Renato Leite Monteiro. Privacidade e Proteção de Dados Pessoais

Transcrição

1 Renato Leite Monteiro Privacidade e Proteção de Dados Pessoais

2

3 Quem é você... na Internet?

4

5

6

7

8

9

10 Perfilamento O preço é ter dados sobre você coletados por esses serviços. Se essa prática for consentida, tudo bem, desde que não seja feita de forma invasiva. Esses dados são utilizados para fomentar os mais variados modelos de negócio e reverter em lucros, através de publicidade, os serviços oferecidos. Até ai tudo bem, se a prática não for invasiva. O cenário começa a piorar quando os dados são perfilados e vendidos, como se fossem commodities. Viramos produtos.

11

12

13 Perfilamento A privacidade não deve ser um luxo apenas para àqueles que tem algo a esconder. Todos temos algo que gostaríamos de manter para nós mesmos. Por exemplo, planos de saúde utilizando seus dados pessoais de comportamento, que mostram seu estilo de vida, para definir o valor da sua apólice. Imobiliárias oferecendo preços diferenciados de acordo com o poder de compra do interessado. Para saber tudo isso, não é preciso que você preencha formulários ou declare seu salário, basta ter acesso as suas fotos, histórico, e seus "likes"! A combinação desses fatores per si já falam muito sobre quem você é.

14 Perfilamento

15 Compartilhamento Formas ativas (com consentimento) de compartilhamento de dados: Localização através de check-in; Publicações em redes sociais; Conteúdo compartilhados; "Curtir". Formas passivas (sem consentimento expresso) de compartilhamento de dados: Rastreamento (através de in depth cookies e outros métodos) por terceiros; Câmeras de TV (CCTV); Sistemas automáticos de reconhecimento de placas de carro (ANPR); Acesso ao histórico de navegação sem consentimento (opted in by default). Mineração, perfilamento e dados estatísticos podem ser feitos através: Inferência de localização e padrões de viagem; Protolocolo "Social Graph"; Padrões de compras e de "curtir".

16

17 Legislação Internacional 1973: US Fair Information Principles; 1980: OECD Guidelines Governing the Protection of Privacy and Transborder Data Flows of Personal Data; 1981: Council of Europe Convention for Protection of Individuals with Regard to the Automatic Processing of Personal Data; 1995: EU Data Protection Directive (EC 46/95); 2002: EU Directive on privacy and electronic communications (EC 2002/58); 2004: APEC Asian Pacific Economic Cooperation Privacy Framework; 2009: Madrid Resolution International Standard on the Proctection of Personal Data; 2014: Anulação da Diretiva Europeia de Retenção de Registros Eletrônicos 2015: General Data Protection Regulation (GDPR) 2016: US-EU Privacy Shield 17

18 Thank you for your inquiry. Unfortunately, we won t be able to respond to your directly, as this form is only applicable in certain jurisdictions.

19 Existe legislação? O BRASIL É AUSENTE DE LEIS SOBRE PRIVACIDADE DE DADOS???!!! 19

20 Legislação Nacional Proteção Setorial Constituição Federal de 1988; Lei 8.078/90: Código de Defesa do Consumidor; Lei 9.472/97: Lei Geral de Telecomunicações (Art. 3º, IX); Lei 9.507/97: Habeas Data; Lei 9.983/2000: Crime de inserção de dados falsos em sistemas de informações da administração pública; Lei Complementar 105/2001: Sigilo das operações de instituições financeiras Lei /2002: Novo Código Civil; Portaria nº 5/2002 da SDE/MJ: Tornou abusiva cláusulas em contratos de consumo que autorizam o envio de dados pessoais sem o consentimento prévio. Resolução 245/07 do Denatran: Dispõe sobre a instalação obrigatório de equipamentos de rastreamento nos veículos saídos de fábrica; Resolução CFM Nº 1.821/07: Dispõe sobre prontuário eletrônico e pro. de dados médicos;

21 Legislação Nacional Proteção Setorial Decreto 6.135/2007: Dispõe sobre o Cadastro Único para Programas Sociais do Governo Federal; Decreto 6.425/2008: Dispõe sobre o censo anual da educação; Decreto 6.523/2008: Regulamenta o serviço de SAC; Lei /2011: Disciplinou o cadastro positivo e certos aspectos sobre proteção de dados pessoais no ambiente creditício (julgamento STJ); Lei /2011: Lei de acesso a informação (Art. 4º IV e Art. 31); Lei /2012: Crime de invasão de dispositivos informáticos (Lei Carolina Dieckmann); Decreto 7962/2013: Regulamentou comércio eletrônico; Lei /2013: Lei anticorrupção; Lei /2014: Marco Civil da Internet; 2015: Anteprojeto de Proteção de Dados Pessoais (PLS 330/13, PLS 181/14, PL 4060/12). 2016: Minuta do Decreto Regulamentador do Marco Civil da Internet (Consulta até 29/02)

22 Polêmicas - Caso Phorm

23 Polêmicas Caso Tudo Sobre Todos Dados (pessoais) públicos v. Dados (pessoais) publicamente acessíveis (dados de acesso público irrestrito)

24 Polêmicas Condenação do SPC Restou incontroverso nos autos que há comercialização de dados cadastrais pela ré para ações de marketing, sem autorização prévia dos consumidores, através do site (...). Ao fornecer um amplo e circunstanciado relatório com informações pessoais minudentes a ré viola a intimidade e a privacidade dos consumidores, (...). A disponibilização ampla e irrestrita de dados pessoais podem dar ensejo a um sem número de delitos civis e criminais, aí incluídos fraudes contratuais e sequestros, inclusive de familiares, não sendo demais mencionar que segurança pública eficiente tornou-se uma quimera. Diversos dispositivos legais cuidam de determinar que a divulgação de dos dos consumidores seja submetida à ciência prévia destes, como é o caso dos 43 2º do CDC e do art. 3º, da Lei nº /2011. Cabível, assim, que a demandada seja compelida a proceder o cancelamento do registro de consumidores que não tenham expressamente autorizado a inserção de seus dados cadastrais e informações pessoais nos bancos de dados () / (CNJ: ), TJ/RS, Agosto de 2015

25 Polêmicas Venda de Dados APELAÇÃO CÍVEL. RESPONSABILIDADE CIVIL. AÇÃO DE REPARAÇÃO DE DANOS MORAIS. COMERCIALIZAÇÃO E DIVULGAÇÃO DE DADOS PESSOAIS DE CONSUMIDORES. PROCOB. DADOS NÃO SENSÍVEIS. AUSÊNCIA DE ILÍCITO. INEXISTÊNCIA DO DEVER DE INDENIZAR. A elaboração, organização, consulta e manutenção de bancos de dados sobre consumidores não é proibida pelo Código de Defesa do Consumidor; ao contrário, é regulada por este. Hipótese em que o serviço colocado à disposição das empresas conveniadas pela ré não se reveste de ilegalidade, considerando que as informações expostas não são consideradas de caráter sigiloso ou íntimo, mas de fácil e ampla circulação no mercado de consumo, para proteção do crédito e segurança nas relações comerciais. Ausência de violação à vida privada, imagem ou intimidade. Inexistência, ainda, de provas de que a divulgação de dados pela requerida tenha causado qualquer prejuízo à parte autora, ônus que lhe incumbia, não havendo como se conceder indenização por dano hipotético. (TJ/RS Nº (Nº CNJ: ), Abril, 2015).

26 Credit Scoring Análise de Crédito O desrespeito aos limites legais na utilização do sistema credit scoring, configurando abuso no exercício desse direito (art. 187 do CC), pode ensejar a responsabilidade objetiva e solidária do fornecedor do serviço, do responsável pelo banco de dados, da fonte e do consulente (art. 16 da Lei n ) pela ocorrência de danos morais nas hipóteses de utilização de informações excessivas ou sensíveis (art. 3º, 3º, I e II, da Lei n ), bem como nos casos de comprovada recusa indevida de crédito pelo uso de dados incorretos ou desatualizados. RESP Nº RS ( )

27 Juiz de Porto Alegre sugeriu a consumidora que se mudasse "para a floresta, deserto, meio do oceano ou para outro planeta", ao negar-se a analisar seu pedido para proibir uma empresa de comercializar seus dados pessoais para fazer publicidade de produtos e serviços. Ao deixar de apreciar o pedido, o juiz afirmou que somente mudandose para os lugares sugeridos seria possível assegurar à consumidora "seus direitos à privacidade na forma ou amplitude como defende". Processo: , TJ/RS, 23 de Abril de 2014

28 Polêmicas Inexistência de Privacidade Processo: , TJ/RS, 23 de Abril de 2014

29 Regulamentação de Dados Pessoais 29

30

31 Princípios privacidade do usuário Art. 3º A disciplina do uso da internet no Brasil tem os seguintes princípios: I - garantia da liberdade de expressão, comunicação e manifestação de pensamento, nos termos da Constituição Federal; II - proteção da privacidade; III - proteção dos dados pessoais, na forma da lei; IV - preservação e garantia da neutralidade de rede; V - preservação da estabilidade, segurança e funcionalidade da rede, por meio de medidas técnicas compatíveis com os padrões internacionais e pelo estímulo ao uso de boas práticas; VI - responsabilização dos agentes de acordo com suas atividades, nos termos da lei; VII - preservação da natureza participativa da rede; VIII - liberdade dos modelos de negócios promovidos na internet, desde que não conflitem com os demais princípios estabelecidos nesta Lei. 31

32 Lei de Acesso a Informação Lei /11 Art. 4o Para os efeitos desta Lei, considera-se: I - informação: dados, processados ou não, que podem ser utilizados para produção e transmissão de conhecimento, contidos em qualquer meio, suporte ou formato; IV - informação pessoal: aquela relacionada à pessoa natural identificada ou identificável; V - tratamento da informação: conjunto de ações referentes à produção, recepção, classificação, utilização, acesso, reprodução, transporte, transmissão, distribuição, arquivamento, armazenamento, eliminação, avaliação, destinação ou controle da informação;

33 Dados Sensíveis Lei Nº /2011: Disciplina a formação e consulta a bancos de dados com informações de adimplemento, de pessoas naturais ou de pessoas jurídicas, para formação de histórico de crédito. Art. 3o (...) 3o Ficam proibidas as anotações de: I - informações excessivas, assim consideradas aquelas que não estiverem vinculadas à análise de risco de crédito ao consumidor; e II - informações sensíveis, assim consideradas aquelas pertinentes à origem social e étnica, à saúde, à informação genética, à orientação sexual e às convicções políticas, religiosas e filosóficas.

34

35 35

36 Direitos e Garantias dos usuários Art. 7o O acesso à internet é essencial ao exercício da cidadania, e ao usuário são assegurados os seguintes direitos: I - inviolabilidade da intimidade e da vida privada, sua proteção e indenização pelo dano material ou moral decorrente de sua violação; II - inviolabilidade e sigilo do fluxo de suas comunicações pela internet, salvo por ordem judicial, na forma da lei (Lei 9296/96); III - inviolabilidade e sigilo de suas comunicações privadas armazenadas, salvo por ordem judicial;

37

38

39

40

41

42

43 Direitos e Garantias dos usuários Art. 7º O acesso à internet é essencial ao exercício da cidadania, e ao usuário são assegurados os seguintes direitos: I - inviolabilidade da intimidade e da vida privada, sua proteção e indenização pelo dano material ou moral decorrente de sua violação; II - inviolabilidade e sigilo do fluxo de suas comunicações pela internet, salvo por ordem judicial, na forma da lei (Lei 9296/96); III - inviolabilidade e sigilo de suas comunicações privadas armazenadas, salvo por ordem judicial; VII - não fornecimento a terceiros de seus dados pessoais, inclusive registros de conexão, e de acesso a aplicações de internet, salvo mediante consentimento livre, expresso e informado ou nas hipóteses previstas em lei;

44 CONSENTIMENTO LIVRE EXPRESSO INFORMADO

45

46 Facebook Messenger Política de Privacidade Algumas solicitações invasivas do Facebook Messenger: Permissão para alterar o estado de conectividade de rede; Permissão para fazer ligações sem intervenção do usuário, possivelmente causando cobranças adicionais sem necessidade de confirmação; Permissão para envio de mensagens SMS sem necessidade de intervenção ou confirmação; Permissão para gravação de áudio com o microfone do celular sem confirmação do usuário; Permissão de uso da câmera para fazer fotos e vídeos sem a confirmação do usuário; Permissão para leitura do histórico de chamadas. Estes dados são apenas salvos, mas outros apps maliciosos podem compartilhar estas informações sem conhecimento do usuário; Permissão para ler dados sobre contatos do usuário armazenados no telefone, para ver com que frequência você se comunica com um indivíduo em específico por telefone, e- mail ou outras formas de contato; Permissão para identificar o usuário pelas informações guardadas no celular, com nome e informações de contato. Estes dados podem ser enviados para terceiros; Permissão para acessar recursos de identificação do celular, possibilitando o reconhecimento até mesmo o número telefônico do usuário; Permissão para receber uma lista de contas conhecidas no telefone, incluindo quaisquer apps instalados no aparelho.

47 Direitos e Garantias dos usuários Art. 7º O acesso à internet é essencial ao exercício da cidadania, e ao usuário são assegurados os seguintes direitos: VIII - informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção de seus dados pessoais, que somente poderão ser utilizados para finalidades que: a) justifiquem sua coleta; b) não sejam vedadas pela legislação; e c) estejam especificadas nos contratos de prestação de serviços ou em termos de uso de aplicações de internet;

48 Direitos e Garantias dos usuários Art. 7º O acesso à internet é essencial ao exercício da cidadania, e ao usuário são assegurados os seguintes direitos: IX - consentimento expresso sobre coleta, uso, armazenamento e tratamento de dados pessoais, que deverá ocorrer de forma destacada das demais cláusulas contratuais; X - exclusão definitiva dos dados pessoais que tiver fornecido a determinada aplicação de internet, a seu requerimento, ao término da relação entre as partes, ressalvadas as hipóteses de guarda obrigatória de registros previstas nesta Lei; XI - publicidade e clareza de eventuais políticas de uso dos provedores de conexão à internet e de aplicações de internet;

49 Guarda de logs Art. 16. Na provisão de aplicações de internet, onerosa ou gratuita, é vedada a guarda: I - dos registros de acesso a outras aplicações de internet sem que o titular dos dados tenha consentido previamente, respeitado o disposto no art. 7º; ou II - de dados pessoais que sejam excessivos em relação à finalidade para a qual foi dado consentimento pelo seu titular 49

50 Transferência e compartilhamento de dados 50

51 MasterCard e Visa estudam a venda de dados sobre clientes

52

53

54

55

56

57 Doutrina da Localization Art. 11. Em qualquer operação de coleta, armazenamento, guarda e tratamento de registros, de dados pessoais ou de comunicações por provedores de conexão e de aplicações de internet em que pelo menos um desses atos ocorra em território nacional, deverão ser obrigatoriamente respeitados a legislação brasileira e os direitos à privacidade, à proteção dos dados pessoais e ao sigilo das comunicações privadas e dos registros. 1o O disposto no caput aplica-se aos dados coletados em território nacional e ao conteúdo das comunicações, desde que pelo menos um dos terminais esteja localizado no Brasil. 2o O disposto no caput aplica-se mesmo que as atividades sejam realizadas por pessoa jurídica sediada no exterior, desde que oferte serviço ao público brasileiro ou pelo menos uma integrante do mesmo grupo econômico possua estabelecimento no Brasil. Art. 12, Parágrafo único. Tratando-se de empresa estrangeira, responde solidariamente pelo pagamento da multa de que trata o caput sua filial, sucursal, escritório ou estabelecimento situado no País.

58

59 Guarda de logs Art. 13. Na provisão de conexão à internet, cabe ao administrador de sistema autônomo respectivo o dever de manter os registros de conexão, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 1 (um) ano, nos termos do regulamento. Art. 14. Na provisão de conexão, onerosa ou gratuita, é vedado guardar os registros de acesso a aplicações de internet. Art. 15. O provedor de aplicações de internet constituído na forma de pessoa jurídica e que exerça essa atividade de forma organizada, profissionalmente e com fins econômicos deverá manter os respectivos registros de acesso a aplicações de internet, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 6 (seis) meses, nos termos do regulamento. 59

60

61 Da Proteção aos Registros, aos Dados Pessoais e às Comunicações Privadas Art. 12. Sem prejuízo das demais sanções cíveis, criminais ou administrativas, as infrações às normas previstas nos arts. 10 e 11 ficam sujeitas, conforme o caso, às seguintes sanções, aplicadas de forma isolada ou cumulativa: I - advertência, com indicação de prazo para adoção de medidas corretivas; II - multa de até 10% (dez por cento) do faturamento do grupo econômico no Brasil no seu último exercício, excluídos os tributos, considerados a condição econômica do infrator e o princípio da proporcionalidade entre a gravidade da falta e a intensidade da sanção; III - suspensão temporária das atividades que envolvam os atos previstos no art. 11; ou IV - proibição de exercício das atividades que envolvam os atos previstos no art. 11.

62

63 Requisição de logs Art. 22. A parte interessada poderá, com o propósito de formar conjunto probatório em processo judicial cível ou penal, em caráter incidental ou autônomo, requerer ao juiz que ordene ao responsável pela guarda o fornecimento de registros de conexão ou de registros de acesso a aplicações de internet. Parágrafo único. Sem prejuízo dos demais requisitos legais, o requerimento deverá conter, sob pena de inadmissibilidade: I - fundados indícios da ocorrência do ilícito; II - justificativa motivada da utilidade dos registros solicitados para fins de investigação ou instrução probatória; e III - período ao qual se referem os registros. 63

64

65 Da Neutralidade de Rede Art. 9o O responsável pela transmissão, comutação ou roteamento tem o dever de tratar de forma isonômica quaisquer pacotes de dados, sem distinção por conteúdo, origem e destino, serviço, terminal ou aplicação. 1o A discriminação ou degradação do tráfego será regulamentada nos termos das atribuições privativas do Presidente da República previstas no inciso IV do art. 84 da Constituição Federal, para a fiel execução desta Lei, ouvidos o Comitê Gestor da Internet e a Agência Nacional de Telecomunicações, e somente poderá decorrer de: I - requisitos técnicos indispensáveis à prestação adequada dos serviços e aplicações; e II - priorização de serviços de emergência. (...) III - informar previamente de modo transparente, claro e suficientemente descritivo aos seus usuários sobre as práticas de gerenciamento e mitigação de tráfego adotadas, inclusive as relacionadas à segurança da rede; e IV - oferecer serviços em condições comerciais não discriminatórias e abster-se de praticar condutas anticoncorrenciais. 3o Na provisão de conexão à internet, onerosa ou gratuita, bem como na transmissão, comutação ou roteamento, é vedado bloquear, monitorar, filtrar ou analisar o conteúdo dos pacotes de dados, respeitado o disposto neste artigo.

66 Decreto do Marco Civil da Internet 66

67 Padrões de Segurança 67

68 Conceito de Dados Pessoais 68

69 Fiscalização 69

70 APL de Proteção de Dados Pessoais 70

71 Principais pontos Dado pessoal; Dados sensíveis; Consentimento; Possibilidade de negar o tratamento de dados pessoais; Autoridade de garantia; Privacy Officer; Transferências internacionais de dados; Normas Corporativas Globais; Binding Corporate Rules BCRs; Vazamentos de dados e notificações obrigatórias; Responsabilidade; Sanções; Vacatio legis. 71

72 Princípios Finalidade: legítimas, específicas, explícitas e conhecidas do titular; Adequação: compatível com a finalidade e com as expectativas do titular, não excessivos; Necessidade: mínimo necessário para as finalidades almejadas; Livre acesso: modalidades de tratamento e a integridade de seus dados pessoais; Qualidade de dados: exatidão, clareza e atualização dos dados; Transparência: informações claras e adequadas sobre o tratamento; Segurança: medidas de proteção proporcionais para proteção contra acessos não autorizados; Prevenção: prevenir a ocorrência de danos em virtude do tratamento; Discriminação: tratamento não pode ser para fins discriminatórios. 72

73