II. A Lei Geral de Proteção de Dados Brasileira (LGPD)
II.C Escopo de aplicação
Faixa publicada pela IAPP para este tópico: 3 a 5 itens.
Pontos principais
- A LGPD alcança tratamento realizado no território nacional, tratamento com finalidade de oferta de bens ou serviços a pessoas no Brasil e dados coletados no território nacional
- Estão fora do escopo o tratamento por pessoa natural para fins exclusivamente particulares e não econômicos
- Também estão fora fins exclusivamente jornalístico, artístico ou acadêmico, embora bases legais próprias existam para o acadêmico
- Segurança pública, defesa nacional, segurança do Estado e atividades de investigação e repressão penal têm regime próprio a ser disciplinado em legislação específica
- Dados provenientes de fora do país que apenas transitam pelo Brasil, sem comunicação ou uso compartilhado, ficam fora quando atendidas as condições da lei
II.C Escopo de aplicação
O que este tópico cobre
Escopo é a pergunta anterior a todas: esta operação está dentro da LGPD? O corpo de conhecimento cobre aplicação territorial e material, exclusões e a articulação com o tratamento por entes públicos e com atividades de segurança pública.
As disposições que governam o tema
A LGPD aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que a operação de tratamento seja realizada no território nacional, ou a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional, ou os dados pessoais objeto do tratamento tenham sido coletados no território nacional. A lei considera coletados no território nacional os dados cujo titular nele se encontre no momento da coleta.
As exclusões estão no art. 4º. Ficam fora o tratamento realizado por pessoa natural para fins exclusivamente particulares e não econômicos, e o tratamento realizado para fins exclusivamente jornalístico, artístico ou acadêmico. Ficam fora também o tratamento para fins exclusivos de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais, hipóteses que a lei manda disciplinar por legislação específica e submete a princípios de proteção e a devido processo legal. A lei veda que o tratamento nessas hipóteses seja realizado por pessoa de direito privado, salvo em procedimentos sob tutela de pessoa jurídica de direito público, com relatório de impacto e informação à autoridade nacional. A lei prevê ainda a exclusão de dados provenientes de fora do território nacional que não sejam objeto de comunicação, uso compartilhado com agentes de tratamento brasileiros ou transferência internacional para outro país que não o de proveniência, desde que o país de proveniência proporcione grau de proteção adequado.
Onde os candidatos erram
A confusão mais frequente é achar que a exclusão acadêmica é total. O tratamento com fim exclusivamente acadêmico está fora do escopo geral, mas a lei remete às bases legais de estudo por órgão de pesquisa e de realização de estudos em saúde pública. Ou seja: a menção acadêmica não é passe livre.
A segunda é imaginar que segurança pública ficou sem regra. Ela ficou fora da LGPD geral, mas continua sujeita a princípios de proteção e à exigência de legislação específica. O texto ainda determina que a autoridade nacional emitirá opiniões técnicas ou recomendações sobre essas exceções.
A terceira é ignorar o critério de oferta de bens e serviços. Uma empresa sem sede nem servidores no Brasil que direciona oferta a pessoas aqui está no escopo. A sede é irrelevante.
O que verificar
Verifica-se onde o titular estava no momento da coleta, se a oferta é direcionada ao público brasileiro e se a atividade cabe em alguma exclusão do art. 4º na sua inteireza, não apenas em parte. Verifica-se, por fim, se a exclusão invocada é exclusiva, porque a palavra exclusivamente aparece nas hipóteses e uma finalidade mista derruba a exclusão.
CDPO/BR e CIPM são marcas da International Association of Privacy Professionals. A LGPD é lei brasileira e não é produto da IAPP. A Privacy Prep não tem vínculo com a IAPP. Este material é de estudo e não é consultoria jurídica.