LGPD

LGPD

1. Problema

   • Longa tramitação de processos no judiciário brasileiro 

2. Auxílio tecnológico

   • – Sistemas informatizados – Transferência de informações entre diferentes orgãos – Inteligência Artificial em decisões menos complexas – Audiências remotas

3. para

   • O bem
     • – Art. 19° da Declaração Universal dos Direitos Humanos • Toda pessoa tem direito à liberdade de opinião e expressão • Liberdade de imprensa
   • O mal
     • – Influência dos meios de comunicação • Eleições • Celebridades • Câmeras on-line 

4. Direito digital

   •  Diz respeito ao conjunto de regras que regula as relações sociais e virtuais estabelecidas com base no uso da Tecnologia da Informação (TI) • Compreende tudo que diz respeito à tecnologia e ao meio digital – Novas formas de comércio eletrônico – Relação entre pessoas – Na comunicação – Na gravação de conteúdo multimídia – Na criação de programas e de conteúdos
   • Desafios
     • – A adaptação e criação de novas regulamentações • Processo ainda está em andamento no Brasil – Dificuldade de adaptação para pequenas e médias empresas
   • Exemplos
     • – Reforma trabalhista de 2018 aborda o home office – Empresas de comércio eletrônico devem cumprir obrigações de lojas físicas 

5. Marco Civil da Internet

   • Sancionada em junho de 2014 - permitiu a participação popular em sua elaboração
   • Regulamenta o uso da Internet entre
     • – Usuários: aqueles que acessam a Internet – Operadoras: empresas que fornecem conexão à Internet – Prestadores de serviço: empresas que oferecem serviços (sites, nuvens, e-mail, etc.
   • Três princípios
     • 1. Neutralidade da rede 2. Privacidade na Internet 3. Fiscalização de acessos
   • Neutralidade da rede
     • – Busca coibir excessos praticados pelos provedores de serviços da Internet – A ideia é garantir o tratamento igualitário dos usuários. • Exemplo – Antes era comum que provedores de conexão oferecessem pacotes de acesso que não cobriam todas as aplicações disponíveis na Internet. Muitas vezes um usuário comprava um pacote de acesso mobile (pacote de dados para smartphones que permitia um acesso limitado. Caso este usuário quisesse acessar sites não cobertos no pacote, era obrigado a pagar mais. O Marco Civil pôs fim a este tipo de prática. 
   • Privacidade da rede
     • – busca garantir a inviolabilidade da comunicação através da Internet – Estabelece que os provedores devem garantir o sigilo e a segurança das informações – Abrangente: se estende a empresas estrangeiras – Há exceções, como ordens judiciais que visem elucidar investigações.
   • Fiscalização de acessos
     • – Provedor deve armazenar o tráfego de rede de um usuário por um ano (fins legais) – Diferencia os dados pessoais de identificação (nome, endereço, CPF, entre outros) – Define tratamento de dados pessoais (classificação, como armazenar, finalidade) – São princípios bastantes discutidos na LGPD – Responsabiliza usuários por postagens, comentários e atos na Internet

6. Conceitos e Justificativas

   • Informação
     • representa conhecimento, algo com significado
   • Dados
     • são a representação formal da informação – Formato eletrônico – Papel

7. privacidade e serviço de segurança

8. privacidade e serviço de segurança

   • • A privacidade é um serviço de segurança difícil de ser controlado – Pois depende do usuário! – Privacidade não é confidencialidade! • O próprio usuário disponibiliza suas informações privadas • Mas não controla o uso e a distribuição destas informações • Algumas perguntas norteiam a criação da LGPD – Por que é importante proteger as informações? – Como isso pode ser feito? – Quais são as implicações destas práticas?

9. Introdução

   • A Lei Geral de proteção de Dados (LGPD) – Lei 13.709 de agosto de 2018 – Dividida em 9 capítulos I. Disposições Preliminares II. do Tratamento de Dados Pessoais III. dos Direitos do Titular IV. do Tratamento de Dados Pessoais pelo Poder Público V. da Transferência Internacional de Dados VI. dos Agentes de Tratamento de dados Pessoais VII. da Segurança e das Boas Práticas VIII. da Fiscalização IX. da Autoridade Nacional de Proteção de dados (ANPD) e do Conselho Nacional de Proteção de Dados Pessoais e da Privacidade

10. Definições

    • • Principais elementos da Lei Geral de proteção de Dados (LGPD) • http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm - acesso em 19 de janeiro de 2020. • A LGPD tem como foco o controle e a garantia de privacidade dos dados pessoais – Compartilhados na Internet ou em qualquer rede ou meio • Dado pessoal – Informação relacionada à pessoa natural identificada ou identificável – Por exemplo, o prontuário médico, a idade, uma foto, ou a opinião de alguém
    • Dados pessoais diretos
      • – Identificam diretamente uma pessoa (impressão digital ou uma foto)
    • Dados pessoais indiretos
      • – Indiretamente permitem o rastreamento de alguém (placa de carro ou CPF)
    • Dado pessoal sensível
      • – Dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural – Coleta apenas com necessidade legítima – Há exceções legais • Dado de saúde que precisa ser compartilhado com médicos para salvar vidas
    • Dado anonimizado
      • – Dado pessoal que não permite a identificação do titular – Exemplo: pesquisa que coletam a opiniões sem ligar cada indivíduo à sua opinião
    • Dado pseudoanonimado
      • – Dado pessoal protegido por pseudônimo
    • Titular
      • – Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento
    • Tratamento
      • – Toda operação realizada com dados pessoais – Coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração de dados
    • Controlador
      • – Pessoa natural ou jurídica responsável pelo tratamento de dados pessoais – Trata-se de um agente de tratamento que gerencia o acesso e uso dos dados – Deve saber qual a finalidade dos dados pessoais coletados – Deve coletar apenas os dados pessoais necessários, adequados e relevantes
    • Consentimento
      • – Autorização do titular para o tratamento de seus dados pessoais para uma finalidade determinada
    • Operador
      • – Pessoa natural ou jurídica que trata os dados pessoais em nome do controlador – Assim como o controlador, trata-se de um agente de tratamento
    • Autoridade Nacional de Proteção de Dados (ANPD)
      • – Órgão da administração pública federal responsável por zelar, implementar e fiscalizar o cumprimento da LGPD – Vinculada à presidência da República com natureza transitória, autonomia técnica e decisória, a ANPD possui diversas competências e particularidades, todas listadas com detalhes no Art. 55°
    • Forma de Tratamento
      • Finalidade
        • – Realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior ou adicional de forma incompatível com essas finalidades
      • Livre acesso
        • – Garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais
      • Qualidade dos dados
        • – Garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento
      • Segurança
        • – Utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão
      • Subsidiariedade
        • – Regra que só permite o tratamento dos dados caso não exista outra alternativa.
      • Exemplo
        • – Uma câmera que filme os carros em uma rodovia para fins de controle de tráfego, não deve tornar pública as placas dos automóveis, já que estas permitem a identificação do titular (trata-se de um dado pessoal indireto). – O direito de não usar as placas para identificar o titular se sobrepõe ao direito do controle de tráfego que só deve ser executado como última alternativa.

11. Abrangência

    • O Art. 3º diz que a LGPD vale para: – Dados e atividades gerados ou executados no Brasil – Dados pessoais forem coletados no país – Forem relacionados a indivíduos presentes no país – Quando a empresa oferece serviços ou produtos ao público brasileiro – Por exemplo: Empresa estrangeira que manipula dados sobre consumo coletados no Brasil
    • LGPD não se aplica a
      • – Dados gerados fora do país – Dados de pessoas jurídicas – Dados de pessoas físicas falecidas
    • Exceções
      • – Dados pessoais usados para fins artísticos, jornalísticos, acadêmicos • Exemplo: um jornal pode citar dados pessoais de um político sem estar sujeito à lei – Dados pessoais que não tenham objetivos econômicos • Exemplo: quando alguém gera dados para uso particular, sem preocupações econômicas – Dados relacionados à segurança pública – Eventuais normas setoriais podem moldar as determinações da LGPD

12. Aspectos Legais

    • Aspectos Legais: Dados Pessoais - Art. 5° (XII), 7°, 8°, 9°, 10°, 11°, 12°, 13°, 14°, 15 e 16°
    • tratamento de dados pessoais
      • • O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses: – Mediante o consentimento do titular – Para o cumprimento de obrigação legal pelo controlador – Pela administração pública, para o cumprimento da lei – Para a realização de pesquisas anonimizadas – Para a execução de contrato que envolva o titular – Como direito em processo legal – Para a proteção da vida do titular ou de terceiro – Por profissionais de saúde em caso de necessidade – Por interesses legítimos do controlador desde que prevaleçam os direitos do titular – Para a proteção do crédito de acordo com a legislação pertinente
    • Finalização no tratamento de dados pessoais
      • Finalização no tratamento de dados pessoais (eliminação dos dados) pode ser realizada: – Por determinação do titular – Quando há mudança na finalidade do uso dos dados – Por falta de necessidade ou pertinência dos dados – Quando acaba o período de tratamento – Por determinação legal
    • Exemplo
      • • Exemplo 1: – Uma escola vai adicionar ao seu site fotos de alguns alunos. Para isso precisa: • Obter de forma escrita o consentimento dos alunos ou dos responsáveis • Deixar claro qual o propósito específico desta ação • Entender que este consentimento é temporário e sujeito a mudanças ou cancelamento por parte dos titulares dos dados • Documentar todos estes detalhes e procedimentos • Exemplo 2: – Uma pesquisa de opinião colhida para um determinado propósito, não pode ter os dados usados para outra finalidade, sem o expresso consentimento dos titulares
    • Sugestões de adequação
      • – Manter documentação probatória sobre o consentimento de uso dos dados – Observar a origem dos dados sensíveis, para verificar corretamente o enquadramento dado a eles na lei – Manter transparentes os processos de manipulação dos dados pessoais

13. Direitos do Titular

    • • Direitos do titular - Art. 8° (§ 5°), Art. 9° (caput, § 3°), Art. 14 (§ 6°), Art. 17°, Art. 18°, Art. 19°, Art. 20°, Art. 21°, Art. 22° • Acesso à forma de tratamento dada por terceiros aos seus próprios dados pessoais – Finalidade, duração e razão do uso dos dados, entre outros – Informações simplificadas (imediatas) sobre seus dados – Informações completas (prazo para apresentação) sobre seus dados • Exigir correção em dados errados ou incompletos
    • • Portabilidade: transferir a custódia dos dados para outro agente de tratamento • Revogar o consentimento do tratamento • Bloquear, apagar ou anonimizar dados • Solicitar revisão de decisões automatizadas no tratamento • Consentir ou não com o tratamento de dados de adolescentes e crianças
    • Descumprimento de solicitação
      • – O controlador deve justificar problemas de prazo na apresentação das solicitações
    • Sugestões de adequação
      • – Para garantir os direitos descritos é preciso organização – Muitos sistemas precisam ser alterados para atender as solicitações – Boa documentação de sistemas, responsabilização e treinamento sempre ajudam

14. Obrigações do Controlador

    • Obrigações do controlador - Art. 5°, Art. 7° (§5), Art.8° {§2), Art. 9, Art. 10, Art. 11, Art.14, Art. 16, Art. 18, Art. 20, Art. 33, Art.37, Art. 38, Art.39, Art. 40, Art. 41, Art. 42, Art. 48, Art. 50, Art. 52
    • Vão de encontro aos direitos do titular
      • – Prover as solicitações do titular – Provar que o consentimento é válido e legal – Registrar as operações do tratamento – Definir claramente quem é o agente de tratamento
    • Exemplo de exceção
      • 1. Uma empresa (controlador) colheu opiniões políticas de pessoas em uma pesquisa 2. Essa mesma empresa quer usar os dados recolhidos em uma propaganda 3. Houve mudança de finalidade, portanto, é preciso autorização dos titulares 4. Suponha que um titular autorizou o uso de seus dados pessoais em propagandas 5. Imagine que a empresa recebeu uma intimação judicial solicitando acesso aos dados 6. Neste caso, mesmo sem a autorização do titular, a empresa pode tratar os dados pessoais estritamente requisitados pela justiça de forma mais transparente possível.
    • Sugestões de adequação
      • – Buscar garantir a segurança (CIDA) durante o tratamento dos dados – Definir o(s) responsável(s) pelo tratamento (agente de tratamento) de forma clara – Manter a finalidade e os registros das operações de tratamento dos dados – Conservar os dados a fim de que estes possam ser adequadamente recuperados, manipulados ou eliminados em caso de solicitação do controlador.

15. Transferência Internacional Dados

    • • Transferência internacional de dados - Art. 3°, Art. 33°, Art. 34°, Art. 35°, Art. 36° • É permitida apenas para países que garantam a segurança dos dados • O controlador deve garantir todos os direitos do titular – Contratos, certificados, códigos de conduta, etc. • É permitida em processos judiciais, políticas públicas ou de cooperação entre países • Requer o consentimento do titular • A ANPD é responsável pela fiscalização e medidas legais
    • Exemplo
      • • Suponha que uma agência brasileira mantém contrato para uso da imagem de uma modelo. O contrato permite que a imagem da moça seja utilizada em propagandas de folhetos e revistas brasileiras, tudo de acordo com o que está estipulado na LGPD • Paralelo a isso, a agência é comprada por uma grande multinacional da moda que quer expor o catálogo da agência brasileira internacionalmente. Como isso interessa à modelo, que quer expandir sua própria carreira, caso haja consentimento dela, a transferência internacional de dados pode ser realizada, desde que observados as premissas previstas na LGPD
    • Sugestões de adequação
      • • Verificações e garantias prévias sobre o cumprimento da lei são essenciais. • Elaborar documentação contratual nacional e internacional para garantir a lei – Ajuda a provar a “boa fé” do controlador original – Serve como guia na supervisão das atividades realizadas • Transparência nos processos – Informar a ANPD alteração na finalidade, no tratamento ou nos acordos internacionais

16. Incidentes

    • Incidentes - Art. 44°, Art. 46°, Art. 47°, Art. 48°, Art. 49°, Art. 50°, Art. 51° • Situações inesperadas, vazamentos, tratamento incorreto, falhas ou perdas de dados • Controladores devem buscar a antecipação e a documentação dos problemas – Garantir a CIDA e o realizar o controle de acesso aos dados – Definir os controles de segurança mínimos que devem ser aplicados – O agente de segurança pode ser responsabilizado judicialmente caso controles de segurança não sejam aplicados aos dados
    • • Em caso de ocorrência de incidente, com dano ou risco aos titulares o controlador deve: • Criar um comunicado enviado em prazo razoável para: – À ANPD – Ao titular – Aos órgãos reguladores oficiais • Os controladores e a ANPD podem providenciar treinamentos, testes de segurança e divulgação de informações dos incidentes
    • Exemplo
      • • Duas empresas lidam com dados pessoais sensíveis. A empresa A1 realiza o tratamento dos dados na forma da lei. Porém, estes dados são utilizados na forma original como foram recebidos, sem qualquer tratamento que garanta a confidencialidade destes dados • A empresa B1 lida com os mesmos dados sensíveis da empresa A1. Porém, a empresa B1 implementa criptografia nos dados antes do tratamento • Em caso de um vazamento acidental, os dados da empresa B1 estão muito mais seguros que os da empresa A1. Se uma das recomendações da ANPD for a garantia da confidencialidade dos dados, o controlador da empresa A1 deve responder pelo problema, justamente por não ter implementados controles de segurança que garantam a minimização do problema
    • Sugestões de adequação
      • • Implementar controles de segurança de acordo com as normas de segurança • Definir responsabilidades sobre as tarefas • Treinamento e conscientização de todos os envolvidos • Supervisão e constante atualização das práticas de tratamento • Políticas de segurança e parcerias técnicas e jurídicas com terceiros são recomendadas 

17. Sanções

    • Sanções - Art. 52°, Art. 53° e Art. 54° • As penalidades estão a cargo da ANPD • Alguns fatores são levados em conta nas penalidades • Cooperação e boa fé do controlador • Vantagens pretendidas • Condições econômicas • Reincidência do infrator • Gravidade do dano 
    • Penalidades financeiras
      • – Multa de até 2% do faturamento do controlador (limitada a R$ 50 milhões) – Esta multa também pode ser diária até o limite especificado de R$ 50 milhões 
    • Penalidades Administrativas
      • – Advertências com indicação de prazo para a adoção de medidas corretivas – Divulgação pública da infração após apuração – Bloqueio ou eliminação dos dados pessoais correspondentes à infração
    • Sugestões de adequação
      • • É importante que o controlador analise antecipadamente a conformidade dos métodos e processos adotados em relação à LGPD. Relatórios que atestem esses procedimentos podem ser gerados e apresentados antecipadamente ao titular na forma de contratos • Deve-se buscar a cooperação em caso de descumprimento da lei • Se possível ter uma equipe interna e/ou externa pronta para atender as solicitações da ANPD, para minimizar eventuais custos com as sanções

18. Conclusões

    • • A tecnologia vai mudando a vida das pessoas • Regulamentações são necessárias • No médio prazo a privacidade dos dados deve fazer parte da cultura das corporações • As pessoas precisam respeitar as opiniões e a privacidade das pessoas