Publicado em Deixe um comentário

ATAQUE DE RANSOMWARE À TOTVS REFORÇA IMPORTÂNCIA DE PROTOCOLOS DE SEGURANÇA

A Totvs, uma das principais empresas brasileiras de software, foi alvo de um ataque de ransomware, conforme confirmado pela própria companhia. O incidente foi reivindicado pelo grupo BlackByte, que alega ter comprometido dados da empresa e apresentou supostas amostras em fóruns online. No entanto, a extensão total do impacto ainda não pôde ser verificada.

Apesar do ataque, a Totvs conseguiu manter suas operações em funcionamento. Em comunicado oficial, a empresa destacou que, graças a uma resposta rápida e eficiente, seguindo seus protocolos de segurança previamente estabelecidos, conseguiu garantir a continuidade dos serviços prestados.

Demonstrando seu compromisso com a transparência e a responsabilidade, a Totvs reforçou que a segurança das informações é uma prioridade máxima. A empresa segue monitorando seus sistemas de forma rigorosa para prevenir possíveis novas ameaças, reafirmando seu comprometimento com a proteção dos dados de seus clientes, colaboradores e parceiros.

O incidente ilustra mais uma vez a relevância da adoção de protocolos de segurança robustos em face das crescentes ameaças cibernéticas. A Totvs segue alerta, reforçando que a resposta rápida e a resiliência de suas operações foram essenciais para mitigar os efeitos do ataque.

Publicado em Deixe um comentário

COMO A NOVA DECISÃO DO STF PODE AFETAR SEUS DADOS FINANCEIROS

O recente julgamento do Supremo Tribunal Federal, que decidiu pela obrigação das instituições financeiras em fornecer dados de clientes aos fiscos estaduais nas operações de recolhimento do ICMS por meios eletrônicos, suscita importantes preocupações quanto à privacidade e à proteção de dados pessoais. A decisão foi apertada, com uma maioria de seis votos contra cinco, e levanta questões que vão além da mera discussão tributária, tocando em princípios fundamentais como o direito à privacidade e o sigilo bancário, valores consagrados pela Constituição Federal e pela Lei Geral de Proteção de Dados (LGPD).

O principal argumento da maioria foi de que a transferência desses dados às autoridades fiscais não configuraria quebra de sigilo bancário, já que a administração tributária dos estados e do Distrito Federal teria o dever de proteger essas informações e utilizá-las exclusivamente para fins fiscais. No entanto, essa visão minimiza o impacto potencial sobre a privacidade dos cidadãos. A LGPD estabelece diretrizes claras para o tratamento de dados pessoais, exigindo não apenas que eles sejam usados com finalidades específicas e legítimas, mas também que sejam protegidos contra acessos indevidos e vazamentos.

Permitir o compartilhamento de dados financeiros sem o devido controle e sem uma análise criteriosa do risco de abusos por parte das autoridades fiscais enfraquece a proteção da privacidade, abrindo espaço para excessos. A privacidade do cidadão é um direito fundamental, e qualquer exceção a esse direito precisa ser justificada de forma clara e proporcional. Embora a decisão argumente que o sigilo fiscal é mantido dentro da administração pública, é inegável que o aumento da vigilância estatal sobre transações financeiras traz riscos inerentes à intimidade dos indivíduos.

Além disso, a falta de um debate aprofundado entre os ministros do STF sobre os impactos dessa medida reforça a preocupação de que decisões dessa magnitude deveriam ser tratadas com mais transparência e cautela. O acesso irrestrito aos dados bancários, mesmo que para fins fiscais, pode criar um cenário de monitoramento excessivo, algo que contraria o equilíbrio entre a fiscalização estatal e a proteção dos direitos individuais.

Essa decisão representa um retrocesso em termos de proteção da privacidade e da confidencialidade dos dados bancários, especialmente à luz da LGPD. As autoridades fiscais têm o direito de fiscalizar e cobrar tributos devidos, mas isso deve ser feito de maneira compatível com os direitos fundamentais dos cidadãos. O risco de abusos e vazamentos de informações é real, e medidas adicionais de proteção deveriam ser discutidas para garantir que a privacidade continue sendo um valor inalienável no sistema jurídico brasileiro.

Publicado em Deixe um comentário

RELATÓRIO DA ANPD DESTACA CONTRIBUIÇÕES E RESULTADOS NO PRIMEIRO SEMESTRE DE 2024

Na última sexta-feira (6), a Autoridade Nacional de Proteção de Dados (ANPD) divulgou uma nova atualização do Relatório de Acompanhamento da Agenda Regulatória 2023-2024, com foco nos avanços do primeiro semestre de 2024. Essa publicação reflete o compromisso contínuo da ANPD com a transparência ativa, dando visibilidade ao progresso das iniciativas regulatórias sob sua gestão. Um documento anterior, lançado em janeiro, abordava o acompanhamento do segundo semestre de 2023.

O relatório não apenas descreve os avanços dos projetos incluídos na Agenda, mas também oferece um panorama sobre a participação social nos processos de regulamentação no período. No primeiro semestre de 2024, a ANPD registrou 311 contribuições durante as Tomadas de Subsídios. Já nas Consultas Públicas, foram apresentadas 2.892 sugestões, e as Audiências Públicas somaram 78 propostas, totalizando 3.281 contribuições em seis meses.

O acompanhamento dos projetos também é detalhado em uma tabela, que resume o status de cada um desde o início do processo regulatório durante a vigência da Agenda Regulatória 2021-2022 até o atual estágio da Agenda 2023-2024, que já acumula um ano e meio de implementações. Esse processo reforça o papel fundamental da ANPD em assegurar uma governança transparente e participativa na proteção de dados no Brasil.

Publicado em Deixe um comentário

VAZAMENTO DE DADOS: COMO HACKERS ROUBARAM 2,7 BILHÕES DE REGISTROS PESSOAIS

Em agosto, uma das principais notícias de cibersegurança nos Estados Unidos destacou um vazamento massivo de 2,7 bilhões de números de segurança social, equivalente ao CPF no Brasil, reivindicado por um grupo cibercriminoso chamado USDoD. Conhecido por ataques globais a empresas, esse grupo agora está no centro de uma investigação que aponta um possível líder, supostamente residente no Brasil. Segundo um relatório da empresa de segurança CrowdStrike, o indivíduo em questão teria um histórico de hackativismo e envolvimento com crimes cibernéticos complexos.

O grupo USDoD emergiu nos últimos meses, sendo associado a invasões de várias organizações, incluindo grandes empresas de tecnologia e agências governamentais. Além de comprometer dados de funcionários e clientes de entidades como a Airbus e a TransUnion, o grupo também afirmou ter acesso a informações de empresas de defesa dos Estados Unidos. No ataque mais recente, um conjunto de dados de 277 GB foi roubado de uma empresa norte-americana, totalizando quase 3 bilhões de registros pessoais, oferecidos posteriormente à venda por milhões de dólares.

A investigação da CrowdStrike revelou que o líder do grupo USDoD tem um passado que combina atividades hacktivistas e cibercriminosas, com envolvimento em fóruns especializados desde 2017. A conexão foi feita por meio de um conjunto de informações digitais rastreadas ao longo de anos, como emails usados para registrar domínios e contas em redes sociais. Essa atividade tornou a identificação do suspeito mais acessível, especialmente devido ao uso recorrente de ferramentas e perfis com descrições semelhantes.

O relatório ainda destaca a vaidade comum entre cibercriminosos que atacam grandes corporações. Esse traço ficou evidente nas declarações feitas pelo líder do USDoD em entrevistas para veículos especializados em crimes cibernéticos, o que acabou contribuindo para sua exposição. O grupo, assim como outros de destaque, utilizou técnicas de ransomware para sequestrar dados sensíveis e extorquir vítimas, seja por meio da venda ou da ameaça de divulgação pública.

Embora a CrowdStrike tenha entregue as informações coletadas às autoridades competentes, a empresa avalia que a revelação da identidade do líder pode não ser suficiente para deter suas atividades. O desejo por reconhecimento em comunidades hacktivistas e cibercriminosas parece ser uma motivação constante, e as negações ou tentativas de desviar a atenção são estratégias já previstas por especialistas da área.

A importância de uma abordagem integrada de cibersegurança é evidente, com as empresas precisando estar preparadas para lidar não apenas com os aspectos técnicos dos ataques, mas também com a complexidade das motivações humanas por trás desses crimes. Em um cenário cada vez mais conectado, a proteção de dados e a resposta rápida a incidentes são essenciais para mitigar os danos causados por grupos como o USDoD.

Publicado em Deixe um comentário

UBER RECEBE MULTA DE € 290 MILHÕES POR COMPARTILHAMENTO INDEVIDO DE DADOS

O serviço de compartilhamento de veículos Uber enfrenta uma nova penalização significativa imposta pelo órgão regulador de privacidade da Holanda, a Autoridade de Proteção de Dados (AP), no valor de € 290 milhões. A multa foi aplicada devido à transferência de dados pessoais de motoristas para a sede da empresa nos Estados Unidos, em contravenção às rigorosas normas de proteção de dados da União Europeia (GDPR). A ação foi iniciada por um grupo francês de direitos humanos, representando 170 motoristas, e julgada na Holanda devido à localização da sede europeia da Uber, em Amsterdã.

Este incidente marca a maior sanção já aplicada pela AP, que tem o poder de multar empresas em até 4% de sua receita anual global. A Uber, que registrou um faturamento global de € 34,5 bilhões no último ano, já anunciou que pretende recorrer da decisão. A AP destacou que a empresa cometeu uma “violação grave” das normas ao compartilhar informações confidenciais, como fotografias, dados bancários, antecedentes criminais e, em alguns casos, históricos médicos dos motoristas.

Embora a Uber tenha utilizado a estrutura do escudo de privacidade UE-EUA para essa transferência de dados, o Tribunal de Justiça Europeu invalidou esse acordo em 2020, afirmando que ele não oferecia proteção adequada contra a vigilância governamental aos cidadãos da UE.

Esta não é a primeira vez que a Uber é sancionada pelo regulador holandês. Em 2018, a empresa foi multada em € 600.000, e em janeiro deste ano, recebeu outra multa de € 10 milhões por práticas relacionadas à privacidade, incluindo a dificuldade desnecessária imposta aos motoristas para acessarem suas próprias informações.

A proteção de dados na Europa, regulamentada pelo GDPR, é um direito fundamental que impõe às empresas e governos a responsabilidade de tratar dados pessoais com rigor. No entanto, fora da Europa, a realidade é diferente, com governos frequentemente acessando dados em larga escala sem as mesmas salvaguardas. Este caso destaca a importância da conformidade global com as normas de privacidade, especialmente em um cenário onde a proteção dos dados pessoais se tornou uma questão central na relação entre empresas e seus usuários.

Publicado em Deixe um comentário

ÉTICA NA PROTEÇÃO DE DADOS: O PAPEL DO ENCARREGADO NA SEGURANÇA DA INFORMAÇÃO

Na era digital, onde os dados pessoais se tornaram uma moeda valiosa, emerge um papel fundamental: o Encarregado pelo Tratamento de Dados Pessoais. Esta figura, essencial para a proteção das nossas informações, atua como um verdadeiro guardião da privacidade, assegurando que os dados permaneçam seguros e longe de mãos erradas.

Para fortalecer ainda mais a importância desse papel, a Autoridade Nacional de Proteção de Dados (ANPD) organizou, em Brasília, na primeira quinta-feira de agosto, o 1º Encontro Nacional dos Encarregados. Este evento, que reuniu profissionais de diferentes setores, marcou a introdução da Resolução CD/ANPD n. 18, de 16 de julho de 2024, estabelecendo diretrizes claras para a atuação dos Encarregados pelo tratamento de dados pessoais. Trata-se de um verdadeiro manual de boas práticas que orienta esses profissionais em suas responsabilidades, como o registro de incidentes de segurança, a supervisão das operações de tratamento de dados e a elaboração de relatórios de impacto.

Um dos temas centrais debatidos durante o encontro foi a prevenção de conflitos de interesse, uma questão crítica para a função. O regulamento aprovado estabelece diretrizes para garantir que os Encarregados mantenham a ética e a integridade em suas atividades, evitando qualquer comprometimento de sua autonomia técnica. O desafio, portanto, é assegurar que esses profissionais possam desempenhar suas funções sem cair nas armadilhas dos conflitos de interesse.

Embora o regulamento permita que um Encarregado atue em mais de uma empresa, é crucial que ele consiga atender a todas com o mesmo nível de dedicação, sem comprometer a imparcialidade. A acumulação de funções, por outro lado, pode ser um obstáculo perigoso. Em uma área tão dinâmica e complexa como a proteção de dados, é vital que o Encarregado esteja constantemente atualizado com as mudanças legislativas e as melhores práticas do setor. Sobrecarregar este profissional com múltiplas responsabilidades pode resultar em falhas críticas, especialmente na gestão de incidentes, onde uma resposta rápida e eficiente é imprescindível.

Os conflitos de interesse, por sua vez, são armadilhas sutis, que podem surgir quando o Encarregado assume atividades estratégicas que envolvem decisões sobre o tratamento de dados. Aqui, a transparência é não apenas desejável, mas obrigatória. Qualquer sinal de conflito deve ser prontamente comunicado ao agente de tratamento, que, por sua vez, tem a responsabilidade de agir de maneira eficaz para resolver a situação ou, se necessário, substituir o Encarregado.

A prevenção de conflitos de interesse exige um delicado equilíbrio entre ética, atenção e, às vezes, uma dose de coragem. Com as diretrizes estabelecidas pela ANPD, tanto os Encarregados quanto os agentes de tratamento possuem um guia claro para navegar por esse cenário complexo. A chave para o sucesso está na transparência, na integridade e no compromisso de todas as partes envolvidas em manter os dados pessoais protegidos e em conformidade com a lei.

Publicado em Deixe um comentário

COMO O PHISHING EXPÔS VULNERABILIDADES CRÍTICAS NO GOVERNO

Um Alerta para a Segurança Cibernética no Setor Governamental

Recentemente, o Sistema Integrado de Administração Financeira (Siafi) foi alvo de um ataque cibernético que resultou em um prejuízo de R$ 15 milhões. O método utilizado pelos criminosos foi o phishing, uma técnica cada vez mais comum, que se aproveita da manipulação psicológica para obter informações sensíveis. Este ataque é um claro exemplo de como a falha humana pode ser explorada para comprometer sistemas críticos.

O phishing, em essência, consiste em enganar as vítimas, fazendo-as acreditar que estão interagindo com uma entidade confiável, como uma instituição financeira ou um órgão governamental. Os criminosos utilizam essa técnica para coletar dados como senhas e informações bancárias. No caso do Siafi, os invasores realizaram um spear phishing altamente direcionado, criando comunicações personalizadas que enganaram funcionários-chave, levando-os a fornecer acesso ao sistema.

Este incidente expôs uma grave deficiência na segurança do Siafi, que poderia ter sido mitigada com a implementação de camadas adicionais de proteção, como autenticação multifatorial e validação biométrica. A segregação de funções dentro do sistema, que deveria impedir fraudes, foi contornada pelos invasores, demonstrando que o planejamento e o conhecimento detalhado do funcionamento interno da plataforma foram fundamentais para o sucesso do ataque.

Além disso, os criminosos utilizaram contas de laranjas e transações por meio de exchanges de criptomoedas para ocultar os valores desviados, complicando ainda mais a detecção das operações fraudulentas. Isso evidencia a necessidade urgente de reforçar a cultura de cibersegurança em todas as camadas da administração pública.

É essencial que o setor governamental adote uma abordagem mais robusta e proativa em relação à cibersegurança. Isso inclui a implementação de ferramentas que bloqueiem acessos a links maliciosos, a criação de processos mais rígidos de autenticação, e, principalmente, a conscientização contínua dos funcionários sobre os riscos e técnicas de ataque cibernético.

Os ataques de phishing não são exclusivos ao setor privado; governos em toda a América Latina estão entre os alvos preferenciais dos criminosos. Com milhões de tentativas de phishing ocorrendo anualmente, é imperativo que medidas preventivas sejam adotadas para proteger informações sensíveis e evitar prejuízos futuros. A responsabilidade por esses ataques não recai apenas sobre a tecnologia utilizada, mas também sobre a preparação e a conscientização dos usuários que interagem com essas plataformas diariamente.

Publicado em Deixe um comentário

JUSTIÇA FEDERAL IMPÕE RESTRIÇÕES AO WHATSAPP E PROTEGE DADOS DE USUÁRIOS BRASILEIROS

A Justiça Federal em São Paulo emitiu uma decisão significativa que proíbe o WhatsApp de compartilhar dados de usuários brasileiros com outras empresas do Grupo Meta para fins próprios, como a veiculação de anúncios personalizados. Essa decisão responde a uma ação civil pública movida pelo Ministério Público Federal (MPF) e pelo Instituto de Defesa do Consumidor (Idec), que contestaram a política de privacidade imposta pelo aplicativo em 2021.

Conforme a decisão da 2ª Vara Cível Federal de São Paulo, as práticas de tratamento de dados do WhatsApp no Brasil devem ser equiparadas às normas mais rígidas adotadas pela União Europeia. O WhatsApp terá um prazo de 90 dias para implementar funcionalidades que permitam aos usuários, entre outras coisas, desistir da adesão à controversa política de privacidade.

A ação, movida no mês passado, destaca que a política de privacidade introduzida pelo WhatsApp em 2021, durante a pandemia, permitiu a coleta massiva de dados pessoais dos usuários e seu compartilhamento com outras plataformas do Grupo Meta, como Facebook e Instagram. O MPF e o Idec argumentam que a política foi apresentada de maneira fragmentada e pouco transparente, forçando a adesão dos usuários ao condicionar a continuidade do uso do aplicativo à aceitação dos novos termos.

Essas práticas, segundo a ação, infringiram diversos dispositivos da Lei Geral de Proteção de Dados Pessoais (LGPD), violando o direito dos cidadãos à informação clara e à liberdade de escolha. Além disso, também desrespeitaram o Marco Civil da Internet e o Código de Defesa do Consumidor.

O MPF e o Idec buscam, além da adaptação das políticas do WhatsApp, uma indenização de R$ 1,733 bilhão por danos morais coletivos, tomando como referência as multas aplicadas à empresa na União Europeia por práticas similares. De 2021 a 2023, o WhatsApp foi multado em 230,5 milhões de euros por violações relacionadas à privacidade dos usuários, com as sanções sendo mantidas mesmo após apelações judiciais.

Publicado em Deixe um comentário

O IMPACTO DA LGPD NA PROTEÇÃO DE DADOS NO BRASIL

Há seis anos, o Brasil deu um passo essencial na proteção dos direitos fundamentais de seus cidadãos com a criação da Lei Geral de Proteção de Dados Pessoais (LGPD). Essa legislação surgiu como resposta à crescente demanda por regulamentar o uso de informações pessoais em um cenário cada vez mais digitalizado. Com o fim do período de adaptação para as empresas, houve transformações significativas não apenas no tratamento dos dados, mas, principalmente, na conscientização das pessoas sobre o uso de suas informações.

O tratamento de dados abrange qualquer atividade que envolva o manejo de dados pessoais, desde a coleta até a eliminação. Esse conceito, conforme descrito pelas autoridades competentes, inclui uma vasta gama de operações, como a recepção, armazenamento, modificação e até mesmo a comunicação de dados, refletindo a complexidade e a abrangência das práticas que a LGPD busca regulamentar.

A LGPD representou um marco importante para criar um ambiente mais seguro para os dados pessoais no Brasil. No entanto, sua implementação revelou desafios que ainda comprometem sua eficácia. Um dos principais entraves é a falta de conhecimento da população sobre seus próprios direitos em relação aos dados pessoais. Isso resulta em uma exposição contínua a fraudes e golpes digitais, sem que as pessoas saibam que poderiam ter maior proteção e reparação jurídica.

Entre os impactos mais notáveis da LGPD está a exigência de que empresas adotem medidas técnicas e administrativas para garantir a segurança da informação e mitigar vulnerabilidades cibernéticas. A lei exige que os direitos dos titulares de dados sejam respeitados, demandando o consentimento explícito para o tratamento de suas informações. Além disso, as empresas, como agentes de tratamento, são obrigadas a garantir a transparência total na coleta, armazenamento e uso dos dados pessoais, sob pena de sanções.

Os efeitos diretos da LGPD são amplos. Primeiramente, ela conferiu aos titulares maior controle sobre seus dados pessoais, permitindo que eles acessem, corrijam e, em algumas situações, eliminem suas informações. Isso marca uma mudança significativa, pois a legislação não só proporciona um poder de fiscalização à Autoridade Nacional de Proteção de Dados (ANPD), mas também aos próprios titulares.

As empresas, em resposta à LGPD, foram obrigadas a revisar e adaptar suas práticas de segurança da informação. Isso incluiu a implementação de novas políticas e procedimentos internos, a revisão de contratos com terceiros e a criação de avisos de privacidade que atendam às exigências legais de transparência.

A LGPD também impulsionou a criação de novos cargos e estruturas dentro das organizações, como o Encarregado de Proteção de Dados (DPO), cuja função é assegurar a conformidade com a lei e promover a cultura de privacidade entre os colaboradores. Com isso, comitês de privacidade e outros órgãos internos passaram a desempenhar papéis cruciais na governança corporativa.

Além das adaptações internas, a LGPD trouxe implicações legais rigorosas, com penalidades que podem chegar a multas significativas para o descumprimento de suas disposições. As empresas que infringirem as regras estão sujeitas a processos judiciais, elevando o nível de responsabilidade sobre o tratamento de dados.

Outro impacto importante foi a necessidade de alteração nas práticas de marketing e publicidade. As estratégias que envolvem o uso de dados pessoais precisaram ser ajustadas para se adequar às novas regras, que, em alguns casos, requerem o consentimento dos titulares.

A LGPD fomentou uma maior conscientização entre os cidadãos sobre a importância da privacidade e da proteção de dados. Esse aumento na conscientização é essencial para a proteção individual em um contexto de crescente criminalidade digital, tornando-se um dos legados mais importantes da lei.

A LGPD não só transformou a maneira como as empresas operam, mas também promoveu uma mudança cultural no Brasil, destacando a relevância da privacidade em um mundo digital cada vez mais interconectado.

Publicado em Deixe um comentário

MINISTÉRIO DA SAÚDE RECEBE ADVERTÊNCIA DA ANPD POR FALHAS NA PROTEÇÃO DE DADOS

A Autoridade Nacional de Proteção de Dados (ANPD) emitiu uma advertência formal ao Ministério da Saúde, destacando as sérias violações cometidas em relação à Lei Geral de Proteção de Dados (LGPD). Esta ação, divulgada por meio do Despacho Decisório nº 19/2024/FIS/CGF/ANPD e publicada no Diário Oficial da União em 9 de agosto de 2024, sublinha a importância de um rigoroso cumprimento das normas de proteção de dados, especialmente por órgãos públicos.

Responsabilidade Institucional e Proteção de Dados

No contexto atual, a proteção de dados pessoais é essencial para a preservação dos direitos fundamentais dos cidadãos. As instituições, tanto públicas quanto privadas, têm o dever de adotar medidas adequadas para garantir a segurança das informações sob sua custódia. A ANPD, em sua função fiscalizadora, identificou falhas significativas no tratamento de dados pelo Ministério da Saúde, evidenciadas em um processo iniciado sob o número 00261.001963/2022-73.

Infrações Identificadas e Medidas Impostas

O Ministério da Saúde foi advertido por não cumprir as exigências dos artigos 48 e 49 da LGPD, que tratam da comunicação e da segurança em casos de incidentes envolvendo dados pessoais. A falha mais grave envolveu a exposição indevida de dados pessoais devido a uma vulnerabilidade no sistema, o que levantou sérias preocupações sobre a integridade e a segurança das informações sob responsabilidade do órgão.

A ANPD aplicou duas advertências formais e determinou medidas corretivas rigorosas:

  1. Violação ao Art. 48 da LGPD: O Ministério da Saúde deve corrigir, em até 10 dias úteis, as informações publicadas em seu site relacionadas à exposição de dados pessoais, detalhando as medidas de segurança adotadas e justificando a demora na comunicação do incidente aos titulares dos dados. Essas informações devem permanecer acessíveis ao público por pelo menos 90 dias, com comprovações periódicas anexadas ao processo administrativo.
  2. Violação ao Art. 49 da LGPD: O Ministério da Saúde foi obrigado a enviar um relatório detalhado sobre as ações técnicas em andamento, especialmente aquelas relacionadas ao monitoramento e à proteção de acessos ao sistema SCPA. O prazo para a implementação de todas as medidas técnicas necessárias é de 100 dias úteis, devendo ser comprovadas documentalmente.

Impactos na Administração Pública

Este episódio reforça a necessidade de órgãos governamentais adotarem práticas robustas de governança de dados. A não conformidade com as medidas impostas pode resultar em consequências administrativas severas, incluindo sanções adicionais por parte da Controladoria-Geral da União. O caso do Ministério da Saúde serve como um alerta para a administração pública em geral sobre a importância de aderir estritamente às normas de proteção de dados, assegurando tanto a conformidade legal quanto a confiança dos cidadãos.

Reflexões sobre a Conformidade com a LGPD

A decisão da ANPD destaca o papel crítico da proteção de dados na construção de um ambiente digital seguro. A conformidade com a LGPD deve ser vista não apenas como uma obrigação legal, mas como um compromisso ético com a sociedade. Profissionais da área de proteção de dados, advogados e gestores devem tomar esta decisão como um parâmetro para reforçar as melhores práticas em suas atividades diárias, garantindo que a privacidade e a segurança dos dados sejam sempre priorizadas.

Publicado em Deixe um comentário

NOVO MÓDULO DO SEI AUMENTA TRANSPARÊNCIA DA ANPD

A Autoridade Nacional de Proteção de Dados (ANPD) lançou recentemente o Módulo de Pesquisa Pública do Sistema Eletrônico de Informação (SEI). Essa nova funcionalidade, já utilizada por outros órgãos do Executivo Federal, permite que os usuários acompanhem os processos em andamento na ANPD e acessem diretamente os documentos públicos relacionados.

O lançamento do módulo representa um avanço significativo na transparência pública da Autoridade. Agora, qualquer pessoa pode consultar o andamento dos processos e visualizar documentos públicos, assinados ou gerados a partir de 1º de agosto de 2024, diretamente na página de pesquisa processual, sem necessidade de cadastro prévio. A pesquisa pode ser realizada por meio do número de protocolo SEI ou pelo assunto do processo.

É importante destacar que, para documentos gerados ou assinados antes dessa data ou em casos de documentos restritos, ainda será necessário solicitar o acesso via a plataforma FalaBr.

A implementação do módulo foi resultado de um trabalho conjunto de diversas unidades da ANPD, com o objetivo de melhorar a gestão documental e facilitar o acesso às informações para o público.

Publicado em Deixe um comentário

A IMPORTÂNCIA DA CONFORMIDADE COM A LGPD NA GESTÃO DE TERCEIROS

Desde sua implementação em 2020, a Lei Geral de Proteção de Dados (LGPD) impôs uma série de obrigações e responsabilidades tanto para empresas quanto para órgãos públicos. Não apenas essas entidades devem estar em conformidade com a lei, mas também os terceiros que tratam dados em seu nome. A gestão eficaz desses parceiros terceirizados é, portanto, essencial para garantir a conformidade com a LGPD e minimizar riscos associados ao tratamento de dados pessoais.

Caminho para a Conformidade
Para garantir a conformidade com a LGPD, é indispensável que todos os terceiros envolvidos no tratamento de dados estejam plenamente alinhados com os requisitos legais. Isso começa com uma seleção rigorosa e criteriosa desses parceiros, baseada em sua capacidade de cumprir as exigências da LGPD. O processo de contratação deve ser robusto, assegurando que qualquer terceiro comprometido com o tratamento de dados pessoais adote os mais elevados padrões de segurança e conformidade.

Segurança da Informação e Políticas de Privacidade
Um passo crucial na gestão de terceiros é a verificação das práticas de segurança da informação. Políticas de segurança bem definidas, que incluam controle de acesso, criptografia, gestão de vulnerabilidades e resposta a incidentes, são fundamentais. A obtenção de certificações reconhecidas, como a ISO/IEC 27001, pode ser um indicador da maturidade das práticas de segurança adotadas pelo terceiro. Além disso, o histórico de incidentes de segurança deve ser analisado para avaliar a eficácia das medidas corretivas aplicadas.

As políticas de privacidade dos terceiros também devem ser claras e transparentes, além de estarem em total conformidade com a LGPD. É necessário verificar como esses parceiros coletam, utilizam e gerenciam os dados, bem como os mecanismos de obtenção e gestão de consentimento dos titulares, sempre em conformidade com as disposições da LGPD. O compartilhamento de dados e a transferência internacional de informações também devem ser rigorosamente avaliados.

Contratos e Cláusulas Específicas
Os contratos firmados com terceiros desempenham um papel crítico na formalização das obrigações de proteção de dados. Esses documentos devem conter cláusulas específicas que assegurem a conformidade com a LGPD e protejam os dados pessoais envolvidos. Cláusulas de confidencialidade precisam ser detalhadas, definindo claramente o escopo e as obrigações do terceiro. Além disso, devem incluir requisitos de segurança, como criptografia e autenticação multifator.

Também é fundamental que os contratos estabeleçam procedimentos claros para a notificação de incidentes de segurança, incluindo prazos para notificação e informações que devem ser reportadas. A realização de Avaliações de Impacto sobre a Proteção de Dados (DPIAs) por parte dos terceiros deve ser uma exigência contratual quando necessário, para identificar e mitigar riscos associados ao tratamento de dados.

Revisões regulares de contratos e SLAs são necessárias para manter a conformidade contínua, incorporando mudanças legislativas e feedback de auditorias e avaliações de risco.

A Importância das Auditorias
Auditorias periódicas são essenciais para verificar a adequação contínua dos terceiros. Essas auditorias devem incluir a revisão das políticas de segurança, testes de vulnerabilidade e análise de incidentes, assegurando uma abordagem proativa na gestão de riscos.

Consultoria Especializada
Dada a complexidade da gestão de terceiros e a importância de garantir a conformidade com a LGPD, a contratação de consultores especializados pode ser uma estratégia eficaz. Esses profissionais possuem o conhecimento técnico e jurídico necessário para realizar avaliações criteriosas, elaborar contratos detalhados e garantir que as práticas de segurança estejam em vigor, protegendo os direitos dos titulares de dados e mitigando riscos.

Conformidade em Órgãos Públicos
Assim como as empresas privadas, os órgãos públicos também precisam assegurar a conformidade com a LGPD na gestão de terceiros. A inclusão de requisitos de conformidade com a LGPD em editais de licitação é crucial, especialmente para fornecedores que tratam dados sensíveis, como na área de educação e saúde.

Além disso, processos de auditoria e verificação contínua devem ser implementados para garantir que os padrões de proteção de dados sejam mantidos, protegendo assim a privacidade dos cidadãos e evitando sanções pelo descumprimento da LGPD.

A gestão eficaz de terceiros é um componente vital para a conformidade com a LGPD. Desde a avaliação rigorosa na seleção de parceiros até a elaboração de contratos detalhados e a realização de auditorias periódicas, cada etapa é fundamental. A contratação de consultores especializados pode ser determinante na proteção dos dados pessoais e na garantia da conformidade legal.