Tag: Segurança da Informação

Publicado em por — Deixe um comentário

O VERDADEIRO ESTADO DO PROCESSO DE INDENIZAÇÃO DA SERASA

Recentes divulgações em redes sociais sugerem que a Serasa Experian foi condenada a indenizar cada indivíduo afetado por um suposto vazamento de dados no valor de R$ 30 mil. Tais alegações se baseiam em notícias fabricadas, direcionando os usuários a sites que capturam dados pessoais sob o pretexto de verificar direitos a indenizações. A realidade, contudo, é mais complexa e ainda está em processo de resolução judicial.

A origem desse rumor advém de uma ação civil pública movida pelo Instituto Brasileiro de Defesa da Proteção de Dados Pessoais, Compliance e Segurança da Informação, conhecido como Instituto Sigilo, em parceria com o Ministério Público Federal (MPF). Tal ação acusa a Serasa Experian de comercializar dados pessoais de maneira indevida. Até o momento presente, não se registrou nenhuma condenação definitiva que obrigue a Serasa a realizar tais pagamentos.

Detalhes importantes a respeito desse processo indicam que, em janeiro de 2021, veio a público o vazamento de informações sensíveis que incluíam CPFs de cidadãos vivos e falecidos, CNPJs, além de registros de veículos e outros dados pessoais. O Instituto Sigilo, junto ao MPF, requereu na justiça que a Serasa Experian compensasse financeiramente os indivíduos prejudicados por esse possível mau uso de informações.

A Serasa Experian apresentou sua defesa, argumentando de maneira minuciosa que não houve invasão em seus sistemas, nem indícios de que o alegado vazamento tenha se originado de suas bases de dados. Diante dessa situação, é imperativo aguardar o julgamento final do caso, o qual determinará a existência ou não de obrigações indenizatórias por parte da Serasa.

Importante destacar, as publicações que circulam nas redes sociais, prometendo indenizações e solicitando dados pessoais para verificação, foram identificadas como fraudulentas pela própria Serasa Experian. A empresa informou que tais anúncios provieram majoritariamente de perfis falsos, muitos dos quais já foram desativados.

Para os cidadãos preocupados em verificar se seus dados foram comprometidos, o Instituto Sigilo disponibiliza um portal específico para cadastro e obtenção de informações sobre o andamento da ação civil pública contra a Serasa. Recomenda-se cautela e a não divulgação de informações pessoais em plataformas duvidosas, a fim de evitar a exposição a fraudes e golpes digitais.

Publicado em por — Deixe um comentário

NOVO GUIA DA ANPD SOBRE LEGÍTIMO INTERESSE NA LGPD

A Autoridade Nacional de Proteção de Dados (ANPD) fez um avanço significativo na compreensão e aplicação da Lei Geral de Proteção de Dados Pessoais (LGPD) através da publicação de seu novo guia orientativo focado nas condições legais para o tratamento de dados pessoais sob o fundamento do legítimo interesse. Este conceito, um dos pilares da LGPD, permite que dados pessoais não sensíveis sejam processados para atender aos interesses legítimos tanto dos controladores de dados quanto de terceiros, contanto que esses interesses não infrinjam os direitos fundamentais dos titulares dos dados e que haja uma necessidade clara de proteção dessas informações.

O guia detalha a interpretação da ANPD sobre o uso do legítimo interesse como base legal para o tratamento de dados, fornecendo exemplos práticos, análises interpretativas e um modelo de teste de balanceamento. Este teste é essencial para que as empresas demonstrem como equilibram os interesses em jogo – sejam eles do titular dos dados, do controlador ou de terceiros – garantindo um tratamento proporcional e seguro dos dados pessoais.

De acordo com Filipe Ribeiro Duarte, especialista em Direito Digital e Propriedade Intelectual do Martinelli Advogados, a aplicação do legítimo interesse representa um desafio significativo para as empresas. Elas devem estar cientes das novas diretrizes, especialmente no que tange à realização e, possivelmente, ao registro do teste de balanceamento, a fim de assegurar a conformidade com os princípios de transparência e prestação de contas.

Embora o guia recém-publicado não exija explicitamente o registro do teste de balanceamento – diferentemente de uma versão preliminar do documento -, ele sugere que tal registro pode facilitar a demonstração de conformidade com os princípios da LGPD. Isso é especialmente verdadeiro no tratamento de dados de crianças e adolescentes, onde o registro é expressamente mencionado. A decisão de documentar ou não o teste depende da análise de risco específica de cada situação de tratamento de dados.

O documento também orienta sobre a avaliação preliminar necessária antes de se processar dados com base no legítimo interesse. Esta avaliação envolve a identificação do interesse do controlador ou de terceiros e a avaliação da legitimidade desse interesse, que deve ser legal, baseado em situações concretas e atrelado a finalidades legítimas específicas.

O guia exemplifica a adoção do legítimo interesse em casos como o de uma instituição de ensino que deseja enviar ações promocionais da sua editora para alunos e professores. Mesmo que a campanha seja realizada por outra entidade, como uma escola de idiomas, isso pode ser justificado sob o legítimo interesse de terceiros, desde que se observe a legislação aplicável.

É importante lembrar que a aplicação do legítimo interesse é suscetível a interpretações e desafios legais, tanto pela ANPD quanto pelos titulares dos dados. Assim, para assegurar um equilíbrio adequado entre os interesses envolvidos e respeitar as expectativas legítimas dos titulares dos dados, as empresas devem aderir estritamente às orientações do guia, promovendo transparência e oferecendo meios para que os titulares exerçam seus direitos em relação aos seus dados pessoais.

Publicado em por — Deixe um comentário

PRIVACIDADE DIGITAL: DEFENDENDO SEUS DIREITOS NA INTERNET

Na era digital contemporânea, os direitos digitais assumem um papel importante na proteção da individualidade e privacidade dos cidadãos na internet. Com a vida social cada vez mais imersa no ambiente digital, a necessidade de adaptar direitos tradicionalmente reconhecidos no mundo físico para o espaço online tornou-se evidente. Isso inclui, mas não se limita a, aspectos como a privacidade, que adquire novas dimensões devido à facilidade de disseminação de informações na internet.

A discussão sobre a adequação da nomenclatura “direitos digitais” reflete a integração profunda da nossa existência no universo digital, sugerindo uma possível reavaliação de como os direitos civis são concebidos na era da informação. Esse debate sublinha a questão de se todos os direitos deveriam ser considerados “digitais” dada a ubiquidade da tecnologia em nossas vidas.

Nos últimos anos, legislações específicas foram promulgadas para assegurar esses direitos digitais. Iniciativas legislativas, como o Marco Civil da Internet e a Lei Geral de Proteção de Dados Pessoais (LGPD), estabeleceram um marco regulatório abrangente, delineando diretrizes para privacidade, liberdade de expressão, neutralidade da rede, e a responsabilidade dos provedores de internet, além de regulamentar o tratamento de dados pessoais por entidades públicas e privadas. A Lei Carolina Dieckmann, que visa proteger contra invasões de privacidade online, e legislações recentes abordando o cyberbullying e crimes relacionados à pornografia infantil, reforçam o arcabouço legal para a proteção do cidadão na esfera digital.

Conhecer e compreender esses direitos é fundamental para que os indivíduos possam exercê-los efetivamente. Isso inclui saber como os dados pessoais são coletados, armazenados, e utilizados por entidades comerciais, especialmente em situações cotidianas como ao fornecer o CPF em transações comerciais. Sem essa consciência, torna-se desafiador para os cidadãos protegerem suas informações pessoais e exigirem seus direitos.

Quando direitos digitais são violados, é essencial coletar evidências e reportar a situação às plataformas envolvidas e às autoridades competentes. Dependendo da natureza da violação, pode ser necessário procurar entidades especializadas, como delegacias de crimes cibernéticos ou órgãos de defesa do consumidor, para assegurar uma resposta apropriada e proteção contra futuras vulnerabilidades.

Além disso, é importante reconhecer a extensão dos direitos digitais, que impactam diretamente o cotidiano das pessoas. Isso inclui o direito de conhecer o destino dos dados coletados, a garantia de privacidade, a liberdade de expressão, a proteção contra invasões de dispositivos, medidas contra o cyberbullying, e a aplicabilidade do código de defesa do consumidor nas transações online. Estes aspectos destacam a interseção entre os direitos digitais e os princípios fundamentais de justiça e dignidade humana no espaço digital.

A evolução dos direitos digitais é um reflexo da dinâmica interação entre tecnologia, sociedade e legislação. À medida que avançamos na era digital, é imperativo que continuemos a desenvolver e fortalecer o quadro legal que protege esses direitos, garantindo que a tecnologia sirva ao bem-estar e à liberdade dos indivíduos em um mundo cada vez mais conectado.

Publicado em por — Deixe um comentário

A IMPORTÂNCIA DO CONTROLE DE TERCEIROS NA PROTEÇÃO DE DADOS CORPORATIVOS

O relatório Global Cybersecurity Outlook 2024, divulgado pelo World Economic Forum em janeiro, indicou que 41% das organizações afetadas por incidentes de segurança no último ano atribuíram a causa a terceiros. Um estudo paralelo da Security Scorecard, “Close encounters of the third (and fourth) party kind”, publicado também em janeiro de 2023, encontrou que 98% das organizações mantêm relações com ao menos um terceiro que sofreu uma violação de segurança nos últimos dois anos. Ademais, revelou que para cada fornecedor direto, as empresas têm, em média, 60 a 90 conexões indiretas.

Esses dados sublinham a importância de uma gestão de riscos cibernéticos mais robusta e consciente, especialmente em relação a terceiros e parceiros de negócios. No âmbito da Lei Geral de Proteção de Dados (LGPD) no Brasil, essa preocupação se acentua, pois os fornecedores que manuseiam dados pessoais em nome das empresas são igualmente responsáveis pela segurança e pelo tratamento adequado dessas informações. Falhas nesse processo podem levar a sanções legais e a consequências negativas para a reputação das empresas envolvidas.

Considerando o cenário brasileiro, um relatório da Trend Micro de 2023 posicionou o Brasil como o segundo país com maior número de ataques cibernéticos, destacando a relevância deste desafio. Foram registradas 85,6 bilhões de ameaças bloqueadas somente no primeiro semestre, o que evidencia a vulnerabilidade das organizações nacionais a ataques que podem paralisar suas operações, como os de ransomware.

É importante que as organizações desenvolvam e implementem estratégias de cibersegurança que incluam uma avaliação rigorosa dos riscos associados a terceiros. Isso envolve não apenas a adoção de práticas de segurança informatizadas adequadas, mas também a garantia de que os parceiros e fornecedores adotem medidas similares para proteger os dados pessoais tratados em nome das empresas contratantes.

A segurança dos dados e a proteção contra riscos cibernéticos exigem uma abordagem integrada e estratégica, que vá além do cumprimento de requisitos legais e envolva todas as partes da cadeia de suprimentos digital. A prevenção de riscos e a adoção de controles de segurança eficazes são essenciais para a sustentabilidade e a resiliência organizacional em um ambiente digital cada vez mais complexo e regulado.

Publicado em por — Deixe um comentário

FALHA DE CONFIGURAÇÃO EM NUVEM EXPÕE DADOS CONFIDENCIAIS DE MONTADORA DE VEÍCULOS

Uma conhecida montadora de veículos enfrentou um incidente de segurança de dados significativo devido a uma falha de configuração em seu servidor de armazenamento em nuvem, operado por um popular provedor de serviços em nuvem. Esta falha, especificamente a configuração inadvertida do servidor para público em vez de privado, levou à exposição de uma vasta quantidade de dados confidenciais. Especialistas em segurança cibernética descobriram que entre os dados vazados estavam chaves privadas e informações de acesso essenciais para as operações da montadora em várias regiões globais, incluindo credenciais de login para sistemas de banco de dados importantes.

A extensão total da exposição dos dados e o período de tempo em que ocorreu permanecem incertos, elevando preocupações sobre a possibilidade de tais informações terem sido coletadas e potencialmente utilizadas por indivíduos mal-intencionados. Este incidente lança luz sobre a importância da segurança dos dados em ambientes de nuvem, especialmente dada a escala e o alcance global das operações envolvidas.

A montadora envolvida agiu prontamente para resolver o problema, garantindo que nenhuma informação de cliente foi afetada pelo vazamento. A empresa afirmou ter corrigido a falha e estar monitorando ativamente sua infraestrutura para prevenir incidentes futuros. Contudo, não foi divulgado se os dados expostos foram acessados ou utilizados de maneira indevida.

Isto ocorre em um contexto onde a segurança de dados tornou-se uma preocupação premente para o setor automobilístico. Outra montadora enfrentou um problema de segurança ao expor dados internos devido a uma chave privada deixada publicamente acessível, permitindo acesso irrestrito a informações sensíveis. Esta situação foi rapidamente contornada através da revogação do token de API comprometido e da remoção do repositório público envolvido.

Esses incidentes destacam a necessidade de práticas de segurança da informação robustas, particularmente ao utilizar plataformas de armazenamento em nuvem. A implementação de configurações apropriadas, monitoramento constante e resposta ágil são indispensáveis para proteger dados sensíveis contra exposições não autorizadas e potenciais abusos.

Publicado em por — Deixe um comentário

A INICIATIVA DA ANPD SOBRE ANONIMIZAÇÃO E PSEUDONIMIZAÇÃO

A Autoridade Nacional de Proteção de Dados (ANPD) deu um passo importante ao lançar, no dia 30 de janeiro de 2024, uma consulta pública sobre a minuta de um guia detalhado para a anonimização e pseudonimização de dados pessoais. Este guia, que faz parte da Agenda Regulatória da ANPD para 2023-2024, visa esclarecer e orientar o uso dessas técnicas sob a égide da Lei Geral de Proteção de Dados Pessoais (LGPD), Lei n° 13.709/2018.

A LGPD introduziu conceitos fundamentais relacionados à anonimização e pseudonimização, processos pelos quais os dados pessoais são transformados de forma a prevenir a identificação direta ou indireta de indivíduos. A ANPD, reconhecendo a necessidade de diretrizes claras, propõe neste guia um aprofundamento nos conceitos e práticas, diferenciando dados anonimizados de anônimos, e introduzindo termos como dados auxiliares e identificadores diretos e indiretos.

Um ponto destacado pela ANPD é a reversibilidade potencial da pseudonimização, em contraste com a irreversibilidade da anonimização. A pseudonimização permite a reidentificação sob circunstâncias controladas, enquanto a anonimização visa eliminar permanentemente a possibilidade de vincular os dados ao indivíduo.

O guia enfatiza que a anonimização não deve ser vista apenas como um fim, mas como um processo complexo que deve respeitar os princípios da LGPD. Isso inclui garantir que a anonimização não sirva para legitimar tratamentos de dados originalmente não conformes com a lei. Além disso, a ANPD adverte sobre os riscos de reidentificação e a importância de avaliar esses riscos de maneira cuidadosa, adotando uma abordagem baseada em risco para a anonimização.

A consulta pública vai além ao abordar a pseudonimização, sugerindo uma metodologia detalhada para sua implementação, que inclui a seleção de técnicas adequadas e a proteção das chaves e algoritmos usados no processo. Essas diretrizes são fundamentais para assegurar que as práticas de tratamento de dados estejam alinhadas com os mais altos padrões de segurança e privacidade.

Além disso, a ANPD abriu espaço para discussões sobre os direitos dos titulares de dados, lançando uma tomada de subsídios com foco em como os controladores devem facilitar o exercício desses direitos. Este debate abrange desde a transparência no tratamento dos dados até a portabilidade, correção e eliminação dos mesmos, enfatizando a necessidade de processos que respeitem tanto a legislação vigente quanto os interesses dos indivíduos.

Essas iniciativas da ANPD não apenas reforçam o compromisso do Brasil com a proteção de dados pessoais, mas também estabelecem um marco regulatório que orienta as organizações na adoção de práticas responsáveis e transparentes de tratamento de dados. As contribuições para a consulta pública e a tomada de subsídios, abertas até 28 de fevereiro e 4 de março de 2024, respectivamente, são passos vitais para a construção de um ambiente digital mais seguro e confiável para todos.

Publicado em por — Deixe um comentário

ESTRATÉGIAS DE ANONIMIZAÇÃO PARA COMPLIANCE E LIBERDADE DE USO

A transformação de dados pessoais em anônimos é uma etapa crítica para atender às exigências impostas por regulamentos e princípios éticos, econômicos, estruturais e legais. Esta prática se tornou um componente indispensável nas estratégias de conformidade, especialmente sob as diretrizes de proteção de dados. Anonimizar dados serve como uma ponte vital, permitindo a transição de informações pessoais para um domínio onde podem ser livremente utilizadas, garantindo uma maior liberdade na manipulação de dados sem infringir as normas de privacidade.

Com a promulgação de leis de proteção de dados, empresas e organizações enfrentam o desafio de reavaliar suas operações de análise de dados. Estas legislações enfatizam a importância de limitar o uso de informações ao mínimo necessário para cumprir objetivos específicos, condenando o acúmulo de dados sem finalidades explícitas. Neste cenário, a anonimização emerge como uma solução essencial, permitindo a continuidade do uso de dados analíticos enquanto se mantém em conformidade com as restrições legais.

Entretanto, a implementação efetiva dessa técnica encontra obstáculos. A legislação apresenta disposições fragmentadas sobre o assunto, há uma carência de estudos acadêmicos detalhados e, até o momento, falta orientação regulatória clara sobre as melhores práticas de anonimização. Isso cria um ambiente de incerteza para aqueles que buscam se alinhar às exigências da legislação de proteção de dados.

Apesar desses desafios, a aplicação da anonimização é não apenas viável, mas também recomendável. Ela requer uma compreensão de que o processo de tornar os dados anônimos é, em si, uma forma de tratamento de dados, exigindo conformidade com as normas de proteção de dados até que a anonimização seja concluída. Além disso, é necessário reconhecer que a eficácia da anonimização depende do contexto e da capacidade de reversão, o que significa que as técnicas utilizadas devem ser periodicamente revisadas para garantir que continuem sendo eficazes à luz de novas tecnologias e métodos de análise.

Importante também é a identificação dos limites da anonimização, que podem ser categorizados em termos de suas características intrínsecas, a relação com outros dados disponíveis e os desafios éticos e legais associados ao seu uso. Estas considerações sublinham a importância de uma escolha informada e consciente dos riscos ao optar pela anonimização.

A compreensão aprofundada e a aplicação cuidadosa dessa técnica beneficiam todos os envolvidos. Para os indivíduos, oferece uma camada adicional de proteção de privacidade. Para as entidades que processam dados, fornece uma ferramenta que possibilita o uso inovador e legal das informações. E para a sociedade, fomenta um debate vital sobre as práticas éticas na utilização de dados.

Portanto, a anonimização representa uma abordagem estratégica essencial na era da proteção de dados, facilitando a inovação e o avanço tecnológico de maneira responsável e conforme às exigências legais e éticas.

Publicado em por — Deixe um comentário

CONVERGÊNCIA ENTRE LGPD E NORMAS ISO PARA A SEGURANÇA DA INFORMAÇÃO

No atual cenário tecnológico, onde a digitalização avança a passos largos, a privacidade e a segurança de dados pessoais surgem como pilares essenciais. A coleta, o processamento e o armazenamento de informações pessoais em plataformas online exigem uma abordagem robusta e regulamentada para assegurar a proteção desses dados. Nesse contexto, a Lei Geral de Proteção de Dados Pessoais (LGPD), sob o número 13.709/18, destaca-se como um marco legal, impondo aos responsáveis pelo tratamento de dados a obrigação de adotar medidas de segurança eficazes contra acessos indevidos e outras ameaças.

A norma ISO 27017, publicada em 2016 e dedicada à segurança da informação especificamente em ambientes de nuvem, oferece diretrizes detalhadas para reforçar a proteção de dados pessoais. Essa norma amplia os princípios da ISO 27001, adaptando-os aos desafios particulares da computação em nuvem, e fornece um conjunto de controles específicos para a gestão de informações sensíveis armazenadas nesses serviços.

A sinergia entre a LGPD e a ISO 27017 é evidente, pois ambas direcionam esforços para garantir a integridade, a confidencialidade e a disponibilidade dos dados pessoais. Eles compartilham o objetivo de proteger as informações contra violações, promovendo a adoção de práticas de segurança robustas, o respeito pela privacidade dos titulares dos dados e a transparência no tratamento dessas informações.

Além disso, a LGPD incentiva a criação de políticas de governança e boas práticas que abrangem desde a organização dos processos de tratamento até a resposta a incidentes, passando pela educação e pela conscientização sobre a importância da proteção de dados. Esse enfoque proativo é complementado pela ISO 27017, que especifica controles para gerenciar riscos associados à computação em nuvem, incluindo a seleção cuidadosa de fornecedores e a implementação de técnicas avançadas de segurança, como a criptografia e o backup regular de dados.

A adesão conjunta à LGPD e à ISO 27017 não só assegura o cumprimento das obrigações legais, mas também fortalece as medidas de segurança na nuvem, melhorando a postura geral de segurança das organizações. Isso reduz significativamente o risco de incidentes de segurança e vazamentos de dados, ao mesmo tempo em que eleva a confiança dos usuários e das partes interessadas na capacidade da organização de proteger as informações pessoais.

Em um mundo cada vez mais conectado e dependente de soluções em nuvem, a conscientização sobre a importância da segurança de dados e a implementação de padrões reconhecidos internacionalmente, como a ISO 27017, são fundamentais. Tais práticas não apenas cumprem com as exigências legais, mas também promovem uma cultura de segurança e privacidade, essenciais para a sustentabilidade das atividades empresariais na era digital.

A integração da LGPD com a ISO 27017 representa uma abordagem holística para enfrentar os desafios da proteção de dados na nuvem, enfatizando a importância de medidas preventivas e a construção de um ambiente digital seguro e confiável para todos os envolvidos.

Publicado em por — Deixe um comentário

COMO A EXPOSIÇÃO DE DADOS DESAFIA AS LEIS DE PROTEÇÃO

A recente descoberta da exposição pública de dados pessoais de cidadãos em um estado brasileiro, através de sites oficiais de órgãos governamentais, levanta sérias preocupações sobre a privacidade e segurança de informações sensíveis na era digital. Este incidente revela uma falha crítica na proteção de dados pessoais, incluindo nomes completos, números de identificação e endereços, que foram encontrados facilmente disponíveis para o público em geral. A Lei Geral de Proteção de Dados (LGPD), implementada para salvaguardar tais informações e exigir a anonimização de dados quando sua publicação se faz necessária, parece ter sido negligenciada neste caso.

Especialistas no campo da proteção de dados e tecnologia da informação ressaltam a importância fundamental de assegurar que os dados pertençam e sejam protegidos em favor do cidadão. A exposição não autorizada de informações pessoais não apenas compromete a privacidade, mas também expõe os indivíduos a riscos significativos, incluindo fraudes e outros delitos cibernéticos.

Em resposta à situação, órgãos governamentais envolvidos têm comunicado esforços para se alinhar às exigências da LGPD, destacando iniciativas para melhorar a governança de dados e a transparência para o público. A Autoridade Nacional de Proteção de Dados (ANPD), por sua vez, enfatiza a importância de equilibrar a necessidade de transparência governamental com a proteção rigorosa dos dados pessoais, conforme também delineado pela Lei de Acesso à Informação (LAI).

A conformidade com a LGPD é reconhecida como um processo desafiador, que exige uma transformação substancial na cultura organizacional e nos procedimentos internos. A legislação estabelece diretrizes claras para o tratamento de dados, além de prever sanções severas para violações. Embora a aplicação dessas sanções a entidades governamentais ainda seja um assunto de debate, a necessidade de proteção de dados é indiscutível.

Para indivíduos cujos dados foram expostos, é necessário tomar medidas imediatas, procurando primeiro o responsável pelo tratamento dos dados e, se necessário, acionando os canais oficiais de denúncia. A conscientização sobre os direitos individuais e os mecanismos de defesa disponíveis é essencial para fortalecer a proteção de dados pessoais contra usos indevidos e vazamentos no cenário digital atual.

Publicado em por — Deixe um comentário

ESTRUTURANDO A PRIVACIDADE: DIRETRIZES E DESAFIOS SOB A LGPD NO BRASIL

A Lei Geral de Proteção de Dados Pessoais (LGPD) do Brasil, sob a Lei nº 13.709/18, estabelece diretrizes para o tratamento de dados pessoais. Uma das exigências mais significativas, encontrada no artigo 50 da LGPD, é a implementação de práticas de governança e boas práticas por parte dos agentes de tratamento de dados, incluindo tanto os controladores quanto os operadores. Este mandato legal abrange a criação de padrões técnicos, iniciativas educativas, supervisão rigorosa e medidas para minimizar os riscos associados ao tratamento de dados pessoais.

Aprofundando-se na seção 2 do mesmo artigo, a lei exige especificamente dos controladores a implementação de um programa de governança em privacidade. Este programa deve atender a requisitos essenciais, tais como:

(a) uma demonstração explícita do compromisso do controlador com a adoção de políticas e práticas que salvaguardem os dados pessoais;

(b) a inclusão de todos os dados pessoais sob seu domínio;

(c) adequação às dimensões e especificidades das operações da entidade e à sensibilidade dos dados processados;

(d) o estabelecimento de políticas e medidas de segurança baseadas em avaliações de risco;

(e) transparência para fomentar a confiança dos titulares dos dados;

(f) integração com a estrutura de governança corporativa, incluindo supervisão interna e externa;

(g) elaboração de um plano para responder e remediar incidentes de privacidade;

(h) atualização e aprimoramento contínuos, seguindo, por exemplo, o ciclo PDCA (planejar, fazer, verificar, agir).

Entretanto, mais do que cumprir uma obrigação legal, o programa de governança em privacidade visa incutir uma cultura robusta de proteção de dados dentro da organização. Isso implica em demonstrar para a sociedade que a instituição e sua alta administração estão verdadeiramente comprometidas com a privacidade, alinhando-se aos princípios de boa-fé, transparência, responsabilização e prestação de contas, conforme estipulado no art. 6º da LGPD.

O primeiro passo para implementar esse programa é a formulação de uma declaração de missão ou visão relativa à privacidade. Esta declaração deve comunicar de forma sucinta e clara o compromisso da organização com a privacidade. Ela deve servir como um guia e um elemento-chave para o estabelecimento de uma base sólida para um programa de privacidade que atenda às realidades e expectativas da organização, dos titulares de dados e de todas as partes interessadas.

A declaração de missão deve refletir o motivo pelo qual a privacidade é um valor fundamental para a organização, definindo sua postura em relação a este tema essencial. Esta declaração deve ser breve, clara e facilmente compreensível, descrevendo o propósito e os ideais da organização.

Em outras palavras, a declaração de missão deve articular a aspiração da organização em relação à privacidade. Ela deve estabelecer um objetivo claro, a ser alcançado através de ações concretas, que visem construir uma relação de confiança com os titulares dos dados pessoais.

Por fim, é importante destacar que o programa de governança em privacidade é igualmente necessário para entidades do setor público. A declaração da missão de privacidade, que pode ser parte integrante da Política de Privacidade, é vital para fomentar uma cultura de privacidade e proteção de dados no setor público. Somente assim, o direito fundamental à proteção de dados pessoais, agora assegurado na Constituição Brasileira pela Emenda Constitucional nº 115 de 2022, será efetivamente respeitado em todas as organizações, sejam elas públicas ou privadas.

Publicado em por — Deixe um comentário

ENTENDENDO O MAPA DE TEMAS PRIORITÁRIOS DA AUTORIDADE NACIONAL

A Autoridade Nacional de Proteção de Dados, responsável pela proteção de dados pessoais e pela aplicação da legislação específica de proteção de dados no Brasil, revelou recentemente seu Mapa de Temas Prioritários. Este documento é um plano de ação estratégico que define as áreas prioritárias para os próximos dois anos, sendo crucial para as empresas que buscam se adequar às normas de proteção de dados e melhorar suas práticas de cibersegurança.

O plano estabelece quatro eixos de atuação. O primeiro se concentra nos direitos dos titulares de dados, com ações de fiscalização voltadas para o tratamento de dados por entidades governamentais, plataformas digitais, e setores financeiro e de telecomunicações. Esta iniciativa inclui a colaboração com outras instituições reguladoras, prevendo uma série de atividades de fiscalização para este ano.

O segundo eixo aborda a proteção de dados pessoais de crianças e adolescentes no ambiente digital. Aqui, o foco é assegurar que os direitos deste grupo sejam salvaguardados, com medidas específicas para verificar o consentimento e a idade em plataformas digitais. As ações planejadas começarão no segundo semestre deste ano e se estenderão até 2025.

O terceiro eixo foca no uso da inteligência artificial em sistemas de reconhecimento facial e no tratamento de dados pessoais, identificando riscos e assegurando a conformidade com a legislação de proteção de dados. A fiscalização será intensificada, especialmente em áreas de acesso público.

Finalmente, o quarto eixo se dedica à raspagem e agregação de dados, onde a autoridade planeja realizar atividades de fiscalização e estabelecer diretrizes para garantir que tais práticas estejam em conformidade com a legislação vigente, com ações previstas para começar no próximo ano.

Especialistas em cibersegurança enfatizam a importância dos investimentos em segurança digital como uma medida preventiva face às diretrizes estabelecidas. Recomenda-se que as empresas implementem ferramentas robustas de segurança para o tratamento adequado de dados e prevenção de vazamentos. Além disso, destacam a importância de ampliar as abordagens de segurança e a conscientização dos funcionários, dado o aumento de ataques de sequestro e roubo de dados.

Para complementar, a capacitação dos funcionários é vista como um elemento essencial na estratégia de cibersegurança. A formação e o aperfeiçoamento contínuo em segurança digital são fundamentais para fortalecer as defesas contra ameaças cibernéticas.

Em resumo, as diretrizes da Autoridade Nacional de Proteção de Dados representam um marco importante para as empresas no Brasil. Elas devem estar atentas e preparadas para se adaptar a estas novas exigências, investindo tanto em tecnologia de segurança quanto na capacitação de seus colaboradores.

Publicado em por — Deixe um comentário

ANPD LANÇA PLANO EDUCATIVO PARA FORTALECER CULTURA DE PROTEÇÃO DE DADOS NO BRASIL

A Autoridade Nacional de Proteção de Dados (ANPD) anunciou recentemente o lançamento do seu Plano Institucional de Ações Educativas. Este plano é uma iniciativa para fortalecer a proteção de dados pessoais e ampliar o conhecimento sobre as normas e políticas públicas relacionadas ao tema no Brasil. O projeto inclui uma variedade de atividades que já estão em execução desde 2023.

Entre as principais ações planejadas estão a realização de eventos técnicos, o desenvolvimento e distribuição de materiais educativos sobre a proteção de dados pessoais, a organização de um concurso de monografias, e a publicação de novos regulamentos. O plano também enfatiza a importância de estabelecer parcerias institucionais para o sucesso de suas iniciativas.

De acordo com o diretor-presidente da autarquia, o plano coloca os titulares de dados no centro de suas ações, refletindo o compromisso da ANPD com a transparência e a promoção de uma cultura de proteção de dados pessoais no país. A estratégia visa garantir que informações sobre normas e políticas públicas sejam acessíveis a todos, reforçando o papel da ANPD como uma entidade promotora de direitos.