Realização Apoio

Fonte: [Link]
Declaração Universal dos Direitos Humanos

Artigo 12
Ninguém será sujeito à interferência na sua
vida privada, na sua família, no seu lar ou na
sua correspondência, nem a ataque à sua
honra e reputação. Todo ser humano tem
direito à proteção da lei contra tais
interferências ou ataques.
Lei do Land alemão de Hesse (1970) Data Legen 289 (1973) Constituição Portuguesa (1976) Informatique et Libertées (1978)
Acesso e tratamento de dados pessoais E a primeira autoridade pública

OECD Guidelines on the Protection of Privacy

and Transborder Flows of Personal Data (1980)

• Convenção Europeia dos Direitos do Homem de 1953

• Convenção 108 (1981)
• Diretiva 95/46 (1995)
• Regulamento Geral de Proteção de Dados – GDPR (2016)
 Um teste de personalidade
(inofensivo): criou perfis psicométricos
(traços de personalidade, estilos
comportamentais, habilidades
cognitivas). Pessoas mais manipuláveis
e vulneráveis.

• A legítima expectativa do titular dos

dados foi frustrada
• Uso não autorizado de dados
• Uso indevido dos dados
• A ausência de regras claras
• A falta de uma autoridade pública
RISCO PARA A ECONOMIA MUNDIAL? O FÓRUM ECONÔMICO MUNDIAL RESPONDE:

Guerra comercial entre

potências
91
Erosão de acordos
multilaterais
88
Confronto políticos entre
potências
85
Ciberataques: roubo de
dados / dinheiro
82
Ciberataques: interrupção
das operações
80
Perda de privacidade
(para empresas)
63
0 20 40 60 80 100

Perspectivas de risco a curto prazo – Fórum Econômico Mundial de

2019 Percentual
Fonte: [Link]
DATA POLLUTION
 QUAL É O APETITE DE RISCO DA EMPRESA?

Vazamentos, falhas na segurança e até mesmo quanto à transparência no tratamento de

IMPACTO NA IMAGEM dados pessoais dos consumidores impactam na imagem da empresa perante o público e no
valor de mercado

Multas podem chegar até 2% do faturamento anual global limitada a R$

IMPACTO FINANCEIRO 50.000.000,00 por evento/incidente.

A Autoridade ou outras entidades de controle poderão suspender ou proibir a

IMPACTO NA OPERAÇÃO
operação/atividade da empresa. Bloquear banco de dados e excluir dados.

As empresas poderão sofrer ações judiciais

IMPACTO JURÍDICO movidas por titulares de dados, ONGs,
entidades de classe, Ministério Público.
[Link] tecnologia/ noticias /redacao/2019/01/21/ google-e-multado-na-franca-por-violar-de-dados-pess oais .htm

IMPACTO FINANCEIRO: ACORDOS, MULTAS E CONDENAÇÕES IMPACTAM NO ORÇAMENTO

IMPACTO NA IMAGEM: REPUTAÇÃO DA EMPRESA PERANTE O PÚBLICO E O VALOR DE MERCADO
IMPACTO JURÍDICO: DEMANDAS INDENIZATÓRIAS, PENALIDADES ADMINISTRATIVAS, MEDIDAS JUDICIAIS, ETC.
AS LEIS DE PROTEÇÃO DE DADOS E PRIVACIDADE NO MUNDO
 CONTEXTO LEGISLATIVO PRÉ-LGPD
• Resolução CFM Nº 1.821/07: Dispõe sobre prontuário eletrônico e pro. de
• Código Penal (Decreto-Lei 2.848/1940): arts. 153, §1-A, 154-A e 313-A; dados médicos;
• Decreto 6.029/2007: Institui Sistema de Gestão da Ética do Poder Executivo
• Dispõe sobre a Política Nacional de Informática (Lei 7.232/84): art. 2º, VIII;
Federal, e dá outras providências;
• Constituição Federal de 1988: art. 5º, inciso X; • Decreto 6.135/2007: Dispõe sobre o Cadastro Único para Programas Sociais do
Governo Federal;
• Código de Defesa do Consumidor (Lei 8.078/90); • Decreto 6.523/2008: Regulamenta o serviço de SAC;
• Lei 8.443/92: Lei Orgânica do TCU (art. 86, IV); • Lei 12.414/2011: Disciplinou o cadastro positivo e certos aspectos sobre
• Lei Complementar 75/93: Organização, atribuições... do MPU (art. 8º, VIII); proteção de dados pessoais no ambiente creditício;
• Lei de Interceptação Telefônica, Telemática e Informática (Lei 9.296/96); • Lei de Acesso à Informação (Lei 12.527/2011): art. 4º IV e art.
• Lei Geral de Telecomunicações (Lei 9.472/97): art. 3º, IX; 31;
• Lei 9.504/97: Estabelece normas para as eleições; • Lei Carolina Dieckmann (Lei 12.737/2012): Crime de invasão de dispositivos
• Lei 9.507/97: Habeas Data; informáticos;
• Lei 9.983/2000: Crime de inserção de dados falsos em sistemas de • Decreto 7962/2013: Regulamentou comércio eletrônico;
informações da administração pública; • Lei Anticorrupção (Lei 12.846/2013);
• Decreto 3.505/2000: Política de Segurança da Informação da • Marco Civil da Internet (Lei 12.965/2014): art. 3º, incisos
Administração Pública Federal;
II e III;
• Lei Complementar 105/2001: Sigilo das operações de instituições
financeiras; • Decreto 8.771/2016: Regulamentou o Marco Civil da
• Novo Código Civil (Lei 10.406/2002); Internet;
• Portaria nº 5/2002 da SDE/MJ: Tornou abusiva cláusulas em contratos de • Decreto 8.777/2016: Institui a Política de Dados Abertos do Poder Executivo
consumo que autorizam o envio de dados pessoais sem o consentimento federal.
prévio;
• Reforma Trabalhista (Lei 13.467/2017): arts. 75-A, 75-B, 75-C, 75-D e 75-E.
• Lei 10.703/2003: Dispõe sobre o cadastramento de usuários de telefones • Resolução 4.658/2018 do BACEN: Dispõe sobre a política de segurança
celulares pré-pagos e dá outras providências;
cibernética e processamento de dados
 Gerenciamento de Produtos Serviços e Logística

Desenvolvimento de Software Marketing/CRM

Titular dos Dados

Segurança da Informação
Jurídico

Tecnologia e UX
Atendimento
Exemplos de áreas da
empresa afetadas pela
Recursos Humanos
LGPD
 MAS, AFINAL...

O QUE É DADO PESSOAL?

 CONCEITOS CHAVES: DADOS PESSOAIS

Ativo importante para a atividade empresarial, social e

pessoal, bem como para a concretização de políticas
públicas e desenvolvimento econômico global.

Art. 5º Para os fins desta Lei, considera-se:

I - dado pessoal: informação relacionada a pessoa
natural identificada ou identificável;

A LGPD não atinge documentos confidenciais, segredos

de negócios, direitos autorais ou propriedade
intelectual.
 CONCEITOS CHAVES: DADOS PESSOAIS SENSÍVEIS

Origem racional ou étnica Opinião política

Alguns pontos:
• Implicar riscos e vulnerabilidades mais gravosas aos
direitos e liberdades fundamentais;
Convicção religiosa Organização rel., filos. ou pol.
• Dever haver um cuidado maior e muita precisão quando
houver tratamento em larga escala para não misturá-los
Filiação a sindicato Dado genético
com os demais;
• As bases legais são limitadas;
• Não há base legal para o tratamento por legítimo
Dado biométrico Dado referente à saúde
interesse, proteção ao crédito, bem como execução de
contratos.

Dado referente à vida sexual Orientação sexual

 CONCEITOS IMPORTANTES

Titular (art. 5º, V): pessoa natural a quem Agentes de tratamento (art. 5º, IX): o
se referem os dados pessoais que são controlador e o operador.
objeto de tratamento.

Controlador (art. 5º, VI): pessoa natural Eliminação (art. 5º, XIV): exclusão de dado ou de
ou jurídica, de direito público ou privado, conjunto de dados armazenados em banco de
a quem competem as decisões referentes dados, independentemente do procedimento
ao tratamento de dados pessoais. empregado.

Tratamento: toda operação realizada com dados

Operador (art. 5º, VII): pessoa natural ou pessoais, como as que se referem a coleta,
jurídica, de direito público ou privado, produção, recepção, classificação, utilização,
que realiza o tratamento de dados acesso, reprodução, transmissão, distribuição,
pessoais em nome do controlador. processamento, arquivamento, armazenamento,
eliminação, avaliação ou controle da informação,
modificação, comunicação, transferência, difusão
ou extração.
ALÉM DA BOA-FÉ, AS ATIVIDADES DE TRATAMENTO DE DADOS PESSOAIS DEVERÃO OBSERVAR OS 10 PRINCÍPIOS:

SEGURANÇA NECESSIDADE
Medidas técnicas e administrativas aptas a Limitação do tratamento ao mínimo necessário
proteger os dados pessoais para a realização de suas finalidades
LIVRE ACESSO PREVENÇÃO
Consulta facilitada e gratuita à integralidade Adoção de medidas para prevenir a ocorrência
dos dados e sobre a forma e duração do de danos
tratamento
TRANSPARÊNCIA FINALIDADE
Informações claras e precisas sobre a Propósitos legítimos, específicos, explícitos e
realização do tratamento informados

ADEQUAÇÃO NÃO DISCRIMINAÇÃO

Compatibilidade do tratamento com as impossibilidade de realização do tratamento para
informadas ao titular fins discriminatórios ilícitos ou abusivos

QUALIDADE DOS DADOS RESPONSABILIZAÇÃO E PRESTAÇÃO DE CONTAS

Exatidão, clareza, relevância e atualização dos Demonstração de adoção de medidas eficazes ao
dados, de acordo com a necessidade cumprimento das normas de proteção
 ALGUNS DIREITOS DO TITULAR (ART. 18)

Confirmação da existência de tratamento

Acesso aos dados

Correção de dados incompletos

Anonimização, bloqueio ou eliminação de dados desnecessários

Portabilidade dos dados a outro fornecedor

Eliminação dos dados (consentimento)

Informação sobre a possibilidade de não fornecer consentimento

Revogação do consentimento

Reclamação à ANDP

Oposição ao tratamento quando irregular

 HIPÓTESES LEGAIS (TAXATIVAS) – BASES LEGAIS QUE LEGITIMAM O TRATAMENTO

Cumprimento de Obrigação Legal Exercício Regular de Direitos em Processo

Determinação legal (lei federal, estadual ou municipal) Possibilidade para o tratamento considerando o exercício de direitos
Demais normas (decretos, etc.) em processos em geral (judiciais, administrativos ou arbitrais.

Execução de Políticas Públicas Proteção da Vida e Tutela da Saúde

Questões que ponham em risco a vida ou a integridade física.
Atividade pela administração pública em prol de
Tratamento para fins específico de tutela da saúde.
demandas da sociedade (saúde, educação, entre outros).

Estudos por Órgão de Pesquisa Proteção do Crédito

Entidade pública ou privada para pesquisas de caráter Informações sobre adimplência e inadimplência para fins de
histórica, tecnológico ou estatístico. concessão de créditos.

Execução de Contrato Interesses Legítimos do Controlador

Tratamento necessário para a execução de obrigações Para finalidades legítimas (explícitas e informadas) a partir
contratualmente firmadas (inclusive preliminares) havendo de situações concretas que incluem apoio e promoção de
pedido do titular. atividades do controlador e proteção do exercício regular
de seus direitos ou prestação de serviços.
 “HIPERTROFIA DO CONSENTIMENTO”: A BASE MAIS SEGURA?

Consentimento: manifestação livre, informada e inequívoca pela qual o

titular concorda com o tratamento de seus dados pessoais para uma
finalidade determinada.

Sujeita à revogação Granularidade: não é

Se houver mudanças de
intempestiva = por válido o formato “tudo
finalidade = novo
procedimento gratuito e ou nada” = autorizações
consentimento;
facilitado; genérica serão nulas;

Ônus da prova
Se foi por escrito deverá
(evidência da
constar de cláusula
obtenção): obtenção
destacada das demais
por escrito ou outro
cláusulas contratuais.
meio;
 BASES LEGAIS MAIS UTILIZADAS

Exercício
7%

Consentimento
8%

Interesse
34%

Obrigação
18%

Contrato
33%

Interesse Contrato Obrigação Consentimento Exercício Outros

Fonte: Opice Blum
ENCARREGADO – DPO CHIEF PRIVACY OFFICER
Vs.
DATA PROTECTION OFFICER

Nível estratégico e tático. Autonomia técnica. A identidade e

informações do contato do DPO serão públicas.

Job description:
1) Políticas, normas e procedimentos;
2) Cultura de proteção de dados e privacidade;
3) Comitês de proteção de dados e demais departamentos;
4) Recomendar salvaguardas;
5) Monitorar a conformidade;
6) Investigação de incidentes;
7) Recomendar a realização do RIPD;
8) Assessorar na emissão do RIPD.
COMEÇANDO O COMPLIANCE (ADEQUAÇÃO À LGDP) - EXTRATERRITORIALIDADE

Sim A empresa trata dados pessoais? Não

A empresa está
A empresa em país onde a
estabelecida no Não
LGDP se aplica (tratados)?
Brasil?

Sim Não

A empresa oferece bens

Sim e serviços ao mercado
consumidor brasileiro?
Sim Não
A empresa coleta e trata
Sim dados de pessoas
localizadas no Brasil?

Não

A empresa está A empresa não está

sujeita à LGDP sujeita à LGDP
COMEÇANDO O COMPLIANCE – DEVER (ART. 46) E PODER (ART. 50)

Medidas de segurança: técnicas (TI) e administrativas

(gerencial/jurídica) aptas a proteger os dados pessoais
• Acessos não autorizados;
• Situações acidentais ou ilícitas;
• Tratamento inadequado ou ilícito.

Boa governança: Mecanismos internos de supervisão e

de mitigação de riscos, além de demonstrar a efetividade
• Programa que demonstre comprometimento,
aplicável e adaptado à estrutura e do setor
econômico;
• Políticas e salvaguardas com base nos impactos e
riscos avaliados;
• Plano de respostas a incidentes e remediação.
 ASPECTOS RELEVANTES: JURÍDICO / LEGAL BASE x FINALIDADE / SETOR ECONÔMICO

Finalidade/Base Legal? Setor Particularidades

Minutas de contratos com clientes • Campanhas Bancos Alto volume/troca de dados com
coligadas
• Newsletter
Minutas de contratos com parceiros • Convites Varejo Troca lojas físicas, franquias e e-
• Cobranças commerce
Minutas de contratos com • Avaliação de crédito
fornecedores de tecnologia e dados • Disparadores (push) Tecnologia Ecossistema de startups
compartilhando
• Mídias sociais
Políticas • Dados de cookies Saúde Dados de saúde para segmentar
• Currículos marketing dados sensíveis
Gestão do compliance com • Folha
terceiros
• Benefícios
POLÍTICAS ELABORADAS EM CONJUNTO (LEGAL, SI, TI, GEST.)

• Política de Segurança da Informação;

• Termos de Uso;
• Política de Classificação de Informações/Bases
Legais;
• Política de Coleta de Dados com
Consentimento;
• Política de Bring Your Own Device (BYOD);
• Política de Acesso Remoto;
• Política de Transferência Internacional de
Dados;
• Política de Segurança de Documentos Físicos;
• Política de Incidentes Cibernéticos;
• Política de Privacidade e Proteção de Dados;
 CICLO E ALGUNS ELEMENTOS DA POLÍTICA DE PRIVACIDADE E PROTEÇÃO DE DADOS

Seção 1
Coleta Armazenamento
• Responsável
• Tipos de dados tratados
• Finalidade
• Base legal dos dados
• Compartilhamento de dados pessoais
Utilização pelo
Processamento,
marketing ou
seleção e análise
relacionamento
Seção 2
• Profiling, segmentação, decisões automatizadas
• Uso cookies
• Dados de crianças e adolescentes
• DPO
• Tempo de retenção
Compartilhamento com
fornecedores/parceiros Eliminação • Segurança da informação
 COMEÇANDO A ADEQUAÇÃO: INVENTÁRIO
Segurança da Informação
Volume de dados
Finalidade
Inventário Questões legais - Formas de coleta (clientes,
atrelada
O QUÊ? prospects)
QUANDO? Tempo

Tipificar
Classificação - Local de
Origem Legal base Responsabilidade
cadastral, sensível armazenamento

POR QUÊ?
S.I. - proteção,
QUEM?
Criptografia e Responsabilidade Sistemas,
Necessidade
disponibilidade, Compra de dados Compartilhamento
anonimização aplicações, banco
incidentes

ONDE? Local Atendimento aos Tratamento e Proteção

Segmentação COMO?
direitos
 SUSPENSÃO DO SCORE
BANCO DE
DADOS POR MULTA SIMPLES
BLOQUEIO DOS PRIVACY BY
ATÉ 6 MESES (ATÉ 2% DO ADVERTÊNCIA REGITROS
PROIBIÇÃO DADOS RIPD
FATURAMENTO DESIGN
PARCIAL OU
SUSPENSÃO DAS POLÍTICAS DPMS
TOTAL
PARCIAL OU
ELIMINAÇÃO
– MÁX. R$ 50
MILHÕES) PUBLICIZAÇÃO ATIVIDADES DPIA
DOS DADOS HOMOLOG
TOTAL DA
ATIVIDADE POR MULTA DIÁRIA
ATÉ 6 MESES CONTRATOS

GRAVIDADE ACCOUNTABLE
 COMO SE COMPORTARÁ A AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS?
Difundir normas e políticas públicas de proteção
Zelar pela proteção de dados pessoais
de dados

Editar normas e procedimentos sobre proteção de Estimular a adoção de padrões para serviços e
dados pessoais produtos
Deliberar administrativamente sobre a Elaborar estudos sobre práticas de proteção de
interpretação da LGDP dados

Promover cooperação internacional em proteção

Requisitar informações de agentes de tratamento
de dados
Instituir mecanismos de reclamações sobre
Apreciar petições de titular contra controlador
tratamento ilícito
Órgão da administração
pública federal Ouvir entidades ou órgãos públicos antes de
Fiscalizar e aplicações sanções nos termos da lei Presidência (2 anos) editar resoluções

Comunicar as autoridades sobre infrações penais Articular-se com demais autoridades reguladoras
que tiver conhecimento de setores específicos (ex: Bacen, agências)

Realizar auditorias ou determinar a sua realização Elaborar relatórios de gestão anuais

 SANÇÕES: O QUE AUTORIDADE DEVERÁ LEVAR EM CONSIDERAÇÃO?

Reincidência Pronta adição de medidas corretivas Grau do dano causado

Boa-fé Mecanismos de proteção dados Gravidade
Condição econômica Procedimentos internos Vantagem obtida
Proporcionalidade Políticas de boas práticas
Governança
Cooperação do infrator
 OCORRÊNCIA DE INCIDENTE COM OS DADOS PESSOAIS
Na ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares o
controlador deverá comunicar a Autoridade Nacional de Proteção de Dados.

A comunicação será feita em prazo definido pela ANPD e deverá conter:

I - a descrição da natureza dos dados IV - os riscos relacionados ao

pessoais afetados; incidente;

II - as informações sobre os titulares V - os motivos da demora, no caso de

envolvidos; a comunicação não ter sido imediata;

III - a indicação das medidas técnicas e VI - as medidas que foram ou que

de segurança utilizadas para a serão adotadas para reverter ou
proteção dos dados, observados os mitigar os efeitos do prejuízo.
segredos comercial e industrial;
 REVISÃO FINAL – PONTOS RELEVANTES EM BUSCA DA ADEQUAÇÃO

1. Verificação final do nível 1. Awarness, Data Mapping e Inventário de Dados;

de conformidade da empresa 2. Análise das Bases Legais;
com LGPD; 3. Gap Analysis e Plano de ação;
2. Levantamento das 4. Cultura de Registro de Atividades de Tratamento e Dados;
Atividades de Tratamento 5. Data Protection Impact Assessment (DPIA) – Relatório de Impacto;
6. Programa de Governança em Proteção de Dados;
Registradas durante o processo
7. Cultura de Privacy by Design e Privacy by Default;
de conformidade; 8. Resposta a Incidentes de Segurança da Informação;
3. Identificação de GAPS 9. Elaboração/revisão de documentos e contratos;
remanescentes; 10. Garantia do exercício dos Direitos dos Titulares;
4. Ajustes finais para 11. Estruturação do cargo de Encarregado (DPO);
corrigir eventuais GAPS. 12. Revisão final da implementação e correção de gaps remanescentes.