LEI Nº 13.709, DE 14 DE AGOSTO DE 2018

CÂMARA
DOS DEPUTADOS
Centro de
Documentação e Informação
LEI
Nº 13.709, DE 14 DE AGOSTO DE 2018
Lei
Geral de Proteção de Dados Pessoais (LGPD) (Ementa
com redação dada pela Lei nº 13.853, de 8/7/2019)
O
PRESIDENTE DA REPÚBLICA
Faço
saber que o Congresso Nacional decreta e eu sanciono a seguinte Lei:
CAPÍTULO
I
DISPOSIÇÕES
PRELIMINARES
Art.
1º Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive
nos meios digitais, por pessoa natural ou por pessoa jurídica de
direito público ou privado, com o objetivo de proteger os direitos
fundamentais de liberdade e de privacidade e o livre desenvolvimento
da personalidade da pessoa natural.
Parágrafo
único. As normas gerais contidas nesta Lei são de interesse
nacional e devem ser observadas pela União, Estados, Distrito
Federal e Municípios.
(Parágrafo
único acrescido pela Lei nº 13.853, de 8/7/2019)
Art.
2º A disciplina da proteção de dados pessoais tem como
fundamentos:
I
- o respeito à privacidade;
II
- a autodeterminação informativa;
III
- a liberdade de expressão, de informação, de comunicação e de
opinião;
IV
- a inviolabilidade da intimidade, da honra e da imagem;
V
- o desenvolvimento econômico e tecnológico e a inovação;
VI
- a livre iniciativa, a livre concorrência e a defesa do consumidor;
e
VII
- os direitos humanos, o livre desenvolvimento da personalidade, a
dignidade e o exercício da cidadania pelas pessoas naturais.
Art.
3º Esta Lei aplica-se a qualquer operação de tratamento realizada
por pessoa natural ou por pessoa jurídica de direito público ou
privado, independentemente do meio, do país de sua sede ou do país
onde estejam localizados os dados, desde que:
I
- a operação de tratamento seja realizada no território nacional;
II
- a atividade de tratamento tenha por objetivo a oferta ou o
fornecimento de bens ou serviços ou o tratamento de dados de
indivíduos localizados no território nacional; ou (Inciso
com redação dada pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
III
- os dados pessoais objeto do tratamento tenham sido coletados no
território nacional.
§
1º Consideram-se coletados no território nacional os dados pessoais
cujo titular nele se encontre no momento da coleta.
§
2º Excetua-se do disposto no inciso I deste artigo o tratamento de
dados previsto no inciso IV do caput
do art. 4º desta Lei.
Art.
4º Esta Lei não se aplica ao tratamento de dados pessoais:
I
- realizado por pessoa natural para fins exclusivamente particulares
e não econômicos;
II
- realizado para fins exclusivamente:
a)
jornalístico e artísticos; ou
b)
acadêmicos, aplicando-se a esta hipótese os arts. 7º e 11 desta
Lei;
III
- realizado para fins exclusivos de:
a)
segurança pública;
b)
defesa nacional;
c)
segurança do Estado; ou
d)
atividades de investigação e repressão de infrações penais; ou
IV
- provenientes de fora do território nacional e que não sejam
objeto de comunicação, uso compartilhado de dados com agentes de
tratamento brasileiros ou objeto de transferência internacional de
dados com outro país que não o de proveniência, desde que o país
de proveniência proporcione grau de proteção de dados pessoais
adequado ao previsto nesta Lei.
§
1º O tratamento de dados pessoais previsto no inciso III será
regido por legislação específica, que deverá prever medidas
proporcionais e estritamente necessárias ao atendimento do interesse
público, observados o devido processo legal, os princípios gerais
de proteção e os direitos do titular previstos nesta Lei.
§
2º É vedado o tratamento dos dados a que se refere o inciso III do
caput
deste artigo por pessoa de direito privado, exceto em procedimentos
sob tutela de pessoa jurídica de direito público, que serão objeto
de informe específico à autoridade nacional e que deverão observar
a limitação imposta no § 4º deste artigo.
§
3º A autoridade nacional emitirá opiniões técnicas ou
recomendações referentes às exceções previstas no inciso III do
caput
deste artigo e deverá solicitar aos responsáveis relatórios de
impacto à proteção de dados pessoais.
§
4º Em nenhum caso a totalidade dos dados pessoais de banco de dados
de que trata o inciso III do caput
deste artigo poderá ser tratada por pessoa de direito privado, salvo
por aquela que possua capital integralmente constituído pelo poder
público. (Parágrafo
com redação dada pela Lei nº 13.853, de 8/7/2019)
Art.
5º Para os fins desta Lei, considera-se:
I
- dado pessoal: informação relacionada a pessoa natural
identificada ou identificável;
II
- dado pessoal sensível: dado pessoal sobre origem racial ou étnica,
convicção religiosa, opinião política, filiação a sindicato ou
a organização de caráter religioso, filosófico ou político, dado
referente à saúde ou à vida sexual, dado genético ou biométrico,
quando vinculado a uma pessoa natural;
III
- dado anonimizado: dado relativo a titular que não possa ser
identificado, considerando a utilização de meios técnicos
razoáveis e disponíveis na ocasião de seu tratamento;
IV
- banco de dados: conjunto estruturado de dados pessoais,
estabelecido em um ou em vários locais, em suporte eletrônico ou
físico;
V
- titular: pessoa natural a quem se referem os dados pessoais que são
objeto de tratamento;
VI
- controlador: pessoa natural ou jurídica, de direito público ou
privado, a quem competem as decisões referentes ao tratamento de
dados pessoais;
VII
- operador: pessoa natural ou jurídica, de direito público ou
privado, que realiza o tratamento de dados pessoais em nome do
controlador;
VIII
- encarregado: pessoa indicada pelo controlador e operador para atuar
como canal de comunicação entre o controlador, os titulares dos
dados e a Agência Nacional de Proteção de Dados (ANPD); (Inciso
com redação dada pela Medida Provisória nº 1.317, de 17/9/2025,
convertida
na Lei nº 15.352, de 25/2/2026)
IX
- agentes de tratamento: o controlador e o operador;
X
- tratamento: toda operação realizada com dados pessoais, como as
que se referem a coleta, produção, recepção, classificação,
utilização, acesso, reprodução, transmissão, distribuição,
processamento, arquivamento, armazenamento, eliminação, avaliação
ou controle da informação, modificação, comunicação,
transferência, difusão ou extração;
XI
- anonimização: utilização de meios técnicos razoáveis e
disponíveis no momento do tratamento, por meio dos quais um dado
perde a possibilidade de associação, direta ou indireta, a um
indivíduo;
XII
- consentimento: manifestação livre, informada e inequívoca pela
qual o titular concorda com o tratamento de seus dados pessoais para
uma finalidade determinada;
XIII
- bloqueio: suspensão temporária de qualquer operação de
tratamento, mediante guarda do dado pessoal ou do banco de dados;
XIV
- eliminação: exclusão de dado ou de conjunto de dados armazenados
em banco de dados, independentemente do procedimento empregado;
XV
- transferência internacional de dados: transferência de dados
pessoais para país estrangeiro ou organismo internacional do qual o
país seja membro;
XVI
- uso compartilhado de dados: comunicação, difusão, transferência
internacional, interconexão de dados pessoais ou tratamento
compartilhado de bancos de dados pessoais por órgãos e entidades
públicos no cumprimento de suas competências legais, ou entre esses
e entes privados, reciprocamente, com autorização específica, para
uma ou mais modalidades de tratamento permitidas por esses entes
públicos, ou entre entes privados;
XVII
- relatório de impacto à proteção de dados pessoais: documentação
do controlador que contém a descrição dos processos de tratamento
de dados pessoais que podem gerar riscos às liberdades civis e aos
direitos fundamentais, bem como medidas, salvaguardas e mecanismos de
mitigação de risco;
XVIII
- órgão de pesquisa: órgão ou entidade da administração pública
direta ou indireta ou pessoa jurídica de direito privado sem fins
lucrativos legalmente constituída sob as leis brasileiras, com sede
e foro no País, que inclua em sua missão institucional ou em seu
objetivo social ou estatutário a pesquisa básica ou aplicada de
caráter histórico, científico, tecnológico ou estatístico; e
(Inciso
com redação dada pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
XIX
- autoridade nacional: entidade da administração pública
responsável por zelar, implementar e fiscalizar o cumprimento desta
Lei em todo o território nacional. (Inciso
com redação dada pela Medida Provisória nº 1.317, de 17/9/2025,
convertida
na Lei nº 15.352, de 25/2/2026)
Art.
6º As atividades de tratamento de dados pessoais deverão observar a
boa-fé e os seguintes princípios:
I
- finalidade: realização do tratamento para propósitos legítimos,
específicos, explícitos e informados ao titular, sem possibilidade
de tratamento posterior de forma incompatível com essas finalidades;
II
- adequação: compatibilidade do tratamento com as finalidades
informadas ao titular, de acordo com o contexto do tratamento;
III
- necessidade: limitação do tratamento ao mínimo necessário para
a realização de suas finalidades, com abrangência dos dados
pertinentes, proporcionais e não excessivos em relação às
finalidades do tratamento de dados;
IV
- livre acesso: garantia, aos titulares, de consulta facilitada e
gratuita sobre a forma e a duração do tratamento, bem como sobre a
integralidade de seus dados pessoais;
V
- qualidade dos dados: garantia, aos titulares, de exatidão,
clareza, relevância e atualização dos dados, de acordo com a
necessidade e para o cumprimento da finalidade de seu tratamento;
VI
- transparência: garantia, aos titulares, de informações claras,
precisas e facilmente acessíveis sobre a realização do tratamento
e os respectivos agentes de tratamento, observados os segredos
comercial e industrial;
VII
- segurança: utilização de medidas técnicas e administrativas
aptas a proteger os dados pessoais de acessos não autorizados e de
situações acidentais ou ilícitas de destruição, perda,
alteração, comunicação ou difusão;
VIII
- prevenção: adoção de medidas para prevenir a ocorrência de
danos em virtude do tratamento de dados pessoais;
IX
- não discriminação: impossibilidade de realização do tratamento
para fins discriminatórios ilícitos ou abusivos;
X-
responsabilização e prestação de contas: demonstração, pelo
agente, da adoção de medidas eficazes e capazes de comprovar a
observância e o cumprimento das normas de proteção de dados
pessoais e, inclusive, da eficácia dessas medidas.
CAPÍTULO
II
DO
TRATAMENTO DE DADOS PESSOAIS
Seção
I
Dos
Requisitos para o Tratamento de Dados Pessoais
Art.
7º O tratamento de dados pessoais somente poderá ser realizado nas
seguintes hipóteses:
I
- mediante o fornecimento de consentimento pelo titular;
II
- para o cumprimento de obrigação legal ou regulatória pelo
controlador;
III
- pela administração pública, para o tratamento e uso
compartilhado de dados necessários à execução de políticas
públicas previstas em leis e regulamentos ou respaldadas em
contratos, convênios ou instrumentos congêneres, observadas as
disposições do Capítulo IV desta Lei;
IV
- para a realização de estudos por órgão de pesquisa, garantida,
sempre que possível, a anonimização dos dados pessoais;
V
- quando necessário para a execução de contrato ou de
procedimentos preliminares relacionados a contrato do qual seja parte
o titular, a pedido do titular dos dados;
VI
- para o exercício regular de direitos em processo judicial,
administrativo ou arbitral, esse último nos termos da Lei nº 9.307,
de 23 de setembro de 1996 (Lei de Arbitragem);
VII
- para a proteção da vida ou da incolumidade física do titular ou
de terceiro;
VIII
- para a tutela da saúde, exclusivamente, em procedimento realizado
por profissionais de saúde, serviços de saúde ou autoridade
sanitária; (Inciso
com redação dada pela Lei nº 13.853, de 8/7/2019)
IX
- quando necessário para atender aos interesses legítimos do
controlador ou de terceiro, exceto no caso de prevalecerem direitos e
liberdades fundamentais do titular que exijam a proteção dos dados
pessoais; ou
X
- para a proteção do crédito, inclusive quanto ao disposto na
legislação pertinente.
§
1º (Revogado
pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
§
2º (Revogado
pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
§
3º O tratamento de dados pessoais cujo acesso é público deve
considerar a finalidade, a boa-fé e o interesse público que
justificaram sua disponibilização.
§
4º É dispensada a exigência do consentimento previsto no caput
deste artigo para os dados tornados manifestamente públicos pelo
titular, resguardados os direitos do titular e os princípios
previstos nesta Lei.
§
5º O controlador que obteve o consentimento referido no inciso I do
caput
deste artigo que necessitar comunicar ou compartilhar dados pessoais
com outros controladores deverá obter consentimento específico do
titular para esse fim, ressalvadas as hipóteses de dispensa do
consentimento previstas nesta Lei.
§
6º A eventual dispensa da exigência do consentimento não desobriga
os agentes de tratamento das demais obrigações previstas nesta Lei,
especialmente da observância dos princípios gerais e da garantia
dos direitos do titular.
§
7º O tratamento posterior dos dados pessoais a que se referem os §§
3º e 4º deste artigo poderá ser realizado para novas finalidades,
desde que observados os propósitos legítimos e específicos para o
novo tratamento e a preservação dos direitos do titular, assim como
os fundamentos e os princípios previstos nesta Lei.
(Parágrafo
acrescido pela Lei nº 13.853, de 8/7/2019)
Art.
8º O consentimento previsto no inciso I do art. 7º desta Lei deverá
ser fornecido por escrito ou por outro meio que demonstre a
manifestação de vontade do titular.
§
1º Caso o consentimento seja fornecido por escrito, esse deverá
constar de cláusula destacada das demais cláusulas contratuais.
§
2º Cabe ao controlador o ônus da prova de que o consentimento foi
obtido em conformidade com o disposto nesta Lei.
§
3º É vedado o tratamento de dados pessoais mediante vício de
consentimento.
§
4º O consentimento deverá referir-se a finalidades determinadas, e
as autorizações genéricas para o tratamento de dados pessoais
serão nulas.
§
5º O consentimento pode ser revogado a qualquer momento mediante
manifestação expressa do titular, por procedimento gratuito e
facilitado, ratificados os tratamentos realizados sob amparo do
consentimento anteriormente manifestado enquanto não houver
requerimento de eliminação, nos termos do inciso VI do caput
do art. 18 desta Lei.
§
6º Em caso de alteração de informação referida nos incisos I,
II, III ou V do art. 9º desta Lei, o controlador deverá informar ao
titular, com destaque de forma específica do teor das alterações,
podendo o titular, nos casos em que o seu consentimento é exigido,
revogá-lo caso discorde da alteração.
Art.
9º O titular tem direito ao acesso facilitado às informações
sobre o tratamento de seus dados, que deverão ser disponibilizadas
de forma clara, adequada e ostensiva acerca de, entre outras
características previstas em regulamentação para o atendimento do
princípio do livre acesso:
I
- finalidade específica do tratamento;
II
- forma e duração do tratamento, observados os segredos comercial e
industrial;
III
- identificação do controlador;
IV
- informações de contato do controlador;
V
- informações acerca do uso compartilhado de dados pelo controlador
e a finalidade;
VI
- responsabilidades dos agentes que realizarão o tratamento; e
VII
- direitos do titular, com menção explícita aos direitos contidos
no art. 18 desta Lei.
§
1º Na hipótese em que o consentimento é requerido, esse será
considerado nulo caso as informações fornecidas ao titular tenham
conteúdo enganoso ou abusivo ou não tenham sido apresentadas
previamente com transparência, de forma clara e inequívoca.
§
2º Na hipótese em que o consentimento é requerido, se houver
mudanças da finalidade para o tratamento de dados pessoais não
compatíveis com o consentimento original, o controlador deverá
informar previamente o titular sobre as mudanças de finalidade,
podendo o titular revogar o consentimento, caso discorde das
alterações.
§
3º Quando o tratamento de dados pessoais for condição para o
fornecimento de produto ou de serviço ou para o exercício de
direito, o titular será informado com destaque sobre esse fato e
sobre os meios pelos quais poderá exercer os direitos do titular
elencados no art. 18 desta Lei.
Art.
10. O legítimo interesse do controlador somente poderá fundamentar
tratamento de dados pessoais para finalidades legítimas,
consideradas a partir de situações concretas, que incluem, mas não
se limitam a:
I
- apoio e promoção de atividades do controlador; e
II
- proteção, em relação ao titular, do exercício regular de seus
direitos ou prestação de serviços que o beneficiem, respeitadas as
legítimas expectativas dele e os direitos e liberdades fundamentais,
nos termos desta Lei.
§
1º Quando o tratamento for baseado no legítimo interesse do
controlador, somente os dados pessoais estritamente necessários para
a finalidade pretendida poderão ser tratados.
§
2º O controlador deverá adotar medidas para garantir a
transparência do tratamento de dados baseado em seu legítimo
interesse.
§
3º A autoridade nacional poderá solicitar ao controlador relatório
de impacto à proteção de dados pessoais, quando o tratamento tiver
como fundamento seu interesse legítimo, observados os segredos
comercial e industrial.
Seção
II
Do
Tratamento de Dados Pessoais Sensíveis
Art.
11. O tratamento de dados pessoais sensíveis somente poderá ocorrer
nas seguintes hipóteses:
I
- quando o titular ou seu responsável legal consentir, de forma
específica e destacada, para finalidades específicas;
II
- sem fornecimento de consentimento do titular, nas hipóteses em que
for indispensável para:
a)
cumprimento de obrigação legal ou regulatória pelo controlador;
b)
tratamento compartilhado de dados necessários à execução, pela
administração pública, de políticas públicas previstas em leis
ou regulamentos;
c)
realização de estudos por órgão de pesquisa, garantida, sempre
que possível, a anonimização dos dados pessoais sensíveis;
d)
exercício regular de direitos, inclusive em contrato e em processo
judicial, administrativo e arbitral, este último nos termos da Lei
nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
e)
proteção da vida ou da incolumidade física do titular ou de
terceiro;
f)
tutela da saúde, exclusivamente, em procedimento realizado por
profissionais de saúde, serviços de saúde ou autoridade sanitária;
ou (Alínea
com redação dada pela Lei nº 13.853, de 8/7/2019)
g)
garantia da prevenção à fraude e à segurança do titular, nos
processos de identificação e autenticação de cadastro em sistemas
eletrônicos, resguardados os direitos mencionados no art. 9º desta
Lei e exceto no caso de prevalecerem direitos e liberdades
fundamentais do titular que exijam a proteção dos dados pessoais.
§
1º Aplica-se o disposto neste artigo a qualquer tratamento de dados
pessoais que revele dados pessoais sensíveis e que possa causar dano
ao titular, ressalvado o disposto em legislação específica.
§
2º Nos casos de aplicação do disposto nas alíneas "a" e
"b" do inciso II do caput
deste artigo pelos órgãos e pelas entidades públicas, será dada
publicidade à referida dispensa de consentimento, nos termos do
inciso I do caput
do art. 23 desta Lei.
§
3º A comunicação ou o uso compartilhado de dados pessoais
sensíveis entre controladores com objetivo de obter vantagem
econômica poderá ser objeto de vedação ou de regulamentação por
parte da autoridade nacional, ouvidos os órgãos setoriais do Poder
Público, no âmbito de suas competências.
§
4º É vedada a comunicação ou o uso compartilhado entre
controladores de dados pessoais sensíveis referentes à saúde com
objetivo de obter vantagem econômica, exceto nas hipóteses
relativas a prestação de serviços de saúde, de assistência
farmacêutica e de assistência à saúde, desde que observado o §
5º deste artigo, incluídos os serviços auxiliares de diagnose e
terapia, em benefício dos interesses dos titulares de dados, e para
permitir:
I
- a portabilidade de dados quando solicitada pelo titular; ou
II
- as transações financeiras e administrativas resultantes do uso e
da prestação dos serviços de que trata este parágrafo.
(Inciso
com redação dada pela Lei nº 13.853, de 8/7/2019)
§
5º É vedado às operadoras de planos privados de assistência à
saúde o tratamento de dados de saúde para a prática de seleção
de riscos na contratação de qualquer modalidade, assim como na
contratação e exclusão de beneficiários.
(Parágrafo
acrescido pela Lei nº 13.853, de 8/7/2019)
Art.
12. Os dados anonimizados não serão considerados dados pessoais
para os fins desta Lei, salvo quando o processo de anonimização ao
qual foram submetidos for revertido, utilizando exclusivamente meios
próprios, ou quando, com esforços razoáveis, puder ser revertido.
§
1º A determinação do que seja razoável deve levar em consideração
fatores objetivos, tais como custo e tempo necessários para reverter
o processo de anonimização, de acordo com as tecnologias
disponíveis, e a utilização exclusiva de meios próprios.
§
2º Poderão ser igualmente considerados como dados pessoais, para os
fins desta Lei, aqueles utilizados para formação do perfil
comportamental de determinada pessoa natural, se identificada.
§
3º A autoridade nacional poderá dispor sobre padrões e técnicas
utilizados em processos de anonimização e realizar verificações
acerca de sua segurança, ouvido o Conselho Nacional de Proteção de
Dados Pessoais.
Art.
13. Na realização de estudos em saúde pública, os órgãos de
pesquisa poderão ter acesso a bases de dados pessoais, que serão
tratados exclusivamente dentro do órgão e estritamente para a
finalidade de realização de estudos e pesquisas e mantidos em
ambiente controlado e seguro, conforme práticas de segurança
previstas em regulamento específico e que incluam, sempre que
possível, a anonimização ou pseudonimização dos dados, bem como
considerem os devidos padrões éticos relacionados a estudos e
pesquisas.
§
1º A divulgação dos resultados ou de qualquer excerto do estudo ou
da pesquisa de que trata o caput
deste artigo em nenhuma hipótese poderá revelar dados pessoais.
§
2º O órgão de pesquisa será o responsável pela segurança da
informação prevista no caput
deste artigo, não permitida, em circunstância alguma, a
transferência dos dados a terceiro.
§
3º O acesso aos dados de que trata este artigo será objeto de
regulamentação por parte da autoridade nacional e das autoridades
da área de saúde e sanitárias, no âmbito de suas competências.
§
4º Para os efeitos deste artigo, a pseudonimização é o tratamento
por meio do qual um dado perde a possibilidade de associação,
direta ou indireta, a um indivíduo, senão pelo uso de informação
adicional mantida separadamente pelo controlador em ambiente
controlado e seguro.
Seção
III
Do
Tratamento de Dados Pessoais de Crianças e de Adolescentes
Art.
14. O tratamento de dados pessoais de crianças e de adolescentes
deverá ser realizado em seu melhor interesse, nos termos deste
artigo e da legislação pertinente.
§
1º O tratamento de dados pessoais de crianças deverá ser realizado
com o consentimento específico e em destaque dado por pelo menos um
dos pais ou pelo responsável legal.
§
2º No tratamento de dados de que trata o § 1º deste artigo, os
controladores deverão manter pública a informação sobre os tipos
de dados coletados, a forma de sua utilização e os procedimentos
para o exercício dos direitos a que se refere o art. 18 desta Lei.
§
3º Poderão ser coletados dados pessoais de crianças sem o
consentimento a que se refere o § 1º deste artigo quando a coleta
for necessária para contatar os pais ou o responsável legal,
utilizados uma única vez e sem armazenamento, ou para sua proteção,
e em nenhum caso poderão ser repassados a terceiro sem o
consentimento de que trata o § 1º deste artigo.
§
4º Os controladores não deverão condicionar a participação dos
titulares de que trata o § 1º deste artigo em jogos, aplicações
de internet ou outras atividades ao fornecimento de informações
pessoais além das estritamente necessárias à atividade.
§
5º O controlador deve realizar todos os esforços razoáveis para
verificar que o consentimento a que se refere o § 1º deste artigo
foi dado pelo responsável pela criança, consideradas as tecnologias
disponíveis.
§
6º As informações sobre o tratamento de dados referidas neste
artigo deverão ser fornecidas de maneira simples, clara e acessível,
consideradas as características físico-motoras, perceptivas,
sensoriais, intelectuais e mentais do usuário, com uso de recursos
audiovisuais quando adequado, de forma a proporcionar a informação
necessária aos pais ou ao responsável legal e adequada ao
entendimento da criança.
Seção
III-A
(VETADA
na Lei nº 15.134, de 6/5/2025)
Art.
14-A. (VETADO
na Lei nº 15.134, de 6/5/2025)
Seção
IV
Do
Término do Tratamento de Dados
Art.
15. O término do tratamento de dados pessoais ocorrerá nas
seguintes hipóteses:
I
- verificação de que a finalidade foi alcançada ou de que os dados
deixaram de ser necessários ou pertinentes ao alcance da finalidade
específica almejada;
II
- fim do período de tratamento;
III
- comunicação do titular, inclusive no exercício de seu direito de
revogação do consentimento conforme disposto no § 5º do art. 8º
desta Lei, resguardado o interesse público; ou
IV
- determinação da autoridade nacional, quando houver violação ao
disposto nesta Lei.
Art.
16. Os dados pessoais serão eliminados após o término de seu
tratamento, no âmbito e nos limites técnicos das atividades,
autorizada a conservação para as seguintes finalidades:
I
- cumprimento de obrigação legal ou regulatória pelo controlador;
II
- estudo por órgão de pesquisa, garantida, sempre que possível, a
anonimização dos dados pessoais;
III
- transferência a terceiro, desde que respeitados os requisitos de
tratamento de dados dispostos nesta Lei; ou
IV
- uso exclusivo do controlador, vedado seu acesso por terceiro, e
desde que anonimizados os dados.
CAPÍTULO
III
DOS
DIREITOS DO TITULAR
Art.
17. Toda pessoa natural tem assegurada a titularidade de seus dados
pessoais e garantidos os direitos fundamentais de liberdade, de
intimidade e de privacidade, nos termos desta Lei.
Art.
18. O titular dos dados pessoais tem direito a obter do controlador,
em relação aos dados do titular por ele tratados, a qualquer
momento e mediante requisição:
I
- confirmação da existência de tratamento;
II
- acesso aos dados;
III
- correção de dados incompletos, inexatos ou desatualizados;
IV
- anonimização, bloqueio ou eliminação de dados desnecessários,
excessivos ou tratados em desconformidade com o disposto nesta Lei;
V
- portabilidade dos dados a outro fornecedor de serviço ou produto,
mediante requisição expressa, de acordo com a regulamentação da
autoridade nacional, observados os segredos comercial e industrial;
(Inciso
com redação dada pela Lei nº 13.853, de 8/7/2019)
VI
- eliminação dos dados pessoais tratados com o consentimento do
titular, exceto nas hipóteses previstas no art. 16 desta Lei;
VII
- informação das entidades públicas e privadas com as quais o
controlador realizou uso compartilhado de dados;
VIII
- informação sobre a possibilidade de não fornecer consentimento e
sobre as consequências da negativa;
IX
- revogação do consentimento, nos termos do § 5º do art. 8º
desta Lei.
§
1º O titular dos dados pessoais tem o direito de peticionar em
relação aos seus dados contra o controlador perante a autoridade
nacional.
§
2º O titular pode opor-se a tratamento realizado com fundamento em
uma das hipóteses de dispensa de consentimento, em caso de
descumprimento ao disposto nesta Lei.
§
3º Os direitos previstos neste artigo serão exercidos mediante
requerimento expresso do titular ou de representante legalmente
constituído, a agente de tratamento.
§
4º Em caso de impossibilidade de adoção imediata da providência
de que trata o § 3º deste artigo, o controlador enviará ao titular
resposta em que poderá:
I
- comunicar que não é agente de tratamento dos dados e indicar,
sempre que possível, o agente; ou
II
- indicar as razões de fato ou de direito que impedem a adoção
imediata da providência.
§
5º O requerimento referido no § 3º deste artigo será atendido sem
custos para o titular, nos prazos e nos termos previstos em
regulamento.
§
6º O responsável deverá informar, de maneira imediata, aos agentes
de tratamento com os quais tenha realizado uso compartilhado de dados
a correção, a eliminação, a anonimização ou o bloqueio dos
dados, para que repitam idêntico procedimento, exceto nos casos em
que esta comunicação seja comprovadamente impossível ou implique
esforço desproporcional. (Parágrafo
com redação dada pela Lei nº 13.853, de 8/7/2019)
§
7º A portabilidade dos dados pessoais a que se refere o inciso V do
caput
deste artigo não inclui dados que já tenham sido anonimizados pelo
controlador.
§
8º O direito a que se refere o § 1º deste artigo também poderá
ser exercido perante os organismos de defesa do consumidor.
Art.
19. A confirmação de existência ou o acesso a dados pessoais serão
providenciados, mediante requisição do titular:
I
- em formato simplificado, imediatamente; ou
II
- por meio de declaração clara e completa, que indique a origem dos
dados, a inexistência de registro, os critérios utilizados e a
finalidade do tratamento, observados os segredos comercial e
industrial, fornecida no prazo de até 15 (quinze) dias, contado da
data do requerimento do titular.
§
1º Os dados pessoais serão armazenados em formato que favoreça o
exercício do direito de acesso.
§
2º As informações e os dados poderão ser fornecidos, a critério
do titular:
I
- por meio eletrônico, seguro e idôneo para esse fim; ou
II
- sob forma impressa.
§
3º Quando o tratamento tiver origem no consentimento do titular ou
em contrato, o titular poderá solicitar cópia eletrônica integral
de seus dados pessoais, observados os segredos comercial e
industrial, nos termos de regulamentação da autoridade nacional, em
formato que permita a sua utilização subsequente, inclusive em
outras operações de tratamento.
§
4º A autoridade nacional poderá dispor de forma diferenciada acerca
dos prazos previstos nos incisos I e II do caput
deste artigo para os setores específicos.
Art.
20. O titular dos dados tem direito a solicitar a revisão de
decisões tomadas unicamente com base em tratamento automatizado de
dados pessoais que afetem seus interesses, incluídas as decisões
destinadas a definir o seu perfil pessoal, profissional, de consumo e
de crédito ou os aspectos de sua personalidade. (“Caput”
do artigo com redação dada pela Medida Provisória nº 869, de
27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
§
1º O controlador deverá fornecer, sempre que solicitadas,
informações claras e adequadas a respeito dos critérios e dos
procedimentos utilizados para a decisão automatizada, observados os
segredos comercial e industrial.
§
2º Em caso de não oferecimento de informações de que trata o §
1º deste artigo baseado na observância de segredo comercial e
industrial, a autoridade nacional poderá realizar auditoria para
verificação de aspectos discriminatórios em tratamento
automatizado de dados pessoais.
§
3º (VETADO
na Lei nº 13.853, de 8/7/2019)
Art.
21. Os dados pessoais referentes ao exercício regular de direitos
pelo titular não podem ser utilizados em seu prejuízo.
Art.
22. A defesa dos interesses e dos direitos dos titulares de dados
poderá ser exercida em juízo, individual ou coletivamente, na forma
do disposto na legislação pertinente, acerca dos instrumentos de
tutela individual e coletiva.
CAPÍTULO
IV
DO
TRATAMENTO DE DADOS PESSOAIS PELO PODER PÚBLICO
Seção
I
Das
Regras
Art.
23. O tratamento de dados pessoais pelas pessoas jurídicas de
direito público referidas no parágrafo único do art. 1º da Lei nº
12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação),
deverá ser realizado para o atendimento de sua finalidade pública,
na persecução do interesse público, com o objetivo de executar as
competências legais ou cumprir as atribuições legais do serviço
público, desde que:
I
- sejam informadas as hipóteses em que, no exercício de suas
competências, realizam o tratamento de dados pessoais, fornecendo
informações claras e atualizadas sobre a previsão legal, a
finalidade, os procedimentos e as práticas utilizadas para a
execução dessas atividades, em veículos de fácil acesso,
preferencialmente em seus sítios eletrônicos;
II
- (VETADO); e
III
- seja indicado um encarregado quando realizarem operações de
tratamento de dados pessoais, nos termos do art. 39 desta Lei; e
(Inciso
com redação dada pela Lei nº 13.853, de 8/7/2019)
IV
-
(Vetado
na Lei nº 13.853, de 8/7/2019)
§
1º A autoridade nacional poderá dispor sobre as formas de
publicidade das operações de tratamento.
§
2º O disposto nesta Lei não dispensa as pessoas jurídicas
mencionadas no caput
deste artigo de instituir as autoridades de que trata a Lei nº
12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação).
§
3º Os prazos e procedimentos para exercício dos direitos do titular
perante o Poder Público observarão o disposto em legislação
específica, em especial as disposições constantes da Lei nº
9.507, de 12 de novembro de 1997 (Lei do Habeas Data), da Lei nº
9.784, de 29 de janeiro de 1999 (Lei Geral do Processo
Administrativo), e da Lei nº 12.527, de 18 de novembro de 2011 (Lei
de Acesso à Informação).
§
4º Os serviços notariais e de registro exercidos em caráter
privado, por delegação do Poder Público, terão o mesmo tratamento
dispensado às pessoas jurídicas referidas no caput
deste artigo, nos termos desta Lei.
§
5º Os órgãos notariais e de registro devem fornecer acesso aos
dados por meio eletrônico para a administração pública, tendo em
vista as finalidades de que trata o caput
deste artigo.
Art.
24. As empresas públicas e as sociedades de economia mista que atuam
em regime de concorrência, sujeitas ao disposto no art. 173 da
Constituição Federal, terão o mesmo tratamento dispensado às
pessoas jurídicas de direito privado particulares, nos termos desta
Lei.
Parágrafo
único. As empresas públicas e as sociedades de economia mista,
quando estiverem operacionalizando políticas públicas e no âmbito
da execução delas, terão o mesmo tratamento dispensado aos órgãos
e às entidades do Poder Público, nos termos deste Capítulo.
Art.
25. Os dados deverão ser mantidos em formato interoperável e
estruturado para o uso compartilhado, com vistas à execução de
políticas públicas, à prestação de serviços públicos, à
descentralização da atividade pública e à disseminação e ao
acesso das informações pelo público em geral.
Art.
26. O uso compartilhado de dados pessoais pelo Poder Público deve
atender a finalidades específicas de execução de políticas
públicas e atribuição legal pelos órgãos e pelas entidades
públicas, respeitados os princípios de proteção de dados pessoais
elencados no art. 6º desta Lei.
§
1º É vedado ao Poder Público transferir a entidades privadas dados
pessoais constantes de bases de dados a que tenha acesso, exceto:
I
- em casos de execução descentralizada de atividade pública que
exija a transferência, exclusivamente para esse fim específico e
determinado, observado o disposto na Lei nº 12.527, de 18 de
novembro de 2011 (Lei de Acesso à Informação);
II
- (VETADO);
III
- nos casos em que os dados forem acessíveis publicamente,
observadas as disposições desta Lei;
IV
- quando houver previsão legal ou a transferência for respaldada em
contratos, convênios ou instrumentos congêneres; ou (Inciso
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
V
- na hipótese de a transferência dos dados objetivar exclusivamente
a prevenção de fraudes e irregularidades, ou proteger e resguardar
a segurança e a integridade do titular dos dados, desde que vedado o
tratamento para outras finalidades. (Inciso
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
§
2º Os contratos e convênios de que trata o § 1º deste artigo
deverão ser comunicados à autoridade nacional.
Art.
27. A comunicação ou o uso compartilhado de dados pessoais de
pessoa jurídica de direito público a pessoa de direito privado será
informado à autoridade nacional e dependerá de consentimento do
titular, exceto:
I
- nas hipóteses de dispensa de consentimento previstas nesta Lei;
II
- nos casos de uso compartilhado de dados, em que será dada
publicidade nos termos do inciso I do caput
do art. 23 desta Lei; ou
III
- nas exceções constantes do § 1º do art. 26 desta Lei.
Parágrafo
único. A informação à autoridade nacional de que trata o caput
deste artigo será objeto de regulamentação.
(Parágrafo
único acrescido pela Lei nº 13.853, de 8/7/2019)
Art.
28. (VETADO).
Art.
29. A autoridade nacional poderá solicitar, a qualquer momento, aos
órgãos e às entidades do poder público a realização de
operações de tratamento de dados pessoais, informações
específicas sobre o âmbito e a natureza dos dados e outros detalhes
do tratamento realizado e poderá emitir parecer técnico
complementar para garantir o cumprimento desta Lei. (Artigo
com redação dada pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
Art.
30. A autoridade nacional poderá estabelecer normas complementares
para as atividades de comunicação e de uso compartilhado de dados
pessoais.
Seção
II
Da
Responsabilidade
Art.
31. Quando houver infração a esta Lei em decorrência do tratamento
de dados pessoais por órgãos públicos, a autoridade nacional
poderá enviar informe com medidas cabíveis para fazer cessar a
violação.
Art.
32. A autoridade nacional poderá solicitar a agentes do Poder
Público a publicação de relatórios de impacto à proteção de
dados pessoais e sugerir a adoção de padrões e de boas práticas
para os tratamentos de dados pessoais pelo Poder Público.
CAPÍTULO
V
DA
TRANSFERÊNCIA INTERNACIONAL DE DADOS
Art.
33. A transferência internacional de dados pessoais somente é
permitida nos seguintes casos:
I
- para países ou organismos internacionais que proporcionem grau de
proteção de dados pessoais adequado ao previsto nesta Lei;
II
- quando o controlador oferecer e comprovar garantias de cumprimento
dos princípios, dos direitos do titular e do regime de proteção de
dados previstos nesta Lei, na forma de:
a)
cláusulas contratuais específicas para determinada transferência;
b)
cláusulas-padrão contratuais;
c)
normas corporativas globais;
d)
selos, certificados e códigos de conduta regularmente emitidos;
III
- quando a transferência for necessária para a cooperação
jurídica internacional entre órgãos públicos de inteligência, de
investigação e de persecução, de acordo com os instrumentos de
direito internacional;
IV
- quando a transferência for necessária para a proteção da vida
ou da incolumidade física do titular ou de terceiro;
V
- quando a autoridade nacional autorizar a transferência;
VI
- quando a transferência resultar em compromisso assumido em acordo
de cooperação internacional;
VII
- quando a transferência for necessária para a execução de
política pública ou atribuição legal do serviço público, sendo
dada publicidade nos termos do inciso I do caput
do art. 23 desta Lei;
VIII
- quando o titular tiver fornecido o seu consentimento específico e
em destaque para a transferência, com informação prévia sobre o
caráter internacional da operação, distinguindo claramente esta de
outras finalidades; ou
IX
- quando necessário para atender as hipóteses previstas nos incisos
II, V e VI do art. 7º desta Lei.
Parágrafo
único. Para os fins do inciso I deste artigo, as pessoas jurídicas
de direito público referidas no parágrafo único do art. 1º da Lei
nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação),
no âmbito de suas competências legais, e responsáveis, no âmbito
de suas atividades, poderão requerer à autoridade nacional a
avaliação do nível de proteção a dados pessoais conferido por
país ou organismo internacional.
Art.
34. O nível de proteção de dados do país estrangeiro ou do
organismo internacional mencionado no inciso I do caput
do art. 33 desta Lei será avaliado pela autoridade nacional, que
levará em consideração:
I
- as normas gerais e setoriais da legislação em vigor no país de
destino ou no organismo internacional;
II
- a natureza dos dados;
III
- a observância dos princípios gerais de proteção de dados
pessoais e direitos dos titulares previstos nesta Lei;
IV
- a adoção de medidas de segurança previstas em regulamento;
V
- a existência de garantias judiciais e institucionais para o
respeito aos direitos de proteção de dados pessoais; e
VI
- outras circunstâncias específicas relativas à transferência.
Art.
35. A definição do conteúdo de cláusulas-padrão contratuais, bem
como a verificação de cláusulas contratuais específicas para uma
determinada transferência, normas corporativas globais ou selos,
certificados e códigos de conduta, a que se refere o inciso II do
caput
do art. 33 desta Lei, será realizada pela autoridade nacional.
§
1º Para a verificação do disposto no caput
deste artigo, deverão ser considerados os requisitos, as condições
e as garantias mínimas para a transferência que observem os
direitos, as garantias e os princípios desta Lei.
§
2º Na análise de cláusulas contratuais, de documentos ou de normas
corporativas globais submetidas à aprovação da autoridade
nacional, poderão ser requeridas informações suplementares ou
realizadas diligências de verificação quanto às operações de
tratamento, quando necessário.
§
3º A autoridade nacional poderá designar organismos de certificação
para a realização do previsto no caput
deste artigo, que permanecerão sob sua fiscalização nos termos
definidos em regulamento.
§
4º Os atos realizados por organismo de certificação poderão ser
revistos pela autoridade nacional e, caso em desconformidade com esta
Lei, submetidos a revisão ou anulados.
§
5º As garantias suficientes de observância dos princípios gerais
de proteção e dos direitos do titular referidas no caput
deste artigo serão também analisadas de acordo com as medidas
técnicas e organizacionais adotadas pelo operador, de acordo com o
previsto nos §§ 1º e 2º do art. 46 desta Lei.
Art.
36. As alterações nas garantias apresentadas como suficientes de
observância dos princípios gerais de proteção e dos direitos do
titular referidas no inciso II do art. 33 desta Lei deverão ser
comunicadas à autoridade nacional.
CAPÍTULO
VI
DOS
AGENTES DE TRATAMENTO DE DADOS PESSOAIS
Seção
I
Do
Controlador e do Operador
Art.
37. O controlador e o operador devem manter registro das operações
de tratamento de dados pessoais que realizarem, especialmente quando
baseado no legítimo interesse.
Art.
38. A autoridade nacional poderá determinar ao controlador que
elabore relatório de impacto à proteção de dados pessoais,
inclusive de dados sensíveis, referente a suas operações de
tratamento de dados, nos termos de regulamento, observados os
segredos comercial e industrial.
Parágrafo
único. Observado o disposto no caput
deste artigo, o relatório deverá conter, no mínimo, a descrição
dos tipos de dados coletados, a metodologia utilizada para a coleta e
para a garantia da segurança das informações e a análise do
controlador com relação a medidas, salvaguardas e mecanismos de
mitigação de risco adotados.
Art.
39. O operador deverá realizar o tratamento segundo as instruções
fornecidas pelo controlador, que verificará a observância das
próprias instruções e das normas sobre a matéria.
Art.
40. A autoridade nacional poderá dispor sobre padrões de
interoperabilidade para fins de portabilidade, livre acesso aos dados
e segurança, assim como sobre o tempo de guarda dos registros, tendo
em vista especialmente a necessidade e a transparência.
Seção
II
Do
Encarregado pelo Tratamento de Dados Pessoais
Art.
41. O controlador deverá indicar encarregado pelo tratamento de
dados pessoais.
§
1º A identidade e as informações de contato do encarregado deverão
ser divulgadas publicamente, de forma clara e objetiva,
preferencialmente no sítio eletrônico do controlador.
§
2º As atividades do encarregado consistem em:
I
- aceitar reclamações e comunicações dos titulares, prestar
esclarecimentos e adotar providências;
II
- receber comunicações da autoridade nacional e adotar
providências;
III
- orientar os funcionários e os contratados da entidade a respeito
das práticas a serem tomadas em relação à proteção de dados
pessoais; e
IV
- executar as demais atribuições determinadas pelo controlador ou
estabelecidas em normas complementares.
§
3º A autoridade nacional poderá estabelecer normas complementares
sobre a definição e as atribuições do encarregado, inclusive
hipóteses de dispensa da necessidade de sua indicação, conforme a
natureza e o porte da entidade ou o volume de operações de
tratamento de dados.
§
4º (Vetado
na Lei nº 13.853, de 8/7/2019)
Seção
III
Da
Responsabilidade e do Ressarcimento de Danos
Art.
42. O controlador ou o operador que, em razão do exercício de
atividade de tratamento de dados pessoais, causar a outrem dano
patrimonial, moral, individual ou coletivo, em violação à
legislação de proteção de dados pessoais, é obrigado a
repará-lo.
§
1º A fim de assegurar a efetiva indenização ao titular dos dados:
I
- o operador responde solidariamente pelos danos causados pelo
tratamento quando descumprir as obrigações da legislação de
proteção de dados ou quando não tiver seguido as instruções
lícitas do controlador, hipótese em que o operador equipara-se ao
controlador, salvo nos casos de exclusão previstos no art. 43 desta
Lei;
II
- os controladores que estiverem diretamente envolvidos no tratamento
do qual decorreram danos ao titular dos dados respondem
solidariamente, salvo nos casos de exclusão previstos no art. 43
desta Lei.
§
2º O juiz, no processo civil, poderá inverter o ônus da prova a
favor do titular dos dados quando, a seu juízo, for verossímil a
alegação, houver hipossuficiência para fins de produção de prova
ou quando a produção de prova pelo titular resultar-lhe
excessivamente onerosa.
§
3º As ações de reparação por danos coletivos que tenham por
objeto a responsabilização nos termos do caput
deste artigo podem ser exercidas coletivamente em juízo, observado o
disposto na legislação pertinente.
§
4º Aquele que reparar o dano ao titular tem direito de regresso
contra os demais responsáveis, na medida de sua participação no
evento danoso.
Art.
43. Os agentes de tratamento só não serão responsabilizados quando
provarem:
I
- que não realizaram o tratamento de dados pessoais que lhes é
atribuído;
II
- que, embora tenham realizado o tratamento de dados pessoais que
lhes é atribuído, não houve violação à legislação de proteção
de dados; ou
III
- que o dano é decorrente de culpa exclusiva do titular dos dados ou
de terceiro.
Art.
44. O tratamento de dados pessoais será irregular quando deixar de
observar a legislação ou quando não fornecer a segurança que o
titular dele pode esperar, consideradas as circunstâncias
relevantes, entre as quais:
I
- o modo pelo qual é realizado;
II
- o resultado e os riscos que razoavelmente dele se esperam;
III
- as técnicas de tratamento de dados pessoais disponíveis à época
em que foi realizado.
Parágrafo
único. Responde pelos danos decorrentes da violação da segurança
dos dados o controlador ou o operador que, ao deixar de adotar as
medidas de segurança previstas no art. 46 desta Lei, der causa ao
dano.
Art.
45. As hipóteses de violação do direito do titular no âmbito das
relações de consumo permanecem sujeitas às regras de
responsabilidade previstas na legislação pertinente.
CAPÍTULO
VII
DA
SEGURANÇA E DAS BOAS PRÁTICAS
Seção
I
Da
Segurança e do Sigilo de Dados
Art.
46. Os agentes de tratamento devem adotar medidas de segurança,
técnicas e administrativas aptas a proteger os dados pessoais de
acessos não autorizados e de situações acidentais ou ilícitas de
destruição, perda, alteração, comunicação ou qualquer forma de
tratamento inadequado ou ilícito.
§
1º A autoridade nacional poderá dispor sobre padrões técnicos
mínimos para tornar aplicável o disposto no caput
deste artigo, considerados a natureza das informações tratadas, as
características específicas do tratamento e o estado atual da
tecnologia, especialmente no caso de dados pessoais sensíveis, assim
como os princípios previstos no caput
do art. 6º desta Lei.
§
2º As medidas de que trata o caput
deste artigo deverão ser observadas desde a fase de concepção do
produto ou do serviço até a sua execução.
Art.
47. Os agentes de tratamento ou qualquer outra pessoa que intervenha
em uma das fases do tratamento obriga-se a garantir a segurança da
informação prevista nesta Lei em relação aos dados pessoais,
mesmo após o seu término.
Art.
48. O controlador deverá comunicar à autoridade nacional e ao
titular a ocorrência de incidente de segurança que possa acarretar
risco ou dano relevante aos titulares.
§
1º A comunicação será feita em prazo razoável, conforme definido
pela autoridade nacional, e deverá mencionar, no mínimo:
I
- a descrição da natureza dos dados pessoais afetados;
II
- as informações sobre os titulares envolvidos;
III
- a indicação das medidas técnicas e de segurança utilizadas para
a proteção dos dados, observados os segredos comercial e
industrial;
IV
- os riscos relacionados ao incidente;
V
- os motivos da demora, no caso de a comunicação não ter sido
imediata; e
VI
- as medidas que foram ou que serão adotadas para reverter ou
mitigar os efeitos do prejuízo.
§
2º A autoridade nacional verificará a gravidade do incidente e
poderá, caso necessário para a salvaguarda dos direitos dos
titulares, determinar ao controlador a adoção de providências,
tais como:
I
- ampla divulgação do fato em meios de comunicação; e
II
- medidas para reverter ou mitigar os efeitos do incidente.
§
3º No juízo de gravidade do incidente, será avaliada eventual
comprovação de que foram adotadas medidas técnicas adequadas que
tornem os dados pessoais afetados ininteligíveis, no âmbito e nos
limites técnicos de seus serviços, para terceiros não autorizados
a acessá-los.
Art.
49. Os sistemas utilizados para o tratamento de dados pessoais devem
ser estruturados de forma a atender aos requisitos de segurança, aos
padrões de boas práticas e de governança e aos princípios gerais
previstos nesta Lei e às demais normas regulamentares.
Seção
II
Das
Boas Práticas e da Governança
Art.
50. Os controladores e operadores, no âmbito de suas competências,
pelo tratamento de dados pessoais, individualmente ou por meio de
associações, poderão formular regras de boas práticas e de
governança que estabeleçam as condições de organização, o
regime de funcionamento, os procedimentos, incluindo reclamações e
petições de titulares, as normas de segurança, os padrões
técnicos, as obrigações específicas para os diversos envolvidos
no tratamento, as ações educativas, os mecanismos internos de
supervisão e de mitigação de riscos e outros aspectos relacionados
ao tratamento de dados pessoais.
§
1º Ao estabelecer regras de boas práticas, o controlador e o
operador levarão em consideração, em relação ao tratamento e aos
dados, a natureza, o escopo, a finalidade e a probabilidade e a
gravidade dos riscos e dos benefícios decorrentes de tratamento de
dados do titular.
§
2º Na aplicação dos princípios indicados nos incisos VII e VIII
do caput
do art. 6º desta Lei, o controlador, observados a estrutura, a
escala e o volume de suas operações, bem como a sensibilidade dos
dados tratados e a probabilidade e a gravidade dos danos para os
titulares dos dados, poderá:
I
- implementar programa de governança em privacidade que, no mínimo:
a)
demonstre o comprometimento do controlador em adotar processos e
políticas internas que assegurem o cumprimento, de forma abrangente,
de normas e boas práticas relativas à proteção de dados pessoais;
b)
seja aplicável a todo o conjunto de dados pessoais que estejam sob
seu controle, independentemente do modo como se realizou sua coleta;
c)
seja adaptado à estrutura, à escala e ao volume de suas operações,
bem como à sensibilidade dos dados tratados;
d)
estabeleça políticas e salvaguardas adequadas com base em processo
de avaliação sistemática de impactos e riscos à privacidade;
e)
tenha o objetivo de estabelecer relação de confiança com o
titular, por meio de atuação transparente e que assegure mecanismos
de participação do titular;
f)
esteja integrado a sua estrutura geral de governança e estabeleça e
aplique mecanismos de supervisão internos e externos;
g)
conte com planos de resposta a incidentes e remediação; e
h)
seja atualizado constantemente com base em informações obtidas a
partir de monitoramento contínuo e avaliações periódicas;
II
- demonstrar a efetividade de seu programa de governança em
privacidade quando apropriado e, em especial, a pedido da autoridade
nacional ou de outra entidade responsável por promover o cumprimento
de boas práticas ou códigos de conduta, os quais, de forma
independente, promovam o cumprimento desta Lei.
§
3º As regras de boas práticas e de governança deverão ser
publicadas e atualizadas periodicamente e poderão ser reconhecidas e
divulgadas pela autoridade nacional.
Art.
51. A autoridade nacional estimulará a adoção de padrões técnicos
que facilitem o controle pelos titulares dos seus dados pessoais.
CAPÍTULO
VIII
DA
FISCALIZAÇÃO
Seção
I
Das
Sanções Administrativas
Art.
52. Os agentes de tratamento de dados, em razão das infrações
cometidas às normas previstas nesta Lei, ficam sujeitos às
seguintes sanções administrativas aplicáveis pela autoridade
nacional: (Artigo
republicado no DOU Edição Extra de 15/8/2018)
I
- advertência, com indicação de prazo para adoção de medidas
corretivas;
II
- multa simples, de até 2% (dois por cento) do faturamento da pessoa
jurídica de direito privado, grupo ou conglomerado no Brasil no seu
último exercício, excluídos os tributos, limitada, no total, a R$
50.000.000,00 (cinquenta milhões de reais) por infração;
III
- multa diária, observado o limite total a que se refere o inciso
II;
IV
- publicização da infração após devidamente apurada e confirmada
a sua ocorrência;
V
- bloqueio dos dados pessoais a que se refere a infração até a sua
regularização;
VI
- eliminação dos dados pessoais a que se refere a infração;
VII
- (VETADO);
VIII
- (VETADO);
IX
- (VETADO).
X
- suspensão parcial do funcionamento do banco de dados a que se
refere a infração pelo período máximo de 6 (seis) meses,
prorrogável por igual período, até a regularização da atividade
de tratamento pelo controlador; (Inciso
acrescido pela Lei nº 13.853, de 8/7/2019, vetado pelo Presidente da
República, mantido pelo Congresso Nacional e publicado no DOU de
20/12/2019)
XI
- suspensão do exercício da atividade de tratamento dos dados
pessoais a que se refere a infração pelo período máximo de 6
(seis) meses, prorrogável por igual período; (Inciso
acrescido pela Lei nº 13.853, de 8/7/2019, vetado pelo Presidente da
República, mantido pelo Congresso Nacional e publicado no DOU de
20/12/2019)
XII
- proibição parcial ou total do exercício de atividades
relacionadas a tratamento de dados. (Inciso
acrescido pela Lei nº 13.853, de 8/7/2019, vetado pelo Presidente da
República, mantido pelo Congresso Nacional e publicado no DOU de
20/12/2019)
§
1º As sanções serão aplicadas após procedimento administrativo
que possibilite a oportunidade da ampla defesa, de forma gradativa,
isolada ou cumulativa, de acordo com as peculiaridades do caso
concreto e considerados os seguintes parâmetros e critérios:
I
- a gravidade e a natureza das infrações e dos direitos pessoais
afetados;
II
- a boa-fé do infrator;
III
- a vantagem auferida ou pretendida pelo infrator;
IV
- a condição econômica do infrator;
V
- a reincidência;
VI
- o grau do dano;
VII
- a cooperação do infrator;
VIII
- a adoção reiterada e demonstrada de mecanismos e procedimentos
internos capazes de minimizar o dano, voltados ao tratamento seguro e
adequado de dados, em consonância com o disposto no inciso II do §
2º do art. 48 desta Lei;
IX
- a adoção de política de boas práticas e governança;
X
– a pronta adoção de medidas corretivas; e
XI
- a proporcionalidade entre a gravidade da falta e a intensidade da
sanção.
§
2º O disposto neste artigo não substitui a aplicação de sanções
administrativas, civis ou penais definidas na Lei nº 8.078, de 11 de
setembro de 1990, e em legislação específica.
(Parágrafo
com redação dada pela Lei nº 13.853, de 8/7/2019)
§
2º-A. (VETADO
na Lei nº 15.134, de 6/5/2025)
§
3º O disposto nos incisos I, IV, V, VI, X, XI e XII do caput
deste artigo poderá ser aplicado às entidades e aos órgãos
públicos, sem prejuízo do disposto na Lei nº 8.112, de 11 de
dezembro de 1990, na Lei nº 8.429, de 2 de junho de 1992, e na Lei
nº 12.527, de 18 de novembro de 2011. (Parágrafo
com redação dada pela Lei nº 13.853, de 8/7/2019, vetado pelo
Presidente da República, mantido pelo Congresso Nacional e publicado
no DOU de 20/12/2019)
§
4º No cálculo do valor da multa de que trata o inciso II do caput
deste artigo, a autoridade nacional poderá considerar o faturamento
total da empresa ou grupo de empresas, quando não dispuser do valor
do faturamento no ramo de atividade empresarial em que ocorreu a
infração, definido pela autoridade nacional, ou quando o valor for
apresentado de forma incompleta ou não for demonstrado de forma
inequívoca e idônea.
§
5º O produto da arrecadação das multas aplicadas pela ANPD,
inscritas ou não em dívida ativa, será destinado ao Fundo de
Defesa de Direitos Difusos de que tratam o art. 13 da Lei nº 7.347,
de 24 de julho de 1985, e a Lei nº 9.008, de 21 de março de 1995.
(Parágrafo
acrescido pela Lei nº 13.853, de 8/7/2019)
§
6º As sanções previstas nos incisos X, XI e XII do caput
deste artigo serão aplicadas:
I
- somente após já ter sido imposta ao menos 1 (uma) das sanções
de que tratam os incisos II, III, IV, V e VI do caput
deste artigo para o mesmo caso concreto; e
II
- em caso de controladores submetidos a outros órgãos e entidades
com competências sancionatórias, ouvidos esses órgãos. (Parágrafo
acrescido pela Lei nº 13.853, de 8/7/2019, vetado pelo Presidente da
República, mantido pelo Congresso Nacional e publicado no DOU de
20/12/2019)
§
7º Os
vazamentos individuais ou os acessos não autorizados de que trata o
caput
do art. 46 desta Lei poderão ser objeto de conciliação direta
entre controlador e titular e, caso não haja acordo, o controlador
estará sujeito à aplicação das penalidades de que trata este
artigo. (Parágrafo
acrescido pela Lei nº 13.853, de 8/7/2019)
Art.
53. A autoridade nacional definirá, por meio de regulamento próprio
sobre sanções administrativas a infrações a esta Lei, que deverá
ser objeto de consulta pública, as metodologias que orientarão o
cálculo do valor-base das sanções de multa.
§
1º As metodologias a que se refere o caput
deste artigo devem ser previamente publicadas, para ciência dos
agentes de tratamento, e devem apresentar objetivamente as formas e
dosimetrias para o cálculo do valor-base das sanções de multa, que
deverão conter fundamentação detalhada de todos os seus elementos,
demonstrando a observância dos critérios previstos nesta Lei.
§
2º O regulamento de sanções e metodologias correspondentes deve
estabelecer as circunstâncias e as condições para a adoção de
multa simples ou diária.
Art.
54. O valor da sanção de multa diária aplicável às infrações a
esta Lei deve observar a gravidade da falta e a extensão do dano ou
prejuízo causado e ser fundamentado pela autoridade nacional.
Parágrafo
único. A intimação da sanção de multa diária deverá conter, no
mínimo, a descrição da obrigação imposta, o prazo razoável e
estipulado pelo órgão para o seu cumprimento e o valor da multa
diária a ser aplicada pelo seu descumprimento.
CAPÍTULO
IX
DA
AGÊNCIA NACIONAL DE PROTEÇÃO DE DADOS E DO CONSELHO NACIONAL DE
PROTEÇÃO DE DADOS PESSOAIS E DA PRIVACIDADE
(Capítulo
com redação dada pela Medida Provisória nº 1.317, de 17/9/2025,
convertida
na Lei nº 15.352, de 25/2/2026)
Seção
I
Da
Agência Nacional de Proteção de Dados
(Seção
com redação dada pela Medida Provisória nº 1.317, de 17/9/2025,
convertida
na Lei nº 15.352, de 25/2/2026)
Art.
55. (VETADO).
Art.
55-A. Fica criada a Agência Nacional de Proteção de Dados (ANPD),
autarquia de natureza especial vinculada ao Ministério da Justiça e
Segurança Pública, dotada de autonomia funcional, técnica,
decisória, administrativa e financeira, com patrimônio próprio e
com sede e foro no Distrito Federal, nos termos da Lei nº 13.848, de
25 de junho de 2019. (“Caput”
do artigo acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019,
e
com redação dada pela Medida Provisória nº 1.317, de 17/9/2025,
convertida
na Lei nº 15.352, de 25/2/2026)
§
1º (Parágrafo
acrescido pela Lei nº 13.853, de 8/7/2019,
e
revogado
pela Medida Provisória nº 1.124, de 13/6/2022, convertida
na Lei nº 14.460, de 25/10/2022)
§
2º (Parágrafo
acrescido pela Lei nº 13.853, de 8/7/2019,
e
revogado
pela Medida Provisória nº 1.124, de 13/6/2022, convertida
na Lei nº 14.460, de 25/10/2022)
§
3º (Parágrafo
acrescido pela Lei nº 13.853, de 8/7/2019,
e
revogado
pela Medida Provisória nº 1.124, de 13/6/2022, convertida
na Lei nº 14.460, de 25/10/2022)
Art.
55-B. (Artigo
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019,
e
revogado
pela Medida Provisória nº 1.124, de 13/6/2022, convertida
na Lei nº 14.460, de 25/10/2022)
Art.
55-C. A ANPD é composta de: (“Caput”
do artigo acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
I
- Conselho Diretor, órgão máximo de direção; (Inciso
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
II
- Conselho Nacional de Proteção de Dados Pessoais e da Privacidade;
(Inciso
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
III
- Corregedoria; (Inciso
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
IV
- Ouvidoria; (Inciso
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
V
- (Inciso
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019
e
revogado
pela Lei nº 14.460, de 25/10/2022)
V-A
- Procuradoria; (Inciso
acrescido pela Lei nº 14.460, de 25/10/2022, e
com redação dada pela Medida Provisória nº 1.317, de 17/9/2025,
convertida
na Lei nº 15.352, de 25/2/2026)
V-B
- Auditoria; e (Inciso
acrescido pela Medida Provisória nº 1.317, de 17/9/2025,
convertida
na Lei nº 15.352, de 25/2/2026)
VI
- unidades administrativas e unidades especializadas. (Inciso
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019,
e
com redação dada pela Medida Provisória nº 1.317, de 17/9/2025,
convertida
na Lei nº 15.352, de 25/2/2026)
Art.
55-D. O Conselho Diretor da ANPD será composto de 5 (cinco)
diretores, incluído o Diretor-Presidente.
§
1º Os membros do Conselho Diretor da ANPD serão escolhidos pelo
Presidente da República e por ele nomeados, após aprovação pelo
Senado Federal, nos termos da alínea 'f' do inciso III do art. 52 da
Constituição Federal, e ocuparão cargo em comissão do
Grupo-Direção e Assessoramento Superiores - DAS, no mínimo, de
nível 5.
§
2º Os membros do Conselho Diretor serão escolhidos dentre
brasileiros que tenham reputação ilibada, nível superior de
educação e elevado conceito no campo de especialidade dos cargos
para os quais serão nomeados.
§
3º O mandato dos membros do Conselho Diretor será de 4 (quatro)
anos.
§
4º Os mandatos dos primeiros membros do Conselho Diretor nomeados
serão de 2 (dois), de 3 (três), de 4 (quatro), de 5 (cinco) e de 6
(seis) anos, conforme estabelecido no ato de nomeação.
§
5º Na hipótese de vacância do cargo no curso do mandato de membro
do Conselho Diretor, o prazo remanescente será completado pelo
sucessor. (Artigo
acrescido pela Medida Provisória nº 869, de 27/12/2018,
e
com redação dada pela Lei nº 13.853, de 8/7/2019, na qual foi
convertida a referida Medida Provisória)
Art.
55-E. Os membros do Conselho Diretor somente perderão seus cargos em
virtude de renúncia, condenação judicial transitada em julgado ou
pena de demissão decorrente de processo administrativo disciplinar.
§
1º Nos termos do
caput deste artigo,
cabe ao Ministro de Estado Chefe da Casa Civil da Presidência da
República instaurar o processo administrativo disciplinar, que será
conduzido por comissão especial constituída por servidores públicos
federais estáveis.
§
2º Compete ao Presidente da República determinar o afastamento
preventivo, somente quando assim recomendado pela comissão especial
de que trata o § 1º deste artigo, e proferir o julgamento. (Artigo
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
Art.
55-F. Aplica-se aos membros do Conselho Diretor, após o exercício
do cargo, o disposto no art. 6º da Lei nº 12.813, de 16 de maio de
2013.
Parágrafo
único. A infração ao disposto no caput
caracteriza ato de improbidade administrativa. (Artigo
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
Art.55-G.
Ato do Presidente da República disporá sobre a estrutura regimental
da A N P D.
§
1º Até a data de entrada em vigor de sua estrutura regimental, a
ANPD receberá o apoio técnico e administrativo da Casa Civil da
Presidência da República para o exercício de suas atividades.
§
2º O Conselho Diretor disporá sobre o regimento interno da ANPD.
(Artigo
acrescido pela Medida Provisória nº 869, de 27/12/2018,
e
com redação dada pela Lei nº 13.853, de 8/7/2019, na qual foi
convertida a referida Medida Provisória)
Art.
55-H. Os cargos em comissão e as funções de confiança da ANPD
serão remanejados de outros órgãos e entidades do Poder Executivo
federal. (Artigo
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
Art.
55-I. Os ocupantes dos cargos em comissão e das funções de
confiança da ANPD serão indicados pelo Conselho Diretor e nomeados
ou designados pelo Diretor-Presidente. (Artigo
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
Art.
55-J. Compete à ANPD:
I
- zelar pela proteção dos dados pessoais, nos termos da legislação;
II
- zelar pela observância dos segredos comercial e industrial,
observada a proteção de dados pessoais e do sigilo das informações
quando protegido por lei ou quando a quebra do sigilo violar os
fundamentos do art. 2º desta Lei;
III
- elaborar diretrizes para a Política Nacional de Proteção de
Dados Pessoais e da Privacidade;
IV
- fiscalizar e aplicar sanções em caso de tratamento de dados
realizado em descumprimento à legislação, mediante processo
administrativo que assegure o contraditório, a ampla defesa e o
direito de recurso;
V
- apreciar petições de titular contra controlador após comprovada
pelo titular a apresentação de reclamação ao controlador não
solucionada no prazo estabelecido em regulamentação;
VI
- promover na população o conhecimento das normas e das políticas
públicas sobre proteção de dados pessoais e das medidas de
segurança;
VII
- promover e elaborar estudos sobre as práticas nacionais e
internacionais de proteção de dados pessoais e privacidade;
VIII
- estimular a adoção de padrões para serviços e produtos que
facilitem o exercício de controle dos titulares sobre seus dados
pessoais, os quais deverão levar em consideração as
especificidades das atividades e o porte dos responsáveis;
IX
- promover ações de cooperação com autoridades de proteção de
dados pessoais de outros países, de natureza internacional ou
transnacional;
X
- dispor sobre as formas de publicidade das operações de tratamento
de dados pessoais, respeitados os segredos comercial e industrial;
XI
- solicitar, a qualquer momento, às entidades do poder público que
realizem operações de tratamento de dados pessoais informe
específico sobre o âmbito, a natureza dos dados e os demais
detalhes do tratamento realizado, com a possibilidade de emitir
parecer técnico complementar para garantir o cumprimento desta Lei;
XII
- elaborar relatórios de gestão anuais acerca de suas atividades;
XIII
- editar regulamentos e procedimentos sobre proteção de dados
pessoais e privacidade, bem como sobre relatórios de impacto à
proteção de dados pessoais para os casos em que o tratamento
representar alto risco à garantia dos princípios gerais de proteção
de dados pessoais previstos nesta Lei;
XIV
- ouvir os agentes de tratamento e a sociedade em matérias de
interesse relevante e prestar contas sobre suas atividades e
planejamento;
XV
- arrecadar e aplicar suas receitas e publicar, no relatório de
gestão a que se refere o inciso XII do caput deste artigo, o
detalhamento de suas receitas e despesas;
XVI
- realizar auditorias, ou determinar sua realização, no âmbito da
atividade de fiscalização de que trata o inciso IV e com a devida
observância do disposto no inciso II do caput
deste artigo, sobre o tratamento de dados pessoais efetuado pelos
agentes de tratamento, incluído o poder público;
XVII
- celebrar, a qualquer momento, compromisso com agentes de tratamento
para eliminar irregularidade, incerteza jurídica ou situação
contenciosa no âmbito de processos administrativos, de acordo com o
previsto no Decreto-Lei nº 4.657, de 4 de setembro de 1942;
XVIII
- editar normas, orientações e procedimentos simplificados e
diferenciados, inclusive quanto aos prazos, para que microempresas e
empresas de pequeno porte, bem como iniciativas empresariais de
caráter incremental ou disruptivo que se autodeclarem startups
ou empresas de inovação, possam adequar-se a esta Lei;
XIX
- garantir que o tratamento de dados de idosos seja efetuado de
maneira simples, clara, acessível e adequada ao seu entendimento,
nos termos desta Lei e da Lei nº 10.741, de 1º de outubro de 2003
(Estatuto do Idoso);
XX
- deliberar, na esfera administrativa, em caráter terminativo, sobre
a interpretação desta Lei, as suas competências e os casos
omissos;
XXI
- comunicar às autoridades competentes as infrações penais das
quais tiver conhecimento; XXII - comunicar aos órgãos de controle
interno o descumprimento do disposto nesta Lei por órgãos e
entidades da administração pública federal;
XXIII
- articular-se com as autoridades reguladoras públicas para exercer
suas competências em setores específicos de atividades econômicas
e governamentais sujeitas à regulação; e
XXIV
- implementar mecanismos simplificados, inclusive por meio
eletrônico, para o registro de reclamações sobre o tratamento de
dados pessoais em desconformidade com esta Lei.
§
1º Ao impor condicionantes administrativas ao tratamento de dados
pessoais por agente de tratamento privado, sejam eles limites,
encargos ou sujeições, a ANPD deve observar a exigência de mínima
intervenção, assegurados os fundamentos, os princípios e os
direitos dos titulares previstos no art. 170 da Constituição
Federal e nesta Lei.
§
2º Os regulamentos e as normas editados pela ANPD devem ser
precedidos de consulta e audiência públicas, bem como de análises
de impacto regulatório.
§
3º A ANPD e os órgãos e entidades públicos responsáveis pela
regulação de setores específicos da atividade econômica e
governamental devem coordenar suas atividades, nas correspondentes
esferas de atuação, com vistas a assegurar o cumprimento
de suas atribuições com a maior eficiência e promover o adequado
funcionamento dos setores regulados, conforme legislação
específica, e o tratamento de dados pessoais, na forma desta Lei.
§
4º A ANPD manterá fórum permanente de comunicação, inclusive por
meio de cooperação técnica, com órgãos e entidades da
administração pública responsáveis pela regulação de setores
específicos da atividade econômica e governamental, a fim de
facilitar as competências regulatória, fiscalizatória e punitiva
da ANPD.
§
5º No exercício das competências de que trata o caput
deste artigo, a autoridade competente deverá zelar pela preservação
do segredo empresarial e do sigilo das informações, nos termos da
lei.
§
6º As reclamações colhidas conforme o disposto no inciso V do
caput
deste artigo poderão ser analisadas de forma agregada, e as
eventuais providências delas decorrentes poderão ser adotadas de
forma padronizada. (Artigo
acrescido pela Medida Provisória nº 869, de 27/12/2018,
e
com redação dada pela Lei nº 13.853, de 8/7/2019, na qual foi
convertida a referida Medida Provisória)
Art.
55-K. A aplicação das sanções previstas nesta Lei compete
exclusivamente à ANPD, e suas competências prevalecerão, no que se
refere à proteção de dados pessoais, sobre as competências
correlatas de outras entidades ou órgãos da administração
pública.
Parágrafo
único. A ANPD articulará sua atuação com outros órgãos e
entidades com competências sancionatórias e normativas afetas ao
tema de proteção de dados pessoais e será o órgão central de
interpretação desta Lei e do estabelecimento de normas e diretrizes
para a sua implementação. (Artigo
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
Art.
55-L. Constituem receitas da ANPD:
I
- as dotações, consignadas no orçamento geral da União, os
créditos especiais, os créditos adicionais, as transferências e os
repasses que lhe forem conferidos;
II
- as doações, os legados, as subvenções e outros recursos que lhe
forem destinados;
III
- os valores apurados na venda ou aluguel de bens móveis e imóveis
de sua propriedade;
IV
- os valores apurados em aplicações no mercado financeiro das
receitas previstas neste artigo;
V
- (VETADO);
VI
- os recursos provenientes de acordos, convênios ou contratos
celebrados com entidades, organismos ou empresas, públicos ou
privados, nacionais ou internacionais;
VII
- o produto da venda de publicações, material técnico, dados e
informações, inclusive para fins de licitação pública. (Artigo
acrescido pela Lei nº 13.853, de 8/7/2019)
Art.
55-M. Constituem o patrimônio da ANPD os bens e os direitos:
I
- que lhe forem transferidos pelos órgãos da Presidência da
República; e
II
- que venha a adquirir ou a incorporar. (Artigo
acrescido pela Medida Provisória nº 1.124, de 13/6/2022,
convertida
na Lei nº 14.460, de 25/10/2022)
Art.
56. (VETADO).
Art.
57. (VETADO).
Seção
II
Do
Conselho Nacional de Proteção de Dados Pessoais e da Privacidade
Art.
58. (VETADO).
Art.
58-A. O Conselho Nacional de Proteção de Dados Pessoais e da
Privacidade será composto de 23 (vinte e três) representantes,
titulares e suplentes, dos seguintes órgãos:
I
- 5 (cinco) do Poder Executivo federal;
II
- 1 (um) do Senado Federal;
III
- 1 (um) da Câmara dos Deputados;
IV
- 1 (um) do Conselho Nacional de Justiça;
V
- 1 (um) do Conselho Nacional do Ministério Público;
VI
- 1 (um) do Comitê Gestor da Internet no Brasil;
VII
- 3 (três) de entidades da sociedade civil com atuação relacionada
a proteção de dados pessoais;
VIII
- 3 (três) de instituições científicas, tecnológicas e de
inovação;
IX
- 3 (três) de confederações sindicais representativas das
categorias econômicas do setor produtivo;
X
- 2 (dois) de entidades representativas do setor empresarial
relacionado à área de tratamento de dados pessoais; e
XI
- 2 (dois) de entidades representativas do setor laboral.
§
1º Os representantes serão designados por ato do Presidente da
República, permitida a delegação.
§
2º Os representantes de que tratam os incisos I, II, III, IV, V e VI
do caput
deste artigo e seus suplentes serão indicados pelos titulares dos
respectivos órgãos e entidades da administração pública.
§
3º Os representantes de que tratam os incisos VII, VIII, IX, X e XI
do caput
deste artigo e seus suplentes:
I
- serão indicados na forma de regulamento;
II
- não poderão ser membros do Comitê Gestor da Internet no Brasil;
III
- terão mandato de 2 (dois) anos, permitida 1 (uma) recondução.
§
4º A participação no Conselho Nacional de Proteção de Dados
Pessoais e da Privacidade será considerada prestação de serviço
público relevante, não remunerada. (Artigo
acrescido pela Medida Provisória nº 869, de 27/12/2018,
e
com redação dada pela Lei nº 13.853, de 8/7/2019, na qual foi
convertida a referida Medida Provisória)
Art.
58-B. Compete ao Conselho Nacional de Proteção de Dados Pessoais e
da Privacidade:
I
- propor diretrizes estratégicas e fornecer subsídios para a
elaboração da Política Nacional de Proteção de Dados Pessoais e
da Privacidade e para a atuação da ANPD;
II
- elaborar relatórios anuais de avaliação da execução das ações
da Política Nacional de Proteção de Dados Pessoais e da
Privacidade;
III
- sugerir ações a serem realizadas pela ANPD;
IV
- elaborar estudos e realizar debates e audiências públicas sobre a
proteção de dados pessoais e da privacidade; e
V
- disseminar o conhecimento sobre a proteção de dados pessoais e da
privacidade à população. (Artigo
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
Art.
59. (VETADO).
CAPÍTULO
X
DISPOSIÇÕES
FINAIS E TRANSITÓRIAS
Art.
60. A Lei nº 12.965, de 23 de abril de 2014 (Marco Civil da
Internet), passa a vigorar com as seguintes alterações:
“Art.
7º
.....................................................................................
..........................................................................................................
X-
exclusão definitiva dos dados pessoais que tiver fornecido a
determinada aplicação de internet, a seu requerimento, ao término
da relação entre as partes, ressalvadas as hipóteses de guarda
obrigatória de registros previstas nesta Lei e na que dispõe sobre
a proteção de dados pessoais;
...............................................................................................”
(NR)
“Art.
16.
...................................................................................
..........................................................................................................
II
- de dados pessoais que sejam excessivos em relação à finalidade
para a qual foi dado consentimento pelo seu titular, exceto nas
hipóteses previstas na Lei que dispõe sobre a proteção de dados
pessoais.” (NR)
Art.
61. A empresa estrangeira será notificada e intimada de todos os
atos processuais previstos nesta Lei, independentemente de procuração
ou de disposição contratual ou estatutária, na pessoa do agente ou
representante ou pessoa responsável por sua filial, agência,
sucursal, estabelecimento ou escritório instalado no Brasil.
Art.
62. A autoridade nacional e o Instituto Nacional de Estudos e
Pesquisas Educacionais Anísio Teixeira (Inep), no âmbito de suas
competências, editarão regulamentos específicos para o acesso a
dados tratados pela União para o cumprimento do disposto no § 2º
do art. 9º da Lei nº 9.394, de 20 de dezembro de 1996 (Lei de
Diretrizes e Bases da Educação Nacional), e aos referentes ao
Sistema Nacional de Avaliação da Educação Superior (Sinaes), de
que trata a Lei nº 10.861, de 14 de abril de 2004.
Art.
63. A autoridade nacional estabelecerá normas sobre a adequação
progressiva de bancos de dados constituídos até a data de entrada
em vigor desta Lei, consideradas a complexidade das operações de
tratamento e a natureza dos dados.
Art.
64. Os direitos e princípios expressos nesta Lei não excluem outros
previstos no ordenamento jurídico pátrio relacionados à matéria
ou nos tratados internacionais em que a República Federativa do
Brasil seja parte.
Art.
65. Esta Lei entra em vigor: (“Caput”
do artigo com redação dada pela Medida Provisória nº 869, de
27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
I
- dia 28 de dezembro de 2018, quanto aos arts. 55-A, 55-B, 55-C,
55-D, 55- E, 55-F, 55-G, 55-H, 55-I, 55-J, 55-K, 55-L, 58-A e 58-B; e
(Inciso
acrescido pela Medida Provisória nº 869, de 27/12/2018,
e
com redação dada pela Lei nº 13.853, de 8/7/2019, na qual foi
convertida a referida Medida Provisória)
I-A
- dia 1º de agosto de 2021, quanto aos arts. 52, 53 e 54; (Inciso
acrescido pela Lei nº 14.010, de 10/6/2020)
II
- 24 (vinte e quatro) meses após a data de sua publicação, quanto
aos demais artigos. (Inciso
acrescido pela Medida Provisória nº 869, de 27/12/2018,
convertida
na Lei nº 13.853, de 8/7/2019)
Brasília,
14 de agosto de 2018; 197º da Independência e 130º da República.
MICHEL
TEMER
Torquato
Jardim
Aloysio
Nunes Ferreira Filho
Eduardo
Refinetti Guardia
Esteves
Pedro Colnago Junior
Gilberto
Magalhães Occhi
Gilberto
Kassab
Wagner
de Campos Rosário
Gustavo
do Vale Rocha
Ilan
Goldfajn
Raul
Jungmann
Eliseu
Padilha