Quais são as regras da LGPD para dados de crianças e adolescentes

A Lei Geral de Proteção de Dados (LGPD) estabelece as regras do jogo para o tratamento de dados pessoais no Brasil. E, acompanhando a lógica protetiva do ECA (Estatuto da Criança e do Adolescente), determina também requisitos específicos para o tratamento de dados de crianças e adolescentes.

Neste texto, nós vamos relembrar alguns conceitos básicos da LGPD e destacar quais são as regras impostas para o tratamento de dados de crianças e adolescentes.

O que é dado pessoal e tratamento de dados

Antes de falarmos sobre dados de crianças e adolescentes, é importante relembrarmos dois conceitos básicos da LGPD: dado pessoal e tratamento de dados pessoais.

Dado pessoal é qualquer informação que identifique ou que permita identificar uma pessoa (ex. nome, CPF, e-mail, idade, foto ou profissão). Da mesma forma, fragmentos de informação que, juntos, permitam identificar uma pessoa física também são considerados dados pessoais. 

Dentro do conjunto do que pode ser identificado como dado pessoal, há a categoria denominada dado pessoal sensível. Tratam-se de informações relacionadas a situações de vulnerabilidade e discriminação, exigindo um regime jurídico diferenciado e mais reforçado.

Na definição adotada pela LGPD, dados pessoais sensíveis são dados relativos à origem racial ou étnica; convicção religiosa; opinião política; dado referente à saúde ou à vida sexual; dado genético ou biométrico; e filiação a sindicato ou a organização de caráter religioso, filosófico ou político.

Já o tratamento de dados é qualquer atividade relacionada a dados pessoais, como coleta, armazenamento, uso, classificação e descarte.

Quais são os principais fatores de adequação à LGPD

Como mencionamos no início do texto, a LGPD regulamenta como deve ser feito o tratamento de dados pessoais no Brasil. A lei vale tanto para dados tratados em meio virtual (em sites, sistemas, apps etc.) quanto físico (contratos em papel, arquivos físicos etc.).

Para adequar-se à LGPD, o primeiro passo é entender e respeitar três elementos básicos da lei:

Os dez princípios da LGPD, que devem nortear todo tratamento de dados pessoais;
As bases legais que legitimam o tratamento de dados – qualquer tratamento só é considerado legítimo se for justificado por uma dessas hipóteses legais;
Os direitos dos titulares de dados (a pessoa a quem o dado diz respeito).

Esse tripé constitui o corpo da conformidade com a LGPD. Dentro disso, é claro, surgem várias situações específicas e exigências legais que também devem ser atendidas.

Uma dessas situações específicas diz respeito justamente ao tratamento de dados de crianças e adolescentes. Além de ter que cumprir com o tripé mencionado acima, as empresas devem seguir regras adicionais na hora de tratar dados de menores de idade.

Quais são as regras da LGPD para dados de crianças e adolescentes

Primeiro, é importante entender a diferença entre as definições de criança e de adolescente, estabelecidas pelo ECA.

Criança: tem até doze anos incompletos;

Adolescente: tem entre doze e dezoito anos de idade.

Para garantir a proteção e a privacidade das crianças e adolescentes, a LGPD determina que:

O tratamento de dados pessoais de crianças e adolescentes deverá ser sempre em seu melhor interesse.
Para tratar dados pessoais de crianças, é obrigatório o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.
Além disso, os controladores deverão manter pública as informações sobre o tratamento de dados, como os tipos de dados coletados, a forma de sua utilização e os procedimentos para exercícios dos direitos do titular.
Dados pessoais de crianças poderão ser coletados sem o consentimento do responsável apenas em duas situações: quando a coleta for necessária para contatar os pais ou responsável legal ou para a proteção da criança. Em nenhum caso os dados podem ser repassados a terceiros sem consentimento.
Além disso, a lei determina que o controlador deve realizar todos os esforços razoáveis para verificar que o consentimento foi dado pelo responsável pela criança.
O controlador também deve fornecer informações sobre o tratamento de maneira simples, clara e acessível, “de forma a proporcionar a informação necessária aos pais ou ao responsável legal e adequada ao entendimento da criança”.
Outro ponto especificado na lei diz respeito aos jogos e aplicações de internet. Neste caso, a LGPD determina que os controladores não podem condicionar a participação da criança no jogo ou app ao fornecimento de informações pessoais além das que forem estritamente necessárias à atividade.

Pontos de atenção ao tratar dados de crianças e adolescentes

Agora você já conhece as regras gerais da LGPD para o tratamento de dados de crianças e adolescentes. Adicionalmente, vamos destacar alguns pontos de atenção importantes.

Melhor interesse

O primeiro ponto de atenção é a obrigatoriedade de que o tratamento seja sempre no melhor interesse da criança ou adolescente. Ou seja, o tratamento deve ser feito sempre de forma a assegurar a proteção da criança e do adolescente, a garantia dos seus direitos e a sua dignidade.

Para que o tratamento seja considerado legal, é preciso sempre ter o princípio do melhor interesse em mente.

É interessante observar que o melhor interesse converge com os princípios gerais da LGPD, que também devem ser seguidos.

Por exemplo, o da finalidade (o tratamento deve sempre ser feito para propósitos legítimos, específicos, explícitos e informados ao titular) e o da necessidade (limitação do tratamento ao mínimo necessário para a realização de suas finalidades).

Consentimento

Como vimos, o consentimento de um dos pais ou do responsável legal é obrigatório para o tratamento de dados de crianças.

Qualquer consentimento, mesmo quando se trata de um titular adulto, deve ser livre, informado e inequívoco. Não se pode, por exemplo, usar textos de difícil compreensão ou caixas pré-habilitadas.

O titular deve ser informado, inclusive, sobre a possibilidade do não fornecimento do consentimento e sobre quais são as consequências da negativa.

No caso do consentimento para o tratamento de dados de crianças, a lei exige ainda que o consentimento deve ser manifestado de forma específica e em destaque.

As informações devem ser fornecidas não apenas de maneira clara e completa, mas também considerando a capacidade de entendimento da criança e dos responsáveis.

Confirmação do responsável

Um ponto de especial complexidade é a exigência de que o controlador empreenda “esforços razoáveis”, considerando as tecnologias disponíveis, para garantir que o consentimento parental tenha sido concedido de fato por um dos pais ou pelo responsável legal.

O que pode ser considerado “esforços razoáveis” ainda está em aberto, e pode vir a ser alvo de regulamentação pela autoridade nacional ou por decisões judiciais.

Para apps e jogos online, por exemplo, como garantir que quem deu o consentimento foi o responsável, e não a criança? Uma opção é pedir para o usuário indicar o e-mail de um dos seus responsáveis legais, que receberá informações detalhadas sobre o tratamento de dados e uma notificação para ativar o consentimento.

Adeque-se à LGPD com a consultoria da Get Privacy

O processo de adequação à LGPD engloba uma série de cuidados e pontos de atenção. Não há caminho único à conformidade. Assim, para garantir que ele seja executado da melhor maneira possível, o mais indicado é que a organização conte com uma assessoria especializada.

Na Get Privacy, nós contamos com uma equipe multidisciplinar especializada em proteção de dados para atender às suas demandas.

Fale conosco e veja como podemos te ajudar!