LGPD é a sigla para Lei Geral de Proteção de Dados, sancionada no governo passado, com o objetivo de aumentar a privacidade de dados pessoais e o poder das entidades reguladoras para fiscalizar organizações. O documento altera o Marco Civil da Internet e chega em uma época propícia, marcada por grandes vazamentos de informações e escândalos que envolvem justamente o uso indevido de informações pessoais.

O prazo para as empresas se adaptarem encerra em agosto de 2020 e o não cumprimento dessas obrigações pode acarretar, por exemplo, em multas que podem chagar a R$ 50 milhões. Ainda que essa prática coloque o Brasil no grupo dos países considerados adequados na proteção à privacidade dos cidadãos, a expectativa é que os próximos meses serão de dificuldade e planejamento dentro das corporações.

Caso Cambridge Analytica

Um teste psicológico elaborado por Aleksandr Kogan, professor de Cambridge, e produzido pela Global Science Research foi o responsável por coletar dados pessoais de milhões de pessoas que fizeram o teste e de seus amigos na rede social, Facebook.

O esquema da coleta de dados aconteceu devido a uma brecha nos termos e condições do Facebook que dizia que nenhum dado coletado pela rede social poderia ser vendido, porém, não aplicava a mesma restrição à aplicativos que usavam a rede social, como era o caso desse teste psicológico.

Portanto, quando um usuário do Facebook fazia o teste ele entregava para a Global Science Research seus dados e dados de seus amigos na rede social, como nome, e-mail, local de moradia, gostos e hábitos na internet.

A empresa, aproveitando a brecha da rede social, vendia esses dados para a Cambridge Analytica, empresa que fazia análise de dados e que era contratada pela campanha presidencial de Donald Trump e pelo grupo que promovia a saída do Reino Unido da União Europeia (Brexit).

Em posse desses dados, a Cambridge Analytica analisava o perfil do eleitor e com base nisso direcionava propaganda a favor do movimento político que tivesse contratado seus serviços. É verdade que o usuário teria consentido para que seus dados fossem tratados dessa forma, porém, o consentimento vinha quase que escondido nos termos e condições do teste.

Um dos fatores que motivou a aprovação da LGPD foi esse escândalo, não só porque a Cambridge Analytica planejava atuar nas eleições do Brasil deste ano, mas também foi exposta a necessidade de ter uma lei que regulasse o tratamento de dados pessoais.

No entanto, a General Data Protection Regulation (GDPR), norma que regula o tratamento de dados nos países da União Europeia, entrou em vigor logo em seguida a esse caso e a partir dela foi tirado os princípios básicos pelos quais se baseia a LGPD.

LGPD e a proteção de dados pessoais

Antes de entrar nos detalhes da norma e seus requisitos é necessário entender que a LGPD define como dado pessoal qualquer informação relacionada a pessoa natural identificada ou identificável, ou seja, qualquer dado pelo qual você consiga identificar uma pessoa ou que com a união de outro dado possibilite essa identificação.

É importante saber disso porque a LGPD não trata de dados soltos sobre preferências políticas, sexuais, filosóficas, dados relacionados a etnia e de caráter religioso a não ser que esses possam ser usados para identificar alguém. Esses dados são classificados como dados pessoais sensíveis.

Bases para tratamento de dados pessoais

Como já foi dito, a LGPD regulariza o tratamento de dados pessoais e esclarece para empresas quando essas podem tratar os dados. Dessa forma, são estabelecidas justificativas que dão direito à uma empresa tratar dados. Tais justificativas são parte integral de como funciona a LGPD pois, através delas, se delimita a linha entre o tratamento legal e ilegal de dados, evitando que entidades possam usar brechas para manipular dados pessoais.

Algumas dessas justificativas para tratamento de dados devem ser destacadas como o consentimento. A LGPD determina que, se uma empresa quer usar o consentimento do usuário como justificativa para tratar dados pessoais, o consentimento dado pelo usuário deve ser inequívoco.

Portanto, a cláusula para consentimento não deve vir entrelinhas de termos e condições intermináveis, tem que estar claro para o usuário que ele está deixando certos dados dele serem tratados por terceiros. Dessa forma, é assegurado mais controle ao usuário.

Outra justificativa para tratamento que deve ser ressaltada é a para proteção de crédito. Antes da lei, instituições financeiras trabalhavam com um sistema opt-out para tratar dados de clientes. No sistema opt-out, o cliente de um banco, por exemplo, já tem seus dados financeiros comunicados entre bancos sem ele pedir.

Com a LGPD, o sistema muda para “opt-in”, nesse caso, o cliente tem que dar permissão para que seus dados sejam comunicados entre bancos, novamente, a lei garante privacidade e controle ao usuário.

Outra base para tratar dados é aquela de interesse legítimo. Essa diz que o tratamento de dados pode ser feito se houver interesse legítimo de um responsável ou terceiro. Tal justificativa causa ambiguidade na lei porque, não se sabe ao certo o que seria considerado como interesse legítimo.

Direitos do usuário

Como foi visto, a lei se preocupa em garantir a privacidade e o controle de dados pessoais pelo usuário. Dessa forma, a lei estabelece direitos do usuário, que é uma parte vital de como funciona a LGPD.

Todos os direitos do usuário estabelecidos pela LGPD são voltados justamente para essa garantia de controle de dados pessoais pelos próprios usuários, porém, alguns chamam atenção.

O direito ao esquecimento dá a oportunidade ao usuário de controlar a maneira como é exposto na internet. Se algum conteúdo que o envolve está sendo colocados em sites e o usuário quiser retirá-lo, ele tem o direito de exigir a remoção desse conteúdo.

O direito ao acesso também é importante porque deixa o usuário sabendo quais conteúdos alguma empresa está armazenando sobre ele. Esse direito aliado ao direito da informação, que deixa o usuário saber como seus dados estão sendo tratados, dá controle ao usuário a partir do momento que ele sabe quais dados estão armazenados e como eles estão sendo expostos.

Os direitos estipulados pela LGPD dificultam casos como o da Cambridge Analytica, que se utilizava de brechas e de desconhecimento dos usuários para manipular dados pessoais a seu favor. Com a lei, o usuário tem a oportunidade de assumir comando de seus dados e escolher como e para quem os dados serão expostos.

Efeito Dominó da LGPD

Seguindo o modelo da GDPR, a Lei Geral de Proteção de Dados também tem aplicação extraterritorial, de forma que toda empresa que tratar dados de cidadãos brasileiros ou de estrangeiros que residem no Brasil, mesmo não tendo sede ou filial no Brasil, tem que se regularizar conforme a lei brasileira.

Todos os processos que exigem tratamento de dados pessoais devem estar em regularidade com a lei. Para evitar multas e paralisação de suas atividades no Brasil, empresas vão procurar se regularizar e exigir que empresas parceiras se regularizem.

Por esta razão é dito que a LGPD tem um “efeito dominó”, empresas precisam que todas as etapas de seu processo estejam conforme a lei, inclusive etapas onde lidam com empresas parceiras.

Penalidade pelo descumprimento da lei

As penalidades pelo descumprimento da LGPD podem envolver proibição total ou parcial de atividades relacionadas a tratamento de dados. No entanto, a não conformidade com a lei também pode trazer sérios prejuízos financeiros à empresa em forma de multas.

Essas multas podem corresponder até 2% do faturamento da empresa ou conglomerado limitado até R$ 50 milhões por infração cometida. Uma infração pode ser interpretada, no caso de um vazamento de dados, como cada dado pessoal vazado.

Isso significa que mesmo se milhares de dados foram vazados de uma empresa, cada dado pode custar até R$ 50 milhões em multa. Ainda há possibilidade de multas diárias para compelir a entidade a cessar as violações.

As multas severas são necessárias para que a empresa entre em conformidade com a lei. Se não houver punições desse tipo, há o risco de a lei cair em desuso caso entidades não queiram se regularizar.

Entretanto, algumas partes da lei são ambíguas e podem resultar em interpretações que podem custar muito a uma empresa. Por isso, há necessidade de haver um órgão que regule e clarifique essa lei para organizações. Havia um órgão previsto na lei para fazer esse trabalho, mas no momento da aprovação da LGPD ele foi vetado.

Resumimos o entendimento da LGPD nos seguintes pontos:

Objetivo: a principal meta é garantir a privacidade dos dados pessoais das pessoas e permitir um maior controle sobre eles. Além disso, a lei cria regras claras sobre os processos de coleta, armazenamento e compartilhamento dessas informações, ajuda a promover o desenvolvimento tecnológico na sociedade e a própria defesa do consumidor.

Motivação: há um grande debate no setor desde 2010 sobre a proteção dos dados. Entre os fatores que levaram à aprovação do projeto de lei brasileira foi o GPDR, regulamento que entrou em vigor na União Europeia em maio de 2018. Como este documento tem aplicabilidade a todos os cidadãos europeus, a lei tem aplicabilidade extraterritorial, muitas empresas brasileiras já tiveram que se adequar para esta nova realidade.

 Principais pontos: a lei é aplicada a todos os setores da economia; possui aplicação extraterritorial, ou seja, toda empresa que tiver negócios no país deve se adequar a ela; consentimento do usuário para coletar informações pessoais; os titulares podem retificar, cancelar ou até solicitar a exclusão desses dados; criação da Autoridade Nacional de Proteção aos Dados (ANPD); e a notificação obrigatória de qualquer incidente.

 Data Protection Officer: a partir de agora, as organizações devem estabelecer um Comitê de Segurança da Informação para analisar os procedimentos internos. Dentro deste órgão haverá um profissional exclusivo para a proteção dos dados e responsável pelo cumprimento da nova lei.

 Avaliação da Maturidade dos processos e Impacto de Riscos: é o levantamento de quais situações devem ser corrigidas pela empresa para a garantia de que a LGPD seja cumprida em todos os departamentos.

 Redução da exposição ao risco: aqui, é a etapa de implementação das medidas para proteger os dados pessoais na base da empresa. Elas podem ser de segurança, técnicas e administrativas, que evitam, combatem ou minimizam a perda ou indisponibilidade de ativos de informação devido a ameaças que atuam sobre algumas vulnerabilidades.

 Adoção do Privacy by Design: aborda a proteção desde a concepção do produto ou sistema, sendo incorporada diretamente às estruturas tecnológicas, ao modelo de negócio e à infraestrutura física. Ou seja, a privacidade está presente na própria arquitetura, permitindo que o próprio usuário seja capaz de preservar e gerenciar a coleta e o tratamento de seus dados pessoais.

Cumprimento dos subcontratantes: a LGPD estende-se também aos subcontratantes de uma empresa, como fornecedores e parceiros de tecnologia. Eles também ficam sujeitos às obrigações e podem realizar pagamentos de indenização, por exemplo.

 Multas: a nova lei prevê sanções para quem não tiver boas práticas. Elas englobam advertência, multa ou até mesmo a proibição total ou parcial de atividades relacionadas ao tratamento de dados. As multas podem variar de 2% do faturamento do ano anterior até a R$ 50 milhões, passando por penalidades diárias.

 Parceiro especializado: lidar com esta situação enquanto tenta administrar o negócio não é fácil. Um parceiro especializado pode auxiliar nesse período de transição, possibilitando um maior conhecimento e aplicação de medidas eficientes para o cumprimento da lei.

Conclusão

A LGPD é um grande avanço no cenário de segurança de dados pessoais no Brasil, visto que é a primeira lei no Brasil a lidar com o assunto. A lei realmente assegura ao usuário o controle de seus dados pessoais e proporciona a ele mais privacidade, através de normas claras que ditam como devem ser tratados os dados pessoais e quais são os direitos do usuário.

Apesar de algumas partes da lei ainda serem um pouco ambíguas e precisarem de amadurecimento, a LGPD dá diretrizes para lidar com o tratamento de dados, removendo várias incertezas que se tinha sobre o campo anteriormente.

Fica, portanto, um desafio: adaptar serviços e produtos para que fiquem conforme a LGPD, visto que, até 2020, quem quiser fazer negócio no Brasil vai ter que ter sua política de tratamento de dados pessoais regularizada. Para isso, empresas de “cybersecurity” podem prestar serviços de consultoria para ajudar empresas e outras entidades entrarem em conformidade com a lei, evitando qualquer tipo de prejuízo que pode surgir se a lei não for observada.

Fernando Flauto – CyberSecurity Director

Atua há 29 anos nas áreas de auditoria, governança e segurança de TI em corporações de grande porte e em empresas de auditoria independente. Profundos conhecimentos em Tecnologia da Informação, Governança e processos de auditoria e controles internos. Conduziu dezenas de trabalhos nas Américas e Europa.

 

 

Smart decisions. Lasting value.

© 2019 Crowe Macro Auditoria e Consultoria Ltda.
Crowe Macro Auditoria e Consultoria Ltda. is a member of Crowe Global, a Swiss verein. Each member firm of Crowe Global is a separate and independent legal entity. Crowe Macro Auditoria e Consultoria Ltda. and its affiliates are not responsible or liable for any acts or omissions of Crowe Global or any other member of Crowe Global.

Mostrar Aviso