- +041 98789-2351
- contato@lucasbeckeradvocacia.com.br
- Curitiba/PR
Sim. O empregador é controlador dos dados pessoais dos empregados e deve observar a LGPD em toda a relação de trabalho: da admissão à demissão. Dados de RH — documentos, dados bancários, prontuários médicos, histórico salarial, avaliações de desempenho — são dados pessoais sujeitos às regras da lei.
Apenas os dados necessários para a relação de emprego (princípio da minimização):
O empregador não pode exigir dados desnecessários — certidão de nascimento de filhos para vale-família: necessário. Prontuário médico completo sem relação com aptidão para o trabalho: desnecessário e vedado.
O monitoramento do empregado durante o trabalho (e-mail corporativo, sistemas da empresa, câmeras no local de trabalho) é permitido quando: (a) há previsão em política interna comunicada ao empregado, (b) está relacionado à atividade laboral, (c) não invade a intimidade além do necessário. Monitoramento fora do horário de trabalho ou de dispositivos pessoais não é permitido.
Dados de saúde do empregado (dados sensíveis) só podem ser tratados pelo empregador quando necessário para: medicina do trabalho, benefícios de saúde (plano de saúde, afastamentos), e cumprimento de obrigações legais. O empregador não pode usar dados de saúde para decisões discriminatórias de admissão, promoção ou demissão.
O empregador deve informar os empregados: quais dados são coletados, para quais finalidades, por quanto tempo são mantidos, com quem são compartilhados e quais são seus direitos como titulares. Essa informação pode constar no contrato de trabalho, em política de privacidade interna ou em documento separado.
Apenas com base legal adequada. Dados para o plano de saúde: execução do benefício. Dados para o sindicato: necessidade de identificar a categoria. Compartilhamentos além do necessário exigem consentimento específico.
Não imediatamente — há obrigações legais que exigem manutenção dos dados (eSocial, FGTS, Receita Federal, defesa em ação trabalhista). O prazo varia, mas em geral os dados podem ser mantidos por 5 a 10 anos após a rescisão para esses fins.
A LGPD exige que os controladores de dados informem os titulares sobre o tratamento de dados de forma clara, completa e acessível. A política de privacidade é o documento principal que cumpre essa obrigação — e sua ausência ou inadequação é infração à lei, sujeita a sanções da ANPD.
A LGPD exige que a política seja redigida de forma clara e acessível — não em juridiquês impenetrável. O consumidor médio deve conseguir entender o que está lendo. Políticas excessivamente técnicas ou incompreensíveis podem ser consideradas inadequadas pela ANPD.
A política deve estar facilmente acessível no site (link no rodapé, no fluxo de cadastro). Para estabelecimentos físicos que coletam dados (câmeras, formulários em papel), deve haver aviso visível com referência à política. Apps devem apresentar a política antes do uso.
São documentos distintos. O aviso de cookies informa sobre os cookies utilizados no site e coleta consentimento para os não essenciais. A política de privacidade abrange todos os dados pessoais. O aviso de cookies pode ser um documento separado ou uma seção da política de privacidade.
Sempre que houver mudança significativa no tratamento de dados: novos dados coletados, novas finalidades, novos compartilhamentos, novos parceiros. A atualização deve ser comunicada aos titulares — especialmente quando houver mudança que afete tratamentos baseados em consentimento.
Não é recomendado. Cada empresa tem suas próprias práticas de tratamento de dados. Uma política copiada que não reflete o tratamento real da sua empresa é pior do que nenhuma — porque compromete com práticas que você não segue, o que pode ser interpretado como violação.
Sim — uma política bem elaborada, que o consumidor realmente leu e aceitou, demonstra boa-fé e pode mitigar sanções em caso de incidente. Mas não protege contra violações concretas: se os dados vazarem, a política não isenta de responsabilidade.
O DPO (Data Protection Officer), denominado pela LGPD como “Encarregado de Proteção de Dados”, é a pessoa responsável por ser o canal entre a empresa, os titulares de dados e a ANPD. O cargo existe para garantir que a empresa trate dados pessoais em conformidade com a lei e para receber e responder reclamações dos titulares.
A LGPD obriga controladores e operadores a indicar um encarregado. A ANPD, por resolução, dispensou a obrigatoriedade para:
Grandes empresas, empresas de tecnologia, saúde, financeiras e qualquer empresa que trate dados sensíveis em larga escala devem indicar DPO obrigatoriamente.
A LGPD permite que o DPO seja pessoa interna (funcionário) ou externa (contratada/empresa especializada). Para empresas menores que precisam do DPO, a contratação externa de serviço de DPO-as-a-Service é prática comum — mais econômica do que contratar um profissional dedicado.
O DPO não é pessoalmente responsável pelas violações de privacidade cometidas pela empresa — a responsabilidade é do controlador (a empresa). O DPO é o facilitador e orientador, não o tomador de decisões sobre tratamento de dados. Mas deve agir de boa-fé e não pode negligenciar as obrigações do cargo.
A identidade e dados de contato do DPO devem ser publicados na política de privacidade da empresa e em outros canais de comunicação com os titulares. O objetivo é que qualquer titular saiba a quem recorrer para exercer seus direitos.
Sim — não há requisito legal de certificação específica. O DPO deve ter conhecimento de proteção de dados, direito e tecnologia. Advogados com especialização em privacidade e proteção de dados são perfis comuns para o cargo.
A ausência de DPO quando obrigatório é infração à LGPD e pode ser objeto de sanção pela ANPD — advertência, multa ou publicização da infração.
A LGPD (art. 5°, II) define dados sensíveis como aqueles capazes de causar discriminação ao titular ou que revelam aspectos íntimos da pessoa. São dados que merecem proteção reforçada em razão do potencial de dano que seu vazamento ou uso indevido pode causar.
O rol de dados sensíveis inclui: origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dados referentes à saúde ou à vida sexual, dados genéticos ou biométricos.
O uso indevido de dado de saúde pode levar à discriminação em plano de saúde ou emprego. Dados de filiação sindical podem expor o trabalhador a represálias. Dados biométricos são permanentes — se vazados, o titular não pode “trocar” sua digital como troca uma senha. A vulnerabilidade é estruturalmente maior, justificando proteção reforçada.
O art. 11 da LGPD limita as bases legais para dados sensíveis. As principais são:
Legítimo interesse — que é base ampla para dados comuns — não é base legal para dados sensíveis.
Para dados sensíveis, a LGPD impõe medidas de segurança proporcionalmente mais rígidas: criptografia em repouso e em trânsito, acesso restrito por necessidade, auditoria de acesso, pseudonimização quando possível, e plano de resposta a incidentes específico.
Depende do uso. Uma foto simples é dado pessoal comum. Quando a foto é processada para identificação biométrica (reconhecimento facial), os dados extraídos do processamento são dados biométricos — sensíveis.
Apenas quando há obrigação legal (medicina do trabalho, ASO). O empregador não pode exigir dados de saúde além do estritamente necessário e deve garantir confidencialidade. Uso para decisões de contratação ou demissão é vedado.
Um equívoco comum é achar que todo tratamento de dados sob a LGPD exige consentimento do titular. Na verdade, o consentimento é apenas uma das dez bases legais previstas no art. 7° da LGPD. Antes de pedir consentimento, avalie se outra base não é mais adequada — como a execução de contrato ou o legítimo interesse.
Para ser válido, o consentimento deve ser:
O titular pode revogar o consentimento a qualquer momento, gratuitamente e sem prejuízo. A empresa deve parar de usar os dados para a finalidade consentida imediatamente após a revogação. Dados já coletados com base no consentimento revogado devem ser eliminados, salvo se houver outra base legal para mantê-los.
Não automaticamente. O dado coletado para execução do contrato só pode ser usado para aquela finalidade. Para marketing, é necessário nova base legal — geralmente consentimento específico para receber comunicações comerciais.
Depende do que está nos termos. Se o uso de dados para marketing está misturado com termos de uso do serviço e o titular não pode recusar um sem o outro, não é consentimento válido — viola a exigência de que seja “livre”.
A ANPD (Autoridade Nacional de Proteção de Dados) é o órgão federal responsável por fiscalizar o cumprimento da LGPD, receber reclamações de titulares de dados e aplicar sanções às empresas que violam a lei. Foi criada pela própria LGPD e está vinculada à Presidência da República.
A ANPD pode: requerer informações à empresa, abrir processo administrativo sancionador, aplicar advertência, determinar bloqueio ou eliminação dos dados, e aplicar multa de até 2% do faturamento (máximo R$ 50 milhões por infração). A ANPD também pode determinar a publicização da infração — o que pode ser mais impactante do que a multa para empresas com imagem a zelar.
São caminhos independentes. A reclamação à ANPD é administrativa e não gera indenização ao titular. Para receber indenização por danos, é necessário ajuizar ação judicial. Os dois caminhos podem ser seguidos simultaneamente.
Sim — não há taxa para registrar reclamações. O processo é inteiramente gratuito para o titular.
A ANPD ainda está em fase de estruturação. Os prazos variam e não há garantia de resolução rápida. Para danos urgentes (negativação indevida, vazamento em curso), a via judicial com pedido de liminar é mais eficaz.
Titular de dados é a pessoa física a quem os dados pessoais se referem. Você é titular dos seus próprios dados pessoais — nome, CPF, e-mail, localização, histórico de compras, dados de saúde, entre outros. A LGPD garante um conjunto de direitos que você pode exercer a qualquer momento perante empresas e órgãos públicos que tratem seus dados.
Envie requisição à empresa por escrito (e-mail, formulário no site ou carta). A empresa tem prazo para responder — em geral, a ANPD orienta 15 dias para resposta. A recusa deve ser justificada. Se a empresa se recusar indevidamente, você pode registrar reclamação na ANPD.
Se um banco negou crédito, uma empresa negou emprego ou um serviço foi recusado com base em análise automatizada (algoritmo), você tem o direito de pedir revisão humana da decisão e de receber explicações sobre os critérios utilizados.
Não — o atendimento a solicitações de titulares deve ser gratuito. A empresa pode cobrar apenas em casos de solicitações manifestamente excessivas ou repetitivas, mas deve justificar.
Você pode registrar reclamação na ANPD (gov.br/anpd). A ANPD pode investigar e aplicar sanções à empresa que descumprir os direitos dos titulares. Em casos de dano concreto, você também pode ajuizar ação judicial.
A LGPD define incidente de segurança como qualquer acesso não autorizado — e também qualquer situação acidental ou ilícita de destruição, perda, alteração, comunicação ou difusão de dados pessoais. Isso inclui: invasão de sistema (hack), funcionário que envia lista de clientes por engano, notebook roubado com dados sem criptografia, ou banco de dados exposto na internet.
Nem todo incidente precisa ser comunicado à ANPD. A obrigação existe quando o incidente pode acarretar risco ou dano relevante aos titulares: dados sensíveis (saúde, financeiros, biometria), dados de crianças, credenciais de acesso, dados em grande volume, ou quando o incidente pode levar a fraude, discriminação ou dano financeiro.
A comunicação deve conter: descrição do incidente, data e período, tipo de dado afetado, número de titulares afetados, medidas de contenção adotadas, riscos aos titulares, e dados de contato do DPO ou responsável.
A empresa pode ser responsabilizada civilmente pelos danos causados aos titulares em razão do vazamento — inclusive dano moral. Se dados de saúde foram expostos e o titular sofreu discriminação, se credenciais foram vazadas e houve fraude, a empresa que não adotou medidas adequadas de segurança responde objetivamente.
Não é recomendado — e pode agravar significativamente as sanções. A omissão ou ocultação de incidente é considerada violação grave e pode levar a multas maiores e publicização da infração. A ANPD está desenvolvendo canais de denúncia e pode descobrir o incidente por outros meios.
Sim, se o incidente envolver risco relevante aos titulares, independentemente do porte. O critério é o risco, não o tamanho da empresa.
Sim. A Lei Geral de Proteção de Dados (Lei 13.709/18) se aplica a qualquer empresa que trate dados pessoais de clientes, funcionários, fornecedores ou visitantes — independentemente do porte. Pequenas empresas têm algumas exceções (como a dispensa de DPO obrigatório), mas não estão isentas das obrigações gerais de proteção.
Tratar dados é qualquer operação com informações de pessoas: coletar, armazenar, usar, compartilhar, transferir ou eliminar. Uma loja que anota o nome e CPF do cliente, um restaurante que guarda reservas com telefone, uma clínica com prontuários — todos tratam dados pessoais e estão sujeitos à LGPD.
O consentimento é apenas uma das bases legais — não é obrigatório em todos os casos. Para dados necessários para a execução do contrato, não precisa de consentimento separado. Para envio de marketing, newsletter ou uso para outras finalidades além do serviço contratado, o consentimento é necessário e deve ser específico, informado e livre.
A ANPD (Autoridade Nacional de Proteção de Dados) pode aplicar advertência, multa de até 2% do faturamento (máximo R$ 50 milhões por infração) e publicização da infração. Para pequenas empresas, as sanções tendem a começar por advertência e plano de adequação antes de chegar a multas — mas não há garantia.
Sim, se tratar dados pessoais de clientes ou funcionários. A obrigação existe, embora o rigor das sanções seja proporcional ao porte. O básico para o MEI: política de privacidade, não compartilhar dados de clientes sem autorização, e garantir segurança dos dados armazenados.
Apenas se tiver base legal para isso. Se coletou o dado para executar um serviço, usar para promoção requer nova base — em geral, o consentimento específico para receber comunicações de marketing. “Opt-in” é a prática adequada.
Sim. A Lei Geral de Proteção de Dados (Lei 13.709/18) se aplica a qualquer pessoa física ou jurídica que trate dados pessoais — incluindo escritórios de advocacia. Advogados tratam dados sensíveis diariamente: informações de saúde, dados financeiros, histórico criminal, dados de filhos menores, entre outros. A adequação à LGPD é obrigação legal, não opção.
A LGPD exige que cada tratamento de dados tenha uma base legal. Para escritórios de advocacia, as principais são:
O sigilo profissional do advogado (estatuto da OAB) e a LGPD coexistem. O advogado já tinha obrigação de sigilo; a LGPD acrescenta obrigações formais de governança, segurança e resposta a titulares. São camadas complementares de proteção.
A indicação de DPO não é obrigatória para microempresas e EPP (que se enquadrem nas exceções da LGPD para agentes de pequeno porte). Escritórios de médio e grande porte devem avaliar a necessidade com base no volume e sensibilidade dos dados tratados.
O direito ao apagamento não é absoluto. O escritório pode manter os dados pelo prazo necessário para defesa em ações judiciais, para cumprir obrigação legal ou regulatória. Após esse prazo, deve atender ao pedido de apagamento.
