Pedro Dalese

O <a href="https://www.jota.info/opiniao-e-analise/artigos/protecao-dados-pessoais-china-20112020">primeiro artigo</a> sobre o projeto de lei de proteção de informações pessoais da China (PLPIP) apresentou a estrutura normativa e os princípios norteadores desse projeto, enfatizando a importância acerca da compreensão do assunto para uma interpretação das novas regras regulatórias de privacidade e proteção de informações pessoais que passarão a integrar o ordenamento chinês.
Também foram trazidas as definições de tratamento, informações pessoais e informações pessoais sensíveis que demonstram a intenção do legislador chinês de proteger e fortalecer os direitos de privacidade e autodeterminação informativa dos titulares, independentemente de sua nacionalidade, frente a uma sociedade fortemente marcada por transformações tecnológicas.
<div id="pro-poder-analise-politica-duplicado-4a97710080f7d951df05" role="main"></div>
<script type="text/javascript" src="https://d335luupugsy2.cloudfront.net/js/rdstation-forms/stable/rdstation-forms.min.js"></script> 
<script type="text/javascript"> new RDStationForms('pro-poder-analise-politica-duplicado-4a97710080f7d951df05', 'UA-53687336-1').createForm();</script>
Nesta sede, é importante destacar que um projeto de lei de proteção de informações pessoais, de interesse nacional, como ocorre com o PLPIP, possui uma função essencial e estratégica no desenvolvimento econômico da China, principalmente por fornecer fundamentos e bases legais que não se restringem às atividades de tecnologia e inovação, de modo a abranger qualquer produto ou serviço que se valha do tratamento de informações pessoais com fins econômicos.
O Capítulo II (arts. 13 ao 37), que trata sobre as regras norteadoras do tratamento de informações pessoais, divide-se em três seções: 1. disposições comuns, 2. requisitos para o tratamento de informações pessoais sensíveis e 3. disposições específicas do tratamento de informações pessoais pelo poder público. O PLPIP, diferentemente da Lei de Segurança Cibernética que somente prevê o consentimento como base legal para as atividades de tratamento, elenca seis requisitos legais aptos a legitimar o tratamento de informações pessoais (art. 13), quais sejam:
<ol>
<li>consentimento do titular dos dados;</li>
<li>obrigações contratuais;</li>
<li>obrigações legais ou regulatórias;</li>
<li>proteção da vida, tutela da saúde, segurança dos bens ou condições emergenciais;</li>
<li>atividades jornalísticas ou de interesse público ou</li>
<li>demais hipóteses previstas em legislação específica.</li>
</ol>
Todavia, é de se destacar que o consentimento surge como uma base legal nuclear das atividades de tratamento, citado por 26 vezes ao longo do projeto de lei. Outro ponto que chama a atenção diz respeito ao fato do legítimo interesse não estar elencado como um requisito legal válido para o tratamento de informações pessoais, bem como que o regulamento não realiza distinção entre as bases legais a serem utilizadas no tratamento de informações pessoais e informações pessoais sensíveis.<a href="#_ftn1" name="_ftnref1">[1]</a>
Sobre o consentimento, este deverá ser fornecido por meio de declaração voluntária e explícita, bem como por manifestação livre e informada (art. 14). Em acréscimo, o regulamento assevera que nas hipóteses em que a legislação especial dispor sobre um consentimento específico ou por escrito, tais disposições devem ser observadas. O PLPIP é expresso ao versar que quando ocorrer uma mudança na finalidade do tratamento de informações pessoais, na forma como o tratamento é realizado ou na categorização de informações pessoais, o consentimento do titular deverá ser obtido novamente (art. 14). No que tange a informações pessoais de crianças, até quatorze anos de idade incompletos, faz-se necessário um consentimento específico dado pelo responsável legal (art. 15). Por outro lado, nas hipóteses em que o Estado vier a realizar atividades de tratamento que sejam legalmente sigilosas ou possam vir a interferir no desenvolvimento de políticas públicas, o tratamento de informações pessoais independerá do consentimento (art. 35).
Em sua seção segunda, ao tratar de informações pessoais sensíveis, o regulamento exige que os controladores sejam diligentes em suas operações, limitando o tratamento de informações pessoais ao mínimo necessário para a realização de suas finalidades (art. 29), por meio de notificação do titular sobre a necessidade do tratamento e o impacto das atividades sobre seus direitos e interesses (art. 31), além de preceituar acerca da observância a leis ou regulamentos administrativos que versem sobre o assunto (art. 32). O tratamento de informações pessoais sensíveis, além de estar lastreado pelos princípios da segurança e informação (art. 18), deverá ser realizado mediante a obtenção de consentimento específico do titular (art. 30).
Ao passo que na terceira seção, ao versar sobre o tratamento de informações pessoais pelo poder público, o regulamento preceitua que os órgãos do Estado que processem informações pessoais para o cumprimento de deveres e responsabilidades devem conduzir suas operações de acordo com os poderes e procedimentos previstos na norma, bem como em leis ou regulamentos administrativos que tratem do assunto, não podendo exceder suas atribuições legais (art. 34), exceto se houver legislação específica dispondo em contrário ou na hipótese de fornecimento de consentimento do titular (art. 36).
<blockquote class="jota-article__eye">Sobre o armazenamento de informações pessoais<a href="#_ftn2" name="_ftnref2">[2]</a> por parte do poder público, como regra, ocorrerá na República Popular da China, e, quando assim não o for, estará sujeito a avaliação de risco (art. 37).</blockquote>
No âmbito privado, quando as atividades de tratamento forem realizadas fora do território chinês, o regulamento exige que os controladores estabeleçam uma entidade ou nomeiem um representante legal no país como responsável pelos assuntos relacionados às informações pessoais objeto do tratamento (art. 52).
O PLPIP, mesmo que de forma implícita, trata sobre as engenharias de segurança, privacy by design e by default,<a href="#_ftn3" name="_ftnref3">[3]</a> ao versar sobre a necessidade de adoção, por parte dos responsáveis pelas atividades de tratamento, de medidas técnicas e administrativas que estejam aptas a garantir a segurança da informação durante o seu ciclo de vida (art. 9º e art. 50).
Na busca por um modelo de proteção e segurança by default, intrínseco ao modelo, o art. 8º é claro ao versar que "as informações pessoais devem ser precisas e atualizadas em tempo hábil". Além disso, o art. 53 impõe obrigações aos responsáveis quanto à realização de avaliações e auditorias regulares para verificar se suas operações e atividades estão em conformidade com a norma.
De forma complementar, é de se observar que nenhuma organização ou pessoa natural poderá tratar informações pessoais em violação às disposições legais ou se envolver em atividades de tratamento de informações pessoais que prejudiquem a segurança nacional ou o interesse público (art. 10).
Nesse sentido, com vistas à implementação de um modelo regulatório pautado em mecanismos de accountability e transparência, a publicação de relatórios de avaliação de risco surge como uma obrigação legal nas hipóteses em que o tratamento se destinar a (i) informações pessoais sensíveis; (ii) tomada de decisão automatizada; (iii) fornecimento de informações pessoais a terceiros; (iv) publicação de informações pessoais ou (v) envolver informações pessoais que possam colocar em risco direitos e interesses do titular (art. 54).
No plano da reparação dos danos patrimoniais e extrapatrimoniais decorrentes do descumprimento da norma, optou o legislador chinês pelo regime da responsabilidade civil subjetiva, visto que “quando o controlador puder provar que não é o culpado, ele pode ser dispensado ou isento de responsabilidade” (art. 65).
Outro argumento que corrobora com tal entendimento consiste no fato de que ao se analisar o PLPIP de forma sistemática é possível verificar uma série de deveres e obrigações, tanto preventivos como repressivos, para os responsáveis pelas atividades de tratamento (arts. 9º, 18, 20, 22, 51, 53, 54, 55, 60 e 62). No mesmo sentido, encontra-se positivado no art. 50 que os responsáveis pelas atividades de tratamento poderão formular regras de boas práticas e de governança que estabeleçam (1) as estruturas e regras de gestão interna, (2) o gerenciamento das informações pessoais, (3) a adoção de normas de segurança, como criptografia ou anonimização, (4) os limites operacionais e ações educativas e de treinamento para os funcionários, bem como (5) planos de resposta a incidentes de segurança.
Diante do cuidado com o assunto, é de se destacar a redação inicial do art. 62, pois, dentro de uma estratégia regulatória responsiva, a adoção às práticas de compliance, muito mais que uma obrigação legal, estão aptas a gerar efeitos favoráveis aos responsáveis pelas atividades de tratamento na dosimetria das sanções administrativas. Por último, cumpre destacar que as violações ao regulamento estão aptas a configurar responsabilização administrativa (62), civil (65) e até mesmo criminal (67).
<hr />
O episódio 43 do podcast Sem Precedentes analisa a nova rotina do STF, que hoje tem julgado apenas 1% dos processos de forma presencial. Ouça:
https://youtu.be/a6M2upbiCFY
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> Em sentido oposto, arts. 7º (requisitos para o tratamento de dados pessoais) e 11 (requisitos para o tratamento de dados pessoais sensíveis) da Lei 13.709/2018 (LGPD).
<a href="#_ftnref2" name="_ftn2">[2]</a> O Regulamento nº 2016/679 (Regulamento Geral Europeu sobre a Proteção de Dados), ao tratar sobre o princípio da limitação do armazenamento ou storage limitation, em seu art. 5º, (1), "e", versa da seguinte maneira: “Os dados pessoais são: Conservados de uma forma que permita a identificação dos titulares dos dados apenas durante o período necessário para as finalidades para as quais são tratados; os dados pessoais podem ser conservados durante períodos mais longos, desde que sejam tratados exclusivamente para fins de arquivo de interesse público, ou para fins de investigação científica ou histórica ou para fins estatísticos, em conformidade com o artigo 89, (1), sujeitos à aplicação das medidas técnicas e organizativas adequadas exigidas pelo presente regulamento, a fim de salvaguardar os direitos e liberdades do titular dos dados”.
<a href="#_ftnref3" name="_ftn3">[3]</a> CAVOUKIAN, Ann. Privacy by design: the definitive workshop. A foreword by Ann Cavoukian, 2010. p 249-250.

Celular pode ser usado para acionar assistentes virtuais de defensorias

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

O projeto de lei de proteção de dados e sua função estratégica no desenvolvimento econômico

Aspectos gerais sobre o PL de proteção de informações pessoais da China

O projeto de lei de proteção de dados e sua função estratégica no desenvolvimento econômico