Arquivos Segurança Digital - LGPD Soluções

Dados pessoais sensíveis e o consentimento do titular

LGPD Soluções Marketing — Fri, 14 Aug 2020 17:30:55 +0000

O tratamento de dados pessoais sensíveis recebeu redação específica dos artigos 11 a 13 da Lei de Proteção de Dados (LGPD). O cuidado especial reservado à matéria deriva da tentativa de preservar o titular dos dados sensíveis, neutralizar o potencial discriminatório e garantir a proteção especial, considerando-se o impacto negativo da veiculação irrestrita dessas informações.

A atenção do legislador no processamento dos dados pessoais sensíveis estendeu-se às suas modalidades, sendo elas: com ou sem consentimento do titular. Frise-se, a regra geral é a do consentimento do titular, que deve ser inequívoco e dado unicamente para finalidades específicas. Entretanto, a LGPD assegurou em hipóteses específicas a possibilidade do tratamento dos dados sensíveis sem o consentimento do titular.

Veja também: 10 dicas para navegar com segurança na internet

O rol de hipóteses de processamento desses dados sem consentimento está previsto no inciso II do art. 11 da LGPD. As hipóteses em que o controlador é capaz de ter acesso à essas informações sem consentimento do titular são: quando o tratamento é indispensável para cumprir obrigação legal do controlador, para a execução de políticas públicas, para a proteção à vida, à saúde e à segurança, para o fomento à pesquisa e fins judiciais e regulatórios.

Se a LGPD dedicou um trecho específico a esse cuidado mais restritivo, por que excepcionar o consentimento em algumas hipóteses?

Existem aspectos estratégicos que precisam ser assegurados. A finalidade pública, por exemplo, é norteada pelo interesse público, e visa a execução de competências legais e atribuições legais do serviço público para fins sociais, como eficiência da administração pública e segurança pública.

No Brasil, a coleta de dados pessoais sensíveis atinge também setores como o eleitoral. O TSE, a partir de seu projeto piloto de 2008 vem coletando a biometria da população brasileira para fins eleitorais. De modo que há intensa discussão quanto ao uso, compartilhamento, e alteração da finalidade para demais instrumentos de identificação civil.

Evocando mais uma vez o dilema típico em matéria de tratamento de dados entre a compatibilidade com a tutela jurídica de dados pessoais e o direito à privacidade e as garantias constitucionais típicas de um Estado de Direito.

Veja também: Dados Pessoais no Marketing Político

A LGPD buscou deixar muito explícito que não há qualquer autorização para o compartilhamento generalizado e irrestrito de dados pessoais, com destaque para os dados sensíveis.

Ao revés, buscou especificar caso a caso quais são as hipóteses de processamento desses dados, quando dispensam o consentimento, qual a postura esperada do controlador quando de posse dessas informações, dentre outras medidas. Sobretudo, com a criação da Autoridade Nacional de Proteção de Dados (ANPD).

A ANPD é o órgão gestor da LGPD, responsável pela fiscalização e regulamentação no que se refere à coleta, ao tratamento e ao compartilhamento dos dados. A criação do órgão regulamentador e fiscalizador em combinação a toda estrutura legal proposta pelo legislador só reforçam o cuidado em prevenir danos aos titulares dos dados, sem que isso impeça a atuação dos controladores.

Todavia, é preciso destacar a necessidade de regulação complementar do conteúdo por parte da ANPD, desde logo considerada pela LGPD no art. 55-J, §3º.

Bem como os desafios que se impõem à prática, já que, a LGPD tem sua entrada em vigor prevista para 16/08/2020 e não só atividade na produção de regulação complementar não foi iniciada, como as atividades da ANPD sequer podem ser constatadas. Há quem considere o risco de sequer ter havido nomeação de seus membros quando da entrada em vigor da LGPD.

Veja também: Escuta e gravação de chamadas no ambiente de trabalho

Sobretudo, é preciso entender que para além dos desafios impostos pela realidade e com os quais a LGPD pretende lidar, de modo a garantir a relação de maior custo-benefício às partes. Assegurando a proteção aos direitos do titular dos dados, assim como os benefícios do controlador.

Há outros instrumentos capazes de facilitar a coexistência nessa relação, e um bom exemplo é o mecanismo de anonimização. Trata-se da possibilidade de anonimizar dados, retirando-se a informações que caracterizem a identificação do titular do dado, por meio de meios técnicos como inteligências artificiais.

Uma alternativa que vem sendo usada, por exemplo, para fins médicos. Uma vez que, com a anonimização dos dados do paciente, é possível utilizar os resultados para pesquisas acadêmicas sem, infringir dispositivos legais ou direitos dos titulares desses dados.

Apresentando-se como mais uma possibilidade para que se assegure que o tratamento de dados sensíveis caminhe em conformidade com sua finalidade e com o benefício ao titular. Sendo o tratamento de dados pessoais sensíveis de fato um mecanismo que viabilize o duplo benefício das partes envolvidas no processo.

Em conclusão, este texto procura tratar sobre quais situações que os dados pessoais sensíveis podem ser acessados com e sem o consentimento do titular. Este artigo é uma iniciativa da LGPD Soluções para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Imagem: Shutterstock

A LGPD e o home-office: como garantir a proteção de seus dados?

LGPD Soluções Marketing — Fri, 14 Aug 2020 17:30:04 +0000

O home office tem sido uma solução muito utilizada por profissionais de diversos setores durante a crise do novo coronavírus e, mostraremos como no âmbito da LGPD, algumas medidas de segurança devem ser reforçadas para garantir a segurança dos sistemas de informação e dos dados pessoais tratados. As recomendações abaixo, podem ajudar na proteção dos dados pessoais durante esse período:

Proteja seu sistema de informação!

Elabore uma cartilha de segurança específica para o home office, ou no contexto atual, ao menos diretrizes mínimas a respeitar.

Se os parâmetros de gestão do seu sistema de informação devem ser alterados para permitir a implementação do home office (alteração nas regras de habilitação, acesso dos administradores à distância, etc.), calcule os riscos incorridos e tome medidas apropriadas.

Veja também – Blog Solere: Guia para proteção dos dados dos empregados

Providencie em todas as estações de trabalho dos seus empregados ao menos um firewall, um antivírus e um bloqueio eficiente de malware.

Se possível, utilize uma rede de comunicação privada (VPN) para evitar exposição direta dos seus serviços na internet. Ative uma autenticação dois fatores!

Veja também – Blog Solere: 10 dicas para navegar com segurança na internet

Se os seus serviços são online:

Utilize protocolos que garantam a confidencialidade e autenticação do servidor destinatário (por exemplo HTTPS para os websites e SFTP para a transferência de dados, sempre usando as versões mais recentes destes protocolos).

Aplique os últimos patchs de segurança aos equipamentos e programas utilizados (VPN, soluções de acesso remoto, servidores de mensagens).

Adote mecanismos de autenticação de dois fatores nos serviços acessíveis remotamente para limitar o risco de invasão.

Veja também – Blog Solere: Controle de ponto e de locais de trabalho

Consulte regularmente os registros de acesso dos servidores com acesso remoto para detectar serviços suspeitos.

Não deixe diretamente acessíveis as interfaces de servidores desprotegidos. De uma forma geral, limite o número de serviços disponíveis colocados à disposição ao estrito mínimo para reduzir riscos de ataques!

Em conclusão, este texto procura tratar sobre todas as precauções de segurança digital (alinhadas com a LGPD) que devem ser adotadas quando algum colaborador estiver trabalhando em regime de home office. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Imagem: Pexels

Como evitar riscos e organizar a segurança dos seus dados

LGPD Soluções Marketing — Fri, 14 Aug 2020 17:17:57 +0000

A cibersegurança é uma obrigação da LGPD, bem como uma necessidade para proteger sua atividade e oferecer um serviço ou um produto confiável. Assim, é importante compreender as regras essenciais a serem seguidas e quais elementos práticos a fim de minimizar os riscos.

Implemente medidas de segurança de dados pessoais

Na proteção de dados pessoais se faz necessário implementar medidas técnicas e organizacionais apropriadas a fim de garantir um nível de segurança apropriado ao risco. Dessa maneira, a primeira etapa é identificar o tratamento de dados, quais são seus objetos e o suporte legal no qual eles se enquadram.

Em seguida, é importante avaliar os riscos de cada tratamento, qual a sua fonte, as reais ameaças de cada forma de armazenamento de dados, quais as medidas de segurança existentes e previstas para cada risco. Também é fundamental estimar a gravidade e probabilidade dos riscos com relação aos elementos mencionados acima.

A partir dessa avaliação é que as medidas de segurança adequadas para o tratamento de dados realizado pela empresa deverão ser implementadas e monitoradas. Outra recomendação é a realização de auditorias periódicas de segurança.

Dentre as medidas de segurança indicadas, podemos citar as seguintes:

– O usuário deve ter consciência das questões de segurança e de privacidade, bem como ele deve ser reconhecido e autenticado;

– Limite o acesso aos dados necessários;

– Rastreie o acesso e gerencie os incidentes. Dessa forma será mais fácil reagir a uma violação de dados;

– Tenha estações de trabalho seguras como forma de evitar acesso fraudulento, invasões por vírus ou por acesso remoto;

– Garanta a segurança dos dispositivos móveis;

– Proteja a sua rede interna, seus servidores e seus websites;

– Faça backups regulares para minimizar o impacto de perdas indesejadas de dados;

– Arquive os dados de maneira segura, ou seja, arquive os dados dentro do período de conservação que não são mais usados;

– Inclua a manutenção e destruição de dados e garanta a segurança durante todo o ciclo de vida de hardware e software;

– Gerencie os operadores e supervisione a segurança de dados com os quais eles trabalham;

– Proteja o compartilhamento de dados pessoais com outras empresas; bem como os locais nos quais os dados são armazenados, as instalações que hospedam os servidores e softwares;

– Integre a segurança e a proteção de privacidade o mais cedo possível nos projetos;

– Garanta a integridade, confidencialidade e a autenticidade das informações por meio da criptografia, por exemplo.

Faça a anonimização ou pseudonimização de seus conjuntos de dados

Um erro muito comum é pensar que dados pseudonimizados são dados anônimos. A anonimização consiste no uso conjunto de técnicas a fim de tornar impossível, na prática, identificar qualquer pessoa por qualquer meio. Por ter como uma de suas características a irreversibilidade, não permite que o dado anonimizado seja objeto de novo tratamento de dados pessoais.

Para verificar se um dado foi anonimizado, deve-se analisar se ele possui as seguintes características:

– Individualização, ou seja, se é possível isolar um indivíduo;

– Correlação, isto é, se é possível vincular informações referentes ao mesmo indivíduo;

– Interferência, em outras palavras, se é possível deduzir informações sobre um indivíduo.

Caso o dado não possua as 3 características, ele é considerado pseudonimizado e, consequentemente, objeto de proteção da Lei Geral de Proteção de Dados Pessoais (LGPD). Diferente da anonimização que retira o dado pessoal do âmbito de proteção da norma, a pseudonimização é uma medida de segurança recomendada no tratamento de dados pessoais, mas ainda sujeita às normas da LGPD.

Em conclusão, este texto procura tratar sobre como evitar riscos e organizar a segurança dos seus dados de maneira correta e de acordo com os preceitos da LGPD. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Microtargeting e a LGPD contra a disseminação de fake news

LGPD Soluções Marketing — Fri, 14 Aug 2020 16:12:16 +0000

O famoso vazamento de informações para fins eleitorais, o qual impactou milhares de usuários e envolveu a empresa Cambridge Analytica, ganhou o mundo e teve impacto global. A conduta da empresa, acusada de apoderar-se de informações relativas a cerca de 87 milhões usuários do Facebook, de diversos países tais como o Brasil. A empresa teria efetuado o tratamento de dados de usuários por meio de postagens, interações e hábitos, construindo um direcionamento do algoritmo com mensagens altamente refinadas e direcionadas para os diversos eleitores, e para além disso, se utilizado de recursos como testes de comportamento comuns e típicos nesses provedores de aplicação para sem qualquer consentimento ter acesso aos dados dos usuários.

Esse comportamento ganhou o nome de “Microtargeting”, palavra-chave para compreender a estratégia comercializada pela Cambridge Analytica e adotada em muitas campanhas eleitorais mundo afora. Na realidade, nada mais é do que a construção de microalvos, por meio de modelos matemáticos e computadores que decifram o comportamento dos usuários, no caso, eleitores. Esses modelos e computadores são alimentados com o tratamento de dados dos usuários.

Alguns exemplos de informações que interessam esse sistema seriam: os veículos de comunicação que os indivíduos consomem, revistas e jornais mais lidos; seu padrão de consumo, com produtos mais consumidos; quais seriam seus hábitos e direcionamento cultural, social e econômico; que tipo de informação curtem, compartilham e produzem. A partir da somatização dessas informações, seria possível direcionar e modular a oferta de informações que chega aos usuários, impactando diretamente também em sua conduta. O que foi muito importante para fins eleitorais em países como os EUA, em 2016, e o Brasil, nas últimas eleições.

Como todo novo desafio e todos os problemas, para além de resolvê-los, é preciso aprender com eles. Como tornar essa estratégia idealizada pela Cambridge Analytica viável? Como aprender com isso, utilizando-a para fins positivos e importantes para a sociedade? É inegável que o escândalo da empresa escancarou ainda mais as fragilidade e lacunas que precisam ser preenchidas em tempos de hegemonia da Internet e da tecnologia.

Em um enorme esforço para evitar esse vazamento de dados e esse uso não autorizado, diversas nações buscaram codificar a matéria do microtargeting, o que aconteceu com a Europa na forma do Regulamento Geral sobre Proteção de Dados (RGPD), e no Brasil com a Lei Geral de Proteção de Dados Pessoais (LGPD). A qual, ainda encontra-se pendente de vigência.

Assim como é o caso da LGPD que ainda aguarda a entrada em vigor e seus efeitos, mas seus efeitos e anseios já estão em análise. A pandemia do coronavírus trouxe a necessidade de se aprender na prática. A pandemia trouxe efeitos inesperados e muito importantes no cenário global, e em matéria de tecnologia, muito se tem discutido sobre como minimizar esses efeitos. Sem dúvidas, uma população mais informada, instruída e engajada colabora muito para um cenário mais favorável.

Por isso, além da LGPD, existem mecanismos de filtragens de informação, de controle de compartilhamento, de chegada de notícias, instruções e dados estatísticos seguros e de fontes confiáveis são boas alternativas de microtargeting contra a desinformação. A plataforma do YouTube, logo no início da pandemia, informou que promoveria esse tipo de conduta. Conduzindo os algoritmos para o direcionamento dos usuários a conteúdos institucionais das organizações de saúde e sanitárias, de veículos de informação confiáveis e promovendo materiais de marketing e propaganda informativos.

Em uma breve análise é perceptível a condução do conteúdo disponibilizado aos usuários, do direcionamento e até de um certo controle das plataformas quanto aos padrões de consumo e de comportamento dos usuários na rede. Por outro lado, isso é feito em meio a uma das maiores crises globais em anos e feito de forma positiva, garantindo informação de confiança e o combate à desinformação e ao trending topic do momento: as fake news.

Mais uma vez a Internet veio para nos mostrar os muitos desafios que ainda estão por vir e que temos que enfrentar, mas também, que é possível aprender com alguns erros e seguir em frente. Sempre em busca do usufruto do que a rede é capaz de nos proporcionar, sem que para isso seja necessário a violação de direitos de seus titulares.

Em conclusão, este texto procura tratar sobre microtargeting e a LGPD na luta contra a disseminação de informações falsas. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Mais de 1,3 milhão de alunos e docentes da Universidade Anhembi Morumbi têm seus dados expostos

LGPD Soluções Marketing — Fri, 07 Aug 2020 15:36:12 +0000

Devido a uma falha na infraestrutura da empresa, os dados pessoais cadastrados no sistema do grupo Laureate International Universities ficaram expostos por mais de seis meses. A descoberta da vulnerabilidade aconteceu após uma monitoria de um grupo privado de hackers maliciosos no mercado de vazamentos de instituições de ensino.

A exposição de dados envolveu apenas a Universidade Anhembi Morumbi, embora o grupo Laureate gerencie mais de dez instituições de ensino.

Alunos e docentes da Universidade tiveram expostos dados de identificação pessoal – nome completo, RG, CPF, data de nascimento, sexo, endereço de e-mail –, documentos escaneados – comprovantes de pagamento, de escolaridade, passaportes – e, notas dos alunos e turmas. Também foram expostas senhas em hash (algoritmo que protege a senha).

Em resposta ao site Tecmundo, a Universidade Anhembi Morumbi informou que tratou do assunto imediatamente e que tomou as providências legais.

Lembrando que alunos, professores e docentes que se sentirem lesados podem entrar em contato com a Universidade para mais informações.

O problema de exposições como essas é que elas possibilitam diferentes golpes cibernéticos como phishing, spear phishing, matéria prima para engenharia social, abertura fraudulenta de contas e outros.

A recomendação para as pessoas que tiveram seus dados expostos na internet é adotar medidas de segurança como o duplo fator de autenticação em todas as contas, não informar dados bancários por ligações ou mensagens, ignorar e-mails e mensagens suspeitas, e fazer uso de antivírus.

Ressalta-se que a Lei Geral de Proteção de Dados Pessoais foi elaborada em razão de recentes escândalos de vazamento de dados por grandes empresas e a falta de rigor com a segurança no tratamento de dados pessoais.

Com a entrada em vigor da LGPD, caso de vazamentos de dados como esses poderão levar a aplicação de sanções administrativas tais como advertências, publicização da infração, bloqueio e eliminação dos dados pessoais a que se refere a infração, multas de até R$ 50 milhões por cada infração, dentre outras previstas no art. 52.

A Lei ainda estabelece a obrigação do responsável pelo tratamento de dados (controlador ou operador) que causar danos patrimoniais ou extrapatrimoniais, individual ou coletivo, de reparar o dano conforme art. 42 e art. 44.

Fonte: Tecmundo

Este clipping de notícias é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

A LGPD e banners de consentimento de cookies: quais são as boas práticas?

LGPD Soluções Marketing — Wed, 05 Aug 2020 23:47:57 +0000

A concepção de um caminho ao usuário do serviço ou produto digital deve permitir às pessoas o controle de seus dados pessoais e o conhecimento de seus direitos. A transparência, a informação clara e acessível, bem como a coleta do consentimento do titular de dados de maneira honesta são elementos que devem ser levados em consideração ao criar as suas interfaces.

Informe o usuário de maneira transparente

Informar o usuário é fundamental porque permite que a pessoa compreenda o porquê e como são processados os dados pessoais coletados. Dessa maneira, elas consentem com aquele tratamento confiantes.

As informações devem ser concisas, transparentes, compreensíveis e de fácil acesso em termos simples e claros. Ela deve ser fornecida no momento da coleta de dados ou quando houver uma alteração na modalidade de tratamento.

Colete o consentimento dos usuários corretamente

O consentimento é uma das bases legais previstas pela LGPD para autorizar um tratamento de dados. Ele é, portanto, um dos meios pelos quais um tratamento se torna lícito. Para ser válido o consentimento deve ser, cumulativamente, livre, específico, informado e inequívoco.

Possibilite o exercício desses direitos

Os direitos permitem que as pessoas tenham meios de ação concretos sobre seus dados pessoais. A implementação de funções e procedimentos simples e eficazes para o exercício de direitos possibilita o cumprimento de obrigações legais, bem como atende, tranquilamente, as pessoas que desejam exercer seus direitos nesses procedimentos.

**Faça uso de banners de consentimento de cookies no seu site de acordo com as regras da LGPD**

Os editores de sites de internet possuem a obrigação de coletar o consentimento dos usuários antes da apresentação de determinados cookies – como publicidade direcionada, redes sociais ou medição de público-alvo sob condições – e fornecer a eles meios de se opor a eles. Assim, um banner cookie é uma forma fácil de obter esse consentimento assim que o usuário acessa ao site.

Em conclusão, este texto procura tratar sobre as boas práticas envolvendo as regras da LGPD e a inserção de banners de consentimento de cookies que rastreiam a atividade do usuário na internet. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Novo aplicativo da Microsoft para recuperação de arquivos no Windows

LGPD Soluções Marketing — Sat, 01 Aug 2020 04:42:34 +0000

O Windows File Recovery é um aplicativo gratuito que pode ser baixado na Microsoft Store por aqueles que possuem Windows 10 ou posterior. O aplicativo localiza e permite que o usuário recupere diversos tipos de arquivos excluídos acidentalmente ou corrompidos.

O novo aplicativo da Microsoft recupera fotos, vídeos, áudios e documentos, além de dados e registros de HD, SSD ou unidades externas (como cartões de memória, pendrives e HDs externos).

O programa suporta diversos sistemas de arquivos como NTFS, FAT, exFAT e ReFS. Entretanto, não é compatível com arquivos armazenados e compartilhados em nuvem ou em rede, apenas os arquivos armazenados em hardwares específicos podem ser recuperados.

São três os modos de recuperação de arquivos oferecidos: Padrão, Segmento e Assinatura.

A recomendação é o uso do modo Padrão para os arquivos deletados recentemente e do modo Segmento para os que foram excluídos há mais tempo.

O modo Assinatura é indicado para os casos em que não foi possível localizar e recuperar os arquivos nem no modo Padrão nem no Segmento.

Apesar de ser uma solução oficial da Microsoft para o Windows, a sua interface não é simples e exige conhecimento técnico para fazer uso da ferramenta.

Por fim, vale destacar que, por tratar dados pessoais, o Windows File Recovery deverá obedecer às disposições da Lei Geral de Proteção de Dados Pessoais – LGPD. Deste modo, deverão ser observados os requisitos da lei para o tratamento, tais como a obtenção do consentimento pelo titular (art. 7º), a conservação destes dados por um período de tempo adequado (art. 15 e 16), e a adoção de medidas apropriadas para segurança desses dados (art. 46 a 49).

Fonte: Mundo Conectado

Comitê técnico de educação cobra medidas para proteção de dados no ensino à distância

LGPD Soluções Marketing — Sat, 01 Aug 2020 04:29:20 +0000

A pandemia do Covid-19 trouxe a disseminação do ensino remoto e ainda não há previsão de datas para retomada do ensino presencial. Em razão da pandemia, cresceu a utilização das plataformas virtuais por alunos e professores, o que acendeu um alerta sobre a proteção dos seus dados pessoais.

Nesse sentido, o comitê técnico de Educação do Instituto Rui Barbosa, órgão acadêmico vinculado aos tribunais de contas do país, formulou um dossiê com diretrizes que os órgãos fiscalizadores devem monitorar nos programas de ensino remoto operados pelos governos estaduais e prefeituras.

O objetivo do documento é garantir com que os gestores responsáveis pela implementação dos programas de ensino remoto tomem os devidos cuidados com a privacidade e a proteção de dados tratados, ainda mais por se tratar, em grande parte dos casos, de dados sensíveis e de crianças e adolescentes.

A partir destas orientações enviadas ao tribunais de contas, as plataformas desenvolvidas pelos governos regionais ou contratadas junto às empresas privadas deverão passar por análises para identificar se tratam dados sensíveis dos estudantes e profissionais de educação, quais sejam, origem racial, étnica, convicções religiosas ou políticas e questões relacionadas à saúde e vida sexual.

Como previsto pela Lei Geral de Proteção de Dados Pessoais, a utilização de tais dados necessita de consentimento prévio dos seus titulares, desta forma, é necessário avaliar se os termos de consentimento estão sendo recolhidos adequadamente nas plataformas de ensino à distância.

Segundo Cesar Miola, Conselheiro do Tribunal de Contas do Rio Grande do Sul, é necessário incluir na agenda dos gestores públicos a preocupação com a proteção dos dados pessoais dos professores e alunos. A medida garante a segurança jurídica das plataformas que, de forma geral, foram implementadas às pressas para garantir a continuidade do ensino durante a pandemia.

O governo de Porto Alegre foi um dos pioneiros a se adequar à proteção da dados a partir da assinatura de um termo de cooperação técnica com uma empresa que será responsável pela utilização de uma plataforma para garantir que as informações coletadas pelo sistema de educação remota serão utilizadas some pela Secretaria Municipal de Educação.

As medidas recomendadas pelo comitê estão em consonância com a LGPD que entrará em vigor em agosto de 2020. Visando a proteção das crianças e adolescentes, a lei determina que os seus dados somente poderão ser tratados com o consentimento específico dos seus pais ou responsáveis.

Fonte: A Gazeta

Melhores soluções para armazenamento de dados

LGPD Soluções Marketing — Tue, 21 Jul 2020 23:33:05 +0000

Na concepção da estrutura da aplicação, deve-se identificar os dados pessoais que serão coletados e definir um caminho e um ciclo de vida para cada um deles. A escolha dos suportes de dados (armazenamento local, servidor, serviço em nuvem) é uma etapa crucial que deve ser adaptada às suas necessidades, mas também ao seu conhecimento técnico.

O registro de atividade de tratamento e uma análise de impacto podem ajudá-lo nessa escolha.

Veja também: Blog Solere – Como escolher a estrutura adequada para tratamento de dados?

Estude o caminho dos seus dados

Represente e descreva no início do projeto a operação esperada com ele, com um diagrama dos fluxos de dados e a descrição detalhada dos processos implementados e dos suportes utilizados.

Quando os dados são apenas armazenados no terminal do utilizador (armazenamento local) ou permanecem confinados às redes de comunicação totalmente sob o controle do usuário (por exemplo, Wi-Fi ou outra rede local), o ponto principal atenção é a segurança de dados. O período de conservação desses dados pode ser determinado pela própria pessoa, no entanto, ela pode excluir esses dados a qualquer momento.

Quando os dados devem passar por um serviço online, a escolha quanto a hospedagem consigo mesmo esses dados ou de passar para um provedor de serviços deve ser feito de acordo com o seu conhecimento de segurança e da qualidade esperada pelo serviço.

Veja também: Blog Solere – Quais são as regras básicas de segurança virtual para empresas?

As ofertas de armazenamento virtual (nuvem de armazenamento) reconhecidos costumam apresentar níveis de segurança superiores. Entretanto, essas nuvens geram novos riscos que devem ser controlados.

Caso recorra a um provedor de serviço de hospedagem

A escolha de um provedor deve garantir a implementação de medidas de segurança e de confidencialidade adequadas e suficientemente transparentes.

Conheça a localização geográfica dos servidores que vão hospedar os seus dados. Os países têm diferentes níveis de proteção de dados por isso, caso seja necessário realizar a transferência de dados para locais fora do âmbito de proteção para os quais seus dados estão sujeitos, é importante garantir nesse local exista um nível de proteção de dados suficiente e apropriado.

Caso seja necessário recorrer a um provedor de hospedagem de dados de saúde, garanta que o provedor é certificado ou aprovado para a atividade.

Veja também: Blog Solere – LGPD: medidas de conformidade que empresas devem seguir

Deve-se ter atenção se o provedor de serviços hospedagem possui:

– Política de segurança acessível;

– Medidas de segurança e de proteção física para o site de hospedagem;

– Encriptação de dados e dos outros procedimentos que garantam que o provedor não tenha acesso aos dados que lhe são confiados;

– O gerenciamento de atualizações, de autorizações, de autenticações de equipe e de segurança do desenvolvimento das aplicações; e,

– A reversibilidade/portabilidade de dados fácil num formato estruturado e normalmente usado, sob pedido e a qualquer momento.

Em conclusão, este texto procura tratar sobre as melhores soluções para armazenamento de dados para a sua empresa. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.

Imagem: Unsplash

Como a LGPD pode ajudar na segurança dos dados pessoais dentro da Blockchain

LGPD Soluções Marketing — Mon, 20 Jul 2020 10:29:28 +0000

Quem é responsável pelo tratamento de dados na Blockchain?

A Lei Geral de Proteção de Dados (LGPD), inspirada no Regulamento Geral Proteção de Dados da União Europeia (RGPD), foi projetada para um mundo onde a gestão de dados pessoais é centralizada em entidades determinadas. Logo, o modelo descentralizado de governança de dados da tecnologia Blockchain e a multiplicidade de atores envolvidos no processamento de dados torna complexa a definição do papel de cada pessoa.

Na França, a Comissão Nacional de Informática e Liberdade (CNIL) constatou, no entanto, que os participantes, atores que têm permissão para gravar dados na cadeia e que decidem submeter um dado a sua validação dos “mineiros” – miners –, podem ser considerados como responsáveis pelo tratamento.

Essa responsabilidade está relacionada com o fato dos participantes de uma Blockchain determinarem as finalidades do tratamento e os meios pelos quais são implementados. Assim, ele será considerado responsável quando for uma pessoa natural e o processamento de dados pessoais estiver vinculado a uma atividade profissional ou comercial, ou seja, não exclusivamente pessoal; e, quando for uma pessoa jurídica que registra dados pessoais na Blockchain.

Veja também – Blog Solere: A relação entre a Blockchain, Dados Pessoais e a LGPD

Todos os atores que interagem numa Blockchain são responsáveis pelo tratamento?

Não, apenas os participantes. Os “mineiros” se limitam a validar as transações que lhes são submetidas pelos participantes e não determinam os objetivos nem os meios a serem implementados nas transações. Por sua vez, as pessoas físicas que inscrevem seus dados pessoais na Blockchain, fora de uma atividade profissional ou comercial, não são responsáveis pelo tratamento, por se enquadrarem na exceção prevista no art. 4º, inciso I da LGPD.

O que acontece se diversos participantes conjuntamente decidirem implementar um tratamento de dados em uma Blockchain?

Quando um grupo de participantes decide implementar um tratamento com uma finalidade comum, a recomendação é identificar um responsável por esse tratamento, previamente. Caso contrário, todos os participantes poderão ser considerados como corresponsáveis. Assim, deve-se definir as obrigações de cada um dos participantes a fim de garantir o respeito a LGPD.

Essa identificação do responsável pelo tratamento, inclusive, é necessária para que as pessoas envolvidas, ou seja, pessoas cujos dados pessoais estão registrados na Blockchain, saibam a quem recorrer para o exercício efetivo de seus direitos. Por sua vez, também é importante para que as autoridades de proteção saibam a quem solicitar relatórios sobre o tratamento de dados implementado pelo agente de tratamento.

Veja também – Blog Solere: Como a LGPD pode contribuir para aumentar a segurança do tratamento de dados se baseia em uma Blockchain?

Quanto aos contratos inteligentes – smart contracts – como em qualquer software, o criador do algoritmo poderá ser um simples fornecedor da solução ou, quando ele participa do tratamento, ele poderá ser qualificado operador ou responsável pelo tratamento em razão de seu papel de determinação das finalidades.

Existem operadores na acepção da LGPD numa Blockchain?

A Lei Geral de Proteção de Dados define como operador aquele, pessoal natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do responsável.

A partir dessa acepção, entende-se que existem sim, operadores em uma Blockchain. Como exemplo, é possível mencionar os desenvolvedores de contratos inteligentes – smart contracts – que tratam os dados pessoais por conta do responsável pelo tratamento.

Veja também – Blog Solere: Blockchain: Quais são as exigências relativas à segurança dos dados e como a LGPD se relaciona com isso?

Também é possível considerar, em determinados casos, os “mineiros” como operadores dentro da acepção da LGPD. Isso porque, na realidade, são eles que executam as instruções do controlador de dados quando verificam se a transação respeita ou não os critérios técnicos. Portanto, os “mineiros” devem estabelecer com o participante, responsável pelo tratamento, um contrato especificando as obrigações de cada uma das partes.

Em conclusão, este texto procura tratar sobre como os preceitos da LGPD podem trazer mais segurança aos atores envolvidos dentro da blockchain. Este artigo é uma iniciativa do Solere – Data Protection Compliance para esclarecer diversos temas relacionados à dados pessoais e a proteção deles. Somos especializados em direito empresarial e somos certificados Data Protection Officer (DPO) pelo Bureau Veritas. Conheça nossos serviços e veja como podemos ajudar a sua empresa se adequar à LGPD e não sofrer penalidades.