Mês: fevereiro 2019

Um dos maiores problemas enfrentados ao elaborar a política de proteção dos dados é que ela pode alterar alguns aspectos importantes da empresa. Isso inclui documentos jurídicos, nos quais constam os Termos de Uso e Política de Privacidade ou até mesmo questões relacionadas aos funcionários e tecnologias utilizadas na organização.

Diante desse cenário, é necessária a contribuição de um advogado com os devidos conhecimentos para colaborar com a produção dos documentos que contribuirão para a segurança da informação e proteção da privacidade, que são duas obrigações exigidas por lei.

Neste artigo, você verá que a procura por estes profissionais tem aumentado, visto que o mundo se torna cada vez mais digital. Então, elaborar as diretrizes de segurança da informação, asseguradas pelos termos jurídicos, deixará o empresário muito mais tranquilo para lidar com um mercado exigente e competitivo.

Posso elaborar a minha política de proteção de dados ou é melhor contratar uma empresa para isso?

Muitos administradores e especialistas em TI pensam que possuem conhecimento suficiente para elaborar a política de segurança. Mas até onde vai os limites legais? Quais são os requisitos a serem cumpridos em relação à privacidade e segurança? Eles teriam este conhecimento?

O mundo está voltado para a tecnologia, a internet das coisas avança a cada dia e as leis estão se adequando para esse novo ambiente digital. É aí que entra o papel do advogado. Esse profissional possui o conhecimento jurídico necessário para auxiliar a empresa na construção da política de segurança da informação.

É claro que o especialista com conhecimentos no ramo do Direito não irá palpitar sobre qual tecnologia deverá ser adotada, se deverá usar um banco de dados relacional ou não-relacional, por exemplo, o ponto principal é indicar quais são os requisitos legais a serem cumpridos e se a tecnologia aplicada é adequada ou não para atingir esse objetivo.. A forma de atingir esse objetivo é por meio de diretrizes para o melhor uso das ferramentas para a proteção dos dados, indicar se há ou não necessidade de armazenar os dados que coletam, entre outros tipos de perguntas que estabelecerão maior segurança para os dados.

O trabalho da equipe jurídica é feito em conjunto com outras áreas, tais como TI, RH e marketing. O advogado irá delimitar os limites legais do uso de dados e indicar os principais riscos. Logo após este trabalho multidisciplinar para avaliar o cenário e levantar todos os riscos, os advogados criam os documentos jurídicos necessários e determinam as políticas a serem seguidas por funcionários e clientes.

Por fim, é avaliado o que foi implementado e traçado um plano de continuidade, já que, principalmente ao se tratar de tecnologia, tudo é dinâmico. Dessa maneira, o projeto precisa ser contínuo.

Uma desvantagem em não contratar uma consultoria jurídica para a elaboração das políticas de segurança é que a LGDP e a GDPR são leis novas e muito específicas. Então, o cliente não tem muito conhecimento sobre o assunto, podendo gerar ainda mais riscos para a empresa.

Até mesmo muitos advogados ainda não conhecem essas leis. Por isso, é preciso contratar um especialista na área, visto que esse fará um trabalho multidisciplinar, e não apenas ações isoladas ou revisão de documentos jurídicos. Haverá um documento pautado nas leis mais recentes que garantem a segurança da informação.

Agora que você viu o quão importante é o papel de um advogado especialista na elaboração de políticas de segurança da informação, ainda ficou com alguma dúvida? Se sim, poste aqui nos comentários, pois pode ser a de outros leitores também. Teremos prazer em te ajudar! Sugestões também são bem-vindas!

—

“Se quiser saber mais sobre este tema, contate o Dr. Cesar Peduti Filho.”
“If you want to learn more about this topic, contact the managing partner, Dr. Cesar Peduti Filho.”

Conteúdo atualizado em 09/07/2020

 

Você já deve ter recebido em seu e-mail alguma mensagem sobre mudanças na política de privacidade de algum site que acessa sempre. Isso pode ter acontecido com frequência ainda maior quando entrou em vigor o GDPR, Regulamento Geral sobre Proteção de Dados.

Esse regulamento, que entrou em vigor no ano de 2018, é válido para a União Europeia, mas qualquer site que atenda aos países-membros daquela região pode ser afetado, o que explica porque até as empresas brasileiras tiveram que se adaptar às mudanças ocorridas do outro lado do continente.

O Regulamento Geral sobre Proteção de Dados afirma que as empresas precisam justificar, claramente, as razões de pedirem determinadas informações de seus usuários, sem contar que devem relatar como os dados vêm sendo utilizados e como serão utilizados no futuro (ou requer nova autorização para essa nova forma de utilização).

Quem não cumpre o que está no regulamento pode ter que pagar multa de até 4% sobre o valor anual do volume de negócios feitos em todo o mundo ou o valor de 20 milhões de euros. Esta é a multa mais grave, mas a falta de cuidados com as informações pessoais também é penalizada: 2% sobre o valor de negócios anual.

Logo no primeiro dia em vigor, Facebook e Google foram acionados judicialmente por não estarem de acordo com a GDPR.

Por que o Google e o Facebook foram multados?

Segundo as autoridades, o Facebook e o Google não estavam sendo transparentes quanto ao que faziam com os dados de seus usuários. Diversas aprovações e atualizações eram solicitadas pelas empresas por parte de quem acessava seus produtos, mas nada era bem explicado. Uma das primeiras entidades a identificar esse fato  foi a ONG “Europa Versus Facebook”, de Max Schrems, que já vinha criticando a política de privacidade de alguns sites, e acionou judicialmente a rede social e o site de buscas assim que o GDPR entrou em vigor.

A lei afirma que qualquer solicitação de dados precisa ser justificada, o que Google e Facebook não vinham respeitando na visão dos autores da ação, sempre deixando em aberto a finalidade e como usariam aquelas informações.

Tratava-se de algo que, na visão dos autores, deixava o usuário sem alternativas: ou ele concordava em ceder os dados ou perderia o acesso à rede social e ao buscador. Tudo funcionava de forma a forçar a aceitação, pois dificilmente o usuário deixaria de usar o Facebook ou fazer uma pesquisa no Google.

Tanto o Facebook quanto a Google se justificaram em relação às acusações. As empresas afirmaram que estavam em busca de adaptar-se, o mais breve possível, às exigências da nova lei, incluindo uma revisão de suas políticas de privacidade e configurações de seus sites.

O Facebook se expressou também no sentido de que passou os dezoito meses anteriores à lei se preparando para o que seria alterado.

E no Brasil?

No Brasil, ainda não temos casos relevantes de aplicação de multas em razão de violação ao GDPR, embora já estejam sendo discutidos, inclusive judicialmente, casos de aplicação da Lei Geral de Proteção de Dados Pessoais – LGPD, a Lei nº 13.709/2018 em situações concretas.

É necessário destacar que a LGPD ainda não está vigente no País, mas as Cortes vêm se antecipando e já exigindo algumas das salvaguardas previstas legalmente.

No que se refere à LGPD, podem ser impostas tanto sanções administrativas por meio da Autoridade Nacional de Proteção de Dados Pessoais – ANPD como outras medidas igualmente administrativas, aplicáveis por outros órgãos reguladores e fiscalizadores e baseadas em legislação extravagante (como Código de Defesa do Consumidor, por exemplo).

Além disso, é oportuno mencionar que o Poder Judiciário poderá (e já vem sendo) ser provocado para questões relativas a privacidade e proteção de dados pessoais, inclusive de maneira difusa – mediante demandas dos próprios titulares de dados.

GRDP afeta o Brasil?

O Regulamento Geral sobre Proteção de Dados é válido em toda a União Europeia. Inclusive, foi uma atualização quanto à privacidade de dados pessoais, já que a regra anterior era de 1995 e muitas coisas mudaram – na internet, principalmente. Google e Facebook sequer existiam àquele momento.

No Brasil, a lei afeta todas as empresas que, de alguma forma, interagem com países que fazem parte do bloco europeu.

Para garantir aderência às regras internacionais de proteção de dados pessoais, o melhor é atualizar as políticas de privacidade e cuidar das informações que seu site coleta. Quanto mais transparente for com os usuários, menor o risco de enfrentar um processo judicial e ter que pagar uma multa, como aconteceu com a Oi no ano de 2014.

Como evitar problemas com o GDPR

A melhor forma de se proteger e não ser multado pela nova lei, mesmo que válida apenas na União Europeia, é se adaptar às novas exigências. Para evitar problemas com o GDPR, é recomendado que:

• Forneça para o usuário a opção de autorizar ou não o tratamento de seus dados;
• Demonstre quais dados estão sendo coletados e explique onde serão utilizados;
• Respeite a solicitação de exclusão de dados pessoais arquivados;
• Seja transparente e claro em sua política de privacidade;
• Notifique rapidamente as autoridades em caso de vazamento de dados;
• Respeite a solicitação de bloqueio de tratamento de dados;
• Mantenha registro organizado de todas as atividades de tratamento de dados;
• Transfira dados apenas para países que se enquadrem dentro do quesito “proteção de dados satisfatória”;
• Conte com um responsável para gerir os dados, o chamado DPO (Data Protection Officer);
• Tenha a comprovação de autorização para tratamento de dados;
• Facilite a disponibilização de cópias dos dados dos titulares, quando solicitado por estes ou pelos órgãos reguladores;

Você percebeu o quanto o GDPR é importante? Lembre-se de adequar o seu site às novas regras, principalmente se atende titulares situados na União Europeia.

—

“Se quiser saber mais sobre este tema, contate o Dr. Cesar Peduti Filho.”
“If you want to learn more about this topic, contact the managing partner, Dr. Cesar Peduti Filho.”

Conteúdo atualizado em: 26/05/2020

 

Com as novas regras estabelecidas pelo GDPR, é essencial que a sua empresa reveja a forma como lida com dados dos clientes. A tarefa não é nada simples e a consulta de especialistas (tanto na parte jurídica quanto de processos) faz grande diferença durante o processo de adequação às novas regras.

QUAIS MEDIDAS DEVO TOMAR? 

O GDPR (ou Regulamentação Geral de Proteção de Dados) entrou em vigor em maio de 2018 e regulamenta como as empresas devem gerir os dados dos seus clientes que sejam de (ou estejam em) países-membros da União Europeia.

Entretanto, em um mundo globalizado, muitas empresas optaram por rever as suas políticas de gerenciamento de dados para não sofrer penalidades vindas de outros países. Afinal de contas, uma empresa prestadora de serviços brasileira que descumprir o GDPR pode expor o seu contratante a riscos sérios. As multas por descumprimento chegam a 20 milhões de euros ou 4% do faturamento bruto anual da empresa.

Para se adequar à nova regulamentação, será preciso revisar as políticas de privacidade, contratos (em vigor ou futuros), intranet, backup de arquivos, recrutamento e seleção de funcionários. Toda a manutenção de dados cadastrais deve, a partir de agora, ser autorizada pelo responsável pelo tratamento dos dados pessoais.

Qualquer atualização deverá se basear nos seguintes pontos:

• Envolvimento da alta direção;
• Nomeação do DPO (Diretor de Proteção de Dados);
• Avaliação de periódica de riscos;
• Elaboração de políticas internas e processos;
• Treinamento de funcionários e colaboradores;
• Comunicação clara e objetiva com os clientes;
• Realização de controle interno e monitoramento das novas medidas;
• Estabelecimento de um plano de remediação para o caso de vazamento de dados.

POR QUE CONTRATAR ESPECIALISTAS? 

As exigências da GDPR são bastante complexas e todos os setores de uma empresa podem, e devem, estar envolvidos. Mas, talvez, o trabalho mais árduo fique para as áreas  Jurídica e de Tecnologia da Informação.

O primeiro passo para se adequar à regulamentação é realizar uma análise de todos os processos da empresa. Isto é, verificar quais destes processos necessitam de atualização, implementar as mudanças e, por fim, acompanhar a eficácia delas.

É essencial a realização de treinamentos com todos os funcionários das empresas, bem como fazer avaliações contínuas dos processos.

A contratação de especialistas, como é o caso da Peduti Advogados, é extremamente importante. A Peduti possui expertise na área e guiará a sua empresa durante todo esse caminho, permitindo que as mudanças ocorram de forma gradual e assertiva.

Além disso, o GDPR exige que todas as empresas assistidas tenham um planejamento estratégico para o caso de falhas em sistemas e divulgação (intencional ou não) de dados pessoais não autorizados.

POR QUE CONTRATAR A PEDUTI? 

A Peduti possui expertise em conjugar as questões jurídicas com a tecnologia da informação. Portanto, o seu relatório será voltado, principalmente, para as medidas que esse setor deverá implementar, a fim de ficar “em compliance” com a GDPR. Isso inclui questões como firewall, criptografia, acesso à informação e tamanho da equipe de TI, entre outros aspectos.

A Peduti auxiliará a conexão entre as áreas jurídica e de TI da sua empresa.

Após a avaliação do cenário, o escritório produzirá um relatório robusto com as informações coletadas e auxiliará a empresa a traçar um plano de ação. Reuniões periódicas com o DPO do cliente também serão realizadas.

A Peduti não oferece apenas a melhor consultoria, mas também o melhor custo.

Está precisando fazer a avaliação dos processos da sua empresa para saber por qual caminho seguir? Consulte-nos! Para outras informações, continue de olho em nossos posts.

—

“Se quiser saber mais sobre este tema, contate o Dr. Cesar Peduti Filho.”
“If you want to learn more about this topic, contact the managing partner, Dr. Cesar Peduti Filho.”

A preocupação com a privacidade dos dados pessoais na era da internet cresce a cada dia entre os usuários da rede. Saber como implementar as regulamentações da GDPR (General Data Protection Regulation, na tradução literal, Regulamentação Geral de Proteção de Dados) é essencial para a sua empresa na era digital. 

A GDPR, que entrou em vigor em 25 de maio de 2018, foi criada pela União Europeia (UE) a fim de proteger os dados pessoais dos habitantes desse bloco econômico e político. Portanto, se a sua empresa não está dentro da UE, mas possui acesso, coleta ou trata dados de cidadãos europeus em seus registros, ela precisa se adequar às novas regras.

As multas que serão aplicadas para as empresas que não cumprirem a nova regulamentação são pesadas, podendo chegar a 4% da renda anual global da empresa, ou 20 € milhões de euros, prevalecendo o valor mais alto. 

Quais os passos para implementar as regulamentações da GDPR?

A primeira coisa que a empresa precisa ter em mente é que, a partir da entrada em vigor da GDPR, a responsabilidade em proteger os dados pessoais dos titulares é de responsabilidade de quem coleta, armazena ou trata, de qualquer forma esses dados. Em síntese, quem possui acesso aos dados pessoais de um usuário deverá se responsabilizar pela segurança, proteção e privacidade desses dados. 

Além disso, somente o titular dos dados é capaz de autorizar que eles sejam utilizados e para quais finalidades, por isso é tão importante a obtenção do aceite do usuário.

É importante que todos os funcionários da empresa se envolvam com o processo de adequação às normas. Muitos setores precisam ser totalmente reformulados e muitos processos revistos. A seguir, alguns passos para auxiliar na transição.

Tenha um Comitê de Segurança da Informação

O DPO (Data Protection Officer, ou Comitê de Segurança da Informação) passa a ser obrigatório em empresas que necessitem gerenciar dados pessoais, seja ela pública ou privada. Ele será responsável por garantir que as novas regras sejam seguidas, além de realizar auditorias frequentes nos processos estipulados pela empresa, apontando falhas no sistema e propondo melhorias.

É importante que esse comitê seja formado por pessoas de diferentes áreas da empresa. Essa formação trará uma visão global de todos os procedimentos da empresa que envolvem a manipulação de dados pessoais.

Caberá ao comitê auxiliar na implementação da regulamentação da GDPR tendo um encarregado, que será o principal responsável e desempenhará papel relevante durante a transição.

Faça uma avaliação do sistema atual

Durante essa etapa, é importante que o DPO avalie quais são os dados pessoais que a empresa detém, incluindo informações genéticas, biométricas e de saúde. É importante realizar essa avaliação prévia para ser possível avaliar, inclusive, se são coletados dados desnecessários e/ou excessivos às finalidades da empresa. 

Após a identificação dos dados, caberá ao DPO o mapeamento de todo o processo de gerenciamento de dados, tais como: coleta, organização, recuperação, consulta, utilização, divulgação e destruição. 

O comitê deverá avaliar se existem falhas e lacunas no sistema atual, de modo que elas devem ser apontadas.

Defina um plano de ação

Após tomar conhecimento do funcionamento do sistema atual, a empresa deverá avaliar quais são os procedimentos que devem sofrer alterações para que a implementação da regulamentação da GDPR ocorra.

Todos os procedimentos que necessitarem de mudança deverão ser modificados. Tenha um planejamento para realizar as adequações, para que nenhum ponto fique de fora da atualização, e um controle de todas as alterações que já foram realizadas.

Estabeleça políticas internas e tenha procedimentos claros

É essencial que a empresa possua um Sistema de Segurança da Informação, estabelecendo medidas para controle e gestão dos dados pessoais internamente. Essas barreiras podem ser:

• físicas (como controle de acesso a determinadas áreas da empresa);
• organizacionais (com estabelecimento de políticas e códigos de conduta);
• técnicas (como a utilização de softwares que codifiquem as informações dos titulares).

A empresa deverá revisar os seus procedimentos com os colaboradores e empresas parceiras, elaborando e atualizando termos de sigilosidade além de implementar normas de conduta internas.

Faça uma revisão da política de privacidade

Um dos pontos cruciais da regulamentação é o consentimento da coleta e utilização dos dados pelos seus titulares. A política de privacidade precisa ser redigida de forma clara, concisa e transparente, para que o usuário entenda todos os pontos abordados.

A política de privacidade deverá ser revisada, para garantir que ela contenha todas as informações necessárias para que o titular tome conhecimento e decida se concorda ou não com a coleta e utilização das suas informações.

É necessário que ela mencione também como o usuário deverá proceder em caso de transferência (portabilidade) e exclusão de seus dados dos registros da empresas.

Comunicação de vazamentos de informações

Caso ocorra o vazamento de informações pessoais de titulares, a empresa tem a obrigação de reportar o incidente em até 72 horas após o ocorrido. A empresa deverá comunicar a CNPD (Comissão Nacional de Proteção de Dados). 

Portanto, ao criar o plano de ação, a empresa precisa ter ciência dessa obrigação e estar preparada caso seja necessário realizar esse comunicado.

Concepção de novos projetos

Todos os novos projetos que incluam a coleta de dados de titulares devem ter as normas do GDPR incluídas desde a sua concepção. Garantindo a privacidade e a sigilosidade dos dados desde o início.

Busque empresas especializadas

Pode ser que mesmo após seguir todos os passos acima, a empresa ainda tenha dúvidas sobre como regulamentar e implementar os novos procedimentos ou mesmo queira se certificar de que todas as exigências foram seguidas.

Nesses casos, é recomendado consultar empresas especializadas no tema, que possam fazer uma análise completa de todas as informações sobre os procedimentos coletadas pelo DPO.

Se você quer saber mais sobre a regulamentação GDPR, continue acompanhando o nosso site, pois temos outros artigos que podem ser de seu interesse. 

 

Conteúdo atualizado em: 02/06/2020

 

Em maio de 2018, na Europa, entrou em vigor um regulamento que busca a proteção dos dados dos cidadãos europeus e obriga as empresas a proteger os dados de seus clientes e outras pessoas físicas. Caso qualquer vazamento ocorra, elas devem informar ao órgão regulador. Esse regulamento é o RGPD (ou GDPR, em inglês) – Regulamento Geral de Proteção de Dados da União Europeia.
No Brasil, também foi seguida essa tendência mundial, e em 14 de agosto de 2018 foi sancionada a LGPD – Lei Geral de Proteção de Dados (Projeto de Lei da Câmara nº53/2018), que regulamenta o uso dos dados pessoais nacionalmente. Assim, as empresas deverão passar a ter regras específicas para coletar, armazenar, tratar e compartilhar os dados pessoais de clientes.

Atualmente, as empresas brasileiras terão até 3 de maio de 2021 (caso a Medida Provisória nº 959/2020, que estendeu o prazo, seja convertida em lei) para se adaptarem à nova lei, que é um marco na regulamentação para proteção dos dados. Mas quais seriam as consequências de desconhecer as novas regras GPDR e LGDP?

VAZAMENTO DE DADOS

Caso ocorra algum vazamento dos dados coletados pela empresa, a empresa tem a obrigação de comunicá-lo ao órgão competente em prazo razoável (Autoridade Nacional de Proteção de Dados, órgão da administração pública federal, integrante da Presidência da República). A instituição irá fiscalizar o cumprimento da lei por parte das empresas.

Casa haja o vazamento de dados e seja constatada alguma violação à lei, há a previsão de multas de até 2% do faturamento, até o valor máximo de 50 milhões de reais por infração.

POLÍTICAS DE CONSENTIMENTO

É essencial que as empresas sejam transparentes e que os clientes se sintam à vontade para fornecer seus dados pessoais, de acordo com políticas de consentimento. As empresas deverão deixar claro qual a finalidade daqueles dados que estão sendo coletados, sendo, na maioria das vezes, utilizados para aprimorar produtos e serviços ofertados.

Será necessário também um investimento para criar políticas de governança para o tratamento desses dados, de modo que haja uma eliminação correta das informações que não serão úteis para os objetivos da empresa.

CULTURA DE PROTEÇÃO DE DADOS

Além das adaptações tecnológicas para o controle do uso de dados, será preciso ainda a disseminação de uma nova cultura nas empresas, as quais terão que implementar novas formas mais eficientes de controle dos dados que coletam. Uma forma é por meio de treinamentos de conscientização.

A aplicação das novas regras da LGDP afetará toda a estrutura das empresas, desde a contratação de funcionário, até o contato final com os clientes. Até mesmo organizações que não mantêm contato direto com o consumidor deverão se adaptar, caso tenham acesso aos dados pessoais obtidos por outras empresas. De fato, as atividades de terceirização de serviços, de qualquer natureza, serão atividades bastante impactadas pela LGDP.

Essa nova lei representa um avanço na regulamentação de proteção de dados e na garantia dos direitos individuais, fazendo os cidadãos se sentirem mais seguros em relação aos seus dados pessoais. As consequências de desconhecer as novas regras da LGDP poderão ser graves para as empresas.

Tem alguma dúvida sobre as regras? Deixe um comentário e continue acompanhando nosso blog.

—

“Se quiser saber mais sobre este tema, contate o Dr. Cesar Peduti Filho.”

“If you want to learn more about this topic, contact the Dr. Cesar Peduti Filho.”