Author name: Admin

A Lei Geral de Proteção de Dados (LGPD) estabelece diretrizes para o tratamento de dados pessoais para garantir o uso responsável dos dados pessoais, prevendo princípios e critérios para realização desse tratamento pelos agentes de tratamento. Ainda no âmbito dos princípios e direitos dos titulares, vale ressaltar que dados pessoais são todas as informações que estão relacionadas a uma pessoa identificada ou identificável. O conceito abrange dados como: nome, endereço, número de telefone, endereço de e-mail, dados de navegação, cookies, geolocalização. O tratamento abrange diferentes tipos de utilização de dados pessoais, como coleta, acesso, distribuição, armazenamento e eliminação destes. Diante disso, a LGPD estabelece em seu art. 7º as bases legais que legitimam o tratamento dos dados pessoais.  Fornecimento de consentimento pelo titular A primeira delas é o consentimento do titular, ou seja, a manifestação inequívoca, livre e informada do titular para que seja realizado o tratamento dos seus dados pessoais. É ônus do controlador demonstrar que obteve o consentimento do titular na forma prevista na LGPD. Cumprimento de obrigação legal ou regulatória pelo controlador A legislação vigente muitas vezes impõe o tratamento de dados pessoais, como, por exemplo, a qualificação, dados de saúde e outras informações de empregados. Neste caso, o tratamento é realizado para atender uma obrigação legal ou regulatória imposta ao controlador. Pela administração pública O dispositivo também assegura o tratamento de dados pela administração pública, para tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres.  O tratamento poderá ocorrer desde que se tenha como único objetivo a execução de políticas públicas, devendo ser observada os artigos 23 a 32 da legislação, os quais estabelecem as diretrizes para o tratamento de dados pessoais pelas pessoas jurídicas de direito público. Para a realização de estudos por órgão de pesquisa Como quarta base legal tem-se a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais. Aqui, o dispositivo refere-se ao uso de dados pessoais por entidades de pesquisa reconhecidas com o objetivo de realizar pesquisas no âmbito histórico. Execução de contrato Dados pessoais poderão ser usados quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados. Por exemplo, caso o usuário de um e-commerce adquira produtos, o fornecimento de tais dados será imprescindível para a execução do contrato. Exercício regular de direitos em processo judicial, administrativo ou arbitral  Há casos em que determinados dados poderão ser fundamentais para exercícios de direitos em processos em geral, nesse caso, será possível armazenar tais dados pelo prazo necessário para demanda. Proteção da vida ou da incolumidade física do titular ou de terceiro  O tratamento de dados pode ser essencial para a sobrevivência ou integridade física do titular ou de terceiro. Por exemplo, quando for necessário tratar dados referentes à geolocalização de dispositivo de telefone celular para localizar alguém correndo algum risco. Para tutela da saúde O dispositivo também possibilita a utilização de dados pessoais para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Para atender aos interesses legítimos do controlador ou de terceiro O legítimo interesse se caracteriza para apoio e promoção de atividades do controlador, ou para proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais.  Quando o tratamento for baseado no legítimo interesse do controlador, somente os dados pessoais estritamente necessários para a finalidade pretendida poderão ser tratados. É importante observar o guia orientativo da ANPD, que estabelece diretrizes sobre as medidas necessárias para realização do teste de legítimo interesse e elaboração dos relatórios obrigatórios. Para proteção do crédito  Essa hipótese é muito utilizada para decidir se determinada pessoa terá concessão ou não de crédito, sendo utilizados, portanto, dados sobre a adimplência ou inadimplência. Nota-se que cada base legal tem critérios específicos e é aplicada de acordo com o contexto do tratamento de dados. Dados pessoais sensíveis A LGPD define de forma taxativa o conceito de dados pessoais sensíveis: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. Tem-se portanto, que as operações envolvendo tais informações devem ser realizadas com a maior cautela possível da empresa. Um incidente de segurança que envolva esses tipos de informações pode resultar em consequências mais sérias para os direitos e liberdades das pessoas envolvidas. O art. 11 é responsável por prever as hipóteses legais possíveis para o tratamento dos dados pessoais sensíveis, vale ressaltar, que estes somente poderão ocorrer com consentimento do titular ou seu responsável legal, de forma destacada e para finalidades específicas ou  nas hipóteses em que for indispensável para: Cumprimento de obrigação legal ou regulatória pelo controlador; A administração pública, de políticas públicas previstas em leis ou regulamentos; Estudos por órgão de pesquisa, desde que garantida, sempre que possível, a anonimização dos dados pessoais sensíveis; Exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral; Proteção da vida ou da incolumidade física do titular ou de terceiro; Tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. A LGPD prevê a vedação da comunicação ou o uso compartilhado entre controladores de dados pessoais sensíveis referentes à saúde com objetivo de obter vantagem econômica, ressalvada as hipóteses relativas à prestação de serviços de saúde, de assistência farmacêutica e de assistência à saúde. Neste sentido, a lei é clara ao vedar o tratamento de dados de saúde para a prática de seleção de riscos na contratação de qualquer modalidade, assim como na contratação e exclusão de beneficiários. Garantia da prevenção à fraude e à segurança do titular, que deve ser

       No setor empresarial, tem-se observado um aumento significativo no emprego da tecnologia nos processos, produtos e serviços que o compõem. Essa transição das atividades das organizações para o ambiente digital tem trazido diversos benefícios, como a facilidade na integração de diferentes áreas, a otimização do tempo e espaço para a execução de tarefas e a promoção da agilidade e eficiência nas relações entre a empresa e os consumidores, bem como entre a empresa e seus fornecedores.        A transferência de inúmeras atividades para o meio digital resultou em um expressivo aumento do tráfego de dados online, tornando-o um ambiente propício para a ação de agentes maliciosos. A exploração indevida desses dados pode gerar consequências danosas e duradouras, a exemplo de prejuízos financeiros, comprometimento de sistemas e danos à imagem institucional. Conceito        A Autoridade Nacional de Proteção de Dados (ANPD) define, por meio da Resolução CD/ANPD n° 15/2024, um incidente de segurança como qualquer evento adverso confirmado que envolva a violação das propriedades de confidencialidade, integridade, disponibilidade e autenticidade dos dados pessoais.        Logo, o conceito abrange uma falha do equipamento, acesso a dados pessoais por pessoa não autorizada, eliminação de dados pessoais feita de forma ilegal e até mesmo o roubo, furto ou perda de equipamento que contém dado pessoal.        Existem diversos tipos de incidentes de segurança, com o vazamento de dados pessoais sendo o mais comum, geralmente causado por senhas fracas, falta de medidas técnicas e treinamento inadequado. Esses incidentes frequentemente resultam de ataques cibercriminosos e podem ser classificados em três tipos principais: Incidente de confidencialidade: Divulgação ou acesso não autorizado aos dados pessoais. Incidente de integridade: Modificação não autorizada dos dados pessoais. Incidente de disponibilidade: Perda de acesso ou eliminação dos dados pessoais.        O vazamento de dados ocorre na maior parte das vezes como decorrência de um ataque cibercriminoso, sendo os tipos mais comuns apresentados a seguir.  Phishing        Nesta técnica, o invasor envia e-mails ou mensagens via WhatsApp/SMS para enganar os usuários e obter informações confidenciais. O destinatário é induzido a clicar em um link, acreditando que ganhará uma promoção ou brinde, mas, ao fornecer as informações, descobre que foi vítima de um golpe. Malware       Também chamado de software malicioso, é uma forma genérica de se referir a qualquer tipo de software criado intencionalmente para causar danos que podem espionar uso de sistemas, captar e enviar dados para servidores externos.  Ransomware      O Ransomware é um tipo de malware que bloqueia o acesso aos arquivos ou ao dispositivo inteiro, impedindo seu uso adequado. Cibercriminosos usam essa técnica para extorquir vítimas, exigindo pagamento para liberar o acesso, sem garantia de que os dados não serão vendidos ou usados indevidamente mesmo após o pagamento. DdoS        Em português, ataque de negação de serviço distribuído consiste em sobrecarregar as atividades de um servidor, negar o acesso de usuários legítimos e derrubar conexões entre equipamentos, entre outras ações similares.       Apesar de mencionados os principais tipos de ataques, os cibercriminosos se especializam e inovam constantemente nos formas de cometer ciberataques. Sendo fundamental que as empresas estejam sempre atualizadas quanto aos riscos que estejam expostas, consequências de um incidente de segurança e os métodos para mitigação possíveis de serem executados. Planos de resposta a incidentes       A Lei Geral de Proteção de Dados é responsável por definir as diretrizes de segurança e administrativas que os responsáveis pelo tratamento de dados devem seguir para garantir a proteção dos dados pessoais e seus respectivos titulares contra qualquer tipo de atividade ilegal.        Um plano de resposta a incidentes é um conjunto estruturado de procedimentos e diretrizes que uma organização segue ao enfrentar incidentes de segurança. O objetivo principal desse plano é identificar, gerenciar e minimizar o impacto dos incidentes, restaurando as operações normais o mais rápido possível.       A Autoridade Nacional de Proteção de Dados (ANPD) publicou no Diário Oficial da União, em 26 de maio de 2024, a Resolução CD/ANPD nº 15, de 24 de abril de 2024, que aprova o Regulamento de Comunicação de Incidente de Segurança. Entre os principais aspectos estabelecidos pela regulamentação, destacam-se os seguintes: Registro do incidente       Uma vez identificado um incidente de segurança ou havendo suspeita da sua ocorrência, o Encarregado de Proteção de Dados Pessoais deve ser notificado para que o evento seja devidamente investigado. É necessário manter um registro detalhado do incidente de segurança, incluindo as causas, os dados afetados, a categoria dos titulares e as medidas de segurança implementadas para conter o incidente e mitigar os riscos e danos. Comunicação do incidente à ANPD e aos titulares       Em regra, o incidente de segurança que possa acarretar risco ou dano relevante aos titulares deve ser comunicado à ANPD e aos próprios titulares afetados no prazo de 3 (três) dias úteis, contados a partir do conhecimento do incidente pelo controlador.        A comunicação do incidente à ANPD deverá ser realizada pelo controlador, por meio do encarregado, acompanhada de documento comprobatório de vínculo contratual, empregatício ou funcional, ou por meio de representante constituído, acompanhada de instrumento com poderes de representação. Em caráter excepcional, caso o controlador não tenha as informações completas a respeito do incidente ou não conseguir notificar os titulares no prazo recomendada, pode ser apresentada comunicação complementar no prazo de 20 dias úteis.        Ao avaliar a gravidade do incidente, a Autoridade levará em consideração as práticas adotadas pelo agente de tratamento para mitigar os riscos e minimizar os efeitos dos danos ocorridos. Caso entenda necessário, a ANPD tem poderes para determinar a abertura de processo administrativo sancionador para apurar violação à LGPD, que poderá culminar em aplicação das sanções de advertência, publicização da infração, suspensão do exercício da atividade de tratamento dos dados pessoais, podendo chegar a multas 50 milhões de reais por infração.        Além disso, o controlador deverá

        A operação do comércio eletrônico demanda a atuação conjunta de diferentes atores. Mesmo nos casos em que toda a operação é gerida pelo proprietário da loja virtual, os dados pessoais de clientes podem ser compartilhados com terceiros para diferentes finalidades, como, por exemplo, operadoras de cartão de crédito para efetivação das compras. Nos casos em que há terceirização das atividades do e-commerce, o compartilhamento de dados muitas vezes é indispensável, como pode ocorrer no caso de contratação de transportadoras, entregadores, dentre outros.        O compartilhamento de dados pessoais é ainda mais evidente no modelo de marketplace na medida em que ele atua como intermediário da relação entre vendedor e cliente.          Nos casos em que dois ou mais agentes realizam o tratamento de dados pessoais de pessoas físicas, é indispensável celebrar o acordo de proteção de dados para estabelecer: a relação das partes em relação ao tratamento de dados, que pode ser controlador-operador, controladoria conjunto, ou controlador-controlador de forma independente; descrever os dados pessoais tratados, a sua finalidade, forma de tratamento, prazo de tratamento; a responsabilidade e forma de atendimento ao titular de dados; medidas a serem adotadas em caso de notificação da ANPD; prever critérios de segurança e plano de ação em caso de incidente de segurança; responsabilidade por penalidades administrativas e por indenização aos titulares de dados.         Muitas empresas adotam cláusula contratual padrão/modelo para proteção de dados visando facilitar a gestão de grande volume de contratos. Ocorre que é necessário repensar a adoção de documentos padronizados nos casos mais estratégicos e de maior risco, visto que pode ser necessário impor obrigações mais específicas de segurança, multas, responsabilidade contratual, dentre outras obrigações.           O acordo de proteção de dados é essencial para estabelecer diretrizes sobre como os dados serão compartilhados, a fim de que seja feito de forma segura e em conformidade com a Lei Geral de Proteção de Dados. Isso não apenas protege os direitos dos clientes, assegurando sua privacidade, mas também é essencial para reduzir os riscos de sofrer sanções ou penalidades, além de construir uma relação de confiança com seus consumidores. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional. Saiba mais: Comércio eletrônico e direitos do consumidor Saiba mais: LGPD no comércio eletrônico Saiba mais: Organização societária do comércio eletrônico

       No comércio eletrônico, é comum que as empresas coletem dados pessoais dos clientes, como nome, endereço, CPF, e-mail e informações de pagamento. As empresas que operam no comércio eletrônico têm a responsabilidade de garantir a segurança dos dados pessoais dos clientes e de cumprir rigorosamente as exigências da Lei Geral de Proteção de Dados.       A LGPD está em vigor desde setembro de 2020, prevendo direitos e garantias aos titulares de dados para o tratamento dos dados pessoais. As sanções administrativas em caso de violação preveem multa de até 50 milhões de reais por infração.         A Autoridade Nacional de Proteção de Dados – ANPD que tem competência para a fiscalização, regulamentação e educação sobre proteção de dados, iniciou em 2003 a fiscalização do cumprimento da LGPD.        O proprietário do comércio eletrônico é considerado pela LGPD o controlador dos dados pessoais utilizados na sua operação na medida em que é o responsável por tomar as decisões referentes ao tratamento dos dados pessoais. É dever do Controlador realizar o inventário de todas as suas atividades de tratamento de dados pessoais, analisar a base legal de cada tratamento, os princípios aplicáveis e adotar as medidas necessárias para mitigar os riscos mapeados. Ainda que as atividades sejam integralmente terceirizadas para empresas contratadas, o proprietário continua sendo o controlador e, portanto, legalmente responsável pela legalidade e segurança do tratamento dos dados pessoais. Política de Privacidade             Todo controlador tem o dever de publicar a Política de Privacidade no seu website, que deve descrever: Identificação do controlador, incluindo o seu endereço e canal de contato Nome e contato do Encarregado de Proteção de Dados (DPO) Descrição das formas de coleta de dados pessoais, dos tratamentos realizados e da respectiva finalidade e base legal de forma clara e simplificada Informação sobre operadores de tratamento de dados pessoais, controladoria conjunta e transferência internacional de dados Informação sobre os direitos dos titulares, incluindo canal de atendimento para exercer os seus direitos        A Política de Privacidade é o produto da análise pormenorizada das atividades do controlador e do ciclo de vida dos dados pessoais no contexto da sua operação. Trata-se de documento a ser elaborado por consultoria jurídica especializada após análise dos procedimentos do comércio eletrônico. Essa Política deverá ser revisada regularmente para refletir as mudanças nas operações e eventuais atualizações nas leis de proteção de dados, assegurando assim uma proteção contínua e eficaz dos dados pessoais dos clientes. Política de Cookies e gestão do consentimento          O comércio eletrônico normalmente utiliza cookies em seu website para viabilizar o seu funcionamento e para aprimorar a experiência de compras do cliente. De acordo com o Guia Orientativo sobre Cookies da ANPD, a Política de Cookies deve descrever todos os cookies coletados, o seu proprietário, a sua finalidade e o prazo de armazenamento.         Ademais, ao acessar o website ou aplicativo, o cliente deve ser avisado sobre a coleta de cookies e ter a possibilidade de selecionar os cookies que autoriza a coleta. Newsletter e outras comunicações de marketing          A loja virtual pode ter diferentes meios de comunicação com o cliente visando informá-lo sobre produtos e serviços que possam ser do seu interesse, seja por e-mail ou outras formas de comunicação, como as mensagens de SMS ou via WhatsApp. Para essa finalidade, deve haver consentimento do titular de dados e serem observados os seguintes requisitos: consentimento informado: o cliente deve ser previamente informado sobre a finalidade da coleta dos seus dados para fins de comunicação de marketing consentimento expresso: o seu fornecimento deve decorrer de uma ação afirmativa do cliente, como, por exemplo, a seleção de check-box; consentimento livre: não pode estar condicionado à aquisição de determinado produto ou serviço comercializado consentimento revogável: o cliente deve ter a opção de revogar o consentimento a qualquer tempo e de forma facilitada.          É ônus do controlador demonstrar que o consentimento foi coletado de maneira informada, expressa e livre.        A conformidade com a LGPD não só protege a privacidade dos consumidores, mas também evita penalidades legais e fortalece a relação do cliente com a empresa. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional. Saiba mais:  Comércio eletrônico e direitos do consumidor Saiba mais:  Acordo de proteção de dados no comércio eletrônico Saiba mais:  Organização societária do comércio eletrônico