Tag: empresas e LGPD

Publicado em por — Deixe um comentário

RESPONSABILIDADE NA LGPD: QUEM RESPONDE POR FALHAS NO TRATAMENTO DE DADOS?

A Lei Geral de Proteção de Dados Pessoais (LGPD) exige que empresas adotem medidas claras e eficazes para proteger os dados pessoais que tratam. Quando ocorre uma falha — ou mesmo quando há apenas a percepção de uma irregularidade — é comum que surja a dúvida: quem deve responder por isso?

A responsabilidade legal recai, antes de tudo, sobre a empresa. É ela quem define as finalidades e os meios do tratamento de dados, assumindo, assim, o papel de controladora. Cabe à empresa adotar políticas internas, implementar medidas de segurança, orientar seus colaboradores e fiscalizar eventuais operadores de dados com quem mantenha relação contratual.

O Encarregado de Proteção de Dados (DPO) exerce uma função de orientação e interlocução. É ele quem atua como canal de comunicação entre a empresa, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). Ainda que tenha um papel estratégico dentro da governança, o DPO não é o responsável legal pelos atos da empresa. Não decide sozinho, nem executa diretamente o tratamento de dados. Sua responsabilidade pessoal, portanto, só poderá ser cogitada em hipóteses muito específicas, como em casos de má-fé ou omissão grave.

O setor jurídico, por sua vez, tem o papel de interpretar a legislação e apoiar a empresa na adoção de medidas que reduzam riscos legais. Atua na formulação de pareceres, na elaboração de contratos e na definição de políticas. Entretanto, sua atuação também é consultiva. O jurídico não executa o tratamento de dados, nem possui poder de comando sobre os departamentos operacionais.

Dessa forma, em ocorrências envolvendo dados pessoais, a empresa é a principal responsável. É dela a obrigação de garantir a conformidade com a LGPD. O DPO e o jurídico contribuem com suporte técnico e estratégico, mas não substituem a responsabilidade institucional.

A clareza na definição de papéis e o investimento em governança são as melhores ferramentas para evitar falhas — e, sobretudo, para responder adequadamente quando elas ocorrem. Delegar não significa transferir o dever de proteger.

Publicado em por — Deixe um comentário

POLÍTICA DE PRIVACIDADE COPIADA DA INTERNET: UMA PRÁTICA COMUM QUE NÃO ATENDE À LGPD

Muitas empresas, especialmente as de pequeno e médio porte, ainda tratam documentos como contratos e políticas internas com certo desleixo. Na tentativa de economizar tempo e dinheiro, optam por copiar modelos prontos da internet, com leves adaptações, acreditando estarem protegidas juridicamente. No entanto, essa prática tem se mostrado não apenas arriscada, mas onerosa a médio e longo prazo.

A política de privacidade é um exemplo recorrente. Com a entrada em vigor da Lei Geral de Proteção de Dados (LGPD), tornou-se necessário demonstrar que os dados pessoais tratados pela empresa estão protegidos e que o titular está devidamente informado sobre seus direitos. Copiar uma política de privacidade sem considerar a realidade do negócio, os fluxos de dados envolvidos e os riscos específicos da atividade exercida é um erro que pode comprometer toda a estratégia de conformidade da organização.

Documentos jurídicos, quando redigidos de forma genérica, sem observar a natureza específica da empresa, sua estrutura interna e suas práticas operacionais, deixam lacunas importantes. Essas lacunas, por sua vez, podem ser exploradas em disputas judiciais, fiscalizações administrativas e até em situações simples do cotidiano empresarial, como uma rescisão contratual ou a apuração de responsabilidades em caso de incidente de segurança da informação.

Além disso, políticas internas, como códigos de conduta, termos de uso e regulamentos internos, não cumprem seu papel quando não dialogam com a cultura organizacional e não orientam de forma clara o comportamento esperado de colaboradores, prestadores de serviço e parceiros. É comum encontrar empresas com documentos que falam em tecnologias que não utilizam, em práticas que não realizam ou em obrigações que nunca são fiscalizadas. Isso enfraquece a governança interna e, pior, pode ser usado contra a própria empresa em litígios.

Investir na elaboração de documentos personalizados, construídos com base na realidade da empresa, é um cuidado que traz segurança jurídica, fortalece a imagem institucional e previne conflitos. Não se trata de uma formalidade excessiva, mas de um instrumento de organização, prevenção e responsabilidade.

A aparente economia em copiar um modelo pronto pode se transformar em prejuízo. Afinal, um contrato mal feito ou uma política copiada sem reflexão pode custar caro, seja em processos judiciais, seja em sanções administrativas, seja na perda de confiança de parceiros e clientes. O barato, nesse caso, tem preço alto.

Publicado em por — Deixe um comentário

TRÊS FALHAS COMUNS NA PROTEÇÃO DE DADOS QUE PODEM GERAR PARA MULTAS

A proteção de dados pessoais deixou de ser uma recomendação técnica para se tornar uma obrigação legal. Ainda assim, muitas empresas continuam negligenciando práticas básicas exigidas pela Lei Geral de Proteção de Dados (LGPD). O descuido, quase sempre motivado por uma falsa sensação de segurança ou por uma gestão despreparada, pode levar a sanções administrativas, processos judiciais e, principalmente, à perda da confiança dos clientes.

A seguir, destacamos três práticas frequentemente ignoradas pelas organizações — até que uma fiscalização ou incidente revele o erro.

1. Falta de registro das operações de tratamento de dados

Toda empresa que trata dados pessoais precisa manter um registro atualizado de suas atividades. Isso inclui saber quais dados são coletados, para qual finalidade, com quem são compartilhados e por quanto tempo são armazenados. Ainda que não seja exigido um software sofisticado, o mapeamento deve ser documentado e revisado periodicamente.

Um caso emblemático ocorreu em 2023, quando uma rede de clínicas odontológicas foi multada pela Autoridade Nacional de Proteção de Dados (ANPD) por não comprovar o mapeamento de dados de seus pacientes. A empresa alegou tratar apenas informações básicas, mas não conseguiu demonstrar controle sobre os dados armazenados, nem justificar o tempo de retenção.

2. Ausência de política clara de descarte de dados

Guardar dados “por precaução” é uma prática antiga e equivocada. A LGPD determina que os dados pessoais devem ser eliminados ao fim de seu tratamento, salvo obrigação legal ou regulatória que justifique sua conservação. Ainda assim, muitas empresas não possuem uma política clara de descarte ou anonimização.

Em 2022, uma loja virtual de médio porte foi notificada após uma violação de segurança expor dados de clientes inativos há mais de cinco anos. A investigação revelou que a empresa não realizava qualquer processo de descarte. O resultado foi um processo administrativo, retrabalho técnico e a perda de uma certificação ISO que a empresa havia conquistado meses antes.

3. Treinamento insuficiente (ou inexistente) dos colaboradores

Uma empresa pode investir em sistemas de segurança robustos, mas bastará um e-mail mal encaminhado ou um pendrive conectado indevidamente para comprometer todo o esforço. A falta de treinamento regular dos colaboradores é uma das principais falhas observadas pela ANPD.

Um banco de médio porte, em 2021, sofreu uma notificação após um funcionário compartilhar, por engano, uma planilha com dados bancários de clientes via e-mail externo. Embora o erro tenha sido humano, a ANPD entendeu que a instituição falhou ao não treinar sua equipe para lidar com dados pessoais de forma segura.

A proteção de dados exige responsabilidade contínua. Ignorar práticas básicas pode parecer inofensivo no dia a dia, mas se revela um erro dispendioso quando o problema já está instalado. Implementar boas práticas não é apenas uma medida de conformidade: é uma forma de demonstrar respeito pela privacidade e confiança do seu cliente. E isso, definitivamente, não se improvisa.

Publicado em por — Deixe um comentário

O QUE FAZER SE SUA EMPRESA RECEBER UMA NOTIFICAÇÃO DA ANPD?

A Autoridade Nacional de Proteção de Dados (ANPD) tem intensificado sua atuação para garantir que empresas cumpram a Lei Geral de Proteção de Dados (LGPD). Se sua empresa recebeu uma notificação, agir rapidamente e com estratégia pode evitar dores de cabeça e sanções. Veja como responder de forma adequada e minimizar riscos.

1. Leia atentamente a notificação

Antes de qualquer ação, compreenda o teor do documento. A ANPD pode solicitar informações, esclarecimentos ou apontar possíveis irregularidades. Verifique os prazos e as exigências detalhadamente.

2. Acione o Encarregado de Proteção de Dados (DPO)

O DPO da empresa ou o responsável pela conformidade com a LGPD deve ser envolvido imediatamente. Se sua empresa não possui um profissional interno, consulte um especialista em proteção de dados para avaliar a situação.

3. Levante as informações solicitadas

A notificação pode exigir documentos que comprovem a adequação da empresa à LGPD. Isso pode incluir registros de tratamento de dados, políticas de privacidade, evidências de consentimento e medidas de segurança adotadas. Organize esses materiais de forma clara e objetiva.

4. Avalie a necessidade de correções

Se a notificação aponta falhas, verifique quais ajustes são necessários. Algumas correções podem ser simples, como a atualização de termos de uso. Outras exigem revisões estruturais, como mudanças no armazenamento de dados ou na política de segurança.

5. Elabore uma resposta técnica e bem fundamentada

A resposta deve ser clara, objetiva e demonstrar que a empresa trata a proteção de dados com seriedade. Explique as medidas adotadas, os ajustes em andamento (se houver) e reforce o compromisso com a conformidade.

6. Envie dentro do prazo

O descumprimento dos prazos estabelecidos pela ANPD pode agravar a situação, levando a penalidades mais severas. Caso precise de mais tempo para responder, solicite formalmente a prorrogação justificando a necessidade.

7. Monitore e aprimore seus processos

Independentemente do desfecho da notificação, aproveite a oportunidade para fortalecer as práticas de proteção de dados. Estabeleça rotinas de auditoria, capacite a equipe e reforce a cultura de privacidade na empresa.

Receber uma notificação da ANPD não significa automaticamente que sua empresa será multada, mas uma resposta inadequada pode aumentar os riscos. Atuar com transparência e responsabilidade é a melhor forma de evitar complicações.

Publicado em por — Deixe um comentário

EMPRESAS QUE COLETAM DADOS DESNECESSÁRIOS: ERROS COMUNS QUE PODEM RESULTAR EM SANÇÕES DA ANPD

A Lei Geral de Proteção de Dados (LGPD) estabeleceu diretrizes claras sobre a coleta e o tratamento de informações pessoais, exigindo que as empresas justifiquem a necessidade de cada dado coletado. No entanto, muitos negócios ainda cometem equívocos ao solicitar informações excessivas, o que pode resultar em advertências, multas e outras sanções aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD).

Um erro recorrente é a exigência de dados que não guardam relação direta com a finalidade do serviço prestado. Formulários que solicitam informações como estado civil, filiação ou até mesmo CPF para simples cadastro em newsletters são exemplos disso. Se a coleta não estiver fundamentada em uma base legal adequada, há risco de enquadramento como tratamento irregular de dados.

Outro problema está na exigência de dados sensíveis sem necessidade real. Algumas empresas solicitam informações sobre saúde, origem racial ou crenças religiosas sem que essas informações sejam imprescindíveis para a prestação do serviço. A LGPD impõe restrições severas ao uso desses dados, tornando sua coleta injustificada um risco considerável.

Além disso, há falhas na transparência. Muitos negócios não explicam de forma clara para que fins os dados serão utilizados, deixando os titulares sem informações suficientes para exercer seus direitos. A ausência de um aviso de privacidade adequado ou o uso de termos genéricos pode ser interpretado como descumprimento da obrigação de informar.

A ANPD tem adotado uma abordagem educativa, mas também tem demonstrado disposição para aplicar sanções quando há descumprimento das normas. Empresas que revisam suas práticas de coleta, limitando-se aos dados estritamente necessários e assegurando transparência aos titulares, reduzem o risco de penalidades e reforçam sua credibilidade no mercado.

O respeito às regras de proteção de dados não é apenas uma obrigação legal, mas também um diferencial competitivo. Negócios que tratam informações com responsabilidade conquistam a confiança dos clientes e evitam transtornos futuros.

Publicado em por — Deixe um comentário

COMO EVITAR INCIDENTES DE SEGURANÇA DE DADOS?

Dicas práticas de prevenção

Em um mundo cada vez mais digital, proteger os dados da sua empresa e dos seus clientes não é apenas uma obrigação legal – é uma questão de confiança e sobrevivência no mercado. Mas como evitar que incidentes de segurança coloquem tudo isso em risco? Aqui estão algumas dicas práticas para fortalecer a segurança dos seus dados:

1. Invista em treinamentos de equipe

O elo mais fraco na segurança da informação, muitas vezes, é o humano. Por isso, capacitar seus colaboradores para identificar ameaças e evitar práticas inseguras é fundamental.

  • Realize workshops periódicos sobre phishing, senhas seguras e boas práticas no uso de sistemas.
  • Crie manuais simples e acessíveis com orientações específicas para cada setor.

Dica bônus: Teste os conhecimentos da equipe com simulações de ataques, como e-mails de phishing controlados, para identificar vulnerabilidades.

2. Realize auditorias regulares

Auditorias internas e externas ajudam a identificar falhas antes que elas se tornem problemas reais.

  • Revise periodicamente os controles de acesso, verificando quem tem permissão para acessar dados sensíveis.
  • Analise logs de sistemas para identificar atividades suspeitas.
  • Atualize seus protocolos de segurança conforme surgem novas ameaças e tecnologias.

Lembre-se: Uma auditoria preventiva custa menos do que os prejuízos de um vazamento de dados.

3. Tenha um plano de resposta rápida

Mesmo com todas as precauções, incidentes podem ocorrer. Por isso, é fundamental estar preparado para agir rapidamente:

  • Crie um Plano de Resposta a Incidentes que defina passos claros a serem seguidos em caso de falhas, como comunicação interna, isolamento do problema e notificações legais.
  • Treine a equipe para executar esse plano, garantindo que todos saibam seus papéis em situações de crise.
  • Estabeleça um canal direto para que clientes possam relatar problemas de segurança.

Por que essas práticas são importantes?

A prevenção de incidentes de segurança vai além de evitar multas ou problemas jurídicos. É sobre proteger a reputação da sua empresa, manter a confiança dos clientes e garantir a continuidade do seu negócio.

Adotar essas medidas mostra que sua organização está comprometida com a segurança e a privacidade – valores que, hoje, são diferenciais competitivos no mercado.

A segurança dos dados não é um esforço único, mas um compromisso contínuo. Invista em prevenção, prepare sua equipe e fortaleça os pilares da sua empresa!