Arquivos Dados Sensíveis - LGPD Soluções

Dados pessoais sensíveis e o consentimento do titular

LGPD Soluções Marketing — Fri, 14 Aug 2020 17:30:55 +0000

O tratamento de dados pessoais sensíveis recebeu redação específica dos artigos 11 a 13 da Lei de Proteção de Dados (LGPD). O cuidado especial reservado à matéria deriva da tentativa de preservar o titular dos dados sensíveis, neutralizar o potencial discriminatório e garantir a proteção especial, considerando-se o impacto negativo da veiculação irrestrita dessas informações.

A atenção do legislador no processamento dos dados pessoais sensíveis estendeu-se às suas modalidades, sendo elas: com ou sem consentimento do titular. Frise-se, a regra geral é a do consentimento do titular, que deve ser inequívoco e dado unicamente para finalidades específicas. Entretanto, a LGPD assegurou em hipóteses específicas a possibilidade do tratamento dos dados sensíveis sem o consentimento do titular.

Veja também: 10 dicas para navegar com segurança na internet

O rol de hipóteses de processamento desses dados sem consentimento está previsto no inciso II do art. 11 da LGPD. As hipóteses em que o controlador é capaz de ter acesso à essas informações sem consentimento do titular são: quando o tratamento é indispensável para cumprir obrigação legal do controlador, para a execução de políticas públicas, para a proteção à vida, à saúde e à segurança, para o fomento à pesquisa e fins judiciais e regulatórios.

Se a LGPD dedicou um trecho específico a esse cuidado mais restritivo, por que excepcionar o consentimento em algumas hipóteses?

Existem aspectos estratégicos que precisam ser assegurados. A finalidade pública, por exemplo, é norteada pelo interesse público, e visa a execução de competências legais e atribuições legais do serviço público para fins sociais, como eficiência da administração pública e segurança pública.

No Brasil, a coleta de dados pessoais sensíveis atinge também setores como o eleitoral. O TSE, a partir de seu projeto piloto de 2008 vem coletando a biometria da população brasileira para fins eleitorais. De modo que há intensa discussão quanto ao uso, compartilhamento, e alteração da finalidade para demais instrumentos de identificação civil.

Evocando mais uma vez o dilema típico em matéria de tratamento de dados entre a compatibilidade com a tutela jurídica de dados pessoais e o direito à privacidade e as garantias constitucionais típicas de um Estado de Direito.

Veja também: Dados Pessoais no Marketing Político

A LGPD buscou deixar muito explícito que não há qualquer autorização para o compartilhamento generalizado e irrestrito de dados pessoais, com destaque para os dados sensíveis.

Ao revés, buscou especificar caso a caso quais são as hipóteses de processamento desses dados, quando dispensam o consentimento, qual a postura esperada do controlador quando de posse dessas informações, dentre outras medidas. Sobretudo, com a criação da Autoridade Nacional de Proteção de Dados (ANPD).

A ANPD é o órgão gestor da LGPD, responsável pela fiscalização e regulamentação no que se refere à coleta, ao tratamento e ao compartilhamento dos dados. A criação do órgão regulamentador e fiscalizador em combinação a toda estrutura legal proposta pelo legislador só reforçam o cuidado em prevenir danos aos titulares dos dados, sem que isso impeça a atuação dos controladores.

Todavia, é preciso destacar a necessidade de regulação complementar do conteúdo por parte da ANPD, desde logo considerada pela LGPD no art. 55-J, §3º.

Bem como os desafios que se impõem à prática, já que, a LGPD tem sua entrada em vigor prevista para 16/08/2020 e não só atividade na produção de regulação complementar não foi iniciada, como as atividades da ANPD sequer podem ser constatadas. Há quem considere o risco de sequer ter havido nomeação de seus membros quando da entrada em vigor da LGPD.

Veja também: Escuta e gravação de chamadas no ambiente de trabalho

Sobretudo, é preciso entender que para além dos desafios impostos pela realidade e com os quais a LGPD pretende lidar, de modo a garantir a relação de maior custo-benefício às partes. Assegurando a proteção aos direitos do titular dos dados, assim como os benefícios do controlador.

Há outros instrumentos capazes de facilitar a coexistência nessa relação, e um bom exemplo é o mecanismo de anonimização. Trata-se da possibilidade de anonimizar dados, retirando-se a informações que caracterizem a identificação do titular do dado, por meio de meios técnicos como inteligências artificiais.

Uma alternativa que vem sendo usada, por exemplo, para fins médicos. Uma vez que, com a anonimização dos dados do paciente, é possível utilizar os resultados para pesquisas acadêmicas sem, infringir dispositivos legais ou direitos dos titulares desses dados.

Apresentando-se como mais uma possibilidade para que se assegure que o tratamento de dados sensíveis caminhe em conformidade com sua finalidade e com o benefício ao titular. Sendo o tratamento de dados pessoais sensíveis de fato um mecanismo que viabilize o duplo benefício das partes envolvidas no processo.

Em conclusão, este texto procura tratar sobre quais situações que os dados pessoais sensíveis podem ser acessados com e sem o consentimento do titular. Este artigo é uma iniciativa da LGPD Soluções para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Imagem: Shutterstock

Como evitar riscos e organizar a segurança dos seus dados

LGPD Soluções Marketing — Fri, 14 Aug 2020 17:17:57 +0000

A cibersegurança é uma obrigação da LGPD, bem como uma necessidade para proteger sua atividade e oferecer um serviço ou um produto confiável. Assim, é importante compreender as regras essenciais a serem seguidas e quais elementos práticos a fim de minimizar os riscos.

Implemente medidas de segurança de dados pessoais

Na proteção de dados pessoais se faz necessário implementar medidas técnicas e organizacionais apropriadas a fim de garantir um nível de segurança apropriado ao risco. Dessa maneira, a primeira etapa é identificar o tratamento de dados, quais são seus objetos e o suporte legal no qual eles se enquadram.

Em seguida, é importante avaliar os riscos de cada tratamento, qual a sua fonte, as reais ameaças de cada forma de armazenamento de dados, quais as medidas de segurança existentes e previstas para cada risco. Também é fundamental estimar a gravidade e probabilidade dos riscos com relação aos elementos mencionados acima.

A partir dessa avaliação é que as medidas de segurança adequadas para o tratamento de dados realizado pela empresa deverão ser implementadas e monitoradas. Outra recomendação é a realização de auditorias periódicas de segurança.

Dentre as medidas de segurança indicadas, podemos citar as seguintes:

– O usuário deve ter consciência das questões de segurança e de privacidade, bem como ele deve ser reconhecido e autenticado;

– Limite o acesso aos dados necessários;

– Rastreie o acesso e gerencie os incidentes. Dessa forma será mais fácil reagir a uma violação de dados;

– Tenha estações de trabalho seguras como forma de evitar acesso fraudulento, invasões por vírus ou por acesso remoto;

– Garanta a segurança dos dispositivos móveis;

– Proteja a sua rede interna, seus servidores e seus websites;

– Faça backups regulares para minimizar o impacto de perdas indesejadas de dados;

– Arquive os dados de maneira segura, ou seja, arquive os dados dentro do período de conservação que não são mais usados;

– Inclua a manutenção e destruição de dados e garanta a segurança durante todo o ciclo de vida de hardware e software;

– Gerencie os operadores e supervisione a segurança de dados com os quais eles trabalham;

– Proteja o compartilhamento de dados pessoais com outras empresas; bem como os locais nos quais os dados são armazenados, as instalações que hospedam os servidores e softwares;

– Integre a segurança e a proteção de privacidade o mais cedo possível nos projetos;

– Garanta a integridade, confidencialidade e a autenticidade das informações por meio da criptografia, por exemplo.

Faça a anonimização ou pseudonimização de seus conjuntos de dados

Um erro muito comum é pensar que dados pseudonimizados são dados anônimos. A anonimização consiste no uso conjunto de técnicas a fim de tornar impossível, na prática, identificar qualquer pessoa por qualquer meio. Por ter como uma de suas características a irreversibilidade, não permite que o dado anonimizado seja objeto de novo tratamento de dados pessoais.

Para verificar se um dado foi anonimizado, deve-se analisar se ele possui as seguintes características:

– Individualização, ou seja, se é possível isolar um indivíduo;

– Correlação, isto é, se é possível vincular informações referentes ao mesmo indivíduo;

– Interferência, em outras palavras, se é possível deduzir informações sobre um indivíduo.

Caso o dado não possua as 3 características, ele é considerado pseudonimizado e, consequentemente, objeto de proteção da Lei Geral de Proteção de Dados Pessoais (LGPD). Diferente da anonimização que retira o dado pessoal do âmbito de proteção da norma, a pseudonimização é uma medida de segurança recomendada no tratamento de dados pessoais, mas ainda sujeita às normas da LGPD.

Em conclusão, este texto procura tratar sobre como evitar riscos e organizar a segurança dos seus dados de maneira correta e de acordo com os preceitos da LGPD. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Como integrar a Lei Geral de Proteção de Dados à sua startup?

LGPD Soluções Marketing — Fri, 14 Aug 2020 17:12:59 +0000

Quando houver a coleta e o tratamento de dados pessoais por qualquer empresa, sejam elas startups ou não, elas deverão obedecer às disposições previstas na Lei Geral de Proteção de Dados (LGPD), cujo objetivo é proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade do titular desses dados.

**Como integrar um encarregado de dados (DPO – Data Protection Officer) na sua estrutura?**

1. O papel do encarregado de dados

O encarregado de dados é um especialista em proteção de dados pessoais que monitora os processos de tratamento de dados para garantir que a empresa esteja em conformidade com a LGPD e as boas práticas do setor. Ele também será quem deverá intermediar os interesses da empresa e do titular de dados, além de ser o canal de comunicação entre a empresa, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD).

2. Devo designar um DPO para a minha startup?

A LGPD impõe a indicação pelo controlador e operador de uma pessoa que funcione como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD), conforme art. 41.

Entretanto, a mesma lei prevê a possibilidade de que a autoridade nacional dispense a necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados.

Como a regulamentação pela ANPD ainda está pendente, todo aquele que realiza o tratamento de dados está obrigado a nomear um DPO.

Quem designar para a minha startup?

O §4º do art. 41 da LGPD estabelecia as qualidades e as exigências necessárias para a nomeação do DPO, porém o parágrafo foi vetado. Assim, atualmente, não há qualquer restrição legal a pessoa que será nomeada para o cargo.

Recomenda-se, entretanto, que a pessoa a ser designada possua qualidades e conhecimentos técnicos, autonomia profissional, e, se beneficie dos meios materiais e organizacionais, recursos e posicionamento que lhe permitam exercer suas tarefas.

Caso haja dentro dos quadros da Startup alguém que atenda a descrição acima, ela poderá ser nomeada. Do contrário, deve ser nomeado um encarregado externo para a proteção dos dados coletados por qualquer empresa, sejam startups ou não, de acordo com os preceitos da LGPD.

O encarregado de dados externo pode ser pessoa física ou jurídica, por exemplo, um advogado ou uma empresa de consultoria especializada em proteção de dados. Nesse caso, deve ser firmado um contrato de prestação de serviço.

Ressalta-se a necessidade prévia de verificar a confiabilidade do prestador de serviços, se ele possui ou não conhecimento suficiente das operações na sua área de expertise, a sua disponibilidade, bem como sua independência.

No âmbito de cooperação entre Startups, é possível compartilhar a função do encarregado de dados externo. Inclusive, essa cooperação permite, além de compensar a ausência de recursos humanos suficientes, que a empresa se beneficie de uma competência e da disponibilidade de profissionais dedicado e limite os custos associados ao serviço de qualidade.

Responsabilidade, prestador de serviços e operador

É comum que uma empresa recorra a operadores no âmbito de um serviço ou de uma prestação de serviço em seu nome ou sob as suas instruções (provedor de serviços de TI, empresa de serviços de TI, agências de comunicação). Em caso de pluralidade de atores, é importante deixar claro o papel de cada um dentro do tratamento de dados pessoais.

Assim, o responsável pelo tratamento de dados, controlador, é quem define os propósitos e os meios do processamento, ou seja, para que o processamento é usado e como os dados serão tratados. O operador é a pessoa física ou jurídica que processará os dados pessoais em nome de um controlador de dados.

Se você fizer uso de operadores como parte de sua atividade e que processarão seus dados sob as suas instruções, deve-se estabelecer essa relação por meio de um contrato. O objetivo da formalização da relação com um contrato é garantir que os dados pessoais confiados aos operadores estejam protegidos.

Inversamente, se você for o operador, a LGPD prevê como sua obrigação manter um registro que lista todas as categorias de atividades de processamento que você realiza em nome de seus clientes.

Em conclusão, este texto procura tratar sobre como integrar os preceitos da LGPD às empresas tipo startups. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

A LGPD e o aumento do consumo da tecnologia no cotidiano

LGPD Soluções Marketing — Fri, 14 Aug 2020 17:00:26 +0000

A entrada da tecnologia no cotidiano é tão impactante que a habilidade com aparelhos, plataformas e sistemas operacionais é quase inata aos que nascem imersos nesse ambiente. A tecnologia, de 20 anos para cá, veio como água infiltrando e preenchendo pequenos e grandes espaços e se adequando às demandas da sociedade.

Ela, a tecnologia, está em todos os lugares. Talvez, ainda, de uma forma menos megalomaníaca do que os filmes futuristas previram, mas ainda assim como recurso vital ao funcionamento de muitos ambientes do mundo de hoje. Ocorre que, em tempos de pandemia, essa percepção cresceu ainda mais. A tecnologia vem possibilitando o home office, o acesso mais rápido à informação, a minimização das fronteiras físicas e geográficas – já que mensagens, vídeos e áudios garantem uma interação mais instantânea e real – dentre muitas outras possibilidades.

Em reportagem publicada pela Exame, em março de 2020, o coronavírus fez crescer exponencialmente o uso de plataformas eletrônicas, de games e do streaming. Jogos com transmissão eletrônica superaram a marca de 60 mil espectadores simultâneos. Há pesquisas que apontam que com o isolamento social os padrões de consumo e uso de dados tiveram alterações expressivas, contando com picos de tráfego mais rotineiros.

Ok, mas onde está o problema nisso tudo? Todo uso mais intenso de um recurso traz em seu processo a demonstração de suas fragilidades. O que, em matéria de proteção de dados combina o dilema da liberdade de expressão e da privacidade. Se as relações em um cotidiano fora da pandemia já se tornavam cada vez mais eletrônicas, o COVID-19 só veio para intensificar o processo. Levando inúmeras plataformas a tornarem-se intermediárias das relações e mecanismos de interação. A grande questão, portanto, é compreender se em meio a esse contexto de aumento da utilização dos recursos vem sendo acompanhado da tomada de medidas para o aumento da conformidade às previsões legais.

O caso da plataforma de reuniões Zoom, que foi notificada pelo Ministério da Justiça sobre possível vazamento de dados de usuários, ou ainda do Houseparty, cujos usuários alegaram invasão de hackers por meio do app, são alguns exemplos. O que pode ser feito para minimizar esses riscos? Estar em conformidade e conhecer bem as previsões da LGPD no que tange a tecnologia e os dados. A lei de proteção de dados prioriza o elo mais frágil de todo esse contexto, o usuário, mas vale lembrar que ela é favorável a todos envolvidos.

Garantir segurança, demonstrar conformidade, promover os relatórios em que se demonstre a finalidade, o tempo de uso, os limites, entre muitas outras ações que o tratamento de dados envolve só traz credibilidade aos operadores, controladores e às empresas em si. A adequação da tecnologia às previsões da LGPD são um caminho sem volta e que demanda tempo, por isso é recomendável que seja feito logo e gradualmente. O adiamento da entrada em vigor da lei deu tempo de sobra para isso, mas vale lembrar que quanto antes adequados à norma, melhores os efeitos às partes dessa relação. E, quem sabe, menos frequentes os casos de violações.

Em conclusão, este texto procura tratar sobre o aumento do consumo da tecnologia no nosso cotidiano e como isso se relaciona com a Lei Geral de Proteção de Dados (LGPD). Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Como combater as fake news durante a pandemia do coronavírus

LGPD Soluções Marketing — Fri, 14 Aug 2020 16:45:57 +0000

Em um contexto de isolamento social, ansiedade e de proliferação de informações de forma desenfreada há toda uma discussão sobre a divulgação, confiabilidade e subnotificação de dados. Em estudo divulgado pela Agência Brasil e realizado sob o comando do IBGE, nos últimos meses de 2018, 1 em cada 4 brasileiros não possui acesso à Internet. Os números são muito altos, e o Brasil vem lutando ao longo dos anos para diminuir a marca e melhorar nesse aspecto.

Ocorre que, ainda que os números sejam altos, a parcela da população que possui acesso à rede já configura índices altos e desafiadores. A mesma pesquisa divulgou que cerca de 181,9 milhões de pessoas acessa a rede no Brasil. Mais do que nunca a qualidade no conteúdo que o usuário recebe como destinatário da informação precisa ser impecável. Como garantir acesso à informação de forma mais igualitária e homogênea, portanto?

Os Provedores de aplicação, como, por exemplo, as redes sociais, têm atuado de forma impactante nesse sentido. Considerando o contexto de pandemia problemático, por si só, diversas plataformas adotaram medidas como: (i) ajustes em suas diretrizes da comunidade (Community Standards), (ii) verificação maior de conteúdos com o uso de bots para evitar fake news sobre coronavírus, (iii) uniram-se a organizações de saúdes para a divulgação de informações mais esclarecedores sobre a doença e (iv) impediram o disparo de informação desenfreado e automatizado durante o período de COVID-19, como é o caso do Whatsapp no Brasil.

Ainda que a atuação das plataformas ocorra sob algumas críticas, pertinentes, de riscos à liberdade de expressão e da ausência de regulamentação específica no que se refere à atuação que apresentam. Vale destacar que, para além da enxurrada de informações que chegam aos usuários, é preciso que haja qualidade nesse conteúdo. Caso contrário, o efeito é reverso. Assemelhando a um emaranhado de fios, repleto de nós e que impede a fluidez e de fato a interpretação da informação.

Por isso, atuar no esclarecimento dos dados, na verificação da veracidade, na priorização de fontes confiáveis é essencial. Em consonância a isso, a LGPD veio na busca do preenchimento de lacunas, e para promover esse cuidado, beneficiando titulares dos dados, operadores, controladores e demais partes envolvidas na relação. A informação é vital, há quem considere os dados o novo petróleo, mas ela deve chegar ao destinatário de forma segura e eficaz.

Em conclusão, este texto procura tratar sobre como combater as fake news durante a pandemia do coronavírus. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Como gerenciar os dados em conformidade com a LGPD

LGPD Soluções Marketing — Fri, 14 Aug 2020 16:31:55 +0000

1. Construa seu registro e catalogue seus dados pessoais

Em primeiro lugar, gerenciar os dados pessoais que foram coletados é uma atividade que possui a obrigação de manter registradas as operações de tratamento de dados de acordo com o que prevê o artigo 37 da LGPD.

O registro dos dados é um documento de levantamento e análise do tratamento de dados pessoais realizado que deverá refletir a realidade dos processos de tratamento, bem como identificar:

– as partes interessadas/envolvidas;

– as categorias de dados processados;

– para que serve o tratamento, quem acessa aos dados e com quem eles são comunicados;

– o prazo de conservação;

– como funciona a segurança dos dados.

Além de uma obrigação jurídica, o registro é, sobretudo, uma ferramenta de orientação para verificar se a atividade está em conformidade com a LGPD. Ele permite documentar e obter uma visão geral dos processos de tratamento de dados.

2. Defina uma finalidade para os dados pessoais

A finalidade corresponde ao uso que você fará com aqueles dados coletados. Esse fim deve ser respeitado durante toda a construção e seu uso nos processos de tratamento de dados. Ela deve ser clara, compreensível e respeitada. Não é possível usar os dados para outro objetivo além daquele definido.

3. Verifique a pertinência dos dados pessoais

Os dados coletados devem ser apenas aqueles estritamente necessários para atender a finalidade definida.

4. Trata-se de um dado pessoal sensível?

Os dados pessoais sensíveis são as informações que revelam a origem racial ou étnica, opiniões políticas, crenças religiosas ou filosóficas ou associação a sindicatos dos seus titulares. Também são considerados dados sensíveis informações genéticas, biométricas, os dados relacionados à saúde, vida sexual ou orientação pessoas das pessoas.

Em razão dessa sensibilidade, o tratamento desses dados só é possível em hipóteses limitadas previstas no art. 11 da LGPD.

Devo fazer um relatório de impacto à proteção de dados pessoais? Se sim, como?

Quando um tratamento de dados pessoais representa um risco elevado para os direitos e liberdades das pessoas envolvidas, um relatório de impacto sobre a proteção de dados deve ser elaborado.

A princípio compete à Agência Nacional de Proteção de Dados estabelecer quais são as operações de tratamento para as quais o relatório é obrigatório. Essa lista ainda não foi criada, contudo, é possível extrair da legislação internacional que o tratamento que preenche ao menos 2 dos 9 critérios da European Data Protection Board deve elaborar esse relatório de impacto.

Os 9 critérios consistem em:

– Avaliação/scoring, os quais incluem comparação/criação de perfis;

– Decisão automatizada com efeito legal ou similar;

– Vigilância sistemática;

– Coleta de dados sensíveis ou altamente pessoais;

– Coleta de dados pessoais em larga escala;

– Cruzamento de dados;

– Tratamento de dados pessoais de vulneráveis (idosos, crianças e adolescentes, por exemplo);

– Uso inovador (uso de novas tecnologias);

– Exclusão do benefício de um direito/contrato

Como instalar a portabilidade de dados?

O direito à portabilidade oferece às pessoas a possibilidade de recuperar uma parte de seus dados em um formato aberto e legível por máquina. Elas podem também recuperar esses dados com um propósito de uso pessoal, de armazenamento em um dispositivo ou nuvem de dados privada, por exemplo.

Ademais, é possível que as pessoas escolham transferir seus dados pessoais de uma empresa para outra, seja por ela mesma, seja diretamente pela empresa que detém os dados – ressalvadas as hipóteses em que a transferência direta entre empresas não seja tecnicamente possível.

Como gerenciar as transferências internacionais de dados de acordo com a LGPD?

Em regra, a transferência internacional de dados é permitida nos casos em que os países internacionais ou organismos internacionais proporcionam grau de proteção de dados pessoais adequados ao previsto pela LGPD.

Também é possível a transferência quando forem oferecidas e comprovadas garantias de cumprimento dos princípios, dos direitos do titular de dados e do regime de proteção de dados previsto na Lei nacional. Outras hipóteses em que se permite a transferência são casos de cooperação internacional; obrigação legal; proteção da vida ou incolumidade física do titular ou terceiro; ou quando a autoridade nacional autorizar.

Em conclusão, este texto procura tratar sobre como gerenciar os dados em conformidade com a LGPD. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Microtargeting e a LGPD contra a disseminação de fake news

LGPD Soluções Marketing — Fri, 14 Aug 2020 16:12:16 +0000

O famoso vazamento de informações para fins eleitorais, o qual impactou milhares de usuários e envolveu a empresa Cambridge Analytica, ganhou o mundo e teve impacto global. A conduta da empresa, acusada de apoderar-se de informações relativas a cerca de 87 milhões usuários do Facebook, de diversos países tais como o Brasil. A empresa teria efetuado o tratamento de dados de usuários por meio de postagens, interações e hábitos, construindo um direcionamento do algoritmo com mensagens altamente refinadas e direcionadas para os diversos eleitores, e para além disso, se utilizado de recursos como testes de comportamento comuns e típicos nesses provedores de aplicação para sem qualquer consentimento ter acesso aos dados dos usuários.

Esse comportamento ganhou o nome de “Microtargeting”, palavra-chave para compreender a estratégia comercializada pela Cambridge Analytica e adotada em muitas campanhas eleitorais mundo afora. Na realidade, nada mais é do que a construção de microalvos, por meio de modelos matemáticos e computadores que decifram o comportamento dos usuários, no caso, eleitores. Esses modelos e computadores são alimentados com o tratamento de dados dos usuários.

Alguns exemplos de informações que interessam esse sistema seriam: os veículos de comunicação que os indivíduos consomem, revistas e jornais mais lidos; seu padrão de consumo, com produtos mais consumidos; quais seriam seus hábitos e direcionamento cultural, social e econômico; que tipo de informação curtem, compartilham e produzem. A partir da somatização dessas informações, seria possível direcionar e modular a oferta de informações que chega aos usuários, impactando diretamente também em sua conduta. O que foi muito importante para fins eleitorais em países como os EUA, em 2016, e o Brasil, nas últimas eleições.

Como todo novo desafio e todos os problemas, para além de resolvê-los, é preciso aprender com eles. Como tornar essa estratégia idealizada pela Cambridge Analytica viável? Como aprender com isso, utilizando-a para fins positivos e importantes para a sociedade? É inegável que o escândalo da empresa escancarou ainda mais as fragilidade e lacunas que precisam ser preenchidas em tempos de hegemonia da Internet e da tecnologia.

Em um enorme esforço para evitar esse vazamento de dados e esse uso não autorizado, diversas nações buscaram codificar a matéria do microtargeting, o que aconteceu com a Europa na forma do Regulamento Geral sobre Proteção de Dados (RGPD), e no Brasil com a Lei Geral de Proteção de Dados Pessoais (LGPD). A qual, ainda encontra-se pendente de vigência.

Assim como é o caso da LGPD que ainda aguarda a entrada em vigor e seus efeitos, mas seus efeitos e anseios já estão em análise. A pandemia do coronavírus trouxe a necessidade de se aprender na prática. A pandemia trouxe efeitos inesperados e muito importantes no cenário global, e em matéria de tecnologia, muito se tem discutido sobre como minimizar esses efeitos. Sem dúvidas, uma população mais informada, instruída e engajada colabora muito para um cenário mais favorável.

Por isso, além da LGPD, existem mecanismos de filtragens de informação, de controle de compartilhamento, de chegada de notícias, instruções e dados estatísticos seguros e de fontes confiáveis são boas alternativas de microtargeting contra a desinformação. A plataforma do YouTube, logo no início da pandemia, informou que promoveria esse tipo de conduta. Conduzindo os algoritmos para o direcionamento dos usuários a conteúdos institucionais das organizações de saúde e sanitárias, de veículos de informação confiáveis e promovendo materiais de marketing e propaganda informativos.

Em uma breve análise é perceptível a condução do conteúdo disponibilizado aos usuários, do direcionamento e até de um certo controle das plataformas quanto aos padrões de consumo e de comportamento dos usuários na rede. Por outro lado, isso é feito em meio a uma das maiores crises globais em anos e feito de forma positiva, garantindo informação de confiança e o combate à desinformação e ao trending topic do momento: as fake news.

Mais uma vez a Internet veio para nos mostrar os muitos desafios que ainda estão por vir e que temos que enfrentar, mas também, que é possível aprender com alguns erros e seguir em frente. Sempre em busca do usufruto do que a rede é capaz de nos proporcionar, sem que para isso seja necessário a violação de direitos de seus titulares.

Em conclusão, este texto procura tratar sobre microtargeting e a LGPD na luta contra a disseminação de informações falsas. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

A remoção de conteúdo à luz da Lei Geral de Proteção de Dados

LGPD Soluções Marketing — Fri, 14 Aug 2020 15:40:09 +0000

Em tempos de muita desinformação e fake news outro fenômeno ganhou muita força: a remoção de conteúdo realizada pelos provedores de aplicação. Alguns pontos merecem ser esclarecidos antes disso. Provedores de aplicação é a expressão utilizada para o que costumamos chamar de redes sociais e das plataformas de busca, por exemplo. São comumente chamados também por Big Techs – grandes empresas do ramo tecnológico. No que se refere à remoção de conteúdo, as perguntas que surgem são: Como e por que esses conteúdos são retirados do ar? Há amparo legal para isso?

Em meio à pandemia global do coronavírus esse tipo de questionamento ganhou novos contornos. A retirada de conteúdo da Internet foi verificada, não apenas para usuários comuns, mas para contas notórias e com credibilidade social. O Presidente da República, inclusive, teve publicações removidas de plataformas, sob a justificativa de configurarem conteúdo falso e inadequado. Essa postura se repete para diversas figuras relevantes na sociedade brasileira, Facebook, Instagram e Youtube retiraram do ar vídeo do líder religioso Silas Malafaia, e o Twitter, por sua vez, removeu tweets do Senador Flávio Bolsonaro e do Ministro do Meio Ambiente Ricardo Salles. Em todos os casos a justificativa foi a de informação falsa e inadequada, e todos relacionavam-se ao contexto do COVID-19.

Como essa remoção acontece? O Brasil, em matéria de Internet e tecnologia conta com duas bases legais específicas. O Marco Civil da Internet (MCI) e a Lei Geral de Proteção de Dados Pessoais (LGPD). O primeiro, vigente desde 2018, estabelece princípios, garantias, direitos e deveres para o uso da Internet, e a LGPD (com a vigência pendente por força da MP 959/2020) aborda a questão de proteção de dados. Além disso, ambos tratam muito mais da ótica do provedor de aplicação e do operador do que apenas do usuário em si.

A verdade é que a remoção de conteúdo vem ocorrendo muito mais por atuação dos provedores de aplicação em si, à luz dos padrões da comunidade (Community Standards). Muito disso, em razão da vigência ainda pendente da LGPD e da não especificidade do MCI nessa matéria. Sempre que as Big Techs consideram que um conteúdo viola critérios estabelecidos nessas diretrizes (por promoverem discurso de ódio, preconceito, ataque a minorias, violência, entre outros) as plataformas atuam na remoção desse material. Alguns exemplos de diretrizes para essas políticas são as do Facebook, Instagram e do Youtube. Em tempos de COVID-19, os veículos modificaram muitos critérios e apresentaram iniciativas no combate à desinformação e às Fake News.

O tema da remoção de conteúdo traz ainda a discussão sobre a liberdade de expressão. Já que, essa atuação dos provedores de aplicação na retirada de conteúdo do ar passa por um crivo e análise restritos a sua ingerência. O que torna o processo subjetivo e cuja percepção prescinde de cuidados para que recaia em restrições e violações à liberdade de expressão e à livre informação por força dessa atuação.

Fica evidente que são inúmeros os desafios quanto ao tema da remoção de conteúdo, um dos novos temas do momento. Sua regulamentação, que recai em seus limites e espaços ocupados, bem como todos os contornos que a retirada de conteúdo da rede produz ainda vão promover amplos debates. Resta estar atento para entender melhor e aprender junto ao processo.

Entretanto, é sempre importante perceber que, a vigência pendente da LGPD, não impede a adequação às suas previsões. A LGPD veio em busca do preenchimento de lacunas, de modo que sua aplicação se faz necessária desde logo. A chave deve girar para compreender que contrariar seus cuidados pode implicar violações tremendas à privacidade, à liberdade e aos direitos de partes envolvidas no processo.

Em conclusão, este texto procura tratar sobre os preceitos da LGPD e a remoção de conteúdo da internet. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

A LGPD e banners de consentimento de cookies: quais são as boas práticas?

LGPD Soluções Marketing — Wed, 05 Aug 2020 23:47:57 +0000

A concepção de um caminho ao usuário do serviço ou produto digital deve permitir às pessoas o controle de seus dados pessoais e o conhecimento de seus direitos. A transparência, a informação clara e acessível, bem como a coleta do consentimento do titular de dados de maneira honesta são elementos que devem ser levados em consideração ao criar as suas interfaces.

Informe o usuário de maneira transparente

Informar o usuário é fundamental porque permite que a pessoa compreenda o porquê e como são processados os dados pessoais coletados. Dessa maneira, elas consentem com aquele tratamento confiantes.

As informações devem ser concisas, transparentes, compreensíveis e de fácil acesso em termos simples e claros. Ela deve ser fornecida no momento da coleta de dados ou quando houver uma alteração na modalidade de tratamento.

Colete o consentimento dos usuários corretamente

O consentimento é uma das bases legais previstas pela LGPD para autorizar um tratamento de dados. Ele é, portanto, um dos meios pelos quais um tratamento se torna lícito. Para ser válido o consentimento deve ser, cumulativamente, livre, específico, informado e inequívoco.

Possibilite o exercício desses direitos

Os direitos permitem que as pessoas tenham meios de ação concretos sobre seus dados pessoais. A implementação de funções e procedimentos simples e eficazes para o exercício de direitos possibilita o cumprimento de obrigações legais, bem como atende, tranquilamente, as pessoas que desejam exercer seus direitos nesses procedimentos.

**Faça uso de banners de consentimento de cookies no seu site de acordo com as regras da LGPD**

Os editores de sites de internet possuem a obrigação de coletar o consentimento dos usuários antes da apresentação de determinados cookies – como publicidade direcionada, redes sociais ou medição de público-alvo sob condições – e fornecer a eles meios de se opor a eles. Assim, um banner cookie é uma forma fácil de obter esse consentimento assim que o usuário acessa ao site.

Em conclusão, este texto procura tratar sobre as boas práticas envolvendo as regras da LGPD e a inserção de banners de consentimento de cookies que rastreiam a atividade do usuário na internet. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Melhores soluções para armazenamento de dados

LGPD Soluções Marketing — Tue, 21 Jul 2020 23:33:05 +0000

Na concepção da estrutura da aplicação, deve-se identificar os dados pessoais que serão coletados e definir um caminho e um ciclo de vida para cada um deles. A escolha dos suportes de dados (armazenamento local, servidor, serviço em nuvem) é uma etapa crucial que deve ser adaptada às suas necessidades, mas também ao seu conhecimento técnico.

O registro de atividade de tratamento e uma análise de impacto podem ajudá-lo nessa escolha.

Veja também: Blog Solere – Como escolher a estrutura adequada para tratamento de dados?

Estude o caminho dos seus dados

Represente e descreva no início do projeto a operação esperada com ele, com um diagrama dos fluxos de dados e a descrição detalhada dos processos implementados e dos suportes utilizados.

Quando os dados são apenas armazenados no terminal do utilizador (armazenamento local) ou permanecem confinados às redes de comunicação totalmente sob o controle do usuário (por exemplo, Wi-Fi ou outra rede local), o ponto principal atenção é a segurança de dados. O período de conservação desses dados pode ser determinado pela própria pessoa, no entanto, ela pode excluir esses dados a qualquer momento.

Quando os dados devem passar por um serviço online, a escolha quanto a hospedagem consigo mesmo esses dados ou de passar para um provedor de serviços deve ser feito de acordo com o seu conhecimento de segurança e da qualidade esperada pelo serviço.

Veja também: Blog Solere – Quais são as regras básicas de segurança virtual para empresas?

As ofertas de armazenamento virtual (nuvem de armazenamento) reconhecidos costumam apresentar níveis de segurança superiores. Entretanto, essas nuvens geram novos riscos que devem ser controlados.

Caso recorra a um provedor de serviço de hospedagem

A escolha de um provedor deve garantir a implementação de medidas de segurança e de confidencialidade adequadas e suficientemente transparentes.

Conheça a localização geográfica dos servidores que vão hospedar os seus dados. Os países têm diferentes níveis de proteção de dados por isso, caso seja necessário realizar a transferência de dados para locais fora do âmbito de proteção para os quais seus dados estão sujeitos, é importante garantir nesse local exista um nível de proteção de dados suficiente e apropriado.

Caso seja necessário recorrer a um provedor de hospedagem de dados de saúde, garanta que o provedor é certificado ou aprovado para a atividade.

Veja também: Blog Solere – LGPD: medidas de conformidade que empresas devem seguir

Deve-se ter atenção se o provedor de serviços hospedagem possui:

– Política de segurança acessível;

– Medidas de segurança e de proteção física para o site de hospedagem;

– Encriptação de dados e dos outros procedimentos que garantam que o provedor não tenha acesso aos dados que lhe são confiados;

– O gerenciamento de atualizações, de autorizações, de autenticações de equipe e de segurança do desenvolvimento das aplicações; e,

– A reversibilidade/portabilidade de dados fácil num formato estruturado e normalmente usado, sob pedido e a qualquer momento.

Em conclusão, este texto procura tratar sobre as melhores soluções para armazenamento de dados para a sua empresa. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Imagem: Unsplash