por Assis e Mendes | maio 9, 2019 | Direito digital, Direito digital, Direito digital, Direito digital
O GDPR, legislação europeia que regula o tratamento de dados de empresas que tem operação na União Europeia ou recolhem dados de europeus, entrou em vigor em maio de 2018 e algumas empresas já sentiram o peso de suas sanções.
As multas altas e a publicidade negativa que ser denunciado pelo GDPR gera demonstram o quanto é importante estar em conformidade com as novas regras de proteção de dados.
Um relatório da DLA Piper apontou que mesmo antes de completar 1 ano de vigência, o GDPR já localizou e multou 91 empresas por não cumprirem suas regras. Importante mencionar que a legislação europeia prevê sanções de cerca de 4% sobre o faturamento total da companhia.
Na sequência, veremos os principais casos de empresas multadas pelo GDPR e quais foram as infrações que elas cometeram.
Google – €50 milhões
No ano passado, o Google emitiu um comunicado sobre as mudanças em suas políticas de privacidade e proteção de dados para se adequar ao GDPR e até criou uma página para esclarecer dúvidas sobre a relação com a legislação europeia. Porém, mesmo assim, a companhia acabou descumprindo regras da diretiva e foi severamente punida por isso.
De acordo com as autoridades, a gigante das buscas foi denunciada por coletar dados dos celulares conectados em suas contas sem a autorização dos usuários franceses. A prática acontecia porque o Google não indicava de forma clara que os dados estavam sendo recolhidos nem como desabilitar a captação.
Além disso, o Google já tinha sido denunciado por sete países da União Europeia por recolher dados sobre a localização dos seus usuários mesmo quando o GPS de seus smartphones estava desligado.
Centro Hospitalar Barreiro Montijo – €400 mil
No final do ano passado um hospital português recebeu notificações por utilizar os dados de forma inadequada. As multas totalizaram mais de 400 mil euros.
O que foi reportado é que funcionários que não atuavam na área hospitalar usavam os dados de terceiros para conseguir acesso ao sistema. A suspeita surgiu porque o hospital tinha 985 usuários registrados como médicos, mas apenas 296 médicos realmente trabalhando no local.
Knuddels.de - €200 mil
Uma rede social alemã recebeu uma multa de 200 mil euros por um vazamento que expôs informações de mais de 330 mil pessoas, incluindo seus e‑mails e senhas. Em alguns casos, os nomes reais e endereços de usuários também foram vazados e disponibilizado em serviços de nuvem pública.
A quebra de sigilo mostrou que o site guardava os dados em formatos de texto comum, sem encriptação ou anonimização das informações que pudessem dificultar a identificação dos usuários.
Investir em segurança para manter os dados de seus clientes seguros é uma das responsabilidades que o GDPR impõe para as companhias. Por isso, não implementar políticas e mecanismos de segurança pode ser visto como uma infração à diretiva.
Empreendedor austríaco — €4,8 mil
Um pequeno empresário austríaco foi o primeiro a ser multado pelo GDPR em seu país. Ele alegou ter comprado uma câmera para monitorar a parte da frente do seu estabelecimento. Porém o equipamento estava direcionado para filmar toda a calçada e a vizinhança.
O órgão responsável pela proteção de dados na Áustria entendeu que a possibilidade de monitorar espaços públicos sem que a câmera estivesse devidamente sinalizada configurava uma violação do GDPR.
Esse é um caso bastante interessante porque demonstra como a lei europeia pode cobrir não só a proteção de informações na internet, mas também fora dela.
É importante lembrar que as normas do GDPR valem apenas para empresas que tenham algum tipo de operação na União Europeia ou coletem dados de europeus, mas o Brasil já tem sua própria lei de proteção de dados! A LGPD é a legislação brasileira equivalente ao GDPR e também pode gerar multas altíssimas, que chegam a 50 milhões de reais ou 2% do faturamento.
Ainda que a LGPD só entre em vigor no próximo ano é fundamental começar agora o processo para se adequar a ela. Para isso, conte com os advogados especializados em direito digital e proteção de dados do Assis e Mendes Advogados!
por Assis e Mendes | maio 2, 2019 | Sem categoria
Pode parecer que a proteção de dados e a privacidade na internet são assuntos novos, mas a verdade é que, apesar de terem ganhado bastante popularidade nos últimos anos, eles já são discutidos há décadas.
A seguir, vamos conhecer um pouco sobre o histórico das principais leis relacionadas à privacidade na internet e aos direitos do consumidor sobre seus dados pessoais.
1970 – 1980: primeiras leis europeias
Apesar de alguns especialistas acreditarem que a preocupação com dados pessoais surgiu nos Estados Unidos anos 60, a primeira lei oficialmente direcionada ao tema foi criada em Hessen, na Alemanha, na década de 70.
Nesse período, o avanço da computação e da indústria nos países mais desenvolvidos teria impulsionado o estado alemão a criar normas para regular a privacidade no país. Essa também seria a primeira vez que o conceito de proteção de dados seria introduzido no cenário jurídico da Alemanha.
Embora o conceito tenha sido desenvolvido desde o início da década de 70, a legislação só foi finalizada e implementada em 1978. Neste mesmo ano, países como França, Noruega, Suécia e Áustria também criaram suas próprias leis sobre como as informações de seus cidadãos poderiam ser utilizadas e exportadas.
Em 1981, uma convenção elaborada pelos países membros do então Conselho da Europa ajudou a unificar e desenvolver melhor as normas para o tratamento automatizado de dados pessoais.
1988: Constituição Federal Brasileira
Em 1988 o Brasil adotou uma nova carta magna e ela menciona alguns pontos sobre proteção de dados.
O artigo 5º, referente aos direitos e deveres dos cidadãos, já tratava, ainda de que de forma geral, da privacidade dos brasileiros: “são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas, assegurado o direito a indenização pelo dano material ou moral decorrente de sua violação”.
A lei 9.296 de 1996 ainda viria a acrescentar que é “inviolável o sigilo da correspondência e das comunicações telegráficas, de dados e das comunicações telefônicas, salvo, no último caso, por ordem judicial, nas hipóteses e na forma que a lei estabelecer para fins de investigação criminal ou instrução processual penal”.
1993: Código de Defesa do Consumidor
No início dos anos 90 o Brasil também desenvolveu um manual específico para as relações entre empresas e clientes.
O Código de Defesa do Consumidor evolui ainda mais na busca pela defesa de informações e tem uma seção específica sobre cadastros e banco de dados. No texto, a legislação defende o direito do consumidor acessar os dados que uma empresa tem sobre ele e solicitar sua correção, caso alguma informação esteja incorreta.
O artigo 13º ainda deixa claro que dificultar o acesso às suas próprias informações ou deixar de comunicar ao titular sobre o registro de seus dados são consideradas infrações.
Há ainda artigos que garantem a privacidade e responsabilizam as empresas sobre a segurança dos dados, como o artigo 11º, capítulo 3: “Os dados pessoais do consumidor serão preservados, mantidos em sigilo e utilizados exclusivamente para os fins do atendimento”.
1995: Diretiva 95/46/CE da União Europeia
Em outubro de 1995 o Parlamento Europeu e o Conselho da União Europeia criaram um regulamento que estabelecia regras para serem cumpridas por todos os países da UE.
No texto é perceptível que o conceito de proteção de dados e a interpretação de seus propósitos estão muito mais desenvolvidos e bem próximos das legislações atuais.
Princípios como recolhimento de dados de acordo com uma finalidade específica, direito ao acesso dos dados por parte do consumidor e responsabilidade das empresas sobre a segurança das informações armazenadas, já são abordados na lei.
A diretiva determinava ainda que cada país membro tivesse um órgão ou profissional responsável pela supervisão e implementação das e adequassem suas leis regionais para estar em conformidade com a 95/46/CE.
2000: acordo entre EUA e Europa
O Safe Harbor foi um acordo estabelecido entre os Estados Unidos e a Europa com o objetivo de facilitar a troca de informações e dados pessoais entre os dois polos. Até o momento, havia muitas divergências entre as dinâmicas de coletas e o programa foi uma tentativa de uniformizar as regras.
Em 2015 o acordo foi revogado por suspeitas de espionagens por parte da Agência de Segurança Nacional dos EUA. Porém, já no ano seguinte, a Europa aprovou o Privacy Shield, um novo programa de transferência internacional de dados com empresas norte-americanas que garantia maior segurança para os cidadãos europeus.
2013: Marco Civil da Internet
2013 foi importantíssimo para a privacidade online no Brasil. Neste ano, o Marco Civil da Internet, primeira lei responsável por regular o uso da internet no país, foi implementado. E podemos dizer que foi um pontapé inicial para que a justiça brasileira começasse a entender que o que acontece na internet também traz efeitos para o mundo real.
Foram introduzidos conceitos como a neutralidade de rede e a liberdade de expressão e definidas quais são as obrigações dos órgãos públicos no fornecimento de internet.
Em março de 2013 o decreto nº 7.962 ainda acrescentou algumas orientações que complementam o Código de Defesa do Consumidor. O artigo 2º define que são diretrizes do Plano Nacional de Consumo e Cidadania a “autodeterminação, privacidade, confidencialidade e segurança das informações e dados pessoais prestados ou coletados, inclusive por meio eletrônico”.
2018 – GDPR europeu
Observando os grandes casos de vazamento de dados, a utilização e comércio de informações pessoais, a União Europeia decidiu revisitar suas regras de proteção de dados.
O GDPR obrigou empresas de todo mundo – inclusive gigantes como o Facebook e o Google – a mudar a forma como coletam e tratam dados e foi responsável por uma nova onda de novas leis sobre o tema em todo o mundo, inclusive no Brasil.
2020 – LGPD brasileira
A Lei Geral de Proteção de Dados brasileira foi anunciada no ano passado e deve entrar em vigor em 2020.
Claramente influenciada pelos princípios da diretiva europeia, a LGPD vale para todas as empresas que recolhem ou tratam dados no território nacional ou de cidadãos brasileiros.
Assim como o GDPR, alguns dos principais pontos da LGPD são: direito para o titular acessar, editar ou solicitar a exclusão de seus dados, recolhimento autorizado (com exceção em casos específicos), maior cuidado com dados sensíveis, portabilidade de dados e sanções administrativas se houver descumprimento.
Apesar do prazo parecer grande, a LGPD exige uma série de mudanças estruturais que demandam tempo e investimento, por isso o ideal é começar o planejamento já!
Além disso, ainda existem chances de a legislação ser alterada até a sua implementação! Para que você não fique desinformado sobre um tema tão importante, aproveite e se inscreva em nossa newsletter!
por Assis e Mendes | abr 30, 2019 | Direito digital
Infelizmente, muitas empresas ainda não entenderam como é séria a tarefa de coletar e armazenar dados pessoais de seus clientes. E quando um vazamento de dados acontece elas acreditam que apenas uma retratação com o público e um acordo com o Ministério Público podem resolver.
Afinal, pensam elas, se esse tipo de situação já aconteceu com gigantes do mercado, como Facebook, Uber, Adobe e Netshoes e essas empresas continuam a lucrar, então um vazamento de dados não deve ser tão grave, certo? Errado.
A verdade é que essas e outras companhias foram sim bastante prejudicadas por ter sofrido com a ação de criminosos digitais, e com empresas menores as consequências podem ser ainda piores.
A seguir, vamos esclarecer algumas dúvidas sobre as consequências de um vazamento de dados e sobre a atuação do Ministério Público nesses casos.
Posso fazer um acordo com o Ministério Público?
A empresa pode sim fazer um acordo com o MP. Mas isso ainda a coloca bem longe de resolver o problema.
Em 2018, o Banco Inter teve os dados de mais de 19 mil clientes vazados. Primeiro, a instituição negou a quebra de sigilo, mas algumas semanas depois acabou confessando que informações de seus correntistas estavam sendo vendidas na Deep Web.
Inicialmente, o Ministério Público cobrou uma multa de R$ 10 milhões e, depois de meses de disputa, o valor for acordado em R$ 1,5 milhão. Deste montante, R$ 500 mil seriam encaminhados para instituições de caridade e R$ 1 milhão para órgãos públicos que combatem os crimes digitais.
Apesar de ter reduzido a sanção aplicada no caso, o Banco Inter pode ter perdido algo ainda mais precioso: sua credibilidade com o público. Ter suas senhas, dados pessoais e transações financeiras expostas é algo gravíssimo e muitos correntistas podem ter perdido a confiança no banco.
O MP é o único que vou precisar enfrentar?
Bater de frente com o Ministério Público, normalmente, é o principal receio das empresas quando identificam um vazamento de dados, mas o MP não é o único órgão que uma companhia pode enfrentar quando tem problemas com a segurança. Também pode ser necessário lidar com ações judiciais em outras instâncias.
No caso do Banco Inter, por exemplo, a Comissão de Valores Mobiliários (CMV) também começou a investigar o caso no fim do ano passado e ainda pode abrir um processo contra a instituição financeira.
Além disso, a empresa que acabar expondo os dados que armazena pode enfrentar ações judiciais de seus clientes, funcionários e até parceiros comerciais se eles se sentirem prejudicados pela quebra de sigilo.
Unir uma redução drástica no número de clientes, o pagamento de uma multa que pode descapitalizar o seu negócio, uma porção de processos judiciais e a perda de parceiros estratégicos pode resultar em um período bastante complicado para a sua empresa e, eventualmente, até sua falência.
A LGPD pode endurecer as regras de vazamento de dados?
Sim, a nova Lei Geral de Proteção de Dados (LGPD) a ser implementada no ano que vem chega para deixar ainda mais clara a importância de fazer uma gestão adequada dos dados e endurecer as sanções em caso de vazamento.
Até 2020 as empresas que coletam e processam informações de brasileiros – online ou offline – ou têm operações no país precisam se adequar a uma série de regras para evitar sanções de até 2% de seu faturamento ou R$ 50 milhões por infração.
Como lidar com um vazamento de dados?
A melhor forma é prevenir que o vazamento aconteça e ter um advogado especializado em direito digital e proteção de dados é fundamental para isso.
Esse profissional pode ajudar a encontrar vulnerabilidades no seu sistema, propor soluções para reduzir as chances de acontecer um vazamento, orientar mudanças nos seus processos para se adequar às novas leis de proteção de dados e criar um plano de gestão de crise em caso de quebra de segurança.
Com a ajuda do especialista, você e sua equipe saberão exatamente que providências tomar caso haja um vazamento de dados e estarão melhor preparados para lidar com problemas jurídicos, caso eles aconteçam.
Se você quer ter essa segurança no seu negócio, entre em contato com os advogados da Assis e Mendes!
por Assis e Mendes | abr 11, 2019 | Sem categoria
Por muito tempo a relação entre o direito e o universo digital, principalmente a internet, foi bastante conturbada. Mas, de alguns anos para cá, isso tem mudado bastante.
Cada vez mais, a jurisprudência está atenta e integrada com o que acontece online e um conjunto de ações vem demonstrando que o direito digital deve se fortalecer ainda mais em 2019.
A seguir, veja quais as principais tendências que devem pautar as diretrizes do direito digital neste ano e como elas vão afetar pessoas físicas e jurídicas nos próximos meses.
Proteção de dados
A proteção de dados é a “bola da vez”. O assunto nunca foi tão discutido e o tratamento de informações pessoais está sendo encarado como um tema realmente relevante por comunidades jurídicas de todo o mundo, incluindo o Brasil.
O GDPR (regulamento europeu que começou a vigorar em 2018) fez com que empresas do mundo todo tivessem que rever a forma como recolhem e usam dados de seus usuários, e nem gigantes como o Google e o Facebook escaparam das novas regras.
No Brasil, a LGPD é a legislação nacional que passa a regular o tratamento de dados dos brasileiros no próximo ano. E ainda que a data de implementação pareça distante, as empresas que precisam adequar suas práticas à nova lei precisam se apressar para começar as mudanças o quanto antes. Do contrário, correm o risco de não estar em total compliance com a LGPD e sofrerem com altas sanções.
Tudo isso tem feito as empresas repensarem a forma como usam os dados, e mesmo as pessoas físicas estão mais atentas sobre os momentos e as finalidades com que suas informações são usadas.
Neste e no próximo ano a tendência é que a proteção de dados continue em alta. Com o prazo da LGPD se aproximando, as companhias devem procurar auxílio em especialistas em direito digital para acompanhar e coordenar as mudanças exigidas pela lei. Também deve haver uma procura cada vez maior de pessoas físicas que sentiram que seus dados foram usados de maneira inadequada e, conhecedoras de seus direitos, buscarão a justiça.
Foco na segurança digital
Nos últimos anos temos percebido que não são só os mecanismos de segurança que evoluem, mas a ação dos criminosos caminha lado a lado com as inovações tecnológicas.
Inúmeros casos de vazamento de dados e o surgimento de ransomwares e phishings cada vez mais arrojados tem feito a comunidade jurídica olhar com mais atenção para a segurança digital.
Com isso, neste ano deve haver uma demanda muito grande por ferramentas, soluções e práticas que aumentem os níveis de segurança digital dentro das empresas. Até porque, com a implementação da LGPD, as companhias passarão a ser ainda mais responsáveis pelos dados pessoais que mantém em seus bancos e as punições para o vazamento de informações dos titulares podem ser bem severas.
Profissionalização de negócios digitais
Nos últimos anos fatores como os altos índices de desemprego fizeram o empreendedorismo brasileiro crescer como nunca. E os negócios digitais, como e‑commerces e prestadoras de serviços tecnológicos – que exigem pouco investimento inicial e geralmente podem ser operados com uma estrutura enxuta – ganharam bastante destaque nesse cenário.
Porém, com a economia dando sinais de retomada e as grandes empresas voltando a prosperar, a tendência é que só permaneçam no mercado os negócios digitais que investirem em estrutura e profissionalização.
Em outras palavras, as pequenas e médias empresas que ainda acham que por trabalharem com o mercado digital não precisam desenvolver e atualizar seu business plan, ter responsabilidades fiscais e tributárias, criar Termos de Uso e Políticas de Privacidade ou adotar as novas políticas de segurança digital podem acabar fechando as portas.
Para esses negócios, o mais indicado é buscar apoio profissional especializado em empresas digitais para ajuda a profissionalizar sua gestão, detectar os desafios dessa nova fase e traçar um novo planejamento. Uma boa assessoria jurídica pode ajudar bastante nesse sentido!
por Assis e Mendes | abr 2, 2019 | Direito Empresarial
Você é o do tipo de que deixa tudo para a última hora? Então saiba que no caso da LGPD esse tipo de comportamento pode render muito prejuízo para a sua empresa.
A nova lei de proteção de dados só começa a vigorar em agosto de 2020, mas é essencial que as empresas comecem a se preparar para mudanças que a LGPD impõe, e a seguir você vai entender o porquê.
Planejamento é importante
A LGPD vai forçar as companhias brasileiras (e as estrangeiras que recolhem dados no Brasil) a fazer uma série de mudanças estruturais, que vão desde o setor de TI até o atendimento ao consumidor.
Fazer essas alterações de uma forma segura, eficiente e sem prejuízos para o negócio demanda muito estudo e planejamento. E é claro que as últimas semanas antes do fim do prazo não são suficientes para isso.
É na fase de planejamento que você poderá – preferencialmente com auxilio de um especialista em proteção de dados – desenhar todos os procedimentos que serão mudados, criar treinamentos para capacitar e educar os funcionários sobre o assunto e verificar quais desafios terá que enfrentar. Por meio dessa preparação detalhada será capaz de prever riscos e criar planos de gestão de crise e desenvolver métodos mais econômicos e eficientes para estar em compliance com a LGPD sem prejudicar seu negócio.
Há muito trabalho para ser feito
A Lei 13709/18 tem um texto extenso com mais de 60 artigos, novos conceitos e procedimentos que precisam ser implementados nas empresas até o próximo ano. E isso representa muito trabalho para ser feito.
“O prazo de 24 meses desde a promulgação da LGPD pode parecer grande, mas as mudanças e estrutura exigida pela lei são grandes. Muitas empresas que trabalham com dados terão que redesenhar processos internos ou mesmo a forma como oferecem serviços aos seus clientes”, explica Adriano Mendes, advogado especialista em proteção de dados e direito digital da Assis e Mendes Advogados.
Uma das mudanças proposta pela LGPD é que as empresas tenham um DPO, um profissional encarregado de mediar a comunicação entre o controlador, os titulares e a ANPD. Isso significa que talvez você precise fazer um processo seletivo para contratar esse especialista, reservar recursos, estrutura e equipamentos para que ele trabalhe, criar uma rotina de trabalho e treinar a equipe para trabalhar em conjunto com ele.
Só essas tarefas já demandam bastante tempo e trabalho, e essa é só uma das várias mudanças que as empresas terão que fazer até o ano que vem.
Existem problemas para serem resolvidos hoje
A LGPD pode entrar em vigor em 2020, mas existem questão que você pode precisar resolver agora!
A forma como os dados dos brasileiros devem ser tratados pode não ter sido ainda não for 100% formalizada, mas muitos cidadãos já estão totalmente cientes sobre a utilização de seus dados e sobre o crescente número de ataques digitais e vazamento de informações pessoais.
“Desde já, existem diversas ações do Ministério Público Federal questionando os vários vazamentos de dados por parte das empresas. Os pedidos de indenizações atuais, em muitos casos, são superiores aos previstos na Lei”, comenta Adriano.
Além disso, ainda que não sejam diretamente mencionadas na LGPD, boas práticas da segurança digital como encriptação de dados e criação de Termos de Uso nos sites devem ser feitas “para ontem”.
Dessa forma você não só reduz as chances de ter problemas graves com vazamento, fraudes e mal-entendidos, mas demonstra para o consumidor que se preocupa com a proteção dos seus dados e aumenta a sua confiança.
Todo precisam se acostumar
É possível que você implemente uma série de procedimentos e sistemas novos, faça um único treinamento da equipe e no dia seguinte tudo esteja funcionando perfeitamente? Sim, mas é bastante improvável.
A verdade é que qualquer alteração na rotina da operação pode começar um pouco desalinhada. Talvez você precise testar mais de um sistema, provavelmente será preciso tempo e prática para que todos os funcionários estejam atuando de acordo com a LGPD, você perceba que os procedimentos que desenhou não funcionam bem e precise refazer seu planejamento.
Fazer esses testes e verificar se todos – inclusive os clientes – estão respondendo bem aos novos processos também exige tempo, e o melhor é começar a fazer essa observação o quanto antes. Assim, quando o prazo para implementação da LGPD chegar sua empresa já vai ser expert em como atuar dentro da lei.
Você não vai querer descumprir a lei
Com multas de 2% do faturamento total da empresa ou R$ 50 milhões por infração cometida você certamente não vai querer atuar fora da lei, certo?
E se somarmos multas diárias, bloqueio e até exclusão dos dados pessoais relacionados à infração? Fica cada vez menos atrativo deixar tudo para a última hora e correr o risco de não atender ao prazo da LGPD, não é mesmo?
Para que isso não aconteça, conte desde já com o apoio dos advogados especializados em direito digital, direito empresarial e tecnologia da Assis e Mendes! O escritório conta com profissionais que conhecem profundamente as boas práticas de proteção de dados no Brasil e no mundo e podem ajudar a sua empresa a passar por essa transição de uma forma mais simples e sem prejuízos para o negócio!
