por admin | maio 16, 2019 | Direito digital
1A jornada para adequar o seu processamento de dados às novas regradas da Lei Geral de Proteção de Dados (LGPD) pode ser longa.
A legislação que entra em vigor em agosto de 2020 demanda uma série de mudanças estruturais e a criação de novos processos. E como todas elas demandam muito tempo e trabalho, o ideal é começar o quanto antes!
A seguir, veremos algumas ações que sua empresa precisa fazer desde já para atender ao prazo de implementação da LGPD!
Mapear ações
O primeiro passo para a adequação a LGPD é mapear todas as operações internas que estão relacionadas com a captação e o tratamento de dados. Normalmente, essas atividades estão ligadas aos setores de marketing, comercial e TI, mas é interessante analisar todas as áreas para que nenhuma ação passe despercebida.
Levantar dados
Toda ação de captação e tratamento está manipulando dados pessoais e eles também precisam ser analisados. Para facilitar a organização, você pode ordenar os dados em classes de acordo com sua importância e departamento.
Adequar ferramentas
O próximo passo é analisar se as ferramentas de tratamento de dados que você dispõe atendem às orientações da LGPD. Muitas plataformas já se adequaram ao GDPR, mas é importante confirmar se elas também estão de acordo com a lei brasileira e fazer ajustes caso necessário.
Revisar materiais
Reserve um momento para rever os principais materiais ligados à proteção de dados e à segurança digital.
Termos de Uso, Políticas de Privacidade e até mesmo os contratos devem ser revisados para garantir que os seus conteúdos estejam de acordo com a LGPD. Em alguns casos também pode ser necessário incluir uma cláusula especial sobre como a sua companhia utiliza os dados.
Não se esqueça que o ideal é contar com apoio jurídico sempre que precisar criar ou alterar materiais de efeito legal, como os contratos.
Corrigir contratos
Aproveite também para ajustar os contratos de prestação de serviços – internos e externos – de empresas e profissionais que tenham acesso ou tratem dados pessoais em seu nome.
Analisar segurança
Um dos objetivos de criar políticas de proteção de dados é manter as informações dos cidadãos mais seguras. Pensando nisso, também é fundamental que sua empresa analise os mecanismos de segurança e atualize-os.
Todas as técnicas e procedimentos de segurança devem ser documentados e informados ao consumidor, se necessário.
Planejar providências
Agora que você já conhece bem o cenário atual e onde precisa chegar antes de agosto de 2020, é hora de começar a planejar ações para ajustar os procedimentos antigos à nova lei.
Liste tudo que precisará ser mudado, detalhe como será a transição para os novos processos e qual será o tempo e investimento necessário para chegar lá.
Criar guias e relatório
Também se preocupe em criar manuais, guias e outros materiais para descrever a importância de seguir a legislação e as boas práticas que devem ser seguidas. É essencial que esses materiais estejam disponíveis para eventuais consultas.
Como deve haver uma forte fiscalização do cumprimento da lei, vale a pena, ainda, criar um relatório de impacto à proteção de dados. Trata-se de um documento que relata detalhadamente as ações tomadas pela sua empresa para estar em conformidade com a LGPD. Além de servir como proteção jurídica, relatórios como esse podem ser solicitados a qualquer momento pela Autoridade Nacional de Proteção de Dados (ANPD).
Reestruturar equipes
A nova lei de proteção de dados vai criar várias tarefas que antes não existiam e alguns procedimentos deverão ser alterados.
Por isso, é importante planejar uma reestruturação da equipe e fazer eventuais contratações para que, quando a LGPD entrar em vigor, todos já estejam 100% acostumados com a nova rotina de trabalho e as boas práticas do tratamento de dados.
Fazer treinamentos
Não espere que os seus colaboradores se ajustem de um dia para o outro aos novos procedimentos, nomenclaturas e atividades. Promova treinamentos periódicos e reciclagens para garantir que as informações foram bem fixadas e estão sendo empregadas no dia a dia.
Eliminar dados desnecessários
A análise e categorização dos dados pode ter revelado que sua empresa tem informações que não são mais necessárias. Cópias duplicadas, dados inválidos ou muito antigos, por exemplo, podem e devem ser eliminados.
Além de abrir espaço para novas informações, essa prática permite que você foque seus esforços em dados que realmente valem a pena.
Nomear um DPO
Por fim, não se esqueça de nomear um DPO (ou encarregado) para fazer a gestão. As atribuições do DPO incluem monitorar e orientar as atividades e os profissionais ligados à proteção de dados e mediar a comunicação com a ANPD e os titulares.
Se você precisar de ajuda nessas e em outras atividades relacionadas à LGPD, entre em contato com o Assis e Mendes Advogados. Os advogados especializados em proteção de dados podem te ajudar a traçar um plano eficiente para fazer as alterações dentro do prazo e sem prejuízos para o seu negócio!
por admin | maio 9, 2019 | Direito digital
O GDPR, legislação europeia que regula o tratamento de dados de empresas que tem operação na União Europeia ou recolhem dados de europeus, entrou em vigor em maio de 2018 e algumas empresas já sentiram o peso de suas sanções.
As multas altas e a publicidade negativa que ser denunciado pelo GDPR gera demonstram o quanto é importante estar em conformidade com as novas regras de proteção de dados.
Um relatório da DLA Piper apontou que mesmo antes de completar 1 ano de vigência, o GDPR já localizou e multou 91 empresas por não cumprirem suas regras. Importante mencionar que a legislação europeia prevê sanções de cerca de 4% sobre o faturamento total da companhia.
Na sequência, veremos os principais casos de empresas multadas pelo GDPR e quais foram as infrações que elas cometeram.
Google – €50 milhões
No ano passado, o Google emitiu um comunicado sobre as mudanças em suas políticas de privacidade e proteção de dados para se adequar ao GDPR e até criou uma página para esclarecer dúvidas sobre a relação com a legislação europeia. Porém, mesmo assim, a companhia acabou descumprindo regras da diretiva e foi severamente punida por isso.
De acordo com as autoridades, a gigante das buscas foi denunciada por coletar dados dos celulares conectados em suas contas sem a autorização dos usuários franceses. A prática acontecia porque o Google não indicava de forma clara que os dados estavam sendo recolhidos nem como desabilitar a captação.
Além disso, o Google já tinha sido denunciado por sete países da União Europeia por recolher dados sobre a localização dos seus usuários mesmo quando o GPS de seus smartphones estava desligado.
Centro Hospitalar Barreiro Montijo – €400 mil
No final do ano passado um hospital português recebeu notificações por utilizar os dados de forma inadequada. As multas totalizaram mais de 400 mil euros.
O que foi reportado é que funcionários que não atuavam na área hospitalar usavam os dados de terceiros para conseguir acesso ao sistema. A suspeita surgiu porque o hospital tinha 985 usuários registrados como médicos, mas apenas 296 médicos realmente trabalhando no local.
Knuddels.de – €200 mil
Uma rede social alemã recebeu uma multa de 200 mil euros por um vazamento que expôs informações de mais de 330 mil pessoas, incluindo seus e-mails e senhas. Em alguns casos, os nomes reais e endereços de usuários também foram vazados e disponibilizado em serviços de nuvem pública.
A quebra de sigilo mostrou que o site guardava os dados em formatos de texto comum, sem encriptação ou anonimização das informações que pudessem dificultar a identificação dos usuários.
Investir em segurança para manter os dados de seus clientes seguros é uma das responsabilidades que o GDPR impõe para as companhias. Por isso, não implementar políticas e mecanismos de segurança pode ser visto como uma infração à diretiva.
Empreendedor austríaco – €4,8 mil
Um pequeno empresário austríaco foi o primeiro a ser multado pelo GDPR em seu país. Ele alegou ter comprado uma câmera para monitorar a parte da frente do seu estabelecimento. Porém o equipamento estava direcionado para filmar toda a calçada e a vizinhança.
O órgão responsável pela proteção de dados na Áustria entendeu que a possibilidade de monitorar espaços públicos sem que a câmera estivesse devidamente sinalizada configurava uma violação do GDPR.
Esse é um caso bastante interessante porque demonstra como a lei europeia pode cobrir não só a proteção de informações na internet, mas também fora dela.
É importante lembrar que as normas do GDPR valem apenas para empresas que tenham algum tipo de operação na União Europeia ou coletem dados de europeus, mas o Brasil já tem sua própria lei de proteção de dados! A LGPD é a legislação brasileira equivalente ao GDPR e também pode gerar multas altíssimas, que chegam a 50 milhões de reais ou 2% do faturamento.
Ainda que a LGPD só entre em vigor no próximo ano é fundamental começar agora o processo para se adequar a ela. Para isso, conte com os advogados especializados em direito digital e proteção de dados do Assis e Mendes Advogados!
por admin | maio 2, 2019 | Direito digital
Pode parecer que a proteção de dados e a privacidade na internet são assuntos novos, mas a verdade é que, apesar de terem ganhado bastante popularidade nos últimos anos, eles já são discutidos há décadas.
A seguir, vamos conhecer um pouco sobre o histórico das principais leis relacionadas à privacidade na internet e aos direitos do consumidor sobre seus dados pessoais.
1970 – 1980: primeiras leis europeias
Apesar de alguns especialistas acreditarem que a preocupação com dados pessoais surgiu nos Estados Unidos anos 60, a primeira lei oficialmente direcionada ao tema foi criada em Hessen, na Alemanha, na década de 70.
Nesse período, o avanço da computação e da indústria nos países mais desenvolvidos teria impulsionado o estado alemão a criar normas para regular a privacidade no país. Essa também seria a primeira vez que o conceito de proteção de dados seria introduzido no cenário jurídico da Alemanha.
Embora o conceito tenha sido desenvolvido desde o início da década de 70, a legislação só foi finalizada e implementada em 1978. Neste mesmo ano, países como França, Noruega, Suécia e Áustria também criaram suas próprias leis sobre como as informações de seus cidadãos poderiam ser utilizadas e exportadas.
Em 1981, uma convenção elaborada pelos países membros do então Conselho da Europa ajudou a unificar e desenvolver melhor as normas para o tratamento automatizado de dados pessoais.
1988: Constituição Federal Brasileira
Em 1988 o Brasil adotou uma nova carta magna e ela menciona alguns pontos sobre proteção de dados.
O artigo 5º, referente aos direitos e deveres dos cidadãos, já tratava, ainda de que de forma geral, da privacidade dos brasileiros: “são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o direito a indenização pelo dano material ou moral decorrente de sua violação”.
A lei 9.296 de 1996 ainda viria a acrescentar que é “inviolável o sigilo da correspondência e das comunicações telegráficas, de dados e das comunicações telefônicas, salvo, no último caso, por ordem judicial, nas hipóteses e na forma que a lei estabelecer para fins de investigação criminal ou instrução processual penal”.
1993: Código de Defesa do Consumidor
No início dos anos 90 o Brasil também desenvolveu um manual específico para as relações entre empresas e clientes.
O Código de Defesa do Consumidor evolui ainda mais na busca pela defesa de informações e tem uma seção específica sobre cadastros e banco de dados. No texto, a legislação defende o direito do consumidor acessar os dados que uma empresa tem sobre ele e solicitar sua correção, caso alguma informação esteja incorreta.
O artigo 13º ainda deixa claro que dificultar o acesso às suas próprias informações ou deixar de comunicar ao titular sobre o registro de seus dados são consideradas infrações.
Há ainda artigos que garantem a privacidade e responsabilizam as empresas sobre a segurança dos dados, como o artigo 11º, capítulo 3: “Os dados pessoais do consumidor serão preservados, mantidos em sigilo e utilizados exclusivamente para os fins do atendimento”.
1995: Diretiva 95/46/CE da União Europeia
Em outubro de 1995 o Parlamento Europeu e o Conselho da União Europeia criaram um regulamento que estabelecia regras para serem cumpridas por todos os países da UE.
No texto é perceptível que o conceito de proteção de dados e a interpretação de seus propósitos estão muito mais desenvolvidos e bem próximos das legislações atuais.
Princípios como recolhimento de dados de acordo com uma finalidade específica, direito ao acesso dos dados por parte do consumidor e responsabilidade das empresas sobre a segurança das informações armazenadas, já são abordados na lei.
A diretiva determinava ainda que cada país membro tivesse um órgão ou profissional responsável pela supervisão e implementação das e adequassem suas leis regionais para estar em conformidade com a 95/46/CE.
2000: acordo entre EUA e Europa
O Safe Harbor foi um acordo estabelecido entre os Estados Unidos e a Europa com o objetivo de facilitar a troca de informações e dados pessoais entre os dois polos. Até o momento, havia muitas divergências entre as dinâmicas de coletas e o programa foi uma tentativa de uniformizar as regras.
Em 2015 o acordo foi revogado por suspeitas de espionagens por parte da Agência de Segurança Nacional dos EUA. Porém, já no ano seguinte, a Europa aprovou o Privacy Shield, um novo programa de transferência internacional de dados com empresas norte-americanas que garantia maior segurança para os cidadãos europeus.
2013: Marco Civil da Internet
2013 foi importantíssimo para a privacidade online no Brasil. Neste ano, o Marco Civil da Internet, primeira lei responsável por regular o uso da internet no país, foi implementado. E podemos dizer que foi um pontapé inicial para que a justiça brasileira começasse a entender que o que acontece na internet também traz efeitos para o mundo real.
Foram introduzidos conceitos como a neutralidade de rede e a liberdade de expressão e definidas quais são as obrigações dos órgãos públicos no fornecimento de internet.
Em março de 2013 o decreto nº 7.962 ainda acrescentou algumas orientações que complementam o Código de Defesa do Consumidor. O artigo 2º define que são diretrizes do Plano Nacional de Consumo e Cidadania a “autodeterminação, privacidade, confidencialidade e segurança das informações e dados pessoais prestados ou coletados, inclusive por meio eletrônico”.
2018 – GDPR europeu
Observando os grandes casos de vazamento de dados, a utilização e comércio de informações pessoais, a União Europeia decidiu revisitar suas regras de proteção de dados.
O GDPR obrigou empresas de todo mundo – inclusive gigantes como o Facebook e o Google – a mudar a forma como coletam e tratam dados e foi responsável por uma nova onda de novas leis sobre o tema em todo o mundo, inclusive no Brasil.
2020 – LGPD brasileira
A Lei Geral de Proteção de Dados brasileira foi anunciada no ano passado e deve entrar em vigor em 2020.
Claramente influenciada pelos princípios da diretiva europeia, a LGPD vale para todas as empresas que recolhem ou tratam dados no território nacional ou de cidadãos brasileiros.
Assim como o GDPR, alguns dos principais pontos da LGPD são: direito para o titular acessar, editar ou solicitar a exclusão de seus dados, recolhimento autorizado (com exceção em casos específicos), maior cuidado com dados sensíveis, portabilidade de dados e sanções administrativas se houver descumprimento.
Apesar do prazo parecer grande, a LGPD exige uma série de mudanças estruturais que demandam tempo e investimento, por isso o ideal é começar o planejamento já!
Além disso, ainda existem chances de a legislação ser alterada até a sua implementação! Para que você não fique desinformado sobre um tema tão importante, aproveite e se inscreva em nossa newsletter!
por admin | abr 16, 2019 | Direito digital
Provavelmente você já ouviu falar em LGPD (Lei Geral de Proteção de Dados) e GDPR (Regulamento Geral de Proteção de Dados), e talvez até saiba que a primeira é a nova lei brasileira que entra em vigor no próximo ano e que a segunda é o regulamento europeu, implementado em 2018.
Mas já que essas duas siglas tratam sobre o mesmo assunto, o que difere uma da outra? E o que elas têm em comum? São essas perguntas que vamos responder a partir de agora!
Conceitos principais
Nesse quesito as duas diretivas são bastante semelhantes já que versam sobre a proteção de dados pessoais – informações que ajudam a identificar uma pessoa, como nome, CPF, endereço e e-mail, por exemplo.
Tanto a LGPD quanto o GDPR cobrem aspectos como: quais são os direitos do titular sobre suas informações pessoais, como as empresas podem ou não recolher e processar dados e quais as punições caso descumpram as regras.
Ambas também determinam o conceito de dado pessoal sensível: uma informação íntima que precisa de tratamento especial, porque sua divulgação ou utilização inadequada pode causar prejuízos para o titular. São considerados sensíveis os dados sobre origem étnica, orientação sexual, posicionamento político, saúde e religião, por exemplo.
Técnicas de segurança
Nesse aspecto LGPD e GDPR parecem caminhar juntos, mas a legislação da União Europeia é bem mais específica do que a brasileira.
A nossa legislação orienta apenas que os dados pessoais sejam tratados de maneira segura e afirma que a Autoridade Nacional de Proteção de Dados (ANPD) pode descrever a forma como isso será feito. Já o GDPR não perde tempo e exige medidas como encriptação e pseudoanonimização para manter os bancos de dados mais seguros.
Como a criação da ANPD só foi formalizada nos últimos dias 2018, ainda não podemos dizer com segurança quais serão os seus padrões de segurança. Por hora, as empresas devem buscar seus próprios meios para melhorar a sua segurança digital e estar atentas para novidades que devem vir nos próximos meses.
Aplicação internacional
Aqui GDPR e LGPD voltam a ter discursos muito parecidos. Ambas determinam que suas regras valem tanto para os dados dos nativos quanto para qualquer pessoa ou empresa que tenham operações em seu território.
Ou seja, empresas que coletem, armazenem e utilizem dados de cidadãos da União Europeia, estejam localizadas ou ofertem produtos e serviços para a região precisam atender o GDPR. E a LGPD vale para todos os casos em que os dados foram coletados e manipulados em território nacional ou sejam de brasileiros.
Isso pode significar que empresas brasileiras que tenham operações na UE podem ter que adotar os padrões das duas legislações, a nacional e a europeia.
Portabilidade de dados
Esse conceito foi difundido pelo GDPR e adotado em vários países que estão desenvolvendo suas próprias normas de proteção, incluindo o Brasil.
A portabilidade de dados garante ao titular o direito de mover suas informações pessoais de uma empresa para a outra. Nesse caso, a companhia que detinha os dados não pode dificultar o processo e nem reter nenhuma informação.
Bons exemplos de portabilidade seriam a migração de seus dados de um banco para o outro, ou de uma corretora de seguros para outra.
Vazamento de dados
Esse é um dos pontos em que o GDPR é mais severo: em casos de vazamento de dados a empresa que sofreu a quebra de sigilo deve comunicar as autoridades em, no máximo, 72 horas depois do ocorrido. Os usuários também devem ser notificados dependendo da gravidade da situação.
A LGPD também demanda que a autoridade nacional e as vítimas sejam avisadas sobre o vazamento e seus riscos. Mas não estipula um prazo máximo para essa comunicação. Por hora, há apenas a informação de que os detalhes deste procedimento serão criados pela ANPD.
Consentimento para captação
Garantir que o consumidor não só está ciente, mas permite que uma empresa recolha e use seus dados para finalidades específicas é um dos pilares principais de qualquer política de proteção de dados.
No GDPR o consentimento é necessário e a companhia pode ser obrigada, inclusive, a demonstrar para as autoridades como conseguiu a permissão do titular. Mas na LGPD este aspecto ficou um pouco confuso, principalmente depois das mudanças feitas pela MP 869/18.
Atualmente, o artigo 11, da LGPD tem sete situações em que as empresas podem coletar dados pessoais – inclusive os sensíveis – sem consentimento do titular. Esses pontos incluem conceitos que ainda não estão muito claros e que podem acabar sendo interpretados das mais diversas formas, como “tutela da saúde” ou “garantia da prevenção à fraude”, por exemplo.
No futuro essas determinações deverão ser muito bem explicadas para que empresas não se aproveitem de conceitos muito amplos para coletar informações que não deveriam.
Ainda tem dúvidas sobre a LGPD e o GDPR? Precisa de ajuda para implementar as mudanças na sua empresa? Entre em contato com os advogados especializados em proteção de dados do Assis e Mendes Advogados!
por admin | mar 12, 2019 | Direito digital
Com as novas leis de proteção de dados, novas instituições, mercados e até atribuições profissionais estão surgindo. E um dos principais é o Data Protection Officer (DPO) ou encarregado de proteção de dados.
Dependendo da forma e dos objetivos para os quais uma empresa recolhe dados dos seus usuários ela precisa ser monitorada por um DPO. A seguir, vamos entender melhor o papel desse profissional e descobrir se o seu negócio precisa contratá-lo.
Quem é o DPO?
A figura do DPO ganhou maior notoriedade a partir da publicação do Regulamento Geral de Dados da União Europeia (GDPR) no ano passado. De forma geral, esse profissional é um especialista em proteção de dados e monitora empresas para garantir que elas estejam em compliance com as regras e boas práticas do setor. Ele também deve intermediar os interesses da empresa (controlador) e do titular dos dados.
Com a criação da Lei Geral de Proteção de Dados brasileira (LGPD), que se inspirou bastante no GDPR, o DPO recebeu o nome de encarregado e ganhou a seguinte definição, registrada no artigo 5º da lei: “pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)”.
As funções do DPO de acordo com o GDPR
De acordo com artigo 37 do GDPR a figura do DPO é necessária sempre que o tratamento for feito por órgãos ou autoridades públicas (com exceção de tribunais), a empresa lide com dados especiais e sensíveis (como informações sobre etnia, religião e condenações penais) ou faça um monitoramento em larga escala.
O artigo 39 define que estão entre as tarefas do DPO:
- Informar e aconselhar o responsável pelo tratamento e os demais profissionais sobre suas obrigações nos termos do GDPR;
- Controlar a conformidade com o GDPR e com as políticas do responsável pelo tratamento, incluindo a atribuição de responsabilidades, a sensibilização e a formação do pessoal envolvido no tratamento;
- Prestar aconselhamento, se tal for solicitado, no que se refere à avaliação do impacto da proteção de dados, e acompanhar o seu desempenho;
- Cooperar com as autoridades;
- Servir de ponte para a autoridade de supervisão em questões relacionadas com o tratamento.
As tarefas do DPO segundo a LGPD
O texto da LGPD também designa algumas atribuições para o encarregado. O artigo 41, parágrafo 2º lista essas atividades:
- Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
- Receber comunicações da autoridade nacional e adotar providências;
- Orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais;
- Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
O parágrafo 3º ainda afirma que “a autoridade nacional poderá estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados”. Ou seja, essas tarefas podem ser adaptadas ou excluídas de acordo com orientação da ANPD.
Observando os dois “job descriptions” é possível perceber que as tarefas são bem parecidas e se resumem em monitorar, fiscalizar, orientar e fazer a ponte entre os titulares e as empresas.
Mas contratar (ou não) um DPO é só um dos vários processos para se adequar às novas regras de proteção de dados. Se você precisa de apoio nessa transição, entre em contato com os advogados especializados em Direito Digital e Empresarial da Assis e Mendes.
