Senado e Câmara disputam autoria de lei brasileira de proteção de dados pessoais

Na prática, as duas propostas replicam algumas das diretrizes da lei da UE, que, entre outros aspectos, estipula que:

• usuários podem, em algumas situações, ver, corrigir ou até deletar as informações que empresas guardam sobre ele;
• empresas devem coletar apenas dados necessários para que seus serviços funcionem;
• coleta e uso de dados pessoais só podem ser feitas com consentimento explícito;
• qualquer serviço conectado tem de conceder ‘direito ao esquecimento’;
• informações de crianças ganham proteção especial;
• clientes que tiverem dados hackeados devem ser avisados em até 72 horas;
• empresas devem informar com linguagem compreensível sua política de proteção de dados;
• infratores são punidos com multa pesada, de € 20 milhões ou 4% do volume global de negócios da empresa.
• dados de europeus podem ser transferidos só para países com lei de proteção de dados equivalente à europeia;
• empresas que tratem dados de europeus têm de seguir a lei europeia caso estejam em países não considerados “portos seguros”.
• grandes processadoras de informação têm de guardar registros sobre todas as vezes em que manipularam dados.

Os projetos convergem na maior parte dos pontos (veja abaixo) e divergem sobretudo quanto à aplicação de multas e à criação de um órgão responsável pela regulamentação do uso de informações pessoais (veja abaixo).

“Se o Brasil não tiver um marco regulatório compatível com o GDPR pode ter perdas econômicas relevantes”, afirma o deputado Orlando Silva. A lei do bloco comum europeu estabelece que as empresas europeias só contratem fornecedores que estejam em linha com a legislação. Além disso, exige que companhias que tratem dados de europeus ou de residentes na Europa, ainda que em outro país, cumpram com o GDPR.

“O Brasil está atrasado na proteção de dados pessoas, que é a proteção da privacidade. A regulamentação que existe da proteção de dados é insuficiente e dispersa. Tem alguma coisa na Lei de Acesso à Informação, no Código de Defesa do Consumidor e no Marco Civil da Internet”, afirma o deputado Orlando Silva.

O projeto relatado por ele é uma proposta de 2016, do Ministério da Justiça, que foi “apensada” (unida) a uma de 2012. Silva reconhece, no entanto, que a situação só não é pior porque muitas empresas que processam informações já seguem as diretrizes europeias.

“Não ficamos de todo sem abrigo, porque as corporações seguem ditames seja da lei americana ou da União Europeia. Mas é importante que tenhamos uma regra brasileira, que se aplique para todas as companhias que atuem no Brasil.”

O senador Ricardo Ferraço concorda com Silva a respeito das relações econômicas entre Brasil e União Europeia poderem ser comprometidas devido à ausência de uma lei nacional de proteção de dados pessoas.

“O gato subiu no telhado, para usar uma expressão popular, porque, na prática, entrou em vigor o novo código geral na União Europeia que estabelece uma série de compatibilidades em companhias que têm relacionamento com as de lá.”

Ele acredita que, não fosse a greve dos caminhoneiros, a Casa votaria o projeto ainda nesta semana. “Nós estamos na antessala de ter uma lei de proteção de dados, que era uma coisa necessária e adequada.”

Os dois evitam tratar a tramitação dos dois projetos como uma corrida. “Os projetos têm muitos pontos em convergência”, afirma Ferraço. “Em um sistema bicameral, essas coisas podem acontecer, mas eu não considero que esteja havendo corrida, não.”

“Eu não vou entrar em gincana sobre quem vai ser a Casa que vai decidir o processo, o que importa para mim é o processo”, afirma Silva. O deputado, no entanto, acredita que deveria ser o Senado a regulamentar a questão da privacidade online.

“Eu tenho uma opinião sobre o mérito. O Senado representa a federação, e os deputados representam o povo. Essa é uma matéria de direito difuso, portanto, é claramente uma matéria que compete à Câmara dos Deputados e o Senado deve assumir, nesse caso, o papel de revisor. Se fosse uma matéria que trata-se de interesses da federal, o inverso poderia ser executado.”

1. vale para toda e qualquer empresa que recolha e processe dados pessoais no Brasil;
2. exige consentimento para tratamento de informações
3. torna obrigatória a exclusão de dados após encerramento da relação ou caso não tenha havido solicitação
4. permite que os titulares dos dados tenham acesso aos dados mantidos sobre ele por uma empresa
5. libera que os titulares corrijam seus dados que estejam em posse de uma empresa
6. estabelece que dados de crianças só poderão ser tratados com o consentimento dos pais ou do responsável legal
7. vazamentos de dados devem ser comunicados imediatamente
8. transferência internacional de dados pessoais poderá ser feita apenas para países com tenham ‘nível adequado’ de proteção de dados ou a empresa responsável pela transferência garantir o princípios da lei brasileira
9. empresas serão responsáveis caso vazem dados de seus bancos ou se suas fornecedoras tiverem suas bases comprometidas

Multa

• Senado: multa de até 2% sobre o faturamento da empresa ou do grupo econômico no Brasil;
• Câmara: multa de até 4% do faturamento da companhia, limitada, no total, a R$ 50 milhões.

Quem fiscaliza