Flashcards
PRIVACIDADE E PROTEÇÃO DE DADOS
Flashcards do conjunto (54)
- 1O Regulamento Geral de Proteção de Dados (RGPD) ou General Data Protection Regulation – GDPR (em inglês) – integra a legislação da União Europeia (UE)a palavra privacidade significa: vida privada e intimidade.
- 2A Lei Geral de Proteção de Dados, ou simplesmente LGPD LEI Nº 13.709/2018todos os direitos de privacidade respeitados, principalmente diante de cenários onde nem ao menos se sabe o que fazer e onde recorrer para que a sua intimidade não seja exposta.
- 3aplicação de técnicas e controles de segurança, que pode ser feita em 3 aspectos, sendo tecnologia, processos e pessoas, e dividida em 4 grandes camadas, como:Endpoint: conhecido como nível de usuário, é uma proteção de dados que pode ser embarcada nos computadores corporativos e pessoais
Servidores: na modalidade on-premises (servidores físicos) ou servidores em nuvem (cloud), precisa-se de níveis de proteção robustos para evitar acessos não autorizados e vazamentos de informações corporativas, além dos dados pessoais confiados à empresa.
rede interna: acabamos alterando toda arquitetura corporativa para as implementações de segurança.
a rede externa ou perímetro tenha uma atenção especial - 4um dos princípios fundamentais da LGPD é a transparência, conforme consta no art. 50 no item e: “tenha o objetivo de estabelecer relação de confiança com o titular, por meio de atuação transparente e que assegure mecanismos de participação do titular” (BRASIL, 2018, [s.p.]).
- 5Toda pessoa natural que tenha seus dados coletados por empresas ou pessoas físicas com finalidade econômica.Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.
- 6Analise as opções a seguir e depois assinale a alternativa que traz somente fundamentos aplicados à proteção de dados:I, II, III e IV. Todos as opções fazem parte do art. 2º da LGPD:
Art. 2º A disciplina da proteção de dados pessoais tem como fundamentos:
I. O respeito a privacidade.
II. A autodeterminação informativa.
III. O desenvolvimento econômico, tecnológico e a inovação.
IV. A inviolabilidade da intimidade, da honra e da imagem.
(BRASIL, 2018, [s.p.]) - 7O programa de privacidade é multidisciplinar, pois todas as áreas precisam se dedicar à implantação, visto que todos processam dados pessoais e devem ajudar no processo de implantação.( ) Compliance.
( ) Segurança da Informação.
( ) Direito.
( ) Marketing. - 8consequencias sem a segurança da informaçãopoderão ocorrer impactos negativos para a imagem da empresa, o que pode resultar na perda de clientes, gerar desconfiança nos investidores e até ter multas relevantes capazes de levar os negócios à falência.
- 9no art. 3º (BRASIL, 2018, [s.p.]): “Esta Lei aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados”. Podemos denominar dados pessoais como um conjunto de informaçõesale ressaltar que outras informações como dados de salários dos funcionários, CNPJ da empresa, balanço patrimonial antes da divulgação dos resultados da empresa, a fórmula e ingredientes secretos da empresa não são considerados dados pessoais e, sendo assim, não estão no escopo da LGPD.
- 10• Dado pessoal direto: pessoa natural identificada, ou seja, quando com um simples dado pessoal (como o DNA ou até mesmo uma impressão digital) temos a certeza da identificação de um indivíduo. • Dado pessoal indireto: pessoa natural identificável, sendo necessário um conjunto de dados pessoais adicionais para identificar o indivíduo, como o endereço de uma pessoa que mora em um condomínio, sem o número do apartamento ou o nome e sobrenome de uma pessoa, visto que a possibilidade de ter homônimos são grandes.dados pessoais diretos (pessoa natural identificada) e indiretos (pessoa natural identificável),
- 11II - dado pessoal sensível:é o dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
- 12III - dado anonimizado:dado relativo ao titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento
- 13“IV - banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais, em suporte eletrônico ou físico”Comentários: considera-se um banco de dados como softwares de armazenamento de informações que podem ser on-premises (físico) ou em cloud (nuvem) que armazenam as informações de forma estruturada (previamente planejada) para recebimento dos dados. Alguns exemplos de bancos de dados comuns são: Oracle, SQL Server, My SQL, MariaDB, PostgreSQL, MongoDB, RDS, entre outros.
“XI - anonimização: utilização de meios técnicos razoáveis e disponíveis - 14“XIV - eliminação: exclusão de dado ou de conjunto de dados armazenados em banco de dados, independentemente do procedimento empregado”“XI - anonimização: utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo”
- 15os fundamentos da proteção de dados pessoais:[...] o respeito à privacidade, a autodeterminação informativa, a liberdade de expressão, de informação, de comunicação e de opinião, a inviolabilidade da intimidade, da honra e da imagem, o desenvolvimento econômico e tecnológico e a inovação, a livre iniciativa, a livre concorrência e a defesa do consumidor e os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais.
- 16art. 17 (BRASIL, 2018, [s.p.]):“Toda pessoa natural tem assegurada a titularidade de seus dados pessoais e garantidos os direitos fundamentais de liberdade, de intimidade e de privacidade, nos termos desta Lei”.
- 17art. 18. (BRASIL, 2018, [s.p.]):“O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição”.
- 18I - confirmação da existência de tratamento;As empresas (agentes de tratamento) têm a obrigação de informar se fazem tratamento (armazenam, processam, transmitem ou até eliminam) de seus dados pessoais.
- 19II - acesso aos dados;Neste caso, o titular tem o direito de saber quais dados pessoais a empresa faz tratamento.
- 20III - correção de dados incompletos, inexatos ou desatualizados;Os titulares têm o direto de solicitar a alteração dos dados que podem estar errados nas bases de dados das empresas. Imagine que você mudou de residência e informações importantes ainda são encaminhadas ao endereço antigo. Por meio deste parágrafo, a LGPD assegura o direito de realizar alterações.
- 21IV - anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei; Caso a empresa tenha dados pessoais que foram coletados de forma excedente, em que não é possível justificar a real finalidade para a coleta, o titular tem o direito de solicitar a anonimização, bloqueio ou até mesmo exclusão desses dados pessoais.
- 22V - portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial;A portabilidade é um item muito interessante, porém, complexo de ser realizado devido à necessidade de padrões e protocolos claros, tanto da origem como para o destino. Hoje convivemos com o processo de portabilidade entre as operadoras de telecomunicações que teve início em meados de 2007 e que passou por várias lições aprendidas para chegar ao nível de maturidade atual. Imagine, por exemplo, esse mesmo nível de portabilidade no segmento financeiro, segmento de educação, saúde, entre outros. Caberá muitas definições até termos esse direito devidamente assegurado.
- 23VI - eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no Art. 16 desta Lei;Muitas vezes somos forçamos a assinar documentos físicos ou digitais com diversas páginas para ter acesso a um serviço ou a uma informação e, por desconhecimento dos termos jurídicos ou até mesmo por privação de tempo, acabamos consentindo inconscientemente a coleta dos dados pessoais e autorizando o seu processamento, gerando o chamado vício de consentimento.
- 24VII - informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;Ao longo da prestação de serviço, a empresa pode escolher parceiros estratégicos para viabilizar seus negócios. Veja que isso faz parte do contexto corporativo para a sobrevivência da empresa, mas os titulares têm o direito de saber quais são todas as entidades, públicas ou privadas, em que seus dados foram compartilhados.
- 25VIII - informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;a empresa deve deixar claro ao titular que, caso não ocorra o consentimento para acesso às imagens, o aplicativo não funcionará corretamente.
- 26IX - revogação do consentimento, nos termos do § 5º do art. 8º desta Lei.Da mesma forma que você tem o direito de fornecer o opt-in (dar o consentimento quando está acessando uma informação de seu interesse), você tem também o direito de revogar, dar o opt-out, a qualquer momento e os agentes de tratamento devem possibilitar a execução desse direito de forma simples e assertiva.
- 27dados anominizadossem proteções de segurança adicionais
- 28dado pessoal indireto; direto dado pessoal sensivelmodelo de proteção de dados
monitoração de ações de tratamento nos dados pessoais
gestao de acessos aos dados pessoas
criptografia dos dados pessoais em repouso
monitroamento de acoes, gestao de acessos, criptografia dos dados em reoupouso
criptografia nos dados sensiveis no momento de transito e acessos - 29a técnica de pseudonimização (criptografia) Essa técnica deve ser aplicada tanto no momento de trânsito, como no de acesso, garantindo que somente o acesso será concedido por meio de uma chave criptográfica a quem realmente necessita.tem a possibilidade de aplicar a reversão do texto para a forma original, devido à existência de uma chave mestre. Essa chave mestre é criada no momento da criptografia dos dados pessoais.
- 30Dados como Balança Patrimonial, CNPJ de cliente e até mesmo salário dos funcionários são considerados confidenciais nas instituições privadas. Com base na Lei, assinale a alternativa que apresenta a classificação dessas informações frente a LGPD.Esse conjunto de informações pode ser muito crítico e confidencial para o negócio, mas não é considerado dado pessoal no que diz respeito à LGPD. Medidas de segurança podem ser aproveitadas e aplicadas, mas não farão parte do escopo de proteção de dados pessoais.
- 31Privacidade é o direito de ser protegido e respeitado no que diz respeito à intimidade de assuntos pessoais. Assinale a alternativa que apresenta a definição correta do termo "privacidade", de acordo com a LGPD.Privacidade é o direito de ser protegido e respeitado no que diz respeito à intimidade de assuntos pessoais. A proteção da dados representa o modo de implementar essa proteção.
- 32xiste uma ação que é considerada como um processamento de dados pessoais em que a Lei geral de proteção de dados é aplicável. Com base nesse contexto, assinale a alternativa corretaA alternativa “A” pode até ter sido a primeira a vir à mente, porém, a LGPD não se aplica a dados de pessoas falecidas e nem a dados anonimizados. Sendo assim, a alternativa “E” a resposta correta, por ser um conjunto de dados pessoais indiretos que podem identificar um titular. Dessa forma, no que diz respeito à LGPD, somente a alternativa “E” tem a necessidade de proteção de dados.
- 33Ao exercer o seu direito de portabilidade dos dados conforme art. 11 da LGPD, o titular dos dados tem o direito de que seus dados sejam transmitidos diretamente entre os responsáveis pelo tratamento, sempre que isso seja tecnicamente possível. Ou seja, a sua clínica poderia enviar os dados diretamente para a clínica de destino.Como não há uma regra clara de como transferir os dados para a clínica de destino, até porque não sabemos se a clínica estará preparada, é sugerido gerar relatórios no formato desejado pelo titular, seja virtual ou eletrônico, e enviar diretamente para que ele possa apresentar à nova clínica se colocando à disposição para esclarecimentos, caso necessário.
Se o titular optar pelo formato eletrônico, é possível assinar todos os documentos digitalmente para comprovar que todos são reais e que não ouve manipulação desde sua origem até o destino. - 34| Operações de tratamento de dados pessoais no ciclo de vida dos dados pessoaisGeração e/ou criação: pode estar relacionada a dados pessoais diretos ou indiretos que o agente de tratamento (empresa) pode desenvolver para a identificação de um titular diretamente ou indiretamente.
• Recebimento de dados pessoais: está relacionado a dados pessoais que o agente de tratamento pode receber para executar um tratamento de dados, conforme a sua respectiva finalidade. - 35• Transferência e distribuição: neste momento, o agente de tratamento está compartilhando os dados pessoais com possíveis outros agentes de tratamento para atingir uma finalidade. • Armazenamento e guardas de informações: para que o agente de tratamento consiga executar uma ação ou até mesmo comprovar a legalidade daquele tratamento, muitas vezes há necessidade do armazenamento dessas informações durante um período expresso em leis existentes. • Eliminação de dados pessoais: no final de um tratamento, caso não tenha nenhuma obrigação legal para o armazenamento dessas informações, o agente de tratamento pode realizar a eliminação e ou destruição dos dados pessoais. Vale ressaltar a destruição e/ou eliminação dos dados pessoais sem uma justificativa pode ser considerada uma violação de dados.• Utilização e processamento de dados pessoais: está relacionado ao modo como o agente de tratamento está utilizando e processando os dados para atingir uma finalidade.
- 36, a Lei aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que:I - a operação de tratamento seja realizada no território nacional;
II - a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional;
III - os dados pessoais objeto do tratamento tenham sido coletados no território nacional. - 37o art. 4º da Lei apresenta algumas hipóteses de tratamento onde a Lei não se aplica, por exemplo:“Realizado por pessoa natural para fins particulares e não econômicos” (BRASIL, 2018, [s.p.]), ou seja, quando uma pessoa está realizando o tratamento sem o objetivo de receber vantagens financeiras por meio dele.
• Outros tratamentos de fins jornalísticos, artísticos, acadêmicos também podem ser exclusivos da aplicabilidade no que diz respeito ao tratamento de dados pessoais na Lei.
• Outros tratamentos também podem ser exclusivos quando estão relacionados à segurança pública, à defesa nacional, à segurança do Estado ou atividades de investigação e repressão de infrações penais.
• Por fim, o tratamento de dados pessoais que são provenientes de fora do território nacional e que possam não ser tratados no território nacional são considerados exclusivos da Lei. - 38caso haja outras leis que obriguem o tratamento de dados pessoais,a LGPD não poderá se sobrepor a essas leis vigentes, sendo considerado o tratamento de dados pessoais baseado na lei mais antiga.
- 39o que é uma base legal?As bases legais da lei são as justificativas e hipóteses para os tratamentos de dados pessoais. Elas dão a legitimidade e a transparência dos tratamentos de dados pessoais que são realizados pelos controladores.
- 40os 10 princípios e os objetivos do tratamento de dados.Finalidade Propósitos legítimos, específicos, explícitos e informativos.
Adequação Adequação compatível com as finalidades.
Necessidade Utilização apenas de dados estritamente necessários.
Livre acesso Livre acesso ao tratamento e à integridade dos dados.
Qualidade dos dados Dados exatos, claros, relevantes e atualizados.
Transparência Informações claras e precisas aos titulares dos dados.
Segurança Medidas técnicas e administrativas aptas a proteger os dados pessoais.
Prevenção Adoção de medidas para evitar danos aos titulares de dados.
Não discriminação Não utilização para fins discriminatórios, ilícitos ou abusivos.
Responsabilização e prestação de contas. Demonstração de adoção de medidas eficazes ao cumprimento das normas. - 41Na Europa, a General Data Protection Regulation (GDPR), lei similar à LGPD está em vigor desde 25 de maio de 2018
- 42, a administração pública somente não estará obrigada a cumprir com as exigências da LGPD no caso de tratamento de dados feitoexclusivamente para fins de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação ou de repressão de infrações penais.
- 43Hipótese 5 - Execução ou preparação contratual: hoje, para que empresas possam prestar um serviço, deve-se prever os papeis e responsabilidades em contratos de prestação de serviço.Hipótese 4 - Realização de estudos e de pesquisas: para a realização de estudos e pesquisas também há uma base legal a qual esses órgãos ou institutos podem justificar o tratamento de dados pessoais.
- 44Hipótese 6 - Exercício regular de direitos: essa hipótese de tratamento está diretamente ligada a ações judiciais, administrativas ou arbitrais, em que se preserva o direito de tratamento de dados pessoais como prova para o exercício dos direitos legais.Hipótese 7 - Proteção da vida e da incolumidade física: está diretamente ligada à proteção da vida de um ser humano e aos interesses públicos, desde que devidamente comprovada essa necessidade.
- 45Hipótese 8 - Tutela de saúde do titular: essa hipótese de tratamento está diretamente ligada à tutela da saúde, exclusivamente em procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridades sanitárias.Hipótese 9 - Legítimo Interesse: conforme descrito no Guia de Boas Práticas de LGPD (BRASIL, 2020b), essa hipótese é aplicável para o tratamento de dados quando necessário para atender aos interesses legítimos do controlador ou de terceiros, exceto no caso em que prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.
- 46Hipótese 10 - Proteção de crédito: aplicável principalmente para instituições financeiras, em que é necessário tomar uma decisão sobre a liberação ou não de crédito para o titular. É importante deixar claro ao titular que o tratamento de dados nesta hipótese será aplicado com a finalidade de proteção ao crédito.Hipótese 11 - Prevenção à fraude: está diretamente ligada à prevenção à fraude e à segurança do titular nos processos de identificação e autenticação de cadastros em sistemas tecnológicos
- 47Alguns exemplos do uso de dados sensíveis para o combate à fraude são:biometria, utilizada em urnas eletrônicas; reconhecimento facial, utilizado em aeroportos para identificação de possíveis terroristas e a utilização de reconhecimento biométrico para transações bancárias em caixas eletrônicos.
- 48art. 5º da Lei,o controlador (pessoa natural ou jurídica, de direito público ou privado) é o responsável pelas decisões referentes aos tratamentos de dados pessoais. Já o operador (pessoa natural ou jurídica, de direito público ou privado) é aquele que realiza o tratamento de dados pessoais em nome do controlador.
- 49Dados pessoais sensíveis é a categoria mais crítica que as empresas podem processar na LGPD.É importante ter a clareza da efetiva necessidade do tratamento de dados pessoais sensíveis e identificar a correta base legal a ser empregada.
- 50São os sobre crianças e adolescentes; e os “sensíveis”, que são os que revelam origem racial ou étnica, convicções religiosas ou filosóficas, opiniões políticas, filiação sindical, questões genéticas, biométricas e sobre a saúde ou a vida sexual de uma pessoa.Quando o foco for menores de idade, é imprescindível obter o consentimento inequívoco de um dos pais ou responsáveis e se ater a pedir apenas o conteúdo estritamente necessário para a atividade econômica ou governamental em questão, e não repassar nada a terceiros. Sem o consentimento, só pode coletar dados se for para urgências relacionadas a entrar em contato com pais ou responsáveis e/ou para proteção da criança e do adolescente.
- 51A observância para tratamento utilizando como base os 10 princípios é uma responsabilidade de quem, no que diz respeito à LGPD?Conforme a LGPD (BRASIL, 2018), em seu art. 5º – inciso VI, o controlador é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.
Já o operador deverá realizar o tratamento segundo instruções fornecidas pelo controlador, que verificará a observância das próprias instruções e das normas sobre a matéria, conforme art. 39. - 52Assinale a alternativa que contém a PRINCIPAL atribuição (finalidade) dessas informações pessoais que são coletadas de forma obrigatória para o funcionamento de sistemas e aplicações:Conforme o art. 6º (BRASIL, 2018), as atividades de tratamento de dados pessoais deverão observar a boa-fé e os 10 princípios destacados na Lei. Caso o controlador esteja realizando um tratamento sem a observância de um dos princípios, ele violará os dados.
- 53Assinale a alternativa que contém a PRINCIPAL atribuição (finalidade) dessas informações pessoais que são coletadas de forma obrigatória para o funcionamento de sistemas e aplicações:A grande diferença para responder a essa pergunta está na palavra “obrigatória”. Como é uma necessidade que tem uma obrigação, ela pode ser considerada legal. Por exemplo, o Marco Civil da Internet, o agente de tratamento (empresa) tem necessidade de coletar o endereço de IP para um cumprimento obrigatório.
- 54O ciclo de vida dos dados inclui
Informações
- Descrição
- Tecnologias Educacionais PRIVACIDADE E PROTEÇÃO DE DADOS FlashCards sobre PRIVACIDADE E PROTEÇÃO DE DADOS, criado por Marcela Gomes Santos em 10-10-2023.
- Criado por
- Marcela Gomes Santos
- Visualizações
- 10
- Avaliação