Após a promulgação da Lei Geral de Proteção de Dados (LGPD), a privacidade e a proteção dos dados pessoais ganharam espaço no dia a dia dos brasileiros. Diante desse cenário, convivemos e reconhecemos a importância do momento de escolher, por exemplo, quais permissões conceder a um aplicativo, quais cookies permitir o acesso a um site ou quais checkboxs marcar ao final de um formulário. Isso exige uma nova cultura de privacidade.

Essas palavras ganharam espaço também no mundo corporativo, trazendo para o território nacional discussões e práticas aplicadas em outros países, como aqueles sob a abrangência da General Data Protection Regulation (GDPR), regulamento aplicado à União Europeia. Acompanhamos com a LGPD a crescente implantação de avisos e políticas de privacidade, criação de novos canais de comunicação com os titulares, além do crescimento de algumas áreas, dedicadas a cultivar e manter uma cultura de privacidade nas organizações.

A missão de fomentar essa cultura pode parecer estar ao encargo da área de privacidade ou ser absorvida por áreas como segurança da informação, jurídico e compliance, entre outras. Contudo, as atividades que tratam dados pessoais não são desempenhadas apenas por essas áreas, mas por uma diversidade de áreas a depender da natureza do negócio. A coleta, o uso e o descarte adequados dos dados pessoais estão nas mãos de cada colaborador da organização que lida com tais informações.

Por isso, a construção de uma nova consciência voltada para a proteção dos dados de titulares e das operações da organização somente será possível com a colaboração de todas as partes. A integração entre as áreas de negócio e a área de privacidade deve ser constante, ou seja, desde a concepção das operações, serviços e produtos que envolvem dados pessoais, deve-se colocar em prática os Princípios de Privacy by Design, propostos por Ann Cavoukian.

Dessa forma, as práticas elencadas a seguir, agregando parte dessas recomendações, podem ser implementadas pela organização, contribuindo para a vivência da cultura de privacidade.

1. Buscar apoio com os times de segurança da informação e privacidade para avaliar fornecedores e sistemas antes da contratação, além de identificar possíveis vulnerabilidades que possam levar à exposição indevida de dados, bem como estabelecer cláusulas contratuais de proteção de dados com fornecedores e parceiros são ações essenciais para ajudar a prevenir e antecipar possíveis incidentes.
2. Identificar todos os dados necessários para a atividade em execução e os usos pretendidos para esses dados. Consultar o time de privacidade para alinhar as finalidades e propósitos legítimos, além de estruturar como essas finalidades serão informadas aos titulares por meio de avisos e políticas de privacidade, por exemplo, são medidas importantes para mitigar riscos.
3. Estruturar a coleta, o armazenamento e o compartilhamento dos dados sempre considerando aqueles estritamente necessários para a atividade, armazená-los somente pelo tempo necessário para atingir os objetivos almejados, além de compartilhá-los unicamente com as pessoas, fornecedores e parceiros envolvidos na atividade.
4. Atuar com responsabilidade, transparência e segurança no uso dos dados pessoais é essencial. Portanto, o fluxo de dados, ou seja, o caminho percorrido desde sua coleta até seu descarte, deve ser registrado, documentado e avaliado pelo time de privacidade. E, as medidas técnicas e organizacionais de segurança devem ser incorporadas às atividades.

A princípio são atividades corriqueiras, naturais na vida de qualquer organização, e, de fato, são. Contudo, o maior desafio está na incorporação do olhar de proteção de dados nas atividades realizadas pelas áreas, fomentando, dessa forma, a identificação de oportunidades de melhorias nos processos atuais e de cultivo dessa nova consciência, pois, como declarado por Tim Cook, “proteger os dados de outra pessoa é proteger a todos nós”.

*Hizadora D´Ambros é consultora pleno e Tainã Dias é gerente de Data Privacy. Ambas atuam na Protiviti, empresa especializada em soluções para gestão de riscos, compliance, ESG, auditoria interna, investigação, proteção e privacidade de dados.

Assunto ainda relativamente recente no Brasil, a Privacidade de Dados é tópico de interesse para toda a sociedade. Nesse sentido, promover discussões e trocas de ideia entre o setor é indispensável para encontrar os melhores caminhos e práticas para garantir a proteção dos dados no Brasil. Para incentivar esse diálogo e trazer luz aos principais tópicos relacionados à privacidade de dados no Brasil, convidamos Waldemar Gonçalves, Diretor-Presidente da ANPD (Autoridade Nacional de Proteção de Dados) para uma entrevista exclusiva.

Nessa entrevista, abordamos tópicos que ainda geram dúvidas no mercado sobre o cumprimento das normas e o setor como um todo, além de buscar compreender os próximos passos da proteção e privacidade de dados no Brasil. Confira a seguir a íntegra.

[Protiviti] Em casos práticos, vemos profissionais dedicados à privacidade de dados no Brasil, à segurança da informação ou ao jurídico acumularem também a função de Encarregado. A ANPD entende que pode haver conflito de interesses a depender do cargo do Encarregado de Dados?

[ANPD – Waldemar Gonçalves] A ANPD ainda não estabeleceu normas complementares sobre as atribuições do encarregado, tema que será objeto de regulamentação, conforme previsto na Agenda Regulatória para o biênio 2023-2024.  

Importante salientar que o agente de tratamento, ao indicar o encarregado, deve atentar para que este não esteja ocupando ou não passe a ocupar posição que acarrete conflito de interesses. Presume-se o conflito de interesses no acúmulo da função de encarregado com aquela em que haja responsabilidade pelas decisões referentes ao tratamento de dados pessoais.

O essencial é que o encarregado seja a pessoa responsável por ser o canal de comunicação entre a instituição/empresa na qual atua, os indivíduos e a Autoridade Nacional de Proteção de Dados. Além de ser responsável por conscientizar e orientar o controlador de dados pessoais e os funcionários sobre as boas práticas em proteção de dados pessoais.

O encarregado deve ser a figura que busca garantir uma comunicação adequada, para o atendimento aos direitos dos titulares, e que oriente sobre as práticas de governança de dados pessoais.

[Protiviti] Em paralelo com as regulamentações de privacidade de outros países, a Autoridade tem expectativas para uma atualização na LGPD incluindo a necessidade de o Controlador emitir declaração para comprovar que um direito requerido pelo titular foi atendido? Como, por exemplo, em casos de anonimização, bloqueio ou eliminação de dados?

[ANPD – Waldemar Gonçalves] A LGPD só pode ser modificada ou atualizada pelo legislador, cabendo à Autoridade Nacional de Proteção de Dados apenas a regulamentação dos ditames da lei. Nesse sentido, a ANPD acompanha a atividade parlamentar junto ao Congresso Nacional e procura apoiar decisões dentro dos limites da sua responsabilidade e competência.

A respeito da anonimização e pseudonimização, a Agenda Regulatória 2023-2024 prevê a elaboração de documento que visa orientar e esclarecer o uso dessas técnicas. Essa ação já foi iniciada e será concluída até 2024.

[Protiviti] A Coordenação-Geral de Fiscalização é responsável por analisar as petições dos titulares que possam conter denúncias de descumprimento da LGPD. Tendo em vista a possibilidade de receber diversas petições, a Coordenação prevê estabelecer critérios de priorização para iniciar uma investigação sobre um incidente envolvendo dados pessoais ou demais violações à lei?

[ANPD – Waldemar Gonçalves] Todo processo fiscalizatório realizado pela ANPD é precedido por um monitoramento preliminar. A partir das informações levantadas no monitoramento, a Autoridade decide se estabelece ou não um processo de fiscalização propriamente dito. Ou seja: a fiscalização acontece quando há subsídios para tal e a norma de fiscalização atualmente estabelece critérios de priorização para a avaliação do tratamento de dados pessoais pelos agentes de tratamento. Além disso, a Agenda Regulatória 2023-2024 também prevê a normatização de critérios para a comunicação de incidentes de segurança envolvendo dados pessoais e o processo de fiscalização desses incidentes.

Recentemente, a ANPD encerrou Consulta Pública sobre a proposta de Regulamento de Comunicação de Incidente de Segurança com Dados Pessoais, que contou com 1.491 contribuições da sociedade.

Isso nos revela que os cidadãos estão preocupados com o tema e estão contribuindo com a ANPD para a elaboração de uma norma justa e democrática.

[Protiviti] No ano de 2021, a ANPD e a SENACON estabeleceram um Acordo de Cooperação Técnica com o objetivo de proteger os dados pessoais dos consumidores. Com base nisso, há planos para ampliar esses acordos de parceria, a fim de alcançar um entendimento padronizado sobre questões relacionadas à privacidade e proteção de dados pessoais em demais setores, como também evitar a duplicidade de esforços em termos de fiscalização?

[ANPD – Waldemar Gonçalves] Sim, queremos ampliar nossos acordos de cooperação. A Autoridade está em constante diálogo com outras instituições para aprimorar as suas próprias práticas e para melhor resguardar os direitos dos titulares de dados pessoais. Neste sentido, a ANPD possui sete Acordos de Cooperação Técnica e Convênios já estabelecidos e outros em fase de elaboração. A Autoridade se articula com as autoridades reguladoras públicas para exercer suas competências em setores específicos de atividades econômicas e governamentais sujeitas à regulação, conforme previsto na LGPD.

[Protiviti] Segundo dados divulgados pelo Instituto Brasileiro de Geografia e Estatística (IBGE), mais de 15% da população brasileira não utilizou a internet em 2021, meio imprescindível para inclusão social e conscientização da população. Os principais motivos apontados foram de ordem técnica (não saber usar a internet) ou econômica (serviço de acesso ou equipamentos eletrônicos considerados caros). Considerando que as vulnerabilidades sociais se somam ou são potencializadas pelas vulnerabilidades digitais, como a ANPD tem enfrentado o desafio de disseminar ações educativas a grupos mais vulneráveis quanto a temas como proteção de dados pessoais?

[ANPD – Waldemar Gonçalves] Esse é um dos maiores desafios que temos, além de o tema “Proteção de Dados Pessoais e Privacidade” ser algo novo, também necessita de amadurecimento e fomento para a formação de uma cultura de proteção de dados pessoais em nosso País.

Por isso, a ANPD atua fortemente na produção de Guias Orientativos para elucidar sobre os diversos assuntos que permeiam a proteção de dados pessoais. E com isso, estamos dispostos a encarar esses desafios e criar meios de consolidar essa cultura de proteção de dados pessoais no Brasil.

[Protiviti] O uso de inteligência artificial cada vez mais disseminado entre crianças e adolescentes como, por exemplo, assistentes virtuais, tem se demonstrado um grande desafio frente a vulnerabilidade inerente a esse público. Há expectativa da ANPD de uma atuação preventiva para proteção de dados pessoais de crianças e adolescentes no uso desse tipo de tecnologia?

[ANPD – Waldemar Gonçalves] A ANPD atua de forma responsiva, que engloba a prevenção, o monitoramento, a orientação e a sanção por descumprimento da LGPD.

Para todos os casos atuamos desta forma e já estamos avançando mais na fiscalização desde que o Regulamento de Dosimetria e Sanções Administrativas foi publicado.

Estamos atuando de forma preventiva em diversas áreas que envolvem a proteção de dados pessoais, independente da tecnologia utilizada, incluindo a proteção de dados pessoais de crianças e adolescentes, cabendo destacar que a Agenda Regulatória da ANPD também prevê a regulamentação deste tema.

[Protiviti] Quais são as expectativas da ANPD quanto ao uso do legítimo interesse como base legal para o tratamento de dados pessoais de crianças e adolescentes, e como a Autoridade planeja equilibrar os interesses das organizações e os direitos de privacidade dos menores nesse contexto?

[ANPD – Waldemar Gonçalves] A ANPD publicou em maio deste ano, o primeiro Enunciado que trata sobre as hipóteses legais que autorizam o tratamento de dados de crianças e adolescentes. 

Este Enunciado representa uma primeira iniciativa da ANPD relacionada à proteção de dados pessoais de crianças e de adolescentes e fixa entendimento da Autoridade acerca das possibilidades interpretativas do artigo 14 da LGPD.

De acordo com o Enunciado, o tratamento de dados pessoais de crianças e adolescentes pode ser realizado com base nas hipóteses legais previstas na LGPD, como nos casos de consentimento fornecido pelo titular, de cumprimento de obrigação legal, de proteção à vida ou de atendimento a interesse legítimo do controlador. Em qualquer situação, o melhor interesse da criança e do adolescente deve prevalecer, exigindo avaliação cautelosa por parte do controlador. 

Também, com relação ao tema, estamos trabalhando na elaboração de um Guia Orientativo sobre Legítimo Interesse, documento que trará orientações específicas para o tratamento de dados pessoais de crianças e adolescentes com base nessa hipótese legal, em conformidade com o princípio do melhor interesse.

[Protiviti] Como a ANPD espera superar o desafio de regular a transferência internacional de dados segura, sem impactar o desenvolvimento econômico e a inserção de empresas brasileiras no mercado global?

[ANPD – Waldemar Gonçalves] A regulamentação da proteção de dados de uma maneira geral impacta positivamente na inserção das empresas brasileiras no cenário global, aumentando sua competitividade. O estabelecimento de regras claras para proteção de dados pessoais aumenta a segurança jurídica, que, por sua vez, é requisito para o crescimento econômico do País.

A regulamentação das transferências internacionais é apenas uma das muitas dimensões da regulamentação da proteção de dados. Nesse aspecto, a ANPD tem procurado delinear regras mais convergentes possíveis com o que é feito no cenário internacional, de forma a garantir que as regras brasileiras sejam interoperáveis com os diversos sistemas de proteção de dados no mundo.

Além disso, está aberta para contribuições da sociedade consulta pública, que tem o intuito de receber subsídios da sociedade que são essenciais para o aprimoramento do Regulamento, a partir de contribuições valiosas por parte de variados segmentos da sociedade.

[Protiviti] Há previsão para acordos de cooperação entre países, em caso de necessidade de troca de informações entre autoridades, em situações, por exemplo, de incidentes envolvendo dados pessoais?

[ANPD – Waldemar Gonçalves] Sim. A ANPD está trabalhando para estabelecer uma rede de cooperação que possa viabilizar o enforcement extraterritorial da LGPD. A troca de informações entre autoridades é peça essencial nesse esforço. A Autoridade vem atuando junto a autoridades de outros países para o estabelecimento de alianças e troca de informações a respeito das transferências internacionais de dados pessoais.

Atualmente, temos um memorando de entendimentos com a Agência Espanhola de Proteção de Dados (AEPD) com intuito de garantir a colaboração entre os países e uma cooperação conjunta em matéria de proteção de dados pessoais e fornecer um quadro para a troca de conhecimentos técnicos e melhores práticas, a fim de fortalecer as capacidades técnicas de ambas as partes relacionadas à aplicação da lei sobre a proteção de dados pessoais.

[Protiviti] Qual é a responsabilidade do Encarregado pelo Tratamento de Dados Pessoais em caso de violação de dados pessoais? Haverá algum tipo de direito de regresso contra o Encarregado, em caso de responsabilização do controlador ou do operador?

[ANPD – Waldemar Gonçalves] A Lei Geral de Proteção de Dados Pessoais trata exclusivamente sobre o papel do Encarregado e todas as suas atividades estão elencadas em seu art. 41. A Lei não prevê responsabilidade direta do encarregado. A responsabilidade, em regra, é dos agentes de tratamento, isto é, o controlador ou o operador, conforme o caso. O Encarregado poderá responder por atos ilícitos conforme as normas aplicáveis a funcionários de empresas, por exemplo.

Com relação ao direito de regresso, a LGPD também não estabelece regramento específico sobre eventual direito de regresso contra o Encarregado, nos casos de responsabilização do controlador ou operador. Assim, aplicam-se as normas usuais nestes casos, como as que regem as relações entre funcionários e empresas. 

O tema está previsto para ser regulamentado na Agenda Regulatória 2023-2024. Após a publicação do regulamento será possível responder questões mais específicas sobre a atuação do encarregado de dados pessoais.

Saiba mais sobre a atuação da ANPD no site e conheça as iniciativas da Protiviti em Privacidade de Dados. Desde 2019, a área de Privacidade e Proteção de Dados da Protiviti atua em projetos de adequação à LGPD e GDPR, sendo reconhecida no ranking Leaders League como Excelente.

por Julia Pereira e Alexandre Tamura*

Os indicadores, sejam eles simples ou complexos, sem dúvida nos auxiliam na tomada de decisões rápidas. Com alertas sobre as condições em tempo real, eles nos permitem avaliar dados passados para identificar as possíveis tendências futuras. Por meio do monitoramento constante, é possível identificar eventuais falhas ou suspeitas que possam levar a situações que exigem alertas, permitindo a correção de forma mais efetiva e ágil.

O uso de indicadores simples ou complexos vai depender do tipo de operação que está sendo analisada. No mercado financeiro, por exemplo, o churning – prática de negociação para a geração de maiores receitas de corretagem, é um procedimento que precisa ser analisado por meio de indicadores complexos.

Isso porque, algumas negociações de alta intensidade, feitas por gestores, servem, na verdade, para alcançar uma maior taxa ou comissão, ou seja, para o seu próprio benefício, o que acaba colocando os verdadeiros interesses dos clientes de lado. A complexidade dessa operação acaba abrindo espaço para falhas e, neste caso, o uso de indicadores simples poderia reduzir a detecção de margens de erro no processo.

E quando estamos falando do mundo da privacidade, proteção de dados e segurança das informações, é possível afirmar que existe um único indicador que possa nos mostrar se a empresa passa por um ataque cibernético e que a segurança dos dados dos clientes está vulnerável? Acreditamos que não. Neste caso, provavelmente, a análise do consumo de rede pode indicar que haja uma eventual transferência de dados sendo realizada para um ambiente externo ao da empresa.

E se um indicador, simples, como um termômetro, fosse usado como ferramenta de monitoramento do CEO da empresa? Informações valiosas não seriam perdidas. Caso haja um comportamento atípico no tráfego de rede, por exemplo, a informação relevante chegaria de forma mais rápida ao executivo, permitindo acionar times responsáveis, tomar decisões mais efetivas para proteger a empresa contra ameaças, garantir a continuidade dos negócios e, eventualmente, acompanhar as investigações.

O que propomos é que indicadores sejam simples de serem interpretados e alertas sejam acionados pelos profissionais que serão ouvidos. Por meio desse mecanismo, o CEO possui acesso facilitado sobre informações relevantes que podem impactar no negócio, projetando uma visão mais sólida de um status futuro e, assim, tomar a melhor decisão de quais eventuais correções devem ser feitas. Alguém duvida que um aviso de um CEO não será tratado?

Outro exemplo que podemos citar é do desastre do ônibus espacial Challenger, o qual entrou para história como uma das mais salientes tragédias reportadas pela NASA. Tudo aconteceu após 73 segundos de decolagem, no centro espacial Kennedy, na Florida. Uma explosão culminou com a morte de astronautas e especialistas, além de todo o trabalho realizado pela equipe de engenharia. Tudo foi completamente engolido pelas chamas do fogo. Mas, o mais intrigante deste fato foram os questionamentos levantados após o ocorrido.

Um dos engenheiros chefes do projeto, Roger Boisjoly, meses antes do lançamento oficial, criou um indicador de possibilidade de rompimento de vedação. Por meio dele, era possível alertar para o desastre e preveni-lo com os ajustes técnicos necessários nos anéis de borracha do foguete. Mas os avisos foram totalmente ignorados pelos gestores da companhia espacial, juntamente com o resto da equipe de engenheiros, e por conta da fatídica decisão de continuar com as peças para arranjo do foguete, a nave explodiu.

Sendo assim, a história nos ensina que os indicadores são essenciais para a tomada de decisão, pois eles nos dão uma visão clara sobre onde estamos e para onde devemos ir. No entanto, às vezes precisamos de algo a mais, como entender o que está diante de nós e prever o que está por vir. Com a capacidade de desenvolver essa habilidade, poderíamos tomar decisões mais informadas e reduzir os riscos associados às nossas escolhas.

*Julia Pereira e Alexandre Tamura atuam na área de Data Privacy da Protiviti, empresa especializada em soluções para gestão de riscos, compliance, ESG, auditoria interna, investigação e proteção e privacidade de dados.

por Tainã Dias e Evelliza Dornela*

A profissão de DPO (Data Protection Officer) ou Encarregado de Dados se tornou conhecida no Brasil com o advento da Lei Geral de Proteção de Dados Pessoais (LGPD), tendo sido incluída, em 2022, na Classificação Brasileira de Ocupações (CBO) pelo Ministério do Trabalho.

Um DPO é a pessoa física ou jurídica responsável por realizar a comunicação entre o controlador, a ANPD (Autoridade Nacional de Proteção de Dados) e os titulares de dados. Nas organizações, exceto nas de pequeno porte, conforme Resolução CD/ANPD nº 2/2022, a nomeação deste profissional é obrigatória perante à LGPD. Mas, além da responsabilidade como agente de tratamento inerente à comunicação, o DPO enfrenta desafios no exercício da sua função que exigem atuação multidisciplinar.

Posto isso, a ele cabe a promoção da cultura de Privacidade e Proteção de Dados Pessoais na organização para que as políticas e os procedimentos internos sobre privacidade sejam seguidos em todos os níveis organizacionais.

O profissional também precisa estar sempre atento às orientações da Autoridade Nacional (ANPD), tomar as devidas providências diante das situações que envolvem tratamento de dados pessoais, prestar esclarecimentos aos titulares de dados, dar respaldo no que tange às reclamações e comunicações e orientar colaboradores sobre boas práticas, bem como monitorar a conformidade da empresa em relação às obrigações legais.

Para tanto, é necessário engajamento com diferentes áreas para que a cultura da privacidade seja estabelecida de forma efetiva e contínua. Na análise de um incidente, por exemplo, é possível e necessário envolver mais de uma área para além da atuação do DPO, como a Segurança da Informação, que irá aplicar medidas técnicas de contenção e avaliação do incidente. O jurídico, por sua vez, emitirá um parecer sobre as eventuais consequências jurídicas, e as áreas de negócio serão acionadas em caso de informações adicionais.

Nos casos de treinamentos aos colaboradores, é necessário o envolvimento do RH para promover o engajamento. Já no que tange à avaliação de fornecedores, é preciso contar com a área de suprimentos para garantir que a avaliação de privacidade faça parte do fluxo de contratação e de renovações.

Esses são alguns dos casos nos quais é possível perceber a necessidade de atuação de um DPO com conhecimento dos processos internos da organização, desenvolvimento interpessoal e capacidades técnicas que vão além de privacidade.

Essa abordagem multidisciplinar permite mitigar os riscos no que diz respeito à privacidade e à proteção de dados pessoais a partir de uma análise mais completa e efetiva sobre os impactos do tratamento das informações.

Portanto, apenas o conhecimento teórico do DPO, sem a atuação focada nas várias áreas correlacionadas ao desenvolvimento das ações de privacidade e proteção de dados e sem um bom entendimento da estrutura organizacional da empresa, o programa de privacidade não será efetivo.

*Tainã Dias e Evelliza Dornela são consultoras de Data Privacy da Protiviti, empresa especializada em soluções para gestão de riscos, compliance, ESG, auditoria interna, investigação, proteção e privacidade de dados.

As soluções DLP – ou Data Loss Prevention – impedem que informações sensíveis ou confidenciais sejam compartilhadas ou vazadas fora da organização. Com elas, é possível monitorar e analisar os dados à medida que são transmitidos ou compartilhados, assim detectando e bloqueando quaisquer dados confidenciais que estejam sendo transmitidos sem autorização.

Os sistemas DLP podem ser implementados de várias maneiras, inclusive por meio de dispositivos de hardware, aplicativos de software ou como um serviço em nuvem. Ou seja, com eles é possível monitorar e proteger dados em vários formatos diferentes, incluindo e-mail, transferências de arquivos, tráfego da Web e mais.

Com o DLP, aumenta a proteção contra violações de dados, acesso não autorizado a informações confidenciais e para cumprir regulamentos e padrões do setor. Por isso, é uma ferramenta importante para ajudar as organizações a proteger seus dados e manter a confidencialidade e integridade das informações.

Entre os vários tipos de prevenção contra perda de dados (DLP) que as organizações podem usar para proteger suas informações sigilosas e confidenciais, destacam-se:

1. DLP de rede: o DLP de rede monitora o tráfego de rede e o analisa em busca de dados confidenciais. Com isso, ele pode bloquear a transmissão de dados pela rede ou alertar os administradores se dados confidenciais forem detectados.
2. Endpoint DLP: O Endpoint DLP é instalado em computadores ou dispositivos individuais e monitora os dados à medida que são acessados, transmitidos ou compartilhados. Dessa forma ele pode impedir que dados confidenciais sejam copiados ou compartilhados sem autorização.
3. Cloud DLP: Cloud DLP é um serviço baseado em nuvem que monitora os dados à medida que são transmitidos de ou para uma plataforma de nuvem, pois pode impedir que dados confidenciais sejam compartilhados ou vazados fora da organização.

Além desses três principais, também existem outros tipos especializados de Data Loss Protection projetados para dados ou ambientes específicos. Um exemplo é o DLP móvel, projetado para proteger dados em dispositivos móveis. Também existe o DLP com reconhecimento de conteúdo, projetado para proteger especificamente contra o compartilhamento acidental ou intencional de conteúdo.

Perda de Dados Internos

A perda de dados internos refere-se ao acesso não autorizado ou compartilhamento de informações sensíveis ou confidenciais dentro de uma organização. Isso pode ocorrer quando um funcionário ou outro membro interno da organização acessa ou compartilha dados confidenciais sem a devida autorização. Além disso, violações de segurança interna ou outros problemas também podem ser a causa das perdas. Problemas técnicos, como senhas fracas, dispositivos inseguros ou práticas de segurança inadequadas, também levam a vazamentos e riscos.

Isso pode ter sérias consequências para as organizações, incluindo perdas financeiras, danos à reputação e possíveis penalidades legais. Por isso, é importante que as organizações tenham fortes controles internos para evitar a perda de dados internos e proteger suas informações confidenciais. Isso pode incluir medidas como treinamento sobre políticas de manipulação de dados, implementação de políticas de senha forte e uso de tecnologias como prevenção contra perda de dados (DLP) para monitorar e proteger dados.

Etapas para implementar o DLP em sua empresa

Algumas etapas para implementar um sistema de prevenção contra perda de dados (DLP) são:

1. Identifique e classifique dados confidenciais: a primeira etapa na implementação do DLP é identificar e classificar os dados confidenciais que precisam ser protegidos. Isso pode incluir dados financeiros, informações pessoais, propriedade intelectual e outros tipos de informações confidenciais. É importante entender onde esses dados estão localizados, como estão sendo usados e quem tem acesso a eles.
2. Determine o escopo da implementação do DLP: a próxima etapa é determinar o escopo da implementação do DLP. Isso inclui decidir quais sistemas, redes e armazenamentos de dados precisam ser cobertos pelo sistema DLP, bem como quais tipos de dados precisam ser monitorados e protegidos.
3. Escolha uma solução DLP: existem muitas soluções diferentes disponíveis, incluindo dispositivos de hardware, aplicativos de software e serviços baseados em nuvem. É importante escolher uma solução adequada às necessidades e ao orçamento da organização.
4. Configure o sistema DLP: uma vez escolhida uma solução, ela precisa ser configurada para atender às necessidades específicas da organização. Isso pode incluir a configuração de políticas e regras para monitorar e bloquear dados, bem como configurar alertas e notificações para quando dados confidenciais forem detectados.
5. Teste e ajuste o sistema DLP: antes de implantar o sistema em toda a organização, é importante testá-lo e ajustá-lo para garantir que esteja funcionando corretamente e protegendo dados confidenciais com eficiência. Isso pode envolver a execução de testes-piloto, o monitoramento do desempenho do sistema e a realização de quaisquer ajustes necessários.
6. Implemente e monitore o sistema DLP: uma vez que o sistema foi testado e ajustado, ele pode ser distribuído para o resto da organização. É importante monitorar o sistema regularmente para garantir que esteja funcionando corretamente e para fazer os ajustes necessários conforme necessário.

A implementação de um sistema DLP requer um planejamento cuidadoso e atenção aos detalhes, mas é uma maneira eficaz de as organizações protegerem informações sigilosas e confidenciais.

Serviços gerenciados de segurança: vantagens de terceirizar o DLP

Há vários benefícios em usar serviços de segurança gerenciados (MSS) para executar sistemas de prevenção contra perda de dados:

1. Especialização: os provedores de MSS geralmente têm uma equipe de especialistas em segurança treinados e experientes na implementação e gerenciamento de sistemas DLP. Isso pode ajudar a garantir que o sistema DLP seja instalado e configurado corretamente e que esteja sendo usado de forma eficaz para proteger os dados da organização.
2. Custo-benefício: usar MSS para executar DLP pode ser mais econômico do que contratar pessoal interno ou construir e manter um sistema por conta própria. Os provedores de MSS geralmente oferecem vários planos de preços e podem ajudar as organizações a escolher o plano certo para suas necessidades e orçamento.
3. Escalabilidade: os provedores de MSS normalmente podem dimensionar seus serviços para atender às necessidades de organizações de qualquer tamanho. Isso é importante porque as necessidades de DLP podem mudar ao longo do tempo à medida que uma organização cresce ou muda.
4. Tecnologia atualizada: os provedores de MSS geralmente têm acesso às tecnologias mais recentes e podem ajudar as organizações a se manterem atualizadas com novos desenvolvimentos e práticas recomendadas.
5. Monitoramento contínuo: os provedores de MSS podem fornecer monitoramento contínuo de sistemas para garantir que estejam funcionando corretamente e protegendo os dados da organização. Isso pode ajudar a identificar e resolver quaisquer problemas ou vulnerabilidades em tempo hábil.

O uso do MSS pode ajudar as organizações a aproveitar os benefícios do DLP sem precisar investir para gerenciar o sistema internamente. Isso também ajudar organizações a utilizarem os sistemas DLP corretamente e protejam informações sigilosas e confidenciais.

A Lei Geral de Proteção de Dados (LGPD) trouxe uma necessidade prática de nomeação de um encarregado do tratamento de dados pessoais, conhecido como Data Protection Officer (DPO), para atuar de forma profissional e especializada nessa pauta.

Os principais desafios dessa nomeação envolvem a necessidade de conhecimentos que se dividem em aspectos regulatórios, legais, de segurança da informação e de governança capazes de harmonizar os objetivos do negócio e a proteção aos dados pessoais dos titulares envolvidos.

A Associação Internacional de Profissionais de Privacidade (IAPP) estimou que a demanda mundial pode chegar a 75 mil profissionais, escassez que se justifica pela dificuldade de encontrar todas essas habilidades em um único profissional, sobretudo no Brasil, que tem como agravante uma legislação recente e, portanto, pouca experiência no tema. Levando em consideração esse contexto, o modelo “as a service”, ou como serviço, pode ser uma excelente opção.

A modalidade traz a possibilidade de a empresa contratante ganhar experiência de forma quase que instantânea, acelerando a conformidade ao mesmo tempo em que mitiga os riscos regulatórios e os investimentos desnecessários.

Nessa terceirização, a empresa contratante, além de ter o benefício da orientação técnica atualizada e alinhada às melhores práticas de mercado, não precisa depender de orçamento para montar uma equipe de especialistas e investir em formação e certificações constantes, usufruindo da flexibilidade da modalidade enquanto amadurece a necessidade de institucionalizar e internalizar a função.

Outro ganho notado é a autonomia para implementar as boas práticas de proteção de dados, aspecto que tem sido considerado em penalidades e multas no contexto do regulamento europeu que inspirou a LGPD. Sendo assim, a terceirização mitiga o risco do conflito de interesses, que é comum na nomeação de profissionais internos.

Mas, para o modelo “as a service” ter sucesso, é fundamental o patrocínio executivo para o engajamento de todas as partes interessadas e a escolha de empresas com profissionais certificados e suficientemente experientes em proteção de dados, privacidade e segurança da informação.

DPO: situação das pequenas empresas

Neste cenário, surge a dúvida sobre as empresas de pequeno porte. Neste caso, a nomeação de um DPO é necessária? A Autoridade Nacional de Proteção de Dados (ANPD) estabeleceu um regime jurídico diferenciado para agentes de pequeno porte, dispondo algumas regras que facilitaram a adequação, dentre elas a dispensa da nomeação de um DPO.

Porém, é preciso cautela. A resolução traz exceções de forma que nem todas as empresas de pequeno porte e startups estão isentas da obrigatoriedade do DPO. Nesse sentido, é necessária uma avaliação especializada para entender se a empresa é elegível ao benefício de simplificação e para o correto entendimento dos outros diversos dispositivos legais que permanecem aplicáveis.

O fato é que as obrigações para a manutenção da conformidade com a LGPD podem ser objeto de um contrato “as a service”, mesmo com a dispensa do DPO. Não restam dúvidas de que o ecossistema de proteção de dados das empresas no Brasil, com raríssimas exceções, é jovem, mas pode ganhar muito valor usufruindo do modelo “como serviço”.

* Bruno Santos, Gerente de Data Privacy da ICTS Protiviti, empresa especializada em soluções para gestão de riscos, compliance, ESG, auditoria interna, investigação, proteção e privacidade de dados.

Fonte: Law Innovation
https://lawinnovation.com.br/por-que-terceirizar-o-profissional-de-dpo/

O curso da história tem nos mostrado que o ser humano precisa do convívio social. Podemos afirmar que o homem não conseguiria subsistir com a ausência do auxílio recíproco entre os indivíduos. Deste modo, como os propósitos, valores e crenças são diferentes, faz-se necessário estabelecer um “padrão médio de comportamento”, de forma a respeitar a individualidade de cada ser humano. A Proteção de Dados como Direito Fundamental deve ser parte dessa conversa.

Da mesma forma que o convívio social precisa ser respeitado, existindo diversas regras, algumas positivadas e outras não, podemos dizer que a privacidade e a proteção de dados merece o mesmo tratamento. Samuel Warren e Louis Brandeis, trouxeram através da obra “The right to privacy” a ideia do “direito de estar só”. Em outras palavras, o direito de não ter sua intimidade, sua vida privada, invadida ou violada.

Na mesma linha de raciocínio, Rony Vainzof, através da obra Lei Geral de Proteção de Dados Comentada, trouxe à baila uma reflexão sobre a proteção da privacidade ser um elemento indissociável da dignidade da pessoa.

Primeiras discussões sobre a proteção de dados

Um fato de grande repercussão no Brasil relacionado à privacidade e à proteção de dados, que deu origem ao art. 154A do Código Penal Brasileiro, foi quando a atriz Carolina Dieckmann teve fotos copiadas e divulgadas sem a devida autorização.

Deste modo, atos da sociedade influenciam diretamente o direito. Como assegura André Franco Montoro: “O direito nasce da sociedade. Em cada momento ele é resultado de um complexo de fatores sociais”.

Portanto, com o objetivo de atender a uma demanda social e criar mecanismos de proteção à privacidade, surge a Proposta de Emenda à Constituição (PEC), Nº 17/2019, de autoria do Senador Eduardo Gomes.

Entendendo a PEC: a proteção de dados como direito

A PEC tem como objetivo instituir o direito fundamental à proteção de dados pessoais, e disciplinar a competência para legislação do tema. O documento que apresentou como justificação:

“o avanço da tecnologia, por um lado, oportuniza racionalização de negócios e da própria atividade econômica: pode gerar empregabilidade, prosperidade e maior qualidade de vida. Por outro lado, se mal utilizada ou se utilizada sem um filtro prévio moral e ético, pode causar prejuízos incomensuráveis aos cidadãos e à própria sociedade, dando margem, inclusive, à concentração de mercados”.

Diante dos dois principais fatores que deram origem à PEC, proteção de dados pessoais como direito fundamental, e competência para legislação, sobre o primeiro, cabe relembrar o que seria um direito fundamental à luz da Constituição.

Em uma rápida explicação, podemos definir como direitos fundamentais os direitos do ser humano que se encontram positivados na Constituição de um determinado Estado. A relevância do assunto é tamanha que o coloca no nível mais elevado dentro da hierarquia das normas jurídicas.

Quanto ao segundo fator, relacionado à competência de legislar, um dos pontos levantados foi a preocupação de se manter a segurança jurídica dos assuntos desta natureza.

De acordo com a PEC, caso não se limite a competência de legislação para o âmbito federal, diversas leis, estaduais ou municipais, poderiam disciplinar sobre a matéria, gerando diversos tipos de entendimento, e enormes problemas jurídicos.

A proteção de dads como direito fundamental pela constituição

Diante do exposto até o momento, a discussão proposta pela PEC é coerente, pois estamos diante de um cenário que não tem possibilidade de retorno. O avanço tecnológico tem feito parte da vida do ser humano, proporcionando diversas conquistas, em diversas áreas.

Dentro do mesmo pensar, o deputado Orlando Silva citou em um Requerimento Interno encaminhado ao Presidente da Câmara que:

“O uso e a exploração dos dados pessoais, por pessoas, empresas e governos, tanto localmente quanto de maneira global, impacta diretamente e de maneira decisiva a vida das pessoas. O tratamento de dados pode servir para se aceder a um benefício social, realizar um cadastro de compras ou se autenticar em um sistema de segurança. Mas também pode ser utilizado para negar acesso à saúde, encarecer propostas de seguro ou proibir o uso de determinados produtos ou serviços. O direito a proteção dos dados se torna, assim, uma necessidade para a autodeterminação informativa, para a liberdade de expressão, para a manutenção da intimidade, da honra e da imagem”.

Por fim, diante da relevância do assunto, entendemos que trazer o tema para uma pauta Constitucional é coerente, pois trata-se de um assunto ímpar que impacta a vida da coletividade. Ademais, S. Tomás, conceituado a palavra lei, registrou que “lei vem do verbo ‘ligare’, que significa ‘ligar’, ‘obrigar’, ‘vincular’. A lei obriga ou liga a pessoa a uma certa maneira de agir”.

Entendendo que a norma social é uma forma de conduta que precisa ser respeitada pelo coletivo, André Franco Montoro conceituou que “A norma jurídica é, em primeiro lugar, uma regra de conduta social. Seu objetivo é regular a atividade dos homens em suas relações sociais”.

Desta forma, inserir o tema na Constituição é garantir o direito à privacidade, contribuindo desta forma com a dignidade da pessoa humana.

O tema da privacidade no Brasil e no mundo

Nesse sentido, observa-se que a Lei Geral de Proteção de Dados (13.709/18), traz para os holofotes o tema privacidade no Brasil, abarcando princípios para garantir que a privacidade e proteção de dados pessoais sejam garantidas. Ela tambem faz com que o sujeito, dono daquele dado, seja amplamente informado e tenha direitos sobre o uso das suas informações.

A raiz dessa Lei brasileira que trata do direito à privacidade e a proteção de dados de forma tão incisiva está em solo estrangeiro.

Em meio ao caos gerado pelo escândalo da Cambridge Analytica (a empresa usou dados do Facebook dos americanos para direcionar propagandas políticas adequadas a seus perfis psicológicos mapeados), o mundo atentou-se ao fato que: dados de pessoas tinham se tornado o ativo mais caro do mundo (valores mais altos que petróleo).

O que isso significou, à época do escândalo, foi a urgente necessidade de uma regulamentação para esse mercado de alto valor, que até então navegava conforme queria.

Nesse contexto, nasceu a GDPR (General Data Protection Regulation), a Lei Geral de Proteção de Dados Europeia, que criou, entre suas normas, a obrigatoriedade de transferência internacional de dados pessoais apenas com países com legislações de privacidade e proteção de dados adequadas. Isso gerou uma corrida em diversos países para acompanhar a Europa em suas regulamentações.

O Brasil foi um desses países. Apesar de algumas diferenças, a LGPD trata o tema de forma muito similar (e atenta) as exigências da GDPR. O assunto já era legislado no Brasil em algumas legislações de forma não robusta, como por exemplo o Marco Civil da Internet e o Código de Defesa do Consumidor.

Porém, a LGPD concentra a temática de privacidade e proteção de dados pessoais, cria diretrizes específicas. Ela também prevê, além da possibilidade de aplicação de sanções, a criação da Agência Nacional de Proteção de dados como órgão inteiramente responsável pela regulação e fiscalização do tema no Brasil.

Princípios da LGPD

Nesse sentido, é importante trazer a base principiológica da LGPD, na qual se pautam todas as determinações presentes na Lei. Esses princípios estão dispostos no art.6º, e são os seguintes:

• princípio da Finalidade;

• princípio da adequação;

• princípio da necessidade;

• do livre acesso;

• qualidade;

• transparência;

• segurança;

• prevenção;

• não discriminação;

• responsabilização;
• prestação de contas.

O princípio da finalidade (Art.6º, I), garante que os dados sejam tratados para propósitos legítimos, específicos, explícitos, e informados ao titular, impossibilitando o tratamento posterior ao cumprimento desse propósito. Dessa forma, impede que empresas como a Cambridge Analytica, coletem dados de redes sociais (os quais pessoas expõe informações pessoais com uma finalidade específica) para vender seus perfis filosóficos à partidos políticos.

Já o princípio da adequação (Art.6º, II), exige a compatibilidade do tratamento com as finalidades informadas ao titular. Ou seja, a empresa deve informar explicitamente sobre o tratamento e cumprir com o informado ao titular, exigindo, inclusive, que caso isso de altere, o titular deve ser comunicado imediatamente.

Quanto ao princípio da necessidade (Art.6º, III), este limita o tratamento ao mínimo necessário para realização de suas finalidades, com a coleta de dados pertinentes, proporcionais e não excessivos. Ou seja, caso para realização de uma compra na internet, seja necessário apenas o nome e o endereço de entrega, não há por que coletar data de nascimento, CPF, RG, gênero, e média salarial, por exemplo.

O livre acesso (Art.6º, IV) é a garantia que o sujeito (dono do dado, referido neste artigo e na Lei como Titular) seja facilmente informado sobre o uso de seus dados e os propósitos de tratamento.

Em relação ao princípio da qualidade dos dados (Art.6º, V), este impõe que os dados sejam atualizados, exatos, claros e em acordo com a necessidade informada.

A transparência (Art.6º, VI) é justamente a base da obrigação da informação clara, precisa e de fácil acesso que deve ser fornecida ao titular.

A segurança e a prevenção (Art.6º, VII, VIII) exigem a adoção de medidas técnicas e ações de segurança das informações para garantir a restrição de acessos adequada, prevenir vazamento e prevenção de perdas e danos relacionados aos riscos técnicos de tratamento de dados pessoais.

A não discriminação (Art.6º, IX) é a garantia explícita legal de que nenhum dado pessoal poderá ser usado para discriminar pessoas. O amparo legal nesse sentido toma destaque também no que tange o art.11º, com as possibilidades legais de tratamento de dados pessoais sensíveis (que é o nome dado à um rol taxativo de tipos de dados que podem ser utilizados com caráter discriminatório).

Por fim, quanto ao princípio da responsabilização e prestação de contas (Art.6º, X), é relacionado às obrigações de comprovação do compliance com todos os requisitos legais e a eficácia das medidas. Ou seja, obriga as empresas a evoluir nos controles, documentação e criação de indicadores para amadurecer os Programas de Privacidade.

Os princípios traduzem as exigências trazidas pela Lei, em relação:

• a informação;

• boas práticas;

• governança efetiva de privacidade;

• investimento em segurança técnica;
• uso consciente de dados pessoais.

Isso direciona um novo caminho para muitas empresas, e principalmente para os titulares de dados.

Ademais, nós, como titulares, devemos nos preocupar com a forma que nossos dados estão sendo utilizados, questionando e refletindo antes de fornecer informações pessoais indiscriminadamente para qualquer fonte.

Hoje, depois de tantas discussões, escândalos de vazamento, e utilização dos nossos dados para finalidades questionáveis, devemos nos preocupar com cadastros em sites, e uso de aplicativos (Ex: FaceApp utiliza de forma duvidosa o mapeamento facial em uma política de privacidade confusa).

Vale ressaltar que os riscos dessa exposição são inimagináveis. Desde stalkers, até uso dos nossos dados para atividades ilícitas, manipulação de opinião (como no caso da Cambridge Analytica), discriminações. Ou seja, são infinitas possibilidades de usos indevidos de algo que tem tanto valor do mercado e vai muito além de um simples cadastro.

Assim, compreendendo a importância da privacidade e da proteção de dados como direito fundamental, bem como o contexto legislativo internacional e nacional, vê-se a importância da temática na construção de uma sociedade. Sendo esta cada dia mais tecnológica e com a privacidade e a proteção de dados ganhando cada vez mais os holofotes frente aos desafios e dúvidas sobre este importante direito atrelado à dignidade da pessoa humana.

Você também acha que a proteção de dados e a privacidade são direitos fundamentais? Opine! Deixe seu comentário no post.

* Brenda Rodrigues, consultora de Data Privacy na ICTS Protiviti e Alexandre de Araujo Bezerra, Contador, Especialista em Contabilidade Financeira e Auditoria da Brookfield Timber. Graduando em Direito.