por Assis e Mendes | maio 9, 2019 | Sem categoria
O GDPR, legislação europeia que regula o tratamento de dados de empresas que tem operação na União Europeia ou recolhem dados de europeus, entrou em vigor em maio de 2018 e algumas empresas já sentiram o peso de suas sanções.
As multas altas e a publicidade negativa que ser denunciado pelo GDPR gera demonstram o quanto é importante estar em conformidade com as novas regras de proteção de dados.
Um relatório da DLA Piper apontou que mesmo antes de completar 1 ano de vigência, o GDPR já localizou e multou 91 empresas por não cumprirem suas regras. Importante mencionar que a legislação europeia prevê sanções de cerca de 4% sobre o faturamento total da companhia.
Na sequência, veremos os principais casos de empresas multadas pelo GDPR e quais foram as infrações que elas cometeram.
Google – €50 milhões
No ano passado, o Google emitiu um comunicado sobre as mudanças em suas políticas de privacidade e proteção de dados para se adequar ao GDPR e até criou uma página para esclarecer dúvidas sobre a relação com a legislação europeia. Porém, mesmo assim, a companhia acabou descumprindo regras da diretiva e foi severamente punida por isso.
De acordo com as autoridades, a gigante das buscas foi denunciada por coletar dados dos celulares conectados em suas contas sem a autorização dos usuários franceses. A prática acontecia porque o Google não indicava de forma clara que os dados estavam sendo recolhidos nem como desabilitar a captação.
Além disso, o Google já tinha sido denunciado por sete países da União Europeia por recolher dados sobre a localização dos seus usuários mesmo quando o GPS de seus smartphones estava desligado.
Centro Hospitalar Barreiro Montijo – €400 mil
No final do ano passado um hospital português recebeu notificações por utilizar os dados de forma inadequada. As multas totalizaram mais de 400 mil euros.
O que foi reportado é que funcionários que não atuavam na área hospitalar usavam os dados de terceiros para conseguir acesso ao sistema. A suspeita surgiu porque o hospital tinha 985 usuários registrados como médicos, mas apenas 296 médicos realmente trabalhando no local.
Knuddels.de - €200 mil
Uma rede social alemã recebeu uma multa de 200 mil euros por um vazamento que expôs informações de mais de 330 mil pessoas, incluindo seus e‑mails e senhas. Em alguns casos, os nomes reais e endereços de usuários também foram vazados e disponibilizado em serviços de nuvem pública.
A quebra de sigilo mostrou que o site guardava os dados em formatos de texto comum, sem encriptação ou anonimização das informações que pudessem dificultar a identificação dos usuários.
Investir em segurança para manter os dados de seus clientes seguros é uma das responsabilidades que o GDPR impõe para as companhias. Por isso, não implementar políticas e mecanismos de segurança pode ser visto como uma infração à diretiva.
Empreendedor austríaco — €4,8 mil
Um pequeno empresário austríaco foi o primeiro a ser multado pelo GDPR em seu país. Ele alegou ter comprado uma câmera para monitorar a parte da frente do seu estabelecimento. Porém o equipamento estava direcionado para filmar toda a calçada e a vizinhança.
O órgão responsável pela proteção de dados na Áustria entendeu que a possibilidade de monitorar espaços públicos sem que a câmera estivesse devidamente sinalizada configurava uma violação do GDPR.
Esse é um caso bastante interessante porque demonstra como a lei europeia pode cobrir não só a proteção de informações na internet, mas também fora dela.
É importante lembrar que as normas do GDPR valem apenas para empresas que tenham algum tipo de operação na União Europeia ou coletem dados de europeus, mas o Brasil já tem sua própria lei de proteção de dados! A LGPD é a legislação brasileira equivalente ao GDPR e também pode gerar multas altíssimas, que chegam a 50 milhões de reais ou 2% do faturamento.
Ainda que a LGPD só entre em vigor no próximo ano é fundamental começar agora o processo para se adequar a ela. Para isso, conte com os advogados especializados em direito digital e proteção de dados do Assis e Mendes Advogados!
por Assis e Mendes | maio 7, 2019 | Sem categoria
Ainda que o prazo final para se adequar à LGPD se encerre em 2020, a verdade é que as empresas que não começarem ainda este ano a se preparar para a nova lei de proteção de dados correm sérios riscos.
Quem não estiver em compliance com as normas da LGPD estará descumprindo a lei e isso pode gerar consequências gravíssimas para o seu negócio.
Multas de até 50 milhões
A Lei Geral de Proteção de Dados prevê sanções de 2% sobre o faturamento ou até R$ 50 milhões. Vale frisar que esse valor é calculado por infração. Por isso, se você cometer mais de uma violação, a multa será multiplicada.
O artigo 52 da LGPD também descreve penalidades diárias de acordo com o tempo em que a empresa vem descumprindo a legislação.
Esses valores podem descapitalizar rapidamente uma empresa e colocar em jogo a saúde financeira de toda a sua operação. E empresário conscientes sabem que uma crise financeira é um dos piores cenários possíveis nos negócios e pode ocasionar a falência da empresa.
Má reputação para sua empresa
Ainda que o seu negócio seja punido por falta de cuidado e de conhecimento sobre a nova lei, a mensagem que vai transmitir para o mercado e os clientes é que você agiu de má fé na forma como tratava os dados.
Essa reputação pode culminar na perda de clientes e, consequentemente, em uma queda drástica no seu faturamento.
Perda de parceiros
As grandes empresas costumam ser bastante rigorosas quando buscam parcerias. Elas querem garantir que suas aliadas estão em dia com suas obrigações fiscais e tributárias, não têm processos trabalhistas e possuem um código de ética para guiar suas ações. E quando a LGPD entrar em vigor é bem provável que fazer um tratamento correto de dados seja um dos requisitos para grandes parcerias.
Pensando nisso, ter um histórico de problemas com a lei de proteção de dados pode fazer você perder a oportunidade de fazer novas parcerias e receber investimentos importantes. E isso é tudo que uma empresa em expansão não precisa!
Exclusão dos dados
Se a sua marca utiliza dados pessoais é porque eles são importantes para suas estratégias. Então, com certeza, seria péssimo perder essas informações, não é mesmo?
Bem, se não se adequar às normas da LGPD isso pode acontecer. A lei prevê o bloqueio e até mesmo a exclusão dos dados pessoais caso identifique que a empresa está fazendo a captação ou tratamento de maneira inadequada.
Essa ação certamente iria prejudicar e atrasar bastante as operações do seu negócio, então não vale a pena arriscar!
Multas altíssimas, perda de dados precisos, má reputação no mercado… Para evitar esses e outros problemas a solução é não comprometer o seu negócio e começar o planejamento já!
Os advogados da Assis e Mendes são especialistas em direito digital, direito empresarial e tecnologia e podem te mostrar o caminho para uma transição simples, ágil e sem prejuízo para sua empresa!
por Assis e Mendes | maio 2, 2019 | Direito digital
Pode parecer que a proteção de dados e a privacidade na internet são assuntos novos, mas a verdade é que, apesar de terem ganhado bastante popularidade nos últimos anos, eles já são discutidos há décadas.
A seguir, vamos conhecer um pouco sobre o histórico das principais leis relacionadas à privacidade na internet e aos direitos do consumidor sobre seus dados pessoais.
1970 – 1980: primeiras leis europeias
Apesar de alguns especialistas acreditarem que a preocupação com dados pessoais surgiu nos Estados Unidos anos 60, a primeira lei oficialmente direcionada ao tema foi criada em Hessen, na Alemanha, na década de 70.
Nesse período, o avanço da computação e da indústria nos países mais desenvolvidos teria impulsionado o estado alemão a criar normas para regular a privacidade no país. Essa também seria a primeira vez que o conceito de proteção de dados seria introduzido no cenário jurídico da Alemanha.
Embora o conceito tenha sido desenvolvido desde o início da década de 70, a legislação só foi finalizada e implementada em 1978. Neste mesmo ano, países como França, Noruega, Suécia e Áustria também criaram suas próprias leis sobre como as informações de seus cidadãos poderiam ser utilizadas e exportadas.
Em 1981, uma convenção elaborada pelos países membros do então Conselho da Europa ajudou a unificar e desenvolver melhor as normas para o tratamento automatizado de dados pessoais.
1988: Constituição Federal Brasileira
Em 1988 o Brasil adotou uma nova carta magna e ela menciona alguns pontos sobre proteção de dados.
O artigo 5º, referente aos direitos e deveres dos cidadãos, já tratava, ainda de que de forma geral, da privacidade dos brasileiros: “são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o direito a indenização pelo dano material ou moral decorrente de sua violação”.
A lei 9.296 de 1996 ainda viria a acrescentar que é “inviolável o sigilo da correspondência e das comunicações telegráficas, de dados e das comunicações telefônicas, salvo, no último caso, por ordem judicial, nas hipóteses e na forma que a lei estabelecer para fins de investigação criminal ou instrução processual penal”.
1993: Código de Defesa do Consumidor
No início dos anos 90 o Brasil também desenvolveu um manual específico para as relações entre empresas e clientes.
O Código de Defesa do Consumidor evolui ainda mais na busca pela defesa de informações e tem uma seção específica sobre cadastros e banco de dados. No texto, a legislação defende o direito do consumidor acessar os dados que uma empresa tem sobre ele e solicitar sua correção, caso alguma informação esteja incorreta.
O artigo 13º ainda deixa claro que dificultar o acesso às suas próprias informações ou deixar de comunicar ao titular sobre o registro de seus dados são consideradas infrações.
Há ainda artigos que garantem a privacidade e responsabilizam as empresas sobre a segurança dos dados, como o artigo 11º, capítulo 3: “Os dados pessoais do consumidor serão preservados, mantidos em sigilo e utilizados exclusivamente para os fins do atendimento”.
1995: Diretiva 95/46/CE da União Europeia
Em outubro de 1995 o Parlamento Europeu e o Conselho da União Europeia criaram um regulamento que estabelecia regras para serem cumpridas por todos os países da UE.
No texto é perceptível que o conceito de proteção de dados e a interpretação de seus propósitos estão muito mais desenvolvidos e bem próximos das legislações atuais.
Princípios como recolhimento de dados de acordo com uma finalidade específica, direito ao acesso dos dados por parte do consumidor e responsabilidade das empresas sobre a segurança das informações armazenadas, já são abordados na lei.
A diretiva determinava ainda que cada país membro tivesse um órgão ou profissional responsável pela supervisão e implementação das e adequassem suas leis regionais para estar em conformidade com a 95/46/CE.
2000: acordo entre EUA e Europa
O Safe Harbor foi um acordo estabelecido entre os Estados Unidos e a Europa com o objetivo de facilitar a troca de informações e dados pessoais entre os dois polos. Até o momento, havia muitas divergências entre as dinâmicas de coletas e o programa foi uma tentativa de uniformizar as regras.
Em 2015 o acordo foi revogado por suspeitas de espionagens por parte da Agência de Segurança Nacional dos EUA. Porém, já no ano seguinte, a Europa aprovou o Privacy Shield, um novo programa de transferência internacional de dados com empresas norte-americanas que garantia maior segurança para os cidadãos europeus.
2013: Marco Civil da Internet
2013 foi importantíssimo para a privacidade online no Brasil. Neste ano, o Marco Civil da Internet, primeira lei responsável por regular o uso da internet no país, foi implementado. E podemos dizer que foi um pontapé inicial para que a justiça brasileira começasse a entender que o que acontece na internet também traz efeitos para o mundo real.
Foram introduzidos conceitos como a neutralidade de rede e a liberdade de expressão e definidas quais são as obrigações dos órgãos públicos no fornecimento de internet.
Em março de 2013 o decreto nº 7.962 ainda acrescentou algumas orientações que complementam o Código de Defesa do Consumidor. O artigo 2º define que são diretrizes do Plano Nacional de Consumo e Cidadania a “autodeterminação, privacidade, confidencialidade e segurança das informações e dados pessoais prestados ou coletados, inclusive por meio eletrônico”.
2018 – GDPR europeu
Observando os grandes casos de vazamento de dados, a utilização e comércio de informações pessoais, a União Europeia decidiu revisitar suas regras de proteção de dados.
O GDPR obrigou empresas de todo mundo – inclusive gigantes como o Facebook e o Google – a mudar a forma como coletam e tratam dados e foi responsável por uma nova onda de novas leis sobre o tema em todo o mundo, inclusive no Brasil.
2020 – LGPD brasileira
A Lei Geral de Proteção de Dados brasileira foi anunciada no ano passado e deve entrar em vigor em 2020.
Claramente influenciada pelos princípios da diretiva europeia, a LGPD vale para todas as empresas que recolhem ou tratam dados no território nacional ou de cidadãos brasileiros.
Assim como o GDPR, alguns dos principais pontos da LGPD são: direito para o titular acessar, editar ou solicitar a exclusão de seus dados, recolhimento autorizado (com exceção em casos específicos), maior cuidado com dados sensíveis, portabilidade de dados e sanções administrativas se houver descumprimento.
Apesar do prazo parecer grande, a LGPD exige uma série de mudanças estruturais que demandam tempo e investimento, por isso o ideal é começar o planejamento já!
Além disso, ainda existem chances de a legislação ser alterada até a sua implementação! Para que você não fique desinformado sobre um tema tão importante, aproveite e se inscreva em nossa newsletter!
por Assis e Mendes | abr 18, 2019 | Direito Empresarial
PVocê ainda acha que a nova lei de proteção de dados (LGPD) não vai “pegar” no Brasil? Uma pesquisa da consultoria Accenture em 13 países, incluindo o Brasil, diz o contrário.
De acordo com o levamento, os constantes vazamento de dados, ataques de cibercriminosos e as notícias sobre a proteção de dados tem deixado os brasileiros mais desconfiados com o tema do que a média global.
No resto do mundo, cerca de 64% dos entrevistados confirmam que esses eventos os deixaram mais preocupados com a forma como suas informações são usadas. No Brasil esse número sobe para 77%. O relatório também apurou que 76% dos brasileiros tem medo de ser vítima de ataques virtuais. A média global é de 61%.
Coleta de dados pessoais nas empresas
A consultoria ainda explorou as diferenças nas concepções de profissionais em cargos executivos e dos demais funcionários.
Segundo a pesquisa, os executivos têm menor resistência na coleta de dados se ela partir da empresa em que trabalham. Em entrevista, 46% dos executivos responderam que teriam a sua confiança na companhia abalada se ela passasse a buscar informações sobre eles em outras fontes. Quando a mesma pergunta foi feita para os demais funcionários, 53% confirmaram que poderiam deixar de confiar na empregadora na mesma situação.
A Accenture também perguntou se os colaboradores se incomodaram se a empresa em que trabalham coletasse dados sobre seu trabalho e sua vida pessoal. Entre os funcionários, 45% disse que sim, entre os executivos, a taxa de confirmações foi de 31%.
Falta de “privacidade” nas redes sociais fortalece preocupação
Boa parte dos funcionários brasileiros ainda demonstra um temor bastante específico. Quase 70% deles têm receio de que as empresas espionem suas informações na internet para monitorá-los e puni-los.
Provavelmente esse medo é motivado pelo fato de companhias brasileiras já terem usado publicações em redes sociais e outras plataformas como forma de avaliar um candidato ou mesmo aplicar uma demissão por justa causa.
Um dos últimos casos registrados aconteceu quando um funcionário de uma companhia aérea apareceu em um vídeo constrangendo mulheres durante a Copa da Rússia, em 2018. A demissão do colaborador aconteceu logo depois do vídeo viralizar.
Ainda há um longo caminho para conscientizar a população sobre a proteção de seus dados pessoais, e essa é uma das responsabilidades da ANPD, que vai regular o setor. Mas é fundamental começar a entender desde já a importância que as informações dos brasileiros têm para as empresas e quais serão os direitos dos cidadãos sobre eles. Essa é a melhor forma de nos protegermos e garantir mais respeito e equilíbrio nas relações digitais.
por Assis e Mendes | abr 16, 2019 | Direito digital, Direito digital, Direito digital, Direito digital
Provavelmente você já ouviu falar em LGPD (Lei Geral de Proteção de Dados) e GDPR (Regulamento Geral de Proteção de Dados), e talvez até saiba que a primeira é a nova lei brasileira que entra em vigor no próximo ano e que a segunda é o regulamento europeu, implementado em 2018.
Mas já que essas duas siglas tratam sobre o mesmo assunto, o que difere uma da outra? E o que elas têm em comum? São essas perguntas que vamos responder a partir de agora!
Conceitos principais
Nesse quesito as duas diretivas são bastante semelhantes já que versam sobre a proteção de dados pessoais – informações que ajudam a identificar uma pessoa, como nome, CPF, endereço e e‑mail, por exemplo.
Tanto a LGPD quanto o GDPR cobrem aspectos como: quais são os direitos do titular sobre suas informações pessoais, como as empresas podem ou não recolher e processar dados e quais as punições caso descumpram as regras.
Ambas também determinam o conceito de dado pessoal sensível: uma informação íntima que precisa de tratamento especial, porque sua divulgação ou utilização inadequada pode causar prejuízos para o titular. São considerados sensíveis os dados sobre origem étnica, orientação sexual, posicionamento político, saúde e religião, por exemplo.
Técnicas de segurança
Nesse aspecto LGPD e GDPR parecem caminhar juntos, mas a legislação da União Europeia é bem mais específica do que a brasileira.
A nossa legislação orienta apenas que os dados pessoais sejam tratados de maneira segura e afirma que a Autoridade Nacional de Proteção de Dados (ANPD) pode descrever a forma como isso será feito. Já o GDPR não perde tempo e exige medidas como encriptação e pseudoanonimização para manter os bancos de dados mais seguros.
Como a criação da ANPD só foi formalizada nos últimos dias 2018, ainda não podemos dizer com segurança quais serão os seus padrões de segurança. Por hora, as empresas devem buscar seus próprios meios para melhorar a sua segurança digital e estar atentas para novidades que devem vir nos próximos meses.
Aplicação internacional
Aqui GDPR e LGPD voltam a ter discursos muito parecidos. Ambas determinam que suas regras valem tanto para os dados dos nativos quanto para qualquer pessoa ou empresa que tenham operações em seu território.
Ou seja, empresas que coletem, armazenem e utilizem dados de cidadãos da União Europeia, estejam localizadas ou ofertem produtos e serviços para a região precisam atender o GDPR. E a LGPD vale para todos os casos em que os dados foram coletados e manipulados em território nacional ou sejam de brasileiros.
Isso pode significar que empresas brasileiras que tenham operações na UE podem ter que adotar os padrões das duas legislações, a nacional e a europeia.
Portabilidade de dados
Esse conceito foi difundido pelo GDPR e adotado em vários países que estão desenvolvendo suas próprias normas de proteção, incluindo o Brasil.
A portabilidade de dados garante ao titular o direito de mover suas informações pessoais de uma empresa para a outra. Nesse caso, a companhia que detinha os dados não pode dificultar o processo e nem reter nenhuma informação.
Bons exemplos de portabilidade seriam a migração de seus dados de um banco para o outro, ou de uma corretora de seguros para outra.
Vazamento de dados
Esse é um dos pontos em que o GDPR é mais severo: em casos de vazamento de dados a empresa que sofreu a quebra de sigilo deve comunicar as autoridades em, no máximo, 72 horas depois do ocorrido. Os usuários também devem ser notificados dependendo da gravidade da situação.
A LGPD também demanda que a autoridade nacional e as vítimas sejam avisadas sobre o vazamento e seus riscos. Mas não estipula um prazo máximo para essa comunicação. Por hora, há apenas a informação de que os detalhes deste procedimento serão criados pela ANPD.
Consentimento para captação
Garantir que o consumidor não só está ciente, mas permite que uma empresa recolha e use seus dados para finalidades específicas é um dos pilares principais de qualquer política de proteção de dados.
No GDPR o consentimento é necessário e a companhia pode ser obrigada, inclusive, a demonstrar para as autoridades como conseguiu a permissão do titular. Mas na LGPD este aspecto ficou um pouco confuso, principalmente depois das mudanças feitas pela MP 869/18.
Atualmente, o artigo 11, da LGPD tem sete situações em que as empresas podem coletar dados pessoais – inclusive os sensíveis – sem consentimento do titular. Esses pontos incluem conceitos que ainda não estão muito claros e que podem acabar sendo interpretados das mais diversas formas, como “tutela da saúde” ou “garantia da prevenção à fraude”, por exemplo.
No futuro essas determinações deverão ser muito bem explicadas para que empresas não se aproveitem de conceitos muito amplos para coletar informações que não deveriam.
Ainda tem dúvidas sobre a LGPD e o GDPR? Precisa de ajuda para implementar as mudanças na sua empresa? Entre em contato com os advogados especializados em proteção de dados do Assis e Mendes Advogados!
