


                       PROJETO DE LEI Nº 598, DE 2018


                                 Suplementa no Estado de São  Paulo  a  Lei
                                 Federal nº 13.709,  de  14  de  agosto  de
                                 2018, que dispõe sobre a proteção de dados
                                 pessoais.





A ASSEMBLEIA LEGISLATIVA DO ESTADO DE SÃO PAULO DECRETA:


                                 Capítulo I
                          Disposições Preliminares



Artigo 1º - Esta Lei dispõe sobre o tratamento de dados pessoais  no  Estado
de São Paulo, inclusive nos  meios  digitais,  por  pessoa  natural  ou  por
pessoa jurídica de direito público ou privado, com o  objetivo  de  proteger
os  direitos  fundamentais  de  liberdade  e  de  privacidade  e   o   livre
desenvolvimento da personalidade da pessoa natural.


Artigo  2º  -  A  disciplina  da  proteção  de  dados  pessoais   tem   como
fundamentos:


I - o respeito à privacidade;


II - a autodeterminação informativa;


III - a liberdade de expressão, de informação, de comunicação e de opinião;


IV - a inviolabilidade da intimidade, da honra e da imagem;


V - o desenvolvimento econômico e tecnológico e a inovação;


VI - a livre iniciativa, a livre concorrência e a defesa do consumidor; e


VII - os direitos humanos,  o  livre  desenvolvimento  da  personalidade,  a
dignidade e o exercício da cidadania pelas pessoas naturais.


Artigo 3º - Esta Lei aplica-se a qualquer operação de  tratamento  realizada
por pessoa natural ou por pessoa jurídica de  direito  público  ou  privado,
independentemente do meio, do estado de sua sede ou do estado  onde  estejam
localizados os dados, desde que:


I - a operação de tratamento seja realizada  no  âmbito  do  Estado  de  São
Paulo;


II  -  a  atividade  de  tratamento  tenha  por  objetivo  a  oferta  ou   o
fornecimento de bens ou serviços ou o  tratamento  de  dados  de  indivíduos
localizados no território estadual; 


III - os dados pessoais  objeto  do  tratamento  tenham  sido  coletados  no
território estadual.


§ 1º - Consideram-se coletados no  território  estadual  os  dados  pessoais
cujo titular nele se encontre no momento da coleta.


§ 2º - Excetua-se do disposto no inciso  I  deste  artigo  o  tratamento  de
dados previsto no inciso IV do caput do Artigo 4º desta Lei.


Artigo 4º - Esta Lei não se aplica ao tratamento de dados pessoais:


I - realizado por pessoa natural para  fins  exclusivamente  particulares  e
não econômicos;


II - realizado para fins exclusivamente:


a) artísticos; ou


b) acadêmicos, aplicando-se a esta hipótese os arts. 7º e 11 desta Lei;


III - realizado para fins exclusivos de:


a) segurança pública;


b) segurança do Estado; ou


c) atividades de investigação e repressão de infrações penais; ou


IV - provenientes de fora do território estadual e que não sejam  objeto  de
comunicação, uso compartilhado de dados com agentes de  tratamento  nacional
e estadual ou objeto de transferência  de  dados  com  outro  estado,  desde
proporcionado grau de proteção de dados pessoais adequado ao previsto  nesta
Lei e na Lei Federal nº 13.709, de 15 de agosto de 2018.


§ 1º - O tratamento de dados pessoais previsto no  inciso  III  obedecerá  o
disposto em legislação específica, nos termos do §1° do inciso IV do  Artigo
4º da Lei Federal nº 13.709, de 15 de agosto de 2018.


§ 2º - É vedado o tratamento  dos  dados  a  que  se  refere  o  inciso  III
do caput deste  artigo  por   pessoa   de   direito   privado,   exceto   em
procedimentos sob tutela de pessoa jurídica de direito  público,  que  serão
objeto de informe específico à autoridade estadual e que deverão observar  a
limitação imposta no § 4º deste artigo.


§ 3º - A autoridade estadual  emitirá  opiniões  técnicas  ou  recomendações
referentes às exceções previstas  no  inciso  III  do caput deste  artigo  e
deverá solicitar aos responsáveis relatórios de impacto à proteção de  dados
pessoais.


§ 4º - Em nenhum caso a totalidade dos dados pessoais de banco de  dados  de
que trata o inciso III do caput deste artigo poderá ser tratada  por  pessoa
de direito privado. 


Artigo 5º - Para os fins desta Lei, considera-se:


I - dado pessoal: informação relacionada à pessoa  natural  identificada  ou
identificável;


II - dado pessoal sensível: dado pessoal  sobre  origem  racial  ou  étnica,
convicção  religiosa,  opinião  política,  filiação   a   sindicato   ou   a
organização de caráter religioso, filosófico ou político, dado  referente  à
saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a  uma
pessoa natural;


III  -  dado  anonimizado:  dado  relativo  a  titular  que  não  possa  ser
identificado, considerando  a  utilização  de  meios  técnicos  razoáveis  e
disponíveis na ocasião de seu tratamento;


IV - banco de dados: conjunto estruturado de  dados  pessoais,  estabelecido
em um ou em vários locais, em suporte eletrônico ou físico;


V - titular: pessoa natural a quem se referem os dados  pessoais  objeto  de
tratamento;


VI -  controlador:  pessoa  natural  ou  jurídica,  de  direito  público  ou
privado, a quem competem as  decisões  referentes  ao  tratamento  de  dados
pessoais;


VII - operador: pessoa natural ou jurídica, de direito público  ou  privado,
que realiza o tratamento de dados pessoais em nome do controlador;


VIII - encarregado: pessoa natural,  indicada  pelo  controlador,  que  atua
como canal de comunicação entre o controlador e os titulares e a  autoridade
estadual;


IX - agentes de tratamento: o controlador e o operador;


X - tratamento: toda operação realizada com dados pessoais, como as  que  se
referem a coleta, produção,  recepção,  classificação,  utilização,  acesso,
reprodução,   transmissão,   distribuição,   processamento,    arquivamento,
armazenamento,   eliminação,   avaliação   ou   controle   da    informação,
modificação, comunicação, transferência, difusão ou extração;


XI - anonimização: utilização de meios técnicos razoáveis e  disponíveis  no
momento do tratamento, por meio dos quais um dado perde a  possibilidade  de
associação, direta ou indireta, a um indivíduo;


XII - consentimento: manifestação livre, informada e inequívoca pela qual  o
titular  concorda  com  o  tratamento  de  seus  dados  pessoais  para   uma
finalidade determinada;


XIII - bloqueio: suspensão temporária de qualquer  operação  de  tratamento,
mediante guarda do dado pessoal ou do banco de dados;


XIV - eliminação: exclusão de dado ou de conjunto de  dados  armazenados  em
banco de dados, independentemente do procedimento empregado;


XV - transferência de dados: transferência  de  dados  pessoais  para  outro
estado da federação ou país estrangeiro;


XVI - uso  compartilhado  de  dados:  comunicação,  difusão,  transferência,
interconexão de dados pessoais ou  tratamento  compartilhado  de  bancos  de
dados pessoais por órgãos  e  entidades  públicos  no  cumprimento  de  suas
competências legais, ou entre esses e entes  privados,  reciprocamente,  com
autorização  específica,  para  uma  ou  mais  modalidades   de   tratamento
permitidas por esses entes públicos, ou entre entes privados;


XVII - relatório de impacto à proteção de dados  pessoais:  documentação  do
controlador que contém a descrição dos  processos  de  tratamento  de  dados
pessoais  que  podem  gerar  riscos  às  liberdades  civis  e  aos  direitos
fundamentais, bem como medidas, salvaguardas e mecanismos  de  mitigação  de
risco;


XVIII - órgão de  pesquisa:  órgão  ou  entidade  da  administração  pública
direta  ou  indireta  ou  pessoa  jurídica  de  direito  privado  sem   fins
lucrativos legalmente constituída sob a legislação federal e  estadual,  com
sede e foro no Estado de São Paulo, que inclua em sua  missão  institucional
ou em seu objetivo social ou estatutário a pesquisa básica  ou  aplicada  de
caráter histórico, científico, tecnológico ou estatístico;


XIX - autoridade  estadual:  órgão  da  administração  pública  direta  e/ou
indireta responsável por  zelar,  implementar  e  fiscalizar  o  cumprimento
desta Lei.


Artigo 6º - As atividades de tratamento de dados pessoais  deverão  observar
a boa-fé e os seguintes princípios:


I  -  finalidade:  realização  do  tratamento  para  propósitos   legítimos,
específicos, explícitos  e  informados  ao  titular,  sem  possibilidade  de
tratamento posterior de forma incompatível com essas finalidades;


II - adequação: compatibilidade do tratamento com as finalidades  informadas
ao titular, de acordo com o contexto do tratamento;


III - necessidade: limitação do  tratamento  ao  mínimo  necessário  para  a
realização de suas  finalidades,  com  abrangência  dos  dados  pertinentes,
proporcionais e não excessivos em relação às finalidades  do  tratamento  de
dados;


IV - livre  acesso:  garantia,  aos  titulares,  de  consulta  facilitada  e
gratuita sobre a  forma  e  a  duração  do  tratamento,  bem  como  sobre  a
integralidade de seus dados pessoais;


V - qualidade dos dados: garantia,  aos  titulares,  de  exatidão,  clareza,
relevância e atualização dos dados, de acordo com a  necessidade  e  para  o
cumprimento da finalidade de seu tratamento;


VI  -  transparência:  garantia,  aos  titulares,  de  informações   claras,
precisas e facilmente acessíveis sobre  a  realização  do  tratamento  e  os
respectivos agentes  de  tratamento,  observados  os  segredos  comercial  e
industrial;


VII - segurança: utilização de medidas técnicas e  administrativas  aptas  a
proteger os dados  pessoais  de  acessos  não  autorizados  e  de  situações
acidentais ou ilícitas  de  destruição,  perda,  alteração,  comunicação  ou
difusão;


VIII - prevenção: adoção de medidas para prevenir a ocorrência de  danos  em
virtude do tratamento de dados pessoais;


IX - não discriminação: impossibilidade de  realização  do  tratamento  para
fins discriminatórios ilícitos ou abusivos;


X - responsabilização e prestação de contas: demonstração, pelo  agente,  da
adoção de medidas  eficazes  e  capazes  de  comprovar  a  observância  e  o
cumprimento das normas de  proteção  de  dados  pessoais  e,  inclusive,  da
eficácia dessas medidas. 





                                 CAPÍTULO II
                       DO TRATAMENTO DE DADOS PESSOAIS


                                   Seção I
             Dos Requisitos para o Tratamento de Dados Pessoais


Artigo 7º - O tratamento de dados pessoais somente poderá ser realizado  nas
seguintes hipóteses:


I - mediante o fornecimento de consentimento pelo titular;


II - para o cumprimento de obrigação legal ou regulatória pelo controlador;


III - pela administração pública, para o tratamento e uso  compartilhado  de
dados necessários à execução de  políticas  públicas  previstas  em  leis  e
regulamentos  ou  respaldadas  em  contratos,  convênios   ou   instrumentos
congêneres, observadas as disposições do Capítulo IV  desta  Lei  e  da  Lei
Federal nº 13.709, de 15 de agosto de 2018;


IV - para a realização de estudos por órgão de pesquisa,  garantida,  sempre
que possível, a anonimização dos dados pessoais;


V - quando necessário para  a  execução  de  contrato  ou  de  procedimentos
preliminares relacionados a contrato do qual seja parte o titular, a  pedido
do titular dos dados;


VI  -  para  o  exercício  regular  de  direitos   em   processo   judicial,
administrativo ou  arbitral,  esse  último  nos  termos  da Lei  Federal  nº
9.307/96;


VII - para a proteção da vida ou da incolumidade física  do  titular  ou  de
terceiro;


VIII - para a tutela da saúde, em procedimento realizado  por  profissionais
da área da saúde ou por entidades sanitárias;


IX - quando necessário para atender aos interesses legítimos do  controlador
ou de terceiro,  exceto  no  caso  de  prevalecerem  direitos  e  liberdades
fundamentais do titular que exijam a proteção dos dados pessoais; ou


X - para a proteção do crédito, inclusive quanto ao disposto  na  legislação
pertinente.


§  1º  -  Nos  casos  de  aplicação  do  disposto  nos  incisos  II  e   III
do caput deste artigo e excetuadas  as  hipóteses  previstas  no  Artigo  4º
desta Lei, o titular será informado das hipóteses em  que  será  admitido  o
tratamento de seus dados.


§ 2º - A forma de disponibilização das informações previstas no §  1º  e  no
inciso I do caput do Artigo  23  desta  Lei  poderá  ser  especificada  pela
autoridade estadual.


§ 3º - O tratamento de dados pessoais cujo acesso é público deve  considerar
a  finalidade,  a  boa-fé  e  o  interesse  público  que  justificaram   sua
disponibilização.


§ 4º- É dispensada a  exigência  do  consentimento  previsto  no caput deste
artigo  para  os  dados  tornados  manifestamente  públicos  pelo   titular,
resguardados os direitos do titular e os princípios previstos nesta Lei.


§ 5º - O controlador  que  obteve  o  consentimento  referido  no  inciso  I
do caput deste  artigo  que  necessitar  comunicar  ou  compartilhar   dados
pessoais com outros controladores deverá obter consentimento  específico  do
titular  para  esse  fim,  ressalvadas   as   hipóteses   de   dispensa   do
consentimento previstas nesta Lei.


§ 6º - A eventual dispensa da exigência do consentimento  não  desobriga  os
agentes  de  tratamento  das  demais   obrigações   previstas   nesta   Lei,
especialmente da  observância  dos  princípios  gerais  e  da  garantia  dos
direitos do titular.


Artigo 8º - O consentimento previsto no inciso I  do  Artigo  7º  desta  Lei
deverá ser  fornecido  por  escrito  ou  por  outro  meio  que  demonstre  a
manifestação de vontade do titular.


§ 1º - Caso o consentimento seja fornecido por escrito, esse deverá  constar
de cláusula destacada das demais cláusulas contratuais.


§ 2º - Cabe ao controlador o ônus  da  prova  de  que  o  consentimento  foi
obtido em conformidade com o disposto nesta Lei.


§  3º  -  É  vedado  o  tratamento  de  dados  pessoais  mediante  vício  de
consentimento.


§ 4º - O consentimento deverá referir-se a finalidades  determinadas,  e  as
autorizações genéricas para o tratamento de dados pessoais serão nulas.


§ 5º - O  consentimento  pode  ser  revogado  a  qualquer  momento  mediante
manifestação expressa do titular, por procedimento  gratuito  e  facilitado,
ratificados  os  tratamentos  realizados   sob   amparo   do   consentimento
anteriormente manifestado enquanto não houver  requerimento  de  eliminação,
nos termos do inciso VI do caput do Artigo 18 desta Lei.


§ 6º - Em caso de alteração de informação referida nos incisos  I,  II,  III
ou V do Artigo 9º desta Lei, o controlador deverá informar ao  titular,  com
destaque de forma específica do teor das alterações, podendo o titular,  nos
casos em que o seu consentimento  é  exigido,  revogá-lo  caso  discorde  da
alteração.


Artigo 9º - O titular tem direito ao acesso facilitado às informações  sobre
o tratamento de seus  dados,  que  deverão  ser  disponibilizadas  de  forma
clara,  adequada  e  ostensiva  acerca  de,  entre  outras   características
previstas em  regulamentação  para  o  atendimento  do  princípio  do  livre
acesso:


I - finalidade específica do tratamento;


II - forma e duração do  tratamento,  observados  os  segredos  comercial  e
industrial;


III - identificação do controlador;


IV - informações de contato do controlador;


V - informações acerca do uso compartilhado de dados pelo  controlador  e  a
finalidade;


VI - responsabilidades dos agentes que realizarão o tratamento; e


VII - direitos do titular, com menção explícita  aos  direitos  contidos  no
Artigo 18 desta Lei.


§  1º  -  Na  hipótese  em  que  o  consentimento  é  requerido,  esse  será
considerado nulo caso as informações fornecidas ao titular  tenham  conteúdo
enganoso  ou  abusivo  ou  não  tenham  sido  apresentadas  previamente  com
transparência, de forma clara e inequívoca.


§ 2º - Na hipótese em que o consentimento é requerido,  se  houver  mudanças
da finalidade para o tratamento de dados  pessoais  não  compatíveis  com  o
consentimento original, o controlador deverá informar previamente o  titular
sobre as mudanças de finalidade, podendo o titular revogar o  consentimento,
caso discorde das alterações.


§  3º  -  Quando  o  tratamento  de  dados  pessoais  for  condição  para  o
fornecimento de produto ou de serviço ou para  o  exercício  de  direito,  o
titular será informado com destaque sobre esse fato e sobre os  meios  pelos
quais poderá exercer os direitos do titular elencados  no  Artigo  18  desta
Lei.


Artigo 10 - O legítimo interesse do controlador somente  poderá  fundamentar
tratamento de dados pessoais  para  finalidades  legítimas,  consideradas  a
partir de situações concretas, que incluem, mas não se limitam a:


I - apoio e promoção de atividades do controlador; e


II - proteção, em relação ao titular, do exercício regular de seus  direitos
ou  prestação  de  serviços  que  o  beneficiem,  respeitadas  as  legítimas
expectativas dele e os direitos e liberdades fundamentais, nos termos  desta
Lei e da Lei Federal nº 13.709, de 15 de agosto de 2018.


§  1º  -  Quando  o  tratamento  for  baseado  no  legítimo   interesse   do
controlador, somente os  dados  pessoais  estritamente  necessários  para  a
finalidade pretendida poderão ser tratados.


§ 2º - O controlador deverá adotar medidas para garantir a transparência  do
tratamento de dados baseado em seu legítimo interesse.


§ 3º - A autoridade estadual poderá solicitar ao  controlador  relatório  de
impacto à proteção  de  dados  pessoais,  quando  o  tratamento  tiver  como
fundamento seu  interesse  legítimo,  observados  os  segredos  comercial  e
industrial. 


                                  Seção II
                  Do Tratamento de Dados Pessoais Sensíveis


Artigo 11 -   O  tratamento  de  dados  pessoais  sensíveis  somente  poderá
ocorrer nas seguintes hipóteses:


I  -  quando  o  titular  ou  seu  responsável  legal  consentir,  de  forma
específica e destacada, para finalidades específicas;


II - sem fornecimento de consentimento do titular, nas hipóteses em que  for
indispensável para:


a) cumprimento de obrigação legal ou regulatória pelo controlador;


b)  tratamento  compartilhado  de  dados  necessários   à   execução,   pela
administração  pública,  de  políticas  públicas  previstas   em   leis   ou
regulamentos;


c) realização de estudos  por  órgão  de  pesquisa,  garantida,  sempre  que
possível, a anonimização dos dados pessoais sensíveis;


d) exercício regular de  direitos,  inclusive  em  contrato  e  em  processo
judicial e administrativo;


e) proteção da vida ou da incolumidade física do titular ou de terceiro;


f) tutela da saúde, em procedimento realizado por profissionais da  área  da
saúde ou por entidades sanitárias; ou


g) garantia da prevenção à fraude e à segurança do  titular,  nos  processos
de  identificação  e  autenticação  de  cadastro  em  sistemas  eletrônicos,
resguardados os direitos mencionados no Artigo 9º  desta  Lei  e  exceto  no
caso de prevalecerem direitos  e  liberdades  fundamentais  do  titular  que
exijam a proteção dos dados pessoais.


§ 1º - Aplica-se o disposto neste artigo  a  qualquer  tratamento  de  dados
pessoais que revele dados pessoais sensíveis e  que  possa  causar  dano  ao
titular, ressalvado o disposto em legislação específica.


§ 2º - Nos casos de aplicação do disposto nas alíneas “a” e  “b”  do  inciso
II do caput deste artigo pelos órgãos e pelas entidades públicas, será  dada
publicidade à referida dispensa de consentimento, nos  termos  do  inciso  I
do caput do Artigo 23 desta Lei.


§ 3º - A comunicação ou o uso  compartilhado  de  dados  pessoais  sensíveis
entre controladores com objetivo de  obter  vantagem  econômica  poderá  ser
objeto de vedação ou de regulamentação por parte da  autoridade  nacional  e
estadual, ouvidos os órgãos setoriais do Poder Público, no  âmbito  de  suas
competências.


§ 4º - É vedada a comunicação ou o uso compartilhado entre controladores  de
dados pessoais sensíveis referentes à saúde com objetivo de  obter  vantagem
econômica, exceto nos casos de  portabilidade  de  dados  quando  consentido
pelo titular.


Artigo 12 - Os dados anonimizados  não  serão  considerados  dados  pessoais
para os fins desta Lei, salvo quando o  processo  de  anonimização  ao  qual
foram submetidos for revertido, utilizando  exclusivamente  meios  próprios,
ou quando, com esforços razoáveis, puder ser revertido.


§ 1º - A determinação do  que  seja  razoável  deve  levar  em  consideração
fatores objetivos, tais como custo  e  tempo  necessários  para  reverter  o
processo de anonimização, de acordo com  as  tecnologias  disponíveis,  e  a
utilização exclusiva de meios próprios.


§ 2º - Poderão ser igualmente considerados  como  dados  pessoais,  para  os
fins desta Lei, aqueles utilizados para formação  do  perfil  comportamental
de determinada pessoa natural, se identificada.


§ 3º - A autoridade estadual, em conjunto com  a  nacional,  se  necessário,
poderá  dispor  sobre  padrões  e  técnicas  utilizados  em   processos   de
anonimização e realizar verificações acerca de  sua  segurança,  ouvidos  os
órgão estadual, e nacional se necessário, de proteção de dados pessoais.


Artigo 13 - Na  realização  de  estudos  em  saúde  pública,  os  órgãos  de
pesquisa poderão ter acesso a bases de dados pessoais,  que  serão  tratados
exclusivamente  dentro  do  órgão  e  estritamente  para  a  finalidade   de
realização de estudos e  pesquisas  e  mantidos  em  ambiente  controlado  e
seguro, conforme práticas de segurança previstas em  regulamento  específico
e que incluam, sempre que possível, a anonimização  ou  pseudonimização  dos
dados, bem como considerem os devidos padrões éticos relacionados a  estudos
e pesquisas.


§ 1º - A divulgação dos resultados ou de qualquer fragmento do estudo ou  da
pesquisa de que  trata  o caput deste  artigo  em  nenhuma  hipótese  poderá
revelar dados pessoais.


§ 2º - O órgão de pesquisa será o responsável pela segurança  da  informação
prevista no caput deste artigo, não permitida, em  circunstância  alguma,  a
transferência dos dados a terceiro.


§ 3º - O  acesso  aos  dados  de  que  trata  este  artigo  será  objeto  de
regulamentação  por  parte  da  autoridade  estadual  da  área  de  saúde  e
sanitárias, atendendo-se, ainda, quando necessário, o  disposto  no  §3º  da
Lei Federal nº 13.709, de 15 de agosto de 2018.


§ 4º - Para os efeitos deste artigo, a pseudonimização é  o  tratamento  por
meio do qual  um  dado  perde  a  possibilidade  de  associação,  direta  ou
indireta, a um indivíduo, senão pelo uso  de  informação  adicional  mantida
separadamente pelo controlador em ambiente controlado e seguro. 


                                  Seção III
        Do Tratamento de Dados Pessoais de Crianças e de Adolescentes


Artigo 14 - O tratamento de dados pessoais de  crianças  e  de  adolescentes
deverá ser realizado em seu melhor interesse, nos termos deste artigo  e  da
legislação pertinente.


§ 1º - O tratamento de dados pessoais de crianças deverá ser  realizado  com
o consentimento específico e em destaque dado por pelo menos um dos pais  ou
pelo responsável legal.


§ 2º - No tratamento de  dados  de  que  trata  o  §  1º  deste  artigo,  os
controladores deverão manter pública a informação sobre os  tipos  de  dados
coletados, a forma de sua utilização e os  procedimentos  para  o  exercício
dos direitos a que se refere o Artigo 18 desta Lei.


§ 3º - Poderão ser coletados dados pessoais de crianças sem o  consentimento
a que se refere o § 1º deste artigo quando  a  coleta  for  necessária  para
contatar os pais ou o responsável legal, utilizados  uma  única  vez  e  sem
armazenamento,  ou  para  sua  proteção,  e  em  nenhum  caso  poderão   ser
repassados a terceiro sem o consentimento de que trata o § 1º deste artigo.


§  4º  -  Os  controladores  não  deverão  condicionar  a  participação  dos
titulares de que trata o § 1º deste artigo em jogos, aplicações de  internet
ou outras atividades  ao  fornecimento  de  informações  pessoais  além  das
estritamente necessárias à atividade.


§ 5º -  O  controlador  deve  realizar  todos  os  esforços  razoáveis  para
verificar que o consentimento a que se refere o § 1º deste artigo  foi  dado
pelo responsável pela criança, consideradas as tecnologias disponíveis.


§ 6º - As informações sobre o tratamento de  dados  referidas  neste  artigo
deverão ser fornecidas de maneira simples, clara e  acessível,  consideradas
as características físico-motoras, perceptivas, sensoriais,  intelectuais  e
mentais do usuário, com uso de recursos  audiovisuais  quando  adequado,  de
forma a proporcionar a informação necessária  aos  pais  ou  ao  responsável
legal e adequada ao entendimento da criança. 


                                  Seção IV
                      Do Término do Tratamento de Dados


Artigo 15  -  O  término  do  tratamento  de  dados  pessoais  ocorrerá  nas
seguintes hipóteses:


I - verificação de que a  finalidade  foi  alcançada  ou  de  que  os  dados
deixaram  de  ser  necessários  ou  pertinentes  ao  alcance  da  finalidade
específica almejada;


II - fim do período de tratamento;


III - comunicação do titular, inclusive  no  exercício  de  seu  direito  de
revogação do consentimento conforme disposto no §  5º  do  Artigo  8º  desta
Lei, resguardado o interesse público; ou


IV  -  determinação  da  autoridade  estadual,  quando  houver  violação  ao
disposto nesta Lei.


Artigo 16 -  Os dados pessoais  serão  eliminados  após  o  término  de  seu
tratamento, no âmbito e nos limites técnicos das  atividades,  autorizada  a
conservação para as seguintes finalidades:


I - cumprimento de obrigação legal ou regulatória pelo controlador;


II - estudo por  órgão  de  pesquisa,  garantida,  sempre  que  possível,  a
anonimização dos dados pessoais;


III - transferência a terceiro,  desde  que  respeitados  os  requisitos  de
tratamento de dados dispostos nesta Lei; ou


IV - uso exclusivo do controlador, vedado seu acesso por terceiro,  e  desde
que anonimizados os dados. 


                                CAPÍTULO III
                           DOS DIREITOS DO TITULAR


Artigo 17 - Toda pessoa natural tem assegurada a titularidade de seus  dados
pessoais e garantidos os direitos fundamentais de liberdade,  de  intimidade
e de privacidade, nos termos desta Lei e da Lei Federal nº 13.709, de 15  de
agosto de 2018.


Artigo  18  -   O  titular  dos  dados  pessoais  tem  direito  a  obter  do
controlador, em relação aos dados do titular por ele  tratados,  a  qualquer
momento e mediante requisição:


I - confirmação da existência de tratamento;


II - acesso aos dados;


III - correção de dados incompletos, inexatos ou desatualizados;


IV  -  anonimização,  bloqueio  ou  eliminação  de   dados   desnecessários,
excessivos ou tratados em desconformidade com o disposto nesta Lei e na  Lei
Federal nº 13.709, de 15 de agosto de 2018;


V - portabilidade dos dados  a  outro  fornecedor  de  serviço  ou  produto,
mediante  requisição  expressa  e  observados  os   segredos   comercial   e
industrial, de acordo com a regulamentação do órgão controlador;


VI - eliminação dos dados pessoais tratados com o consentimento do  titular,
exceto nas hipóteses previstas no Artigo 16 desta Lei;


VII  -  informação  das  entidades  públicas  e  privadas  com  as  quais  o
controlador realizou uso compartilhado de dados;


VIII - informação sobre a possibilidade  de  não  fornecer  consentimento  e
sobre as consequências da negativa;


IX - revogação do consentimento, nos termos do § 5º do Artigo 8º desta Lei.


§ 1º O titular dos dados pessoais tem o direito  de  peticionar  em  relação
aos seus  dados  contra  o  controlador  perante  a  autoridade  estadual  e
nacional.


§ 2º O titular pode opor-se a tratamento realizado  com  fundamento  em  uma
das hipóteses de dispensa de consentimento, em  caso  de  descumprimento  ao
disposto nesta Lei e na Lei Federal nº 13.709, de 15 de agosto de 2018.


§  3º  Os  direitos  previstos  neste  artigo   serão   exercidos   mediante
requerimento  expresso   do   titular   ou   de   representante   legalmente
constituído, a agente de tratamento.


§ 4º Em caso de impossibilidade de adoção imediata  da  providência  de  que
trata o § 3º deste artigo, o controlador enviará ao titular resposta em  que
poderá:


I - comunicar que não é agente de tratamento dos  dados  e  indicar,  sempre
que possível, o agente; ou


II - indicar as razões de fato ou de direito que impedem a  adoção  imediata
da providência.


§ 5º O requerimento referido no § 3º deste artigo será atendido  sem  custos
para o titular, nos prazos e nos termos previstos em regulamento.


§ 6º O responsável deverá  informar  de  maneira  imediata  aos  agentes  de
tratamento com os  quais  tenha  realizado  uso  compartilhado  de  dados  a
correção, a eliminação, a anonimização ou o bloqueio  dos  dados,  para  que
repitam idêntico procedimento.


§ 7º A portabilidade  dos  dados  pessoais  a  que  se  refere  o  inciso  V
do caput deste artigo não inclui dados que já tenham sido anonimizados  pelo
controlador.


§ 8º O direito a que se refere  o  §  1º  deste  artigo  também  poderá  ser
exercido perante os organismos de defesa do consumidor.


Artigo 19 -  A confirmação de existência ou o acesso a dados pessoais  serão
providenciados, mediante requisição do titular:


I - em formato simplificado, imediatamente; ou


II - por meio de declaração clara e  completa,  que  indique  a  origem  dos
dados, a inexistência de registro, os critérios utilizados  e  a  finalidade
do tratamento, observados os segredos comercial e industrial,  fornecida  no
prazo de até 15 (quinze) dias, contado da data do requerimento do titular.


§ 1º  Os  dados  pessoais  serão  armazenados  em  formato  que  favoreça  o
exercício do direito de acesso.


§ 2º As informações e  os  dados  poderão  ser  fornecidos,  a  critério  do
titular:


I - por meio eletrônico, seguro e idôneo para esse fim; ou


II - sob forma impressa.


§ 3º Quando o tratamento tiver origem no  consentimento  do  titular  ou  em
contrato, o titular poderá  solicitar  cópia  eletrônica  integral  de  seus
dados pessoais, observados os segredos comercial e  industrial,  nos  termos
de regulamentação da  autoridade  estadual  e  nacional  se  necessário,  em
formato que permita  a  sua  utilização  subsequente,  inclusive  em  outras
operações de tratamento.


§ 4º A autoridade estadual poderá dispor de forma  diferenciada  acerca  dos
prazos previstos nos incisos I e II do caput deste artigo  para  os  setores
específicos.


Artigo 20 - O titular dos dados tem direito a solicitar revisão, por  pessoa
natural, de decisões tomadas unicamente com base em tratamento  automatizado
de  dados  pessoais  que  afetem  seus  interesses,  inclusive  de  decisões
destinadas a definir o seu perfil pessoal, profissional,  de  consumo  e  de
crédito ou os aspectos de sua personalidade.


§ 1º O controlador deverá  fornecer,  sempre  que  solicitadas,  informações
claras e adequadas a respeito dos critérios e dos  procedimentos  utilizados
para a decisão automatizada, observados os segredos comercial e industrial.


§ 2º Em caso de não oferecimento de informações de que trata o  §  1º  deste
artigo  baseado  na  observância  de  segredo  comercial  e  industrial,   a
autoridade estadual poderá realizar auditoria para verificação  de  aspectos
discriminatórios em tratamento automatizado de dados pessoais.


Artigo 21 -  Os dados pessoais referentes ao exercício regular  de  direitos
pelo titular não podem ser utilizados em seu prejuízo.


Artigo 22 -  A defesa dos interesses e dos direitos dos titulares  de  dados
poderá ser exercida em juízo,  individual  ou  coletivamente,  na  forma  do
disposto  na  legislação  pertinente,  acerca  dos  instrumentos  de  tutela
individual e coletiva. 


                                 CAPÍTULO IV
             DO TRATAMENTO DE DADOS PESSOAIS PELO PODER PÚBLICO


                                   Seção I
                                 Das Regras


Artigo 23 -  O tratamento de  dados  pessoais  pelas  pessoas  jurídicas  de
direito público referidas no parágrafo único do Artigo 1º da Lei Federal  nº
12.527, de 18 de novembro de 2011, deverá ser realizado para  o  atendimento
de sua finalidade  pública,  na  persecução  do  interesse  público,  com  o
objetivo de executar  as  competências  legais  ou  cumprir  as  atribuições
legais do serviço público, desde que:


I  -  sejam  informadas  as  hipóteses  em  que,  no   exercício   de   suas
competências,  realizam  o  tratamento   de   dados   pessoais,   fornecendo
informações claras e atualizadas sobre a previsão legal,  a  finalidade,  os
procedimentos e as práticas utilizadas para a  execução  dessas  atividades,
em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos;


II - seja indicado um encarregado quando realizarem operações de  tratamento
de dados pessoais, nos termos do Artigo 39 desta Lei.


§ 1º A autoridade estadual poderá dispor sobre as formas de publicidade  das
operações de tratamento.


§ 2º O disposto nesta Lei não  dispensa  as  pessoas  jurídicas  mencionadas
no caput deste artigo  de  instituir  as  autoridades  de  que  trata  a Lei
Federal nº 12.527, de 18 de novembro de 2011.


§ 3º Os prazos e  procedimentos  para  exercício  dos  direitos  do  titular
perante o Poder Público observarão o disposto no §3º do  Artigo  23  da  Lei
Federal nº 13.709, de 15 de agosto de 2018.


§ 4º Os serviços notariais e de registro exercidos em caráter  privado,  por
delegação do Poder Público, terão o mesmo tratamento dispensado  às  pessoas
jurídicas referidas no caput deste artigo, nos termos desta  Lei  e  da  Lei
Federal nº 13.709, de 15 de agosto de 2018.


§ 5º Os órgãos notariais e de registro devem fornecer acesso aos  dados  por
meio eletrônico para a administração pública, tendo em vista as  finalidades
de que trata o caput deste artigo.


Artigo 24 - As empresas públicas terão  o  mesmo  tratamento  dispensado  às
pessoas jurídicas de direito privado particulares, nos termos  desta  Lei  e
da Lei Federal nº 13.709, de 15 de agosto de 2018.


Parágrafo único. As empresas públicas,  quando  estiverem  operacionalizando
políticas públicas e no âmbito da execução delas, terão o  mesmo  tratamento
dispensado aos órgãos e às entidades do  Poder  Público,  nos  termos  deste
Capítulo.


Artigo 25 -  Os dados  deverão  ser  mantidos  em  formato  interoperável  e
estruturado para o uso compartilhado, com vistas  à  execução  de  políticas
públicas, à prestação de serviços públicos, à descentralização da  atividade
pública e à disseminação e ao acesso das informações pelo público em geral.


Artigo 26 -  O uso compartilhado de dados pessoais pelo Poder  Público  deve
atender a finalidades  específicas  de  execução  de  políticas  públicas  e
atribuição legal pelos órgãos e pelas  entidades  públicas,  respeitados  os
princípios de proteção de dados pessoais elencados no Artigo 6º desta Lei.


§ 1º É vedado  ao  Poder  Público  transferir  a  entidades  privadas  dados
pessoais constantes de bases de dados a que tenha acesso, exceto:


I - em casos de execução descentralizada de atividade pública  que  exija  a
transferência,  exclusivamente  para  esse  fim  específico  e  determinado,
observado o disposto na Lei Federal nº 12.527, de 18 de novembro de 2011;


II - nos casos em que os dados forem acessíveis publicamente, observadas  as
disposições desta Lei.


§ 2º Os contratos e convênios de que trata o § 1º deste artigo  deverão  ser
comunicados à autoridade estadual.


Artigo 27 -  A comunicação ou o  uso  compartilhado  de  dados  pessoais  de
pessoa jurídica  de  direito  público  a  pessoa  de  direito  privado  será
informado à autoridade estadual, e nacional se necessário,  e  dependerá  de
consentimento do titular, exceto:


I - nas hipóteses de dispensa de consentimento previstas nesta Lei;


II - nos casos de uso compartilhado de dados, em que será  dada  publicidade
nos termos do inciso I do caput do Artigo 23 desta Lei; ou


III - nas exceções constantes do § 1º do Artigo 26 desta Lei.


Artigo 28 - A autoridade estadual poderá solicitar, a qualquer  momento,  às
entidades do Poder Público, a  realização  de  operações  de  tratamento  de
dados pessoais, informe específico sobre o âmbito e a natureza dos  dados  e
demais detalhes do tratamento realizado  e  poderá  emitir  parecer  técnico
complementar para garantir o cumprimento desta Lei.


Artigo 29 -  A autoridade estadual poderá estabelecer normas  complementares
para  as  atividades  de  comunicação  e  de  uso  compartilhado  de   dados
pessoais. 


                                  Seção II
                             Da Responsabilidade


Artigo 30 -  Quando houver infração a esta Lei em decorrência do  tratamento
de dados pessoais por órgãos públicos, a autoridade estadual  poderá  enviar
informe com medidas cabíveis para fazer cessar a violação.


Artigo 31 -  A autoridade estadual  poderá  solicitar  a  agentes  do  Poder
Público a publicação de relatórios de impacto à proteção de  dados  pessoais
e sugerir a adoção de padrões e de boas  práticas  para  os  tratamentos  de
dados pessoais pelo Poder Público. 


                                 CAPÍTULO V
                 DOS AGENTES DE TRATAMENTO DE DADOS PESSOAIS


                                   Seção I
                        Do Controlador e do Operador


Artigo 32 -  O controlador e o operador devem manter registro das  operações
de  tratamento  de  dados  pessoais  que  realizarem,  especialmente  quando
baseado no legítimo interesse.


Artigo 33 -  A autoridade estadual  poderá  determinar  ao  controlador  que
elabore relatório de impacto à proteção  de  dados  pessoais,  inclusive  de
dados sensíveis, referente a suas operações  de  tratamento  de  dados,  nos
termos de regulamento, observados os segredos comercial e industrial.


Parágrafo único: Observado o disposto  no caput deste  artigo,  o  relatório
deverá conter, no mínimo, a  descrição  dos  tipos  de  dados  coletados,  a
metodologia utilizada para a coleta e  para  a  garantia  da  segurança  das
informações e a análise do controlador com relação a  medidas,  salvaguardas
e mecanismos de mitigação de risco adotados.


Artigo 34 -  O operador deverá realizar o tratamento segundo  as  instruções
fornecidas pelo controlador,  que  verificará  a  observância  das  próprias
instruções e das normas sobre a matéria.


Artigo  35  -   A  autoridade  estadual  poderá  dispor  sobre  padrões   de
interoperabilidade para fins de portabilidade,  livre  acesso  aos  dados  e
segurança, assim como sobre o tempo de guarda dos registros, tendo em  vista
especialmente a necessidade e a transparência. 


                                  Seção II
              Do Encarregado pelo Tratamento de Dados Pessoais


Artigo 36 -  O controlador deverá indicar  encarregado  pelo  tratamento  de
dados pessoais.


§ 1º A identidade e as informações de contato  do  encarregado  deverão  ser
divulgadas publicamente, de forma clara  e  objetiva,  preferencialmente  no
sítio eletrônico do controlador.


§ 2º As atividades do encarregado consistem em:


I  -   aceitar   reclamações   e   comunicações   dos   titulares,   prestar
esclarecimentos e adotar providências;


II - receber comunicações da autoridade estadual e adotar providências;


III - orientar os funcionários e os contratados da entidade a  respeito  das
práticas a serem tomadas em relação à proteção de dados pessoais; e


IV -  executar  as  demais  atribuições  determinadas  pelo  controlador  ou
estabelecidas em normas complementares.


§ 3º A autoridade estadual poderá estabelecer normas complementares sobre  a
definição e as atribuições do encarregado, inclusive hipóteses  de  dispensa
da necessidade de sua indicação, conforme a natureza e o porte  da  entidade
ou o volume de operações de tratamento de dados. 


                                  Seção III
               Da Responsabilidade e do Ressarcimento de Danos


Artigo 37 -  O controlador ou o operador  que,  em  razão  do  exercício  de
atividade  de  tratamento  de  dados  pessoais,   causar   a   outrem   dano
patrimonial, moral, individual ou coletivo,  em  violação  à  legislação  de
proteção de dados pessoais, é obrigado a repará-lo, nos termos da Seção  III
do Capítulo VI da Lei Federal nº 13.709, de 15 de agosto de 2018.


Artigo 38 -  O tratamento de dados pessoais será irregular quando deixar  de
observar a legislação ou quando não fornecer a segurança que o titular  dele
pode esperar, consideradas as circunstâncias relevantes, entre as quais:


I - o modo pelo qual é realizado;


II - o resultado e os riscos que razoavelmente dele se esperam;


III - as técnicas de tratamento de dados pessoais  disponíveis  à  época  em
que foi realizado.


Artigo 39 -  As hipóteses de violação do direito do titular  no  âmbito  das
relações de  consumo  permanecem  sujeitas  às  regras  de  responsabilidade
previstas na legislação pertinente. 


                                 CAPÍTULO VI
                      DA SEGURANÇA E DAS BOAS PRÁTICAS


                                   Seção I
                      Da Segurança e do Sigilo de Dados


Artigo 40 -  Os agentes de tratamento devem  adotar  medidas  de  segurança,
técnicas e administrativas aptas a proteger os  dados  pessoais  de  acessos
não autorizados e de situações acidentais ou ilícitas de destruição,  perda,
alteração,  comunicação  ou  qualquer  forma  de  tratamento  inadequado  ou
ilícito.


§ 1º A autoridade estadual poderá  dispor  sobre  padrões  técnicos  mínimos
para tornar aplicável  o  disposto  no caput deste  artigo,  considerados  a
natureza  das  informações  tratadas,  as  características  específicas   do
tratamento e o estado atual da tecnologia, especialmente no  caso  de  dados
pessoais sensíveis, assim como os princípios  previstos  no caput do  Artigo
6º desta Lei.


§ 2º As medidas de que trata o caput deste  artigo  deverão  ser  observadas
desde a fase de concepção do produto ou do serviço até a sua execução.


Artigo 41  -   Os  agentes  de  tratamento  ou  qualquer  outra  pessoa  que
intervenha em uma das fases do tratamento obriga-se a garantir  a  segurança
da informação prevista nesta Lei em relação aos dados pessoais,  mesmo  após
o seu término.


Artigo 42 - O controlador  deverá  comunicar  à  autoridade  estadual  e  ao
titular a ocorrência de incidente de segurança que possa acarretar risco  ou
dano relevante aos titulares.


§ 1º A comunicação será feita em  prazo  razoável,  conforme  definido  pela
autoridade estadual, e deverá mencionar, no mínimo:


I - a descrição da natureza dos dados pessoais afetados;


II - as informações sobre os titulares envolvidos;


III - a indicação das medidas técnicas e  de  segurança  utilizadas  para  a
proteção dos dados, observados os segredos comercial e industrial;


IV - os riscos relacionados ao incidente;


V - os motivos da demora, no caso de a comunicação não ter sido imediata; e


VI - as medidas que foram ou que serão adotadas para reverter ou mitigar  os
efeitos do prejuízo.


§ 2º A autoridade estadual verificará a gravidade  do  incidente  e  poderá,
caso necessário para a salvaguarda dos direitos  dos  titulares,  determinar
ao controlador a adoção de providências, tais como:


I - ampla divulgação do fato em meios de comunicação; e


II - medidas para reverter ou mitigar os efeitos do incidente.


§ 3º No juízo de gravidade do incidente, será avaliada eventual  comprovação
de que foram  adotadas  medidas  técnicas  adequadas  que  tornem  os  dados
pessoais afetados ininteligíveis, no âmbito e nos limites técnicos  de  seus
serviços, para terceiros não autorizados a acessá-los.


Artigo 43 -  Os sistemas utilizados para  o  tratamento  de  dados  pessoais
devem ser estruturados de forma a atender aos requisitos de  segurança,  aos
padrões de boas práticas e de governança e aos princípios  gerais  previstos
nesta Lei, na Lei Federal nº 13.709, de 15 de agosto de 2018,  entre  outras
normas regulamentares. 


                                  Seção II
                      Das Boas Práticas e da Governança


Artigo 44 -  Os controladores e operadores, no âmbito de suas  competências,
pelo  tratamento  de  dados  pessoais,  individualmente  ou  por   meio   de
associações, poderão formular regras de boas práticas e  de  governança  que
estabeleçam as condições de  organização,  o  regime  de  funcionamento,  os
procedimentos, incluindo reclamações e petições de titulares, as  normas  de
segurança, os padrões técnicos, as obrigações específicas para  os  diversos
envolvidos no tratamento, as ações educativas,  os  mecanismos  internos  de
supervisão e de mitigação  de  riscos  e  outros  aspectos  relacionados  ao
tratamento de dados pessoais.


§ 1º - Ao estabelecer regras de boas práticas, o controlador  e  o  operador
levarão em consideração, em relação ao tratamento e aos dados,  a  natureza,
o escopo, a finalidade e a probabilidade e a  gravidade  dos  riscos  e  dos
benefícios decorrentes de tratamento de dados do titular.


§ 2º - Na  aplicação  dos  princípios  indicados  nos  incisos  VII  e  VIII
do caput do Artigo 6º desta Lei, o controlador, observados  a  estrutura,  a
escala e o volume de suas operações, bem  como  a  sensibilidade  dos  dados
tratados e a probabilidade e a gravidade dos danos  para  os  titulares  dos
dados, poderá:


I - implementar programa de governança em privacidade que, no mínimo:


a)  demonstre  o  comprometimento  do  controlador  em  adotar  processos  e
políticas internas que assegurem o  cumprimento,  de  forma  abrangente,  de
normas e boas práticas relativas à proteção de dados pessoais;


b) seja aplicável a todo o conjunto de dados pessoais que  estejam  sob  seu
controle, independentemente do modo como se realizou sua coleta;


c) seja adaptado à estrutura, à escala e ao volume de  suas  operações,  bem
como à sensibilidade dos dados tratados;


d) estabeleça políticas e salvaguardas adequadas com  base  em  processo  de
avaliação sistemática de impactos e riscos à privacidade;


e) tenha o objetivo de estabelecer relação de confiança com o  titular,  por
meio de atuação transparente e que assegure mecanismos  de  participação  do
titular;


f) esteja integrado a sua estrutura  geral  de  governança  e  estabeleça  e
aplique mecanismos de supervisão internos e externos;


g) conte com planos de resposta a incidentes e remediação; e


h) seja atualizado constantemente com base em informações obtidas  a  partir
de monitoramento contínuo e avaliações periódicas;


II - demonstrar a efetividade de seu programa de governança  em  privacidade
quando apropriado e, em especial, a pedido  da  autoridade  estadual  ou  de
outra entidade responsável por promover o cumprimento de  boas  práticas  ou
códigos de conduta, os quais, de forma independente, promovam o  cumprimento
desta Lei.


§ 3º - As regras de boas práticas e de governança deverão ser  publicadas  e
atualizadas periodicamente e poderão  ser  reconhecidas  e  divulgadas  pela
autoridade estadual e nacional, no que couber.


Artigo 45 -  A autoridade estadual estimulará a adoção de  padrões  técnicos
que facilitem o controle pelos titulares dos seus dados pessoais. 


                                CAPÍTULO VII
                               DA FISCALIZAÇÃO


                                   Seção I
                         Das Sanções Administrativas


 Artigo 46 -  Os agentes de tratamento de  dados,  em  razão  das  infrações
cometidas às  normas  previstas  nesta  Lei,  ficam  sujeitos  às  seguintes
sanções administrativas aplicáveis pela autoridade estadual:

I - advertência, com indicação de prazo para adoção de medidas corretivas;
II - multa simples, de até 2% (dois por  cento)  do  faturamento  da  pessoa
jurídica de direito privado, grupo ou conglomerado no Estado  de  São  Paulo
no seu último exercício, excluídos os tributos, limitada,  no  total,  a  R$
25.000.000,00 (vinte e cinco milhões de reais) por infração;
III - multa diária, observado o limite total a que se refere o inciso II;
IV - publicização da infração após devidamente apurada e  confirmada  a  sua
ocorrência;
V - bloqueio dos dados pessoais a  que  se  refere  a  infração  até  a  sua
regularização;
VI - eliminação dos dados pessoais a que se refere a infração;
§ 1o  As  sanções  serão  aplicadas  após  procedimento  administrativo  que
possibilite a oportunidade da ampla defesa, de forma gradativa,  isolada  ou
cumulativa, de acordo com as peculiaridades do caso concreto e  considerados
os seguintes parâmetros e critérios:
I - a  gravidade  e  a  natureza  das  infrações  e  dos  direitos  pessoais
afetados;
II - a boa-fé do infrator;
III - a vantagem auferida ou pretendida pelo infrator;
IV - a condição econômica do infrator;
V - a reincidência;
VI - o grau do dano;
VII - a cooperação do infrator;
VIII - a adoção  reiterada  e  demonstrada  de  mecanismos  e  procedimentos
internos capazes de minimizar  o  dano,  voltados  ao  tratamento  seguro  e
adequado de dados, em consonância com o disposto no inciso  II  do  §  2o do
Artigo 42 desta Lei;
IX - a adoção de política de boas práticas e governança;
X - a pronta adoção de medidas corretivas; e
XI - a proporcionalidade entre a gravidade  da  falta  e  a  intensidade  da
sanção.
§ 2o   O  disposto  neste  artigo  não  substitui  a  aplicação  de  sanções
administrativas, civis ou penais definidas na Lei Federal nº 13.709,  de  15
de agosto de 2018 e em legislação específica.
§ 3o  O disposto nos incisos I, IV, V, VI, VII,  VIII  e  IX  do caput deste
artigo poderá ser aplicado às entidades e aos órgãos  públicos,  nos  termos
do §3º do Artigo 52 da Lei Federal nº 13.709, de 15 de agosto de 2018.
§ 4o  No cálculo do valor da multa de que trata o inciso  II  do caput deste
artigo, a autoridade estadual  poderá  considerar  o  faturamento  total  da
empresa ou grupo de empresas, quando não dispuser do  valor  do  faturamento
no ramo de atividade empresarial em que ocorreu a  infração,  definido  pela
autoridade estadual, ou quando o valor for apresentado de  forma  incompleta
ou não for demonstrado de forma inequívoca e idônea.

Artigo 47 - A autoridade estadual definirá, por meio de regulamento  próprio
sobre sanções administrativas a infrações a esta Lei, que deverá ser  objeto
de consulta pública, as metodologias que orientarão o cálculo do  valor-base
das sanções de multa.


§ 1º - As metodologias a  que  se  refere  o caput deste  artigo  devem  ser
previamente publicadas, para ciência dos  agentes  de  tratamento,  e  devem
apresentar objetivamente as formas e dosimetrias para o  cálculo  do  valor-
base das sanções de multa, que deverão  conter  fundamentação  detalhada  de
todos os seus elementos, demonstrando a observância dos critérios  previstos
nesta Lei.


§ 2º  -  O  regulamento  de  sanções  e  metodologias  correspondentes  deve
estabelecer as circunstâncias e as condições para a adoção de multa  simples
ou diária.


Artigo 48 -  O valor da sanção de multa  diária  aplicável  às  infrações  a
esta Lei deve observar a  gravidade  da  falta  e  a  extensão  do  dano  ou
prejuízo causado e ser fundamentado pela autoridade estadual.


Parágrafo único: A intimação da sanção de multa  diária  deverá  conter,  no
mínimo, a descrição da obrigação imposta,  o  prazo  razoável  e  estipulado
pelo órgão para o seu cumprimento e o valor da multa diária a  ser  aplicada
pelo seu descumprimento. 


Artigo 49 -  A autoridade estadual, no âmbito de  sua  competência,  editará
regulamentos específicos, em observância ao disposto no  Artigo  61  da  Lei
Federal nº 13.709, de 15 de agosto de 2018.


Artigo 50 -  A autoridade estadual estabelecerá  normas  sobre  a  adequação
progressiva de bancos de dados constituídos até a data de entrada  em  vigor
desta Lei, consideradas a complexidade  das  operações  de  tratamento  e  a
natureza dos dados.


                                CAPÍTULO VIII
                             DISPOSIÇÕES FINAIS

Artigo 51º-  O Poder Executivo regulamentará a presente lei no prazo  de  90
(noventa) dias após a data de sua publicação.

Artigo 52 -  Esta Lei entra em vigor na data de sua publicação. 






                                JUSTIFICATIVA





                  O presente Projeto de lei  visa  à  suplementação  da  Lei
Federal nº 13.709, de 15 de agosto de 2018, no Estado de São  Paulo,  e  tem
por objetivo dar ordenamento  jurídico  e  institucional  ao  tratamento  de
dados pessoais, bem como a proteção dos direitos  individuais  das  pessoas,
de acordo com o Ordenamento Jurídico Nacional.


                  O tratamento de dados é hoje uma realidade cada  vez  mais
presente em nosso cotidiano, especialmente quando  experimentamos  o  avanço
da tecnologia da informação, em especial a internet e  suas  aplicações  nas
mais diversas áreas de nossa vida em sociedade.


                  Até pouco tempo era inimaginável pensar nas aplicações e a
interação que a internet teria em nosso dia-a-dia, ao  mesmo  tempo  em  que
podemos imaginar que isso continuará em ritmo  acelerado  e  de  incremento,
tendo em vista a velocidade em que novas tecnologias são desenvolvidas  para
a comunicação com as pessoas.


                  Dentro  dessa  realidade  se  faz  necessário  estabelecer
normas  legais  para  disciplinar  tais  relações,  especialmente  para  dar
proteção à individualidade e a privacidade das pessoas, sem impedir a  livre
iniciativa comercial e de comunicação.


                  Por esses motivos e sensibilizado  pela  realização  do  V
Congresso Brasileiro da Indústria  da  Comunicação,  evento  promovido  pela
ABAP – Associação Brasileira das Agências de Publicidade  e  pelo  FORCOM  –
Fórum Permanente de Comunicação, decidi apresentar  o  presente  Projeto  de
Lei.


                  Nesse  sentido,  no  presente  Projeto  de  Lei   procurei
expressar a necessidade de um marco regulatório  estadual  para  disciplinar
tal atividade no Estado de São Paulo e que o  mesmo  deveria  ser,  além  de
suplementar à legislação federal,  geral  e  abrangente,  face  as  mutações
permanentes em uma área de evolução tecnológica tão rápida, bem como que  as
questões  específicas  deveriam  ficar   a   cargo   de   um   conselho   de
autorregulamentação, aos moldes do CONAR que é  destaque  em  eficiência  no
país como também em outros países do mundo.


                  Não há dúvida nenhuma que  o  Estado  de  São  Paulo  deve
cuidar das questões gerais, mas é também evidente  que  a  sociedade  deseja
exercer na plenitude seus direitos constitucionais inclusive  o  de  receber
se quiser comunicações pelos  meios  disponíveis  no  momento.  Desta  forma
gostaria de pedir aos meus pares que possam aprovar a presente propositura.





                       Sala das Sessões, em 5/9/2018.





                          a) Rogério Nogueira - DEM