PL 4247/2026 — О дополнительных нормах защиты персональных данных детей, подростков, пожилых людей и лиц с инвалидностью; устанавливает усиленные гарантии обработки персональных данных таких субъектов и вносит изменения в Закон № 13.709 от 14 августа 2018 года (Общий закон о защите персональных данных)

EMENTA

Dispõe sobre normas complementares de proteção de dados pessoais de crianças, adolescentes, pessoas idosas e pessoas com deficiência, estabelece salvaguardas reforçadas para o tratamento de dados pessoais desses titulares, e altera a Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais).

PALAVRAS-CHAVE

Alteração; Lei Geral de Proteção de Dados Pessoais (LGPDP) (2018); Tratamento de dados; Dados pessoais; Dados pessoais sensíveis; Criança; Adolescente; Idoso; Pessoa com deficiência; consentimento; Compartilhamento de dados

INTEIRO TEOR

PROJETO DE LEI Nº , DE 2026

(Do Sr. AMOM MANDEL)

Dispõe sobre normas complementares de proteção de dados pessoais de crianças, adolescentes, pessoas idosas e pessoas com deficiência, estabelece salvaguardas reforçadas para o tratamento de dados pessoais desses titulares, e altera a Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados

Pessoais).

O CONGRESSO NACIONAL decreta:

Art. 1º Esta Lei estabelece normas complementares à Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais – LGPD), aplicáveis ao tratamento de dados pessoais de crianças, adolescentes, pessoas idosas e pessoas com deficiência, com o objetivo de assegurar proteção reforçada, prevenir abusos e mitigar riscos decorrentes de situações de vulnerabilidade.

Art. 2º Para os fins desta Lei, considera-se:

I – criança e adolescente: aqueles definidos nos arts. 2º e 3º da Lei nº 8.069, de 13 de julho de 1990 (Estatuto da Criança e do Adolescente);

II – pessoa idosa: aquela definida no art. 1º da Lei nº 10.741, de 1º de outubro de 2003 (Estatuto da Pessoa Idosa);

III – pessoa com deficiência: aquela definida no art. 2º da Lei nº 13.146, de 6 de julho de 2015 (Lei Brasileira de Inclusão da Pessoa com Deficiência);

IV – pessoa em condição de vulnerabilidade: os titulares referidos nos incisos I, II e III deste artigo;

V – tratamento de dados pessoais: toda operação realizada com dados pessoais, nos termos do art. 5º, inciso X, da Lei nº 13.709, de 2018;

VI – consentimento qualificado: manifestação livre, informada, inequívoca e específica, prestada mediante salvaguardas adicionais de compreensão, acessibilidade, verificação e rastreabilidade.

Art. 3º O tratamento de dados pessoais de pessoas em condição de vulnerabilidade observará, além dos princípios previstos na Lei nº 13.709, de 2018, os seguintes princípios complementares:

I – proteção integral;

II – prevalência do melhor interesse do titular;

III – prevenção reforçada de riscos e danos;

IV – acessibilidade informacional;

V – responsabilidade ampliada dos agentes de tratamento.

Art. 4º O tratamento de dados pessoais de pessoas em condição de vulnerabilidade deverá:

I – ser estritamente necessário à finalidade pretendida;

II – limitar-se ao mínimo indispensável para a realização da finalidade legítima;

III – observar medidas técnicas e administrativas compatíveis com o grau de risco envolvido;

IV – privilegiar soluções que reduzam a coleta, o compartilhamento e a retenção de dados.

Art. 5º É vedado o tratamento de dados pessoais de pessoas em condição de vulnerabilidade para fins discriminatórios, abusivos, exploratórios, predatórios ou que possam comprometer sua dignidade, autonomia, desenvolvimento, inclusão social ou segurança.

Art. 6º Quando o tratamento de dados pessoais de pessoas em condição de vulnerabilidade tiver como fundamento legal o consentimento, deverão ser observadas as salvaguardas adicionais previstas nesta Lei, sem prejuízo do disposto na Lei nº 13.709, de 2018.

§ 1º O tratamento de dados pessoais de crianças e adolescentes continuará sujeito ao disposto no art. 14 da Lei nº 13.709, de 2018, aplicando-se complementarmente as salvaguardas previstas nesta Lei.

§ 2º No caso de pessoas idosas e pessoas com deficiência, o consentimento deverá ser obtido:

I – mediante linguagem simples, clara, acessível e adequada ao públicoalvo;

II – com destaque visual e informacional das finalidades, riscos e consequências do tratamento;

III – mediante confirmação expressa adicional quando envolver tratamento de dados pessoais sensíveis ou compartilhamento com terceiros para finalidades não essenciais.

§ 3º Sempre que houver dúvida razoável quanto à plena compreensão das informações apresentadas ao titular, o agente de tratamento deverá disponibilizar mecanismos de apoio informacional acessível e, quando cabível, assegurar a participação de apoiador, curador ou representante legal, observada a legislação aplicável.

Art. 7º O consentimento qualificado deverá ser:

I – documentado e passível de auditoria;

II – facilmente revogável, sem ônus ou prejuízo injustificado ao titular;

III – renovado periodicamente quando o tratamento continuado envolver dados pessoais sensíveis ou perfilhamento comportamental.

§ 1º A renovação prevista no inciso III deverá ocorrer, no mínimo, a cada

24 (vinte e quatro) meses.

§ 2º A Autoridade Nacional de Proteção de Dados poderá estabelecer periodicidade inferior para atividades de tratamento classificadas como de alto risco.

Art. 8º Os agentes de tratamento que realizarem operações com dados pessoais de pessoas em condição de vulnerabilidade deverão adotar medidas reforçadas de segurança e governança, incluindo, no mínimo:

I – avaliação de impacto à proteção de dados específica para os riscos relacionados ao público protegido;

II – controles de acesso segmentados e compatíveis com o risco da atividade;

III – criptografia ou técnicas equivalentes de proteção;

IV – registro detalhado das operações de tratamento;

V – programas permanentes de capacitação dos colaboradores.

Art. 9º O controlador deverá atribuir ao encarregado pelo tratamento de dados pessoais previsto no art. 41 da Lei nº 13.709, de 2018, responsabilidades específicas relacionadas à proteção dos dados pessoais de pessoas em condição de vulnerabilidade.

Parágrafo único. O disposto no caput não implica a obrigatoriedade de designação de novo encarregado, sem prejuízo de estrutura especializada quando considerada necessária pelo controlador.

Art. 10. O tratamento irregular, incidente de segurança ou violação de dados pessoais envolvendo pessoas em condição de vulnerabilidade constituirá circunstância agravante para fins de aplicação das sanções previstas na Lei nº 13.709, de 2018.

§ 1º Na dosimetria das sanções administrativas, a Autoridade Nacional de Proteção de Dados considerará especialmente:

I – a condição de vulnerabilidade dos titulares afetados;

II – o volume de dados envolvidos;

III – a previsibilidade dos riscos;

IV – a adequação das medidas preventivas adotadas; ___________________________________________________________________________

V – a reincidência em infrações semelhantes.

§ 2º O disposto neste artigo não afasta nem substitui os limites máximos das sanções administrativas previstos no art. 52 da Lei nº 13.709, de 2018.

§ 3º A condição de vulnerabilidade dos titulares deverá ser considerada circunstância agravante para aplicação das penalidades previstas na Lei nº 13.709, de 2018.

§ 4º A responsabilidade civil decorrente de danos causados em razão do tratamento de dados pessoais continuará sujeita ao regime previsto nos arts. 42 a 45 da Lei nº 13.709, de 2018, constituindo a inobservância das salvaguardas reforçadas previstas nesta Lei elemento relevante para aferição da responsabilidade do agente de tratamento.

Art. 11. A Autoridade Nacional de Proteção de Dados poderá expedir normas complementares para a implementação desta Lei, inclusive sobre:

I – padrões técnicos de acessibilidade informacional;

II – critérios de classificação de risco;

III – parâmetros para avaliação de impacto;

IV – procedimentos de auditoria e rastreabilidade do consentimento;

V – hipóteses de renovação periódica do consentimento.

Art. 12. Esta Lei entra em vigor após decorridos 180 (cento e oitenta) dias de sua publicação.