Foto divulga\u00e7\u00e3o<\/p>\n
As empresas e \u00f3rg\u00e3os p\u00fablicos est\u00e3o se adequando corretamente \u00e0 LGPD? Todos os aspectos est\u00e3o sendo atendidos?<\/span><\/span> <\/b>A Lei Geral de Prote\u00e7\u00e3o de Dados pessoais \u2013 LGPD \u2013 n\u00ba 13.709, de 14 de agosto de 2018, concentrou mais de 60 outras cita\u00e7\u00f5es de leis com a finalidade de normatizar a propriedade e a responsabilidade sobre os dados pessoais, e estabelece\u00a0<\/span><\/span>multa de 2% do faturamento anual, limitada a R$50 Milh\u00f5es, por evento de infra\u00e7\u00e3o<\/span><\/span>. \u00a0<\/span><\/span> <\/b>Em 14 de agosto deste ano, a LGPD completou 6 anos que o ent\u00e3o presidente Temer, sancionou a LGPD e, desde 1\u00ba de agosto de 2021, j\u00e1 \u00e9 poss\u00edvel a aplica\u00e7\u00e3o de multas e sans\u00f5es. Mas, o que mudou at\u00e9 o momento? O que as empresas e os \u00f3rg\u00e3os do governo est\u00e3o fazendo para atenderem os requerimentos da Lei?<\/span><\/span> <\/b>A LGPD nasceu de uma necessidade global de regulamentar a prote\u00e7\u00e3o e o uso de dados pessoais. Embora houvesse outras dezenas de leis relativas \u00e0 Privacidade de Dados, o Brasil foi pressionado a ter uma lei espec\u00edfica devido ao requisito de bilateralidade exigida por leis com a General Data Protection Regulation \u2013 GDPR\u00a0 \u2013 na Europa, e pela necessidade de regulamentar o direito e intera\u00e7\u00e3o do Controlador com o Titular de Dados. A Lei define a pessoal natural, o cidad\u00e3o nacional, como sendo o Titular de Dados, o propriet\u00e1rio das informa\u00e7\u00f5es e lhe d\u00e1 autoridade para definir como as suas informa\u00e7\u00f5es ser\u00e3o utilizadas e para qual finalidade.<\/span><\/span><\/p>\n Para fins de tratamento de dados, a LGPD define duas categorias de dados: \u201c<\/span><\/span>Dados Pessoais<\/span><\/span>\u201d e \u201c<\/span><\/span>Dados Pessoais Sens\u00edveis<\/span><\/span>\u201d, onde \u201cDados Pessoais\u201d s\u00e3o \u2018<\/span><\/span>informa\u00e7\u00f5es relacionada a pessoa natural identificada ou identific\u00e1vel, s\u00e3o dados que identificam o Titular de Dados\u2019<\/i><\/span><\/span>\u00a0(Nome, CPF, endere\u00e7o, RG, etc\u2026)\u00a0 e \u201cDados Pessoais Sens\u00edveis\u201d s\u00e3o \u2018<\/span><\/span>dados pessoais sobre origem racial ou \u00e9tnica, convic\u00e7\u00e3o religiosa, opini\u00e3o pol\u00edtica, filia\u00e7\u00e3o a sindicato ou a organiza\u00e7\u00e3o de car\u00e1ter religioso, filos\u00f3fico ou pol\u00edtico, dado referente \u00e0 sa\u00fade ou \u00e0 vida sexual, dado gen\u00e9tico ou biom\u00e9trico, quando vinculado a uma pessoa natural\u2019<\/i><\/span><\/span>, ou seja, s\u00e3o os dados que qualificam o Titular de Dados. Dados financeiros, s\u00e3o foram inclu\u00eddos no escopo da Lei.<\/span><\/span><\/p>\n A LGPD tamb\u00e9m define como Controlador \u2018a\u00a0<\/span><\/span>pessoa natural ou jur\u00eddica, de direito p\u00fablico ou privado, a quem competem as decis\u00f5es referentes ao tratamento de dados pessoais\u2019,\u00a0<\/i><\/span><\/span>ou seja, todas as empresas, \u00f3rg\u00e3os ou reparti\u00e7\u00f5es p\u00fablicas est\u00e3o sujeitas \u00e0 Lei e podem ser consideradas Controladoras de dados pessoais.<\/span><\/span><\/p>\n Diversos incidentes de privacidade em \u00f3rg\u00e3os p\u00fablicos e privados j\u00e1 foram investigados e est\u00e3o em investiga\u00e7\u00e3o pela ANPD \u2013 Ag\u00eancia Nacional de Prote\u00e7\u00e3o de Dados, com multas e san\u00e7\u00f5es sendo aplicadas, no entanto, muitos ainda se limitam a acreditar que se trata apenas de problemas relacionados a processos e documenta\u00e7\u00f5es jur\u00eddicas, como a nomina\u00e7\u00e3o de um\u00a0<\/span><\/span>Encarregado de Dados<\/span><\/span>, chamado popularmente pelo termo em ingl\u00eas DPO \u2013 <\/span><\/span>Data Protection Officer<\/i><\/span><\/span>, ou relacionado ao uso indevido ou n\u00e3o autorizado as informa\u00e7\u00f5es. No entanto o que vemos aqui\u00a0\u00e9 uma\u00a0<\/span><\/span>vis\u00e3o m\u00edope<\/i><\/span><\/span>\u00a0e distorcida da realidade definida pela lei, pois as maiores viola\u00e7\u00f5es, as que ir\u00e3o ter o seu impacto elevado e consequentemente multas maiores s\u00e3o relativos aos vazamentos massivos de dados.<\/span><\/span><\/p>\n Principais motivos para aplica\u00e7\u00e3o de multas<\/b><\/span><\/span><\/p>\n San\u00e7\u00f5es pelo uso ilegal dos dados pessoais est\u00e3o diretamente relacionado ao processo de coleta, autoriza\u00e7\u00e3o e quebra dos princ\u00edpios b\u00e1sicos definidos pela lei, violando os direitos dos titulares de dados. No entanto, o comprometimento da integridade e do sigilo dos dados est\u00e1 diretamente relacionada\u00a0\u00e0s a\u00e7\u00f5es de hackers, que invadem e comprometem os sistemas, vazando as informa\u00e7\u00f5es de forma massiva e descontrolada, sendo a amplitude e o impacto muitas vezes incalcul\u00e1veis.<\/span><\/span><\/p>\n Em 24 de fevereiro de 2023, a ANPD publicou a Resolu\u00e7\u00e3o CD\/ANPD N\u00ba4, que estabelece os par\u00e2metros e os crit\u00e9rios para aplica\u00e7\u00e3o de san\u00e7\u00f5es administrativas, bem como as formas e a dosimetrias para o c\u00e1lculo do valor-base das san\u00e7\u00f5es de multa. Segundo os crit\u00e9rios da Dosimetria, a categoria dos dados afetados (<\/span><\/span>\u2018pessoal\u2019 ou \u2018pessoal sens\u00edvel\u2019)<\/i><\/span><\/span>, a quantidade de dados e titulares afetados, e a exist\u00eancia de medidas de preven\u00e7\u00e3o que comprovem a \u201c<\/span><\/span>boa f\u00e9\u201d\u00a0<\/i><\/span><\/span>\u00a0da organiza\u00e7\u00e3o em tomar medidas adequadas de prote\u00e7\u00e3o da informa\u00e7\u00e3o, s\u00e3o fatores determinantes no agravo ou n\u00e3o das penalidades.<\/span><\/span><\/p>\n Quando olhamos pelo aspecto processual e documental, os eventos possuem uma amplitude controlada, at\u00e9 mesmo quando s\u00e3o relativos ao uso ilegal de forma massiva. Portanto, quest\u00f5es relativas ao atendimento do Titular de Dados, nomea\u00e7\u00e3o do Encarregado de Dados, publica\u00e7\u00e3o de pol\u00edticas, aditivos contratuais e documentos de mapeamento de processos, s\u00e3o fatos que em sua aus\u00eancia geram eventos de baixa amplitude e impacto social, reduzindo o potencial valor da multa e san\u00e7\u00f5es a serem aplicadas. <\/span><\/span><\/p>\n Vis\u00e3o 360\u00b0 da Mindsec<\/b><\/span><\/span><\/p>\n Para se ter uma correta abordagem no processo de adequa\u00e7\u00e3o devemos considerar uma vis\u00e3o ampla que inclua de forma detalhada a prote\u00e7\u00e3o do ambiente tecnol\u00f3gico e o treinamento de colaboradores e servidores p\u00fablicos, sem deixar de lado as quest\u00f5es de ajustes processuais e legais. Desta forma a organiza\u00e7\u00e3o endere\u00e7ar\u00e1 o combate ao principal agente de amea\u00e7as ao mesmo tempo que demonstra \u201c<\/span><\/span>boa f\u00e9<\/i><\/span><\/span>\u201d e demonstrar\u00e1 o correto entendimento da Lei.<\/span><\/span><\/p>\n N\u00e3o por acaso, a LGPD cita diversas vezes, sobre a necessidade de garantir a seguran\u00e7a:<\/span><\/span><\/p>\n \u25cf Agentes de tratamento devem adotar medidas de seguran\u00e7a, t\u00e9cnicas e administrativas aptas a proteger os dados pessoais de acessos n\u00e3o autorizados e de situa\u00e7\u00f5es acidentais ou il\u00edcitas de destrui\u00e7\u00e3o, perda, altera\u00e7\u00e3o, comunica\u00e7\u00e3o ou qualquer forma de tratamento inadequado ou il\u00edcito. <\/i><\/span><\/span>– Cap\u00edtulo VII \u2013 Da Seguran\u00e7a e Boas Pr\u00e1ticas, Artigo 46 <\/span><\/span>\u25cf No ju\u00edzo de gravidade do incidente, ser\u00e1 avaliada eventual comprova\u00e7\u00e3o de que foram adotadas medidas t\u00e9cnicas adequadas que tornem os dados pessoais afetados inintelig\u00edveis, no \u00e2mbito e nos limites t\u00e9cnicos de seus servi\u00e7os, para terceiros n\u00e3o autorizados a acess\u00e1-los.\u201d<\/i><\/span><\/span> <\/i>. <\/i><\/span><\/span>\u2013 Artigo 48, inciso 3\u00ba <\/span><\/span>\u25cf Os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de seguran\u00e7a, aos padr\u00f5es de boas pr\u00e1ticas e de governan\u00e7a e aos princ\u00edpios gerais previstos nesta Lei e \u00e0s demais normas regulamentares. <\/i><\/span><\/span>Artigo 49<\/span><\/span><\/p>\n Quando falamos de melhores pr\u00e1ticas de Seguran\u00e7a da Informa\u00e7\u00e3o e de Privacidade devemos nos remeter \u00e0 ISO27001 , ISO27002 e ISO27701 , que estabelecem diretrizes e controles a serem implementados para a correta prote\u00e7\u00e3o do ambiente e das informa\u00e7\u00f5es. No mercado, a\u00a0<\/span><\/span>Mindsec<\/span><\/span>, empresa com 12 anos de experi\u00eancia em seguran\u00e7a e risco da informa\u00e7\u00e3o, criadora da metodologia 360\u00b0, \u00e9 a pioneira nesse tipo de abordagem e tem feito diversas palestras para\u00a0setores governo e privado, auxiliando as empresas e as reparti\u00e7\u00f5es p\u00fablicas no processo de adequa\u00e7\u00e3o. <\/span><\/span><\/p>\n A metodologia LGPD 360\u00ba trata 6 (seis) pilares de implementa\u00e7\u00e3o que incluem: <\/span><\/span><\/p>\n \u25cfTecnologia da Informa\u00e7\u00e3o \u25cf Processos e Documento \u25cf Seguran\u00e7a da Informa\u00e7\u00e3o \u25cf Tecnologia da Informa\u00e7\u00e3o \u25cf Gerenciamento de Incidente \u25cfGerenciamento de Riscos \u25cfTreinamento e Comunica\u00e7\u00e3o. <\/i><\/span><\/span><\/p>\n Abordando todos estes pontos, a organiza\u00e7\u00e3o estar\u00e1 100% em conformidade com a LPGD e melhor que isso, estar\u00e1 segura, investir\u00e1 em seguran\u00e7a baseado em uma vis\u00e3o ampla e nos aspectos de maior risco. A parceria com a Mindsec, traz um incremento cont\u00ednuo e consistente da seguran\u00e7a, preparando a organiza\u00e7\u00e3o para diminuir incidentes e reduzir seu impacto e probabilidade, conforme as tecnologias e amea\u00e7as avan\u00e7am.<\/span><\/span><\/p>\n Para saber mais sobre o Plano de Adequa\u00e7\u00e3o 360\u00ba da MindSec entre no site\u00a0<\/i><\/span><\/span><\/span>www.mindsec.com.br<\/i><\/span><\/span><\/span><\/a>\u00a0e deixe seu recado ou envie e-mail para\u00a0<\/i><\/span><\/span><\/span>contato@mindsec.com.br<\/i><\/span><\/span><\/span><\/a>\u00a0<\/i><\/span><\/span><\/span><\/p>\n