Privacy Act – a Primeira das Leis de Privacidade de Dados no Canadá

13.05.2020 – A questão da privacidade de dados no Canadá é levada tão a sério que o país possui 2 leis sobre o tema: A Privacy Act, também denominada de Loi sur la protection des renseignements personnels, já que os idiomas oficiais do país são o inglês e o francês), a qual passou a ter vigência em 01 de julho de 1983, e a Personal Information Protection and Electronic Documents Act – PIPEDA, a qual passou a ter vigência em 13 de abril de 2000.

Enquanto a primeira (Privacy Act) abrange como o governo federal lida com informações pessoais, a segunda (PIPEDA) abrange como as empresas lidam com informações pessoais. Neste artigo, dissertaremos apenas sobre a primeira (Privacy Act).

Certamente, o Canadá passou a ser uma referência global em proteção de dados pessoais.

De acordo com a lei canadense, informações pessoais (que é o termo utilizado para dados pessoais) são dados sobre um “indivíduo identificável”. São informações que, por si só ou combinadas com outros dados, podem identificá-lo como indivíduo. Conceito esse que acabou sendo recentemente reproduzido na lei de proteção de dados europeia – GDPR, e na lei de proteção de dados brasileira – LGDP.

A definição de informações pessoais, as quais só podem ser coletadas para a finalidade necessária pelo Governo e desde que tal finalidade seja informada ao indivíduo, abrange as seguintes informações:

(a) informações relativas à raça, origem nacional ou étnica, cor, religião, idade ou estado civil do indivíduo,

(b) informações relacionadas à educação ou ao histórico médico, criminal ou profissional do indivíduo ou informações relacionadas às transações financeiras nas quais o indivíduo esteve envolvido,

(c) qualquer número de identificação, símbolo ou outro dado atribuído ao indivíduo,

(d) o endereço, impressões digitais ou tipo sanguíneo do indivíduo,

(e) as opiniões ou pontos de vista pessoais do indivíduo, exceto no que se refere a outro indivíduo ou a uma proposta de subvenção, prêmio ou prêmio a ser feito a outro indivíduo por uma instituição governamental ou parte de uma instituição governamental especificada nos regulamentos,

(f) correspondência enviada a uma instituição governamental pelo indivíduo que seja implícita ou explicitamente de natureza privada ou confidencial e respostas a essa correspondência que revele o conteúdo da correspondência original,

(g) as visões ou opiniões de outro indivíduo sobre o indivíduo,

(h) as visões ou opiniões de outro indivíduo sobre uma proposta de subvenção ou prêmio a ser feito ao indivíduo por uma instituição ou parte de uma instituição governamental ou parte de uma instituição governamental especificada nos regulamentos, mas excluindo o nome de o outro indivíduo em que aparece com as opiniões ou opiniões do outro indivíduo, e

(i) o nome do indivíduo em que aparece com outras informações pessoais relacionadas ao indivíduo ou onde a divulgação do próprio nome revelaria informações sobre o indivíduo,

j) informações sobre um indivíduo que está ou estava prestando serviços sob contrato para uma instituição governamental relacionada aos serviços prestados, incluindo os termos do contrato, o nome do indivíduo e as opiniões ou pontos de vista do indivíduo dados no decorrer do desempenho desses serviços,

(k) informações relacionadas a qualquer benefício discricionário de natureza financeira, incluindo a concessão de uma licença ou permissão, conferida a um indivíduo, incluindo o nome do indivíduo e a natureza exata do benefício, e

(l) informações sobre um indivíduo morto há mais de vinte anos;

A lei excepciona do conceito de informações pessoais, não sendo essas informações abaixo abrangidas pela Privacy Act:

a) informações sobre um indivíduo que é ou foi um funcionário de uma instituição governamental relacionada ao cargo ou funções do indivíduo, incluindo:

(i) o fato de o indivíduo ser um funcionário da instituição governamental,

(ii) o cargo, endereço comercial e número de telefone do indivíduo,

(iii) a classificação, faixa salarial e responsabilidades do cargo ocupado pelo indivíduo,

(iv) o nome da pessoa em um documento preparado pela pessoa no curso do emprego, e

(v) as opiniões ou pontos de vista pessoais do indivíduo dados no curso do emprego,

b) o fato de um indivíduo ser um conselheiro ministerial ou um membro de uma equipe ministerial, bem como o nome e o título do indivíduo.

Além dos itens acima, não são considerados informações pessoais, destacam-se informações que não são sobre um indivíduo, porque a conexão com o seu titular é muito fraca ou remota (por exemplo, um código postal que cobre uma área ampla com muitas residências), informações sobre uma empresa, informações que foram anonimizadas, desde que não seja possível vincular esses dados a uma pessoa identificável, certas informações sobre funcionários públicos como nome e cargo, as informações de contato comercial de uma pessoa que uma organização coleta, usa ou divulga com o único objetivo de se comunicar com essa pessoa em relação ao seu emprego, empresa ou profissão.

Além dessas, as informações do governo não são igualmente consideradas informações pessoais.

A Privacy Act também confere o direito de uma pessoa acessar e corrigir informações pessoais que o Governo do Canadá detém sobre elas, tendo a autoridade 30 dias, em regra, para se manifestar sobre um pedido. O acesso pode ser feito por simples conferência do documento ou por uma cópia do mesmo ofertada pela autoridade.

Entretanto a autoridade pode negar esse acesso se (i) a informação pessoal faz parte de investigações criminais ou de violação de alguma lei canadense, (ii) se o indivíduo já é sentenciado criminalmente, (iii) se o acesso poderia causar risco a segurança desse indivíduo, (iv) se a informação pessoal solicitada é sobre outro indivíduo, (v) se existe confidencialidade na relação advogado-cliente, (vi) se viola algum dispositivo das leis de marcas e patentes, (vii) se for alusiva a algum prontuário médico.

Sendo negado o acesso, o indivíduo pode apelar à revisão da corte federal, no prazo de 45 dias.

A Privacy Act também regulamenta desde a coleta, uso e divulgação de informações pessoais pelo governo, no decorrer da prestação de serviços como pensões, seguro desemprego, segurança nas fronteiras, policiamento federal, segurança pública, cobrança e reembolso de impostos, etc.

Um aspecto interessante é que se as informações pessoais de alguém passarem para a custódia da Biblioteca Pública Nacional do Canadá, elas poderão ser acessíveis a qualquer pessoa ou instituição para fins estatísticos ou de pesquisa. As informações pessoais em museus também não estão sob proteção dessa lei.

Qualquer denúncia de violação da Privacy Act deve ser endereçada ao Privacy Commissioner por escrito, o qual irá instaurar uma investigação, caso, a seu critério, esteja convencido de que a denúncia pode ter fundamento. Um aspecto peculiar do processo de investigação é que, a critério do Privacy Commissioner, uma testemunha pode receber uma compensação financeira (honorários) se tiver que depor em uma côrte federal.

Terminada a investigação, o denunciante tem o direito de receber do Privacy Commissioner a informação do seu resultado. Porém, se o diretor do órgão público tiver que adotar alguma ação corretiva indicada pelo Privacy Commissioner, somente após o prazo dado para a adoção da ação corretiva, é que o denunciante será informado.

Todas as atividades desempenhadas pelo Privacy Commissioner devem ser anualmente informadas, por meio de um relatório, ao Parlamento canadense, até 3 meses do ano subsequente. Seu mandato é de 7 anos, mas ele pode ser destituído a qualquer momento por justa causa, pelo Governador do Conselho, que envolve o Conselho Privado da Rainha para o Canadá e o Gabinete do Canadá, liderado pelo Primeiro Ministro.

O legislador canadense pecou apenas na penalidade em caso de violação dessa lei. A mesma é de até mil dólares canadenses.

A Privacy Act aplica-se apenas às instituições do governo federal listadas na Relação de Instituições da Privacy Act e de outra forma, não se aplica aos parlamentares e aos partidos políticos.