Sumário

Introdução LGPD - Direitos do Titular

O que é privacidade?........................................................................... 3 Quais são os direitos do titular?.................................................... 12
O que é Proteção de Dados Pessoais?..................................... 3 O que é autodeterminação?........................................................... 13
O que é Segurança da Informação? ......................................... 4 Dessa forma, um titular pode impedir que o Governo de
Sergipe trate seus dados?........=..........................................................
Como os dados pessoais são tratados atualmente?......... 4
Porém, se o tratamento for baseado em
LGPD - Aspectos Gerais da Lei consentimento,o titular dos dados pode interromper
o tratamento?.......................................................................................... 13
O que é LGPD? .................................................................................................... 5
O que é livre acesso?........................................................................................ 13
Quem é quem na LGPD? .............................................................................. 6
Uma empresa poderá, sem prejuízo, recusar-se a prestar
As demais legislações continuarão a ter validade com atendimento caso o consumidor não queira consentir,
a entrada da LGPD? ........................................................................................ 6 mesmo quando a finalidade for explicada?........................................ 13
O que é tratamento de dados para a LGPD?.................................... 6 O que é portabilidade dos dados?........................................................... 13
A lei se aplica apenas para empresas de dados? ........................... 6
O que é dado pessoal? ................................................................................... 6 Regulamentação da LGPD
O que é dado pessoal sensível?.................................................................. 6 O que é ANPD?................................................................................................... 14

O que é dado pessoal? ................................................................................... 6 Quais sanções podem ser aplicadas em caso de
descumprimento da LGPD?......................................................................... 14
Quem está sujeito à LGPD?.......................................................................... 6
Essas sanções já são predefinidas? ........................................................ 14
Quem irá regulamentar? ................................................................................ 6
O que é publicização?...................................................................................... 15
Qual é a diferença entre controlador e operador? ......................... 7
O que é responsabilidade solidária?........................................................ 15
Quem é o Encarregado de Dados? ......................................................... 7

Quais as principais atividades do Encarregado de Dados?........ 7

Segurança dos Dados Pessoais
Em quais hipóteses os dados pessoais podem ser tratados?..... 7
Sempre que tratar um dado pessoal, devo ter uma base O que é incidente de privacidade?........................................................... 15
legal?............................................................................................................................ 8 Quais as melhores práticas para evitar um incidente?................. 15
Só posso tratar o dado pessoal se tiver consentimento O que é política de mesa limpa?............................................................... 15
do titular? ................................................................................................................. 8
Quais tecnologias auxiliam a segurança dos dados?.................... 15
Como existe a base legal de proteção ao crédito, o Governo de
Sergipe e os mais GBD estão isentos da LGPD?........................ 8 O que deve ser feito para garantir a segurança?............................ 16
O que é GBD (gestor de banco de dados)?........................................ 8 O que não deve ser feito para garantir a seguraça?..................... 16
O que é Cadastro Positivo?............................................................................ 8

Qual a diferença do Cadastro Positivo com a LGPD?.................. 8

Quais são os princípios que devem ser seguidos para
utilização e tratamento dos dados pessoais do titular e
como o Governo de Sergipe agirá?.......................................................... 8

Qual a diferença entre as bases legais (hipóteses) e os

princípios da lei?.................................................................................................... 9
O que é Privacy by Defaulte Privacy by Design?............................ 11
Quais são os pilares do Privacy by Design?....................................... 11
Introdução
O que é privacidade?

É o direito que temos de reserva de informações pes-

soais e da própria vida pessoal. Na legislação brasi-
leira (Constituição Federal), o direito à privacidade é
garantido no art. 5.º:

Art.5.º .Todos são iguais perante a lei, sem distinção

de qualquer natureza, garantindo-se aos brasileiro se
aos estrangeiros residentes no País a inviolabilidade
do direito à vida, à liberdade, à igualdade, à seguran-
ça e à propriedade, nos termos seguintes:

X - são invioláveis a intimidade, a vida privada, a hon-

ra e a imagem das pessoas, assegurado o direito a
indenização pelo dano material ou moral decorrente
de sua violação.”

A privacidade também é considerada um direito uni-

versal e está garantida no art. 12 da Declaração Uni-
versal dos Direitos Humanos:

“Ninguém será objeto de ingerências arbitrárias em

sua vida privada, sua família, seu domicílio ou sua
correspondência, nem de ataques à sua honra ou à
sua reputaçã[Link] pessoa tem direito à proteção
da lei contra tais ingerências ou ataques.”

O que é Proteção de Dados Pessoais?

Significa garantir que os dados pessoais sejam usa-

dos apenas para finalidades legítimas, específicas,
explícitas e informadas ao titular, fundamentadas em
uma ou mais bases legais da LGPD assegurando que
os dados pessoais não sejam usados para fins discri-
minatórios, ilícitos ou diferentes dos acordados.

03
 O que é Segurança da Informação?

É um conjunto de medidas necessárias para garantir

que sejam preservadas a confidencialidade, a inte-
gridade e a disponibilidade das informações de uma
organização ou indivíduo de forma a preservar essa
informação de acordo com necessidades específi-
cas. O principal objetivo da Segurança da Informa-
ção é proteger os dados e não somente os ativos
físicos e tecnológicos por onde passam ou estão ar-
mazenados.
Dentro das organizações em geral, existe uma área
responsável pela Segurança da Informação que deve
garantir acesso seguro e autorizado às informações e
também garantir a privacidade dos dados.

Como os dados pessoais são tratados

atualmente?

Atualmente, os dados devem ser tratados de acordo

com as diretrizes da LGPD. Recomendamos muita
atenção ao acessar “joguinhos”. Veja bem as políti-
cas de uso, leia e só concorde se estiver ciente do
que está sendo coletado e para qual finalidade serão
usados seus dados.
LGPD

Aspectos Gerais da Lei

O que é LGPD?

A Lei Geral de Proteção de Dados Pessoais (Lei

13.709/2018 e suas posteriores alterações), chamada de
LGPD, regulamenta o uso de dados pessoais de pessoas
físicas (ou pessoas naturais) no Brasil, estabelecendo re-
gras sobre o tratamento desses dados, nos meios físicos
e [Link]ão sujeitas a cumprimento da lei a pessoa
natural (qualquer cidadão) ou a pessoa jurídica (empresa)
de direito público ou privado. O objetivo da LGPD é pro-
teger os direitos fundamentais de liberdade e privacidade
e o livre desenvolvimento da personalidade das pessoas
naturais.

De maneira geral, a lei foi criada para regulamentar a pri-

vacidade das pessoas em operações de tratamento de
dados pessoais, dando ao titular dos dados mais contro-
le e possibilidade de saber de forma transparente como
são usados seus dados nas operações de tratamento de
dados pessoais, possibilitando que ele possa exercer os
direitos previstos na LGPD.

As empresas e pessoas físicas que usam os dados pesso-

ais dos titulares para fins de oferta ou fornecimento de
bens ou serviços precisam ser transparentes a respeito da
finalidade do uso, armazenamento e consumo dos dados
utilizados.
Quem é quem na LGPD? O que é dado pessoal?

É toda informação que identifica ou que possa tornar iden-

Titular de dados: o “dono” dos dados. Exemplo: você é o
tificável uma pessoa. Por exemplo, nome, CPF, RG, ende-
titular do número do seu telefone, endereço, e-mail, etc.
reço, telefone, e-mail.

Controlador: pessoa ou empresa que toma decisões sobre

o tratamento de dados pessoais. O que é dado pessoal sensível?

Operador: pessoa ou empresa, de direito público ou priva- Segundo a LGPD, considera-se dado sensível dado pes-
do, que realiza o tratamento de dados pessoais em nome soal sobre origem racial ou étnica, convicção religiosa, opi-
do controlador. nião política, filiação a sindicato ou a organização de cará-
ter religioso, filosófico ou político, dado referente à saúde
Agentes de tratamento: pessoa ou empresa que é contro- ou à vida sexual, dado genético ou biométrico.
lador e operador ao mesmo tempo.

Quem está sujeito à LGPD?

As demais legislações continuarão a ter
validade com a entrada da LGPD?
As novas regras afetam todos os setores da economia, in-
Sim, as demais legislações continuam em vigência,a LGPD clusive as relações entre clientes e fornecedores de pro-
não revogou nenhuma. Dessa forma, as legislações terão dutos e serviços, empregado e empregador, e outras re-
de conviver em harmonia e serão trabalhadas em conjun- lações nas quais dados pessoais são coletados, tanto no
to. O art.64 traz isso de forma clara. ambiente digital quanto fora dele.

Podemos destacar como um exemplo clássico de que as Em resumo, todas as operações de tratamento realizadas
leis devem conviver em harmonia o disposto no art.7.º,X, por pessoas físicas ou jurídicas (públicas ou privadas) es-
da LGPD,em que se estabelece como base legal para tra- tão sujeitas à LGPD, mesmo que os dados não estejam
tamento de dados pessoais a proteção do crédito com a localizados no País. Se os dados pessoais tiverem sido co-
citação expressa de que deve ser observado o disposto na letados no Brasil ou o tratamento for realizado aqui ou
legislação pertinente. Portanto, quando se fala da prote- com objetivo de fornecer serviços em território nacional ou
ção ao crédito, devemos aplicar as disposições do Códi- para quem esteja no País, estão sujeitos à LGPD.
go de Defesa do Consumidor, que em seu art.43 tratados
bancos de dados, e a Lei 12.414/2011, alterada pela Lei É importante verificar a aplicabilidade no artigo 3.º da
Complementar 166/2019, regulamentada pelo Decreto LGPD. O art.4.º traz as hipóteses em que não se aplica
9.936/2019, que regula o Cadastro Positivo e estabelece a LGPD.
as regras relativas aos bancos de dados.

Quem irá regulamentar?

O que é tratamento de dados para a
A Autoridade Nacional de Proteção de Dados (ANPD), ór-
LGPD? gão da administração pública federal integrante da Presi-
É toda operação realizada com dados pessoais, como as dência da República, irá regulamentar a LGPD.
que se referem à coleta, produção, recepção, classificação,
utilização, acesso, reprodução, transmissão, distribuição,
processamento, arquivamento, armazenamento, elimina-
ção, avaliação ou controle da informação, modificação,
comunicação, transferência, difusão ou extração. Em resu-
mo, encostou no dado, está tratando o dado.

A lei se aplica apenas para empresas de

dados?
Não, a LGPD é para todos! Todo tratamento de dados
pessoais deve estar adequado e respeitar as determina-
ções da LGPD.
06
Qual é a diferença entre controlador e Em quais hipóteses os dados pessoais
operador? podem ser tratados?

Resumidamente, o controlador é um dos principais respon- A lei traz 10 hipóteses que autorizam o tratamento de da-
sáveis pelos dados pessoais, isto é, é quem toma as deci- dos pessoais com igual importância,a saber:
sões sobre os tratamentos daqueles dados. Já o operador
é quem atua sobre os dados, isto é, executa os tratamentos
dos dados pessoais de acordo com as definições do con- 1 Proteção do crédito, inclusive quanto ao disposto na
trolador. Em alguns processos, a mesma empresa ou pes- legislação pertinente.
soa pode executar os papéis de controlador e operador e,
com isso, tornar-se o agente de tratamento. Por exemplo, 2 Cumprimento de obrigação legal ou regulatória pelo
quando o controlador no Governo de Sergipe incrementa controlador.
as bases de dados escolhendo quais dados pessoais de-
vem existir na base, é controladora. Quando, um cliente
envia informações sobre negativações, o órgão do Governo 3 Quando necessário para a execução de contrato ou
de Sergipe é o operador, pois só irá executar a negativação de procedimentos preliminares relacionados a con-
em nome do cliente (controlador); mas a partir do momen- trato do qual seja parte o titular, a pedido do titular
to em que o órgão do Governo de Sergipe recebe os dados, dos dados.
integra-os aos seus bancos e fornece os serviços, passa a
ser controladora e operadora, o que a torna um agente de 4 Interesses legítimos do controlador ou de terceiros,
tratamento. para apoio e promoção de atividades do controlador
e, ao mesmo tempo, proteção, em relação ao titular,
do exercício regular de seus direitos ou prestação de
Quem é o Encarregado de Dados? serviços que o beneficiem, respeitados as legítimas
expectativas dele e os direitos e as liberdades funda-
mentais nos termos da LGPD.
É o encarregado pelo tratamento dos dados pessoais, é o
responsável pela proteção dos dados pessoais da empresa
e estará envolvido nas definições dos tratamentos de da- 5 Pela administração pública, para o tratamento e uso
dos pessoais. É o responsável por conscientizar a organiza- compartilhado de dados necessários à execução de
ção sobre proteção de dados pessoais e ser a ponte com a políticas públicas previstas em leis e regulamentos ou
ANPD, o órgão regulador da LGPD. respaldadas em contratos, convênios e outros.

6 Realização de estudos por órgão de pesquisa, garan-

tida, sempre que possível, a anonimização dos dados
Quais as principais atividades do Encar- pessoais.
regado de Dados?
7 Exercício regular de direitos em processo judicial, ad-
Auditar periodicamente as operações de tratamento de ministrativo ou arbitral.
dados.
8 Proteção da vida ou da incolumidade física do titular
Monitorar o comportamento e tráfego de informações ou de terceiros.
pessoais.

9 Tutela da saúde.
Atender às dúvidas dos titulares de dados.

Ser o ponto de contato com a ANPD. 10 Consentimento pelo titular.

Ter ciência e garantir conformidade nos tratamentos de

dados pessoais na empresa.

Orientar colaboradores quanto à gestão de privacidade

de dados.

07
 Sempre que tratar um dado pessoal, devo O que é Cadastro Positivo?
ter uma base legal?
Funciona como um boletim escolar que registra os paga-
Sim, todo e qualquer tratamento de dados pessoais deve mentos que você fez no seu histórico de crédito, transfor-
estar fundamentado ao menos em uma das 10 bases le- mando esse comportamento em nota (ou pontuação).
gais da LGPD. Nenhum dado pessoal pode ser tratado Por isso, permite uma análise mais justa na hora que você
sem que haja uma correta definição da base legal pelo pedir crédito, pois sua capacidade de pagamento também
departamento jurídico. Lembre-se, encostou no dado, está será considerada.
tratando o dado!

Qual a diferença do Cadastro Positivo

Só posso tratar o dado pessoal se tiver com a LGPD?
consentimento do titular?
São duas leis distintas e cada qual tem suas funções. A
O consentimento é só uma das 10 hipóteses da LGPD lei que regula o Cadastro Positivo disciplina a formação e
para tratamento dos dados pessoais. Não é mais impor- consulta a bancos de dados com informações de adim-
tante que nenhuma outra e nem possui hierarquia entre plemento, de pessoas naturais ou pessoas jurídicas, para
as bases legais definidas pela LGPD, podendo as bases formação de histórico de crédito. A LGPD regulamenta o
legais serem utilizadas individualmente ou em conjunto, tratamento de dados pessoais. As duas leis são comple-
conforme o caso. Lembrando que, ao utilizar o consenti- mentares, pois o Cadastro Positivo trata dados pessoais, e
mento, ele deve ser inequívoco e expresso, e ser definida a LGPD, em complementação à Lei do Cadastro Positivo,
sua finalidade. O titular dos dados deve desejar por sua regulamenta esse tratamento.
vontade a coleta e o tratamento dos seus dados que estão
sendo fornecidos. Um exemplo de consentimento inequí-
voco é quando você entra num site e este informa que, Quais são os princípios que devem ser
para prosseguir com a navegação, é necessário consentir seguidos para utilização e tratamento dos
com os Termos de Uso e o titular continua com a navega- dados pessoais do titular e como o Gover-
ção sabendo que, com isso, aceitou os termos colocados. no de Sergipe agirá?

A LGPD traz 10 princípios que precisam obrigatoriamente

Como existe a base legal de proteção ao ser observados para que os dados do titular possam ser
crédito, o Governo de Sergipe e os demais utilizados e tratados, e o Governo de Sergipe seguirá as
GBD estão isentos da LGPD? diretrizes, quais sejam:

Não. Todo tratamento deve ser fundamentado ao menos Finalidade: fará o tratamento dos dados pessoais dos titu-
em uma base legal da LGPD(e não apenas na base legal lares de dados para fins específicos, legítimos, explícitos e
da proteção do crédito). Todo cuidado e segurança devem informados. A finalidade deve estar dentro dos limites da lei
ser seguidos para garantir a proteção dos dados pessoais e expressamente clara para o titular dos dados.
e a privacidade do titular dos dados.
Adequação: o tratamento deve ser compatível com as fi-
nalidades que o Governo de Sergipe informou ao titular.
O que é GBD (gestor de banco de dados)?
Necessidade: o Governo de Sergipe deverá utilizar apenas
os dados pessoais do titular dos dados estritamente ne-
É uma definição contida na Lei 12.414/2011 e posteriores
cessários para alcançar as finalidades informadas a ele,
alterações, na qual, para fins de Cadastro Positivo, GBD
qualquer que seja a base legal aplicada ao tratamento.
é a pessoa jurídica que atende aos requisitos da referida
lei, sendo a responsável pela administração de bancos de
Livre acesso: a pessoa física titular dos dados tem o direito
dados com dados positivos, bem como pela coleta, pelo
de solicitar para o Governo de Sergipe consulta, de forma
armazenamento, pela análise e pelo acesso de terceiros
simples e gratuita, de todos os dados que a empresa de-
aos dados armazenados.
tenha a seu respeito.

08
Qualidade dos dados: deve ser garantido aos titulares de
dados que as informações que o Governo de Sergipe te-
nha sobre eles sejam verdadeiras e atualizadas. É neces-
sário ter atenção à exatidão, clareza e relevância dos da-
dos de acordo com a necessidade e a finalidade de seu
tratamento.

Transparência: todas as informações trafegadas por meio

do Governo de Sergipe, em todos os seus meios de comu-
nicação, devem ser claras, precisas e verdadeiras, obser-
vados os segredos comercial e industrial.

Segurança: o Governo de Sergipe deve apresentar garan-

tias técnicas e administrativas adequadas para garantir
a segurança dos dados pessoais, incluindo a proteção
contra seu tratamento não autorizado, ilícito, contra a sua
perda,destruição ou danificação acidental, adotando as
tecnologias adequadas.

Prevenção: o Governo de Sergipe atuar á de forma preven-

tiva e adotar á medidas para evitar a ocorrência de even-
tuais danos em virtude do tratamento de dados pessoais.

Não discriminação: os dados pessoais não serão utilizados

para discriminar ilicitamente ou promover abusos contra os
titulares de dados.

Responsabilização e prestação de contas: além da preocu-

pação em cumprir integralmente a legislação, o Governo
de Sergipe deverá ter provas e evidências de todas as me-
didas adotadas que demonstrem a boa-fé e a diligência.
 Qual a diferença entre as bases legais
(hipóteses) e os princípios da lei?

Todo tratamento de dados pessoais deve estar fun-

damentado ao menos em uma das 10 bases legais,
isto é, deve-se verificar qual base legal permite aquele
tratamento (proteção ao crédito, legítimo interesse,
consentimento, entre outras). Já os 10 princípios (por
exemplo, qualidade, livre acesso, finalidades) devem
ser seguidos integralmente em todos os tratamentos
de dados, norteando as decisões acerca do trata-
mento de dados pessoais.

Por exemplo, uma padaria pode fazer o cadastro dos

seus clientes optando pela base legal Consentimen-
to, fazendo com que cada cliente deva autorizar a
coleta dos seus dados. Porém, a padaria não deve
coletar todos os dados. Deve-se restringir aos da-
dos pessoais que façam sentido para um cadastro,
por exemplo. Então, nome, telefone e e-mail fazem
sentido,mas time de futebol e religião, não. Dessa
forma, esses últimos dados não devem ser coletados
atendendo aos princípios da adequação, finalidade
e necessidade. Já o princípio de segurança diz que
não se deve deixar os dados pessoais coletados em
um papel em cima do balcão, por exemplo. Então, a
empresa deverá ter mecanismos de segurança.

No mesmo exemplo, o princípio de qualidade prevê

que a padaria mantenha os dados pessoais sem-
pre atualizados. Cada princípio diz algo sobre esse
exemplo. E, dessa forma, toda vez que houver um
tratamento de dados pessoais, todos esses princípios
devem ser observados e atendidos. Então, pensou
em coletar dados pessoais, deve-se pensar em como
atender a todos os princípios e qual base legal fun-
damentará essa coleta. Da mesma forma, se for ven-
der um produto que trabalhe com dados pessoais
ou desenvolver um sistema ou qualquer outro evento
que envolva dados pessoais, deve-se atender a esses
princípios sempre relacionando-os a uma base legal.
E, com isso, pensar primeiro em privacidade.

10
 Privacidade incorporada ao projeto – Privacy by De-
O que é Privacy by Default e Privacy by
sign é inerente ao design e à arquitetura dos sistemas
Design? de TI e a todas as práticas de negócio. Não é cons-
truído como um add-on (aplicativo instalado ao lado
A primeira se refere à “cultura da privacidade”, a atitu- de um programa já existente para aumentar as suas
de que precisamos ter constantemente: sempre pen- funcionalidades). O resultado é que a privacidade se
sar primeiro na privacidade, principalmente, quando torna um componente essencial das funcionalidades
tratamos dados pessoais. principais a serem desenvolvidas. A privacidade deve
ser integral ao sistema sem diminuir funcionalidades.
Quando isso é aplicado aos nossos processos pro-
dutivos, entra a segunda, Privacy by Design, que sig- Funcionalidade total – “soma-positiva” em vez de
nifica aplicar esse raciocínio de proteção, desde a “soma-zero”: um jogo de soma-positiva é aquele em
cocepção até a execução dos produto se serviços, o que todos ganham, diferente do jogo de soma-zero,
que envolve todos nós, guardiões dos dados. no qual, para um ganhar, outro precisa perder. A me-
todologia de Privacy by Design busca a proteção dos
Um exemplo é quando um aplicativo perguntas e o dados aliada às funcionalidades sem serem neces-
usuário permite utilizar a localização. Os desenvolve- sárias negociações como privacidade versus segu-
dores pensaram na privacidade ao permitir a decisão rança, garantindo e demonstrando que ambas são
do usuário. Se ele permitir ou não, é uma escolha pró- possíveis.
pria. Mas ele tinha a opção.
Segurança de ponta a ponta – proteção durante todo
Na mesma linha, o celular vem com a opção de usar o ciclo de vida dos dados: Privacy by Design, sendo
segurança, como senha ou biometria, ou não usar intrínseca ao sistema, mesmo antes da primeira in-
nenhuma opção segura, mas a possibilidade existe e formação ser coletada, garante a segurança durante
a escolha é novamente do usuário. todo o ciclo de vida dos dados envolvidos. Medidas
robustas de segurança são essenciais à privacidade
do início ao fim.
Quais são os pilares do Privacy by Design?
Visibilidade e transparência – Privacy by Design visa
Existem sete pilares que auxiliam o entendimento do garantir que, independentemente dos negócios ou
Privacy by Design e, consequentemente, a sua utili- da tecnologia envolvidos, os tratamentos dos dados
zação. A saber: seguirão as premissas e os objetivos estabelecidos,
sujeitos a auditoria.
Ser proativo e não reativo – prevenir e não remediar:
a metodologia de Privacy by Design é caracterizada Respeito pela privacidade do usuário – solução cen-
por ser proativa e não reativa. Dessa forma, antecipa trada no usuário: este é um dos preceitos básicos do
e previne eventos de invasão de privacidade antes de Privacy by Design. Toda a arquitetura e operacionali-
acontecerem. Assim, não espera um risco de privaci- dade do sistema ou da prática de negócio devem ser
dade se materializar nem tenta remediar quando in- centradas na privacidade do usuário, pensando sem-
frações de privacidade acontecem. Essa abordagem pre na proteção completa dos seus dados pessoais.
é executada para prevenir que elas ocorram. Em re-
sumo, Privacy by Design acontece antes dos fatos,
não depois.

Privacy by Default – privacidade por padrão: Privacy

by Design busca oferecer o mais alto grau de priva-
cidade, garantindo que os dados pessoais estão au-
tomaticamente protegidos em qualquer sistema ou
prática de negócio. Se um indivíduo não fizer nenhu-
ma ação, sua privacidade permanece intacta. Ne-
nhuma ação é necessária por parte de um indivíduo
para proteger sua privacidade. Por padrão, o sistema
já é construído para garantir isso.

11
LGPD

Direitos do Titular
Quais são os direitos do titular?

Toda pessoa natural tem assegurada a titularidade de

seus dados pessoais e garantidos os direitos funda-
mentais de liberdade, intimidade e privacidade. Para
garantir todos esses pontos, a LGPD assegura alguns
direitos ao titular dos dados:

Acesso facilitado aos dados.

Correção ou atualização dos seus dados.

Anonimização, bloqueio ou eliminação dos seus

dados.

Eliminação de dados pessoais tratados com o con-

sentimento do titular, exceto nas hipóteses previs-
tas no art. 16 da LGPD.

Revogação do consentimento.

Informação sobre a possibilidade de não fornecer

consentimento e sobre as consequências da ne-
gativa.

Portabilidade dos dados.

Informação sobre a existência e finalidade espe-

cífica do tratamento dos dados, forma e duração,
assim como sobre o possível compartilhamento.
Oposição ao tratamento irregular e à reclamação
à autoridade.

Revisão dos tratamentos de dados baseados em

decisões automatizadas.
 Da mesma forma, como nem sempre um titular pode im-
O que é autodeterminação?
pedir um tratamento de dados, ele também não pode soli-
citar a exclusão e o bloqueio de dados pessoais protegidos
É um direito do titular dos dados assegurado pela LGPD
por alguma outra lei ou base legal da LGPD. Como exem-
em que se dá controle ao indivíduo sobre o armazena-
plo, temos os dados de negativação, que não são do titular,
mento e uso de informações a seu respeito, exceto em ca-
e sim do cliente (credor) que solicita esse tratamento.
sos em que a própria disponha de outra forma ou alguma
outra legislação permita o uso dos dados pessoais.
Uma empresa poderá, sempre juízo,
Dessa forma, um titular pode impedir que
recusar-se a prestar atendimento caso o
o Governo de Sergipe trate seus dados?
consumidor não queira consentir, mesmo
quando a finalidade for explicada?
Todo tratamento de dados pessoais deve ser fundamen-
tado em uma base legal e respeitar todos os princípios da Depende da situação. Se o consentimento for, por exem-
LGPD ou estar baseado em alguma outra lei vigente, ga- plo, para armazenamento de informações cadastrais que
rantindo dessa forma os direitos do titular. Se o tratamento visam garantir que o titular dos dados é quem diz ser, e o
seguir essas premissas, excetuando-se na hipótese de ser titular não consentir mesmo após a explicação, a empre-
baseado em consentimento, o Governo de Sergipe poderá sa poderá não atender à solicitação, pois não conseguirá
dar continuidade ao tratamento. Por exemplo, uma pessoa garantir a segurança do próprio titular (um impostor pode
que teve seu nome negativado exige que esse tratamento se passar por ele e não haverá registros desse fato). A lei
seja interrompido. Pela LGPD, esse titular dos dados está dá direitos ao titular, porém, tais direitos não se sobrepõem
exercendo o direito de oposição ao tratamento. Porém, a obrigações como essa em que a empresa tem de fazer
esse direito pode ser executado apenas para tratamentos a validação evitando que uma pessoas e passe por outra.
irregulares e abusivos e a negativação segue leis vigentes
e a base legal de proteção do crédito da LGPD. Dessa for-
ma, o titular dos dados não pode interferir no tratamento.
O que é portabilidade dos dados?
É o direito do titular de transferir seus dados para outro
controlador. Um exemplo é transferir os dados de saúde,
Porém, se o tratamento for baseado em
como resultados de exames, de um laboratório para outro.
consentimento, o titular dos dados pode
interromper o tratamento?
O que é revisão dos tratamentos de dados
Sim, a base legal de consentimento deixa a decisão so- baseados em decisões automatizadas?
bre a existência ou não do mesmo para o titular. O titular
dos dados tem o direito de consentir e revogar o consen- É quando uma empresa utiliza recursos de tecnologia (por
timento sempre que achar necessário. Quando de con- exemplo, inteligência artificial) para fazer o tratamento dos
sentimento, tem de ser expresso e inequívoco, isto é, em dados.
um web site e ele próprio deve marcar opção que aceita
os termos, que não pode já vir preenchida. Além disso,
o Termo de Consentimento deve ser bem explicado, de
fácil entendimento, descrevendo a finalidade de todos os
tratamentos a que o dado pessoal está sujeito, com quem
esses dados poderão ser compartilhados e qual a duração
do tratamento. Esse consentimento não pode ser condi-
cionado a nenhuma troca. Ele deve ser espontâneo. Da
mesma forma, sua revogação deve ser de fácil acesso.

O que é livre acesso?

É o direito do titular dos dados em saber quais dados pes-

soais uma empresa tem dele. Além disso, o titular pode
corrigir os dados errados e pedir para excluir ou bloquear
aqueles que acredita serem indevido sou abusivos e obter
informações sobre como seus dados pessoais são tratados.

13
Regulamentação
da LGPD
O que é ANPD?

A Autoridade Nacional de Proteção de Dados é o

órgão da administração pública federal, integran-
te da Presidência da República, que irá regula-
mentar a LGPD.

Quais sanções podem ser aplicadas

em caso de descumprimento da
LGPD?

Bloqueio do tratamento.

Eliminação dos dados.

Multa diária (mesmo teto).

Advertência.

Publicização da infração.

Multa (até 2% do faturamento) limitada, no total, a

R$50 MM (cinquenta milhões de reais) por infra-
ção.

Essas sanções já são predefinidas?

Não, o órgão regulador levará em consideração as

questões abaixo. Dessa forma, devemos sempre fazer
o melhor visando garantir segurança e privacidade dos
dados pessoais, inclusive documentando os processos
e as tecnologias utilizados, mostrando diligência.

Reincidência.

Medidas corretivas.

Condição econômica.

Proporcionalidade.

Proteção de dados.
Boas práticas e governança.

Cooperação do infrator.

Grau do dano/gravidade.

Vantagem obtida ou pretendida. 14

 O que é publicização? O que é responsabilidade solidária?
Significa dar publicidade ao Dentre as sanções legais que o descumprimento da LGPD
fato, isto é, obrigação de assu- pode trazer, há um ponto importante, que precisa ser res-
mir publicamente a responsabi- saltado: a responsabilidade e, portanto, a aplicação dessas
lidade pelo ocorrido. punições são, na maioria dos casos, compartilhadas entre
o controlador e o operador envolvidos.

Na LGPD, existe a “solidariedade”, o que quer dizer que os

controladores e operadores respondem pela responsabili-
dade sobre tratamento de dados pessoais que gere danos
ao titular (salvo nos casos de exclusão previstos na Lei).

Segurança dos Dados Pessoais

• Copiar somente as pessoas necessárias em
O que é incidente de privacidade?
e-mails.

É um incidente que fere a privacidade de uma • Certificar-se de que os endereços de e-mail es-
pessoa. Pode ser, por exemplo, acesso não auto- tão corretos.
rizado aos dados pessoais, incidentes ou ilícitos
que causem alteração, eliminação, divulgação • Conectar-se com frequência à VPN ou à rede da
dos dados pessoais, entre outros. Aqui é claro o empresa para atualizações sistêmicas.
exemplo que demos de que é necessária a au-
tenticação do usuário para que alguém não se
passe por outro. O que é política de mesa limpa?

É manter a área de trabalho, portanto, mesa e

Quais as melhores práticas para evi- tela do computador livres de informações que
tar um incidente? possam ser usadas de forma maliciosa ou até
ilícita. Dessa forma, minimizam-se os riscos de
• Pensar sempre em privacidade (Privacy by De- acesso não autorizado, exibição, perda ou alte-
fault e Privacy by Design). ração das informações quando não estivermos
atentos ao ambiente ou estivermos ausentes.
• Seguir as recomendações da empresa quanto às
senhas seguras.
Quais tecnologias auxiliam a segu-
• Não compartilhar senhas e jamais anotá-las;
principalmente, nunca as escrever em cadernos
rança dos dados?
ou post-its.
Além de seguir todas as melhores práticas para
• Encaminhar arquivos somente por meios seguros
evitar um incidente de privacidade, é importan-
homologados pela empresa.
te contar com a tecnologia para aumentar a se-
• Copiar somente as pessoas necessárias em gurança. Duas técnicas são muito importantes:
e-mails. criptografia e anonimização dos dados pessoais.

15
Os dados criptografados são aqueles submetidos a um • Se tiver dúvidas sobre a lei, pergunte às áreas do Ju-
processo que os torna ininteligíveis. As pessoas só conse- rídico ou de Privacidade.
guem ler dados criptografados com uma chave que os de-
codifica. • Verifique se o tratamento que está executando tem
validade jurídica e se está escrito em contrato.
A diferença para dados anonimizados é que estes não têm
a tal chave. A anonimização é irreversível e faz com que • Sem promessas, mais realidade. Traga o negócio
os dados não possam ser relacionados a uma pessoa. A para a realidade.
LGPD não considera os dados anonimizados como dados
pessoais. Portanto, dados anonimizados estão fora do es- • Sempre tenha contrato e só execute o que está nele.
copo da LGPD.
• Só faça ativações ou reativações se estiver em con-
trato.
O que deve ser feito para garantir a
segurança?
O que não deve ser feito para garantir a
segurança?
• Bloquear o computador ao se ausentar.
• Não clicar em links suspeitos.
• Bloquear o celular quando não estiver em uso.
• Não abrir e-mails ou anexos suspeitos.
• Trocar as senhas periodicamente.
• Não enviar e-mails corporativos para o e-mail pes-
soal
• Usar senhas complexas.
• Não usar o e-mail corporativo para fins pessoais.
• Usar senhas diferentes para contas diferentes.
• Não deixar contratos e documentos à vista.
• Não discutir assuntos confidenciais da companhia
em lugares públicos. • Não esquecer armários e gavetas abertos.

• Prestar atenção ao descartar informações. Se forem • Não compartilhar crachá de identificação nem usá-lo
restritas, confidenciais ou contiverem dados pessoais, para reservas de mesas em restaurantes, por exemplo.
devem ser descartadas de forma apropriada, como,
por exemplo, numa fragmentadora de papel. • Não fornecer informações confidenciais a desconhe-
cidos.
• Destruir as informações corretamente quando não • Não conversar assuntos da empresa em elevadores,
forem mais necessárias. restaurantes, nem trabalhar em locais públicos.

• Usar configurações de privacidade em mídia social • Não salvar senhas no navegador de Internet.
para restringir o acesso a informações pessoais.
• Não anotar senhas em arquivos ou papéis.
• Evitar usar redes públicas de wi-fi e nunca utilizar
quando estiver trabalhando. • Não compartilhar senhas.

• Não publicar informações privadas/confidenciais.

• Informar a Segurança da Informação quando ocorrer
algo suspeito. • Não instalar programas não autorizados no seu
computador de trabalho.
Pensar sempre primeiro em privacidade (Privacy by
Default e Privacy by Design), seja ao desenvolver um • Não inserir pendrives de origem desconhecida.
novo produto ou software ou criar um processo, por
• Não deixar dispositivos desacompanhados.
exemplo.
• Não deixar wi-fi ou Bluetooth ligados quando não es-
• Nunca ser abusivo. tiverem em uso.

16