Em uma importante reviravolta legal, a juíza distrital dos Estados Unidos, Yvonne Gonzalez Rogers, emitiu uma decisão crucial rejeitando o pedido do Google para arquivar um processo que alega invasão de privacidade. A gigante da tecnologia está sendo acusada de rastrear secretamente o uso da internet de milhões de pessoas, sem obter consentimento adequado para a coleta de informações.
A sentença da magistrada destacou a ausência de referências explícitas que confirmem o consentimento dos usuários para a coleta de dados pelo Google. A ação coletiva, que busca US$ 5 bilhões em danos, foi proposta por usuários preocupados com a ampla capacidade da empresa de monitorar suas atividades online, inclusive quando utilizam modos de navegação supostamente privados, como o “modo incógnito” no navegador Chrome.
O advogado David Boies, representante dos usuários na ação, celebrou a decisão da juíza, considerando-a um “passo importante na proteção dos interesses de privacidade de milhões de americanos”. Os queixosos alegam que o Google coleta informações sobre suas preferências, interesses e até mesmo suas pesquisas mais íntimas, criando um “tesouro inexplicável de informações detalhadas e expansivas”.
Essa decisão ressalta a crescente preocupação com a privacidade online em um mundo cada vez mais conectado. Os usuários estão cada vez mais cientes da necessidade de controlar o acesso às suas informações pessoais, especialmente quando confiam em empresas de tecnologia para proteger seus dados sensíveis. A decisão da juíza Gonzalez Rogers coloca em evidência a importância de empresas como o Google garantirem que seus métodos de coleta de dados sejam transparentes e que o consentimento dos usuários seja obtido de maneira clara e inequívoca.
Enquanto o caso continua a se desenrolar nos tribunais, ele lança luz sobre a discussão em curso sobre os limites da coleta de dados por empresas de tecnologia e a necessidade de um equilíbrio entre a inovação tecnológica e a proteção da privacidade dos usuários. A decisão judicial reforça a mensagem de que nenhuma empresa está acima da lei quando se trata de proteger os direitos fundamentais dos consumidores.
A 2ª Turma Recursal do Poder Judiciário de Santa Catarina manteve uma decisão que responsabiliza duas empresas por um ataque hacker devido à falta de cuidados na contratação de um firewall para proteção do ambiente de rede. A invasão resultou em um prejuízo de R$ 3,9 mil, levando à sentença do Juizado Especial Cível de São Miguel do Oeste que determinou que cada empresa pagasse metade do prejuízo.
No caso, uma empresa do setor atacadista e varejista firmou um contrato com uma empresa que administra máquinas de pagamento por cartão de crédito. A invasão ao sistema ocorreu em janeiro de 2022, quando funcionários da empresa de atacado enfrentaram dificuldades para acessar a conta. A invasão resultou na transferência de R$ 3,9 mil para um indivíduo não autorizado.
O atacadista moveu uma ação de danos materiais contra a empresa de cartão de crédito, buscando a devolução dos fundos indevidamente transferidos. A empresa de cartão alegou culpa de terceiros e a inaplicabilidade do Código de Defesa do Consumidor.
A responsabilização das empresas baseou-se na falha concorrente, onde a empresa de cartão foi condenada a pagar R$ 1.950 ao atacadista. A operadora da máquina de cartão recorreu à Turma Recursal, mas teve seu pedido negado. A decisão destacou que a empresa atacadista foi negligente ao não contratar um firewall de proteção para a rede e ao não verificar as tentativas de acesso ao sistema. Além disso, a empresa de cartão contribuiu para o incidente devido à segurança insuficiente do sistema, incluindo senhas fracas e falta de monitoramento de IPs.
Nesse contexto, é importante ressaltar a relevância das práticas de segurança da informação, como o uso de senhas fortes, para proteger dados pessoais e informações sensíveis. A Lei 13.709/2018, conhecida como Lei Geral de Proteção de Dados (LGPD), estabelece diretrizes para a segurança e proteção de dados, e empresas que negligenciam essas práticas podem enfrentar sanções administrativas e multas.
A Associação Nacional dos Profissionais de Privacidade de Dados (ANPPD®) também destaca a importância do entendimento e discussão sobre a privacidade de dados, buscando melhorias na lei e promovendo o papel dos agentes de privacidade de dados. A adoção de medidas rigorosas de segurança da informação não apenas evita prejuízos financeiros, mas também auxilia as empresas a estarem em conformidade com a LGPD, protegendo os direitos dos titulares de dados e mantendo a confiança dos clientes.
Uma pesquisa recente revelou uma descoberta alarmante: hackers têm a capacidade de rastrear suas vítimas através de mensagens de texto. A brecha no sistema de mensagens permite que criminosos monitorem a localização dos usuários, utilizando apenas o número de celular da vítima e o acesso à rede.
Diante dessa situação preocupante, o pesquisador responsável decidiu tomar medidas proativas para proteger os usuários contra possíveis ataques futuros. Ele optou por compartilhar suas descobertas com a GSMA, uma organização global que supervisiona o ecossistema móvel, buscando uma iniciativa conjunta para tomar medidas preventivas.
A GSMA, ciente da gravidade da vulnerabilidade e de suas implicações para a privacidade dos usuários, recebeu o relatório do pesquisador com seriedade e prontamente iniciou um processo de avaliação das informações. A organização está trabalhando em estreita colaboração com suas afiliadas, operadoras móveis, fabricantes de dispositivos e desenvolvedores de aplicativos de mensagens para investigar a questão e identificar soluções eficazes.
A proteção da privacidade dos usuários é fundamental e, como tal, a GSMA está empenhada em acelerar a identificação e correção dessa vulnerabilidade. A organização entende a importância de manter o ecossistema móvel seguro e confiável para os bilhões de usuários que dependem diariamente de seus dispositivos móveis.
Enquanto a GSMA trabalha para resolver o problema, os especialistas em segurança cibernética recomendam aos usuários a adoção de práticas seguras para proteger suas informações pessoais. É importante ser cauteloso ao compartilhar detalhes sensíveis através de mensagens de texto e estar atento a qualquer atividade suspeita em suas contas telefônicas.
Além disso, a conscientização sobre as ameaças cibernéticas atuais é crucial. Os usuários devem estar informados sobre possíveis riscos e padrões de comportamento incomuns em seus dispositivos móveis. Utilizar aplicativos de mensagens que ofereçam criptografia de ponta a ponta e manter seus dispositivos móveis atualizados com as últimas correções de segurança também são medidas importantes para proteger-se contra ataques potenciais.
Enquanto a GSMA e a comunidade de segurança cibernética unem esforços para mitigar essa vulnerabilidade, a mensagem para os usuários é clara: a proteção de sua privacidade é uma responsabilidade compartilhada. Ao estar vigilante e adotar práticas seguras, podemos fortalecer a segurança do ecossistema móvel e garantir que nossos dispositivos permaneçam como ferramentas confiáveis e seguras em nosso cotidiano cada vez mais conectado.
A recente exposição inadequada do currículo de uma mulher em uma loja de Nossa Senhora do Socorro, na Grande Aracaju, revela uma clara infração à Lei Geral de Proteção de Dados (LGPD). Esse incidente destaca a fragilidade da segurança e privacidade dos dados pessoais no ambiente empresarial.
A LGPD foi estabelecida com o objetivo de assegurar a segurança e privacidade das informações pessoais dos indivíduos. A utilização do currículo da mulher como placa de preço evidencia a falta de compreensão dos princípios fundamentais da LGPD por parte da loja.
Dados sensíveis da pessoa com deficiência
Ao considerar a LGPD, é essencial reconhecer que os currículos de pessoas com deficiência podem conter informações sensíveis sobre sua saúde e condições médicas. Esses dados estão protegidos pela legislação e requerem uma atenção especial em relação à sua coleta, armazenamento e uso.
A utilização inadequada dos currículos de pessoas com deficiência, especialmente ao expô-los de maneira inapropriada, é uma clara infração à LGPD. Além disso, essa violação pode ter um impacto significativo na vida dessas pessoas, causando constrangimento e violando sua privacidade.
A proteção dos dados sensíveis de saúde é especialmente relevante no caso de pessoas com deficiência, que podem ter informações médicas e condições de saúde específicas registradas em seus currículos. A coleta, armazenamento e uso desses dados devem ser conduzidos com o máximo cuidado e em conformidade com a LGPD.
É crucial que casos como esse sejam tratados com a devida seriedade, considerando que a LGPD abrange uma ampla gama de dados pessoais, incluindo informações de saúde, endereços e outros dados. Portanto, é necessário conscientizar as empresas sobre a importância de respeitar a privacidade dos indivíduos e implementar medidas efetivas para proteger os dados pessoais sob sua responsabilidade.
É essencial que a sociedade, as instituições e as empresas trabalhem em conjunto para garantir a segurança e privacidade das informações pessoais, promovendo um ambiente justo e ético em conformidade com a LGPD e respeitando os direitos fundamentais de cada indivíduo.
Após cinco anos da entrada em vigor da Lei Geral de Proteção de Dados (LGPD), a Autoridade Nacional de Proteção de Dados (ANPD) aplicou a primeira multa com base nessa legislação, que estabelece regras para a coleta, uso e compartilhamento de dados pessoais. A sanção foi imposta a uma microempresa que atua no setor de telemarketing. Essa medida representa um marco significativo no cumprimento da LGPD e destaca a importância da proteção dos dados pessoais dos indivíduos.
Localizada na encantadora cidade litorânea de Vila Velha, a Telekall Infoservice enfrentou uma multa no valor de R$ 14.400, tornando-se a primeira empresa a ser penalizada por violar dois artigos cruciais da Lei Geral de Proteção de Dados (LGPD). A infração incluiu o não atendimento às solicitações da Autoridade Nacional de Proteção de Dados (ANPD) durante o processo administrativo de investigação.
Além da multa, a microempresa recebeu uma advertência da ANPD por descumprir a disposição da legislação que exige a nomeação de um encarregado responsável pelo tratamento dos dados pessoais manipulados pelo negócio. Essa situação destaca a importância da conformidade com as disposições da LGPD e reforça a necessidade de as empresas estabelecerem uma estrutura adequada para proteger os dados pessoais de seus clientes.
O processo que é de 2022, tinha o objetivo de “investigar as condutas: ausência de comprovação de hipótese legal; ausência de registro de operações; não envio de Relatório de Impacto de Proteção de Dados; ausência de encarregado de dados pessoais; não atendimento à requisição da ANPD.
Foi imposta uma advertência, por infração ao artigo 41 da LGPD, ou seja, por ausência de indicação de encarregado.
Além disso, uma multa de R$ 7,2 mil foi aplicada por conta da previsão da LGPD que lista quais as hipóteses possíveis para o tratamento de dados. Outros R$ 7,2 mil teriam sido aplicadas por falta de colaboração da empresa com a investigação do regulador.
O especialista em Segurança da Informação e advogado Empresarial Dr. Jorge Alexandre Fagundes destacou a importância das empresas se adequarem a LGPD. “A Lei Geral de Proteção de Dados (LGPD) é um marco importante na proteção dos direitos e privacidade dos indivíduos no ambiente digital. É essencial que as empresas reconheçam a importância de se adequarem à LGPD e implementarem medidas robustas de segurança da informação. A conformidade com essa legislação não é apenas uma obrigação legal, mas também uma oportunidade para as empresas demonstrarem seu compromisso com a privacidade e transparência, construindo uma relação de confiança com seus clientes. Ao adotar práticas adequadas de coleta, uso e compartilhamento de dados pessoais, as empresas podem mitigar riscos de vazamento de informações sensíveis, evitar multas e danos à reputação. Além disso, a LGPD impulsiona a conscientização sobre a importância da proteção de dados em toda a cadeia empresarial, estimulando a inovação e o desenvolvimento de soluções que garantam a segurança das informações. É fundamental que as empresas busquem orientação especializada e realizem um trabalho contínuo de adequação, garantindo assim uma cultura de privacidade que beneficie tanto a organização quanto seus stakeholders.”
Considerações sobre a Multa
Qual o setor da empresa multada? A empresa multada é uma microempresa que atua nos setores de comunicação multimídia (SCM), VoIP, marketing e teleatendimento, conforme fonte da Teletime.
Qual o valor da multa? A multa aplicada à empresa foi de R$ 14.400,00. No entanto, a empresa tem a opção de renunciar ao direito de recorrer da decisão de primeira instância, o que resultaria em uma redução de 25% no valor da multa, totalizando R$ 10.800,00.
Essa decisão representa um marco importante, indicando uma intensificação na fiscalização e penalização de empresas que não estão em conformidade com a LGPD. Isso deve servir como um alerta para todas as empresas de diversos setores, ressaltando a necessidade de aderir às disposições da LGPD para evitar sanções semelhantes.
No entanto, é importante ressaltar que o valor da multa aplicada pode não ser considerado suficientemente dissuasivo, especialmente para empresas de maior porte. Isso pode gerar discussões sobre a adequação dos valores das penalidades, a fim de incentivar mudanças reais de comportamento. Por outro lado, para empresas menores, essa multa pode ser uma oportunidade para revisar e aprimorar suas práticas de proteção de dados, buscando a conformidade com a legislação.
Além disso, a divulgação de uma multa administrativa pode afetar a reputação da empresa, resultando em perda de confiança por parte do público e dos clientes. Isso enfatiza ainda mais a importância de investir em conformidade com a LGPD e outras regulamentações de proteção de dados e privacidade.
A decisão da ANPD também pode gerar uma demanda crescente por transparência nas práticas de coleta e uso de dados por parte das empresas, obrigando-as a esclarecer como estão manipulando os dados pessoais de seus clientes e a comprovar que possuem bases legais adequadas para coletar e processar esses dados.
A empresa recebeu intimação para apresentar recurso contra a decisão ou cumprir a sanção administrativa estabelecida.
O impacto dos ciberataques nas empresas de capital aberto: perdas de até 7,5% no valor de mercado
De acordo com um estudo recente publicado pela Harvard Business Review em maio deste ano, quando uma empresa de capital aberto é alvo de um ciberataque bem-sucedido, o efeito é imediato e devastador. Independentemente da tendência anterior do mercado, o preço das ações da empresa cai rapidamente, resultando em uma queda média de 7,5% no valor de mercado, juntamente com uma perda média de capitalização de mercado de aproximadamente US$ 5,4 bilhões.
Análises gráficas revelam que o impacto negativo sobre o valor de mercado das empresas atacadas não é apenas de curto prazo, mas também se estende ao médio prazo. Segundo um levantamento realizado pelo Security Design Lab (SDL), uma rede global de pesquisa e desenvolvimento em cibersegurança, a maior queda nas ações normalmente ocorre no 59º dia após o ataque. Além disso, um ano após o incidente, cerca de 7 em cada 10 empresas ainda enfrentam dificuldades para se recuperar e alcançar os níveis de seus respectivos setores de atuação.
Um fator crucial para a recuperação das empresas é o nível de conformidade com as melhores práticas de segurança cibernética e com a legislação de proteção de dados, como a Lei Geral de Proteção de Dados (LGPD). Empresas que implementam medidas preventivas e reativas robustas, além de investirem significativamente em segurança cibernética e conformidade, conseguem manter um desempenho mais alinhado com o benchmark do setor um ano após os ciberataques. Por outro lado, empresas com baixo nível de conformidade tendem a apresentar um declínio máximo até 62% maior em comparação ao grupo de empresas com alto nível de conformidade.
Os dados compilados pelo SDL também revelam que empresas que experimentam violações significativas de dados têm um desempenho inferior ao índice NASDAQ em média 8,6% após um ano do incidente, podendo chegar a 11,9% após dois anos. Essa queda no desempenho é ilustrada por exemplos reais, como o caso da Medibank na Austrália, cujas ações despencaram 15% após um ataque cibernético e permanecem abaixo do preço pré-ataque. No Brasil, o Grupo Fleury e as Lojas Renner foram alvos de ciberataques, resultando em quedas significativas no preço de suas ações.
Diante desses impactos negativos, é importante considerar a segurança cibernética não apenas como um custo, mas como um investimento essencial para as empresas. O custo médio global de uma violação de dados atingiu US$ 4,35 milhões em 2022 e continua aumentando. Além disso, empresas que sofrem violações de dados podem enfrentar despesas adicionais com auditoria, perda de receitas, honorários advocatícios e até mesmo rebaixamento de sua classificação de crédito, afetando sua capacidade de garantir financiamento a um custo acessível.
Os crimes cibernéticos têm um custo significativo para a economia mundial, totalizando mais de US$1 trilhão por ano, representando aproximadamente 1% do PIB global, de acordo com um relatório elaborado pela McAfee Corp. e pelo Centro de Estudos Estratégicos e Internacionais (CSIS). No caso de violações de dados, os custos médios estão atingindo níveis recordes, prevendo-se que ultrapassem US$ 5 milhões em 2023, de acordo com a IBM Security.
No contexto da América Latina, o Brasil foi o segundo país mais afetado em 2022, com mais de 103 bilhões de tentativas de ataques cibernéticos, representando um aumento de 16% em relação a 2021. Apenas o México registrou um número maior, com 187 bilhões de tentativas, de acordo com dados do FortiGuard Labs.
Diante desse cenário preocupante, o Security Design Lab (SDL), em parceria com a Associação Brasileira das Companhias Abertas (Abrasca), iniciou uma pesquisa para avaliar a segurança cibernética nas empresas de capital aberto do Brasil. O projeto Cyber Score tem como objetivo avaliar a maturidade das empresas nesse aspecto e fornecer suporte técnico e de conformidade para disseminar a importância da cibersegurança entre os executivos, conselhos de administração e acionistas. Os resultados da pesquisa também podem contribuir para o desenvolvimento de políticas públicas voltadas à segurança das empresas e dos investidores.
É evidente que a ameaça dos ciberataques e suas consequências financeiras são uma realidade presente no mundo empresarial. Empresas que não priorizam a segurança cibernética correm o risco de sofrer perdas significativas no valor de mercado, dificuldades de recuperação e prejuízos financeiros, afetando não apenas a organização em si, mas também sua cadeia de suprimentos e a confiança dos investidores. Investir em medidas preventivas, políticas de conformidade e cibersegurança é essencial para proteger o valor das empresas e mitigar os riscos associados aos ciberataques.
A Autoridade Nacional de Proteção de Dados (ANPD) divulgou um enunciado com o objetivo de padronizar a interpretação da Lei Geral de Proteção de Dados Pessoais (LGPD) em relação ao tratamento de informações de crianças e adolescentes. Essa medida representa o primeiro passo da ANPD na proteção dos dados pessoais desses grupos e estabelece a compreensão da autoridade sobre as possíveis interpretações do artigo 14 da LGPD. O enunciado destaca a importância do interesse superior da criança e do adolescente como critério fundamental na avaliação do tratamento de dados, exigindo uma análise cuidadosa por parte dos controladores. Essa mudança tem o potencial de orientar e priorizar o bem-estar das crianças e adolescentes nas operações de tratamento de dados, demonstrando o compromisso da ANPD em lidar com essa questão complexa. Além disso, a ANPD está trabalhando na elaboração de um Guia Orientativo sobre Legítimo Interesse, que trará diretrizes específicas para o tratamento de dados pessoais de crianças e adolescentes com base nessa hipótese legal, alinhado ao princípio do interesse superior. Essas iniciativas refletem o aprofundamento dos estudos da ANPD sobre a proteção de dados pessoais de crianças e adolescentes, destacando-se como prioridades em sua agenda regulatória para os próximos anos.
A ANPD utilizou a Tomada de Subsídios, um instrumento simplificado para coletar sugestões da sociedade, por meio da Plataforma Participa + Brasil, entre setembro e outubro de 2022. Durante esse período, foram recebidas 78 contribuições provenientes de 12 estados brasileiros e diversos setores da sociedade. A proteção de dados pessoais de crianças e adolescentes tem sido um tema de estudo aprofundado pela Coordenação-Geral de Normatização e está presente na Agenda Regulatória da ANPD para os anos de 2023 e 2024.
Governador do DF, Ibaneis Rocha, teve dados vazados; além de autoridades, 200 milhões de brasileiros foram expostos
A Polícia Civil do Distrito Federal (PCDF) realizou no dia 20/06 a prisão de dois criminosos virtuais responsáveis pela venda de pacotes contendo informações confidenciais de mais de 200 milhões de cidadãos brasileiros.
Entre as vítimas estão ministros do Supremo Tribunal Federal (STF), governadores e deputados tanto do Distrito Federal como a nível federal. A perícia conduzida pelo Instituto de Criminalística da PCDF confirmou o vazamento de dados do governador do DF, Ibaneis Rocha (MDB).
A investigação teve início na delegacia do Lago Norte, bairro nobre de Brasília, após a análise de 100 inquéritos de pessoas que foram vítimas de golpes ao longo de um ano. Segundo informações fornecidas pelos policiais, o vazamento de informações pessoais facilitou as ações dos golpistas.
Entre as informações ilegalmente compartilhadas encontram-se números de telefone celular, endereços residenciais e de e-mail, fotos e até mesmo assinaturas digitalizadas. Além disso, os grupos obtinham dados de empresas e veículos registrados em nome das vítimas, bem como informações sobre seus parentes e vizinhos.
A PCDF afirma que os criminosos também tinham acesso às câmeras de OCR (leitura de placas), o que lhes permitia rastrear os últimos deslocamentos das vítimas nas estradas de todo o país, possibilitando o monitoramento de suas rotinas.
Com a prisão de diversos golpistas, a PCDF descobriu que esses dados estavam sendo comercializados na darknet (a parte oculta da internet) por meio da aquisição de acesso a “painéis de consulta”.
Os valores pagos variavam de R$ 7 a R$ 350, dependendo da duração do acesso (7, 15 ou 30 dias). A investigação revelou que 1.453 usuários adquiriram esse tipo de pacote.
“A investigação comprovou que esses painéis são a fonte de informação para os criminosos, que selecionam as vítimas e elaboram estratégias para enganá-las”, explicou o delegado responsável pelo caso, Erick Sallum.
Agora, os investigadores buscarão determinar a origem do que consideram ser um dos maiores vazamentos de dados na história do país e como os autores obtinham acesso a informações confidenciais da população brasileira, em especial o hackeamento das câmeras de reconhecimento de placas.
“Encontramos fortes indícios de que grande parte dessas informações é proveniente de invasões a órgãos públicos. No entanto, também detectamos uma atividade ilegal por parte de empresas fictícias de proteção de crédito. Contrariando a Lei Geral de Proteção de Dados (LGPD), dados pessoais da população brasileira estão sendo vendidos em larga escala clandestinamente, sem critérios para sua destinação”, afirmou o delegado à CNN.
Após várias discussões e adiamentos, a Lei Geral de Proteção de Dados (LGPD) do Brasil, Lei Federal nº 13.709/2018, entrou em vigor em 18 de setembro de 2020. A LGPD é a primeira regulamentação abrangente de proteção de dados do Brasil e está amplamente alinhada com o Regulamento Geral de Proteção de Dados da União Europeia (GDPR).
Embora a lei esteja em vigor desde 2020, as penalidades estabelecidas pela LGPD só se tornaram aplicáveis em 1º de agosto de 2021. No entanto, autoridades públicas (como órgãos de proteção ao consumidor e promotores públicos) e titulares de dados puderam exercer seus direitos de acordo com a LGPD a partir de 18 de setembro de 2020.
Antes da promulgação da LGPD, as regulamentações de privacidade de dados no Brasil consistiam em várias disposições dispersas na legislação brasileira. Por exemplo, a Lei Federal nº 12.965/2014 e seu Decreto regulamentador nº 8.771/16 (juntos, o Marco Civil da Internet Brasileira) impunham requisitos relacionados à segurança e ao processamento de dados pessoais, além de outras obrigações aos provedores de serviços, redes e aplicativos, e conferiam direitos aos usuários da Internet.
As seguintes leis também contêm disposições gerais e princípios aplicáveis à proteção de dados:
A Constituição Federal; O Código Civil Brasileiro; e Leis e regulamentos que abordam: Certos tipos de relacionamentos (por exemplo, Código de Defesa do Consumidor e leis trabalhistas); Setores regulamentados (por exemplo, instituições financeiras, indústria da saúde ou telecomunicações); e Atividades profissionais específicas (por exemplo, medicina e direito). Além disso, existem leis que regulamentam o processamento e a salvaguarda de documentos e informações manipulados por entidades governamentais e órgãos públicos.
A LGPD se aplica a qualquer operação de processamento realizada por pessoa física ou jurídica (de direito público ou privado), independentemente de (1) os meios utilizados para o processamento, (2) o país onde está localizada sua sede ou (3) o país onde os dados estão localizados, desde que:
A operação de processamento seja realizada no Brasil; O objetivo da atividade de processamento seja oferecer ou fornecer bens ou serviços, ou o processamento de dados de indivíduos localizados no Brasil; ou Os dados pessoais tenham sido coletados no Brasil. Por outro lado, a lei não se aplica ao processamento de dados pessoais que seja:
Realizado por pessoa física exclusivamente para fins privados e não econômicos;
Realizado para fins jornalísticos, artísticos ou acadêmicos;
Realizado para fins de segurança pública, segurança nacional e defesa ou atividades de investigação e persecução de crimes (que serão objeto de uma lei específica);
Originado fora do território brasileiro e não seja objeto de comunicação;
ou Compartilhamento de dados com agentes de processamento brasileiros ou objeto de transferência internacional de dados
Além disso, em 20 de outubro de 2021, o Senado brasileiro aprovou por unanimidade a Proposta de Emenda à Constituição (PEC) nº 17/2019, que inclui na Constituição Federal a proteção de dados pessoais, inclusive em meios digitais, como um direito fundamental, e atribui à União (governo federal) a responsabilidade de legislar sobre esse assunto. Desde 10 de fevereiro de 2022, a proteção de dados está agora abrangida pela Constituição Federal como um direito fundamental.
A Lei Geral de Proteção de Dados (LGPD) trouxe consigo diversas mudanças que afetam diretamente os contratos empresariais. Com a implementação da LGPD, as empresas passaram a ter a responsabilidade de garantir a conformidade com os requisitos legais no que diz respeito ao tratamento de dados pessoais. Isso significa que os contratos relacionados a atividades que envolvem o tratamento de dados precisam estar em conformidade com as exigências da lei.
A conformidade com a LGPD não se restringe apenas às empresas em si, mas também aos contratos que refletem como os dados serão tratados. É fundamental que os contratos empresariais estejam em consonância com as disposições da lei, a fim de garantir a proteção adequada dos dados pessoais dos clientes e usuários.
Para compreender a importância da adaptação contratual à LGPD, é necessário ter um conhecimento básico dos principais conceitos abordados pela lei. É fundamental compreender o que são dados pessoais, dados pessoais sensíveis, titular dos dados e tratamento de dados. Esses conceitos servem como base para a elaboração de contratos que estejam alinhados com as exigências legais.
Além disso, é essencial compreender o papel dos agentes de tratamento de dados, que se dividem em controlador e operador. O controlador é responsável por tomar as decisões relacionadas ao tratamento de dados, determinando a finalidade e os meios desse tratamento. Já o operador recebe os dados do controlador e os trata de acordo com suas instruções.
Uma vez que esses conceitos são compreendidos, torna-se possível abordar a adequação da empresa à LGPD. Antes de adaptar os contratos, é necessário que as empresas ajustem suas práticas e diretrizes de acordo com a lei. Isso envolve mapear os dados, identificar quais informações são tratadas, quais processos e sistemas estão envolvidos, quem são os titulares dos dados e qual é a finalidade das operações realizadas.
Para compreender como adequar o contrato à LGPD, é importante ter um conhecimento dos conceitos fundamentais estabelecidos pela lei. Isso ocorre porque o contrato deve refletir a realidade da negociação e cumprir as exigências legais relacionadas à proteção de dados. A seguir, abordaremos alguns desses conceitos essenciais:
Informações pessoais: referem-se a dados como RG, CPF, endereço IP e perfis em redes sociais.
Dados pessoais sensíveis: envolvem informações de natureza racial, religiosa, biométrica e política, que requerem uma proteção especial devido à sua sensibilidade.
Titular dos dados: trata-se da pessoa física a quem os dados pessoais e sensíveis se referem, ou seja, o indivíduo sobre o qual essas informações estão relacionadas.
Tratamento de dados: engloba qualquer atividade que envolva o uso ou manipulação dos dados pessoais dos titulares, como coleta, armazenamento, análise e compartilhamento.
O agente de tratamento é aquele que lida de alguma forma com os dados e pode ser dividido em dois tipos: controlador e operador. Vamos entender a diferença entre eles:
– Controlador: é responsável pelas decisões relacionadas ao tratamento de dados. Ele determina a finalidade e os meios do tratamento dos dados.
– Operador: recebe os dados do controlador e os trata.
A principal diferença entre o controlador e o operador é que o controlador toma as decisões e determina a finalidade do tratamento dos dados. Lembre-se dessa informação, pois voltaremos a ela mais adiante!
Agora que definimos esses conceitos, podemos abordar a parte de adequação da empresa à LGPD. Antes de adequar o contrato, é necessário adequar o negócio, a empresa e as diretrizes da lei. A LGPD é baseada em princípios que visam garantir os direitos dos titulares, como o princípio da finalidade, que estabelece que o tratamento deve ser realizado para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades. Portanto, o primeiro passo para se adequar à lei é mapear os dados. O mapeamento de dados deve responder a perguntas como: quais dados são tratados, quais processos e sistemas estão envolvidos, quais partes estão envolvidas, quem são os titulares dos dados, quais operações estão sendo realizadas e qual é a finalidade dessas operações. Isso envolve uma análise dos processos, finalidades e um inventário de dados. Esse mapeamento deve ser realizado em todos os setores que lidam com o tratamento de dados antes de prosseguir para a próxima etapa. Embora não seja um processo simples, nosso foco neste artigo é a adequação contratual, então vamos para a próxima etapa.
Em seguida, é necessário realizar uma análise de riscos e um plano de ação. Isso envolve corrigir as falhas identificadas no mapeamento e criar medidas para cumprir a lei. Em seguida, passamos para a fase de implementação, que inclui a adequação contratual. Embora essa fase exija a implementação de políticas de privacidade e segurança, vamos nos concentrar na adequação contratual.
Como adequar o contrato à LGPD? Durante a fase de implementação, é necessário adequar o contrato, conforme mencionado anteriormente. Um dos pontos mais importantes dessa adequação legal ao contrato são as definições de controlador e operador. O controlador tem maior responsabilidade, pois toma as decisões relacionadas à finalidade do tratamento. No entanto, nem sempre é fácil determinar quem é o operador e quem é o controlador em negociações empresariais envolvendo duas ou mais pessoas jurídicas. Portanto, é importante entender que o operador, mesmo que tome certas decisões, não é considerado controlador, pois ele atua como um executor, não essencialmente definindo a finalidade do tratamento dos dados. Isso é especialmente importante para evitar conflitos futuros, pois estamos lidando com uma lei que impõe penalidades significativas. Além do esclarecimento dos papéis das partes envolvidas no contrato, também é necessário incluir cláusulas que abordem o tratamento realizado, os dados tratados, a finalidade do tratamento, o cumprimento dos direitos dos titulares, as situações em que é permitido o compartilhamento de dados, as medidas de gestão de riscos em caso de descumprimento e as penalidades em caso de descumprimento. Essas cláusulas podem ser inseridas como anexos ou no corpo do contrato.
Caso estejamos lidando com uma relação contratual já existente, é necessário revisar esses contratos. A lei não se aplica apenas aos negócios realizados após a promulgação da lei, mas também aos contratos existentes, mesmo que tenham sido celebrados antes da LGPD entrar em vigor. A revisão desses contratos envolve uma reformulação contratual por meio de um aditivo ou de um novo instrumento contratual.
