PIPEDA – A segunda Lei de Privacidade de Dados no Canadá

25.05.2020 – Há alguns dias falamos sobre a Privacy Act, que foi a primeira legislação no Canadá sobre privacidade de dados, regulamento o uso de dados pessoais pelo Governo. Agora falaremos sobre a PIPEDA ou Personal Information Protection and Electronic Documents Act, em vigor desde 13 de abril de 2000.

A PIPEDA tem como propósito regulamentar o uso e a divulgação de informações pessoais (informações sobre um indivíduo identificável) de uma maneira que reconheça o direito à privacidade dos indivíduos com relação a suas informações pessoais e a necessidade das organizações de coletar, usar ou divulgar informações pessoais para fins, que uma pessoa consideraria razoavelmente apropriada. Essa última informação é de suma importância pois o tratamento dos dados necessita de um propósito razoável.

Em razão do exposto a PIPEDA passou a ser aplicável a organizações, com respeito a informações pessoais que:

1. a organização coleta, utiliza ou divulga no decurso de atividades comerciais; ou
2. refere-se a um funcionário ou candidato a emprego na organização e que a organização coleta, utiliza ou divulga em conexão com a operação de um trabalho, empresa ou negócio federal.

Trabalho, empresa ou negócio federal significa qualquer trabalho, empresa ou negócio que esteja dentro da autoridade legislativa do Parlamento canadense.

A PIPEDA não cobria as seguintes situações:

1. qualquer instituição governamental à qual a Privacy Act seja aplicável;
2. qualquer indivíduo em relação às informações pessoais que o indivíduo colete, use ou divulgue para fins pessoais ou domésticos e não colete, use ou divulgue para outros fins;
3. qualquer organização em relação às informações pessoais que ela colete, use ou divulgue para fins jornalísticos, artísticos ou literários e não colete, use ou divulgue para outros fins;
4. informações de contato comercial de um indivíduo que a organização coleta, usa ou divulga apenas com o objetivo de comunicar ou facilitar a comunicação com o indivíduo em relação ao seu emprego, empresa ou profissão; ou
5. informações sujeitas ao certificado de acordo com a seção 38.13 da Canada Evidence Act que proíbe a divulgação de informações pessoais de um indivíduo específico.

Aparentemente, algumas dessas exclusões guardam uma certa semelhança com a GDRP europeia e com a própria LGPD brasileira, sendo que a lei canadense é aproximadamente 20 anos mais antiga.

Com respeito ao consentimento do indivíduo, o mesmo só é válido se for razoável esperar que um indivíduo, a quem as atividades da organização sejam direcionadas, compreenda a natureza, o objetivo e as conseqüências da coleta, uso ou divulgação das informações pessoais consentidas por ele.

A PIPEDA permite a coleta, o uso ou a divulgação dos dados pessoais do titular sem o seu consentimento, nas seguintes hipóteses:

COLETA DE DADOS PESSOAIS SEM CONSENTIMENTO
1. a coleta é claramente do interesse do indivíduo e o consentimento não pode ser obtido em tempo hábil;
2. é razoável esperar que a coleta com o conhecimento ou consentimento do indivíduo comprometa a disponibilidade ou a precisão das informações e a coleta seja razoável para fins relacionados à investigação de uma violação de um acordo ou violação das leis do Canadá ou de uma província;
3. está contido em uma declaração de testemunha e a coleta é necessária para avaliar, processar ou liquidar uma reivindicação de seguro;
4. foi produzido pelo indivíduo no curso de seu emprego, atividade ou profissão e a coleta é consistente com os objetivos para os quais as informações foram produzidas;
5. a coleção é apenas para fins jornalísticos, artísticos ou literários;
6. as informações estão disponíveis ao público e são especificadas pelos regulamentos; ou
7. a coleta é feita com o objetivo de fazer uma divulgação que seja requerida pela lei.

USO DE DADOS PESSOAIS SEM CONSENTIMENTO
1. no curso de suas atividades, a organização toma conhecimento de informações que possui motivos razoáveis ​​para acreditar que possam ser úteis na investigação de uma contravenção às leis do Canadá, província ou jurisdição estrangeira que esteja sendo ou está prestes a ser cometida, e as informações são usadas com a finalidade de investigar essa contravenção;
2. são usadas com a finalidade de agir em relação a uma emergência que ameace a vida, a saúde ou a segurança de um indivíduo;
3. as informações estão contidas na declaração de testemunha e o uso é necessário para avaliar, processar ou liquidar uma reivindicação de seguro;
4. as informações foram produzidas pelo indivíduo no curso de seu emprego, atividade ou profissão e o uso é consistente com os fins para os quais as informações foram produzidas;
5. forem usadas para estudos ou pesquisas estatísticas ou acadêmicas, propósitos que não podem ser alcançados sem o uso das informações; as informações são usadas de maneira a garantir sua confidencialidade; é impraticável obter consentimento e a organização informa o Comissário do uso antes da informação ser usada;
6. estão disponíveis ao público e são especificadas pelos regulamentos;

DIVULGAÇÃO DE DADOS PESSOAIS SEM CONSENTIMENTO
1. for feita, na província de Quebec, a um advogado ou notário ou, em qualquer outra província, a um advogado ou solicitante que represente a organização;
2. com o objetivo de cobrar uma dívida devida pelo indivíduo à organização;
3. seja exigido para que se cumpra uma intimação ou mandado emitido ou uma ordem feita por um tribunal, pessoa ou órgão com jurisdição para obrigar a produção de informações ou que cumpra as regras do tribunal relacionadas à produção de registros;
4. for feita a uma instituição governamental ou parte de uma instituição governamental que solicitou as informações, identificou sua autoridade legal para obter as informações e indicou que (i) suspeita que as informações estejam relacionadas à segurança nacional, à defesa do Canadá ou à conduta de assuntos internacionais, (ii) a divulgação é solicitada com o objetivo de fazer cumprir qualquer lei do Canadá, uma província ou jurisdição estrangeira, realizar uma investigação relacionada ao cumprimento de tal lei ou reunir informações com o objetivo de fazer cumprir essa lei, (iii) a divulgação é solicitada com a finalidade de administrar qualquer lei do Canadá ou de uma província, ou (iv) a divulgação é solicitada com a finalidade de se comunicar com parentes ou representantes autorizados de um indivíduo ferido, doente ou falecido.
5. for feita à instituição governamental mencionada na seção 7 da Lei de Financiamento ao Crime (Lavagem de Dinheiro) e Financiamento ao Terrorismo;
6. feito por iniciativa da organização para uma instituição governamental ou parte de uma instituição governamental e a organização (i) tenha motivos razoáveis ​​para acreditar que as informações estejam relacionadas a uma violação das leis do Canadá, uma província ou jurisdição estrangeira que foi, está sendo ou está prestes a ser cometida, ou (ii) suspeite que as informações estejam relacionadas à segurança nacional, à defesa do Canadá ou à conduta de assuntos internacionais;
7. for feita para outra organização e seja razoável para fins de investigação de uma violação de um acordo ou violação das leis do Canadá ou de uma província que foi, está sendo ou está prestes a ser comprometida e seja razoável esperar que a divulgação com o conhecimento ou consentimento do indivíduo comprometa a investigação;
8. for feita a outra organização e seja razoável para os fins de detectar ou suprimir fraudes ou prevenir fraudes que possam ser cometidas e seja razoável esperar que a divulgação com o conhecimento ou consentimento do indivíduo comprometa a capacidade de prevenir, detectar ou suprimir a fraude;
9. for feita por iniciativa da organização para uma instituição governamental, parte de uma instituição governamental ou parente ou indivíduo autorizado do indivíduo e (i) a organização possua motivos razoáveis ​​para acreditar que o indivíduo foi, é ou pode ser vítima de abuso financeiro, (ii) a divulgação seja feita apenas para fins relacionados à prevenção ou investigação do abuso, e (iii) seja razoável esperar que a divulgação com o conhecimento ou consentimento do indivíduo comprometa a capacidade de prevenir ou investigar o abuso;
10. seja necessário para identificar a pessoa que está ferida, doente ou falecida, feita em uma instituição governamental, parte de uma instituição governamental ou parente ou representante autorizado da pessoa e, se a pessoa estiver viva, a organização informe esse indivíduo, por escrito, sem demora da divulgação;
11. for feita para uma pessoa que precisa das informações devido a uma emergência que ameace a vida, a saúde ou a segurança de um indivíduo e, se o indivíduo de quem a informação se refere está vivo, a organização informe esse indivíduo por escrito sem demora da divulgação;
12. das informações contidas na declaração de testemunha, a divulgação seja necessária para avaliar, processar ou liquidar uma reivindicação de seguro;
13. das informações que foram produzidas pelo indivíduo no curso de seu emprego, negócio ou profissão, a divulgação seja consistente com os objetivos para os quais as informações foram produzidas;
14. para fins estatísticos ou acadêmicos ou de pesquisa, que não possam ser alcançados sem a divulgação das informações, seja impraticável obter consentimento e a organização informe o Comissário da divulgação, antes da divulgação das informações;
15. for feita para uma instituição cujas funções incluem a conservação de registros de importância histórica ou arquivística, e a divulgação seja feita para os fins de tal conservação;
16. for feita (i) cem anos após a criação do registro que contém a informação, e (ii) vinte anos após a morte do indivíduo a quem a informação se refere;
17. sejam informações publicamente disponíveis e especificadas pelos regulamentos; ou
18. seja exigido por lei.

É importante salientar que uma organização deve responder a um pedido do titular dos dados no prazo de até 30 dias, em regra, devendo ser facilitado o acesso do titular aos seus dados.

A PIPEDA ainda traz uma seção inteira sobre a regulamentação do whistleblowing (ato de denunciar uma violação) e a proteção àquele que fizer a denúncia contra qualquer retaliação por parte da organização que houver violado a lei.

Finalmente, as punições por violação à PIPEDA dividem-se em (i) um crime punível com condenação sumária e passível de multa que não exceda $ 10.000 dólares canadenses; ou (ii) uma infração imputável e passível de multa não superior a $ 100.000 dólares canadenses.