Tag: Lei Geral de Proteção de Dados

Publicado em por — Deixe um comentário

DECISÃO DO STJ: RESPONSABILIDADE DOS BANCOS NA PROTEÇÃO DE DADOS PESSOAIS

A inadequada manipulação de informações pessoais vinculadas a transações e serviços bancários é considerada uma violação na prestação do serviço, pois é responsabilidade das instituições financeiras garantir a confidencialidade desses dados sensíveis. Recentemente, a 3ª Turma do Superior Tribunal de Justiça emitiu uma decisão favorável em um recurso especial, no qual uma cliente caiu no “golpe do boleto” devido ao vazamento de seus dados por parte do banco.

A jurisprudência estabelece diretrizes para determinar quando os bancos podem ser responsabilizados por golpes de engenharia social, usando como base a Lei Geral de Proteção de Dados (LGPD).

Em termos gerais, a responsabilidade das instituições financeiras depende do tipo de informação em posse dos criminosos. Se forem dados genéricos que poderiam ser obtidos de outras fontes, mesmo que sejam considerados sensíveis, não haverá uma conexão causal. Isso ocorre quando os fraudadores utilizam informações como nome, sobrenome, estado civil, profissão, endereço, telefone, origem racial ou étnica, crença religiosa, orientação política, filiação a sindicatos, informações de saúde ou dados biométricos, por exemplo.

No entanto, os bancos podem ser responsabilizados quando os dados usados pelos criminosos estão relacionados às operações financeiras. Geralmente, essas informações são exclusivamente tratadas pelas instituições, que têm o dever de armazená-las com segurança.

A ministra relatora afirmou que “dados pessoais vinculados a operações e serviços bancários são sigilosos, e é responsabilidade das instituições financeiras garantir seu tratamento seguro. O armazenamento inadequado dessas informações, que permite que terceiros tenham acesso a elas e causem prejuízos aos consumidores, constitui uma falha na prestação do serviço”.

No caso específico que foi julgado, uma mulher contratou um financiamento de veículo em uma financeira e optou por quitar a dívida antecipadamente. Ela seguiu as instruções do site da instituição e enviou um e-mail solicitando informações sobre o contrato e o valor devido. Poucos dias depois, uma funcionária da financeira entrou em contato via WhatsApp, informando que havia 32 parcelas em aberto e enviando um boleto de R$ 19,2 mil. A cliente efetuou o pagamento, mas posteriormente percebeu que havia sido vítima de fraude.

O tribunal de primeira instância considerou a dívida quitada, mas o Tribunal de Justiça de São Paulo (TJ-SP) revogou a sentença, argumentando que a fraude ocorreu devido à falta de cautela da consumidora. Alguns indícios incluíam a troca de mensagens informais via WhatsApp e inconsistências no boleto, como o banco e o beneficiário indicados, que eram diferentes dos do contrato de financiamento, além de um número incorreto do documento.

Não era razoável esperar que a cliente percebesse essas discrepâncias, uma vez que a pessoa que a contatou em nome da financeira possuía informações confidenciais sobre ela. Os fraudadores tinham conhecimento de que a mulher era cliente da empresa, que havia enviado um e-mail para quitar a dívida e que tinham informações sobre o financiamento contratado. Essas informações são sigilosas e deveriam ser protegidas pela instituição financeira.

Portanto, se esses dados chegaram ao conhecimento dos criminosos, a responsabilidade da financeira não pode ser descartada devido ao tratamento inadequado dessas informações, o que facilitou a fraude.

Publicado em por — Deixe um comentário

VIOLAÇÕES À PRIVACIDADE DOS CONSUMIDORES EM FARMÁCIAS: UMA ANÁLISE DO DECON

No período de 10 e 11 de julho do corrente ano, a equipe do Departamento de Proteção e Defesa do Consumidor (Decon) promoveu uma operação de fiscalização que envolveu a visita a 11 farmácias. Durante essa diligência, constatou-se que oito desses estabelecimentos estavam solicitando informações pessoais dos clientes de maneira inadequada, não fornecendo de forma clara, precisa e ostensiva as informações relacionadas ao tratamento desses dados.

O Decon entende que essa conduta viola a Lei Geral de Proteção de Dados Pessoais e desrespeita os direitos dos consumidores estabelecidos no Código de Defesa do Consumidor (CDC). Nos locais autuados, observou-se que a solicitação de dados pessoais estava geralmente associada a programas de fidelidade e descontos. Para aderir a esses benefícios, os consumidores eram obrigados a fornecer seus dados pessoais, em especial o CPF.

Entretanto, no momento da coleta dessas informações pelos atendentes, os consumidores não eram devidamente informados sobre como esses dados seriam tratados. O Decon, portanto, tomará as medidas necessárias para investigar a extensão desse tratamento de dados e possíveis compartilhamentos indevidos das informações pessoais coletadas.

As empresas autuadas receberam intimações referentes a essa decisão no dia 19 deste mês. A partir dessa data, inicia-se o prazo para o pagamento da multa ou para a apresentação de recurso à Junta Recursal do Decon (Jurdecon).

Publicado em por — Deixe um comentário

DPIA NA LGPD: O PAPEL FUNDAMENTAL DO RELATÓRIO DE IMPACTO NA LGPD

No contexto da Lei Geral de Proteção de Dados (LGPD), o Relatório de Impacto à Proteção de Dados (RIPD), conhecido como DPIA (Data Protection Impact Assessment), emerge como um documento importante. Este relatório descreve os processos de tratamento de dados pessoais que podem representar um alto risco para a garantia dos princípios fundamentais de proteção de dados. Embora não seja obrigatório para todas as empresas, a elaboração do RIPD revela-se uma ferramenta altamente benéfica na adaptação das organizações à LGPD e na promoção de uma cultura corporativa alinhada às exigências atuais do mercado, especialmente no que diz respeito à proteção de dados sensíveis.

Além de fomentar a transparência das empresas com os titulares dos dados, o RIPD oferece uma preparação essencial para eventuais incidentes de segurança. Isso é possível por meio de um procedimento pré-estabelecido de mitigação de danos, delineado no relatório. O DPIA deve ser elaborado pelo controlador, ou seja, a entidade responsável pelas decisões referentes ao tratamento de dados pessoais, desde a coleta até a eliminação.

É importante ressaltar que a Agência Nacional de Proteção de Dados (ANPD) pode exigir o RIPD em situações específicas, como operações de tratamento voltadas para segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais. Isso se aplica também quando o tratamento se fundamenta no interesse legítimo, abrangendo agentes do Poder Público e controladores em geral. Além dessas situações, o DPIA pode ser requerido para cumprir o princípio da responsabilização e prestação de contas, garantindo segurança e prevenção por meio da implementação de um programa de governança em privacidade.

Até o momento, a LGPD e os regulamentos da ANPD não estabelecem requisitos essenciais para a elaboração e conteúdo obrigatório do RIPD. Nesse sentido, recomenda-se a elaboração do DPIA antes do início do tratamento de dados pessoais, permitindo a antecipada avaliação dos riscos associados a esse tratamento. Essa abordagem oferece ao controlador a capacidade de identificar a probabilidade de cada fator de risco e seu impacto nas liberdades e direitos fundamentais dos titulares, possibilitando a implementação de medidas de mitigação específicas para cada cenário.

Caso o tratamento já tenha iniciado sem a elaboração do DPIA, é altamente recomendado que o mesmo seja elaborado assim que for identificado um tratamento de alto risco para os princípios gerais de proteção de dados e as liberdades civis e direitos fundamentais dos titulares de dados. Embora a ANPD ainda não tenha fornecido orientações específicas sobre o conteúdo mínimo do RIPD, é possível basear-se nas recomendações do Grupo de Trabalho Artigo 29 da União Europeia, um órgão consultivo especializado em proteção de dados pessoais. Esse grupo indica que o RIPD deve conter uma descrição sistemática das operações de tratamento previstas, o objetivo do tratamento e uma avaliação detalhada da necessidade, proporcionalidade e das medidas previstas em relação aos riscos associados, garantias, medidas de segurança e procedimentos para garantir a conformidade com a legislação de proteção de dados. O RIPD deve ser suficientemente detalhado para garantir uma compreensão ampla do modo de tratamento de dados e seus possíveis riscos, tanto para o controlador quanto para a ANPD.

Publicado em por — Deixe um comentário

VIOLAÇÃO DA LGPD: ANPD SANCIONA IAMSPE COM ADVERTÊNCIAS E MEDIDAS CORRETIVAS

No último dia 6 de outubro de 2023, a Autoridade Nacional de Proteção de Dados (ANPD) concluiu um processo sancionatório contra o Instituto de Assistência ao Servidor Público Estadual de São Paulo (IAMSPE) por violação da LGPD. Neste caso, a violação se relacionou à falha do IAMSPE em manter sistemas seguros para o armazenamento e tratamento adequado dos dados pessoais de milhões de servidores públicos e seus dependentes, configurando uma espécie de engenharia social que levou a erros por parte dos usuários, expondo seus dados pessoais, em violação ao artigo 49 da LGPD.

Conforme estabelece o artigo 49 da Lei 13.709/2018, os sistemas utilizados para o tratamento de dados pessoais devem atender a requisitos de segurança, boas práticas, governança e princípios gerais da lei, bem como outras normas regulamentares.

Além disso, o IAMSPE foi considerado responsável por um incidente de segurança no qual não comunicou de forma clara, adequada e tempestiva os titulares dos dados sobre quais dados pessoais poderiam ter sido comprometidos, infringindo o artigo 48 da LGPD, que estabelece os requisitos mínimos para uma comunicação eficaz de incidentes de segurança, tanto para a ANPD quanto para os titulares dos dados.

Diante dessas infrações, a ANPD aplicou ao IAMSPE advertências e apontou medidas corretivas, conforme despacho publicado no Diário Oficial da União. Isso reforça a importância para todas as organizações, sejam públicas ou privadas, de cumprir integralmente as disposições da LGPD. A ANPD tem demonstrado seu empenho em finalizar os processos e aplicar as sanções necessárias diante das violações, ressaltando a necessidade de conscientização e conformidade com a LGPD por parte de todas as empresas.

É importante que os contadores informem a seus clientes sobre a importância de se adequar à LGPD, buscando profissionais qualificados para realizar os procedimentos exigidos. Vale destacar que a cópia de políticas de privacidade ou a oferta de informações genéricas é ineficaz e pode configurar crime, conforme o artigo 184 do Código Penal. A adequação à LGPD é um assunto de extrema seriedade, e qualquer abordagem genérica é insuficiente.

Publicado em por — Deixe um comentário

INOVAÇÃO LEGISLATIVA: RECONHECIMENTO DE INVESTIMENTOS NA LGPD PARA CRÉDITOS DE PIS E COFINS

No contexto de cumprimento de obrigações legais vitais para os objetivos sociais de uma empresa e sujeitas a penalidades por não cumprimento, o investimento em conformidade com as normas estabelecidas merece ser considerado como um recurso essencial para o aproveitamento de créditos de PIS e Cofins. Essa foi a conclusão da 4ª Turma Especializada do Tribunal Regional Federal da 2ª Região ao reconhecer o direito de uma empresa de meios de pagamento em aproveitar créditos de PIS e Cofins referentes às despesas incorridas para se adequar à Lei Geral de Proteção de Dados (LGPD).

No entanto, a 2ª Vara Federal do Rio de Janeiro discordou desse reconhecimento de crédito. O juiz argumentou que a implementação das exigências da LGPD não se enquadra como insumo, pois não atende aos critérios de ser essencial ou relevante para o desenvolvimento da atividade econômica, e tampouco está diretamente relacionada à prestação dos serviços ou à produção ou fabricação de bens, como exigido pelo entendimento do Superior Tribunal de Justiça (REsp 1.221.170).

As despesas derivadas do cumprimento da LGPD estão diretamente ligadas à atividade principal da empresa. “Portanto, por ser um investimento obrigatório e fundamental para alcançar os objetivos sociais do impetrante, além de ser uma medida de segurança necessária para proteger os dados de seus clientes e terceiros, inclusive sujeita a penalidades por não cumprimento das normas, as despesas com as adaptações exigidas pela LGPD merecem ser reconhecidas como insumos para fins de aproveitamento no sistema de não-cumulatividade de PIS e Cofins”, resumiu a relatora. O entendimento foi unânime.

Esta representa a pioneira decisão favorável em segunda instância que temos notícia. Trata-se de um marco relevante para as empresas que lidam com despesas substanciais na aquisição de serviços para aderir às diretrizes da LGPD. Especialmente as empresas de tecnologia, cuja operacionalidade depende dos dados como recurso fundamental, se beneficiam significativamente desta determinação.

Publicado em por — Deixe um comentário

LGPD E DADOS DE SAÚDE: EXPLORANDO AS IMPLICAÇÕES NA PRIVACIDADE DO PACIENTE

A Lei Geral de Proteção de Dados (Lei 13.709/18) estabeleceu a categorização de dados relacionados à saúde como “sensíveis”, conferindo-lhes um status especial e resguardando a privacidade dessas informações. Essa classificação se aplica a qualquer dado capaz de identificar uma pessoa entre um grupo de indivíduos.

O artigo 5º, inciso II da referida lei define os tipos de dados sensíveis, abrangendo dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou organização de cunho religioso, filosófico ou político, informações referentes à saúde ou vida sexual, dados genéticos ou biométricos, quando associados a uma pessoa.

É notável que a lei não apresenta uma lista fechada de categorias, o que significa que o escopo de dados sensíveis é amplo e abrangente.

Contudo, em um contexto de conjunto de pessoas, um dado sensível isolado por si só não seria suficiente para identificar alguém. A identificação ocorre quando esses dados são combinados com outros, como o CPF, por exemplo. Nesse caso, a anonimização deve ser aplicada para proteger a privacidade do indivíduo.

Dentro dos registros médicos, como prontuários, guias de internação, exames e receitas, há uma concentração significativa de dados sensíveis. O Conselho Federal de Medicina (CFM) estabeleceu regulamentações, como a Resolução 1.639/2002, seguidas pelas Resoluções 1821/2007 e 2.218/2018, para garantir a segurança e integridade dos prontuários eletrônicos dos pacientes.

Entretanto, mesmo com tais diretrizes, o compartilhamento desses dados requer o consentimento expresso do paciente. O artigo 7º da LGPD delimita as situações em que o tratamento de dados pessoais é permitido. Na área da saúde, destacam-se os casos de consentimento do titular, proteção da vida ou incolumidade física, tutela da saúde em procedimentos médicos, e interesses legítimos do controlador ou terceiros, desde que não sobreponham os direitos fundamentais do titular.

Para obter consentimento, é vital que o profissional de saúde explique ao titular de forma clara e compreensível quais dados serão coletados e como serão utilizados. No entanto, existem exceções em que o tratamento de dados sensíveis pode ocorrer mesmo sem o consentimento explícito do titular, como no cumprimento de obrigações legais, estudos de pesquisa com anonimização, proteção da vida ou saúde, entre outros.

A importância do consentimento em relação aos dados de saúde frequentemente é subestimada, em parte devido ao sigilo médico que protege essas informações. A LGPD, ao elevar os dados de saúde à categoria de dados sensíveis, aprimora a proteção da privacidade do paciente e promove sua autonomia ao exigir a adoção de práticas transparentes e confiáveis no tratamento desses dados.