Anotações relevantes

Seite 1

Já existia uma série de questões referentes a proteção de dados de forma esparsa na Constituição, no CDC e no Marco Civil. A LGPD vem para unificar essas questões;

É importante fazer um primeiro diagnóstico para priorizar as atividades de tratamento, o fluxo de dados, quais os registros de fato são usados pela empresa;

É preciso balancear tecnologia e processos de negócio que lidam com o tratamento de dados pessoais;

Muitas empresas se perguntam: preciso atender à LGPD?

Dados de funcionários estão inclusos;

Dados recebidos por outras empresas ou por clientes também estão inclusos;

Consumidor final, funcionário

Pode ser o dado identificado (Nome, CPF, conta, etc) ou o dado identificável (login, comportamento online, IP, geolocalização, escolha religiosa, sexual, etc).

Autenticação biométrica também está incluso (dados de catracas)

As empresas podem enviar um questionário para os fornecedores e outros parceiros verificando a conformidade dos processos em relação à LGPD. Responder esse questionário negativamente (não-conforme) pode significar a perda de um cliente ou de muitos.

A LGPD cobra o princípio de transparência e segurança. Uma empresa que não cumpre com as obrigações de segurança pode passar uma imagem negativa para o mercado, acionistas e consumidores. Mostra que ela não é confiável para manter os dados.

A LGPD pode forçar as empresas se tornarem compliance, mas por outro lado, podem mostrar que as empresas que atendem a Lei estão acompanhando uma tendência mundial, que respeita o direito do titular numa economia que vive das informações coletadas no mundo digital (Big Data, Cloud,

2% de multa por violação (teto maximo de R$50mi)

A ANPD está associada diretamente à presidência da república. Ela será composta por uma equipe de diretores e um corpo técnico para dialogar com a sociedade. Esses 5 diretores serão, inicialmente, emprestados de outros orgãos (sem gerar aumento de despesa da união).

Modelo disciplinador, mas pelo lado consultivo do que punitivo

Elucidar dúvidas, gerar padrões, etc

Desenvolver sistema de políticas públicas voltadas para instituições públicas, privadas, startups;

Criar um ecossitema para apoiar as empresas.

Muitas empresas estão pensando no caminho até a conformidade e isso é normal. Qual o roadmap de ajustes e investimentos até lá? Porém, é importante pensar na sustentabilidade do processo após a exigência da Lei e do início da fiscalização e sanção.

A LGPD não deve ser vista como uma festa de gala, na qual você vai ajustar toda a roupa, maquiagem, sapatos e no dia seguinte vai retirar tudo aquilo. Ela deve ser vista como a inauguração de uma Era. E a partir do início, sua empresa deve estar sempre em conformidade, garantindo a evolução do negócio, mas dentro da Lei.

Patrícia Peck acredita que as sanções começarão a valer realmente após 1 ano, 1 ano e meio após a Lei entrar em vigor, pois haverá uma curva de aprendizado e uma adaptação do negócio. Entretanto, nesse período, o MP pode recorrer a outras multas apoiadas pela LGPD.

Mudanças de processos com a LGPD:

Ter um profissional dedicado em Segurança da Informação;

Mapear os fluxos de dados (coleta, processamento, análise, publicação, armazenamento, reutilização, descarte)

Fluxos internos (entre áreas de negócio);

Fluxos externos (entre parceiros e fornecedores).

Revisar contratos e termos de relacionamentos com titulares, parceiros;

Iniciar a implantação dos processos que garantam os direitos dos titulares:

Identificar onde estão os dados (inventário) para confirmar se existe o tratamento e qual tipo de dado;

Exportação dos dados mediante solicitação do usuário (deve ser simples, rápido e seguro);

Garantir que o próprio usuário autenticado possa exportar seus dados armazenados na empresa;

Deve haver um SLA acordado com o usuário para que ele tenha seus dados;

Os dados devem ser exportados num formato que o usuário possa abrir.

Implantar um processo que identifique os usuários impactados numa violação de dados e o notifique (processo de comunicação):

O usuário não deve ser o último a saber em casos de violações dos dados;

As empresas devem monitorar ativamente sua segurança para identificar possíveis fragilidades e falhas de segurança que permitam um vazamento de dados;

É preciso prestar apoio aos usuários após o incidente

Ter um canal de comunicação ativo para falar com os titulares dos dados.

Seguros são recomendados para cobrir custo com vazamento de informações (não é obrigatório)

Apagar os dados do usuário dentro dos limites

Existem algumas regulamentações financeiras que exigem que os dados sejam mantidos de 5-15 anos. Deve haver alguma estratégia que equilibre ambas as regulamentações;

Uma alternativa é ter um controle para informar quais informações estão ativas e quais são mantidas por regulação. Esses dados históricos podem ser criptografados;

Não adianta apagar os dados somente dentro dos domínios da empresa. Você precisa garantir que eles sejam apagados em toda a cadeia. Daí a importância de ter parceiros em conformidade que consigam localizar e apagar o dado rapidamente

Garantir que a origem dos dados é legítima, tanto internas quanto as que vierem de outras empresas:

Solicite comprovação dos parceiros que eles foram autorizados a coletar e tratar aquelas informações. De onde ela veio? Como foi coletada?

Se a origem não puder ser confirmada ou a finalidade não esteja adequada, você estará infringindo a Lei.

Mudanças de elementos técnicos:

Segurança dos sistemas e da informação;

Segregação de permissão e acessos

Análise de vulnerabilidades e pentest

Monitoramento de acesso aos sistemas

Criptografia e Proteção dos dados;

Auditoria e Rastreio

Comprovação da origem e do direito de uso do dado

Por exemplo, uma empresa coleta os dados de clientes, funcionários e fornecedores. Ela envia as informações para um parceiro que processa os dados e encaminha para armazenar no datacenter terceiro. Se ocorrer uma violação dos dados no datacenter, todos os envolvidos na cadeia são responsabilizados conjuntamente. É preciso garantir que todos os seus parceiros estejam adequados à LGPD. Em alguns casos, a multa pode ser repassada.