Tag: ISSO 27001 o que é

Por Danielle Fernandes Reis[1] sobre Proteção de Dados Pessoais

A Lei Geral de Proteção de Dados Pessoais – LGPDP já está em vigor?

A Lei nº 13.709, de 14-08-2018, que dispõe sobre a Lei Geral de Proteção de Dados Pessoais e altera a Lei nº 12.965, de 23-04-2014[2], apesar de ter sido publicada em agosto de 2018, entrou em vigor, parcialmente e delimitada a alguns artigos, em dezembro de 2018 e tem previsão de estar completamente vigente em agosto de 2020[3]. Deste modo, mesmo sem estar completamente vigente, a norma chancela e direciona a proteção de dados pessoais.

A saber, os artigos que já estão vigentes, desde 28-12-2018, são os artigos 55-A ao 55-K, que tratam da Autoridade Nacional de Proteção de Dados – ANPD, e os artigos 58-A e 58-B, que abordam o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade.

Questões preliminares

A Lei em questão “dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural” (art. 1º). O dado pessoal, em questão, ficou definido como sendo a informação relacionada a pessoa natural identificada ou identificável.

Entre os fundamentos que disciplinam a proteção de dados pessoais tem-se, por exemplo, (i) o respeito à privacidade; (ii) a liberdade de expressão, de informação, de comunicação e de opinião; e (iii) a inviolabilidade da intimidade, da honra e da imagem.

A norma também detalha os casos de aplicação e inaplicação da Lei.

Tratamento de dados pessoais

O artigo 7º ensina que o tratamento de dados pessoais somente poderá ser realizado em hipóteses taxativas. Entre elas, cita-se (i) mediante o fornecimento de consentimento pelo titular; (ii) para o cumprimento de obrigação legal ou regulatória pelo controlador; (iii) para a tutela da saúde, em procedimento realizado por profissionais da área da saúde ou por entidades sanitárias, entre outras.

Por sua vez também estão previstas as hipóteses de término do tratamento de dados pessoais. O término ocorrerá nas seguintes hipóteses:
I – Verificação de que a finalidade foi alcançada ou de que os dados deixaram de ser necessários ou pertinentes ao alcance da finalidade específica almejada;
II – Fim do período de tratamento;
III – Comunicação do titular, inclusive no exercício de seu direito de revogação do consentimento conforme disposto no § 5º do art. 8º desta Lei, resguardado o interesse público; ou
IV – Determinação da autoridade nacional, quando houver violação ao disposto nesta Lei (art. 15).

Pertinente acrescer que caso o controlador ou operador[4], em razão do exercício de atividade de tratamento de dados pessoais, cause a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, este será obrigado, por óbvio, a repará-lo.

Da segurança e das sanções

Frente ao item de segurança, a Lei determina a responsabilidade dos agentes de tratamento na adoção de medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Dentre tantas diretrizes, a norma também traz a previsão de sanções administrativas caso os agentes de tratamento de dados cometam infrações. Multa e publicização da infração (após devidamente apurada e confirmada a sua ocorrência) são tipos de sanções que podem ser imputadas aos agentes.

Importância da Lei e conclusões

A LGPDP, criticada por uma corrente que a define como “vaga”, merece destaque haja vista que ao estabelecer uma série de regras sobre o tratamento de dados pessoais, inclusive nos meios digitais, permite, ou pelo menos objetiva, que a sociedade brasileira tenha maior controle a respeito da privacidade e autenticidade dos dados.

Fazendo uma análise mais extensiva da norma e a correlacionando com as atividades empresariais, tem-se que os Termos de Confidencialidade são documentos de suma importância a fim de resguardar as partes envolvidas em um negócio jurídico ou em negociação. No decorrer de tal negociações, fornecimento de bens e produtos e/ou prestação de serviços, as partes tem acesso a diversas informações que precisam ser preservadas e protegidas.

Absolutamente a LGPDP representa um marco e assente a importância da proteção de dados, em especial nos meios digitais.

Para nós da Verde Ghaia, que temos acesso as mais diversas informações de nossos clientes e potenciais clientes, a responsabilidade com a segurança da informação é não só um de nossos diferenciais, como também um compromisso.

[1] Danielle é bacharel em Direito pelo Centro Universitário UNA e advogada (i) especialista em Gestão Ambiental pela Universidade Católica Dom Bosco – UCDB, (ii) especialista em Direito Ambiental e Minerário pela Pontifícia Universidade Católica – PUC/MG e (iii) aluna da matéria isolada de Valoração Ambiental no Mestrado em Sustentabilidade pelo Instituto Federal de Educação, Ciência e Tecnologia de Minas Gerais – IFMG. É também técnica em Meio Ambiente pelo Centro Federal de Educação Tecnológica de Minas Gerais – CEFET MG. Atuante nas áreas de Direito Ambiental, Administrativo, Constitucional, Civil e Empresarial, é Advogada do Departamento de Risco Legal da empresa Verde Ghaia Consultoria e Educação Ambiental Ltda. e uma das responsáveis pelo site www.vgriscolegal.com.br.

[2] A Lei nº 12.965, de 23-04-2014, estabelece princípios, garantias, direitos e deveres para o uso da Internet no Brasil.

[3] O artigo 65 da Lei nº 13.709, de 14-08-2018, determina que a Lei entra em vigor da seguinte forma:

I – quanto aos art. 55-A, art. 55-B, art. 55-C, art. 55-D, art. 55-E, art. 55-F, art. 55-G, art. 55-H, art. 55-I, art. 55-J, art. 55-K, art. 58-A e art. 58-B, no dia 28 de dezembro de 2018; e

II – vinte e quatro meses após a data de sua publicação quanto aos demais artigos.   

[4] O artigo 5º da Lei nº 13.709, de 14-08-2018, define o conceito de controlador e operador da seguinte maneira: inciso VI – CONTROLADOR: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais; e inciso VII – OPERADOR: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.

Por Maria Rossi[1].

Você já ouviu falar na nova lei brasileira de proteção de dados? Sabe qual a importância dela para o seu empreendimento? Dando continuidade as nossas discussões sobre os temas das Normas ISO 31000, vamos explorar a relação da Gestão de Riscos e a Proteção de Dados.

Primeiramente, vamos entender do que trata a Lei nº 13.709/18

Sancionada em agosto de 2018, a norma vem com intuito de proteger o direito de privacidade dos proprietários de dados, fornecidos às empresas, bem como traçar regras no tocante à destinação dessas informações, aumentando a segurança jurídica das relações entre ambas as partes: contratante e contratado.

A quem se destina essa Lei?

Apesar da impressão de que a repercussão da Lei será apenas em empresas de tecnologia, devido ao fato da base para atuação destas ser a utilização de bancos de dados pessoais, trata-se de um leviano engano.

Todas as empresas que se utilizam de dados pessoais de terceiros, sejam pessoas físicas ou jurídicas, através de plataformas digitais ou não, para exercer atividades cuja finalidade seja lucrativa, estão sujeitas às determinações dessa legislação.

A partir de quando a Lei entra em vigor?

Tendo em vista, o fato de a norma trazer incontáveis mudanças sobre a temática, ela só entrará em vigor 18 meses após sua sanção. Deste modo, as empresas têm até 14 de fevereiro de 2020 para se adequarem às novas diretrizes. Embora pareça estar bem longe a data limite, aconselha-se que as organizações busquem se adequarem às mudanças, caso seja necessário.

E quais são as sanções em caso de descumprimento da Lei?

Além das penalidades administrativas, como advertências e multas, tanto o controlador, quanto o operador, das informações podem ser responsabilizados na esfera cível, podendo ser condenados ao ressarcimento de danos causados na seara patrimonial, moral, individual ou coletiva em caso de violação da legislação.

Posta essa introdução acerca da Lei, qual é a relação que se pode estabelecer entre a Gestão de Riscos (ISO 31000) e a Proteção de Dados? Para que o cumprimento da norma em voga seja eficaz, é preciso que se faça um estudo dos possíveis riscos de descumprimento dela e, então, que se busque a prevenção destes em consonância com as atividades desenvolvidas pela empresa.

Trata-se de uma Gestão de Riscos com o objetivo de otimizar a conformidade com a legislação. Inclusive, é ideal que este projeto seja iniciado o quão antes possível para que seja realizado de forma completa e produtiva, haja vista que o período de vacância (lapso temporal entre a sanção e a vigência da lei) é longo. Deste modo, permite que as empresas consigam estar em conformidade com mais facilidade.

Portanto, caso você queira estar preparado para a vigência da Lei, nada melhor do que realizar uma Gestão de Riscos e elaborar estratégias para prevenir possíveis não conformidades.

Para tanto, conte conosco! E acompanhe os próximos artigos sobre a ISO 31000!

[1] Maria Rossi Horta de Almeida é estagiária no Grupo Verde Ghaia e graduanda em Direito pela Faculdade de Direito Milton Campos.