Câmara dos Deputados

56ª Legislatura | 2019-2023

Presidente

Rodrigo Maia

1º Vice-Presidente

Marcos Pereira

2º Vice-Presidente

Luciano Bivar

1ª Secretária

Soraya Santos

2º Secretário

Mário Heringer

3º Secretário

Fábio Faria

4º Secretário

André Fufuca

Suplentes de secretários

1º Suplente

Rafael Motta

2ª Suplente

Geovania de Sá

3º Suplente

Isnaldo Bulhões Jr.

4º Suplente

Assis Carvalho

Secretário-Geral da Mesa

Leonardo Augusto de Andrade Barbosa

Diretor-Geral

Sergio Sampaio Contreiras de Almeida

Câmara dos Deputados

Diretoria Legislativa: Afrísio de Souza Vieira Lima Filho

Consultoria Legislativa: Rodrigo Hermeto Correa Dolabella

Centro de Documentação e Informação: André Freire da Silva

Coordenação Edições Câmara: Ana Lígia Mendes

Coordenação de Organização da Informação Legislativa: Frederico Silveira dos Santos

Editora: Luisa Souto

Preparação e revisão: Seção de Revisão

Projeto gráfico: Leandro Sacramento e Luiz Eduardo Maklouf

Diagramação: Rafael Benjamin e Giselle Sousa

Nota do editor: as normas legais constantes desta publicação foram consultadas no Sistema de Legislação Informatizada (Legin) da Câmara dos Deputados.

2020, 1ª edição.

Linha Legislativo; Série Legislação.

Série Legislação

n. 22 e-book

Dados Internacionais de Catalogação-na-publicação (CIP)

Coordenação de Biblioteca. Seção de Catalogação.

Bibliotecária: Fabyola Lima Madeira – CRB1: 2109

Legislação sobre acesso à informação, proteção de dados pessoais e internet [recurso eletrônico] / Claudio Nazareno, Guilherme Pereira Pinheiro (organizadores). – 1. ed. – Brasília : Câmara dos Deputados, Edições Câmara, 2020. -- (Série legislação ; n. 22)

Versão e-book.

“Edição atualizada até 20/4/2020”.

Modo de acesso: livraria.camara.leg.br

ISBN 978-85-402-0810-0

1. Acesso à informação, legislação, Brasil. 2. Proteção de dados pessoais, legislação, Brasil. 3. Segurança de dados, legislação, Brasil. 4. Internet, legislação, Brasil. I. Nazareno, Claudio. II. Pinheiro, Guilherme Pereira. III. Brasil. Congresso Nacional. Câmara dos Deputados. IV. Série.

CDU 342.72/.73(81)(094)

ISBN 978-85-402-0810-0 (e-book)

Direitos reservados e protegidos pela Lei nº 9.610, de 19/2/1998.

Nenhuma parte desta publicação pode ser reproduzida por qualquer meio sem prévia autorização da Edições Câmara.

Venda exclusiva pela Edições Câmara.

Câmara dos Deputados

Centro de Documentação e Informação – Cedi

Coordenação Edições Câmara – Coedi

Palácio do Congresso Nacional – Anexo 2 – Térreo

Praça dos Três Poderes – Brasília (DF) – CEP 70160-900

Telefone: (61) 3216-5833

livraria.camara.leg.br

Sumário

CONTEXTUALIZAÇÃO DA ERA DA INFORMAÇÃO E DO ARCABOUÇO LEGISLATIVO

LEI Nº 12.527, DE 18 DE NOVEMBRO DE 2011

(Lei de Acesso à Informação – LAI)

Regula o acesso a informações previsto no inciso XXXIII do art.: 5º, no inciso II do §: 3º do art.: 37 e no §: 2º do art.: 216 da Constituição Federal; altera a Lei nº: 8.112, de 11 de dezembro de 1990; revoga a Lei nº: 11.111, de 5 de: maio de 2005, e dispositivos da Lei nº: 8.159, de 8 de janeiro de 1991; e dá outras providências.

Capítulo I – Disposições Gerais

Capítulo II – Do Acesso a Informações e da Sua Divulgação

Capítulo III – Do Procedimento de Acesso à Informação

Seção I – Do Pedido de Acesso

Seção II – Dos Recursos

Capítulo IV – Das Restrições de Acesso à Informação

Seção I – Disposições Gerais

Seção II – Da Classificação da Informação quanto ao Grau e Prazos de Sigilo

Seção III – Da Proteção e do Controle de Informações Sigilosas

Seção IV – Dos Procedimentos de Classificação, Reclassificação e Desclassificação

Seção V – Das Informações Pessoais

Capítulo V – Das Responsabilidades

Capítulo VI – Disposições Finais e Transitórias

LEI Nº 12.965, DE 23 DE ABRIL DE 2014

(Marco Civil da Internet)

Estabelece princípios, garantias, direitos e deveres para o uso da Internet no Brasil.

Capítulo I – Disposições Preliminares

Capítulo II – Dos Direitos e Garantias dos Usuários

Capítulo III – Da Provisão de Conexão e de Aplicações de Internet

Seção I – Da Neutralidade de Rede

Seção II – Da Proteção aos Registros, aos Dados Pessoais e às Comunicações Privadas

Subseção I – Da Guarda de Registros de Conexão

Subseção II – Da Guarda de Registros de Acesso a Aplicações de Internet na Provisão de Conexão

Subseção III – Da Guarda de Registros de Acesso a Aplicações de Internet na Provisão de Aplicações

Seção III – Da Responsabilidade por Danos Decorrentes de Conteúdo Gerado por Terceiros

Seção IV – Da Requisição Judicial de Registros

Capítulo IV – Da Atuação do Poder Público

Capítulo V – Disposições Finais

LEI Nº 13.709, DE 14 DE AGOSTO DE 2018

(Lei Geral de Proteção de Dados Pessoais – LGPD)

[Institui a] Lei Geral de Proteção de Dados Pessoais (LGPD).

Capítulo I – Disposições Preliminares

Capítulo II – Do Tratamento de Dados Pessoais

Seção I – Dos Requisitos para o Tratamento de Dados Pessoais

Seção II – Do Tratamento de Dados Pessoais Sensíveis

Seção III – Do Tratamento de Dados Pessoais de Crianças e de Adolescentes

Seção IV – Do Término do Tratamento de Dados

Capítulo III – Dos Direitos do Titular

Capítulo IV – Do Tratamento de Dados Pessoais pelo Poder Público

Seção I – Das Regras

Seção II – Da Responsabilidade

Capítulo V – Da Transferência Internacional de Dados

Capítulo VI – Dos Agentes de Tratamento de Dados Pessoais

Seção I – Do Controlador e do Operador

Seção II – Do Encarregado pelo Tratamento de Dados Pessoais

Seção III – Da Responsabilidade e do Ressarcimento de Danos

Capítulo VII – Da Segurança e das Boas Práticas

Seção I – Da Segurança e do Sigilo de Dados

Seção II – Das Boas Práticas e da Governança

Capítulo VIII – Da Fiscalização

Seção I – Das Sanções Administrativas

Capítulo IX – Da Autoridade Nacional de Proteção de Dados (Anpd) e do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade

Seção I – Da Autoridade Nacional de Proteção de Dados (ANPD)

Seção II – Do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade

Capítulo X – Disposições Finais e Transitórias

LEGISLAÇÃO CORRELATA

DECRETO-LEI Nº 2.848, DE 7 DE DEZEMBRO DE 1940

(Código Penal)

[Institui o] Código Penal.

LEI Nº 9.504, DE 30 DE SETEMBRO DE 1997

(Lei das Eleições 1997)

Estabelece normas para as eleições.

DECRETO Nº 6.523, DE 31 DE JULHO DE 2008

Regulamenta a Lei nº: 8.078, de 11 de setembro de 1990, para fixar normas gerais sobre o Serviço de Atendimento ao Consumidor (SAC).

LEI Nº 12.414, DE 9 DE JUNHO DE 2011

(Lei do Cadastro Positivo)

Disciplina a formação e consulta a bancos de dados com informações de adimplemento, de pessoas naturais ou de pessoas jurídicas, para formação de histórico de crédito.

LEI Nº 13.188, DE 11 DE NOVEMBRO DE 2015

Dispõe sobre o direito de resposta ou retificação do ofendido em matéria divulgada, publicada ou transmitida por veículo de comunicação social.

LEI Nº 13.460, DE 26 DE JUNHO DE 2017

Dispõe sobre participação, proteção e defesa dos direitos do usuário dos serviços públicos da administração pública.

CONTEXTUALIZAÇÃO DA ERA DA INFORMAÇÃO E DO ARCABOUÇO LEGISLATIVO

Claudio Nazareno

Guilherme Pereira Pinheiro¹

A sociedade da informação é caracterizada pela capacidade de armazenar, processar e transmitir informações em quantidades outrora inimagináveis. Tecnologias como big data, inteligência artificial e geolocalização, com o advento da internet e mais recentemente das redes sociais, revolucionaram a forma de tratar os dados pessoais, orientando as ações e estratégias de empresas privadas e as políticas públicas do Estado.

Na esfera da administração pública, a digitalização permitiu não somente quantificar informações e processar grandes volumes de dados de maneira rápida, mas também documentar processos, rastrear todas as etapas de ações do Estado, aferir eventos, medir efetividades e realizar tomadas de decisão de maneira informada. Toda essa coleta de dados e informações e a possibilidade de transparência nas ações do estado trouxe aliada uma dor de cabeça: a perda da privacidade, a possibilidade da invasão à vida íntima, um dos direitos humanos mais básicos.

Assim, surge no país o primeiro instrumento legal a buscar a transparência das ações do governo e o resguardo a informações pessoais do cidadão comum: a Lei nº 12.527/2011, conhecida como Lei de Acesso à Informação. O instrumento elevou a transparência das ações públicas a política de Estado e introduziu obrigações de tratar requerimentos de informações públicas por parte de cidadãos gratuitamente, de forma transparente, clara e em linguagem de fácil compreensão. Ao mesmo tempo, a lei determinou a proteção e o controle de informações sigilosas, assim como o tratamento das informações pessoais com respeito à intimidade, vida privada e demais garantias individuais.

Foi dado assim um primeiro passo para garantia da intimidade, mesmo no trato da transparência em um mundo que cada vez mais estava sendo digitalizado. Nesse ambiente, a vida pública e privada tornou-se cada vez mais dependente de dados e da internet, veículo protagonista de ações e atenções. Novas situações exigiram a proteção dos direitos individuais no mundo digital: roubo de identidade virtual, perseguição digital, acesso à informação etc. Em síntese, a exploração de dados pessoais aumentou a necessidade de proteção dessas informações, tarefa importante para garantir os direitos das pessoas no dia a dia.

Uma primeira solução, mais sistematizada nos direitos individuais consagrados pela Constituição Federal de 1988 para a nova realidade informacional, adveio com a sanção do Marco Civil da Internet (Lei nº 12.965/2014). Embora focada somente no âmbito da rede mundial de computadores, foi a primeira abordagem legislativa que previu a extensão dos direitos e garantias individuais para essa nova forma de se estabelecer negócios, de usufruir e prestar serviços e de se relacionar em sociedade.

Com a escalada informacional, pessoas tornaram-se megabytes de informação; empresas, gigabytes; governos, terabytes. Rapidamente a computação em nuvem, as corporações globais e os sistemas interconectados fizeram surgir petabytes e exabytes, e as informações pessoais começaram a circular de maneira vertiginosa entre pessoas, empresas e governos.

A grande quantidade de dados colhidos passa a aliar, de maneira rotineira, a publicidade direcionada, contextualizada e segmentada às mais apuradas técnicas de marketing comportamental, a fim de produzir uma economia digital baseada em informações de consumidores e usuários de produtos e serviços. Os hábitos e rotinas de cada cidadão tornam-se detectáveis por algoritmos, resultando no que alguns autores chamam “consumidor de vidro”.

Se, por um lado, a iniciativa privada pode gerar dezenas de bilhões de dólares em poucos anos com essa nova forma de economia, por outro, para o poder público também se descortina nova oportunidade para universalização de serviços ou, no mínimo, facilitação do acesso e maior alcance das políticas públicas. Da mesma forma que likes em uma foto disparam ofertas comerciais e que a geolocalização ajuda a encontrar pessoas que procuram relacionamentos, a autenticação em redes wi-fi pode levar à prisão de procurados.

Esse novo mundo de profusão de dados e de monitoramentos de situações e de comportamentos evidenciou a necessidade de se atualizar a legislação ao redor do globo. No caso brasileiro, o arcabouço legal não contava com legislação específica para proteção das pessoas nesse novo mundo digital e os entendimentos judiciais eram heterogêneos de acordo com cada caso concreto. As eventuais disposições sobre direito à proteção de dados pessoais eram segmentadas em diferentes áreas da atividade econômica e atacavam situações jurídicas específicas, criando um sistema fragmentado e pouco responsivo. É o caso, por exemplo, do Código de Defesa do Consumidor, da Lei de Acesso à Informação (aqui mencionada anteriormente), da Lei do Sigilo Financeiro (para situações de sigilo fiscal e financeiro) e das normativas do Banco Central. Cada lei atua em nichos específicos da atividade setorial ou restritos a disciplina jurídica específica. Também houve episódios pontuais que atraíram a atenção pública e foram rapidamente transformados em lei, como o caso da Lei nº 12.737/2012 (Lei Carolina Dieckmann).

No entanto, foi somente com a Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD), que o Brasil passou a integrar a relação dos países que contam com uma lei ampla, estruturada e geral de proteção de dados pessoais. A LGPD, entre outros aspectos: delimitou as hipóteses de aplicação da Lei; definiu os atores que atuam no tratamento de dados pessoais; estabeleceu as condições e os requisitos para o tratamento de dados pessoais, bem como os atores responsáveis por essa tarefa; criou um rol de direitos para os titulares dos dados; definiu quais dados seriam sensíveis; e determinou o regime jurídico do tratamento e da utilização dos dados.

A LGPD procurou harmonizar o direito dos titulares dos dados à privacidade e à autodeterminação informativa com o dinamismo de uma economia cuja matéria-prima são os dados. O ambiente de equilíbrio por ela estabelecido – que, fundamental remarcar, deve ser seguido tanto pelo poder público quanto pela iniciativa privada – prevê que o tratamento dos dados pessoais deve seguir diversos princípios básicos para ser justificável e legal. Deve, por exemplo, possuir finalidade específica, ser proporcional, ser realizado com segurança e de forma não discriminatória. Da mesma forma, o cidadão/titular dos dados possui uma série de direitos os quais pode invocar em caso de tratamento em desconformidade, como exigir correção, suspensão do tratamento, retirada ou revogação de aplicações e serviços. Dessa maneira, a lei foi concebida como uma normativa geral a ser aplicada em todos os setores da economia, abrindo espaços para a regulamentação específica de questões mais complexas.

Chegamos então à construção do sistema atual de proteção das informações pessoais, da transparência do setor público e do exercício das garantias individuais na internet. Esse é o importante tripé garantido pela Lei de Acesso à Informação (Lei nº 12.527/2011), pelo Marco Civil da Internet (Lei nº 12.965/2014) e pela Lei Geral de Proteção de Dados (Lei nº 13.709/2018). Também merecem destaque leis pontuais e comportamentais introduzidas par e passo à evolução das tecnologias da informação e comunicações – a maior parte por meio de alterações no Código Penal, como as Leis nos 9.983/2000, 12.737/2012 e 13.718/2018. Há outras ainda mais específicas que mencionam a internet como ferramenta, como aquelas referentes ao Cadastro Positivo (Lei nº 12.414/2011) e ao direito de resposta (Lei nº 13.188/2015).

Como se vê, o acesso à informação, a proteção aos dados pessoais e os novos meios digitais demandam um mosaico de soluções legislativas e inter-relacionadas que requerem cuidadoso estudo para entendimento.

Lei de Acesso à Informação – LAI (Lei nº 12.527/2011)

A Lei de Acesso à Informação (LAI) veio no sentido de dar maior transparência às atividades da administração pública, permitindo ao cidadão o acesso a informações, conforme o art. 5º, XXXIII, da Constituição Federal. O dispositivo constitucional dispõe que todos têm direito a receber dos órgãos públicos informações de seu interesse particular ou de interesse coletivo ou geral, que serão prestadas no prazo da lei, sob pena de responsabilidade, ressalvadas aquelas cujo sigilo seja imprescindível à segurança da sociedade e do Estado.

O instrumento legal seguiu movimentos internacionais de introdução de legislações semelhantes, como as dos Estados Unidos (1974), as da França (1978) e as da Austrália (1981). Como regra geral, os limites dessas legislações podem esbarrar tanto no interesse público (pedidos de informação sobre segurança nacional, investigação criminal e política externa) quanto no interesse privado (pedidos de informação que afetam interesses legítimos de terceiros ou segredo industrial).

A relação entre a LAI e a proteção de dados pessoais e a privacidade é ambivalente. Por um lado, há uma tensão natural entre ambas, já que a revelação de informações por meio da LAI vai muitas vezes em sentido contrário ao direito de privacidade e de proteção de dados pessoais, como no caso da divulgação de remunerações de servidores públicos. Por outro, o direito de acesso a informações permite que o cidadão consulte dados pessoais seus que estejam armazenados por órgãos governamentais, ensejando a possibilidade de corrigi-los ou eliminá-los se errôneos ou incompletos.

Oportuno notar que não há conflito ou superposição entre a LAI e a ação constitucional do habeas data, regido pela Lei nº 9.507/1997, já que o primeiro está no plano administrativo e o segundo é manejado na esfera judicial.² Apesar disso, ambos podem servir à requisição de informações e a pedidos de correção de dados pessoais.

A LAI, no art. 31, § 1º, II, determina que há duas hipóteses para divulgação da informação: (i) previsão legal; ou (ii) consentimento do titular. Entre as hipóteses legais (art. 31, § 3º), contam-se as de: prevenção e diagnóstico médico quando a pessoa estiver física ou legalmente incapaz, única e exclusivamente para utilização no tratamento médico; realização de estatísticas e pesquisas científicas de evidente interesse público ou geral, previstas em lei, sendo vedada a identificação da pessoa a que as informações se referirem; cumprimento de ordem judicial; defesa de direitos humanos; ou proteção do interesse público e geral preponderante. Por fim, é possível a divulgação da informação após decorrido o prazo de 100 anos a contar da produção da informação.

Marco Civil da Internet – MCI (Lei nº 12.965/2014)

A trajetória da Lei nº 12.965/2014 (Marco Civil da Internet – CMI) começou em 2009, no âmbito da plataforma Cultura Digital no Ministério da Cultura, muito antes de seu trâmite na Câmara dos Deputados (2011-2014). O elo condutor nas discussões dessa nova lei foi a necessidade de afirmar a internet como porto seguro para a liberdade de expressão, fonte plural e democrática de informações e ambiente neutro em que governos e corporações não tivessem supremacias. Um ponto fundamental nas discussões foi garantir que os usuários não fossem criminalizados quando utilizassem a rede no exercício de direitos fundamentais, tais como o desenvolvimento da personalidade e o exercício da cidadania. Com esse espírito libertador e garantidor de exercícios de direitos, o MCI não trilhou o caminho da tipificação e da criminalização do mau uso, como tantos outros projetos de lei em tramitação à época.

Dessa forma, os principais eixos em que o MCI se concentrou foram: i) a neutralidade da internet (art. 9º); ii) a guarda dos registros de conexão (arts. 10 a 14) e de aplicação (a navegação, arts. 15 a 17); e iii) a responsabilidade por material infringente (arts. 18 a 21).

Com relação à neutralidade da internet (primeiro eixo), o MCI determina que as operadoras de telecomunicações (as fornecedoras do acesso de banda larga) não podem interferir na velocidade dos pacotes trafegados pela internet, isto é, não podem priorizar, degradar ou bloquear certos tipos de conteúdo em detrimento de outros. O instrumento relativiza esse conceito quando permite o atendimento de requisitos técnicos necessários para prestação adequada, práticas de gerenciamento e de mitigação de tráfego, entre outros. É essa relativização que permite o entendimento, não sem controvérsias, de que acordos comerciais que resultam na não tarifação de determinados aplicativos de internet estariam permitidos pela lei.

Sobre a guarda de registros (segundo eixo) não há controvérsias de interpretação. As empresas de telecomunicações provedoras de conexão em banda larga têm obrigação de guardar o registro de conexão à internet dos usuários pelo período de um ano. Esses registros indicam apenas que o usuário (caracterizado pelos dados cadastrais nome, CPF e endereço postal) esteve conectado à internet, através do número IP (equivalente ao endereço de internet), no período indicado. Já a guarda dos registros de acesso a aplicações de internet pelo usuário (sítios ou aplicativos de internet utilizados) é obrigatória por apenas 6 meses e cabe exclusivamente aos provedores desses aplicativos. Como se vê, há um tratamento diferenciado entre as empresas de telecomunicações (provedoras de acesso em banda larga) e as empresas “ponto com” (proprietárias dos aplicativos e sítios de internet). As primeiras não podem guardar dados acerca da navegação dos usuários; já as segundas podem armazenar qualquer tipo de dados acerca do usuário. O acesso a esses registros somente pode ser feito mediante autorização judicial e, uma vez instaurados processos investigativos, a autoridade pode requerer a guarda por períodos mais longos.

O terceiro grande eixo do MCI diz respeito à responsabilização civil devido a conteúdos gerados por terceiros. A lei garante uma inimputabilidade relativa às empresas, da seguinte forma:

Art. 19. [...] o provedor de aplicações de internet somente poderá ser responsabilizado civilmente por danos decorrentes de conteúdo gerado por terceiros se, após ordem judicial específica, não tomar as providências para, no âmbito e nos limites técnicos do seu serviço e dentro do prazo assinalado, tornar indisponível o conteúdo apontado como infringente [...].

Ou seja, imaginando um caso concreto em que um usuário publique, em algum aplicativo de internet, um conteúdo considerado ofensivo por alguém (por exemplo, uma crítica que cause danos morais), as empresas “ponto com” somente poderão ser arroladas ao processo civil, de maneira subsidiária ao autor da ofensa, caso, após terem sido notificadas por autoridade judicial, não tomem as medidas indicadas. Normalmente, as providências se resumem à retirada do conteúdo infringente.

Há, todavia, a exceção para material “contendo cenas de nudez ou de atos sexuais de caráter privado” (art. 21 do MCI). Nesses casos, o provedor da aplicação poderá ser processado subsidiariamente por “violação da intimidade decorrente da divulgação, sem autorização de seus participantes” caso receba notificação do próprio participante. Assim, para este tipo de conteúdo, não é necessária a intervenção de autoridade judicial para obrigar a empresa a retirar o conteúdo. Esse artigo visa a resguardar de maneira mais efetiva e célere as vítimas da chamada “pornografia da vingança”.

Por último, o Marco Civil não se aplica a conteúdos protegidos por direito de autor, como, por exemplo, a disponibilização por usuários de músicas, filmes, softwares ou outros conteúdos protegidos. Nesses casos a Lei sobre Direitos Autorais (Lei nº 9.610/1998) e a Lei de Propriedade Intelectual de Programa de Computador (Lei nº 9.609/1998) são os instrumentos legais aplicáveis.

Lei Geral de Proteção de Dados – LGPD (Lei nº 13.709/2018)

A Lei Geral de Proteção de Dados (LGPD) foi aprovada em duas etapas. Em 14 de agosto de 2018, foi aprovada sua primeira versão. Os dispositivos que determinavam a criação de uma Agência Nacional de Proteção de Dados foram vetados em dezembro do mesmo ano. Para resolver a questão do ente regulador, o Poder Executivo encaminhou ao Congresso Nacional a Medida Provisória nº 869/2018. Nessa segunda etapa, a medida provisória, após ter recebido 176 emendas, foi convertida na Lei nº 13.853/2019, a qual alterou a LGPD. O diploma ganhou, assim, seus contornos atuais.

A LGPD criou um sistema específico para tratamento de dados pessoais de crianças e adolescentes, delineou as regras de tratamento de dados pelo poder público, assentou as condições para que haja transferência internacional de dados, delimitou os casos de responsabilidade civil dos atores que causem danos aos titulares de dados, estabeleceu regras sobre segurança e sigilo de dados e sobre boas práticas e governança no tratamento dos dados, criou a Autoridade Nacional de Proteção de Dados Pessoais (ANPD) e previu sanções administrativas a serem por esta aplicadas. Foi criado também o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade, que possibilita uma participação multissetorial na elaboração da política de proteção de dados pessoais.

A lei estabelece diversas hipóteses que permitem o início do tratamento de dados. A primeira delas é pelo fornecimento do consentimento, de forma livre, informada e inequívoca, por parte do titular dos dados. Já para dados de saúde, de opinião e outros mais sensíveis, o consentimento para o tratamento tem que ser dado de forma destacada dos demais. A segunda hipótese de tratamento é para o atendimento a situações legais, como tutela da saúde, notificação de autoridades, segurança pública e para o atendimento de acordos internacionais. A terceira forma é para o atendimento a interesses legítimos da entidade que trata os dados, por exemplo, para prevenção de fraudes ou para segurança dos sistemas.

A lei determinou liberdades e obrigações a cada um dos agentes da cadeia produtiva de tratamento de dados. Aos controladores, que são os prestadores dos serviços aos quais o titular ofereceu seu consentimento, cabe a responsabilidade final pelo tratamento dos dados. Estes agentes poderão, no entanto, repassar parte das operações para empresas contratadas, os chamados operadores. Essas empresas, apesar de também poderem ser responsabilizadas em casos de incorreções, tendo em vista que são contratadas para executar (operar) tarefas específicas, têm suas responsabilidades atenuadas ou até eximidas em determinados casos.

Como forma de garantir o exercício de direitos por parte dos titulares e facilitar a fiscalização, os controladores precisam constituir um agente responsável pelo atendimento às reclamações e comunicações com o ente de fiscalização, o encarregado. Em síntese, essa sistematização de entidades e atividades permite que, ao longo de toda a cadeia de tratamento de dados, as responsabilidades de cada agente sejam bem definidas. Ademais, cristaliza no setor o regime de responsabilidade solidária e objetiva, na esfera civil, ressalvado o direito de regresso.

Outro ponto importante da lei é o que diz respeito à transferência internacional de dados. Tendo em vista o caráter global de que se reveste a economia atual, o fluxo de dados entre os países é vital, tanto para os negócios, quanto para a fruição dos mais variados serviços. Assim, a LGPD permite a comunicação internacional de dados das mais diversas formas, seja através de normas corporativas globais ou de selos reconhecidos, seja por meio de certificações de agências internacionais ou de autoridades nacionais com as quais o Brasil tenha acordo. O princípio geral permitirá que o órgão regulador, a ANPD, aceite, via de regra, instrumentos já autorizados por países que possuam grau de proteção igual ou maior ao brasileiro. Esse é um dos motivos pelos quais se faz tão necessário o estabelecimento de uma entidade específica para fiscalizar o setor. É exatamente sua existência e coordenação com outros entes nacionais e multilaterais que permitirá, espera-se, a inserção econômica plena de nosso país na nova economia digital. A Organização para a Cooperação e Desenvolvimento Econômico (OCDE) e a União Europeia, por exemplo, condicionam a existência desse tipo de ente garantidor da proteção dos dados dos cidadãos e das empresas de seus países-membros para, assim, chancelar a realização de investimentos nessas localidades.

A aprovação da LGPD não ocorreu, no entanto, sem debates sobre pontos controvertidos. Por exemplo, a discussão sobre a possibilidade ou não de transferência, entre empresas, de dados sensíveis de saúde, com o consentimento do titular. Nesse caso prevaleceu a hipótese de vedação da transferência para fins de comercialização. Ademais, é considerado ilegal o tratamento desses dados para seleção de riscos (encarecimento de planos) ou para contratação ou exclusão de beneficiários. Outro assunto polêmico foi a questão da necessidade de revisão, por pessoa natural, de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais, que acabou vetada pelo chefe do Executivo. Importante notar que o veto, quando analisado pelo Congresso Nacional em outubro, foi rejeitado na Câmara dos Deputados e mantido pelo Senado Federal por apenas um voto a mais.

Os limites da responsabilidade civil, explicados anteriormente, também levantaram polêmica. A LGPD criou uma exceção à regra geral da responsabilidade objetiva e solidária do direito do consumidor ao determinar que o operador responda solidariamente pelos danos causados pelo tratamento apenas quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador. Dessa forma, diferentemente de outros ramos atinentes ao direito do consumidor, há uma pequena restrição à responsabilização na cadeia de valor do tratamento de dados pessoais.

Em relação às sanções administrativas, debateu-se muito sobre a conveniência e oportunidade de inclusão das sanções de: i) suspensão parcial ou total do funcionamento do banco de dados; ii) suspensão do exercício da atividade de tratamento dos dados pessoais pelo período máximo de 6 meses, prorrogável por igual período; e iii) proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. Argumentava-se pela inclusão das sanções como forma de se guardar simetria regulatória com o Marco Civil da Internet e até com o longevo Código de Defesa do Consumidor. Tais sanções, incluídas na primeira e segunda versão da lei, foram vetadas pelo presidente da República nas duas ocasiões. Entretanto, o Congresso Nacional rejeitou o veto presidencial e as sanções estão contidas na versão final da LGPD.

Por último, destacamos o debate sobre a natureza jurídica da ANPD. Na maioria dos países em que há uma lei de proteção de dados pessoais, o respectivo órgão regulador possui grau de independência bastante elevado, o que impede interferências políticas indevidas. No caso brasileiro, principalmente por questões orçamentárias e fiscais, a autoridade é órgão pertencente à administração direta e subordinado à Presidência da República.

Apesar de o modelo não ser o de uma agência reguladora integrante da administração indireta, a LGPD buscou ao máximo distanciar a ANPD de influências políticas diretas. Entre outras previsões nesse sentido, a lei previu que: i) será assegurada autonomia técnica e decisória à ANPD; ii) a autoridade será composta por cinco diretores com reputação ilibada, nível superior de educação e elevado conceito no campo de especialidade em que atuarão; iii) os diretores terão estabilidade no cargo, com mandatos com termo fixo de duração, só perdem os cargos em caso de renúncia, de condenação judicial transitada em julgado ou de pena de demissão resultante de processo administrativo disciplinar; e iv) os diretores deverão ser sabatinados pelo Senado Federal.

Além disso, a ANPD pode dispor sobre seu regimento interno e detém competências bastante amplas. Essas competências vão desde a elaboração de diretrizes para a Política Nacional de Proteção de Dados Pessoais, passando pela regulamentação e fiscalização das atividades de tratamento de dados pessoais, até a possibilidade de apreciar reclamações de titulares contra controladores, celebrar compromisso com agentes de tratamento para cessar irregularidades, e solicitar do poder público informe específico sobre o tratamento por este realizado. Restou uma indicação na lei, contudo, de que o Poder Executivo deverá reavaliar a natureza jurídica da entidade em prazo de dois anos da aprovação da LGPD.

Também houve demandas parlamentares a respeito de temas específicos que acabaram sendo incorporados à lei. Quatro são especialmente dignas de notas nesta breve explicação. A primeira delas foi a inclusão de tratamento diferenciado aos idosos. Foi determinado que essa categoria terá que ser abordada de maneira simples, clara, acessível e adequada ao seu entendimento. Um segundo ponto refere-se às microempresas, empresas de pequeno porte e startups. Cláusula específica prevê a criação de procedimentos e prazos simplificados para essas iniciativas. Um terceiro tópico foi o alcance federativo da lei. Tendo em vista a possibilidade de estabelecimento de regramentos diversos sobre o tema nos distintos níveis da federação, foi indicado que os ditames da LGPD devem ser seguidos pela União, estados e municípios. Essa diretriz foi pensada para dar dinamismo ao setor, mediante regramento uniforme em todo o país. O quarto e último ponto a mencionar é a permissão explícita ao reuso de dados tornados públicos para fins legítimos e específicos. Dessa forma, espera-se, poderá ser dado maior impulso à economia com dados já existentes e tornados públicos.

Pelo exposto, podemos afirmar que o Brasil, com a aprovação da LGPD, se insere definitivamente no cenário internacional dos países que possuem uma lei abrangente de proteção de dados e uma autoridade nacional competente para regulamentar a fiscalizar o tratamento dos dados pessoais. Ficam, portanto, para o futuro, o desafio de se construir uma autoridade estruturada e dinâmica, que concilie, ao mesmo tempo, a exploração econômica legítima dos dados pessoais com o direito fundamental à privacidade e à autodeterminação informacional dos titulares desses dados.

1 Consultores legislativos da Câmara dos Deputados com atuação na área XIV (comunicação social, informática, telecomunicações, sistema postal, ciência e tecnologia).

2 O inciso LXXII do art. 5º da Constituição Federal garante como direito fundamental aos cidadãos a concessão de habeas data para: a) assegurar o conhecimento de informações relativas à pessoa do impetrante, constantes de registros ou bancos de dados de entidades governamentais ou de caráter público; e b) retificação de dados, quando não se prefira fazê-lo por processo sigiloso, judicial ou administrativo.

LEI Nº 12.527, DE 18 DE NOVEMBRO DE 2011

(Lei de Acesso à Informação – LAI)

(Publicada no DOU de 18/11/2011)

Regula o acesso a informações previsto no inciso XXXIII do art. 5º, no inciso II do § 3º do art. 37 e no § 2º do art. 216 da Constituição Federal; altera a Lei nº 8.112, de 11 de dezembro de 1990; revoga a Lei nº 11.111, de 5 de maio de 2005, e dispositivos da Lei nº 8.159, de 8 de janeiro de 1991; e dá outras providências.

A presidenta da República

Faço saber que o Congresso Nacional decreta e eu sanciono a seguinte Lei:

CAPÍTULO I
DISPOSIÇÕES GERAIS

Art. 1º Esta Lei dispõe sobre os procedimentos a serem observados pela União, Estados, Distrito Federal e Municípios, com o fim de garantir o acesso a informações previsto no inciso XXXIII do art. 5º, no inciso II do § 3º do art. 37 e no § 2º do art. 216 da Constituição Federal.

Parágrafo único. Subordinam-se ao regime desta Lei:

I – os órgãos públicos integrantes da administração direta dos Poderes Executivo, Legislativo, incluindo as Cortes de Contas, e Judiciário e do Ministério Público;

II – as autarquias, as fundações públicas, as empresas públicas, as sociedades de economia mista e demais entidades controladas direta ou indiretamente pela União, Estados, Distrito Federal e Municípios.

Art. 2º Aplicam-se as disposições desta Lei, no que couber, às entidades privadas sem fins lucrativos que recebam, para realização de ações de interesse público, recursos públicos diretamente do orçamento ou mediante subvenções sociais, contrato de gestão, termo de parceria, convênios, acordo, ajustes ou outros instrumentos congêneres.

Parágrafo único. A publicidade a que estão submetidas as entidades citadas no caput refere-se à parcela dos recursos públicos recebidos e à sua destinação, sem prejuízo das prestações de contas a que estejam legalmente obrigadas.

Art. 3º Os procedimentos previstos nesta Lei destinam-se a assegurar o direito fundamental de acesso à informação e devem ser executados em conformidade com os princípios básicos da administração pública e com as seguintes diretrizes:

I – observância da publicidade como preceito geral e do sigilo como exceção;

II – divulgação de informações de interesse público, independentemente de solicitações;

III – utilização de meios de comunicação viabilizados pela tecnologia da informação;

IV – fomento ao desenvolvimento da cultura de transparência na administração pública;

V – desenvolvimento do controle social da administração pública.

Art. 4º Para os efeitos desta Lei, considera-se:

I – informação: dados, processados ou não, que podem ser utilizados para produção e transmissão de conhecimento, contidos em qualquer meio, suporte ou formato;

II – documento: unidade de registro de informações, qualquer que seja o suporte ou formato;

III – informação sigilosa: aquela submetida temporariamente à restrição de acesso público em razão de sua imprescindibilidade para a segurança da sociedade e do Estado;

IV – informação pessoal: aquela relacionada à pessoa natural identificada ou identificável;

V – tratamento da informação: conjunto de ações referentes à produção, recepção, classificação, utilização, acesso, reprodução, transporte, transmissão, distribuição, arquivamento, armazenamento, eliminação, avaliação, destinação ou controle da informação;

VI – disponibilidade: qualidade da informação que pode ser conhecida e utilizada por indivíduos, equipamentos ou sistemas autorizados;

VII – autenticidade: qualidade da informação que tenha sido produzida, expedida, recebida ou modificada por determinado indivíduo, equipamento ou sistema;

VIII – integridade: qualidade da informação não modificada, inclusive quanto à origem, trânsito e destino;

IX – primariedade: qualidade da informação coletada na fonte, com o máximo de detalhamento possível, sem modificações.

Art. 5º É dever do Estado garantir o direito de acesso à informação, que será franqueada, mediante procedimentos objetivos e ágeis, de forma transparente, clara e em linguagem de fácil compreensão.

CAPÍTULO II
DO ACESSO A INFORMAÇÕES E DA SUA DIVULGAÇÃO

Art. 6º Cabe aos órgãos e entidades do poder público, observadas as normas e procedimentos específicos aplicáveis, assegurar a:

I – gestão transparente da informação, propiciando amplo acesso a ela e sua divulgação;

II – proteção da informação, garantindo-se sua disponibilidade, autenticidade e integridade; e

III – proteção da informação sigilosa e da informação pessoal, observada a sua disponibilidade, autenticidade, integridade e eventual restrição de acesso.

Art. 7º O acesso à informação de que trata esta Lei compreende, entre outros, os direitos de obter:

I – orientação sobre os procedimentos para a consecução de acesso, bem como sobre o local onde poderá ser encontrada ou obtida a informação almejada;

II – informação contida em registros ou documentos, produzidos ou acumulados por seus órgãos ou entidades, recolhidos ou não a arquivos públicos;

III – informação produzida ou custodiada por pessoa física ou entidade privada decorrente de qualquer vínculo com seus órgãos ou entidades, mesmo que esse vínculo já tenha cessado;

IV – informação primária, íntegra, autêntica e atualizada;

V – informação sobre atividades exercidas pelos órgãos e entidades, inclusive as relativas à sua política, organização e serviços;

VI – informação pertinente à administração do patrimônio público, utilização de recursos públicos, licitação, contratos administrativos; e

VII – informação relativa:

a) à implementação, acompanhamento e resultados dos programas, projetos e ações dos órgãos e entidades públicas, bem como metas e indicadores propostos;

b) ao resultado de inspeções, auditorias, prestações e tomadas de contas realizadas pelos órgãos de controle interno e externo, incluindo prestações de contas relativas a exercícios anteriores.

§ 1º O acesso à informação previsto no caput não compreende as informações referentes a projetos de pesquisa e desenvolvimento científicos ou tecnológicos cujo sigilo seja imprescindível à segurança da sociedade e do Estado.

§ 2º Quando não for autorizado acesso integral à informação por ser ela parcialmente sigilosa, é assegurado o acesso à parte não sigilosa por meio de certidão, extrato ou cópia com ocultação da parte sob sigilo.

§ 3º O direito de acesso aos documentos ou às informações neles contidas utilizados como fundamento da tomada de decisão e do ato administrativo será assegurado com a edição do ato decisório respectivo.

§ 4º A negativa de acesso às informações objeto de pedido formulado aos órgãos e entidades referidas no art. 1º, quando não fundamentada, sujeitará o responsável a medidas disciplinares, nos termos do art. 32 desta Lei.

§ 5º Informado do extravio da informação solicitada, poderá o interessado requerer à autoridade competente a imediata abertura de sindicância para apurar o desaparecimento da respectiva documentação.

§ 6º Verificada a hipótese prevista no § 5º deste artigo, o responsável pela guarda da informação extraviada deverá, no prazo de 10 (dez) dias, justificar o fato e indicar testemunhas que comprovem sua alegação.

Art. 8º É dever dos órgãos e entidades públicas promover, independentemente de requerimentos, a divulgação em local de fácil acesso, no âmbito de suas competências, de informações de interesse coletivo ou geral por eles produzidas ou custodiadas.

§ 1º Na divulgação das informações a que se refere o caput, deverão constar, no mínimo:

I – registro das competências e estrutura organizacional, endereços e telefones das respectivas unidades e horários de atendimento ao público;

II – registros de quaisquer repasses ou transferências de recursos financeiros;

III – registros das despesas;

IV – informações concernentes a procedimentos licitatórios, inclusive os respectivos editais e resultados, bem como a todos os contratos celebrados;

V – dados gerais para o acompanhamento de programas, ações, projetos e obras de órgãos e entidades; e

VI – respostas a perguntas mais frequentes da sociedade.

§ 2º Para cumprimento do disposto no caput, os órgãos e entidades públicas deverão utilizar todos os meios e instrumentos legítimos de que dispuserem, sendo obrigatória a divulgação em sítios oficiais da rede mundial de computadores (internet).

§ 3º Os sítios de que trata o § 2º deverão, na forma de regulamento, atender, entre outros, aos seguintes requisitos:

I – conter ferramenta de pesquisa de conteúdo que permita o acesso à informação de forma objetiva, transparente, clara e em linguagem de fácil compreensão;

II – possibilitar a gravação de relatórios em diversos formatos eletrônicos, inclusive abertos e não proprietários, tais como planilhas e texto, de modo a facilitar a análise das informações;

III – possibilitar o acesso automatizado por sistemas externos em formatos abertos, estruturados e legíveis por máquina;

IV – divulgar em detalhes os formatos utilizados para estruturação da informação;

V – garantir a autenticidade e a integridade das informações disponíveis para acesso;

VI – manter atualizadas as informações disponíveis para acesso;

VII – indicar local e instruções que permitam ao interessado comunicar-se, por via eletrônica ou telefônica, com o órgão ou entidade detentora do sítio; e

VIII – adotar as medidas necessárias para garantir a acessibilidade de conteúdo para pessoas com deficiência, nos termos do art. 17 da Lei nº 10.098, de 19 de dezembro de 2000, e do art. 9º da Convenção sobre os Direitos das Pessoas com Deficiência, aprovada pelo Decreto Legislativo nº 186, de 9 de julho de 2008.

§ 4º Os Municípios com população de até 10.000 (dez mil) habitantes ficam dispensados da divulgação obrigatória na internet a que se refere o § 2º, mantida a obrigatoriedade de divulgação, em tempo real, de informações relativas à execução orçamentária e financeira, nos critérios e prazos previstos no art. 73-B da Lei Complementar nº 101, de 4 de maio de 2000 (Lei de Responsabilidade Fiscal).

Art. 9º O acesso a informações públicas será assegurado mediante:

I – criação de serviço de informações ao cidadão, nos órgãos e entidades do poder público, em local com condições apropriadas para:

a) atender e orientar o público quanto ao acesso a informações;

b) informar sobre a tramitação de documentos nas suas respectivas unidades;

c) protocolizar documentos e requerimentos de acesso a informações; e

II – realização de audiências ou consultas públicas, incentivo à participação popular ou a outras formas de divulgação.

CAPÍTULO III
DO PROCEDIMENTO DE ACESSO À INFORMAÇÃO

Seção I
Do Pedido de Acesso

Art. 10. Qualquer interessado poderá apresentar pedido de acesso a informações aos órgãos e entidades referidos no art. 1º desta Lei, por qualquer meio legítimo, devendo o pedido conter a identificação do requerente e a especificação da informação requerida.

§ 1º Para o acesso a informações de interesse público, a identificação do requerente não pode conter exigências que inviabilizem a solicitação.

§ 2º Os órgãos e entidades do poder público devem viabilizar alternativa de encaminhamento de pedidos de acesso por meio de seus sítios oficiais na internet.

§ 3º São vedadas quaisquer exigências relativas aos motivos determinantes da solicitação de informações de interesse público.

Art. 11. O órgão ou entidade pública deverá autorizar ou conceder o acesso imediato à informação disponível.

§ 1º Não sendo possível conceder o acesso imediato, na forma disposta no caput, o órgão ou entidade que receber o pedido deverá, em prazo não superior a 20 (vinte) dias:

I – comunicar a data, local e modo para se realizar a consulta, efetuar a reprodução ou obter a certidão;

II – indicar as razões de fato ou de direito da recusa, total ou parcial, do acesso pretendido; ou

III – comunicar que não possui a informação, indicar, se for do seu conhecimento, o órgão ou a entidade que a detém, ou, ainda, remeter o requerimento a esse órgão ou entidade, cientificando o interessado da remessa de seu pedido de informação.

§ 2º O prazo referido no § 1º poderá ser prorrogado por mais 10 (dez) dias, mediante justificativa expressa, da qual será cientificado o requerente.

§ 3º Sem prejuízo da segurança e da proteção das informações e do cumprimento da legislação aplicável, o órgão ou entidade poderá oferecer meios para que o próprio requerente possa pesquisar a informação de que necessitar.

§ 4º Quando não for autorizado o acesso por se tratar de informação total ou parcialmente sigilosa, o requerente deverá ser informado sobre a possibilidade de recurso, prazos e condições para sua interposição, devendo, ainda, ser-lhe indicada a autoridade competente para sua apreciação.

§ 5º A informação armazenada em formato digital será fornecida nesse formato, caso haja anuência do requerente.

§ 6º Caso a informação solicitada esteja disponível ao público em formato impresso, eletrônico ou em qualquer outro meio de acesso universal, serão informados ao requerente, por escrito, o lugar e a forma pela qual se poderá consultar, obter ou reproduzir a referida informação, procedimento esse que desonerará o órgão ou entidade pública da obrigação de seu fornecimento direto, salvo se o requerente declarar não dispor de meios para realizar por si mesmo tais procedimentos.

Art. 12. O serviço de busca e fornecimento da informação é gratuito, salvo nas hipóteses de reprodução de documentos pelo órgão ou entidade pública consultada, situação em que poderá ser cobrado exclusivamente o valor necessário ao ressarcimento do custo dos serviços e dos materiais utilizados.

Parágrafo único. Estará isento de ressarcir os custos previstos no caput todo aquele cuja situação econômica não lhe permita fazê-lo sem prejuízo do sustento próprio ou da família, declarada nos termos da Lei nº 7.115, de 29 de agosto de 1983.

Art. 13. Quando se tratar de acesso à informação contida em documento cuja manipulação possa prejudicar sua integridade, deverá ser oferecida a consulta de cópia, com certificação de que esta confere com o original.

Parágrafo único. Na impossibilidade de obtenção de cópias, o interessado poderá solicitar que, a suas expensas e sob supervisão de servidor público, a reprodução seja feita por outro meio que não ponha em risco a conservação do documento original.

Art. 14. É direito do requerente obter o inteiro teor de decisão de negativa de acesso, por certidão ou cópia.

Seção II
Dos Recursos

Art. 15. No caso de indeferimento de acesso a informações ou às razões da negativa do acesso, poderá o interessado interpor recurso contra a decisão no prazo de 10 (dez) dias a contar da sua ciência.

Parágrafo único. O recurso será dirigido à autoridade hierarquicamente superior à que exarou a decisão impugnada, que deverá se manifestar no prazo de 5 (cinco) dias.

Art. 16. Negado o acesso a informação pelos órgãos ou entidades do Poder Executivo Federal, o requerente poderá recorrer à Controladoria-Geral da União, que deliberará no prazo de 5 (cinco) dias se:

I – o acesso à informação não classificada como sigilosa for negado;

II – a decisão de negativa de acesso à informação total ou parcialmente classificada como sigilosa não indicar a autoridade classificadora ou a hierarquicamente superior a quem possa ser dirigido pedido de acesso ou desclassificação;

III – os procedimentos de classificação de informação sigilosa estabelecidos nesta Lei não tiverem sido observados; e

IV – estiverem sendo descumpridos prazos ou outros procedimentos previstos nesta Lei.

§ 1º O recurso previsto neste artigo somente poderá ser dirigido à Controladoria-Geral da União depois de submetido à apreciação de pelo menos uma autoridade hierarquicamente superior àquela que exarou a decisão impugnada, que deliberará no prazo de 5 (cinco) dias.

§ 2º Verificada a procedência das razões do recurso, a Controladoria-Geral da União determinará ao órgão ou entidade que adote as providências necessárias para dar cumprimento ao disposto nesta Lei.

§ 3º Negado o acesso à informação pela Controladoria-Geral da União, poderá ser interposto recurso à Comissão Mista de Reavaliação de Informações, a que se refere o art. 35.

Art. 17. No caso de indeferimento de pedido de desclassificação de informação protocolado em órgão da administração pública federal, poderá o requerente recorrer ao Ministro de Estado da área, sem prejuízo das competências da Comissão Mista de Reavaliação de Informações, previstas no art. 35, e do disposto no art. 16.

§ 1º O recurso previsto neste artigo somente poderá ser dirigido às autoridades mencionadas depois de submetido à apreciação de pelo menos uma autoridade hierarquicamente superior à autoridade que exarou a decisão impugnada e, no caso das Forças Armadas, ao respectivo Comando.

§ 2º Indeferido o recurso previsto no caput que tenha como objeto a desclassificação de informação secreta ou ultrassecreta, caberá recurso à Comissão Mista de Reavaliação de Informações prevista no art. 35.

Art. 18. Os procedimentos de revisão de decisões denegatórias proferidas no recurso previsto no art. 15 e de revisão de classificação de documentos sigilosos serão objeto de regulamentação própria dos Poderes Legislativo e Judiciário e do Ministério Público, em seus respectivos âmbitos, assegurado ao solicitante, em qualquer caso, o direito de ser informado sobre o andamento de seu pedido.

Art. 19. (Vetado)

§ 1º (Vetado)

§ 2º Os órgãos do Poder Judiciário e do Ministério Público informarão ao Conselho Nacional de Justiça e ao Conselho Nacional do Ministério Público, respectivamente, as decisões que, em grau de recurso, negarem acesso a informações de interesse público.

Art. 20. Aplica-se subsidiariamente, no que couber, a Lei nº 9.784, de 29 de janeiro de 1999, ao procedimento de que trata este Capítulo.

CAPÍTULO IV
DAS RESTRIÇÕES DE ACESSO À INFORMAÇÃO

Seção I
Disposições Gerais

Art. 21. Não poderá ser negado acesso à informação necessária à tutela judicial ou administrativa de direitos fundamentais.

Parágrafo único. As informações ou documentos que versem sobre condutas que impliquem violação dos direitos humanos praticada por agentes públicos ou a mando de autoridades públicas não poderão ser objeto de restrição de acesso.

Art. 22. O disposto nesta Lei não exclui as demais hipóteses legais de sigilo e de segredo de justiça nem as hipóteses de segredo industrial decorrentes da exploração direta de atividade econômica pelo Estado ou por pessoa física ou entidade privada que tenha qualquer vínculo com o poder público.

Seção II
Da Classificação da Informação quanto ao Grau e Prazos de Sigilo

Art. 23. São consideradas imprescindíveis à segurança da sociedade ou do Estado e, portanto, passíveis de classificação as informações cuja divulgação ou acesso irrestrito possam:

I – pôr em risco a defesa e a soberania nacionais ou a integridade do território nacional;

II – prejudicar ou pôr em risco a condução de negociações ou as relações internacionais do País, ou as que tenham sido fornecidas em caráter sigiloso por outros Estados e organismos internacionais;

III – pôr em risco a vida, a segurança ou a saúde da população;

IV – oferecer elevado risco à estabilidade financeira, econômica ou monetária do País;

V – prejudicar ou causar risco a planos ou operações estratégicos das Forças Armadas;

VI – prejudicar ou causar risco a projetos de pesquisa e desenvolvimento científico ou tecnológico, assim como a sistemas, bens, instalações ou áreas de interesse estratégico nacional;

VII – pôr em risco a segurança de instituições ou de altas autoridades nacionais ou estrangeiras e seus familiares; ou

VIII – comprometer atividades de inteligência, bem como de investigação ou fiscalização em andamento, relacionadas com a prevenção ou repressão de infrações.

Art. 24. A informação em poder dos órgãos e entidades públicas, observado o seu teor e em razão de sua imprescindibilidade à segurança da sociedade ou do Estado, poderá ser classificada como ultrassecreta, secreta ou reservada.

§ 1º Os prazos máximos de restrição de acesso à informação, conforme a classificação prevista no caput, vigoram a partir da data de sua produção e são os seguintes:

I – ultrassecreta: 25 (vinte e cinco) anos;

II – secreta: 15 (quinze) anos; e

III – reservada: 5 (cinco) anos.

§ 2º As informações que puderem colocar em risco a segurança do Presidente e Vice-Presidente da República e respectivos cônjuges e filhos(as) serão classificadas como reservadas e ficarão sob sigilo até o término do mandato em exercício ou do último mandato, em caso de reeleição.

§ 3º Alternativamente aos prazos previstos no § 1º, poderá ser estabelecida como termo final de restrição de acesso a ocorrência de determinado evento, desde que este ocorra antes do transcurso do prazo máximo de classificação.

§ 4º Transcorrido o prazo de classificação ou consumado o evento que defina o seu termo final, a informação tornar-se-á, automaticamente, de acesso público.

§ 5º Para a classificação da informação em determinado grau de sigilo, deverá ser observado o interesse público da informação e utilizado o critério menos restritivo possível, considerados:

I – a gravidade do risco ou dano à segurança da sociedade e do Estado; e

II – o prazo máximo de restrição de acesso ou o evento que defina seu termo final.

Seção III
Da Proteção e do Controle de Informações Sigilosas

Art. 25. É dever do Estado controlar o acesso e a divulgação de informações sigilosas produzidas por seus órgãos e entidades, assegurando a sua proteção.

§ 1º O acesso, a divulgação e o tratamento de informação classificada como sigilosa ficarão restritos a pessoas que tenham necessidade de conhecê-la e que sejam devidamente credenciadas na forma do regulamento, sem prejuízo das atribuições dos agentes públicos autorizados por lei.

§ 2º O acesso à informação classificada como sigilosa cria a obrigação para aquele que a obteve de resguardar o sigilo.

§ 3º Regulamento disporá sobre procedimentos e medidas a serem adotados para o tratamento de informação sigilosa, de modo a protegê-la contra perda, alteração indevida, acesso, transmissão e divulgação não autorizados.

Art. 26. As autoridades públicas adotarão as providências necessárias para que o pessoal a elas subordinado hierarquicamente conheça as normas e observe as medidas e procedimentos de segurança para tratamento de informações sigilosas.

Parágrafo único. A pessoa física ou entidade privada que, em razão de qualquer vínculo com o poder público, executar atividades de tratamento de informações sigilosas adotará as providências necessárias para que seus empregados, prepostos ou representantes observem as medidas e procedimentos de segurança das informações resultantes da aplicação desta Lei.

Seção IV
Dos Procedimentos de Classificação, Reclassificação e Desclassificação

Art. 27. A classificação do sigilo de informações no âmbito da administração pública federal é de competência:

I – no grau de ultrassecreto, das seguintes autoridades:

a) Presidente da República;

b) Vice-Presidente da República;

c) Ministros de Estado e autoridades com as mesmas prerrogativas;

d) Comandantes da Marinha, do Exército e da Aeronáutica; e

e) Chefes de Missões Diplomáticas e Consulares permanentes no exterior;

II – no grau de secreto, das autoridades referidas no inciso I, dos titulares de autarquias, fundações ou empresas públicas e sociedades de economia mista; e

III – no grau de reservado, das autoridades referidas nos incisos I e II e das que exerçam funções de direção, comando ou chefia, nível DAS 101.5, ou superior, do Grupo-Direção e Assessoramento Superiores, ou de hierarquia equivalente, de acordo com regulamentação específica de cada órgão ou entidade, observado o disposto nesta Lei.

§ 1º A competência prevista nos incisos I e II, no que se refere à classificação como ultrassecreta e secreta, poderá ser delegada pela autoridade responsável a agente público, inclusive em missão no exterior, vedada a subdelegação.

§ 2º A classificação de informação no grau de sigilo ultrassecreto pelas autoridades previstas nas alíneas d e e do inciso I deverá ser ratificada pelos respectivos Ministros de Estado, no prazo previsto em regulamento.

§ 3º A autoridade ou outro agente público que classificar informação como ultrassecreta deverá encaminhar a decisão de que trata o art. 28 à Comissão Mista de Reavaliação de Informações, a que se refere o art. 35, no prazo previsto em regulamento.

Art. 28. A classificação de informação em qualquer grau de sigilo deverá ser formalizada em decisão que conterá, no mínimo, os seguintes elementos:

I – assunto sobre o qual versa a informação;

II – fundamento da classificação, observados os critérios estabelecidos no art. 24;

III – indicação do prazo de sigilo, contado em anos, meses ou dias, ou do evento que defina o seu termo final, conforme limites previstos no art. 24; e

IV – identificação da autoridade que a classificou.

Parágrafo único. A decisão referida no caput será mantida no mesmo grau de sigilo da informação classificada.

Art. 29. A classificação das informações será reavaliada pela autoridade classificadora ou por autoridade hierarquicamente superior, mediante provocação ou de ofício, nos termos e prazos previstos em regulamento, com vistas à sua desclassificação ou à redução do prazo de sigilo, observado o disposto no art. 24.

§ 1º O regulamento a que se refere o caput deverá considerar as peculiaridades das informações produzidas no exterior por autoridades ou agentes públicos.

§ 2º Na reavaliação a que se refere o caput, deverão ser examinadas a permanência dos motivos do sigilo e a possibilidade de danos decorrentes do acesso ou da divulgação da informação.

§ 3º Na hipótese de redução do prazo de sigilo da informação, o novo prazo de restrição manterá como termo inicial a data da sua produção.

Art. 30. A autoridade máxima de cada órgão ou entidade publicará, anualmente, em sítio à disposição na internet e destinado à veiculação de dados e informações administrativas, nos termos de regulamento:

I – rol das informações que tenham sido desclassificadas nos últimos 12 (doze) meses;

II – rol de documentos classificados em cada grau de sigilo, com identificação para referência futura;

III – relatório estatístico contendo a quantidade de pedidos de informação recebidos, atendidos e indeferidos, bem como informações genéricas sobre os solicitantes.

§ 1º Os órgãos e entidades deverão manter exemplar da publicação prevista no caput para consulta pública em suas sedes.

§ 2º Os órgãos e entidades manterão extrato com a lista de informações classificadas, acompanhadas da data, do grau de sigilo e dos fundamentos da classificação.

Seção V
Das Informações Pessoais

Art. 31. O tratamento das informações pessoais deve ser feito de forma transparente e com respeito à intimidade, vida privada, honra e imagem das pessoas, bem como às liberdades e garantias individuais.

§ 1º As informações pessoais, a que se refere este artigo, relativas à intimidade, vida privada, honra e imagem:

I – terão seu acesso restrito, independentemente de classificação de sigilo e pelo prazo máximo de 100 (cem) anos a contar da sua data de produção, a agentes públicos legalmente autorizados e à pessoa a que elas se referirem; e

II – poderão ter autorizada sua divulgação ou acesso por terceiros diante de previsão legal ou consentimento expresso da pessoa a que elas se referirem.

§ 2º Aquele que obtiver acesso às informações de que trata este artigo será responsabilizado por seu uso indevido.

§ 3º O consentimento referido no inciso II do § 1º não será exigido quando as informações forem necessárias:

I – à prevenção e diagnóstico médico, quando a pessoa estiver física ou legalmente incapaz, e para utilização única e exclusivamente para o tratamento médico;

II – à realização de estatísticas e pesquisas científicas de evidente interesse público ou geral, previstos em lei, sendo vedada a identificação da pessoa a que as informações se referirem;

III – ao cumprimento de ordem judicial;

IV – à defesa de direitos humanos; ou

V – à proteção do interesse público e geral preponderante.

§ 4º A restrição de acesso à informação relativa à vida privada, honra e imagem de pessoa não poderá ser invocada com o intuito de prejudicar processo de apuração de irregularidades em que o titular das informações estiver envolvido, bem como em ações voltadas para a recuperação de fatos históricos de maior relevância.

§ 5º Regulamento disporá sobre os procedimentos para tratamento de informação pessoal.

CAPÍTULO V
DAS RESPONSABILIDADES

Art. 32. Constituem condutas ilícitas que ensejam responsabilidade do agente público ou militar:

I – recusar-se a fornecer informação requerida nos termos desta Lei, retardar deliberadamente o seu fornecimento ou fornecê-la intencionalmente de forma incorreta, incompleta ou imprecisa;

II – utilizar indevidamente, bem como subtrair, destruir, inutilizar, desfigurar, alterar ou ocultar, total ou parcialmente, informação que se encontre sob sua guarda ou a que tenha acesso ou conhecimento em razão do exercício das atribuições de cargo, emprego ou função pública;

III – agir com dolo ou má-fé na análise das solicitações de acesso à informação;

IV – divulgar ou permitir a divulgação ou acessar ou permitir acesso indevido à informação sigilosa ou informação pessoal;

V – impor sigilo à informação para obter proveito pessoal ou de terceiro, ou para fins de ocultação de ato ilegal cometido por si ou por outrem;

VI – ocultar da revisão de autoridade superior competente informação sigilosa para beneficiar a si ou a outrem, ou em prejuízo de terceiros; e

VII – destruir ou subtrair, por qualquer meio, documentos concernentes a possíveis violações de direitos humanos por parte de agentes do Estado.

§ 1º Atendido o princípio do contraditório, da ampla defesa e do devido processo legal, as condutas descritas no caput serão consideradas:

I – para fins dos regulamentos disciplinares das Forças Armadas, transgressões militares médias ou graves, segundo os critérios neles estabelecidos, desde que não tipificadas em lei como crime ou contravenção penal; ou

II – para fins do disposto na Lei nº 8.112, de 11 de dezembro de 1990, e suas alterações, infrações administrativas, que deverão ser apenadas, no mínimo, com suspensão, segundo os critérios nela estabelecidos.

§ 2º Pelas condutas descritas no caput, poderá o militar ou agente público responder, também, por improbidade administrativa, conforme o disposto nas Leis nos 1.079, de 10 de abril de 1950, e 8.429, de 2 de junho de 1992.

Art. 33. A pessoa física ou entidade privada que detiver informações em virtude de vínculo de qualquer natureza com o poder público e deixar de observar o disposto nesta Lei estará sujeita às seguintes sanções:

I – advertência;

II – multa;

III – rescisão do vínculo com o poder público;

IV – suspensão temporária de participar em licitação e impedimento de contratar com a administração pública por prazo não superior a 2 (dois) anos; e

V – declaração de inidoneidade para licitar ou contratar com a administração pública, até que seja promovida a reabilitação perante a própria autoridade que aplicou a penalidade.

§ 1º As sanções previstas nos incisos I, III e IV poderão ser aplicadas juntamente com a do inciso II, assegurado o direito de defesa do interessado, no respectivo processo, no prazo de 10 (dez) dias.

§ 2º A reabilitação referida no inciso V será autorizada somente quando o interessado efetivar o ressarcimento ao órgão ou entidade dos prejuízos resultantes e após decorrido o prazo da sanção aplicada com base no inciso IV.

§ 3º A aplicação da sanção prevista no inciso V é de competência exclusiva da autoridade máxima do órgão ou entidade pública, facultada a defesa do interessado, no respectivo processo, no prazo de 10 (dez) dias da abertura de vista.

Art. 34. Os órgãos e entidades públicas respondem diretamente pelos danos causados em decorrência da divulgação não autorizada ou utilização indevida de informações sigilosas ou informações pessoais, cabendo a apuração de responsabilidade funcional nos casos de dolo ou culpa, assegurado o respectivo direito de regresso.

Parágrafo único. O disposto neste artigo aplica-se à pessoa física ou entidade privada que, em virtude de vínculo de qualquer natureza com órgãos ou entidades, tenha acesso a informação sigilosa ou pessoal e a submeta a tratamento indevido.

CAPÍTULO VI
DISPOSIÇÕES FINAIS E TRANSITÓRIAS

Art. 35. (Vetado)

§ 1º É instituída a Comissão Mista de Reavaliação de Informações, que decidirá, no âmbito da administração pública federal, sobre o tratamento e a classificação de informações sigilosas e terá competência para:

I – requisitar da autoridade que classificar informação como ultrassecreta e secreta esclarecimento ou conteúdo, parcial ou integral da informação;

II – rever a classificação de informações ultrassecretas ou secretas, de ofício ou mediante provocação de pessoa interessada, observado o disposto no art. 7º e demais dispositivos desta Lei; e

III – prorrogar o prazo de sigilo de informação classificada como ultrassecreta, sempre por prazo determinado, enquanto o seu acesso ou divulgação puder ocasionar ameaça externa à soberania nacional ou à integridade do território nacional ou grave risco às relações internacionais do País, observado o prazo previsto no § 1º do art. 24.

§ 2º O prazo referido no inciso III é limitado a uma única renovação.

§ 3º A revisão de ofício a que se refere o inciso II do § 1º deverá ocorrer, no máximo, a cada 4 (quatro) anos, após a reavaliação prevista no art. 39, quando se tratar de documentos ultrassecretos ou secretos.

§ 4º A não deliberação sobre a revisão pela Comissão Mista de Reavaliação de Informações nos prazos previstos no § 3º implicará a desclassificação automática das informações.

§ 5º Regulamento disporá sobre a composição, organização e funcionamento da Comissão Mista de Reavaliação de Informações, observado o mandato de 2 (dois) anos para seus integrantes e demais disposições desta Lei.

Art. 36. O tratamento de informação sigilosa resultante de tratados, acordos ou atos internacionais atenderá às normas e recomendações constantes desses instrumentos.

Art. 37. É instituído, no âmbito do Gabinete de Segurança Institucional da Presidência da República, o Núcleo de Segurança e Credenciamento (NSC), que tem por objetivos:

I – promover e propor a regulamentação do credenciamento de segurança de pessoas físicas, empresas, órgãos e entidades para tratamento de informações sigilosas; e

II – garantir a segurança de informações sigilosas, inclusive aquelas provenientes de países ou organizações internacionais com os quais a República Federativa do Brasil tenha firmado tratado, acordo, contrato ou qualquer outro ato internacional, sem prejuízo das atribuições do Ministério das Relações Exteriores e dos demais órgãos competentes.

Parágrafo único. Regulamento disporá sobre a composição, organização e funcionamento do NSC.

Art. 38. Aplica-se, no que couber, a Lei nº 9.507, de 12 de novembro de 1997, em relação à informação de pessoa, física ou jurídica, constante de registro ou banco de dados de entidades governamentais ou de caráter público.

Art. 39. Os órgãos e entidades públicas deverão proceder à reavaliação das informações classificadas como ultrassecretas e secretas no prazo máximo de 2 (dois) anos, contado do termo inicial de vigência desta Lei.

§ 1º A restrição de acesso a informações, em razão da reavaliação prevista no caput, deverá observar os prazos e condições previstos nesta Lei.

§ 2º No âmbito da administração pública federal, a reavaliação prevista no caput poderá ser revista, a qualquer tempo, pela Comissão Mista de Reavaliação de Informações, observados os termos desta Lei.

§ 3º Enquanto não transcorrido o prazo de reavaliação previsto no caput, será mantida a classificação da informação nos termos da legislação precedente.

§ 4º As informações classificadas como secretas e ultrassecretas não reavaliadas no prazo previsto no caput serão consideradas, automaticamente, de acesso público.

Art. 40. No prazo de 60 (sessenta) dias, a contar da vigência desta Lei, o dirigente máximo de cada órgão ou entidade da administração pública federal direta e indireta designará autoridade que lhe seja diretamente subordinada para, no âmbito do respectivo órgão ou entidade, exercer as seguintes atribuições:

I – assegurar o cumprimento das normas relativas ao acesso a informação, de forma eficiente e adequada aos objetivos desta Lei;

II – monitorar a implementação do disposto nesta Lei e apresentar relatórios periódicos sobre o seu cumprimento;

III – recomendar as medidas indispensáveis à implementação e ao aperfeiçoamento das normas e procedimentos necessários ao correto cumprimento do disposto nesta Lei; e

IV – orientar as respectivas unidades no que se refere ao cumprimento do disposto nesta Lei e seus regulamentos.

Art. 41. O Poder Executivo Federal designará órgão da administração pública federal responsável:

I – pela promoção de campanha de abrangência nacional de fomento à cultura da transparência na administração pública e conscientização do direito fundamental de acesso à informação;

II – pelo treinamento de agentes públicos no que se refere ao desenvolvimento de práticas relacionadas à transparência na administração pública;

III – pelo monitoramento da aplicação da lei no âmbito da administração pública federal, concentrando e consolidando a publicação de informações estatísticas relacionadas no art. 30;

IV – pelo encaminhamento ao Congresso Nacional de relatório anual com informações atinentes à implementação desta Lei.

Art. 42. O Poder Executivo regulamentará o disposto nesta Lei no prazo de 180 (cento e oitenta) dias a contar da data de sua publicação.

Art. 43. O inciso VI do art. 116 da Lei nº 8.112, de 11 de dezembro de 1990, passa a vigorar com a seguinte redação:

Art. 116. [...]

[...]

VI – levar as irregularidades de que tiver ciência em razão do cargo ao conhecimento da autoridade superior ou, quando houver suspeita de envolvimento desta, ao conhecimento de outra autoridade competente para apuração;

[...]

Art. 44. O Capítulo IV do Título IV da Lei nº 8.112, de 1990, passa a vigorar acrescido do seguinte art. 126-A:

Art. 126-A. Nenhum servidor poderá ser responsabilizado civil, penal ou administrativamente por dar ciência à autoridade superior ou, quando houver suspeita de envolvimento desta, a outra autoridade competente para apuração de informação concernente à prática de crimes ou improbidade de que tenha conhecimento, ainda que em decorrência do exercício de cargo, emprego ou função pública.

Art. 45. Cabe aos Estados, ao Distrito Federal e aos Municípios, em legislação própria, obedecidas as normas gerais estabelecidas nesta Lei, definir regras específicas, especialmente quanto ao disposto no art. 9º e na Seção II do Capítulo III.

Art. 46. Revogam-se:

I – a Lei nº 11.111, de 5 de maio de 2005; e

II – os arts. 22 a 24 da Lei nº 8.159, de 8 de janeiro de 1991.

Art. 47. Esta Lei entra em vigor 180 (cento e oitenta) dias após a data de sua publicação.

Brasília, 18 de novembro de 2011; 190º da Independência e 123º da República.

DILMA ROUSSEFF

José Eduardo Cardoso

Celso Luiz Nunes Amorim

Antonio de Aguiar Patriota

Miriam Belchior

Paulo Bernardo Silva

Gleisi Hoffmann

José Elito Carvalho Siqueira

Helena Chagas

Luís Inácio Lucena Adams

Jorge Hage Sobrinho

Maria do Rosário Nunes

LEI Nº 12.965, DE 23 DE ABRIL DE 2014

(Marco Civil da Internet)

(Publicada no DOU de 24/4/2014)

Estabelece princípios, garantias, direitos e deveres para o uso da Internet no Brasil.

A presidenta da República

Faço saber que o Congresso Nacional decreta e eu sanciono a seguinte Lei:

CAPÍTULO I
DISPOSIÇÕES PRELIMINARES

Art. 1º Esta Lei estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil e determina as diretrizes para atuação da União, dos Estados, do Distrito Federal e dos Municípios em relação à matéria.

Art. 2º A disciplina do uso da internet no Brasil tem como fundamento o respeito à liberdade de expressão, bem como:

I – o reconhecimento da escala mundial da rede;

II – os direitos humanos, o desenvolvimento da personalidade e o exercício da cidadania em meios digitais;

III – a pluralidade e a diversidade;

IV – a abertura e a colaboração;

V – a livre iniciativa, a livre concorrência e a defesa do consumidor; e

VI – a finalidade social da rede.

Art. 3º A disciplina do uso da internet no Brasil tem os seguintes princípios:

I – garantia da liberdade de expressão, comunicação e manifestação de pensamento, nos termos da Constituição Federal;

II – proteção da privacidade;

III – proteção dos dados pessoais, na forma da lei;

IV – preservação e garantia da neutralidade de rede;

V – preservação da estabilidade, segurança e funcionalidade da rede, por meio de medidas técnicas compatíveis com os padrões internacionais e pelo estímulo ao uso de boas práticas;

VI – responsabilização dos agentes de acordo com suas atividades, nos termos da lei;

VII – preservação da natureza participativa da rede;

VIII – liberdade dos modelos de negócios promovidos na internet, desde que não conflitem com os demais princípios estabelecidos nesta Lei.

Parágrafo único. Os princípios expressos nesta Lei não excluem outros previstos no ordenamento jurídico pátrio relacionados à matéria ou nos tratados internacionais em que a República Federativa do Brasil seja parte.

Art. 4º A disciplina do uso da internet no Brasil tem por objetivo a promoção:

I – do direito de acesso à internet a todos;

II – do acesso à informação, ao conhecimento e à participação na vida cultural e na condução dos assuntos públicos;

III – da inovação e do fomento à ampla difusão de novas tecnologias e modelos de uso e acesso; e

IV – da adesão a padrões tecnológicos abertos que permitam a comunicação, a acessibilidade e a interoperabilidade entre aplicações e bases de dados.

Art. 5º Para os efeitos desta Lei, considera-se:

I – internet: o sistema constituído do conjunto de protocolos lógicos, estruturado em escala mundial para uso público e irrestrito, com a finalidade de possibilitar a comunicação de dados entre terminais por meio de diferentes redes;

II – terminal: o computador ou qualquer dispositivo que se conecte à internet;

III – endereço de protocolo de internet (endereço IP): o código atribuído a um terminal de uma rede para permitir sua identificação, definido segundo parâmetros internacionais;

IV – administrador de sistema autônomo: a pessoa física ou jurídica que administra blocos de endereço IP específicos e o respectivo sistema autônomo de roteamento, devidamente cadastrada no ente nacional responsável pelo registro e distribuição de endereços IP geograficamente referentes ao País;

V – conexão à internet: a habilitação de um terminal para envio e recebimento de pacotes de dados pela internet, mediante a atribuição ou autenticação de um endereço IP;

VI – registro de conexão: o conjunto de informações referentes à data e hora de início e término de uma conexão à internet, sua duração e o endereço IP utilizado pelo terminal para o envio e recebimento de pacotes de dados;

VII – aplicações de internet: o conjunto de funcionalidades que podem ser acessadas por meio de um terminal conectado à internet; e

VIII – registros de acesso a aplicações de internet: o conjunto de informações referentes à data e hora de uso de uma determinada aplicação de internet a partir de um determinado endereço IP.

Art. 6º Na interpretação desta Lei serão levados em conta, além dos fundamentos, princípios e objetivos previstos, a natureza da internet, seus usos e costumes particulares e sua importância para a promoção do desenvolvimento humano, econômico, social e cultural.

CAPÍTULO II
DOS DIREITOS E GARANTIAS DOS USUÁRIOS

Art. 7º O acesso à internet é essencial ao exercício da cidadania, e ao usuário são assegurados os seguintes direitos:

I – inviolabilidade da intimidade e da vida privada, sua proteção e indenização pelo dano material ou moral decorrente de sua violação;

II – inviolabilidade e sigilo do fluxo de suas comunicações pela internet, salvo por ordem judicial, na forma da lei;

III – inviolabilidade e sigilo de suas comunicações privadas armazenadas, salvo por ordem judicial;

IV – não suspensão da conexão à internet, salvo por débito diretamente decorrente de sua utilização;

V – manutenção da qualidade contratada da conexão à internet;

VI – informações claras e completas constantes dos contratos de prestação de serviços, com detalhamento sobre o regime de proteção aos registros de conexão e aos registros de acesso a aplicações de internet, bem como sobre práticas de gerenciamento da rede que possam afetar sua qualidade;

VII – não fornecimento a terceiros de seus dados pessoais, inclusive registros de conexão, e de acesso a aplicações de internet, salvo mediante consentimento livre, expresso e informado ou nas hipóteses previstas em lei;

VIII – informações claras e completas sobre coleta, uso, armazenamento, tratamento e proteção de seus dados pessoais, que somente poderão ser utilizados para finalidades que:

a) justifiquem sua coleta;

b) não sejam vedadas pela legislação; e

c) estejam especificadas nos contratos de prestação de serviços ou em termos de uso de aplicações de internet;

IX – consentimento expresso sobre coleta, uso, armazenamento e tratamento de dados pessoais, que deverá ocorrer de forma destacada das demais cláusulas contratuais;

X – exclusão definitiva dos dados pessoais que tiver fornecido a determinada aplicação de internet, a seu requerimento, ao término da relação entre as partes, ressalvadas as hipóteses de guarda obrigatória de registros previstas nesta Lei; (Vide Lei nº 13.709, de 14/8/2018, com vigência alterada pela Medida Provisória nº 869, de 28/12/2018)

XI – publicidade e clareza de eventuais políticas de uso dos provedores de conexão à internet e de aplicações de internet;

XII – acessibilidade, consideradas as características físico-motoras, perceptivas, sensoriais, intelectuais e mentais do usuário, nos termos da lei; e

XIII – aplicação das normas de proteção e defesa do consumidor nas relações de consumo realizadas na internet.

Art. 8º A garantia do direito à privacidade e à liberdade de expressão nas comunicações é condição para o pleno exercício do direito de acesso à internet.

Parágrafo único. São nulas de pleno direito as cláusulas contratuais que violem o disposto no caput, tais como aquelas que:

I – impliquem ofensa à inviolabilidade e ao sigilo das comunicações privadas, pela internet; ou

II – em contrato de adesão, não ofereçam como alternativa ao contratante a adoção do foro brasileiro para solução de controvérsias decorrentes de serviços prestados no Brasil.

CAPÍTULO III
DA PROVISÃO DE CONEXÃO E DE APLICAÇÕES DE INTERNET

Seção I
Da Neutralidade de Rede

Art. 9º O responsável pela transmissão, comutação ou roteamento tem o dever de tratar de forma isonômica quaisquer pacotes de dados, sem distinção por conteúdo, origem e destino, serviço, terminal ou aplicação.

§ 1º A discriminação ou degradação do tráfego será regulamentada nos termos das atribuições privativas do Presidente da República previstas no inciso IV do art. 84 da Constituição Federal, para a fiel execução desta Lei, ouvidos o Comitê Gestor da Internet e a Agência Nacional de Telecomunicações, e somente poderá decorrer de:

I – requisitos técnicos indispensáveis à prestação adequada dos serviços e aplicações; e

II – priorização de serviços de emergência.

§ 2º Na hipótese de discriminação ou degradação do tráfego prevista no § 1º, o responsável mencionado no caput deve:

I – abster-se de causar dano aos usuários, na forma do art. 927 da Lei nº 10.406, de 10 de janeiro de 2002 (Código Civil);

II – agir com proporcionalidade, transparência e isonomia;

III – informar previamente de modo transparente, claro e suficientemente descritivo aos seus usuários sobre as práticas de gerenciamento e mitigação de tráfego adotadas, inclusive as relacionadas à segurança da rede; e

IV – oferecer serviços em condições comerciais não discriminatórias e abster-se de praticar condutas anticoncorrenciais.

§ 3º Na provisão de conexão à internet, onerosa ou gratuita, bem como na transmissão, comutação ou roteamento, é vedado bloquear, monitorar, filtrar ou analisar o conteúdo dos pacotes de dados, respeitado o disposto neste artigo.

Seção II
Da Proteção aos Registros, aos Dados Pessoais e às Comunicações Privadas

Art. 10. A guarda e a disponibilização dos registros de conexão e de acesso a aplicações de internet de que trata esta Lei, bem como de dados pessoais e do conteúdo de comunicações privadas, devem atender à preservação da intimidade, da vida privada, da honra e da imagem das partes direta ou indiretamente envolvidas.

§ 1º O provedor responsável pela guarda somente será obrigado a disponibilizar os registros mencionados no caput, de forma autônoma ou associados a dados pessoais ou a outras informações que possam contribuir para a identificação do usuário ou do terminal, mediante ordem judicial, na forma do disposto na Seção IV deste Capítulo, respeitado o disposto no art. 7º.

§ 2º O conteúdo das comunicações privadas somente poderá ser disponibilizado mediante ordem judicial, nas hipóteses e na forma que a lei estabelecer, respeitado o disposto nos incisos II e III do art. 7º.

§ 3º O disposto no caput não impede o acesso aos dados cadastrais que informem qualificação pessoal, filiação e endereço, na forma da lei, pelas autoridades administrativas que detenham competência legal para a sua requisição.

§ 4º As medidas e os procedimentos de segurança e de sigilo devem ser informados pelo responsável pela provisão de serviços de forma clara e atender a padrões definidos em regulamento, respeitado seu direito de confidencialidade quanto a segredos empresariais.

Art. 11. Em qualquer operação de coleta, armazenamento, guarda e tratamento de registros, de dados pessoais ou de comunicações por provedores de conexão e de aplicações de internet em que pelo menos um desses atos ocorra em território nacional, deverão ser obrigatoriamente respeitados a legislação brasileira e os direitos à privacidade, à proteção dos dados pessoais e ao sigilo das comunicações privadas e dos registros.

§ 1º O disposto no caput aplica-se aos dados coletados em território nacional e ao conteúdo das comunicações, desde que pelo menos um dos terminais esteja localizado no Brasil.

§ 2º O disposto no caput aplica-se mesmo que as atividades sejam realizadas por pessoa jurídica sediada no exterior, desde que oferte serviço ao público brasileiro ou pelo menos uma integrante do mesmo grupo econômico possua estabelecimento no Brasil.

§ 3º Os provedores de conexão e de aplicações de internet deverão prestar, na forma da regulamentação, informações que permitam a verificação quanto ao cumprimento da legislação brasileira referente à coleta, à guarda, ao armazenamento ou ao tratamento de dados, bem como quanto ao respeito à privacidade e ao sigilo de comunicações.

§ 4º Decreto regulamentará o procedimento para apuração de infrações ao disposto neste artigo.

Art. 12. Sem prejuízo das demais sanções cíveis, criminais ou administrativas, as infrações às normas previstas nos arts. 10 e 11 ficam sujeitas, conforme o caso, às seguintes sanções, aplicadas de forma isolada ou cumulativa:

I – advertência, com indicação de prazo para adoção de medidas corretivas;

II – multa de até 10% (dez por cento) do faturamento do grupo econômico no Brasil no seu último exercício, excluídos os tributos, considerados a condição econômica do infrator e o princípio da proporcionalidade entre a gravidade da falta e a intensidade da sanção;

III – suspensão temporária das atividades que envolvam os atos previstos no art. 11; ou

IV – proibição de exercício das atividades que envolvam os atos previstos no art. 11.

Parágrafo único. Tratando-se de empresa estrangeira, responde solidariamente pelo pagamento da multa de que trata o caput sua filial, sucursal, escritório ou estabelecimento situado no País.

Subseção I
Da Guarda de Registros de Conexão

Art. 13. Na provisão de conexão à internet, cabe ao administrador de sistema autônomo respectivo o dever de manter os registros de conexão, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 1 (um) ano, nos termos do regulamento.

§ 1º A responsabilidade pela manutenção dos registros de conexão não poderá ser transferida a terceiros.

§ 2º A autoridade policial ou administrativa ou o Ministério Público poderá requerer cautelarmente que os registros de conexão sejam guardados por prazo superior ao previsto no caput.

§ 3º Na hipótese do § 2º, a autoridade requerente terá o prazo de 60 (sessenta) dias, contados a partir do requerimento, para ingressar com o pedido de autorização judicial de acesso aos registros previstos no caput.

§ 4º O provedor responsável pela guarda dos registros deverá manter sigilo em relação ao requerimento previsto no § 2º, que perderá sua eficácia caso o pedido de autorização judicial seja indeferido ou não tenha sido protocolado no prazo previsto no § 3º.

§ 5º Em qualquer hipótese, a disponibilização ao requerente dos registros de que trata este artigo deverá ser precedida de autorização judicial, conforme disposto na Seção IV deste Capítulo.

§ 6º Na aplicação de sanções pelo descumprimento ao disposto neste artigo, serão considerados a natureza e a gravidade da infração, os danos dela resultantes, eventual vantagem auferida pelo infrator, as circunstâncias agravantes, os antecedentes do infrator e a reincidência.

Subseção II
Da Guarda de Registros de Acesso a Aplicações de Internet na Provisão de Conexão

Art. 14. Na provisão de conexão, onerosa ou gratuita, é vedado guardar os registros de acesso a aplicações de internet.

Subseção III
Da Guarda de Registros de Acesso a Aplicações de Internet na Provisão de Aplicações

Art. 15. O provedor de aplicações de internet constituído na forma de pessoa jurídica e que exerça essa atividade de forma organizada, profissionalmente e com fins econômicos deverá manter os respectivos registros de acesso a aplicações de internet, sob sigilo, em ambiente controlado e de segurança, pelo prazo de 6 (seis) meses, nos termos do regulamento.

§ 1º Ordem judicial poderá obrigar, por tempo certo, os provedores de aplicações de internet que não estão sujeitos ao disposto no caput a guardarem registros de acesso a aplicações de internet, desde que se trate de registros relativos a fatos específicos em período determinado.

§ 2º A autoridade policial ou administrativa ou o Ministério Público poderão requerer cautelarmente a qualquer provedor de aplicações de internet que os registros de acesso a aplicações de internet sejam guardados, inclusive por prazo superior ao previsto no caput, observado o disposto nos §§ 3º e 4º do art. 13.

§ 3º Em qualquer hipótese, a disponibilização ao requerente dos registros de que trata este artigo deverá ser precedida de autorização judicial, conforme disposto na Seção IV deste Capítulo.

§ 4º Na aplicação de sanções pelo descumprimento ao disposto neste artigo, serão considerados a natureza e a gravidade da infração, os danos dela resultantes, eventual vantagem auferida pelo infrator, as circunstâncias agravantes, os antecedentes do infrator e a reincidência.

Art. 16. Na provisão de aplicações de internet, onerosa ou gratuita, é vedada a guarda:

I – dos registros de acesso a outras aplicações de internet sem que o titular dos dados tenha consentido previamente, respeitado o disposto no art. 7º; ou

II – de dados pessoais que sejam excessivos em relação à finalidade para a qual foi dado consentimento pelo seu titular. (Vide Lei nº 13.709, de 14/8/2018, com vigência alterada pela Medida Provisória nº 869, de 28/12/2018)

Art. 17. Ressalvadas as hipóteses previstas nesta Lei, a opção por não guardar os registros de acesso a aplicações de internet não implica responsabilidade sobre danos decorrentes do uso desses serviços por terceiros.

Seção III
Da Responsabilidade por Danos Decorrentes de Conteúdo Gerado por Terceiros

Art. 18. O provedor de conexão à internet não será responsabilizado civilmente por danos decorrentes de conteúdo gerado por terceiros.

Art. 19. Com o intuito de assegurar a liberdade de expressão e impedir a censura, o provedor de aplicações de internet somente poderá ser responsabilizado civilmente por danos decorrentes de conteúdo gerado por terceiros se, após ordem judicial específica, não tomar as providências para, no âmbito e nos limites técnicos do seu serviço e dentro do prazo assinalado, tornar indisponível o conteúdo apontado como infringente, ressalvadas as disposições legais em contrário.

§ 1º A ordem judicial de que trata o caput deverá conter, sob pena de nulidade, identificação clara e específica do conteúdo apontado como infringente, que permita a localização inequívoca do material.

§ 2º A aplicação do disposto neste artigo para infrações a direitos de autor ou a direitos conexos depende de previsão legal específica, que deverá respeitar a liberdade de expressão e demais garantias previstas no art. 5º da Constituição Federal.

§ 3º As causas que versem sobre ressarcimento por danos decorrentes de conteúdos disponibilizados na internet relacionados à honra, à reputação ou a direitos de personalidade, bem como sobre a indisponibilização desses conteúdos por provedores de aplicações de internet, poderão ser apresentadas perante os juizados especiais.

§ 4º O juiz, inclusive no procedimento previsto no § 3º, poderá antecipar, total ou parcialmente, os efeitos da tutela pretendida no pedido inicial, existindo prova inequívoca do fato e considerado o interesse da coletividade na disponibilização do conteúdo na internet, desde que presentes os requisitos de verossimilhança da alegação do autor e de fundado receio de dano irreparável ou de difícil reparação.

Art. 20. Sempre que tiver informações de contato do usuário diretamente responsável pelo conteúdo a que se refere o art. 19, caberá ao provedor de aplicações de internet comunicar-lhe os motivos e informações relativos à indisponibilização de conteúdo, com informações que permitam o contraditório e a ampla defesa em juízo, salvo expressa previsão legal ou expressa determinação judicial fundamentada em contrário.

Parágrafo único. Quando solicitado pelo usuário que disponibilizou o conteúdo tornado indisponível, o provedor de aplicações de internet que exerce essa atividade de forma organizada, profissionalmente e com fins econômicos substituirá o conteúdo tornado indisponível pela motivação ou pela ordem judicial que deu fundamento à indisponibilização.

Art. 21. O provedor de aplicações de internet que disponibilize conteúdo gerado por terceiros será responsabilizado subsidiariamente pela violação da intimidade decorrente da divulgação, sem autorização de seus participantes, de imagens, de vídeos ou de outros materiais contendo cenas de nudez ou de atos sexuais de caráter privado quando, após o recebimento de notificação pelo participante ou seu representante legal, deixar de promover, de forma diligente, no âmbito e nos limites técnicos do seu serviço, a indisponibilização desse conteúdo.

Parágrafo único. A notificação prevista no caput deverá conter, sob pena de nulidade, elementos que permitam a identificação específica do material apontado como violador da intimidade do participante e a verificação da legitimidade para apresentação do pedido.

Seção IV
Da Requisição Judicial de Registros

Art. 22. A parte interessada poderá, com o propósito de formar conjunto probatório em processo judicial cível ou penal, em caráter incidental ou autônomo, requerer ao juiz que ordene ao responsável pela guarda o fornecimento de registros de conexão ou de registros de acesso a aplicações de internet.

Parágrafo único. Sem prejuízo dos demais requisitos legais, o requerimento deverá conter, sob pena de inadmissibilidade:

I – fundados indícios da ocorrência do ilícito;

II – justificativa motivada da utilidade dos registros solicitados para fins de investigação ou instrução probatória; e

III – período ao qual se referem os registros.

Art. 23. Cabe ao juiz tomar as providências necessárias à garantia do sigilo das informações recebidas e à preservação da intimidade, da vida privada, da honra e da imagem do usuário, podendo determinar segredo de justiça, inclusive quanto aos pedidos de guarda de registro.

CAPÍTULO IV
DA ATUAÇÃO DO PODER PÚBLICO

Art. 24. Constituem diretrizes para a atuação da União, dos Estados, do Distrito Federal e dos Municípios no desenvolvimento da internet no Brasil:

I – estabelecimento de mecanismos de governança multiparticipativa, transparente, colaborativa e democrática, com a participação do governo, do setor empresarial, da sociedade civil e da comunidade acadêmica;

II – promoção da racionalização da gestão, expansão e uso da internet, com participação do Comitê Gestor da internet no Brasil;

III – promoção da racionalização e da interoperabilidade tecnológica dos serviços de governo eletrônico, entre os diferentes Poderes e âmbitos da Federação, para permitir o intercâmbio de informações e a celeridade de procedimentos;

IV – promoção da interoperabilidade entre sistemas e terminais diversos, inclusive entre os diferentes âmbitos federativos e diversos setores da sociedade;

V – adoção preferencial de tecnologias, padrões e formatos abertos e livres;

VI – publicidade e disseminação de dados e informações públicos, de forma aberta e estruturada;

VII – otimização da infraestrutura das redes e estímulo à implantação de centros de armazenamento, gerenciamento e disseminação de dados no País, promovendo a qualidade técnica, a inovação e a difusão das aplicações de internet, sem prejuízo à abertura, à neutralidade e à natureza participativa;

VIII – desenvolvimento de ações e programas de capacitação para uso da internet;

IX – promoção da cultura e da cidadania; e

X – prestação de serviços públicos de atendimento ao cidadão de forma integrada, eficiente, simplificada e por múltiplos canais de acesso, inclusive remotos.

Art. 25. As aplicações de internet de entes do poder público devem buscar:

I – compatibilidade dos serviços de governo eletrônico com diversos terminais, sistemas operacionais e aplicativos para seu acesso;

II – acessibilidade a todos os interessados, independentemente de suas capacidades físico-motoras, perceptivas, sensoriais, intelectuais, mentais, culturais e sociais, resguardados os aspectos de sigilo e restrições administrativas e legais;

III – compatibilidade tanto com a leitura humana quanto com o tratamento automatizado das informações;

IV – facilidade de uso dos serviços de governo eletrônico; e

V – fortalecimento da participação social nas políticas públicas.

Art. 26. O cumprimento do dever constitucional do Estado na prestação da educação, em todos os níveis de ensino, inclui a capacitação, integrada a outras práticas educacionais, para o uso seguro, consciente e responsável da internet como ferramenta para o exercício da cidadania, a promoção da cultura e o desenvolvimento tecnológico.

Art. 27. As iniciativas públicas de fomento à cultura digital e de promoção da internet como ferramenta social devem:

I – promover a inclusão digital;

II – buscar reduzir as desigualdades, sobretudo entre as diferentes regiões do País, no acesso às tecnologias da informação e comunicação e no seu uso; e

III – fomentar a produção e circulação de conteúdo nacional.

Art. 28. O Estado deve, periodicamente, formular e fomentar estudos, bem como fixar metas, estratégias, planos e cronogramas, referentes ao uso e desenvolvimento da internet no País.

CAPÍTULO V
DISPOSIÇÕES FINAIS

Art. 29. O usuário terá a opção de livre escolha na utilização de programa de computador em seu terminal para exercício do controle parental de conteúdo entendido por ele como impróprio a seus filhos menores, desde que respeitados os princípios desta Lei e da Lei nº 8.069, de 13 de julho de 1990 (Estatuto da Criança e do Adolescente).

Parágrafo único. Cabe ao poder público, em conjunto com os provedores de conexão e de aplicações de internet e a sociedade civil, promover a educação e fornecer informações sobre o uso dos programas de computador previstos no caput, bem como para a definição de boas práticas para a inclusão digital de crianças e adolescentes.

Art. 30. A defesa dos interesses e dos direitos estabelecidos nesta Lei poderá ser exercida em juízo, individual ou coletivamente, na forma da lei.

Art. 31. Até a entrada em vigor da lei específica prevista no § 2º do art. 19, a responsabilidade do provedor de aplicações de internet por danos decorrentes de conteúdo gerado por terceiros, quando se tratar de infração a direitos de autor ou a direitos conexos, continuará a ser disciplinada pela legislação autoral vigente aplicável na data da entrada em vigor desta Lei.

Art. 32. Esta Lei entra em vigor após decorridos 60 (sessenta) dias de sua publicação oficial.

Brasília, 23 de abril de 2014; 193º da Independência e 126º da República.

DILMA ROUSSEFF

José Eduardo Cardozo

Miriam Belchior

Paulo Bernardo Silva

Clélio Campolina Diniz

LEI Nº 13.709, DE 14 DE AGOSTO DE 2018

(Lei Geral de Proteção de Dados Pessoais – LGPD)

(Publicada no DOU de 15/8/2018 e republicada no DOU de 15/8/2018)

[Institui a] Lei Geral de Proteção de Dados Pessoais (LGPD). (Ementa com redação dada pela Lei nº 13.853, de 8/7/2019)

O presidente da República

Faço saber que o Congresso Nacional decreta e eu sanciono a seguinte Lei:

CAPÍTULO I
DISPOSIÇÕES PRELIMINARES

Art. 1º Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.

Parágrafo único. As normas gerais contidas nesta Lei são de interesse nacional e devem ser observadas pela União, Estados, Distrito Federal e Municípios. (Parágrafo único acrescido pela Lei nº 13.853, de 8/7/2019)

Art. 2º A disciplina da proteção de dados pessoais tem como fundamentos:

I – o respeito à privacidade;

II – a autodeterminação informativa;

III – a liberdade de expressão, de informação, de comunicação e de opinião;

IV – a inviolabilidade da intimidade, da honra e da imagem;

V – o desenvolvimento econômico e tecnológico e a inovação;

VI – a livre iniciativa, a livre concorrência e a defesa do consumidor; e

VII – os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais.

Art. 3º Esta Lei aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que:

I – a operação de tratamento seja realizada no território nacional;

II – a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional; ou (Inciso com redação dada pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

III – os dados pessoais objeto do tratamento tenham sido coletados no território nacional.

§ 1º Consideram-se coletados no território nacional os dados pessoais cujo titular nele se encontre no momento da coleta.

§ 2º Excetua-se do disposto no inciso I deste artigo o tratamento de dados previsto no inciso IV do caput do art. 4º desta Lei.

Art. 4º Esta Lei não se aplica ao tratamento de dados pessoais:

I – realizado por pessoa natural para fins exclusivamente particulares e não econômicos;

II – realizado para fins exclusivamente:

a) jornalístico e artísticos; ou

b) acadêmicos, aplicando-se a esta hipótese os arts. 7º e 11 desta Lei;

III – realizado para fins exclusivos de:

a) segurança pública;

b) defesa nacional;

c) segurança do Estado; ou

d) atividades de investigação e repressão de infrações penais; ou

IV – provenientes de fora do território nacional e que não sejam objeto de comunicação, uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência internacional de dados com outro país que não o de proveniência, desde que o país de proveniência proporcione grau de proteção de dados pessoais adequado ao previsto nesta Lei.

§ 1º O tratamento de dados pessoais previsto no inciso III será regido por legislação específica, que deverá prever medidas proporcionais e estritamente necessárias ao atendimento do interesse público, observados o devido processo legal, os princípios gerais de proteção e os direitos do titular previstos nesta Lei.

§ 2º É vedado o tratamento dos dados a que se refere o inciso III do caput deste artigo por pessoa de direito privado, exceto em procedimentos sob tutela de pessoa jurídica de direito público, que serão objeto de informe específico à autoridade nacional e que deverão observar a limitação imposta no § 4º deste artigo.

§ 3º A autoridade nacional emitirá opiniões técnicas ou recomendações referentes às exceções previstas no inciso III do caput deste artigo e deverá solicitar aos responsáveis relatórios de impacto à proteção de dados pessoais.

§ 4º Em nenhum caso a totalidade dos dados pessoais de banco de dados de que trata o inciso III do caput deste artigo poderá ser tratada por pessoa de direito privado, salvo por aquela que possua capital integralmente constituído pelo poder público. (Parágrafo com redação dada pela Lei nº 13.853, de 8/7/2019)

Art. 5º Para os fins desta Lei, considera-se:

I – dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

II – dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

III – dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

IV – banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico;

V – titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;

VI – controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais;

VII – operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador;

VIII – encarregado: pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD); (Inciso com redação dada pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

IX – agentes de tratamento: o controlador e o operador;

X – tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

XI – anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo;

XII – consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada;

XIII – bloqueio: suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou do banco de dados;

XIV – eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado;

XV – transferência internacional de dados: transferência de dados pessoais para país estrangeiro ou organismo internacional do qual o país seja membro;

XVI – uso compartilhado de dados: comunicação, difusão, transferência internacional, interconexão de dados pessoais ou tratamento compartilhado de bancos de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, reciprocamente, com autorização específica, para uma ou mais modalidades de tratamento permitidas por esses entes públicos, ou entre entes privados;

XVII – relatório de impacto à proteção de dados pessoais: documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco;

XVIII – órgão de pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico; e (Inciso com redação dada pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

XIX – autoridade nacional: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento desta Lei em todo o território nacional. (Inciso com redação dada pela Medida Provisória nº 869, de 27/12/2018, e alterado pela Lei nº 13.853, de 8/7/2019, na qual foi convertida a referida medida provisória)

Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes princípios:

I – finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

II – adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;

III – necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;

IV – livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;

V – qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;

VI – transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;

VII – segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

VIII – prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

IX – não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;

X – responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

CAPÍTULO II
DO TRATAMENTO DE DADOS PESSOAIS

Seção I
Dos Requisitos para o Tratamento de Dados Pessoais

Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:

I – mediante o fornecimento de consentimento pelo titular;

II – para o cumprimento de obrigação legal ou regulatória pelo controlador;

III – pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV desta Lei;

IV – para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

V – quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados;

VI – para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);

VII – para a proteção da vida ou da incolumidade física do titular ou de terceiro;

VIII – para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; (Inciso com redação dada pela Lei nº 13.853, de 8/7/2019)

IX – quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou

X – para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente.

§ 1º (Revogado pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

§ 2º (Revogado pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

§ 3º O tratamento de dados pessoais cujo acesso é público deve considerar a finalidade, a boa-fé e o interesse público que justificaram sua disponibilização.

§ 4º É dispensada a exigência do consentimento previsto no caput deste artigo para os dados tornados manifestamente públicos pelo titular, resguardados os direitos do titular e os princípios previstos nesta Lei.

§ 5º O controlador que obteve o consentimento referido no inciso I do caput deste artigo que necessitar comunicar ou compartilhar dados pessoais com outros controladores deverá obter consentimento específico do titular para esse fim, ressalvadas as hipóteses de dispensa do consentimento previstas nesta Lei.

§ 6º A eventual dispensa da exigência do consentimento não desobriga os agentes de tratamento das demais obrigações previstas nesta Lei, especialmente da observância dos princípios gerais e da garantia dos direitos do titular.

§ 7º O tratamento posterior dos dados pessoais a que se referem os §§ 3º e 4º deste artigo poderá ser realizado para novas finalidades, desde que observados os propósitos legítimos e específicos para o novo tratamento e a preservação dos direitos do titular, assim como os fundamentos e os princípios previstos nesta Lei. (Parágrafo acrescido pela Lei nº 13.853, de 8/7/2019)

Art. 8º O consentimento previsto no inciso I do art. 7º desta Lei deverá ser fornecido por escrito ou por outro meio que demonstre a manifestação de vontade do titular.

§ 1º Caso o consentimento seja fornecido por escrito, esse deverá constar de cláusula destacada das demais cláusulas contratuais.

§ 2º Cabe ao controlador o ônus da prova de que o consentimento foi obtido em conformidade com o disposto nesta Lei.

§ 3º É vedado o tratamento de dados pessoais mediante vício de consentimento.

§ 4º O consentimento deverá referir-se a finalidades determinadas, e as autorizações genéricas para o tratamento de dados pessoais serão nulas.

§ 5º O consentimento pode ser revogado a qualquer momento mediante manifestação expressa do titular, por procedimento gratuito e facilitado, ratificados os tratamentos realizados sob amparo do consentimento anteriormente manifestado enquanto não houver requerimento de eliminação, nos termos do inciso VI do caput do art. 18 desta Lei.

§ 6º Em caso de alteração de informação referida nos incisos I, II, III ou V do art. 9º desta Lei, o controlador deverá informar ao titular, com destaque de forma específica do teor das alterações, podendo o titular, nos casos em que o seu consentimento é exigido, revogá-lo caso discorde da alteração.

Art. 9º O titular tem direito ao acesso facilitado às informações sobre o tratamento de seus dados, que deverão ser disponibilizadas de forma clara, adequada e ostensiva acerca de, entre outras características previstas em regulamentação para o atendimento do princípio do livre acesso:

I – finalidade específica do tratamento;

II – forma e duração do tratamento, observados os segredos comercial e industrial;

III – identificação do controlador;

IV – informações de contato do controlador;

V – informações acerca do uso compartilhado de dados pelo controlador e a finalidade;

VI – responsabilidades dos agentes que realizarão o tratamento; e

VII – direitos do titular, com menção explícita aos direitos contidos no art. 18 desta Lei.

§ 1º Na hipótese em que o consentimento é requerido, esse será considerado nulo caso as informações fornecidas ao titular tenham conteúdo enganoso ou abusivo ou não tenham sido apresentadas previamente com transparência, de forma clara e inequívoca.

§ 2º Na hipótese em que o consentimento é requerido, se houver mudanças da finalidade para o tratamento de dados pessoais não compatíveis com o consentimento original, o controlador deverá informar previamente o titular sobre as mudanças de finalidade, podendo o titular revogar o consentimento, caso discorde das alterações.

§ 3º Quando o tratamento de dados pessoais for condição para o fornecimento de produto ou de serviço ou para o exercício de direito, o titular será informado com destaque sobre esse fato e sobre os meios pelos quais poderá exercer os direitos do titular elencados no art. 18 desta Lei.

Art. 10. O legítimo interesse do controlador somente poderá fundamentar tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas, que incluem, mas não se limitam a:

I – apoio e promoção de atividades do controlador; e

II – proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais, nos termos desta Lei.

§ 1º Quando o tratamento for baseado no legítimo interesse do controlador, somente os dados pessoais estritamente necessários para a finalidade pretendida poderão ser tratados.

§ 2º O controlador deverá adotar medidas para garantir a transparência do tratamento de dados baseado em seu legítimo interesse.

§ 3º A autoridade nacional poderá solicitar ao controlador relatório de impacto à proteção de dados pessoais, quando o tratamento tiver como fundamento seu interesse legítimo, observados os segredos comercial e industrial.

Seção II
Do Tratamento de Dados Pessoais Sensíveis

Art. 11. O tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses:

I – quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;

II – sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:

a) cumprimento de obrigação legal ou regulatória pelo controlador;

b) tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;

c) realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;

d) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);

e) proteção da vida ou da incolumidade física do titular ou de terceiro;

f) tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou (Alínea com redação dada pela Lei nº 13.853, de 8/7/2019)

g) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9º desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.

§ 1º Aplica-se o disposto neste artigo a qualquer tratamento de dados pessoais que revele dados pessoais sensíveis e que possa causar dano ao titular, ressalvado o disposto em legislação específica.

§ 2º Nos casos de aplicação do disposto nas alíneas a e b do inciso II do caput deste artigo pelos órgãos e pelas entidades públicas, será dada publicidade à referida dispensa de consentimento, nos termos do inciso I do caput do art. 23 desta Lei.

§ 3º A comunicação ou o uso compartilhado de dados pessoais sensíveis entre controladores com objetivo de obter vantagem econômica poderá ser objeto de vedação ou de regulamentação por parte da autoridade nacional, ouvidos os órgãos setoriais do Poder Público, no âmbito de suas competências.

§ 4º É vedada a comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, exceto nas hipóteses relativas a prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde, desde que observado o § 5º deste artigo, incluídos os serviços auxiliares de diagnose e terapia, em benefício dos interesses dos titulares de dados, e para permitir:

I – a portabilidade de dados quando solicitada pelo titular; ou

II – as transações financeiras e administrativas resultantes do uso e da prestação dos serviços de que trata este parágrafo. (Inciso com redação dada pela Medida Provisória nº 869, de 27/12/2018, e alterado pela Lei nº 13.853, de 8/7/2019, na qual foi convertida a referida medida provisória)

§ 5º É vedado às operadoras de planos privados de assistência à saúde o tratamento de dados de saúde para a prática de seleção de riscos na contratação de qualquer modalidade, assim como na contratação e exclusão de beneficiários. (Parágrafo acrescido pela Lei nº 13.853, de 8/7/2019)

Art. 12. Os dados anonimizados não serão considerados dados pessoais para os fins desta Lei, salvo quando o processo de anonimização ao qual foram submetidos for revertido, utilizando exclusivamente meios próprios, ou quando, com esforços razoáveis, puder ser revertido.

§ 1º A determinação do que seja razoável deve levar em consideração fatores objetivos, tais como custo e tempo necessários para reverter o processo de anonimização, de acordo com as tecnologias disponíveis, e a utilização exclusiva de meios próprios.

§ 2º Poderão ser igualmente considerados como dados pessoais, para os fins desta Lei, aqueles utilizados para formação do perfil comportamental de determinada pessoa natural, se identificada.

§ 3º A autoridade nacional poderá dispor sobre padrões e técnicas utilizados em processos de anonimização e realizar verificações acerca de sua segurança, ouvido o Conselho Nacional de Proteção de Dados Pessoais.

Art. 13. Na realização de estudos em saúde pública, os órgãos de pesquisa poderão ter acesso a bases de dados pessoais, que serão tratados exclusivamente dentro do órgão e estritamente para a finalidade de realização de estudos e pesquisas e mantidos em ambiente controlado e seguro, conforme práticas de segurança previstas em regulamento específico e que incluam, sempre que possível, a anonimização ou pseudonimização dos dados, bem como considerem os devidos padrões éticos relacionados a estudos e pesquisas.

§ 1º A divulgação dos resultados ou de qualquer excerto do estudo ou da pesquisa de que trata o caput deste artigo em nenhuma hipótese poderá revelar dados pessoais.

§ 2º O órgão de pesquisa será o responsável pela segurança da informação prevista no caput deste artigo, não permitida, em circunstância alguma, a transferência dos dados a terceiro.

§ 3º O acesso aos dados de que trata este artigo será objeto de regulamentação por parte da autoridade nacional e das autoridades da área de saúde e sanitárias, no âmbito de suas competências.

§ 4º Para os efeitos deste artigo, a pseudonimização é o tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro.

Seção III
Do Tratamento de Dados Pessoais de Crianças e de Adolescentes

Art. 14. O tratamento de dados pessoais de crianças e de adolescentes deverá ser realizado em seu melhor interesse, nos termos deste artigo e da legislação pertinente.

§ 1º O tratamento de dados pessoais de crianças deverá ser realizado com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.

§ 2º No tratamento de dados de que trata o § 1º deste artigo, os controladores deverão manter pública a informação sobre os tipos de dados coletados, a forma de sua utilização e os procedimentos para o exercício dos direitos a que se refere o art. 18 desta Lei.

§ 3º Poderão ser coletados dados pessoais de crianças sem o consentimento a que se refere o § 1º deste artigo quando a coleta for necessária para contatar os pais ou o responsável legal, utilizados uma única vez e sem armazenamento, ou para sua proteção, e em nenhum caso poderão ser repassados a terceiro sem o consentimento de que trata o § 1º deste artigo.

§ 4º Os controladores não deverão condicionar a participação dos titulares de que trata o § 1º deste artigo em jogos, aplicações de internet ou outras atividades ao fornecimento de informações pessoais além das estritamente necessárias à atividade.

§ 5º O controlador deve realizar todos os esforços razoáveis para verificar que o consentimento a que se refere o § 1º deste artigo foi dado pelo responsável pela criança, consideradas as tecnologias disponíveis.

§ 6º As informações sobre o tratamento de dados referidas neste artigo deverão ser fornecidas de maneira simples, clara e acessível, consideradas as características físico-motoras, perceptivas, sensoriais, intelectuais e mentais do usuário, com uso de recursos audiovisuais quando adequado, de forma a proporcionar a informação necessária aos pais ou ao responsável legal e adequada ao entendimento da criança.

Seção IV
Do Término do Tratamento de Dados

Art. 15. O término do tratamento de dados pessoais ocorrerá nas seguintes hipóteses:

I – verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;

II – fim do período de tratamento;

III – comunicação do titular, inclusive no exercício de seu direito de revogação do consentimento conforme disposto no § 5º do art. 8º desta Lei, resguardado o interesse público; ou

IV – determinação da autoridade nacional, quando houver violação ao disposto nesta Lei.

Art. 16. Os dados pessoais serão eliminados após o término de seu tratamento, no âmbito e nos limites técnicos das atividades, autorizada a conservação para as seguintes finalidades:

I – cumprimento de obrigação legal ou regulatória pelo controlador;

II – estudo por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais;

III – transferência a terceiro, desde que respeitados os requisitos de tratamento de dados dispostos nesta Lei; ou

IV – uso exclusivo do controlador, vedado seu acesso por terceiro, e desde que anonimizados os dados.

CAPÍTULO III
DOS DIREITOS DO TITULAR

Art. 17. Toda pessoa natural tem assegurada a titularidade de seus dados pessoais e garantidos os direitos fundamentais de liberdade, de intimidade e de privacidade, nos termos desta Lei.

Art. 18. O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição:

I – confirmação da existência de tratamento;

II – acesso aos dados;

III – correção de dados incompletos, inexatos ou desatualizados;

IV – anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei;

V – portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial; (Inciso com redação dada pela Lei nº 13.853, de 8/7/2019)

VI – eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 desta Lei;

VII – informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;

VIII – informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;

IX – revogação do consentimento, nos termos do § 5º do art. 8º desta Lei.

§ 1º O titular dos dados pessoais tem o direito de peticionar em relação aos seus dados contra o controlador perante a autoridade nacional.

§ 2º O titular pode opor-se a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto nesta Lei.

§ 3º Os direitos previstos neste artigo serão exercidos mediante requerimento expresso do titular ou de representante legalmente constituído, a agente de tratamento.

§ 4º Em caso de impossibilidade de adoção imediata da providência de que trata o § 3º deste artigo, o controlador enviará ao titular resposta em que poderá:

I – comunicar que não é agente de tratamento dos dados e indicar, sempre que possível, o agente; ou

II – indicar as razões de fato ou de direito que impedem a adoção imediata da providência.

§ 5º O requerimento referido no § 3º deste artigo será atendido sem custos para o titular, nos prazos e nos termos previstos em regulamento.

§ 6º O responsável deverá informar, de maneira imediata, aos agentes de tratamento com os quais tenha realizado uso compartilhado de dados a correção, a eliminação, a anonimização ou o bloqueio dos dados, para que repitam idêntico procedimento, exceto nos casos em que esta comunicação seja comprovadamente impossível ou implique esforço desproporcional. (Parágrafo com redação dada pela Lei nº 13.853, de 8/7/2019)

§ 7º A portabilidade dos dados pessoais a que se refere o inciso V do caput deste artigo não inclui dados que já tenham sido anonimizados pelo controlador.

§ 8º O direito a que se refere o § 1º deste artigo também poderá ser exercido perante os organismos de defesa do consumidor.

Art. 19. A confirmação de existência ou o acesso a dados pessoais serão providenciados, mediante requisição do titular:

I – em formato simplificado, imediatamente; ou

II – por meio de declaração clara e completa, que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, observados os segredos comercial e industrial, fornecida no prazo de até 15 (quinze) dias, contado da data do requerimento do titular.

§ 1º Os dados pessoais serão armazenados em formato que favoreça o exercício do direito de acesso.

§ 2º As informações e os dados poderão ser fornecidos, a critério do titular:

I – por meio eletrônico, seguro e idôneo para esse fim; ou

II – sob forma impressa.

§ 3º Quando o tratamento tiver origem no consentimento do titular ou em contrato, o titular poderá solicitar cópia eletrônica integral de seus dados pessoais, observados os segredos comercial e industrial, nos termos de regulamentação da autoridade nacional, em formato que permita a sua utilização subsequente, inclusive em outras operações de tratamento.

§ 4º A autoridade nacional poderá dispor de forma diferenciada acerca dos prazos previstos nos incisos I e II do caput deste artigo para os setores específicos.

Art. 20. O titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade. (Caput do artigo com redação dada pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

§ 1º O controlador deverá fornecer, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial.

§ 2º Em caso de não oferecimento de informações de que trata o § 1º deste artigo baseado na observância de segredo comercial e industrial, a autoridade nacional poderá realizar auditoria para verificação de aspectos discriminatórios em tratamento automatizado de dados pessoais.

§ 3º (Vetado na Lei nº 13.853, de 8/7/2019)

Art. 21. Os dados pessoais referentes ao exercício regular de direitos pelo titular não podem ser utilizados em seu prejuízo.

Art. 22. A defesa dos interesses e dos direitos dos titulares de dados poderá ser exercida em juízo, individual ou coletivamente, na forma do disposto na legislação pertinente, acerca dos instrumentos de tutela individual e coletiva.

CAPÍTULO IV
DO TRATAMENTO DE DADOS PESSOAIS PELO PODER PÚBLICO

Seção I
Das Regras

Art. 23. O tratamento de dados pessoais pelas pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação), deverá ser realizado para o atendimento de sua finalidade pública, na persecução do interesse público, com o objetivo de executar as competências legais ou cumprir as atribuições legais do serviço público, desde que:

I – sejam informadas as hipóteses em que, no exercício de suas competências, realizam o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos;

II – (Vetado)

III – seja indicado um encarregado quando realizarem operações de tratamento de dados pessoais, nos termos do art. 39 desta Lei. (Inciso com redação dada pela Lei nº 13.853, de 8/7/2019)

IV – (Vetado na Lei nº 13.853, de 8/7/2019)

§ 1º A autoridade nacional poderá dispor sobre as formas de publicidade das operações de tratamento.

§ 2º O disposto nesta Lei não dispensa as pessoas jurídicas mencionadas no caput deste artigo de instituir as autoridades de que trata a Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação).

§ 3º Os prazos e procedimentos para exercício dos direitos do titular perante o Poder Público observarão o disposto em legislação específica, em especial as disposições constantes da Lei nº 9.507, de 12 de novembro de 1997 (Lei do Habeas Data), da Lei nº 9.784, de 29 de janeiro de 1999 (Lei Geral do Processo Administrativo), e da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação).

§ 4º Os serviços notariais e de registro exercidos em caráter privado, por delegação do Poder Público, terão o mesmo tratamento dispensado às pessoas jurídicas referidas no caput deste artigo, nos termos desta Lei.

§ 5º Os órgãos notariais e de registro devem fornecer acesso aos dados por meio eletrônico para a administração pública, tendo em vista as finalidades de que trata o caput deste artigo.

Art. 24. As empresas públicas e as sociedades de economia mista que atuam em regime de concorrência, sujeitas ao disposto no art. 173 da Constituição Federal, terão o mesmo tratamento dispensado às pessoas jurídicas de direito privado particulares, nos termos desta Lei.

Parágrafo único. As empresas públicas e as sociedades de economia mista, quando estiverem operacionalizando políticas públicas e no âmbito da execução delas, terão o mesmo tratamento dispensado aos órgãos e às entidades do Poder Público, nos termos deste Capítulo.

Art. 25. Os dados deverão ser mantidos em formato interoperável e estruturado para o uso compartilhado, com vistas à execução de políticas públicas, à prestação de serviços públicos, à descentralização da atividade pública e à disseminação e ao acesso das informações pelo público em geral.

Art. 26. O uso compartilhado de dados pessoais pelo Poder Público deve atender a finalidades específicas de execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, respeitados os princípios de proteção de dados pessoais elencados no art. 6º desta Lei.

§ 1º É vedado ao Poder Público transferir a entidades privadas dados pessoais constantes de bases de dados a que tenha acesso, exceto:

I – em casos de execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado, observado o disposto na Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação);

II – (Vetado)

III – nos casos em que os dados forem acessíveis publicamente, observadas as disposições desta Lei;

IV – quando houver previsão legal ou a transferência for respaldada em contratos, convênios ou instrumentos congêneres; ou (Inciso acrescido pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

V – na hipótese de a transferência dos dados objetivar exclusivamente a prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados, desde que vedado o tratamento para outras finalidades. (Inciso acrescido pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

§ 2º Os contratos e convênios de que trata o § 1º deste artigo deverão ser comunicados à autoridade nacional.

Art. 27. A comunicação ou o uso compartilhado de dados pessoais de pessoa jurídica de direito público a pessoa de direito privado será informado à autoridade nacional e dependerá de consentimento do titular, exceto:

I – nas hipóteses de dispensa de consentimento previstas nesta Lei;

II – nos casos de uso compartilhado de dados, em que será dada publicidade nos termos do inciso I do caput do art. 23 desta Lei; ou

III – nas exceções constantes do § 1º do art. 26 desta Lei.

Parágrafo único. A informação à autoridade nacional de que trata o caput deste artigo será objeto de regulamentação. (Parágrafo único acrescido pela Lei nº 13.853, de 8/7/2019)

Art. 28. (Vetado)

Art. 29. A autoridade nacional poderá solicitar, a qualquer momento, aos órgãos e às entidades do poder público a realização de operações de tratamento de dados pessoais, informações específicas sobre o âmbito e a natureza dos dados e outros detalhes do tratamento realizado e poderá emitir parecer técnico complementar para garantir o cumprimento desta Lei. (Artigo com redação dada pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

Art. 30. A autoridade nacional poderá estabelecer normas complementares para as atividades de comunicação e de uso compartilhado de dados pessoais.

Seção II
Da Responsabilidade

Art. 31. Quando houver infração a esta Lei em decorrência do tratamento de dados pessoais por órgãos públicos, a autoridade nacional poderá enviar informe com medidas cabíveis para fazer cessar a violação.

Art. 32. A autoridade nacional poderá solicitar a agentes do Poder Público a publicação de relatórios de impacto à proteção de dados pessoais e sugerir a adoção de padrões e de boas práticas para os tratamentos de dados pessoais pelo Poder Público.

CAPÍTULO V
DA TRANSFERÊNCIA INTERNACIONAL DE DADOS

Art. 33. A transferência internacional de dados pessoais somente é permitida nos seguintes casos:

I – para países ou organismos internacionais que proporcionem grau de proteção de dados pessoais adequado ao previsto nesta Lei;

II – quando o controlador oferecer e comprovar garantias de cumprimento dos princípios, dos direitos do titular e do regime de proteção de dados previstos nesta Lei, na forma de:

a) cláusulas contratuais específicas para determinada transferência;

b) cláusulas-padrão contratuais;

c) normas corporativas globais;

d) selos, certificados e códigos de conduta regularmente emitidos;

III – quando a transferência for necessária para a cooperação jurídica internacional entre órgãos públicos de inteligência, de investigação e de persecução, de acordo com os instrumentos de direito internacional;

IV – quando a transferência for necessária para a proteção da vida ou da incolumidade física do titular ou de terceiro;

V – quando a autoridade nacional autorizar a transferência;

VI – quando a transferência resultar em compromisso assumido em acordo de cooperação internacional;

VII – quando a transferência for necessária para a execução de política pública ou atribuição legal do serviço público, sendo dada publicidade nos termos do inciso I do caput do art. 23 desta Lei;

VIII – quando o titular tiver fornecido o seu consentimento específico e em destaque para a transferência, com informação prévia sobre o caráter internacional da operação, distinguindo claramente esta de outras finalidades; ou

IX – quando necessário para atender as hipóteses previstas nos incisos II, V e VI do art. 7º desta Lei.

Parágrafo único. Para os fins do inciso I deste artigo, as pessoas jurídicas de direito público referidas no parágrafo único do art. 1º da Lei nº 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação), no âmbito de suas competências legais, e responsáveis, no âmbito de suas atividades, poderão requerer à autoridade nacional a avaliação do nível de proteção a dados pessoais conferido por país ou organismo internacional.

Art. 34. O nível de proteção de dados do país estrangeiro ou do organismo internacional mencionado no inciso I do caput do art. 33 desta Lei será avaliado pela autoridade nacional, que levará em consideração:

I – as normas gerais e setoriais da legislação em vigor no país de destino ou no organismo internacional;

II – a natureza dos dados;

III – a observância dos princípios gerais de proteção de dados pessoais e direitos dos titulares previstos nesta Lei;

IV – a adoção de medidas de segurança previstas em regulamento;

V – a existência de garantias judiciais e institucionais para o respeito aos direitos de proteção de dados pessoais; e

VI – outras circunstâncias específicas relativas à transferência.

Art. 35. A definição do conteúdo de cláusulas-padrão contratuais, bem como a verificação de cláusulas contratuais específicas para uma determinada transferência, normas corporativas globais ou selos, certificados e códigos de conduta, a que se refere o inciso II do caput do art. 33 desta Lei, será realizada pela autoridade nacional.

§ 1º Para a verificação do disposto no caput deste artigo, deverão ser considerados os requisitos, as condições e as garantias mínimas para a transferência que observem os direitos, as garantias e os princípios desta Lei.

§ 2º Na análise de cláusulas contratuais, de documentos ou de normas corporativas globais submetidas à aprovação da autoridade nacional, poderão ser requeridas informações suplementares ou realizadas diligências de verificação quanto às operações de tratamento, quando necessário.

§ 3º A autoridade nacional poderá designar organismos de certificação para a realização do previsto no caput deste artigo, que permanecerão sob sua fiscalização nos termos definidos em regulamento.

§ 4º Os atos realizados por organismo de certificação poderão ser revistos pela autoridade nacional e, caso em desconformidade com esta Lei, submetidos a revisão ou anulados.

§ 5º As garantias suficientes de observância dos princípios gerais de proteção e dos direitos do titular referidas no caput deste artigo serão também analisadas de acordo com as medidas técnicas e organizacionais adotadas pelo operador, de acordo com o previsto nos §§ 1º e 2º do art. 46 desta Lei.

Art. 36. As alterações nas garantias apresentadas como suficientes de observância dos princípios gerais de proteção e dos direitos do titular referidas no inciso II do art. 33 desta Lei deverão ser comunicadas à autoridade nacional.

CAPÍTULO VI
DOS AGENTES DE TRATAMENTO DE DADOS PESSOAIS

Seção I
Do Controlador e do Operador

Art. 37. O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse.

Art. 38. A autoridade nacional poderá determinar ao controlador que elabore relatório de impacto à proteção de dados pessoais, inclusive de dados sensíveis, referente a suas operações de tratamento de dados, nos termos de regulamento, observados os segredos comercial e industrial.

Parágrafo único. Observado o disposto no caput deste artigo, o relatório deverá conter, no mínimo, a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados.

Art. 39. O operador deverá realizar o tratamento segundo as instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria.

Art. 40. A autoridade nacional poderá dispor sobre padrões de interoperabilidade para fins de portabilidade, livre acesso aos dados e segurança, assim como sobre o tempo de guarda dos registros, tendo em vista especialmente a necessidade e a transparência.

Seção II
Do Encarregado pelo Tratamento de Dados Pessoais

Art. 41. O controlador deverá indicar encarregado pelo tratamento de dados pessoais.

§ 1º A identidade e as informações de contato do encarregado deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador.

§ 2º As atividades do encarregado consistem em:

I – aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II – receber comunicações da autoridade nacional e adotar providências;

III – orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e

IV – executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

§ 3º A autoridade nacional poderá estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados.

§ 4º (Vetado na Lei nº 13.853, de 8/7/2019)

Seção III
Da Responsabilidade e do Ressarcimento de Danos

Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo.

§ 1º A fim de assegurar a efetiva indenização ao titular dos dados:

I – o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei;

II – os controladores que estiverem diretamente envolvidos no tratamento do qual decorreram danos ao titular dos dados respondem solidariamente, salvo nos casos de exclusão previstos no art. 43 desta Lei.

§ 2º O juiz, no processo civil, poderá inverter o ônus da prova a favor do titular dos dados quando, a seu juízo, for verossímil a alegação, houver hipossuficiência para fins de produção de prova ou quando a produção de prova pelo titular resultar-lhe excessivamente onerosa.

§ 3º As ações de reparação por danos coletivos que tenham por objeto a responsabilização nos termos do caput deste artigo podem ser exercidas coletivamente em juízo, observado o disposto na legislação pertinente.

§ 4º Aquele que reparar o dano ao titular tem direito de regresso contra os demais responsáveis, na medida de sua participação no evento danoso.

Art. 43. Os agentes de tratamento só não serão responsabilizados quando provarem:

I – que não realizaram o tratamento de dados pessoais que lhes é atribuído;

II – que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou

III – que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro.

Art. 44. O tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais:

I – o modo pelo qual é realizado;

II – o resultado e os riscos que razoavelmente dele se esperam;

III – as técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado.

Parágrafo único. Responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta Lei, der causa ao dano.

Art. 45. As hipóteses de violação do direito do titular no âmbito das relações de consumo permanecem sujeitas às regras de responsabilidade previstas na legislação pertinente.

CAPÍTULO VII
DA SEGURANÇA E DAS BOAS PRÁTICAS

Seção I
Da Segurança e do Sigilo de Dados

Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

§ 1º A autoridade nacional poderá dispor sobre padrões técnicos mínimos para tornar aplicável o disposto no caput deste artigo, considerados a natureza das informações tratadas, as características específicas do tratamento e o estado atual da tecnologia, especialmente no caso de dados pessoais sensíveis, assim como os princípios previstos no caput do art. 6º desta Lei.

§ 2º As medidas de que trata o caput deste artigo deverão ser observadas desde a fase de concepção do produto ou do serviço até a sua execução.

Art. 47. Os agentes de tratamento ou qualquer outra pessoa que intervenha em uma das fases do tratamento obriga-se a garantir a segurança da informação prevista nesta Lei em relação aos dados pessoais, mesmo após o seu término.

Art. 48. O controlador deverá comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares.

§ 1º A comunicação será feita em prazo razoável, conforme definido pela autoridade nacional, e deverá mencionar, no mínimo:

I – a descrição da natureza dos dados pessoais afetados;

II – as informações sobre os titulares envolvidos;

III – a indicação das medidas técnicas e de segurança utilizadas para a proteção dos dados, observados os segredos comercial e industrial;

IV – os riscos relacionados ao incidente;

V – os motivos da demora, no caso de a comunicação não ter sido imediata; e

VI – as medidas que foram ou que serão adotadas para reverter ou mitigar os efeitos do prejuízo.

§ 2º A autoridade nacional verificará a gravidade do incidente e poderá, caso necessário para a salvaguarda dos direitos dos titulares, determinar ao controlador a adoção de providências, tais como:

I – ampla divulgação do fato em meios de comunicação; e

II – medidas para reverter ou mitigar os efeitos do incidente.

§ 3º No juízo de gravidade do incidente, será avaliada eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados pessoais afetados ininteligíveis, no âmbito e nos limites técnicos de seus serviços, para terceiros não autorizados a acessá-los.

Art. 49. Os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos nesta Lei e às demais normas regulamentares.

Seção II
Das Boas Práticas e da Governança

Art. 50. Os controladores e operadores, no âmbito de suas competências, pelo tratamento de dados pessoais, individualmente ou por meio de associações, poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais.

§ 1º Ao estabelecer regras de boas práticas, o controlador e o operador levarão em consideração, em relação ao tratamento e aos dados, a natureza, o escopo, a finalidade e a probabilidade e a gravidade dos riscos e dos benefícios decorrentes de tratamento de dados do titular.

§ 2º Na aplicação dos princípios indicados nos incisos VII e VIII do caput do art. 6º desta Lei, o controlador, observados a estrutura, a escala e o volume de suas operações, bem como a sensibilidade dos dados tratados e a probabilidade e a gravidade dos danos para os titulares dos dados, poderá:

I – implementar programa de governança em privacidade que, no mínimo:

a) demonstre o comprometimento do controlador em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais;

b) seja aplicável a todo o conjunto de dados pessoais que estejam sob seu controle, independentemente do modo como se realizou sua coleta;

c) seja adaptado à estrutura, à escala e ao volume de suas operações, bem como à sensibilidade dos dados tratados;

d) estabeleça políticas e salvaguardas adequadas com base em processo de avaliação sistemática de impactos e riscos à privacidade;

e) tenha o objetivo de estabelecer relação de confiança com o titular, por meio de atuação transparente e que assegure mecanismos de participação do titular;

f) esteja integrado a sua estrutura geral de governança e estabeleça e aplique mecanismos de supervisão internos e externos;

g) conte com planos de resposta a incidentes e remediação; e

h) seja atualizado constantemente com base em informações obtidas a partir de monitoramento contínuo e avaliações periódicas;

II – demonstrar a efetividade de seu programa de governança em privacidade quando apropriado e, em especial, a pedido da autoridade nacional ou de outra entidade responsável por promover o cumprimento de boas práticas ou códigos de conduta, os quais, de forma independente, promovam o cumprimento desta Lei.

§ 3º As regras de boas práticas e de governança deverão ser publicadas e atualizadas periodicamente e poderão ser reconhecidas e divulgadas pela autoridade nacional.

Art. 51. A autoridade nacional estimulará a adoção de padrões técnicos que facilitem o controle pelos titulares dos seus dados pessoais.

CAPÍTULO VIII
DA FISCALIZAÇÃO

Seção I
Das Sanções Administrativas

Art. 52. Os agentes de tratamento de dados, em razão das infrações cometidas às normas previstas nesta Lei, ficam sujeitos às seguintes sanções administrativas aplicáveis pela autoridade nacional: (Artigo republicado no DOU Edição Extra de 15/8/2018)

I – advertência, com indicação de prazo para adoção de medidas corretivas;

II – multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração;

III – multa diária, observado o limite total a que se refere o inciso II;

IV – publicização da infração após devidamente apurada e confirmada a sua ocorrência;

V – bloqueio dos dados pessoais a que se refere a infração até a sua regularização;

VI – eliminação dos dados pessoais a que se refere a infração;

VII – (Vetado)

VIII – (Vetado)

IX – (Vetado)

X – suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período, até a regularização da atividade de tratamento pelo controlador; (Inciso acrescido pela Lei nº 13.853, de 8/7/2019, vetado pelo presidente da República, mantido pelo Congresso Nacional e publicado no DOU de 20/12/2019)

XI – suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de 6 (seis) meses, prorrogável por igual período; (Inciso acrescido pela Lei nº 13.853, de 8/7/2019, vetado pelo presidente da República, mantido pelo Congresso Nacional e publicado no DOU de 20/12/2019)

XII – proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. (Inciso acrescido pela Lei nº 13.853, de 8/7/2019, vetado pelo presidente da República, mantido pelo Congresso Nacional e publicado no DOU de 20/12/2019)

§ 1º As sanções serão aplicadas após procedimento administrativo que possibilite a oportunidade da ampla defesa, de forma gradativa, isolada ou cumulativa, de acordo com as peculiaridades do caso concreto e considerados os seguintes parâmetros e critérios:

I – a gravidade e a natureza das infrações e dos direitos pessoais afetados;

II – a boa-fé do infrator;

III – a vantagem auferida ou pretendida pelo infrator;

IV – a condição econômica do infrator;

V – a reincidência;

VI – o grau do dano;

VII – a cooperação do infrator;

VIII – a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados, em consonância com o disposto no inciso II do § 2º do art. 48 desta Lei;

IX – a adoção de política de boas práticas e governança;

X – a pronta adoção de medidas corretivas; e

XI – a proporcionalidade entre a gravidade da falta e a intensidade da sanção.

§ 2º O disposto neste artigo não substitui a aplicação de sanções administrativas, civis ou penais definidas na Lei nº 8.078, de 11 de setembro de 1990, e em legislação específica. (Parágrafo com redação dada pela Lei nº 13.853, de 8/7/2019)

§ 3º O disposto nos incisos I, IV, V, VI, X, XI e XII do caput deste artigo poderá ser aplicado às entidades e aos órgãos públicos, sem prejuízo do disposto na Lei nº 8.112, de 11 de dezembro de 1990, na Lei nº 8.429, de 2 de junho de 1992, e na Lei nº 12.527, de 18 de novembro de 2011. (Parágrafo com redação dada pela Lei nº 13.853, de 8/7/2019, vetado pelo presidente da República, mantido pelo Congresso Nacional e publicado no DOU de 20/12/2019)

§ 4º No cálculo do valor da multa de que trata o inciso II do caput deste artigo, a autoridade nacional poderá considerar o faturamento total da empresa ou grupo de empresas, quando não dispuser do valor do faturamento no ramo de atividade empresarial em que ocorreu a infração, definido pela autoridade nacional, ou quando o valor for apresentado de forma incompleta ou não for demonstrado de forma inequívoca e idônea.

§ 5º O produto da arrecadação das multas aplicadas pela ANPD, inscritas ou não em dívida ativa, será destinado ao Fundo de Defesa de Direitos Difusos de que tratam o art. 13 da Lei nº 7.347, de 24 de julho de 1985, e a Lei nº 9.008, de 21 de março de 1995. (Parágrafo acrescido pela Lei nº 13.853, de 8/7/2019)

§ 6º As sanções previstas nos incisos X, XI e XII do caput deste artigo serão aplicadas:

I – somente após já ter sido imposta ao menos 1 (uma) das sanções de que tratam os incisos II, III, IV, V e VI do caput deste artigo para o mesmo caso concreto; e

II – em caso de controladores submetidos a outros órgãos e entidades com competências sancionatórias, ouvidos esses órgãos. (Parágrafo acrescido pela Lei nº 13.853, de 8/7/2019, vetado pelo presidente da República, mantido pelo Congresso Nacional e publicado no DOU de 20/12/2019)

§ 7º Os vazamentos individuais ou os acessos não autorizados de que trata o caput do art. 46 desta Lei poderão ser objeto de conciliação direta entre controlador e titular e, caso não haja acordo, o controlador estará sujeito à aplicação das penalidades de que trata este artigo. (Parágrafo acrescido pela Lei nº 13.853, de 8/7/2019)

Art. 53. A autoridade nacional definirá, por meio de regulamento próprio sobre sanções administrativas a infrações a esta Lei, que deverá ser objeto de consulta pública, as metodologias que orientarão o cálculo do valor-base das sanções de multa.

§ 1º As metodologias a que se refere o caput deste artigo devem ser previamente publicadas, para ciência dos agentes de tratamento, e devem apresentar objetivamente as formas e dosimetrias para o cálculo do valor-base das sanções de multa, que deverão conter fundamentação detalhada de todos os seus elementos, demonstrando a observância dos critérios previstos nesta Lei.

§ 2º O regulamento de sanções e metodologias correspondentes deve estabelecer as circunstâncias e as condições para a adoção de multa simples ou diária.

Art. 54. O valor da sanção de multa diária aplicável às infrações a esta Lei deve observar a gravidade da falta e a extensão do dano ou prejuízo causado e ser fundamentado pela autoridade nacional.

Parágrafo único. A intimação da sanção de multa diária deverá conter, no mínimo, a descrição da obrigação imposta, o prazo razoável e estipulado pelo órgão para o seu cumprimento e o valor da multa diária a ser aplicada pelo seu descumprimento.

CAPÍTULO IX
DA AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS (ANPD) E DO CONSELHO NACIONAL DE PROTEÇÃO DE DADOS PESSOAIS E DA PRIVACIDADE

Seção I
Da Autoridade Nacional de Proteção de Dados (ANPD)

Art. 55. (Vetado)

Art. 55-A. Fica criada, sem aumento de despesa, a Autoridade Nacional de Proteção de Dados (ANPD), órgão da administração pública federal, integrante da Presidência da República.

§ 1º A natureza jurídica da ANPD é transitória e poderá ser transformada pelo Poder Executivo em entidade da administração pública federal indireta, submetida a regime autárquico especial e vinculada à Presidência da República.

§ 2º A avaliação quanto à transformação de que dispõe o § 1º deste artigo deverá ocorrer em até 2 (dois) anos da data da entrada em vigor da estrutura regimental da ANPD.

§ 3º O provimento dos cargos e das funções necessários à criação e à atuação da ANPD está condicionado à expressa autorização física e financeira na lei orçamentária anual e à permissão na lei de diretrizes orçamentárias. (Artigo acrescido pela Medida Provisória nº 869, de 27/12/2018, e alterado pela Lei nº 13.853, de 8/7/2019, na qual foi convertida a referida medida provisória)

Art. 55-B. É assegurada autonomia técnica à ANPD. (Artigo acrescido pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

Art. 55-C. A ANPD é composta de:

I – Conselho Diretor, órgão máximo de direção;

II – Conselho Nacional de Proteção de Dados Pessoais e da Privacidade;

III – Corregedoria;

IV – Ouvidoria;

V – órgão de assessoramento jurídico próprio; e

VI – unidades administrativas e unidades especializadas necessárias à aplicação do disposto nesta Lei. (Artigo acrescido pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

Art. 55-D. O Conselho Diretor da ANPD será composto de 5 (cinco) diretores, incluído o Diretor-Presidente.

§ 1º Os membros do Conselho Diretor da ANPD serão escolhidos pelo Presidente da República e por ele nomeados, após aprovação pelo Senado Federal, nos termos da alínea f do inciso III do art. 52 da Constituição Federal, e ocuparão cargo em comissão do Grupo-Direção e Assessoramento Superiores (DAS), no mínimo, de nível 5.

§ 2º Os membros do Conselho Diretor serão escolhidos dentre brasileiros que tenham reputação ilibada, nível superior de educação e elevado conceito no campo de especialidade dos cargos para os quais serão nomeados.

§ 3º O mandato dos membros do Conselho Diretor será de 4 (quatro) anos.

§ 4º Os mandatos dos primeiros membros do Conselho Diretor nomeados serão de 2 (dois), de 3 (três), de 4 (quatro), de 5 (cinco) e de 6 (seis) anos, conforme estabelecido no ato de nomeação.

§ 5º Na hipótese de vacância do cargo no curso do mandato de membro do Conselho Diretor, o prazo remanescente será completado pelo sucessor. (Artigo acrescido pela Medida Provisória nº 869, de 27/12/2018, e alterado pela Lei nº 13.853, de 8/7/2019, na qual foi convertida a referida medida provisória)

Art. 55-E. Os membros do Conselho Diretor somente perderão seus cargos em virtude de renúncia, condenação judicial transitada em julgado ou pena de demissão decorrente de processo administrativo disciplinar.

§ 1º Nos termos do caput deste artigo, cabe ao Ministro de Estado Chefe da Casa Civil da Presidência da República instaurar o processo administrativo disciplinar, que será conduzido por comissão especial constituída por servidores públicos federais estáveis.

§ 2º Compete ao Presidente da República determinar o afastamento preventivo, somente quando assim recomendado pela comissão especial de que trata o § 1º deste artigo, e proferir o julgamento. (Artigo acrescido pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

Art. 55-F. Aplica-se aos membros do Conselho Diretor, após o exercício do cargo, o disposto no art. 6º da Lei nº 12.813, de 16 de maio de 2013.

Parágrafo único. A infração ao disposto no caput caracteriza ato de improbidade administrativa. (Artigo acrescido pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

Art. 55-G. Ato do Presidente da República disporá sobre a estrutura regimental da ANPD.

§ 1º Até a data de entrada em vigor de sua estrutura regimental, a ANPD receberá o apoio técnico e administrativo da Casa Civil da Presidência da República para o exercício de suas atividades.

§ 2º O Conselho Diretor disporá sobre o regimento interno da ANPD. (Artigo acrescido pela Medida Provisória nº 869, de 27/12/2018, e alterado pela Lei nº 13.853, de 8/7/2019, na qual foi convertida a referida medida provisória)

Art. 55-H. Os cargos em comissão e as funções de confiança da ANPD serão remanejados de outros órgãos e entidades do Poder Executivo federal. (Artigo acrescido pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

Art. 55-I. Os ocupantes dos cargos em comissão e das funções de confiança da ANPD serão indicados pelo Conselho Diretor e nomeados ou designados pelo Diretor-Presidente. (Artigo acrescido pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

Art. 55-J. Compete à ANPD:

I – zelar pela proteção dos dados pessoais, nos termos da legislação;

II – zelar pela observância dos segredos comercial e industrial, observada a proteção de dados pessoais e do sigilo das informações quando protegido por lei ou quando a quebra do sigilo violar os fundamentos do art. 2º desta Lei;

III – elaborar diretrizes para a Política Nacional de Proteção de Dados Pessoais e da Privacidade;

IV – fiscalizar e aplicar sanções em caso de tratamento de dados realizado em descumprimento à legislação, mediante processo administrativo que assegure o contraditório, a ampla defesa e o direito de recurso;

V – apreciar petições de titular contra controlador após comprovada pelo titular a apresentação de reclamação ao controlador não solucionada no prazo estabelecido em regulamentação;

VI – promover na população o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança;

VII – promover e elaborar estudos sobre as práticas nacionais e internacionais de proteção de dados pessoais e privacidade;

VIII – estimular a adoção de padrões para serviços e produtos que facilitem o exercício de controle dos titulares sobre seus dados pessoais, os quais deverão levar em consideração as especificidades das atividades e o porte dos responsáveis;

IX – promover ações de cooperação com autoridades de proteção de dados pessoais de outros países, de natureza internacional ou transnacional;

X – dispor sobre as formas de publicidade das operações de tratamento de dados pessoais, respeitados os segredos comercial e industrial;

XI – solicitar, a qualquer momento, às entidades do poder público que realizem operações de tratamento de dados pessoais informe específico sobre o âmbito, a natureza dos dados e os demais detalhes do tratamento realizado, com a possibilidade de emitir parecer técnico complementar para garantir o cumprimento desta Lei;

XII – elaborar relatórios de gestão anuais acerca de suas atividades;

XIII – editar regulamentos e procedimentos sobre proteção de dados pessoais e privacidade, bem como sobre relatórios de impacto à proteção de dados pessoais para os casos em que o tratamento representar alto risco à garantia dos princípios gerais de proteção de dados pessoais previstos nesta Lei;

XIV – ouvir os agentes de tratamento e a sociedade em matérias de interesse relevante e prestar contas sobre suas atividades e planejamento;

XV – arrecadar e aplicar suas receitas e publicar, no relatório de gestão a que se refere o inciso XII do caput deste artigo, o detalhamento de suas receitas e despesas;

XVI – realizar auditorias, ou determinar sua realização, no âmbito da atividade de fiscalização de que trata o inciso IV e com a devida observância do disposto no inciso II do caput deste artigo, sobre o tratamento de dados pessoais efetuado pelos agentes de tratamento, incluído o poder público;

XVII – celebrar, a qualquer momento, compromisso com agentes de tratamento para eliminar irregularidade, incerteza jurídica ou situação contenciosa no âmbito de processos administrativos, de acordo com o previsto no Decreto-Lei nº 4.657, de 4 de setembro de 1942;

XVIII – editar normas, orientações e procedimentos simplificados e diferenciados, inclusive quanto aos prazos, para que microempresas e empresas de pequeno porte, bem como iniciativas empresariais de caráter incremental ou disruptivo que se autodeclarem startups ou empresas de inovação, possam adequar-se a esta Lei;

XIX – garantir que o tratamento de dados de idosos seja efetuado de maneira simples, clara, acessível e adequada ao seu entendimento, nos termos desta Lei e da Lei nº 10.741, de 1º de outubro de 2003 (Estatuto do Idoso);

XX – deliberar, na esfera administrativa, em caráter terminativo, sobre a interpretação desta Lei, as suas competências e os casos omissos;

XXI – comunicar às autoridades competentes as infrações penais das quais tiver conhecimento;

XXII – comunicar aos órgãos de controle interno o descumprimento do disposto nesta Lei por órgãos e entidades da administração pública federal;

XXIII – articular-se com as autoridades reguladoras públicas para exercer suas competências em setores específicos de atividades econômicas e governamentais sujeitas à regulação; e

XXIV – implementar mecanismos simplificados, inclusive por meio eletrônico, para o registro de reclamações sobre o tratamento de dados pessoais em desconformidade com esta Lei.

§ 1º Ao impor condicionantes administrativas ao tratamento de dados pessoais por agente de tratamento privado, sejam eles limites, encargos ou sujeições, a ANPD deve observar a exigência de mínima intervenção, assegurados os fundamentos, os princípios e os direitos dos titulares previstos no art. 170 da Constituição Federal e nesta Lei.

§ 2º Os regulamentos e as normas editados pela ANPD devem ser precedidos de consulta e audiência públicas, bem como de análises de impacto regulatório.

§ 3º A ANPD e os órgãos e entidades públicos responsáveis pela regulação de setores específicos da atividade econômica e governamental devem coordenar suas atividades, nas correspondentes esferas de atuação, com vistas a assegurar o cumprimento de suas atribuições com a maior eficiência e promover o adequado funcionamento dos setores regulados, conforme legislação específica, e o tratamento de dados pessoais, na forma desta Lei.

§ 4º A ANPD manterá fórum permanente de comunicação, inclusive por meio de cooperação técnica, com órgãos e entidades da administração pública responsáveis pela regulação de setores específicos da atividade econômica e governamental, a fim de facilitar as competências regulatória, fiscalizatória e punitiva da ANPD.

§ 5º No exercício das competências de que trata o caput deste artigo, a autoridade competente deverá zelar pela preservação do segredo empresarial e do sigilo das informações, nos termos da lei.

§ 6º As reclamações colhidas conforme o disposto no inciso V do caput deste artigo poderão ser analisadas de forma agregada, e as eventuais providências delas decorrentes poderão ser adotadas de forma padronizada. (Artigo acrescido pela Medida Provisória nº 869, de 27/12/2018, e alterado pela Lei nº 13.853, de 8/7/2019, na qual foi convertida a referida medida provisória)

Art. 55-K. A aplicação das sanções previstas nesta Lei compete exclusivamente à ANPD, e suas competências prevalecerão, no que se refere à proteção de dados pessoais, sobre as competências correlatas de outras entidades ou órgãos da administração pública.

Parágrafo único. A ANPD articulará sua atuação com outros órgãos e entidades com competências sancionatórias e normativas afetas ao tema de proteção de dados pessoais e será o órgão central de interpretação desta Lei e do estabelecimento de normas e diretrizes para a sua implementação. (Artigo acrescido pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

Art. 55-L. Constituem receitas da ANPD:

I – as dotações, consignadas no orçamento geral da União, os créditos especiais, os créditos adicionais, as transferências e os repasses que lhe forem conferidos;

II – as doações, os legados, as subvenções e outros recursos que lhe forem destinados;

III – os valores apurados na venda ou aluguel de bens móveis e imóveis de sua propriedade;

IV – os valores apurados em aplicações no mercado financeiro das receitas previstas neste artigo;

V – (Vetado)

VI – os recursos provenientes de acordos, convênios ou contratos celebrados com entidades, organismos ou empresas, públicos ou privados, nacionais ou internacionais;

VII – o produto da venda de publicações, material técnico, dados e informações, inclusive para fins de licitação pública. (Artigo acrescido pela Lei nº 13.853, de 8/7/2019)

Art. 56. (Vetado)

Art. 57. (Vetado)

Seção II
Do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade

Art. 58. (Vetado)

Art. 58-A. O Conselho Nacional de Proteção de Dados Pessoais e da Privacidade será composto de 23 (vinte e três) representantes, titulares e suplentes, dos seguintes órgãos:

I – 5 (cinco) do Poder Executivo federal;

II – 1 (um) do Senado Federal;

III – 1 (um) da Câmara dos Deputados;

IV – 1 (um) do Conselho Nacional de Justiça;

V – 1 (um) do Conselho Nacional do Ministério Público;

VI – 1 (um) do Comitê Gestor da Internet no Brasil;

VII – 3 (três) de entidades da sociedade civil com atuação relacionada a proteção de dados pessoais;

VIII – 3 (três) de instituições científicas, tecnológicas e de inovação;

IX – 3 (três) de confederações sindicais representativas das categorias econômicas do setor produtivo;

X – 2 (dois) de entidades representativas do setor empresarial relacionado à área de tratamento de dados pessoais; e

XI – 2 (dois) de entidades representativas do setor laboral.

§ 1º Os representantes serão designados por ato do Presidente da República, permitida a delegação.

§ 2º Os representantes de que tratam os incisos I, II, III, IV, V e VI do caput deste artigo e seus suplentes serão indicados pelos titulares dos respectivos órgãos e entidades da administração pública.

§ 3º Os representantes de que tratam os incisos VII, VIII, IX, X e XI do caput deste artigo e seus suplentes:

I – serão indicados na forma de regulamento;

II – não poderão ser membros do Comitê Gestor da Internet no Brasil;

III – terão mandato de 2 (dois) anos, permitida 1 (uma) recondução.

§ 4º A participação no Conselho Nacional de Proteção de Dados Pessoais e da Privacidade será considerada prestação de serviço público relevante, não remunerada. (Artigo acrescido pela Medida Provisória nº 869, de 27/12/2018, e alterado pela Lei nº 13.853, de 8/7/2019, na qual foi convertida a referida medida provisória)

Art. 58-B. Compete ao Conselho Nacional de Proteção de Dados Pessoais e da Privacidade:

I – propor diretrizes estratégicas e fornecer subsídios para a elaboração da Política Nacional de Proteção de Dados Pessoais e da Privacidade e para a atuação da ANPD;

II – elaborar relatórios anuais de avaliação da execução das ações da Política Nacional de Proteção de Dados Pessoais e da Privacidade;

III – sugerir ações a serem realizadas pela ANPD;

IV – elaborar estudos e realizar debates e audiências públicas sobre a proteção de dados pessoais e da privacidade; e

V – disseminar o conhecimento sobre a proteção de dados pessoais e da privacidade à população. (Artigo acrescido pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

Art. 59. (Vetado)

CAPÍTULO X
DISPOSIÇÕES FINAIS E TRANSITÓRIAS

Art. 60. A Lei nº 12.965, de 23 de abril de 2014 (Marco Civil da Internet), passa a vigorar com as seguintes alterações:

Art. 7º [...]

[...]

X – exclusão definitiva dos dados pessoais que tiver fornecido a determinada aplicação de internet, a seu requerimento, ao término da relação entre as partes, ressalvadas as hipóteses de guarda obrigatória de registros previstas nesta Lei e na que dispõe sobre a proteção de dados pessoais;

[...]

Art. 16. [...]

[...]

II – de dados pessoais que sejam excessivos em relação à finalidade para a qual foi dado consentimento pelo seu titular, exceto nas hipóteses previstas na Lei que dispõe sobre a proteção de dados pessoais.

Art. 61. A empresa estrangeira será notificada e intimada de todos os atos processuais previstos nesta Lei, independentemente de procuração ou de disposição contratual ou estatutária, na pessoa do agente ou representante ou pessoa responsável por sua filial, agência, sucursal, estabelecimento ou escritório instalado no Brasil.

Art. 62. A autoridade nacional e o Instituto Nacional de Estudos e Pesquisas Educacionais Anísio Teixeira (Inep), no âmbito de suas competências, editarão regulamentos específicos para o acesso a dados tratados pela União para o cumprimento do disposto no § 2º do art. 9º da Lei nº 9.394, de 20 de dezembro de 1996 (Lei de Diretrizes e Bases da Educação Nacional), e aos referentes ao Sistema Nacional de Avaliação da Educação Superior (Sinaes), de que trata a Lei nº 10.861, de 14 de abril de 2004.

Art. 63. A autoridade nacional estabelecerá normas sobre a adequação progressiva de bancos de dados constituídos até a data de entrada em vigor desta Lei, consideradas a complexidade das operações de tratamento e a natureza dos dados.

Art. 64. Os direitos e princípios expressos nesta Lei não excluem outros previstos no ordenamento jurídico pátrio relacionados à matéria ou nos tratados internacionais em que a República Federativa do Brasil seja parte.

Art. 65. Esta Lei entra em vigor: (Caput do artigo com redação dada pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

I – dia 28 de dezembro de 2018, quanto aos arts. 55-A, 55-B, 55-C, 55-D, 55-E, 55-F, 55-G, 55-H, 55-I, 55-J, 55-K, 55-L, 58-A e 58-B; e (Inciso acrescido pela Medida Provisória nº 869, de 27/12/2018, e alterado pela Lei nº 13.853, de 8/7/2019, na qual foi convertida a referida medida provisória)

II – 24 (vinte e quatro) meses após a data de sua publicação, quanto aos demais artigos. (Inciso acrescido pela Medida Provisória nº 869, de 27/12/2018, convertida na Lei nº 13.853, de 8/7/2019)

Brasília, 14 de agosto de 2018; 197º da Independência e 130º da República.

MICHEL TEMER

Torquato Jardim

Aloysio Nunes Ferreira Filho

Eduardo Refinetti Guardia

Esteves Pedro Colnago Junior

Gilberto Magalhães Occhi

Gilberto Kassab

Wagner de Campos Rosário

Gustavo do Vale Rocha

Ilan Goldfajn

Raul Jungmann

Eliseu Padilha

Legislação correlata

DECRETO-LEI Nº 2.848, DE 7 DE DEZEMBRO DE 1940

(Código Penal)

(Publicado no DOU de 31/12/1940 e retificado no DOU de 3/1/1941)

[Institui o] Código Penal.

O presidente da República, usando da atribuição que lhe confere o art. 180 da Constituição, decreta a seguinte Lei:

CÓDIGO PENAL

[...]

PARTE ESPECIAL

(Canceladas na Parte Especial quaisquer referências a valores de multas, substituindo-se a expressão “multa de” por “multa”, de acordo com o art. 2º da Lei nº 7.209, de 11/7/1984, publicada no DOU de 13/7/1984, em vigor 6 meses após a publicação)

TÍTULO I
DOS CRIMES CONTRA A PESSOA

[...]

CAPÍTULO VI
DOS CRIMES CONTRA A LIBERDADE INDIVIDUAL

[...]

Seção IV
Dos Crimes contra a Inviolabilidade dos Segredos

[...]

Invasão de dispositivo informático (Nome jurídico acrescido pela Lei nº 12.737, de 30/11/2012, publicada no DOU de 3/12/2012, em vigor 120 dias após a publicação)

Art. 154-A. Invadir dispositivo informático alheio, conectado ou não à rede de computadores, mediante violação indevida de mecanismo de segurança e com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do titular do dispositivo ou instalar vulnerabilidades para obter vantagem ilícita:

Pena – detenção, de 3 (três) meses a 1 (um) ano, e multa.

§ 1º Na mesma pena incorre quem produz, oferece, distribui, vende ou difunde dispositivo ou programa de computador com o intuito de permitir a prática da conduta definida no caput.

§ 2º Aumenta-se a pena de um sexto a um terço se da invasão resulta prejuízo econômico.

§ 3º Se da invasão resultar a obtenção de conteúdo de comunicações eletrônicas privadas, segredos comerciais ou industriais, informações sigilosas, assim definidas em lei, ou o controle remoto não autorizado do dispositivo invadido:

Pena – reclusão, de 6 (seis) meses a 2 (dois) anos, e multa, se a conduta não constitui crime mais grave.

§ 4º Na hipótese do § 3º, aumenta-se a pena de um a dois terços se houver divulgação, comercialização ou transmissão a terceiro, a qualquer título, dos dados ou informações obtidos.

§ 5º Aumenta-se a pena de um terço à metade se o crime for praticado contra:

I – Presidente da República, governadores e prefeitos;

II – Presidente do Supremo Tribunal Federal;

III – Presidente da Câmara dos Deputados, do Senado Federal, de Assembleia Legislativa de Estado, da Câmara Legislativa do Distrito Federal ou de Câmara Municipal; ou

IV – dirigente máximo da administração direta e indireta federal, estadual, municipal ou do Distrito Federal. (Artigo acrescido pela Lei nº 12.737, de 30/11/2012, publicada no DOU de 3/12/2012, em vigor 120 dias após a publicação)

[...]

TÍTULO VI
DOS CRIMES CONTRA A DIGNIDADE SEXUAL

(Denominação do título com redação dada pela Lei nº 12.015, de 7/8/2009)

[...]

CAPÍTULO II
DOS CRIMES SEXUAIS CONTRA VULNERÁVEL

(Denominação do capítulo com redação dada pela Lei nº 12.015, de 7/8/2009)

[...]

Divulgação de cena de estupro ou de cena de estupro de vulnerável, de cena de sexo ou de pornografia (Nome jurídico acrescido pela Lei nº 13.718, de 24/9/2018)

Art. 218-C. Oferecer, trocar, disponibilizar, transmitir, vender ou expor à venda, distribuir, publicar ou divulgar, por qualquer meio – inclusive por meio de comunicação de massa ou sistema de informática ou telemática –, fotografia, vídeo ou outro registro audiovisual que contenha cena de estupro ou de estupro de vulnerável ou que faça apologia ou induza a sua prática, ou, sem o consentimento da vítima, cena de sexo, nudez ou pornografia:

Pena – reclusão, de 1 (um) a 5 (cinco) anos, se o fato não constitui crime mais grave.

Aumento de pena

§ 1º A pena é aumentada de 1/3 (um terço) a 2/3 (dois terços) se o crime é praticado por agente que mantém ou tenha mantido relação íntima de afeto com a vítima ou com o fim de vingança ou humilhação.

Exclusão de ilicitude

§ 2º Não há crime quando o agente pratica as condutas descritas no caput deste artigo em publicação de natureza jornalística, científica, cultural ou acadêmica com a adoção de recurso que impossibilite a identificação da vítima, ressalvada sua prévia autorização, caso seja maior de 18 (dezoito) anos. (Artigo acrescido pela Lei nº 13.718, de 24/9/2018)

[...]

TÍTULO XI
DOS CRIMES CONTRA A ADMINISTRAÇÃO PÚBLICA

CAPÍTULO I
DOS CRIMES PRATICADOS POR FUNCIONÁRIO PÚBLICO CONTRA A ADMINISTRAÇÃO EM GERAL

[...]

Inserção de dados falsos em sistema de informações (Nome jurídico acrescido pela Lei nº 9.983, de 14/7/2000, publicada no DOU de 17/7/2000, em vigor 90 dias após a publicação)

Art. 313-A. Inserir ou facilitar, o funcionário autorizado, a inserção de dados falsos, alterar ou excluir indevidamente dados corretos nos sistemas informatizados ou bancos de dados da Administração Pública com o fim de obter vantagem indevida para si ou para outrem ou para causar dano:

Pena – reclusão, de 2 (dois) a 12 (doze) anos, e multa. (Artigo acrescido pela Lei nº 9.983, de 14/7/2000, publicada no DOU de 17/7/2000, em vigor 90 dias após a publicação)

Modificação ou alteração não autorizada de sistema de informações (Nome jurídico acrescido pela Lei nº 9.983, de 14/7/2000, publicada no DOU de 17/7/2000, em vigor 90 dias após a publicação)

Art. 313-B. Modificar ou alterar, o funcionário, sistema de informações ou programa de informática sem autorização ou solicitação de autoridade competente:

Pena – detenção, de 3 (três) meses a 2 (dois) anos, e multa.

Parágrafo único. As penas são aumentadas de um terço até a metade se da modificação ou alteração resulta dano para a Administração Pública ou para o administrado. (Artigo acrescido pela Lei nº 9.983, de 14/7/2000, publicada no DOU de 17/7/2000, em vigor 90 dias após a publicação)

[...]

Art. 361. Este Código entrará em vigor no dia 1º de janeiro de 1942.

Rio de Janeiro, 7 de dezembro de 1940; 119º da Independência e 52º da República.

GETULIO VARGAS

Francisco Campos

LEI Nº 9.504, DE 30 DE SETEMBRO DE 1997

(Lei das Eleições 1997)

(Publicada no DOU de 1º/10/1997)

Estabelece normas para as eleições.

O vice-presidente da República, no exercício do cargo de presidente da República

Faço saber que o Congresso Nacional decreta e eu sanciono a seguinte Lei:

[...]

Propaganda na Internet

(Denominação acrescida pela Lei nº 13.488, de 6/10/2017)

[...]

Art. 57-E. São vedadas às pessoas relacionadas no art. 24 a utilização, doação ou cessão de cadastro eletrônico de seus clientes, em favor de candidatos, partidos ou coligações.

§ 1º É proibida a venda de cadastro de endereços eletrônicos.

§ 2º A violação do disposto neste artigo sujeita o responsável pela divulgação da propaganda e, quando comprovado seu prévio conhecimento, o beneficiário à multa no valor de R$ 5.000,00 (cinco mil reais) a R$ 30.000,00 (trinta mil reais). (Artigo acrescido pela Lei nº 12.034, de 29/9/2009)

[...]

Art. 106. Esta Lei entra em vigor na data de sua publicação.

[...]

Brasília, 30 de setembro de 1997; 176º da Independência e 109º da República.

MARCO ANTONIO DE OLIVEIRA MACIEL

Iris Rezende

DECRETO Nº 6.523, DE 31 DE JULHO DE 2008

(Publicado no DOU de 1º/8/2008)

Regulamenta a Lei nº 8.078, de 11 de setembro de 1990, para fixar normas gerais sobre o Serviço de Atendimento ao Consumidor (SAC).

O presidente da República, no uso da atribuição que lhe confere o art. 84, inciso IV, da Constituição, e tendo em vista o disposto na Lei nº 8.078, de 11 de setembro de 1990, decreta:

Art. 1º Este Decreto regulamenta a Lei nº 8.078, de 11 de setembro de 1990, e fixa normas gerais sobre o Serviço de Atendimento ao Consumidor (SAC) por telefone, no âmbito dos fornecedores de serviços regulados pelo Poder Público Federal, com vistas à observância dos direitos básicos do consumidor de obter informação adequada e clara sobre os serviços que contratar e de manter-se protegido contra práticas abusivas ou ilegais impostas no fornecimento desses serviços.

CAPÍTULO I
DO ÂMBITO DA APLICAÇÃO

Art. 2º Para os fins deste Decreto, compreende-se por SAC o serviço de atendimento telefônico das prestadoras de serviços regulados que tenham como finalidade resolver as demandas dos consumidores sobre informação, dúvida, reclamação, suspensão ou cancelamento de contratos e de serviços.

Parágrafo único. Excluem-se do âmbito de aplicação deste Decreto a oferta e a contratação de produtos e serviços realizadas por telefone.

CAPÍTULO II
DA ACESSIBILIDADE DO SERVIÇO

Art. 3º As ligações para o SAC serão gratuitas e o atendimento das solicitações e demandas previsto neste Decreto não deverá resultar em qualquer ônus para o consumidor.

Art. 4º O SAC garantirá ao consumidor, no primeiro menu eletrônico, as opções de contato com o atendente, de reclamação e de cancelamento de contratos e serviços.

§ 1º A opção de contatar o atendimento pessoal constará de todas as subdivisões do menu eletrônico.

§ 2º O consumidor não terá a sua ligação finalizada pelo fornecedor antes da conclusão do atendimento.

§ 3º O acesso inicial ao atendente não será condicionado ao prévio fornecimento de dados pelo consumidor.

§ 4º Regulamentação específica tratará do tempo máximo necessário para o contato direto com o atendente, quando essa opção for selecionada.

Art. 5º O SAC estará disponível, ininterruptamente, durante vinte e quatro horas por dia e sete dias por semana, ressalvado o disposto em normas específicas.

Art. 6º O acesso das pessoas com deficiência auditiva ou de fala será garantido pelo SAC, em caráter preferencial, facultado à empresa atribuir número telefônico específico para este fim.

Art. 7º O número do SAC constará de forma clara e objetiva em todos os documentos e materiais impressos entregues ao consumidor no momento da contratação do serviço e durante o seu fornecimento, bem como na página eletrônica da empresa na internet.

Parágrafo único. No caso de empresa ou grupo empresarial que oferte serviços conjuntamente, será garantido ao consumidor o acesso, ainda que por meio de diversos números de telefone, a canal único que possibilite o atendimento de demanda relativa a qualquer um dos serviços oferecidos.

CAPÍTULO III
DA QUALIDADE DO ATENDIMENTO

Art. 8º O SAC obedecerá aos princípios da dignidade, boa-fé, transparência, eficiência, eficácia, celeridade e cordialidade.

Art. 9º O atendente, para exercer suas funções no SAC, deve ser capacitado com as habilidades técnicas e procedimentais necessárias para realizar o adequado atendimento ao consumidor, em linguagem clara.

Art. 10. Ressalvados os casos de reclamação e de cancelamento de serviços, o SAC garantirá a transferência imediata ao setor competente para atendimento definitivo da demanda, caso o primeiro atendente não tenha essa atribuição.

§ 1º A transferência dessa ligação será efetivada em até sessenta segundos.

§ 2º Nos casos de reclamação e cancelamento de serviço, não será admitida a transferência da ligação, devendo todos os atendentes possuir atribuições para executar essas funções.

§ 3º O sistema informatizado garantirá ao atendente o acesso ao histórico de demandas do consumidor.

Art. 11. Os dados pessoais do consumidor serão preservados, mantidos em sigilo e utilizados exclusivamente para os fins do atendimento.

Art. 12. É vedado solicitar a repetição da demanda do consumidor após seu registro pelo primeiro atendente.

Art. 13. O sistema informatizado deve ser programado tecnicamente de modo a garantir a agilidade, a segurança das informações e o respeito ao consumidor.

Art. 14. É vedada a veiculação de mensagens publicitárias durante o tempo de espera para o atendimento, salvo se houver prévio consentimento do consumidor.

CAPÍTULO IV
DO ACOMPANHAMENTO DE DEMANDAS

Art. 15. Será permitido o acompanhamento pelo consumidor de todas as suas demandas por meio de registro numérico, que lhe será informado no início do atendimento.

§ 1º Para fins do disposto no caput, será utilizada sequência numérica única para identificar todos os atendimentos.

§ 2º O registro numérico, com data, hora e objeto da demanda, será informado ao consumidor e, se por este solicitado, enviado por correspondência ou por meio eletrônico, a critério do consumidor.

§ 3º É obrigatória a manutenção da gravação das chamadas efetuadas para o SAC, pelo prazo mínimo de noventa dias, durante o qual o consumidor poderá requerer acesso ao seu conteúdo.

§ 4º O registro eletrônico do atendimento será mantido à disposição do consumidor e do órgão ou entidade fiscalizadora por um período mínimo de dois anos após a solução da demanda.

Art. 16. O consumidor terá direito de acesso ao conteúdo do histórico de suas demandas, que lhe será enviado, quando solicitado, no prazo máximo de setenta e duas horas, por correspondência ou por meio eletrônico, a seu critério.

CAPÍTULO V
DO PROCEDIMENTO PARA A RESOLUÇÃO DE DEMANDAS

Art. 17. As informações solicitadas pelo consumidor serão prestadas imediatamente e suas reclamações, resolvidas no prazo máximo de cinco dias úteis a contar do registro.

§ 1º O consumidor será informado sobre a resolução de sua demanda e, sempre que solicitar, ser-lhe-á enviada a comprovação pertinente por correspondência ou por meio eletrônico, a seu critério.

§ 2º A resposta do fornecedor será clara e objetiva e deverá abordar todos os pontos da demanda do consumidor.

§ 3º Quando a demanda versar sobre serviço não solicitado ou cobrança indevida, a cobrança será suspensa imediatamente, salvo se o fornecedor indicar o instrumento por meio do qual o serviço foi contratado e comprovar que o valor é efetivamente devido.

CAPÍTULO VI
DO PEDIDO DE CANCELAMENTO DO SERVIÇO

Art. 18. O SAC receberá e processará imediatamente o pedido de cancelamento de serviço feito pelo consumidor.

§ 1º O pedido de cancelamento será permitido e assegurado ao consumidor por todos os meios disponíveis para a contratação do serviço.

§ 2º Os efeitos do cancelamento serão imediatos à solicitação do consumidor, ainda que o seu processamento técnico necessite de prazo, e independe de seu adimplemento contratual.

§ 3º O comprovante do pedido de cancelamento será expedido por correspondência ou por meio eletrônico, a critério do consumidor.

CAPÍTULO VII
DAS DISPOSIÇÕES FINAIS

Art. 19. A inobservância das condutas descritas neste Decreto ensejará aplicação das sanções previstas no art. 56 da Lei nº 8.078, de 1990, sem prejuízo das constantes dos regulamentos específicos dos órgãos e entidades reguladoras.

Art. 20. Os órgãos competentes, quando necessário, expedirão normas complementares e específicas para execução do disposto neste Decreto.

Art. 21. Os direitos previstos neste Decreto não excluem outros, decorrentes de regulamentações expedidas pelos órgãos e entidades reguladores, desde que mais benéficos para o consumidor.

Art. 22. Este Decreto entra em vigor em 1º de dezembro de 2008.

Brasília, 31 de julho de 2008; 187º da Independência e 120º da República.

LUIZ INÁCIO LULA DA SILVA

Tarso Genro

LEI Nº 12.414, DE 9 DE JUNHO DE 2011

(Lei do Cadastro Positivo)

(Publicada no DOU de 10/6/2011)

Disciplina a formação e consulta a bancos de dados com informações de adimplemento, de pessoas naturais ou de pessoas jurídicas, para formação de histórico de crédito.

A presidenta da República

Faço saber que o Congresso Nacional decreta e eu sanciono a seguinte Lei:

Art. 1º Esta Lei disciplina a formação e consulta a bancos de dados com informações de adimplemento, de pessoas naturais ou de pessoas jurídicas, para formação de histórico de crédito, sem prejuízo do disposto na Lei nº 8.078, de 11 de setembro de 1990 (Código de Proteção e Defesa do Consumidor).

Parágrafo único. Os bancos de dados instituídos ou mantidos por pessoas jurídicas de direito público interno serão regidos por legislação específica.

Art. 2º Para os efeitos desta Lei, considera-se:

I – banco de dados: conjunto de dados relativo a pessoa natural ou jurídica armazenados com a finalidade de subsidiar a concessão de crédito, a realização de venda a prazo ou de outras transações comerciais e empresariais que impliquem risco financeiro;

II – gestor: pessoa jurídica que atenda aos requisitos mínimos de funcionamento previstos nesta Lei e em regulamentação complementar, responsável pela administração de banco de dados, bem como pela coleta, pelo armazenamento, pela análise e pelo acesso de terceiros aos dados armazenados; (Inciso com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

III – cadastrado: pessoa natural ou jurídica cujas informações tenham sido incluídas em banco de dados; (Inciso com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

IV – fonte: pessoa natural ou jurídica que conceda crédito, administre operações de autofinanciamento ou realize venda a prazo ou outras transações comerciais e empresariais que lhe impliquem risco financeiro, inclusive as instituições autorizadas a funcionar pelo Banco Central do Brasil e os prestadores de serviços continuados de água, esgoto, eletricidade, gás, telecomunicações e assemelhados; (Inciso com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

V – consulente: pessoa natural ou jurídica que acesse informações em bancos de dados para qualquer finalidade permitida por esta Lei;

VI – anotação: ação ou efeito de anotar, assinalar, averbar, incluir, inscrever ou registrar informação relativa ao histórico de crédito em banco de dados; e

VII – histórico de crédito: conjunto de dados financeiros e de pagamentos, relativos às operações de crédito e obrigações de pagamento adimplidas ou em andamento por pessoa natural ou jurídica. (Inciso com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

Art. 3º Os bancos de dados poderão conter informações de adimplemento do cadastrado, para a formação do histórico de crédito, nas condições estabelecidas nesta Lei.

§ 1º Para a formação do banco de dados, somente poderão ser armazenadas informações objetivas, claras, verdadeiras e de fácil compreensão, que sejam necessárias para avaliar a situação econômica do cadastrado.

§ 2º Para os fins do disposto no § 1º, consideram-se informações:

I – objetivas: aquelas descritivas dos fatos e que não envolvam juízo de valor;

II – claras: aquelas que possibilitem o imediato entendimento do cadastrado independentemente de remissão a anexos, fórmulas, siglas, símbolos, termos técnicos ou nomenclatura específica;

III – verdadeiras: aquelas exatas, completas e sujeitas à comprovação nos termos desta Lei; e

IV – de fácil compreensão: aquelas em sentido comum que assegurem ao cadastrado o pleno conhecimento do conteúdo, do sentido e do alcance dos dados sobre ele anotados.

§ 3º Ficam proibidas as anotações de:

I – informações excessivas, assim consideradas aquelas que não estiverem vinculadas à análise de risco de crédito ao consumidor; e

II – informações sensíveis, assim consideradas aquelas pertinentes à origem social e étnica, à saúde, à informação genética, à orientação sexual e às convicções políticas, religiosas e filosóficas.

Art. 4º O gestor está autorizado, nas condições estabelecidas nesta Lei, a: (Caput do artigo com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

I – abrir cadastro em banco de dados com informações de adimplemento de pessoas naturais e jurídicas; (Inciso acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

II – fazer anotações no cadastro de que trata o inciso I do caput deste artigo; (Inciso acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

III – compartilhar as informações cadastrais e de adimplemento armazenadas com outros bancos de dados; e (Inciso acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

IV – disponibilizar a consulentes:

a) a nota ou pontuação de crédito elaborada com base nas informações de adimplemento armazenadas; e

b) o histórico de crédito, mediante prévia autorização específica do cadastrado. (Inciso acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 1º (Revogado pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 2º (Revogado pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 3º (Vetado)

§ 4º A comunicação ao cadastrado deve:

I – ocorrer em até 30 (trinta) dias após a abertura do cadastro no banco de dados, sem custo para o cadastrado;

II – ser realizada pelo gestor, diretamente ou por intermédio de fontes; e

III – informar de maneira clara e objetiva os canais disponíveis para o cancelamento do cadastro no banco de dados. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 5º Fica dispensada a comunicação de que trata o § 4º deste artigo caso o cadastrado já tenha cadastro aberto em outro banco de dados. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 6º Para o envio da comunicação de que trata o § 4º deste artigo, devem ser utilizados os dados pessoais, como endereço residencial, comercial, eletrônico, fornecidos pelo cadastrado à fonte. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 7º As informações do cadastrado somente poderão ser disponibilizadas a consulentes 60 (sessenta) dias após a abertura do cadastro, observado o disposto no § 8º deste artigo e no art. 15 desta Lei. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 8º É obrigação do gestor manter procedimentos adequados para comprovar a autenticidade e a validade da autorização de que trata a alínea b do inciso IV do caput deste artigo. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

Art. 5º São direitos do cadastrado:

I – obter o cancelamento ou a reabertura do cadastro, quando solicitado; (Inciso com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

II – acessar gratuitamente, independentemente de justificativa, as informações sobre ele existentes no banco de dados, inclusive seu histórico e sua nota ou pontuação de crédito, cabendo ao gestor manter sistemas seguros, por telefone ou por meio eletrônico, de consulta às informações pelo cadastrado; (Inciso com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

III – solicitar a impugnação de qualquer informação sobre ele erroneamente anotada em banco de dados e ter, em até 10 (dez) dias, sua correção ou seu cancelamento em todos os bancos de dados que compartilharam a informação; (Inciso com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

IV – conhecer os principais elementos e critérios considerados para a análise de risco, resguardado o segredo empresarial;

V – ser informado previamente sobre a identidade do gestor e sobre o armazenamento e o objetivo do tratamento dos dados pessoais; (Inciso com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

VI – solicitar ao consulente a revisão de decisão realizada exclusivamente por meios automatizados; e

VII – ter os seus dados pessoais utilizados somente de acordo com a finalidade para a qual eles foram coletados.

§ 1º (Vetado)

§ 2º (Vetado)

§ 3º O prazo para disponibilização das informações de que tratam os incisos II e IV do caput deste artigo será de 10 (dez) dias. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 4º O cancelamento e a reabertura de cadastro somente serão processados mediante solicitação gratuita do cadastrado ao gestor. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 5º O cadastrado poderá realizar a solicitação de que trata o § 4º deste artigo a qualquer gestor de banco de dados, por meio telefônico, físico e eletrônico. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 6º O gestor que receber a solicitação de que trata o § 4º deste artigo é obrigado a, no prazo de até 2 (dois) dias úteis:

I – encerrar ou reabrir o cadastro, conforme solicitado; e

II – transmitir a solicitação aos demais gestores, que devem também atender, no mesmo prazo, à solicitação do cadastrado. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 7º O gestor deve proceder automaticamente ao cancelamento de pessoa natural ou jurídica que tenha manifestado previamente, por meio telefônico, físico ou eletrônico, a vontade de não ter aberto seu cadastro. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 8º O cancelamento de cadastro implica a impossibilidade de uso das informações do histórico de crédito pelos gestores, para os fins previstos nesta Lei, inclusive para a composição de nota ou pontuação de crédito de terceiros cadastrados, na forma do art. 7º-A desta Lei. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

Art. 6º Ficam os gestores de bancos de dados obrigados, quando solicitados, a fornecer ao cadastrado:

I – todas as informações sobre ele constantes de seus arquivos, no momento da solicitação;

II – indicação das fontes relativas às informações de que trata o inciso I, incluindo endereço e telefone para contato;

III – indicação dos gestores de bancos de dados com os quais as informações foram compartilhadas;

IV – indicação de todos os consulentes que tiveram acesso a qualquer informação sobre ele nos 6 (seis) meses anteriores à solicitação; (Inciso com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

V – cópia de texto com o sumário dos seus direitos, definidos em lei ou em normas infralegais pertinentes à sua relação com gestores, bem como a lista dos órgãos governamentais aos quais poderá ele recorrer, caso considere que esses direitos foram infringidos; e (Inciso com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

VI – confirmação de cancelamento do cadastro. (Inciso acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 1º É vedado aos gestores de bancos de dados estabelecerem políticas ou realizarem operações que impeçam, limitem ou dificultem o acesso do cadastrado previsto no inciso II do art. 5º.

§ 2º O prazo para atendimento das informações de que tratam os incisos II, III, IV e V do caput deste artigo será de 10 (dez) dias. (Parágrafo com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

Art. 7º As informações disponibilizadas nos bancos de dados somente poderão ser utilizadas para:

I – realização de análise de risco de crédito do cadastrado; ou

II – subsidiar a concessão ou extensão de crédito e a realização de venda a prazo ou outras transações comerciais e empresariais que impliquem risco financeiro ao consulente.

Parágrafo único. Cabe ao gestor manter sistemas seguros, por telefone ou por meio eletrônico, de consulta para informar aos consulentes as informações de adimplemento do cadastrado.

Art. 7º-A. Nos elementos e critérios considerados para composição da nota ou pontuação de crédito de pessoa cadastrada em banco de dados de que trata esta Lei, não podem ser utilizadas informações:

I – que não estiverem vinculadas à análise de risco de crédito e aquelas relacionadas à origem social e étnica, à saúde, à informação genética, ao sexo e às convicções políticas, religiosas e filosóficas;

II – de pessoas que não tenham com o cadastrado relação de parentesco de primeiro grau ou de dependência econômica; e

III – relacionadas ao exercício regular de direito pelo cadastrado, previsto no inciso II do caput do art. 5º desta Lei.

§ 1º O gestor de banco de dados deve disponibilizar em seu sítio eletrônico, de forma clara, acessível e de fácil compreensão, a sua política de coleta e utilização de dados pessoais para fins de elaboração de análise de risco de crédito.

§ 2º A transparência da política de coleta e utilização de dados pessoais de que trata o § 1º deste artigo deve ser objeto de verificação, na forma de regulamentação a ser expedida pelo Poder Executivo. (Artigo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

Art. 8º São obrigações das fontes:

I – (Revogado pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

II – (Revogado pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

III – verificar e confirmar, ou corrigir, em prazo não superior a 2 (dois) dias úteis, informação impugnada, sempre que solicitado por gestor de banco de dados ou diretamente pelo cadastrado;

IV – atualizar e corrigir informações enviadas aos gestores, em prazo não superior a 10 (dez) dias; (Inciso com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

V – manter os registros adequados para verificar informações enviadas aos gestores de bancos de dados; e

VI – fornecer informações sobre o cadastrado, em bases não discriminatórias, a todos os gestores de bancos de dados que as solicitarem, no mesmo formato e contendo as mesmas informações fornecidas a outros bancos de dados.

Parágrafo único. É vedado às fontes estabelecer políticas ou realizar operações que impeçam, limitem ou dificultem a transmissão a banco de dados de informações de cadastrados. (Parágrafo único com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

Art. 9º O compartilhamento de informações de adimplemento entre gestores é permitido na forma do inciso III do caput do art. 4º desta Lei. (Caput do artigo com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 1º O gestor que receber informação por meio de compartilhamento equipara-se, para todos os efeitos desta Lei, ao gestor que anotou originariamente a informação, inclusive quanto à responsabilidade por eventuais prejuízos a que der causa e ao dever de receber e processar impugnações ou cancelamentos e realizar retificações. (Parágrafo com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 2º O gestor originário é responsável por manter atualizadas as informações cadastrais nos demais bancos de dados com os quais compartilhou informações, sem nenhum ônus para o cadastrado. (Parágrafo com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 3º (Revogado pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 4º O gestor deverá assegurar, sob pena de responsabilidade, a identificação da pessoa que promover qualquer inscrição ou atualização de dados relacionados com o cadastrado, registrando a data desta ocorrência, bem como a identificação exata da fonte, do nome do agente que a efetuou e do equipamento ou terminal a partir do qual foi processada tal ocorrência.

Art. 10. É proibido ao gestor exigir exclusividade das fontes de informações.

Art. 11. (Revogado pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

Art. 12. As instituições autorizadas a funcionar pelo Banco Central do Brasil fornecerão as informações relativas a suas operações de crédito, de arrendamento mercantil e de autofinanciamento realizadas por meio de grupos de consórcio e a outras operações com características de concessão de crédito somente aos gestores registrados no Banco Central do Brasil. (Caput do artigo com redação dada pela Lei Complementar nº 166, de 8/4/2019)

§ 1º (Revogado pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 2º (Revogado pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 3º O Conselho Monetário Nacional adotará as medidas e normas complementares necessárias para a aplicação do disposto neste artigo.

§ 4º O compartilhamento de que trata o inciso III do caput do art. 4º desta Lei, quando referente a informações provenientes de instituições autorizadas a funcionar pelo Banco Central do Brasil, deverá ocorrer apenas entre gestores registrados na forma deste artigo. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 5º As infrações à regulamentação de que trata o § 3º deste artigo sujeitam o gestor ao cancelamento do seu registro no Banco Central do Brasil, assegurado o devido processo legal, na forma da Lei nº 9.784, de 29 de janeiro de 1999. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 6º O órgão administrativo competente poderá requerer aos gestores, na forma e no prazo que estabelecer, as informações necessárias para o desempenho das atribuições de que trata este artigo. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 7º Os gestores não se sujeitam à legislação aplicável às instituições financeiras e às demais instituições autorizadas a funcionar pelo Banco Central do Brasil, inclusive quanto às disposições sobre processo administrativo sancionador, regime de administração especial temporária, intervenção e liquidação extrajudicial. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

§ 8º O disposto neste artigo não afasta a aplicação pelos órgãos integrantes do Sistema Nacional de Defesa do Consumidor (SNDC), na forma do art. 17 desta Lei, das penalidades cabíveis por violação das normas de proteção do consumidor. (Parágrafo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

Art. 13. O Poder Executivo regulamentará o disposto nesta Lei, em especial quanto: (Caput do artigo com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

I – ao uso, à guarda, ao escopo e ao compartilhamento das informações recebidas por bancos de dados; (Inciso acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

II – aos procedimentos aplicáveis aos gestores de banco de dados na hipótese de vazamento de informações dos cadastrados, inclusive com relação à comunicação aos órgãos responsáveis pela sua fiscalização, nos termos do § 1º do art. 17 desta Lei; e (Inciso acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

III – ao disposto nos arts. 5º e 7º-A desta Lei. (Inciso acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

Art. 14. As informações de adimplemento não poderão constar de bancos de dados por período superior a 15 (quinze) anos.

Art. 15. As informações sobre o cadastrado constantes dos bancos de dados somente poderão ser acessadas por consulentes que com ele mantiverem ou pretenderem manter relação comercial ou creditícia.

Art. 16. O banco de dados, a fonte e o consulente são responsáveis, objetiva e solidariamente, pelos danos materiais e morais que causarem ao cadastrado, nos termos da Lei nº 8.078, de 11 de setembro de 1990 (Código de Proteção e Defesa do Consumidor). (Artigo com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

Art. 17. Nas situações em que o cadastrado for consumidor, caracterizado conforme a Lei nº 8.078, de 11 de setembro de 1990 (Código de Proteção e Defesa do Consumidor), aplicam-se as sanções e penas nela previstas e o disposto no § 2º.

§ 1º Nos casos previstos no caput, a fiscalização e a aplicação das sanções serão exercidas concorrentemente pelos órgãos de proteção e defesa do consumidor da União, dos Estados, do Distrito Federal e dos Municípios, nas respectivas áreas de atuação administrativa.

§ 2º Sem prejuízo do disposto no caput e no § 1º deste artigo, os órgãos de proteção e defesa do consumidor poderão aplicar medidas corretivas e estabelecer aos bancos de dados que descumprirem o previsto nesta Lei a obrigação de excluir do cadastro informações incorretas, no prazo de 10 (dez) dias, bem como de cancelar os cadastros de pessoas que solicitaram o cancelamento, conforme disposto no inciso I do caput do art. 5º desta Lei. (Parágrafo com redação dada pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

Art. 17-A. A quebra do sigilo previsto na Lei Complementar nº 105, de 10 de janeiro de 2001, sujeita os responsáveis às penalidades previstas no art. 10 da referida Lei, sem prejuízo do disposto na Lei nº 8.078, de 11 de setembro de 1990 (Código de Proteção e Defesa do Consumidor). (Artigo acrescido pela Lei Complementar nº 166, de 8/4/2019, publicada no DOU de 9/4/2019, em vigor 91 dias após a publicação)

Art. 18. Esta Lei entra em vigor na data de sua publicação.

Brasília, 9 de junho de 2011; 190º da Independência e 123º da República.

DILMA ROUSSEFF

José Eduardo Cardozo

Guido Mantega

LEI Nº 13.188, DE 11 DE NOVEMBRO DE 2015

(Publicada no DOU de 12/11/2015)

Dispõe sobre o direito de resposta ou retificação do ofendido em matéria divulgada, publicada ou transmitida por veículo de comunicação social.

A presidenta da República

Faço saber que o Congresso Nacional decreta e eu sanciono a seguinte Lei:

Art. 1º Esta Lei disciplina o exercício do direito de resposta ou retificação do ofendido em matéria divulgada, publicada ou transmitida por veículo de comunicação social.

Art. 2º Ao ofendido em matéria divulgada, publicada ou transmitida por veículo de comunicação social é assegurado o direito de resposta ou retificação, gratuito e proporcional ao agravo.

§ 1º Para os efeitos desta Lei, considera-se matéria qualquer reportagem, nota ou notícia divulgada por veículo de comunicação social, independentemente do meio ou da plataforma de distribuição, publicação ou transmissão que utilize, cujo conteúdo atente, ainda que por equívoco de informação, contra a honra, a intimidade, a reputação, o conceito, o nome, a marca ou a imagem de pessoa física ou jurídica identificada ou passível de identificação.

§ 2º São excluídos da definição de matéria estabelecida no § 1º deste artigo os comentários realizados por usuários da internet nas páginas eletrônicas dos veículos de comunicação social.

§ 3º A retratação ou retificação espontânea, ainda que a elas sejam conferidos os mesmos destaque, publicidade, periodicidade e dimensão do agravo, não impedem o exercício do direito de resposta pelo ofendido nem prejudicam a ação de reparação por dano moral.

Art. 3º O direito de resposta ou retificação deve ser exercido no prazo decadencial de 60 (sessenta) dias, contado da data de cada divulgação, publicação ou transmissão da matéria ofensiva, mediante correspondência com aviso de recebimento encaminhada diretamente ao veículo de comunicação social ou, inexistindo pessoa jurídica constituída, a quem por ele responda, independentemente de quem seja o responsável intelectual pelo agravo.

§ 1º O direito de resposta ou retificação poderá ser exercido, de forma individualizada, em face de todos os veículos de comunicação social que tenham divulgado, publicado, republicado, transmitido ou retransmitido o agravo original.

§ 2º O direito de resposta ou retificação poderá ser exercido, também, conforme o caso:

I – pelo representante legal do ofendido incapaz ou da pessoa jurídica;

II – pelo cônjuge, descendente, ascendente ou irmão do ofendido que esteja ausente do País ou tenha falecido depois do agravo, mas antes de decorrido o prazo de decadência do direito de resposta ou retificação.

§ 3º No caso de divulgação, publicação ou transmissão continuada e ininterrupta da mesma matéria ofensiva, o prazo será contado da data em que se iniciou o agravo.

Art. 4º A resposta ou retificação atenderá, quanto à forma e à duração, ao seguinte:

I – praticado o agravo em mídia escrita ou na internet, terá a resposta ou retificação o destaque, a publicidade, a periodicidade e a dimensão da matéria que a ensejou;

II – praticado o agravo em mídia televisiva, terá a resposta ou retificação o destaque, a publicidade, a periodicidade e a duração da matéria que a ensejou;

III – praticado o agravo em mídia radiofônica, terá a resposta ou retificação o destaque, a publicidade, a periodicidade e a duração da matéria que a ensejou.

§ 1º Se o agravo tiver sido divulgado, publicado, republicado, transmitido ou retransmitido em mídia escrita ou em cadeia de rádio ou televisão para mais de um Município ou Estado, será conferido proporcional alcance à divulgação da resposta ou retificação.

§ 2º O ofendido poderá requerer que a resposta ou retificação seja divulgada, publicada ou transmitida nos mesmos espaço, dia da semana e horário do agravo.

§ 3º A resposta ou retificação cuja divulgação, publicação ou transmissão não obedeça ao disposto nesta Lei é considerada inexistente.

§ 4º Na delimitação do agravo, deverá ser considerado o contexto da informação ou matéria que gerou a ofensa.

Art. 5º Se o veículo de comunicação social ou quem por ele responda não divulgar, publicar ou transmitir a resposta ou retificação no prazo de 7 (sete) dias, contado do recebimento do respectivo pedido, na forma do art. 3º, restará caracterizado o interesse jurídico para a propositura de ação judicial.

§ 1º É competente para conhecer do feito o juízo do domicílio do ofendido ou, se este assim o preferir, aquele do lugar onde o agravo tenha apresentado maior repercussão.

§ 2º A ação de rito especial de que trata esta Lei será instruída com as provas do agravo e do pedido de resposta ou retificação não atendido, bem como com o texto da resposta ou retificação a ser divulgado, publicado ou transmitido, sob pena de inépcia da inicial, e processada no prazo máximo de 30 (trinta) dias, vedados:

I – a cumulação de pedidos;

II – a reconvenção;

III – o litisconsórcio, a assistência e a intervenção de terceiros.

§ 3º (Vetado)

Art. 6º Recebido o pedido de resposta ou retificação, o juiz, dentro de 24 (vinte e quatro) horas, mandará citar o responsável pelo veículo de comunicação social para que:

I – em igual prazo, apresente as razões pelas quais não o divulgou, publicou ou transmitiu;

II – no prazo de 3 (três) dias, ofereça contestação.

Parágrafo único. O agravo consistente em injúria não admitirá a prova da verdade.

Art. 7º O juiz, nas 24 (vinte e quatro) horas seguintes à citação, tenha ou não se manifestado o responsável pelo veículo de comunicação, conhecerá do pedido e, havendo prova capaz de convencer sobre a verossimilhança da alegação ou justificado receio de ineficácia do provimento final, fixará desde logo as condições e a data para a veiculação, em prazo não superior a 10 (dez) dias, da resposta ou retificação.

§ 1º Se o agravo tiver sido divulgado ou publicado por veículo de mídia impressa cuja circulação seja periódica, a resposta ou retificação será divulgada na edição seguinte à da ofensa ou, ainda, excepcionalmente, em edição extraordinária, apenas nos casos em que o prazo entre a ofensa e a próxima edição indique desproporcionalidade entre a ofensa e a resposta ou retificação.

§ 2º A medida antecipatória a que se refere o caput deste artigo poderá ser reconsiderada ou modificada a qualquer momento, em decisão fundamentada.

§ 3º O juiz poderá, a qualquer tempo, impor multa diária ao réu, independentemente de pedido do autor, bem como modificar-lhe o valor ou a periodicidade, caso verifique que se tornou insuficiente ou excessiva.

§ 4º Para a efetivação da tutela específica de que trata esta Lei, poderá o juiz, de ofício ou mediante requerimento, adotar as medidas cabíveis para o cumprimento da decisão.

Art. 8º Não será admitida a divulgação, publicação ou transmissão de resposta ou retificação que não tenha relação com as informações contidas na matéria a que pretende responder nem se enquadre no § 1º do art. 2º desta Lei.

Art. 9º O juiz prolatará a sentença no prazo máximo de 30 (trinta) dias, contado do ajuizamento da ação, salvo na hipótese de conversão do pedido em reparação por perdas e danos.

Parágrafo único. As ações judiciais destinadas a garantir a efetividade do direito de resposta ou retificação previsto nesta Lei processam-se durante as férias forenses e não se suspendem pela superveniência delas.

Art. 10. Das decisões proferidas nos processos submetidos ao rito especial estabelecido nesta Lei, poderá ser concedido efeito suspensivo pelo tribunal competente, desde que constatadas, em juízo colegiado prévio, a plausibilidade do direito invocado e a urgência na concessão da medida.

Art. 11. A gratuidade da resposta ou retificação divulgada pelo veículo de comunicação, em caso de ação temerária, não abrange as custas processuais nem exime o autor do ônus da sucumbência.

Parágrafo único. Incluem-se entre os ônus da sucumbência os custos com a divulgação, publicação ou transmissão da resposta ou retificação, caso a decisão judicial favorável ao autor seja reformada em definitivo.

Art. 12. Os pedidos de reparação ou indenização por danos morais, materiais ou à imagem serão deduzidos em ação própria, salvo se o autor, desistindo expressamente da tutela específica de que trata esta Lei, os requerer, caso em que o processo seguirá pelo rito ordinário.

§ 1º O ajuizamento de ação cível ou penal contra o veículo de comunicação ou seu responsável com fundamento na divulgação, publicação ou transmissão ofensiva não prejudica o exercício administrativo ou judicial do direito de resposta ou retificação previsto nesta Lei.

§ 2º A reparação ou indenização dar-se-á sem prejuízo da multa a que se refere o § 3º do art. 7º.

Art. 13. O art. 143 do Decreto-Lei nº 2.848, de 7 de dezembro de 1940 (Código Penal), passa a vigorar acrescido do seguinte parágrafo único:

Art. 143. [...]

Parágrafo único. Nos casos em que o querelado tenha praticado a calúnia ou a difamação utilizando-se de meios de comunicação, a retratação dar-se-á, se assim desejar o ofendido, pelos mesmos meios em que se praticou a ofensa.

Art. 14. Esta Lei entra em vigor na data de sua publicação.

Brasília, 11 de novembro de 2015; 194º da Independência e 127º da República.

DILMA ROUSSEFF

José Eduardo Cardozo

LEI Nº 13.460, DE 26 DE JUNHO DE 2017

(Publicada no DOU de 27/6/2017)

Dispõe sobre participação, proteção e defesa dos direitos do usuário dos serviços públicos da administração pública.

O presidente da República

Faço saber que o Congresso Nacional decreta e eu sanciono a seguinte Lei:

CAPÍTULO I
DISPOSIÇÕES PRELIMINARES

Art. 1º Esta Lei estabelece normas básicas para participação, proteção e defesa dos direitos do usuário dos serviços públicos prestados direta ou indiretamente pela administração pública.

§ 1º O disposto nesta Lei aplica-se à administração pública direta e indireta da União, dos Estados, do Distrito Federal e dos Municípios, nos termos do inciso I do § 3º do art. 37 da Constituição Federal.

§ 2º A aplicação desta Lei não afasta a necessidade de cumprimento do disposto:

I – em normas regulamentadoras específicas, quando se tratar de serviço ou atividade sujeitos a regulação ou supervisão; e

II – na Lei nº 8.078, de 11 de setembro de 1990, quando caracterizada relação de consumo.

§ 3º Aplica-se subsidiariamente o disposto nesta Lei aos serviços públicos prestados por particular.

Art. 2º Para os fins desta Lei, consideram-se:

I – usuário – pessoa física ou jurídica que se beneficia ou utiliza, efetiva ou potencialmente, de serviço público;

II – serviço público – atividade administrativa ou de prestação direta ou indireta de bens ou serviços à população, exercida por órgão ou entidade da administração pública;

III – administração pública – órgão ou entidade integrante da administração pública de qualquer dos Poderes da União, dos Estados, do Distrito Federal e dos Municípios, a Advocacia Pública e a Defensoria Pública;

IV – agente público – quem exerce cargo, emprego ou função pública, de natureza civil ou militar, ainda que transitoriamente ou sem remuneração; e

V – manifestações – reclamações, denúncias, sugestões, elogios e demais pronunciamentos de usuários que tenham como objeto a prestação de serviços públicos e a conduta de agentes públicos na prestação e fiscalização de tais serviços.

Parágrafo único. O acesso do usuário a informações será regido pelos termos da Lei nº 12.527, de 18 de novembro de 2011.

Art. 3º Com periodicidade mínima anual, cada Poder e esfera de Governo publicará quadro geral dos serviços públicos prestados, que especificará os órgãos ou entidades responsáveis por sua realização e a autoridade administrativa a quem estão subordinados ou vinculados.

Art. 4º Os serviços públicos e o atendimento do usuário serão realizados de forma adequada, observados os princípios da regularidade, continuidade, efetividade, segurança, atualidade, generalidade, transparência e cortesia.

CAPÍTULO II
DOS DIREITOS BÁSICOS E DEVERES DOS USUÁRIOS

Art. 5º O usuário de serviço público tem direito à adequada prestação dos serviços, devendo os agentes públicos e prestadores de serviços públicos observar as seguintes diretrizes:

I – urbanidade, respeito, acessibilidade e cortesia no atendimento aos usuários;

II – presunção de boa-fé do usuário;

III – atendimento por ordem de chegada, ressalvados casos de urgência e aqueles em que houver possibilidade de agendamento, asseguradas as prioridades legais às pessoas com deficiência, aos idosos, às gestantes, às lactantes e às pessoas acompanhadas por crianças de colo;

IV – adequação entre meios e fins, vedada a imposição de exigências, obrigações, restrições e sanções não previstas na legislação;

V – igualdade no tratamento aos usuários, vedado qualquer tipo de discriminação;

VI – cumprimento de prazos e normas procedimentais;

VII – definição, publicidade e observância de horários e normas compatíveis com o bom atendimento ao usuário;

VIII – adoção de medidas visando a proteção à saúde e a segurança dos usuários;

IX – autenticação de documentos pelo próprio agente público, à vista dos originais apresentados pelo usuário, vedada a exigência de reconhecimento de firma, salvo em caso de dúvida de autenticidade;

X – manutenção de instalações salubres, seguras, sinalizadas, acessíveis e adequadas ao serviço e ao atendimento;

XI – eliminação de formalidades e de exigências cujo custo econômico ou social seja superior ao risco envolvido;

XII – observância dos códigos de ética ou de conduta aplicáveis às várias categorias de agentes públicos;

XIII – aplicação de soluções tecnológicas que visem a simplificar processos e procedimentos de atendimento ao usuário e a propiciar melhores condições para o compartilhamento das informações;

XIV – utilização de linguagem simples e compreensível, evitando o uso de siglas, jargões e estrangeirismos; e

XV – vedação da exigência de nova prova sobre fato já comprovado em documentação válida apresentada.

Art. 6º São direitos básicos do usuário:

I – participação no acompanhamento da prestação e na avaliação dos serviços;

II – obtenção e utilização dos serviços com liberdade de escolha entre os meios oferecidos e sem discriminação;

III – acesso e obtenção de informações relativas à sua pessoa constantes de registros ou bancos de dados, observado o disposto no inciso X do caput do art. 5º da Constituição Federal e na Lei nº 12.527, de 18 de novembro de 2011;

IV – proteção de suas informações pessoais, nos termos da Lei nº 12.527, de 18 de novembro de 2011;

V – atuação integrada e sistêmica na expedição de atestados, certidões e documentos comprobatórios de regularidade; e

VI – obtenção de informações precisas e de fácil acesso nos locais de prestação do serviço, assim como sua disponibilização na internet, especialmente sobre:

a) horário de funcionamento das unidades administrativas;

b) serviços prestados pelo órgão ou entidade, sua localização exata e a indicação do setor responsável pelo atendimento ao público;

c) acesso ao agente público ou ao órgão encarregado de receber manifestações;

d) situação da tramitação dos processos administrativos em que figure como interessado; e

e) valor das taxas e tarifas cobradas pela prestação dos serviços, contendo informações para a compreensão exata da extensão do serviço prestado.

Art. 7º Os órgãos e entidades abrangidos por esta Lei divulgarão Carta de Serviços ao Usuário.

§ 1º A Carta de Serviços ao Usuário tem por objetivo informar o usuário sobre os serviços prestados pelo órgão ou entidade, as formas de acesso a esses serviços e seus compromissos e padrões de qualidade de atendimento ao público.

§ 2º A Carta de Serviços ao Usuário deverá trazer informações claras e precisas em relação a cada um dos serviços prestados, apresentando, no mínimo, informações relacionadas a:

I – serviços oferecidos;

II – requisitos, documentos, formas e informações necessárias para acessar o serviço;

III – principais etapas para processamento do serviço;

IV – previsão do prazo máximo para a prestação do serviço;

V – forma de prestação do serviço; e

VI – locais e formas para o usuário apresentar eventual manifestação sobre a prestação do serviço.

§ 3º Além das informações descritas no § 2º, a Carta de Serviços ao Usuário deverá detalhar os compromissos e padrões de qualidade do atendimento relativos, no mínimo, aos seguintes aspectos:

I – prioridades de atendimento;

II – previsão de tempo de espera para atendimento;

III – mecanismos de comunicação com os usuários;

IV – procedimentos para receber e responder as manifestações dos usuários; e

V – mecanismos de consulta, por parte dos usuários, acerca do andamento do serviço solicitado e de eventual manifestação.

§ 4º A Carta de Serviços ao Usuário será objeto de atualização periódica e de permanente divulgação mediante publicação em sítio eletrônico do órgão ou entidade na internet.

§ 5º Regulamento específico de cada Poder e esfera de Governo disporá sobre a operacionalização da Carta de Serviços ao Usuário.

Art. 8º São deveres do usuário:

I – utilizar adequadamente os serviços, procedendo com urbanidade e boa-fé;

II – prestar as informações pertinentes ao serviço prestado quando solicitadas;

III – colaborar para a adequada prestação do serviço; e

IV – preservar as condições dos bens públicos por meio dos quais lhe são prestados os serviços de que trata esta Lei.

CAPÍTULO III
DAS MANIFESTAÇÕES DOS USUÁRIOS DE SERVIÇOS PÚBLICOS

Art. 9º Para garantir seus direitos, o usuário poderá apresentar manifestações perante a administração pública acerca da prestação de serviços públicos.

Art. 10. A manifestação será dirigida à ouvidoria do órgão ou entidade responsável e conterá a identificação do requerente.

§ 1º A identificação do requerente não conterá exigências que inviabilizem sua manifestação.

§ 2º São vedadas quaisquer exigências relativas aos motivos determinantes da apresentação de manifestações perante a ouvidoria.

§ 3º Caso não haja ouvidoria, o usuário poderá apresentar manifestações diretamente ao órgão ou entidade responsável pela execução do serviço e ao órgão ou entidade a que se subordinem ou se vinculem.

§ 4º A manifestação poderá ser feita por meio eletrônico, ou correspondência convencional, ou verbalmente, hipótese em que deverá ser reduzida a termo.

§ 5º No caso de manifestação por meio eletrônico, prevista no § 4º, respeitada a legislação específica de sigilo e proteção de dados, poderá a administração pública ou sua ouvidoria requerer meio de certificação da identidade do usuário.

§ 6º Os órgãos e entidades públicos abrangidos por esta Lei deverão colocar à disposição do usuário formulários simplificados e de fácil compreensão para a apresentação do requerimento previsto no caput, facultada ao usuário sua utilização.

§ 7º A identificação do requerente é informação pessoal protegida com restrição de acesso nos termos da Lei nº 12.527, de 18 de novembro de 2011.

Art. 11. Em nenhuma hipótese, será recusado o recebimento de manifestações formuladas nos termos desta Lei, sob pena de responsabilidade do agente público.

Art. 12. Os procedimentos administrativos relativos à análise das manifestações observarão os princípios da eficiência e da celeridade, visando a sua efetiva resolução.

Parágrafo único. A efetiva resolução das manifestações dos usuários compreende:

I – recepção da manifestação no canal de atendimento adequado;

II – emissão de comprovante de recebimento da manifestação;

III – análise e obtenção de informações, quando necessário;

IV – decisão administrativa final; e

V – ciência ao usuário.

CAPÍTULO IV
DAS OUVIDORIAS

Art. 13. As ouvidorias terão como atribuições precípuas, sem prejuízo de outras estabelecidas em regulamento específico:

I – promover a participação do usuário na administração pública, em cooperação com outras entidades de defesa do usuário;

II – acompanhar a prestação dos serviços, visando a garantir a sua efetividade;

III – propor aperfeiçoamentos na prestação dos serviços;

IV – auxiliar na prevenção e correção dos atos e procedimentos incompatíveis com os princípios estabelecidos nesta Lei;

V – propor a adoção de medidas para a defesa dos direitos do usuário, em observância às determinações desta Lei;

VI – receber, analisar e encaminhar às autoridades competentes as manifestações, acompanhando o tratamento e a efetiva conclusão das manifestações de usuário perante órgão ou entidade a que se vincula; e

VII – promover a adoção de mediação e conciliação entre o usuário e o órgão ou a entidade pública, sem prejuízo de outros órgãos competentes.

Art. 14. Com vistas à realização de seus objetivos, as ouvidorias deverão:

I – receber, analisar e responder, por meio de mecanismos proativos e reativos, as manifestações encaminhadas por usuários de serviços públicos; e

II – elaborar, anualmente, relatório de gestão, que deverá consolidar as informações mencionadas no inciso I, e, com base nelas, apontar falhas e sugerir melhorias na prestação de serviços públicos.

Art. 15. O relatório de gestão de que trata o inciso II do caput do art. 14 deverá indicar, ao menos:

I – o número de manifestações recebidas no ano anterior;

II – os motivos das manifestações;

III – a análise dos pontos recorrentes; e

IV – as providências adotadas pela administração pública nas soluções apresentadas.

Parágrafo único. O relatório de gestão será:

I – encaminhado à autoridade máxima do órgão a que pertence a unidade de ouvidoria; e

II – disponibilizado integralmente na internet.

Art. 16. A ouvidoria encaminhará a decisão administrativa final ao usuário, observado o prazo de trinta dias, prorrogável de forma justificada uma única vez, por igual período.

Parágrafo único. Observado o prazo previsto no caput, a ouvidoria poderá solicitar informações e esclarecimentos diretamente a agentes públicos do órgão ou entidade a que se vincula, e as solicitações devem ser respondidas no prazo de vinte dias, prorrogável de forma justificada uma única vez, por igual período.

Art. 17. Atos normativos específicos de cada Poder e esfera de Governo disporão sobre a organização e o funcionamento de suas ouvidorias.

CAPÍTULO V
DOS CONSELHOS DE USUÁRIOS

Art. 18. Sem prejuízo de outras formas previstas na legislação, a participação dos usuários no acompanhamento da prestação e na avaliação dos serviços públicos será feita por meio de conselhos de usuários.

Parágrafo único. Os conselhos de usuários são órgãos consultivos dotados das seguintes atribuições:

I – acompanhar a prestação dos serviços;

II – participar na avaliação dos serviços;

III – propor melhorias na prestação dos serviços;

IV – contribuir na definição de diretrizes para o adequado atendimento ao usuário; e

V – acompanhar e avaliar a atuação do ouvidor.

Art. 19. A composição dos conselhos deve observar os critérios de representatividade e pluralidade das partes interessadas, com vistas ao equilíbrio em sua representação.

Parágrafo único. A escolha dos representantes será feita em processo aberto ao público e diferenciado por tipo de usuário a ser representado.

Art. 20. O conselho de usuários poderá ser consultado quanto à indicação do ouvidor.

Art. 21. A participação do usuário no conselho será considerada serviço relevante e sem remuneração.

Art. 22. Regulamento específico de cada Poder e esfera de Governo disporá sobre a organização e funcionamento dos conselhos de usuários.

CAPÍTULO VI
DA AVALIAÇÃO CONTINUADA DOS SERVIÇOS PÚBLICOS

Art. 23. Os órgãos e entidades públicos abrangidos por esta Lei deverão avaliar os serviços prestados, nos seguintes aspectos:

I – satisfação do usuário com o serviço prestado;

II – qualidade do atendimento prestado ao usuário;

III – cumprimento dos compromissos e prazos definidos para a prestação dos serviços;

IV – quantidade de manifestações de usuários; e

V – medidas adotadas pela administração pública para melhoria e aperfeiçoamento da prestação do serviço.

§ 1º A avaliação será realizada por pesquisa de satisfação feita, no mínimo, a cada um ano, ou por qualquer outro meio que garanta significância estatística aos resultados.

§ 2º O resultado da avaliação deverá ser integralmente publicado no sítio do órgão ou entidade, incluindo o ranking das entidades com maior incidência de reclamação dos usuários na periodicidade a que se refere o § 1º, e servirá de subsídio para reorientar e ajustar os serviços prestados, em especial quanto ao cumprimento dos compromissos e dos padrões de qualidade de atendimento divulgados na Carta de Serviços ao Usuário.

Art. 24. Regulamento específico de cada Poder e esfera de Governo disporá sobre a avaliação da efetividade e dos níveis de satisfação dos usuários.

CAPÍTULO VII
DISPOSIÇÕES FINAIS E TRANSITÓRIAS

Art. 25. Esta Lei entra em vigor, a contar da sua publicação, em:

I – trezentos e sessenta dias para a União, os Estados, o Distrito Federal e os Municípios com mais de quinhentos mil habitantes;

II – quinhentos e quarenta dias para os Municípios entre cem mil e quinhentos mil habitantes; e

III – setecentos e vinte dias para os Municípios com menos de cem mil habitantes.

Brasília, 26 de junho de 2017; 196º da Independência e 129º da República.

MICHEL TEMER

Torquato Jardim

Dyogo Henrique de Oliveira

Wagner de Campos Rosário