (PCdoB-SP), como relator; e Comissão de Constituição e Justiça, onde o projeto está sendo relatado pelo deputado Alessandro Molon. Nesta quinta-feira, 7, as comissões realização audiência pública sobre o tema.
Depois de aprovado nas comissões, o PL ainda será votado no plenário antes de seguir para o Senado.
Debates
O Projeto de Lei 5276/2016 foi apresentado à Câmara após anos de debates no Ministério da Justiça, que chegou a fazer consulta pública da minuta do texto. A proposição dispõe sobre o tratamento de dados pessoais, com o objetivo de proteger os direitos fundamentais de liberdade e privacidade. De acordo com o texto, a norma se aplica a qualquer operação de tratamento realizada por pessoa natural ou jurídica de direito público e privado, independentemente do país de sua sede ou onde estejam localizados os dados, desde que coletados no Brasil. Mas não vale para o tratamento realizado com fins exclusivamente pessoal, para fins jornalísticos, artísticos, literários ou acadêmicos ou para fins de segurança pública, de defesa nacional, de segurança do Estado ou de atividades de investigação e repressão de infrações penais.
O tratamento de dados pessoais, de acordo com a proposta, somente poderá ser realizado mediante o fornecimento pelo titular de consentimento livre, informado e inequívoco; para o cumprimento de uma obrigação legal; pela administração pública, para o uso compartilhado visando políticas públicas; para realização de pesquisa histórica, científica ou estatística. È possível também o tratamento quando necessário para execução de contrato, para o exercício regular de direitos em processo judicial ou administrativo, para a proteção da vida do titular ou de terceiro, para a tutela da saúde e, quando necessário, para atender aos interesses legítimos do responsável ou de terceiro.
A proposta define que o titular dos dados deve ter acesso facilitado às informações sobre o tratamento, que deverão ser disponibilizadas de forma clara, adequada e ostensiva, como a finalidade específica do tratamento, forma e duração do tratamento e identificação do responsável. E ainda as informações de contato do responsável, os sujeitos ou categorias que terão acesso aos dados, a responsabilidade dos agentes que realizarão o tratamento e direitos do titular. Já os dados sensíveis somente poderão ser tratados observados poucas exceções.
De acordo com o projeto, os dados "anonimizados" que podem ser obtidos, por exemplo, na aplicação da internet das coisas, serão considerados dados pessoais quando o processo de "anonimização" ao qual foram submetidos for revertido ou quando, com esforços razoáveis, puder ser revertido. A proposta também considera como pessoais dados utilizados para a formação do perfil comportamental de uma determinada pessoa natural, ainda que não identificada. "O órgão competente poderá dispor sobre padrões e técnicas utilizadas em processos de anonimização e verificações acerca de sua segurança", propõe o governo.
A proposta trata também do término do tratamento, dos direitos do titular, do tratamento pelo poder público, das responsabilidades e da transferência internacional de dados. Dispõe também das sanções administrativas, dos ressarcimentos de danos e da criação de um órgão competente e do Conselho Nacional de Proteção de Dados e da Privacidade. Essa autoridade competente será responsável inclusive pela adequação progressiva de bancos de dados constituídos até a entrada em vigor da lei.