LGPD: Consentimento e legítimo interesse: faca de dois gumes

LGPD: Consentimento e legítimo interesse: faca de dois gumes
 
 
O ser humano busca intuitivamente identificar referências salvadoras nos momentos de pressão e tensão, como este que estamos vivendo, em uma contagem regressiva para a vigência da Lei Geral de Proteção de Dados Pessoais (LGPD).
 
Fora as “balas de prata” que oportunamente surgem em praticamente todas as ocasiões (e que a maioria das pessoas gosta de acreditar que existam, explicando a longevidade do snake oil 1 no velho oeste norte-americano), temos testemunhado o fortalecimento de dois argumentos para o tratamento de informações pelos controladores: o consentimento e o legítimo interesse.
 
O consentimento é o mais simples de entender, pois, como o nome diz, permite que o operador cadastre informações do titular de dados e prossiga no atendimento para o qual supomos haver (legítimo) interesse. Um exemplo: quando alguém baixa um app e após a instalação abre-se um texto enorme, com um quadrinho que temos de marcar com um “x”, para poder usar o serviço: o “x” (em tese) é o consentimento.
 
“O consentimento não é um ‘cheque em branco’, que permite ao controlador o uso indiscriminado dos dados de seus clientes ou funcionários. Trata-se mais de um ‘certificado de autenticidade’ de coleta, evidenciando que as informações foram prestadas de boa vontade, pelo seu titular”
Fácil, correto? Aliás, ao consentir no uso de seus dados pelo controlador, o titular estaria, a princípio, assumindo os riscos por eventual mau uso que o controlador realizar, mas vale lembrar que o consentimento pode ser revogado pelo titular! Você sabia disso?
 
O enorme problema decorrente do consentimento é que, a partir deste momento, quem recebeu as informações acaba de se comprometer como fiel depositário, sendo obrigado a guardar, proteger e mantê-las em um ambiente seguro, caso queira continuar prestando seu serviço e evitar penalidades, se esses dados vierem a ser vazados ou expostos.
 
O consentimento não é um “cheque em branco”, que permite ao controlador de dados o uso indiscriminado dos dados de seus clientes ou funcionários. Ao meu ver, trata-se mais de um “certificado de autenticidade” de coleta, evidenciando que as informações foram prestadas de boa vontade, pelo seu titular.
 
E o legítimo interesse? Bom, esse é um conceito vago e generalista, devendo ser a principal justificativa que será adotada pelas empresas para tratamento de dados pessoais no Brasil. Só que, neste caso, o risco é assumido pelo controlador de dados, em vez de pelo titular.
 
De acordo com a LGPD, nem todo interesse do controlador é legítimo. Entretanto, falta clareza na própria lei para definir as referências que devam ser usadas para definir se o legítimo interesse foi corretamente aplicado.
 
Isso deverá ser feito pela Autoridade Nacional de Proteção de Dados (ANDP), que, a propósito, vai ter muito trabalho para cobrir as brechas que diariamente surgem, colocando os controladores em situações duvidosas.
 
 
Lucro é legítimo interesse?
 
Imagine que, ao longo de quase 200 palestras que ministrei desde o fim de 2018, várias pessoas me perguntaram se o objetivo de lucro das empresas não é um “legítimo interesse”. Invariavelmente sempre começo a responder esclarecendo que não sou advogado e que meu objetivo é auxiliar as organizações a implementar os mecanismos de controle que a lei requer, baseado no ajuste de procedimentos operacionais e implementação dos itens de Segurança de Informação cuja maturidade não tenha se mostrado satisfatória.
 
“A princípio, muitas empresas deverão optar pela justificativa do legítimo interesse para tratar os dados de seus clientes. Prevejo uma série de abusos que culminará na definição mais estreita do que será esse legítimo interesse, pela ANPD. Nisso, provavelmente muitas empresas, que não têm nada a ver com esses abusos, terão que rever suas estratégias e atualizar seus conceitos”
E, em seguida, esclareço que tenho minha própria opinião acerca de vários pontos da lei que, apesar de estarem sendo defendidos por alguns advogados “xiitas”, com base na jurisprudência do GDPR (e portanto inaplicável diretamente pelo jurídico brasileiro), poderiam ser facilmente derrubados em uma exposição técnica.
 
Por exemplo: alegar que um IP ou número de celular é um dado privado, porque (de acordo com esses advogados) é possível chegar à identidade de seu titular, é insano. Posso usar um cadastro fake em uma Starbucks e o IP que usei não só impede me identificar como, daqui a algumas horas, estará sendo usado por outra pessoa de qualquer outro lugar daquela região.
 
Na minha família, contratei um plano familiar, onde os quatro números estão em meu nome. Como então poderiam ser dados pessoais dos dois filhos e sua mãe?
 
Os “xiitas” respondem que meus exemplos são “exceções” e que a lei deve estar alinhada à regra. Duvido seriamente disso, especialmente com a quantidade de linhas que pertencem a empresas, nas mãos de funcionários, e das redes wi-fi gratuitas pelo mundo. Sempre digo que, dependendo da profundidade da investigação, qualquer dado é privado, pois permite chegar ao seu titular.
 
Opa, já ia me deixando levar pelo sentimentalismo: e o lucro, ele pode ser usado como legítimo interesse? Fernando Marinho usa e abusa do princípio de Segurança de Informação de que “o que não é proibido é permitido”. Logo, a princípio, muitas empresas deverão optar por essa justificativa para tratar os dados de seus clientes.
 
O que o autor também prevê é uma série de abusos que culminará na revisão, ou melhor, da definição mais estreita do que será esse legítimo interesse, pela ANPD. Nisso, provavelmente muitas empresas, que não têm nada a ver com esses abusos, terão que rever suas estratégias e atualizar seus conceitos.
 
 
 
Fonte: Portal SERPRO
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma

Você já protege os seus dados?

Você já protege os seus dados?
 
 
Quando o assunto é dado pessoal, o conselho geral que podemos dar a cada um, seja você criança, adolescente, adulto ou idoso, é que “ande” com cautela, tanto no mundo real como no virtual. Ou seja, tanto faz se pedem seus dados numa pesquisa de rua, por exemplo, ou num cadastro on-line: o importante é estar vigilante! Não confie em desconhecidos, feche bem as “portas” e controle seus dados pessoais, para evitar cair em ciladas.
 
15 dicas para a proteção de seus dados pessoais, em meios físicos ou digitais:
 
01 – Se você perdeu ou teve documentos pessoais (RG, CPF, CNH, etc) furtados, faça um Boletim de Ocorrência (B.O.). E, se possível, cadastre o ocorrido em serviços de alerta. No Brasil, instituições como SPC e Serasa ofertam o serviço, ajudando que não roubem sua identidade e realizem fraudes e compras em seu nome.
 
02 – Antes de comprar um celular, uma câmera fotográfica, um videogame ou outro eletroeletrônico que se conecte à internet, pesquise se o dispositivo é seguro, confira a opinião de usuários.
 
03 – Não deixe seu celular, notebook ou computador ser acessado por pessoas estranhas. Encerre a sessão sempre que sair do e-mail, de redes sociais. E limpe o histórico de navegação sobre os sites visitados.
 
04 – Proteja sua máquina de ataques virtuais. Mantenha antivírus e firewalls atualizados, e procure navegar e fazer downloads via sites confiáveis.
 
05 – Não divulgue, sem critérios, o seu número de celular. E, para não receber ligações com ofertas comerciais indesejadas, confira o serviço que Procons e Decons, em alguns Estados, oferecem em seus sites – cadastrando-se, gratuitamente. Tem ainda o serviço do site www.naomeperturbe.com.br, criado por operadoras de telefonia para atender à uma determinação da Anatel. Se não respeitarem sua vontade como consumidor, as empresas de produtos e serviços podem receber advertências e multas.
 
06 – Se não quiser receber e-mails com propagandas, lembre-se que, com a LGPD, as empresas só poderão enviar publicidade se você der o consentimento prévio; e, caso você autorize, deverão oferecer a você a opção de sair da lista de envios.
 
07 – Desconfie de qualquer pessoa que peça dados bancários seus ou de seus pais, e navegue por plataformas com conexão segura para, por exemplo, comprar ou jogar on-line – no caso de games que interligam jogadores, atenção redobrada, pois podem captar imagens e sons, por microfones e câmeras.
 
08 – Escolha suas senhas cuidadosamente. Faça senhas fortes, que não sejam fáceis de serem desvendadas por terceiros.
 
09 – Deixe sua conexão Wi-Fi mais segura com pequenas atitudes: não deixe o nome de fábrica, troque; desative a conexão automática, porque assim você não corre o risco de ser conectado automaticamente a redes abertas desconhecidas e potencialmente perigosas.
 
10 – Assuma o controle de suas informações nas redes sociais. Revise as políticas de privacidade (a partir de agosto de 2020, essas políticas deverão respeitar a LGPD), veja o que vão fazer com seus dados e só dê o consentimento se de fato concordar. Se não concordar, conteste.
 
11 – Não disponibilize muitas informações pessoais a muitas pessoas, como em cadastros físicos ou on-line. Nas redes sociais, configure seu perfil para que suas publicações só sejam vistas por quem você realmente conhece. Quanto menos seus dados, gostos e preferências ficarem disponíveis, melhor!
 
12 – Se você é um dos muitos adeptos da nuvem, verifique se a segurança e a disponibilidade do serviço são adequadas aos tipos de arquivo que deseja carregar. E reflita sobre quem pode acessar os uploads feitos por você.
 
13 – Controle os cookies: você pode impedir a instalação deles, não dando seu consentimento quando é solicitado, durante a navegação. Outra opção é desativar os cookies direto no navegador. O cookie é um tipo de arquivo, enviado para um site por meio do navegador, baixado em computadores, celulares ou qualquer outro dispositivo, a fim de armazenar informações do usuário.
 
14 – Caso não esteja satisfeito, não hesite em pedir detalhes ou em solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir seu perfil pessoal, profissional, de consumo, e outros aspectos de sua personalidade.
 
15 – No rol acima, de revisões possíveis, também está a sobre o seu perfil de pagamentos e empréstimos. Nenhum credor é obrigado a emprestar dinheiro a você, claro, mas se achar que foi recusado crédito injustamente, peça a esse credor que explique a razão e reveja, se possível, a decisão.
 
 
 
Fonte: Serpro
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma

LGPD: A responsabilidade do DPO (Data Protection Officer) e o seguro contra ataques cibernéticos

A responsabilidade do DPO (Data Protection Officer) e o seguro contra ataques cibernéticos
 
 
A Lei nº 13.709/2018, também conhecida por Lei Geral de Proteção de Dados (LGPD), que foi publicada em 15 de agosto de 2018, e entrará efetivamente em vigor em agosto de 2020, inovou ao criar um novo cargo de total relevância na gestão de dados, nominalmente denominado Encarregado, que deverá exercer obrigatoriamente a função de atuar como canal de comunicação com os titulares dos dados e com a Autoridade Nacional de Proteção de Dados (ANPD).
 
Ou seja, a função por Lei do Encarregado, ou mais comumente conhecido como Data Protection Officer (DPO), consiste em aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências, receber comunicações da autoridade nacional, orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
 
A identidade e as informações de contato do DPO deverão ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no sítio eletrônico do controlador.
 
Para esta função, da mais alta responsabilidade, criou-se no Brasil uma nova modalidade de seguro, tendo em vista os recorrentes incidentes cibernéticos ocorridos às empresas. Assim sendo, a contratação de uma apólice visa não só garantir ao segurado a recomposição das perdas sofridas em razão de um ataque, mas também prover a indenização pelas perdas causadas a terceiros.
 
Além disso, as seguradoras também poderão prover um serviço de resposta a incidentes cibernéticos, mediante o oferecimento de serviços jurídicos, regulatórios, investigação forense, recuperação e restauração de dados, relações públicas, comunicação de crise, notificação às autoridades e centro de atendimento, consulta de fraude, monitoramento de roubo de identidade e soluções de monitoramento de crédito, assessorando o DPO para enfrentar uma gestão de crise de ataque cibernético.
 
 
Essas apólices poderão estabelecer seguros para defender o DPO e as empresas em razão das seguintes ocorrências:
 
(i) Responsabilidade pela Privacidade – Cobertura de danos e despesas decorrentes de reclamações de terceiros por violação de privacidade.
 
(ii) Responsabilidade pela Segurança da Rede – Cobertura de danos e despesas decorrentes de reclamações de terceiros por falhas de segurança da rede.
 
(iii) Responsabilidade por Conteúdos Eletrônicos – Cobertura de danos e das despesas decorrentes de reclamações de terceiros acerca de conteúdos eletrônicos.
 
(iv) Ciberextorsão – Cobertura para danos e despesas por Ciberextorsão pagas pelo Segurado em razão de um evento de Ciberextorsão.
 
(v) Perdas de Ativos Digitais – Cobertura para despesas de recuperação em razão de um incidente de perda de ativos digitais.
 
(vi) Lucros Cessantes /Interrupção de Negócios – Cobertura para redução do lucro líquido que ocorra durante o período de indenização, resultante de um incidente de interrupção do negócio, e despesas de recuperação que surjam, decorrentes de um risco cibernético.
 
Por fim, é dever do DPO atuar com diligência e profissionalismo no tratamento dos dados pessoais e na gestão da segurança digital, evitando agir com negligência, imprudência ou imperícia pois, caso atue com infração aos seus deveres profissionais, poderá responder pessoalmente pelos danos causados a terceiros e à própria empresa, razão pela qual se faz prudente a contratação de uma apólice de seguros a fim de salvaguardar não só a corporação, como também a integridade profissional e patrimonial do próprio DPO.
 
 
 
Fonte: Globo.com (Autor: Paulo Salvador Ribeiro Perrotti)
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma

LGPD: Por que a Lei de Dados Pessoais traz uma nova era para os currículos

Por que a Lei de Dados Pessoais traz uma nova era para os currículos
 
 
A Lei Geral de Proteção de Dados Pessoais, Lei 13.709/2018, conhecida como “LGPD”, colocou o Brasil no patamar dos países que têm regras para tratamento e transferência de dados pessoais, órgãos de controle e penalidades para não conformidade.
 
As empresas estão permeadas de dados pessoais em formato digital, muitos deles, sensíveis. Segundo a LGPD, são sensíveis os dados pessoais “sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natura”.
 
O tratamento de dados pessoais sensíveis de empregados e candidatos é um dos mais relevantes aspectos da LGPD para a área de Recursos Humanos e de interesse dos trabalhadores. E o tratamento começa antes mesmo da contratação: na candidatura a uma vaga de emprego.
 
Por experiência comum sabe-se que candidatos, especialmente aqueles ainda em início da carreira, tendem a enriquecer o relato da tímida experiência e qualificação profissionais com informações pessoais no currículo. Há muito que coaches e orientadores vocacionais recomendam que não se faça isso, pois tais informações são, na melhor das hipóteses, irrelevantes para o moderno processo de seleção. Por exemplo, números de documentos de identidade e CPF, estado civil e informação sobre filhos (geralmente associada à disponibilidade para viagens), crença religiosa e participação em associações ou agremiações.
 
Agora, além de irrelevantes, tais informações são potencialmente perigosas para a empresa porque precisam de tratamento especial sob a LGPD. O perigo está no tratamento desses dados sem consentimento e até na sua transferência, afinal, o compartilhamento de currículos entre profissionais de Recursos Humanos é prática comum e até apreciada pelos candidatos.
 
Segundo a LGPD, o tratamento de dados pessoais sensíveis somente poderá ocorrer nas hipóteses específicas, dentre as quais, se o titular dos dados “consentir, de forma específica e destacada, para finalidades específicas” ou, sem consentimento, mas para o “cumprimento de obrigação legal”.
 
O processamento de folha de pagamento e de documentos de registro de emprego são hipóteses de “cumprimento de obrigação legal” e ainda assim é aconselhável obter o consentimento dos empregados. Agora imaginem a complexidade de obter o consentimento específico e destacado—ou seja, não vale uma advertência geral—de todos os candidatos que postarem seus currículos no site da empresa ou enviarem-nos por e-mail.
 
A reformulação dos processos de seleção é a única forma de ajustar-se à lei e evitar os riscos de tratamento involuntário de dados pessoais sensíveis. Há empresas, por exemplo, que não recebem mais currículos e assim pedem aos candidatos que usem uma plataforma digital dedicada a conexões profissionais para carregar suas informações. Outro exemplo antecede a própria LGPD. Numa primeira onda de busca pela igualdade de oportunidades e eliminação de vieses, algumas empresas decidiram aceitar apenas currículos pré-formatados sem campos para nome, gênero e, em alguns casos, até mesmo idade.
 
O futuro não é dos mais fortes, é dos adaptáveis. E você, já atualizou seu currículo?
 
 
 
Fonte: Você SA
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma

2019: O ano do Compliance e LGPD a favor das PMEs

2019: O ano do Compliance e LGPD a favor das PMEs
 
 
Segundo critérios utilizados pelo IBGE, pequenas e médias empresas são aquelas que têm até 499 empregados. Ainda, segundo este mesmo instituto, conforme dados divulgados em 2015, mais de 99 % das empresas brasileiras à época possuíam menos de 100 funcionários. Esse é o universo que, a nosso ver, poderá ser positivamente impactado com a utilização das plataformas digitais e a entrada em vigor da nova Lei Geral de Proteção de Dados.
 
Vivemos num mundo de economia globalizada, mas principalmente, de informações acessíveis a praticamente todos, instantaneamente, em qualquer lugar do planeta. Desde a internet, vivemos a era da big data, com informações sobre tudo e todos.
 
Talvez, depois da criação da prensa por Gutemberg, no século XV, tenha sido a maior revolução com vistas à democratização das informações. Grandes empresas possuem capacidade financeira e estruturas de TI capazes de garimpar dados que lhe interessam e fazer uso destes nos seus negócios, gerando um enorme diferencial competitivo. Necessário conseguir separar, neste imenso estoque de dados – que aumenta e se atualizam a cada segundo –, aquilo que efetivamente interessa.
 
Já pequenas e médias empresas não possuem esta mesma disponibilidade financeira para criar e/ou manter, dentro de suas estruturas, grupos de pessoas capacitadas a gerar e separar informações tão relevantes para a tomada e direcionamento dos seus negócios. É neste particular que entram em cena as plataformas digitais, existindo inúmeras no mercado, com diversos escopos, perfis, e a preços extremamente competitivos.
 
Por meio das plataformas digitais, pequenas e médias empresas também podem, agora, utilizar o big data existente sem grandes investimentos em TI. As plataformas fazem a garimpagem e estruturação das informações conforme as necessidades ou finalidades de cada uma, de forma que as pequenas e médias organizações tenham a sua disposição uma base de dados segmentada e apta a gerar resultados na persecução dos seus negócios.
 
Mas então, onde estaria a vantagem, para as PMEs, na entrada em vigor da nova Lei Geral de Dados? No regramento visando dar transparência e disciplinar o uso destes dados.
 
Na atualidade, conforme conhecimento geral, empresas enormes, com os maiores faturamentos globais, possuem como seu maior patrimônio e negócio o banco de dados. Estas cresceram e enriqueceram sem qualquer disciplina jurídica em relação ao tratamento dos dados de que dispõem — e, possivelmente, nem o queiram.
 
Neste contexto, a nova Lei Geral de Dados no Brasil, assim como na União Europeia, chegou visando dar transparência e disciplina no tratamento dos dados, criando regras aplicáveis a todos. Com isso, possibilitou às pequenas e médias empresas um menor distanciamento competitivo, quebrando o “monopólio” da informação vigente.
 
Certo é que a Lei Geral de Dados visa disciplinar e proteger o tratamento de dados de pessoas físicas, mas por meio desta normativa grandes empresas que hoje cresceram e enriqueceram com base num exclusivismo de informações terão que se reestruturar e atuar de forma transparente e disciplinada. Consequentemente, empresas menores terão melhores meios de acesso à informação, seja de forma direta, seja por meio das novas plataformas.
 
Se num primeiro momento a nova Lei Geral de Dados é vista como mais um custo, olhando um pouco mais além ela representa benefícios competitivos. a partir da diminuição da assimetria concorrencial entre o pequeno número de grandes empresas e a imensidão de pequenas e médias no Brasil.
 
Nesse sentido, o compliance para PMEs também passou por severas alterações no ano de 2019. Se antes compliance e programas de integridade eram só para as grandes corporações, hoje as PME`s se veem também obrigadas a aderirem às boas práticas de conformidade.
 
Isto porque, no sentido geral, as PMEs trabalham e operam direta ou indiretamente com as grandes, que passaram a escolher as empresas que possuem programas de integridade efetivos, uma vez que a tendência de um bom programa é reduzir custos, tornar mais efetivo o serviço da empresa e, além disso, obviamente, reduzir fraudes e crimes.
 
Um programa de compliance/integridade para PMEs possui as mesmas características dos aplicados nas grandes empresas, com pilares bem desenhados e apoio da alta administração. No entanto, a elaboração de uma avaliação de riscos correta garante às empresas pequenas e médias uma menor ocorrência de fraudes, perda de dinheiro e diferencial competitivo.
 
Como já dito antes, a margem em empresas menores tende a ser reduzida para poder negociar com as grandes corporações. Por isso, os programas de redução de fraudes prometem aumento de faturamento e margem do negócio.
 
A LGPD garantiu seu espaço em 2019 de maneira eficaz ao ser exigida por meio de legislação forte, seguindo tendências internacionais e grande impacto reputacional. O acesso às informações citadas acima garante que as empresas “corram atrás” das grandes corporações multinacionais e, assim, disputando os espaços com cada vez mais índice de sucesso.
 
Dessa forma, o ano de 2020 é o ano da democratização do Compliance e LGPD. Os dois temas, que na verdade são derivados e possuem observâncias similares, são a grande tendência para o ano que entra. Economia crescente, retorno dos investimentos estrangeiros – trazendo o compliance como forte aliado e diferencial competitivo para as PME`s – e a transparência e ética alçando voos cada vez maiores traduzem a força que o compliance terá nos “corredores” das PME’s.
 
 
 
Fonte: Conjur
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma

LGPD: multa vai doer apenas no bolso de empresa brasileira

LGPD: multa vai doer apenas no bolso de empresa brasileira
 
 
A visão que está se dando à Lei Geral de Proteção de Dados Pessoais é apenas a dos problemas que ela está trazendo ou vai trazer por conta da adequação às regras e não dos benefícios que a legislação vai agregar ao negócio, observa o advogado e especialista em direito digital, Walter Capanema, que mediou um debate realizado sobre o tema no RNPSeg, evento realizado no Fórum RNP, no dia 26/08.
 
“O medo é a palavra-chave para as empresas quando se fala em adequação à LGPD e não é a melhor maneira. A ideia é transformar esses problemas que vão surgir por conta dos ajustes exigidos em soluções de segurança”, observou Capanema. À CDTV, do portal Convergência Digital, o advogado disse que a Autoridade Nacional de Dados poderia pensar em uma moratória inicial da aplicação da multa de 2%, que passa a valer a partir da vigência em agosto de 2020.
 
“Sabemos que doer no bolso é um motivo de adequação por parte das empresas. Mas a penalidade pega apenas as empresas nacionais porque ela é baseada no faturamento das companhias no Brasil. As multinacionais não têm faturamento no Brasil e não vão sentir no bolso. E para mim, isso gera uma desigualdade”, observa. Assistam a entrevista com o advogado especializado em direito digital, Walter Capanema.
 
 
 
Fonte: Convergência Digital
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma

A sua empresa está pronta para a LGPD? Veja o que dizem os especialistas

A sua empresa está pronta para a LGPD? Veja o que dizem os especialistas
 
 
Em cerca de um ano a partir daqui, a Lei Geral de Proteção de Dados (LGPD) entrará em completo vigor por todo o território nacional. No nível do consumidor comum, esse parece ser mais um assunto empresarial que não gera grande interesse e acaba passando despercebido, mas sabia que até mesmo a pessoa física pode ser enquadrada pela nova legislação?
 
Dúvidas como essa são a razão pela qual a LGPD vem causando inúmeras dores de cabeça no empresariado brasileiro, independente do tamanho da companhia. Pensando nisso, o Canaltech conversou com três especialistas jurídicos para determinar o que a sua empresa deve fazer para se encontrar em total concordância com a nova regra.
 
 
Cadê o dado que estava aqui?
 
A primeira coisa a ser feita é entender o que constitui, de fato, um “dado pessoal”. Apesar de algumas coisas serem óbvias — RG, CPF e outros documentos que você provavelmente tem na sua carteira neste exato momento —, há outras premissas que facilmente passam por baixo da atenção de todos: “A LGPD protege dados pessoais, ou seja, qualquer informação relacionada a uma pessoa física, que possibilite a identificação desta pessoa, ou seja, não somente nome, CPF, etc., mas também dados como hábitos de consumo e preferências musicais”, explica Flavio Fujita, advogado do escritório Opice Blum, em São Paulo.
 
Leandro Pesoti Netto, especialista em direito cibernético e consultor jurídico da Associação Brasileira da Distribuição de Tecnologia da Informação (Abradisti), ressalta essa percepção, adicionando que até informações rotineiras, como o cartão de crédito ou seu nome completo e endereço de perfis nas redes sociais, são contemplados pela lei. A grosso modo, estão previstas na regência legal quaisquer informações que permitam a identificação de uma pessoa, independente da disposição dessa informação ou de como ela foi armazenada.
 
Outra dúvida constante do público é se a LGPD atua apenas com companhias privadas de cunho digital, como redes sociais ou empresas que forneçam soluções em TI. Nenhuma das duas interpretações é correta: “A LGPD não se aplica apenas a empresas digitais, mas a todas as pessoas jurídicas, incluindo a administração pública, e até mesmo a pessoas físicas em determinados casos. É importante ter em mente que essa lei afetará todas as empresas, independentemente de serem ou não digitais e de lidarem ou não com o varejo (B2B ou B2C). Toda empresa hoje em dia lida com dados pessoais, mesmo que sejam apenas os dados de seus empregados”, diz Luiz Fernando Plastino Andrade, mestre em direito e advogado do escritório Barcellos Tucunduva Advogados.
 
O tipo de administração da empresa também não a isenta de ser enquadrada pela legislação, segundo Luiz Fernando. Ele explica que empresas estatais, autarquias e órgãos do governo também precisam seguir os princípios e regras da LGPD, diferenciando-se apenas na tratativa punitiva: enquanto empresas privadas deverão responder com diversos formatos, indo desde advertência até multa relacionada a 2% de seu faturamento (desde que não ultrapasse R$ 50 milhões) e até mesmo multas diárias atribuídas conforme o grau da ofensa, empresas da esfera pública possuem interpretações diferenciadas de punição, sendo, algumas, até mais contundentes.
 
“Como elas devem servir ao interesse público e possuem funções ligadas a políticas públicas, seguem regras específicas para o processamento dados pessoais. Por outro lado, aplicação da lei também terá de ser especialmente rigorosa quanto para elas, pois historicamente o processamento de informações pelo Estado tem alto potencial de risco de mau uso dos dados dos cidadãos”, explica o advogado.
 
Pesoti Netto também entende que, devido à administração pública responder, no âmbito empresarial, à esfera política, a LGPD pode requerer maior atenção a esse tipo mais específico de público: “Não podemos nos esquecer que a LGPD também impõe ao Poder Público os parâmetros de proteção aos dados. Desta forma, todo administrador que deixa de cumprir essa norma estará sujeito a uma série de outras penalidades, incluindo até mesmo medidas de improbidade administrativa”.
 
Isso, claro, sem mencionar as empresas multinacionais que não têm escritório local, mas disponibilizam produtos de seus portfólios por aqui: o exemplo mais óbvio disso é o WhatsApp, que embora seja subsidiário ao Facebook, não tem uma operação local. Vazamentos de informações decorrentes do mensageiro, por exemplo, são passíveis de investigação pela LGPD, pois, segundo os três especialistas, os dados vazados teriam sido tratados aqui. Em outras palavras: você ainda pode processar alguém que não esteja aqui, se comprovar que a ofensa teve causa e impacto aqui.
 
Mais além, até mesmo a pessoa física pode ser enquadrada e investigada pelos meandros da Lei Geral de Proteção aos Dados. Os três advogados ouvidos pelo Canaltech indicam que é passível investigar todo caso — pessoa física ou jurídica — onde o uso e/ou armazenamento de informações das pessoas seja feito com o intuito de assegurar rentabilidade para a entidade ofensiva à lei.
 
“Em outras palavras, blogueiros, youtubers e demais pessoas que se monetizam de qualquer forma explorando dados pessoais de seus seguidores deverão se adaptar às novas regras”, conta Leandro Pesoti. Para ficar simples de se entender: imagine que um influenciador digital abra uma promoção em seus canais sociais e que, para participar dessa promoção, você tenha que preencher um formulário — o influenciador pode ser responsabilizado por problemas que possam ocorrer com o vazamento dessas informações, ainda que use plataformas terceirizadas para a coleta de dados.
 
“Ou seja, a lista de contatos de amigos para repartir as despesas de um churrasco está livre da lei, mas um profissional liberal, por exemplo, como um advogado ou médico que trabalha sozinho, de forma autônoma, também deverá seguir a LGPD quando tratar das informações de seus clientes e pacientes”, explica Luiz Fernando.
 
 
Mas é muita coisa! O que eu tenho que fazer?
 
Com base no espectro coberto pela LGPD, é de se assustar que tanta coisa fique sob responsabilidade das empresas: venhamos e convenhamos, mesmo empresas avessas à tecnologia e que ainda mantenham seus registros em papel estão sujeitas ao rigor da nova lei. São dados, afinal, independente do formato em que eles são resguardados. “A LGPD é agnóstica quando fala em tratamento de dados. Com isso queremos dizer que o tratamento online ou off-line deverá seguir as mesmas regras. Assim, mesmo em caso de dados em papel, a empresa deverá obter consentimento do titular do dado, com a devida explicação sobre como ele será empregado, por exemplo”, conta Pesoti Netto.
 
Por causa disso, os três especialistas concordam que as empresas devem começar, o quanto antes, a revisar seus processos a fim de assegurar o que já está em conformidade com a legislação, e corrigir o que não está em tempo hábil. Isso implica, segundo Luiz Fernando, na garantia de que a empresa tem o controle dos dados que coletar e processar desde o momento em que eles chegam na empresa até o momento em que são apagados.
 
Isso envolve todo um trabalho de levantar e identificar os dados pessoais que possui, de conhecimento dos fluxos de informação na empresa e envolvendo terceiros com os quais a empresa tenha que dividir esses dados, revisão de medidas de segurança de informação adotadas e de contratos com terceiros, bem como a adoção de políticas corporativas de proteção de dados e de avisos de privacidade para informar as pessoas afetadas sobre o que será feito com seus dados.
 
Nestas horas, vale a dica adotada por diversas empresas mais contemporâneas: definir uma equipe e gestão específica de compliance. Empresas que detêm esse tipo de setor comumente se encontram em constante revisão de seus passos dentro da lei vigente, a fim de que cada ação, voluntária ou acidental, não pise nos indevidos calos nem traga maiores problemas.
 
Isso é especialmente verdade tanto para empresas digitais como para empresas mais analógicas: os três advogados argumentam que o trabalho será intenso em ambos os lados — plataformas sociais, por exemplo, estão mais expostas às questões de armazenamento e transparência no processamento e uso de tais informações de seus usuários, ao passo que empresas que notoriamente se valem de resguardo de dados em papel deverão criar fluxos mais específicos para coleta, armazenamento e descarte, a devida transparência nisso tudo, bem como algum sistema automatizado ou digitalizado que possa servir como reserva em caso de problemas.
 
 
Mas quem vai ficar de olho nisso tudo?
 
Tudo isso para evitar que uma denúncia — que pode sair de qualquer lugar, vale citar — seja levada à Autoridade Nacional de Proteção de Dados (ANPD). Criada em dezembro de 2018 como uma das últimas ações do ex-presidente Michel Temer antes deste deixar o mandato, será ela a agência fiscalizadora do governo para averiguar, investigar e punir, quando cabível, aqueles que faltarem ao rigor da LGPD.
 
Entretanto, muito se engana quem pensa que a ANPD trabalhará sozinha. Leandro Pesoti Netto explica que, embora ela tenha uma atribuição federal, a ANPD terá autonomia e acesso assegurados a bases de dados estatais e municipais, como é o caso de serviços como os Procons: “Devemos sempre considerar que o tema ‘dados pessoais’ é amplo e abrange uma série de outros direitos e agentes de fiscalização. Por isso, Procons, Ministérios Públicos, incluindo o Ministério Público do Trabalho, o CADE e outras autoridades são legítimas, dentro de seus escopos de atuação, para averiguar e direcionar infrações à LGPD frente à Autoridade Nacional de Proteção de Dados”.
 
Em conclusão, é de extrema importância que o empresariado brasileiro comece desde já a avaliar seus atuais processos administrativos. Setores como RH, Finanças e Jurídico das corporações multinacionais e pequenas empresas estão sujeitas ao processo regido pela LGPD. No ritmo atual, é plausível que a expectativa seja a de que algumas empresas deverão encontrar surpresas desagradáveis.
 
Ademais, um ano pode parecer muita coisa, mas também pode ser um tempo curto demais.
 
 
 
Fonte: CanalTech
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma

LGPD: 5 exemplos de documentos sigilosos e como você deve armazená-los

LGPD: 5 exemplos de documentos sigilosos e como você deve armazená-los
 
 
Ao lidar com documentos e informações sigilosas em sua empresa, seja em relação a seus clientes ou funcionários, você tem o dever de tomar as medidas necessárias para protegê-las.
 
Para muitos de nós, armazenar essas informações é um assunto casual. Para algumas empresas é considerado uma simples rotina administrativa.
 
De fato, em nosso dia a dia, é bem comum armazenarmos todos os documentos sigilosos ou papéis considerados importantes em gavetas ou arquivos, sempre visando eventuais consultas ou para apresentação em casos de requisitos legais ou comprovações fiscais.
 
Porém, a falta de garantia de que os documentos sigilosos estão devidamente protegidos pode levar a ações judiciais, bem como danos à reputação de sua empresa e perda de negócios. Principalmente, com a recente aprovação da Lei Geral de Proteção de Dados (LGPD), legislação que entra em vigor em 2020.
 
 
A importância do armazenamento adequado de documentos sigilosos
 
Manter bons registros não significa apenas ser organizado. O armazenamento adequado de documentos sigilosos facilita o cumprimento de suas obrigações legais, o gerenciamento do fluxo de caixa e até mesmo na redução do estresse no momento do imposto.
 
Documentos sigilosos são informações críticas e devem ser protegidas. Você deve pensar nisso como uma prioridade que sua organização, seus funcionários e seus clientes esperam ser privada e devidamente protegida.
 
Então, quais são os documentos sigilosos mais importantes e como você pode mantê-los seguros?
 
1 – Informações bancárias
 
Se alguém conseguir obter acesso aos seus dados financeiros, ele poderá roubar sua identidade, gerar novas contas e cartões de crédito em seu nome e até mesmo limpar suas contas bancárias.
De fato, há toda uma indústria criminosa dedicada à prática de extrair números de cartão de crédito, PINs, códigos de segurança de cartões e senhas bancárias de vítimas inocentes.
Neste caso, todas as informações bancárias, sejam elas pessoais ou corporativas, devem ser consideradas como sigilosas e devem passar por rigorosos processos de armazenamento e descarte.
 
 
2 – Declarações fiscais
 
Seja você um funcionário ou administre seu próprio negócio, manter registros fiscais, como foi mencionado anteriormente, não é apenas uma boa prática – é uma exigência legal.
Ter toda a documentação e recibos em ordem pode fazer toda a diferença nos processos de auditoria ou durante a prestação de contas. Para se ter uma ideia, de acordo com a legislação atual, você deve manter os documentos fiscais e seus comprovantes por pelo menos cinco anos, a partir da data em que apresentar sua declaração de imposto.
 
 
3 – Informações dos clientes
 
No âmbito empresarial, as informações do cliente são uma das primeiras coisas a serem consideradas quando pensamos no armazenamento de documentos sigilosos.
Isso pode incluir nomes de clientes, endereços residenciais, informações de cartões de pagamento, números de previdência social, e-mails e muito mais. Informações como essas são o principal alvo em caso de ataques virtuais e roubo de dados.
 
4 – Dados do empregado
 
Os dados dos funcionários são, em muitos aspectos, semelhantes às informações dos clientes. Você tem os nomes, endereços e números de seguridade social de seus funcionários e também pode ter suas informações bancárias, para fins de pagamento, assim como, nomes de usuário e senhas ou dados associados a um processo de credenciamento ou identidade.
 
5 – Contratos e documentos comerciais
 
Quando se trata de contratos, todos os detalhes do acordo devem ser tratados com a máxima confidencialidade para a organização e o benefício de terceiros. Os contratos estão cheios de informações comercialmente sensíveis, a exemplo da natureza do acordo, o valor dos serviços oferecidos / recebidos no contrato, os nomes das principais partes contratantes, etc.
 
 
Comece a proteger seus documentos sigilosos
 
Depois de identificar os dados que você precisa proteger, é hora de agir. Abaixo estão algumas dicas de como proteger os documentos sigilosos que você e sua empresa lidam.
 
– Tenha uma estrutura organizacional eficiente para gerenciar com sucesso documentos sigilosos e informações confidenciais.
– Certifique-se de que o controle de dados internos corretos funcionem a partir de processos e políticas seguras.
– Utilize estruturas de armazenamento, a exemplo de armários e arquivos com fechadura e controle de acesso.
– Use fragmentadoras de papel para o descarte adequado de documentos sigilosos ou confidenciais.
– Realize treinamentos dos funcionários sobre a proteção de documentos e informações sigilosas e confidenciais.
 
Seja na forma de documentos físicos ou digitais, pen drives, discos rígidos ou livros de registro, documentos sigilosos ou confidenciais precisam ser protegidos e manipulados com responsabilidade, especialmente se os dados contiverem informações pessoais. Por essa razão, não pense duas vezes antes de implementar formas seguras de armazenamento e descarte.
 
 
Fonte: Tilibra Express
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma

Como a LGPD interfere no descarte de documentos

Como a LGPD interfere no descarte de documentos
 
 
No próximo ano, uma Lei Geral de Proteção de Dados (LGPD) entra em vigor, após um período de dois anos para sua adaptação. A nova legislação define uma série de regras em relação à coleta, armazenamento, processamento e descarte de todos os fatores de risco que as organizações organizam.
 
Isto é, na prática, que as empresas que detêm as informações sobre os cidadãos brasileiros, devem cumprir os requisitos da nova legislação. É importante observar que um LGPD foi criado para ajudar a gerenciar o tipo de dados de dados pessoais .
 
Os indicadores fundamentais nas regras da Lei Geral de Proteção de Dados são as empresas que apresentam uma abordagem muito mais rigorosa às violações de dados e ao armazenamento seguro de informações. Não atender a necessidade de uma empresa ou empresa em um valor de R $ 50 milhões ou dois por cento do faturamento global da empresa.
 
O principal impacto da LGPD é que as empresas devem estar concentradas em impedir que os dados sejam sobrecarregados ou perdidos. The information is important and making the meaning is destruded. E isso inclui documentos em formato digital e físico.
 
 
Sua empresa não pode negligenciar os documentos físicos
 
Se você ainda não está atento a isso, cuidado! É vital que você crie um plano para garantir que está manipulando, armazenando e destruindo documentos físicos corretamente.
 
O primeiro passo neste processo é ter uma visão geral de toda a sua operação, para que você possa entender completamente como e onde os dados são processados . Você pode supor que isso seja simples, porém, quando você entra nos detalhes, vai perceber que é muito mais complexo do que imaginava.
 
Além disso, em um momento inicial, você pode assumir que todos os dados que você mantém estão em arquivos digitais, armazenados em servidores, laptops, tablets e telefones.
 
No entanto, é muito provável que também exista em vários outros locais, documentos impressos e mantidos como cópias em papel, sem nenhum tipo de processo para armazenamento e destruição segura quando eles não forem mais necessários.
 
Isso pode ser um grande problema de conformidade de acordo com a Lei Geral de Proteção de Dados.
 
 
De que forma a LGPD interfere no descarte de documentos?
 
Os atuais projetos de implementação da LGPD exigem que as empresas passem a ter um compromisso verdadeiro com os titulares dos dados pessoais gerenciados por cada organização, de acordo com os requisitos descritos na nova legislação.
 
Na prática, isso significa que além de fazer um armazenamento adequado dos documentos, depois que o período de retenção expirar, eles devem ser excluídos de forma segura.
 
Para que isso aconteça, o recomendável é que sejam definidos procedimentos que executem a eliminação dos documentos, registrando automaticamente o processo de exclusão.
 
Se ocorrerem erros, por exemplo, se um documento digital não puder ser encontrado ou estiver bloqueado, o procedimento de exclusão deve gerar uma mensagem. O log de exclusão deve ser verificado por um funcionário devidamente instruído.
 
Além disso, quaisquer dados físicos devem ser adequadamente destruídos, usando por exemplo, uma fragmentadora.
 
Diferentes tipos de documentos, como cópias de contrato, formulários de clientes, dados de cartão de crédito, CDs e DVDs de backup e outros tipos de arquivos e dispositivos de armazenamento são frequentemente negligenciados, fazendo com que as sanções definidas pela LGPD sejam aplicadas para qualquer empresa, independente de tamanho ou segmento.
Escolha a forma correta de destruir documentos
 
É fundamental que você tire algum tempo para fazer sua pesquisa sobre o descarte de documentos. Certifique-se de entender completamente o processo a ser utilizado. Tenha a certeza para onde o lixo está indo, se está sendo destruído corretamente em seu local e, se não estiver, onde os documentos foram levados para serem destruídos.
 
É verdade que a LGPD é muito mais importante do que a informação física, já que existem regras para o armazenamento de dados pessoais.
 
No entanto, os bancos de dados costumam ser negligenciados quando têm acesso a uma lei com a Lei Geral de Proteção de Dados, por isso, é importante que você dedique o tempo necessário para o entendimento dos processos que é sua eua e atualize-los de acordo com uma nova legislação.
 
 
Fonte: Tilibra Express
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma

LGPD: Conheça as penalidades e multas para a quebra do sigilo de dados pessoais

LGPD: Conheça as penalidades e multas para a quebra do sigilo de dados pessoais
 
 
Basicamente, haverá dois níveis de sanções com base na Lei Geral de Proteção de Dados – LGPD. A primeira delas consiste em advertência, com indicação de prazo para adoção de medidas corretivas para a quebra do sigilo de dados pessoais.
 
A segunda delas consiste em multas de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração.
 
O que pode ser visto é que as multas são substanciais e são uma boa razão para as empresas garantirem o cumprimento da nova legislação que entra em vigor em 2020.
 
 
Como as multas da LGPD são aplicadas em caso de quebra do sigilo de dados pessoais?
 
De acordo com lei nº 13.709, de 14 de agosto de 2018, legislação que define a LGPD, as sanções serão aplicadas após procedimento administrativo que possibilite a oportunidade da ampla defesa, de forma gradativa, isolada ou cumulativa, de acordo com as peculiaridades do caso concreto e considerados os seguintes parâmetros e critérios:
 
1- A gravidade e a natureza das infrações e dos direitos pessoais afetados;
2- A boa-fé do infrator;
3- A vantagem auferida ou pretendida pelo infrator;
4- A condição econômica do infrator;
5- A reincidência;
6- O grau do dano;
7- A cooperação do infrator;
8- A adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados;
9- A adoção de política de boas práticas e governança;
10- A pronta adoção de medidas corretivas;
11- A proporcionalidade entre a gravidade da falta e a intensidade da sanção.
 
Portanto, as multas por infrações serão consideradas caso a caso e levarão em consideração vários critérios, tais como a natureza intencional da infração, quantos assuntos foram afetados e quaisquer infrações anteriores do controlador ou processador.penalidades e multas para a quebra do sigilo de dados pessoais.
 
Nem todas as infrações relacionadas a quebra do sigilo de dados pessoais previstas pela LGPD levam à multas. A autoridade nacional responsável pela supervisão, têm o escopo de tomar uma série de outras ações, tais como:
 
– Emissão de avisos e repreensões;
 – Tornar a infração pública após devidamente apurada e confirmada a sua ocorrência;
 – Impor uma proibição temporária ou permanente ao processamento de dados;
 – Ordenar a retificação, restrição ou eliminação de dados.
 
Vale destacar ainda que a responsabilidade pela quebra do sigilo de dados pessoais também exige a demonstração de negligência e não conformidade.
 
Para que a empresa seja considerada responsável pela quebra do sigilo de dados pessoais, deve ser demonstrado que ela não cumpriu com suas obrigações, que isso resultou em danos reais e que existe uma relação causal entre a não conformidade e tais danos.
 
 
O que as organizações devem fazer para se preparar para a LGPD?
 
O artigo deixa claro que as organizações devem levar a sério a proteção e o sigilo de dados pessoais. Questões de conformidade devem ser uma preocupação fundamental para as organizações, devido às implicações de responsabilidade mais amplas.
 
Não se trata apenas de proteger a empresa diretamente de ameaças externas, mas também de garantir o limite de possíveis violações internas.
 
Com isso, as organizações de diferentes segmentos e tamanhos não apenas têm uma responsabilidade mais ampla sobre o sigilo de dados pessoais, mas também um dever mais profundo de demonstrar sua conformidade.
 
O que as empresas precisam agora é se concentrar em atualizar seus protocolos de segurança de informação, políticas de proteção de dados e declarações de privacidade.
 
Além disso, o treinamento de equipe é uma parte crucial da proteção e do gerenciamento de dados, já que está olhando de perto quem tem acesso aos dados, como é feito e quando.
 
Por fim, as organizações devem passar por uma avaliação de risco adequada e fase de testes a esse respeito, visando garantir a conformidade com a legislação.
 
 
A proteção de dados pode beneficiar as empresas
 
Embora a LGPD tenha sido vista por alguns como um mecanismo para penalizar as empresas, a proteção aprimorada dos dados pode beneficiar as organizações.
 
O público deve ser capaz de confiar na organização que usa e que se concentra em acertar um nível maior de proteção. Os esforços também visam melhorar a segurança e proteger melhor as empresas contra atividades criminosas. penalidades e multas para a quebra do sigilo de dados pessoais
 
Com a LGPD entrando em vigor efetivamente em 2020, as empresas, através dos seus gestores, devem se conscientizar de suas tarefas e dedicar atenção significativa à segurança cibernética de suas operações.
 
Este é, sem dúvida, um grande desafio, mas não pode ser deixado por fazer: todos os indivíduos e organizações que lidam com dados pessoais devem garantir que estão em conformidade com a nova legislação de proteção de dados. O risco de não ser compatível é muito grande e põe em perigo seu negócio.
 
 
 
Fonte: Tilibra Express
As matérias aqui apresentadas são retiradas da fonte acima citada, cabendo à ela o crédito pela mesma