Desde setembro de 2020, após a vacância legal, período de adaptação para empresas, a norma passou a ser aplicável para pessoas jurídicas de direito público e privado, sendo protegidos os dados considerados de caráter pessoal dispostos em meio físico ou digital.

A plena aplicação da lei, contudo, dependia da regulamentação que definiria a dosimetria das aplicações das sanções estabelecidas na LGPD. Sem a aplicação das penalidades, a norma legal se torna letra morta.  

Em 27 de fevereiro de 2023, com vistas a garantir a aplicação da lei e resguardar o direito à proteção dos dados pessoais, a Autoridade Nacional de Proteção de Dados (ANDP), autoridade nacional responsável pela fiscalização e aplicação das penalidades ligadas ao descumprimento da lei, publicou o Regulamento de Dosimetria e Aplicação das Sanções Administrativas (Resolução CD/ANPD nº 4, de 24 de fevereiro de 2023), tornando conhecidos os critérios e parâmetros para aplicação das sanções administrativas às quais as empresas estão sujeitas caso descumpram a lei, além de trazer formas e dosimetrias para o cálculo do valor-base das multas, cumprindo a determinação do artigo 53 da LGPD.

A publicação do regulamento é, sem dúvida, um dos marcos mais importantes desde a publicação da LGPD, pois somente agora estão claros os parâmetros utilizados para a imposição de sanções pela autoridade nacional.

Um dos aspectos analisados para aplicação da penalidade em caso de descumprimento da LGPD é o dano ou prejuízo que a empresa tenha causado aos titulares dos dados. O regulamento tem como objetivo garantir o equilíbrio entre a gravidade da conduta do agente e a sanção aplicada.

A LGPD dispõe que as empresas estão sujeitas a algumas sanções para além da aplicação de multa, sendo aplicadas de forma coercitiva as penalidades abaixo:

• Advertência;
• Multa simples, de até 2% (dois por cento) do faturamento da empresa, limitada, no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração;
• Multa diária, com limite total de R$ 50.000.000,00 (cinquenta milhões de reais);
• Publicização da infração;
• Bloqueio dos dados pessoais a que se refere a infração;
• Eliminação dos dados pessoais a que se refere a infração;
• Suspensão parcial do funcionamento do banco de dados a que se refere a infração por no máximo 6 (seis) meses, prorrogável por igual período, até que se regularize a situação;
• Suspensão do exercício da atividade de tratamento dos dados pessoais por no máximo 6 (seis) meses, prorrogável por igual período;
• Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

Os dados corporativos se tornaram muito valiosos e são constantemente alvo de hackers, pois servem para desvendar modelos de negócios e coletar informações sobre clientes e parceiros, dentre outras coisas. De posse dessas informações, os cibercriminosos conseguem cometer inúmeros crimes.

Se a sua empresa armazena dados como esses em seus servidores, deve possuir mecanismos de proteção adequados. Veja a seguir algumas dicas.

1) Backup de dados

Sua empresa precisa se proteger contra todas as falhas do sistema, portanto, é imperativo criar rotinas de backup. Isso pode se dar por meio de mídia física, por exemplo, mas também de um serviço de nuvem privada.

O backup de dados também deve ser protegido contra ataques de malwares ou intrusões. Backups físicos devem, portanto, ser armazenados offline, em local seguro e distante dos servidores da empresa.  Garanta que todos os dados importantes façam parte da rotina de backup. É importante também que regularmente sejam feitos testes de recovery.

2) Controle de acesso aos dados

A maioria dos softwares utilizados em um contexto profissional, permite o gerenciamento do acesso aos dados de forma individual, de modo que os funcionários só consigam consultar determinadas informações. Também é possível restringir o direito de apagar e exportar dados. Dessa forma, você consegue proteger os dados da sua empresa contra manipulação indevida, roubo de informações ou destruição intencional.

3) O uso de criptografia

A criptografia dos dados os torna ilegíveis sem uma chave de decodificação. Esse processo possibilita a troca segura de dados entre usuários (por e-mail, por exemplo), mas pode ser aplicado igualmente a anexos, bancos de dados e informações de pagamento.

Algumas ferramentas e softwares armazenam os dados criptografados, de modo que os dados são acessíveis apenas através do uso do próprio software e da utilização de uma senha.

Na acepção da LGPD, dados pessoais são todas as informações relacionadas a uma pessoa natural identificada ou identificável, ou seja, uma pessoa física que pode ser identificada, direta ou indiretamente. Dados relacionados à saúde e, portanto, dados genéticos de pessoas identificadas ou identificáveis são, por definição, dados pessoais sensíveis que devem ser protegidos. Para citar a lei:

II – dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;

Os dados relacionados à saúde de um indivíduo são diversos e representam um grande desafio em termos de segurança. Se, por um lado, o desenvolvimento de tecnologias digitais permitiu o processamento cada vez mais abrangente desses dados, as questões de privacidade que tal processamento implica se tornam mais evidentes.

No que os titulares de dados precisam prestar particular atenção?
Consentimento: quando o tratamento de dados pessoais exigir o consentimento do titular, tal consentimento só será válido legalmente se for dado com base em informações corretas, de forma livre e destacada. O consentimento costuma ser necessário para a maior parte dos tratamentos de dados sensíveis não efetuados por profissionais de saúde.

O tratamento de dados de saúde através das tecnologias digitais é cada vez mais comum. Portanto, os atores privados terão que estar vigilantes ao coletar o consentimento dos indivíduos por meios eletrônicos, em particular através da criação de um sistema eficaz e transparente para os usuários.

Proteção de dados: os dados dos pacientes devem ser protegidos contra o acesso não autorizado ou ilegal e contra perda, compartilhamento ou destruição, mesmo que acidental. É necessário, portanto, estabelecer medidas de segurança apropriadas.

Desde a entrada em vigor da lei em 2020 e a necessidade de se adaptar a ela sob risco de incorrer em multas e sanções administrativas, algumas empresas buscaram resolver a questão do DPO atribuindo a função a um funcionário atual ou a um executivo do alto escalão, por exemplo.

No entanto, levando em consideração a independência necessária para um Encarregado de Proteção de Dados exercer o seu papel, as companhias devem ser cuidadosas com potenciais questões de conflitos de interesse com outras funções, incluindo as previamente desempenhadas pelo funcionário.

Uma das principais atribuições do DPO é ser o mediador entre os interesses do controlador dos dados (por parte da empresa), o titular dos dados (funcionários, parceiros comerciais e clientes, por exemplo) e a autarquia nacional, a Agência Nacional de Proteção de Dados (ANPD). Além disso, deve orientar sobre os procedimentos corretos a serem adotados em prol da privacidade e proteção dos dados pessoais, assim como verificar se estão sendo cumpridos.

A essa altura, as empresas já estão familiarizadas com a Lei Geral de Proteção de Dados (LGPD). Afinal, ela entrou em vigor em agosto de 2020, há dois anos, e desde o ano passado as sanções administrativas podem e devem ser aplicadas. No entanto, a lei não é totalmente clara sobre alguns aspectos, sendo que um deles é o Encarregado de Proteção de Dados, ou DPO, na sigla em inglês.

A contratação de um DPO é obrigatória para todas as empresas que realizam o tratamento de dados pessoais, sejam eles de funcionários, clientes ou parceiros comerciais. A exceção vale somente para as micro e pequenas empresas – inclusive, já falamos sobre esse tema aqui. A principal função desse profissional é assegurar o tratamento de dados pessoais em conformidade com a lei local. As demais funções incluem:

I – aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II – receber comunicações da autoridade nacional e adotar providências;

III – orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e

IV – executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

No entanto, a LGPD não dispõe sobre a formação específica para esse profissional. Para esse fim, foi publicada a Instrução Normativa SGD/ME 117, do Ministério da Economia, que dispõe sobre a indicação do Encarregado pelo Tratamento dos Dados Pessoais no âmbito dos órgãos e das entidades da administração pública federal direta, autárquica e fundacional.

Segundo a normativa, o DPO “deverá possuir conhecimentos multidisciplinares essenciais à sua atribuição, preferencialmente, os relativos aos temas de: privacidade e proteção de dados pessoais, análise jurídica, gestão de riscos, governança de dados e acesso à informação no setor público”. Além disso, “não deverá se encontrar lotado nas unidades de Tecnologia da Informação ou ser gestor responsável de sistemas de informação do órgão ou da entidade”.

O encarregado da proteção de dados, ou DPO (Data Protection Officer), na sigla em inglês, é um cargo relativamente novo para muitas empresas. A sua função e responsabilidades estão descritas na Lei Geral de Proteção de Dados (LGPD), em vigor no Brasil desde agosto de 2020.

A LGPD exige que algumas empresas nomeiem um DPO para fazer cumprir a nova regulação, o que acabou criando no mercado uma demanda por indivíduos com conhecimento e experiência comprovadas para atuarem na função. Para pequenas empresas, as responsabilidades de um encarregado de proteção de dados podem ser adicionadas às de um funcionário já existente. Para organizações maiores, muitas vezes é criado um cargo em tempo integral para desempenhar esse papel essencial.

De maneira geral, o DPO é um especialista em proteção de dados, responsável por aconselhar uma organização sobre como cumprir as exigências legais relativas ao tratamento de dados, além de investigar violações e responder quando as pessoas têm dúvidas e/ ou reclamações.

De acordo com o parágrafo 2º da LGPD, as atividades do encarregado consistem em:

I – aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II – receber comunicações da autoridade nacional e adotar providências;

III – orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e

IV – executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

Desde que entrou em vigor, em setembro de 2020, a Lei Geral de Proteção de Dados (LGPD) tem suscitado as mais diversas preocupações. Aqui no blog, já falamos sobre os motivos para se adequar à nova regulação e a importância do DPO (Data Protection Officer) para o cumprimento da LGPD. Hoje, vamos esclarecer outra questão muito importante: as multas e sanções para quem infringir a lei.

A LGPD, que foi sancionada em agosto de 2018, levou dois anos para entrar em vigor. As sanções administrativas passaram a ser aplicáveis a partir de 1º de agosto de 2021. Esse tempo foi necessário para que as empresas e órgãos públicos pudessem entender a nova regulação e se adaptar às mudanças no tratamento de dados pessoais. A lei prevê direitos aos titulares dos dados e deveres aos controladores e operadores desses dados. A fiscalização do cumprimento da lei e a aplicação das respectivas multas e sanções ficam à cargo da ANPD.

A Autoridade Nacional de Proteção de Dados (ANDP) é o órgão da administração pública responsável por assegurar a observância da LGPD no Brasil, garantindo a proteção aos direitos de liberdade e privacidade dos indivíduos. Ela atua ainda em parceria com outras entidades, como com a Secretaria Nacional do Consumidor (Senaco-MJSP), para coordenar ações de maneira uniforme, como o endereçamento de reclamações de consumidores.

Através do endereço eletrônico, os indivíduos podem criar uma petição contra o controlador dos dados pessoais, denunciar o descumprimento da LGPD e comunicar incidentes de segurança, por exemplo.

A Lei Geral de Proteção de Dados (LGPD) é a principal legislação brasileira para a privacidade de dados pessoais, nos moldes do que a General Data Protection Regulation (GDPR) é para a União Europeia. A regulação, que entrou em vigor em agosto de 2020, tem implicações para empresas e indivíduos em todo o território nacional, independentemente do meio, do país de sua sede ou do país no qual estejam localizados os dados, desde que:

a) a operação de tratamento destes seja realizada no Brasil;

b) o tratamento tenha por objetivo a oferta de bens ou serviços ou o tratamento de dados de indivíduos localizados no Brasil;

c) os dados pessoais tratados tenham sido coletados no território nacional.

Embora muitas empresas considerem a LGPD um problema inesperado, a regulação pode ajudar a otimizar diversos processos e atividades profissionais. Se os gestores investirem no atendimento as demandas da lei, poderão descobrir diversas oportunidades de negócios únicas que os aguardam. Vejamos algumas delas a seguir.

1. Credibilidade e reputação de marca

Uma empresa pode ganhar credibilidade no mercado e melhorar a reputação da sua marca caso consiga demonstrar que atende às exigências da LGPD. Ao estar em conformidade com a lei, a organização demonstra ter alcançado um alto nível de responsabilidade e proteção de dados pessoais, algo que todos os clientes, funcionários e parceiros comerciais certamente devem apreciar. Hoje, a privacidade e a segurança da informação são vistas como um diferencial chave para se destacar dos concorrentes.

2. Otimização de processos

A implementação da LGPD nas empresas exige que todos os departamentos analisem atentamente todas as etapas do tratamento dos dados pessoais a que têm acesso. Para tanto, devem mapear o fluxo de dados pessoais e verificar diversas questões, que incluem a forma de coleta, armazenamento, eliminação e medidas de proteção adotadas. Ao fazer isso, é possível apurar processos que sejam passíveis de mudanças e melhorias. Há inúmeras vantagens a serem obtidas por meio do atendimento à legislação além da própria privacidade. A otimização de processos é certamente uma delas.

3. Incentivo à inovação

A LGPD pode ser um incentivo à inovação para as empresas que souberem fazer uso dela. Por exemplo, melhorias em processos de desenvolvimento seguro de softwares (DevSecOps), ou a criação e desenvolvimento de novas funcionalidades para garantir aos clientes que seus dados pessoais sejam tratados com segurança. A proteção de dados pessoais se tornou uma questão estratégica para as empresas que desejam participar de um movimento global de inovação.

4. O consumidor em primeiro lugar

A LGPD coloca o consumidor em primeiro lugar ao reforçar seus direitos já existentes e introduzir novos. A privacidade e a proteção de dados pessoais fazem parte de um movimento global, e consequentemente haverá uma mudança cultural também nas empresas. A adequação à LGPD demanda esforço e dedicação, mas é certamente uma questão estratégica e importante para o futuro da empresa. Garantir ao cliente um ambiente seguro para os seus dados é garantia de destaque em um mercado competitivo.

Para ajudar seus clientes a estar em conformidade com a LGPD, a Pryor Global oferece os serviços de um Data Protection Officer (DPO), cuja atuação é prevista em lei.  Esse profissional ajudará a sua empresa a garantir a segurança dos dados pessoais de clientes, funcionários e parceiros comerciais. Entre em contato com nossos especialistas.

A nomeação de um encarregado pelo tratamento de dados pessoais, ou Data Protection Officer (DPO), é obrigatória, de acordo com o Artigo 41 da Lei Geral de Proteção de Dados (LGPD), exceto para pequenas empresas, conforme já mencionamos em outro artigo. Em suma, o DPO assegura a proteção dos dados pessoais nos termos da lei, além de intermediar os interesses da empresa, que é a controladora, e do titular dos dados.

As atribuições do Data Protection Officer incluem:

 Compliance – O DPO deve assegurar que a empresa realize o tratamento de dados pessoais em conformidade com a Lei Geral de Proteção de Dados. Além disso, esse profissional tem a função de interpretar a lei para os agentes de tratamento (o controlador e o operador) e todos os envolvidos no tratamento dos dados, aconselhando sobre as melhores ações a serem tomadas.

Orientação e treinamento – O DPO é responsável por promover a educação e a sensibilização sobre a correta proteção dos dados pessoais, atuando na formação e conscientização dos funcionários, sugerindo procedimentos e criando uma verdadeira cultura de proteção de dados na empresa.

Autonomia – O DPO deve atuar de forma autônoma no cumprimento de suas funções, sem influência do controlador ou do operador dos dados pessoais. As suas considerações éticas e práticas devem estar em primeiro lugar. O Data Protection Officer não deve ser dispensado ou penalizado por cumprir o seu papel, por exemplo, se apontar o risco de descumprimento da lei em determinada ação da empresa.

Prestação de contas – O DPO deve estar disponível para responder a quaisquer perguntas que os titulares dos dados possam ter sobre a proteção dos seus dados pessoais. Durante o desempenho das suas funções e para cumprir as suas obrigações, o DPO deve dispor de todos os recursos adequados, incluindo o acesso aos dados pessoais e às atividades de tratamento.

Representação junto à Autoridade Nacional de Proteção de Dados (ANPD) – O DPO é quem vai receber as comunicações da autarquia nacional e tomar as devidas providências.

O Brasil é o sexto país do mundo que mais sofre com o vazamento de dados. A afirmação é o resultado de uma pesquisa realizada pela Surfshark, empresa de privacidade e segurança online. No período de novembro a janeiro do ano passado, os dados de quase 25 milhões de brasileiros foram expostos a partir de ataques cibernéticos ou falhas nos sistemas das empresas.

Essa é mais uma estatística preocupante sobre a insegurança digital que ronda os brasileiros. Por isso, a criação e a entrada em vigor da Lei Geral de Proteção de Dados (LGPD) é tão importante, uma vez que garante o direito à privacidade de cidadãos brasileiros ou estrangeiros que estejam no país, além de aplicar multas e sanções aos responsáveis pelo vazamento de dados.

Para as empresas, as mudanças são drásticas, mas obrigatórias. O tratamento de dados pessoais, desde a coleta, armazenamento e compartilhamento, devem respeitar os princípios da LGPD, além de contar com uma base legal válida.  As empresas devem ainda nomear um DPO (Data Protection Officer) para atuar como uma espécie de fiscal e responsável pela manutenção da conformidade com a legislação de proteção de dados.

Antes da LGPD, muitos gestores não se davam conta da necessidade de investir em segurança digital. Agora, tendo que liderar as mudanças propostas pela lei, muitos não sabem por onde começar. Por isso, nesse momento de adaptação ao novo ambiente regulatório, pode ser mais vantajoso contar com o auxílio de um prestador de serviços terceirizado, que tenha a expertise e a experiência necessárias para garantir que as empresas atuem em conformidade com as normas vigentes.