Direito Digital

A Black Friday é uma das datas mais aguardadas do ano tanto por consumidores quanto por varejistas em razão das promoções especiais. A data, que teve origem nos Estados Unidos e se expandiu globalmente, ocorre na última sexta-feira de novembro, que é celebrado após o Dia de Ação de Graças. Em 2024, a data será celebrada em 29 de novembro. No Brasil, o evento tem ganhado força ano após ano, movimentando bilhões de reais anualmente. O mercado brasileiro possui algumas particularidades, destacando-se o grande número de compradores que parcelam suas compras e a diversificação de itens, incluindo eletrônicos, eletrodomésticos, itens de moda, beleza e até serviços.  A Black Friday impulsiona o comércio eletrônico, com diversos sites e aplicativos oferecendo promoções e condições especiais. Segundo a Associação Brasileira de Comércio Eletrônico (ABComm), a expectativa  é que o faturamento do comércio eletrônico alcance R$ 7,93 bilhões,  10,18% em relação ao ano de 2023. Diante desse cenário, varejistas aproveitam a data para  diversificar suas estratégias de marketing, priorizando campanhas pagas, ações em redes sociais e notificações por aplicativos.  Proteção de dados na Black Friday O crescimento do evento no Brasil trouxe uma série de regulamentações que exigem que os varejistas atuem com equilíbrio entre promoções e conformidade com a lei do e-commerce, Código de Defesa do Consumidor (CDC), Lei Geral de Proteção de Dados (LGPD).  Em relação à última regulamentação, sua aplicação torna-se ainda mais essencial com o aumento no fluxo de dados pessoais na Black Friday, especialmente em atividades como cadastros, transações financeiras e campanhas direcionadas. Com o aumento das transações online, o risco de ataques cibernéticos – como vazamentos de dados, roubo de informações e fraudes – cresce proporcionalmente. Nesse sentido, algumas medidas de segurança podem ser adotadas pelas organizações para proteger as informações dos consumidores e mitigar os riscos de incidentes de segurança que podem resultar em sanções legais e  afetar negativamente a reputação da organização. Entre as ações recomendadas estão: Investimento em segurança: o uso de criptografia, firewalls e sistemas de detecção de intrusão, ajudam a monitorar o tráfego da rede, bloquear acessos não autorizados e proteger as informações armazenadas. Treinamento da equipe: é fundamental que os colaboradores saibam os procedimentos adequados para lidar com incidentes de segurança e garantir uma resposta rápida e eficaz. Transparência: as organizações devem manter seus clientes informados sobre como  os dados são coletados, utilizados e armazenados. Citamos alguns itens obrigatórios: Política de privacidade: deve informar de forma clara e acessível quais dados são coletados, para quais finalidades serão utilizados, com quem podem ser compartilhados e por quanto tempo serão armazenados.  Política de cookies: os titulares devem ter acesso simplificado sobre  as cookies que estão sendo utilizadas em websites, sua finalidade e o prazo de armazenamento. Além disso, as organizações devem permitir que os usuários gerenciem as suas preferências.  Comunicação sobre incidentes de segurança: em caso de vazamento ou uso indevido de dados que possam causar riscos ou danos relevantes aos titulares, é essencial que estes sejam informados de forma rápida e eficiente sobre as medidas tomadas para mitigar os danos.  Orientação aos consumidores Com a aproximação da Black Friday e a preocupação com a segurança dos dados pessoais, os consumidores também podem adotar algumas medidas para realizar compras online com segurança. A Fundação de Proteção e Defesa do Consumidor (Procon-SP) publicou algumas orientações a serem seguidas no momento da compra, além de disponibilizar plantão permanente de atendimento ao consumidor toda sexta-feira de novembro.  A Secretaria Nacional do Consumidor (Senacon), do Ministério da Justiça e Segurança Pública, intensificará sua atuação para identificar práticas enganosas, como o aumento artificial de preços antes do período das promoções. Dentre as recomendações, constam: Desconfiar de promoções muito atraentes para serem reais; Cuidado com links em e-mails não solicitados; Preferência para Pix ou cartões virtuais em compras online; Jamais fazer transações online em computadores ou redes públicas; verificar a reputação da loja. Além disso, o órgão publicou lista de sites que devem ser evitados, pois tiveram reclamações de consumidores registradas no Procon-SP, foram notificados, não responderam ou não foram encontrados.   A Black Friday representa uma oportunidade para consumidores aproveitarem grandes promoções e para o mercado varejista e o comércio eletrônico impulsionar suas vendas. Contudo, exige equilíbrio entre a busca por resultados comerciais e a garantia de um ambiente de vendas seguro e transparente. É essencial que organizações invistam em medidas eficientes de proteção aos consumidores, estes que por vez, deverão estar atentos a possíveis fraudes.  Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

     O empregado pode se ausentar do trabalho, sem prejuízo do recebimento integral do salário, por motivos de saúde, acompanhamento de familiar em atendimento médico e realização de consulta e/ou exame médicos, desde que observados os requisitos previstos na legislação trabalhista. O empregador pode solicitar atestado médico ou outro documento aplicável para comprovação da ausência justificada, que deve ser apresentada pelo empregado no prazo legal.       É um problema antigo e conhecido a utilização de atestados médicos falsos, inclusive nas relações de trabalho. Caso o empregador tenha dúvidas fundadas sobre a idoneidade de atestados médicos, pode encaminhar o empregado para uma nova consulta com o médico contratado pela empresa. Se for constatada falsificação do documento, o empregado pode ser dispensado por justa causa, além de poder responder por outras penalidades legais aplicáveis.      Visando aumentar a segurança e confiabilidade de documentos médicos, o Conselho Federal de Medicina – CFM estabeleceu novas regras para sua emissão e criou uma plataforma que deverá ser utilizada por médicos em todo o país: a Atesta CFM. As novas regras têm impacto na aplicação da Lei Geral de Proteção de Dados – LGPD no tratamento de dados decorrentes da relação médico-paciente e das relações de trabalho.        Novas regras aplicáveis aos documentos médicos      O Conselho Federal de Medicina publicou a Resolução n. 2.381, em 2 de julho de 2024, para estabelecer novos requisitos para os documentos médicos, o que abrange aqueles aplicáveis à relação de trabalho: Atestado médico de afastamento: documento simplificado emitido por médico para determinados fins sobre atendimento prestado a um(a) paciente, no qual deve constar, além dos itens citados no art. 2º, a quantidade de dias concedidos de dispensa da atividade necessários para a recuperação do(a) paciente; Atestado de acompanhamento: documento pelo qual o médico confirma a presença de um indivíduo que acompanha paciente à consulta ou a um procedimento, e deve deixar consignada a data de comparecimento, bem como a quantidade de dias. Declaração de comparecimento: fornecida pelo setor administrativo de estabelecimento de saúde, assim como o atestado por médico, sem recomendação de afastamento do trabalho; pode ser um documento válido como justificativa perante o empregador, para fins de abono de falta no trabalho, desde que tenha a anuência deste.  Atestado de saúde: documento médico solicitado pelo(a) paciente, no qual o médico afirma a condição de saúde física e mental do(a) paciente. Trata-se de documento com múltiplas aplicações, cujo conteúdo deve observar sua respectiva finalidade. São considerados atestados de saúde: atestado de doença, atestado para licença-maternidade e casos de abortamento, atestado de aptidão física, atestado para gestantes em viagens aéreas e outros afins.  Atestado de saúde ocupacional (ASO): documento emitido por médico e definido pela Norma Regulamentadora 7, em conformidade com o Programa de Controle Médico de Saúde Ocupacional, no qual se atesta a aptidão ou inaptidão do(a) trabalhador(a) para o desempenho de suas atividades laborativas, nos termo Parecer técnico: documento expedido por médico especialista em área específica, de caráter opinativo, baseado na literatura científica, e quando na seara judicial fundamenta-se também nos autos do processo, em fatos, ou evidências, e na legislação aplicada; neste caso serão cobrados honorários pelo médico, quando em serviço privado.  Laudo médico-pericial: documento técnico expedido por perito oficial e anexado ao processo para o qual foi designado, cujo roteiro se encontra na Resolução CFM nº 2.153/2016.      De acordo com a nova regulamentação, os documentos médicos devem ter elementos mínimos para identificação do médico e do paciente. Ademais, é obrigatório ao paciente a apresentação de documento de identificação oficial com foto e indicação do CPF, incluindo pacientes menores de idade.         Plataforma Atesta CFM       A Resolução CFM n. 2.382, de 6 de setembro de 2024, determinou a instituição da Plataforma Atesta CFM como sistema oficial e obrigatório para emissão e gerenciamento de atestados médicos, inclusive de saúde ocupacional, em todo território nacional, sendo aplicável para documentos físicos e digitais.       Os atestados médicos deverão ser emitidos obrigatoriamente pela plataforma Atesta CFM ou por sistemas integrados a esta, e preferencialmente de maneira eletrônica. Em caráter excepcional, será possível emitir documentos físicos, desde que seja para casos que necessitem da emissão de atestados em formato manual (papel), e deverão atender às premissas de rastreabilidade, autenticidade e validação equivalentes ao meio digital.      Além disso, as pessoas jurídicas privadas e públicas poderão se cadastrar na plataforma para ter acesso aos atestados médicos, que exigirá também pagamento para seu acesso. Assim, o empregador poderá ter acesso diretamente ao atestado médico do seu empregado.        A nova regulamentação e o impacto da LGPD        É importante lembrar que nos documentos médicos objeto da nova regulamentação há dados pessoais sensíveis do paciente por se tratar de informação referente à sua saúde. Dessa forma, é necessário observar os requisitos específicos quanto ao tratamento de dados sensíveis previstos na Lei Geral de Proteção de Dados – LGPD.        A nova regulamentação estabelece regras especiais para o tratamento de dados dos documentos pelos médicos e estabelecimentos de saúde (hospitais, clínicas e laboratórios, por exemplo) na medida em que prevê: Os dados pessoais do médico e paciente que devem constar nos documentos médicos; A imposição de registro dos documentos na Plataforma do CFM;  A obrigatoriedade de verificação da identidade do paciente.      Em caso de emissão de atestados em meio físico, o médico é legalmente responsável pelo seu registro na plataforma do CFM, além da guarda e uso correto das folhas de atestado médico. Se houver perda, extravio ou comprometimento da integridade das folhas, o médico deve registrar imediatamente o ocorrido na plataforma e adotar todas as ações necessárias para evitar o uso indevido das informações nelas contidas.      As pessoas jurídicas – sejam empresas ou entes públicos – poderão se cadastrar na plataforma para ter acesso aos atestados médicos dos seus funcionários, que está sujeita a pagamento para acesso ao sistema. Neste caso, é necessário coletar consentimento específico e destacado de

        À medida que as organizações adotam novas tecnologias, a complexidade de seus ambientes digitais aumenta significativamente. Essa dependência de sistemas torna as empresas vulneráveis a uma variedade de ameaças, sendo os riscos de um incidente de segurança inerentes a qualquer negócio. Do mesmo modo, eventos como falhas humanas e desastres naturais também podem causar interrupções significativas nas operações e comprometer a continuidade dos negócios.      A vulnerabilidade a ciberataques, falhas de sistemas, violação de dados e outros incidentes cresce continuamente. Além desses incidentes ameaçarem a integridade dos dados coletados e processados por uma organização e o funcionamento da sua estrutura organizacional, podem resultar em danos à reputação, perda de confiança por parte de parceiros comerciais,  e acarretar prejuízo decorrentes de penalidades e perdas de faturamento.        A adoção de medidas técnicas e organizacionais adequadas é essencial para conter incidentes e mitigar riscos e danos, assegurando a proteção dos ativos e a continuidade das operações. Para isso, a implementação de um plano de resposta a incidentes bem estruturado é fundamental, permitindo uma reação rápida e eficiente e de um plano de continuidade de negócios sólido capaz de garantir a manutenção das atividades essenciais após interrupções ou incidentes.         Apesar dos papéis distintos que desempenham na proteção e manutenção das operações das empresas, a integração de ambos planos estabelece uma estratégia abrangente e eficiente para gerenciamento de riscos. Essa combinação permite que as organizações respondam mais rapidamente  a incidentes e garantam a continuidade das operações essenciais.         Plano de Resposta a Incidentes de Segurança       O Plano de Resposta a Incidentes de Segurança é obrigatório para todas as organizações que realizam tratamento de dados pessoais, ou seja, que utilizam informações de pessoas físicas para exercer as suas atividades, como dados de funcionários e de clientes.       O seu objetivo é detalhar as etapas específicas para identificar, gerenciar e minimizar o impacto dos incidentes. De acordo com a Autoridade Nacional de Proteção de Proteção de Dados, as organizações devem observar as diretrizes da Resolução CD/ANPD nº 15, publicada em maio de 2024, que prevê diversas obrigações, dentre as quais destacamos: (i) Registro do incidente: uma vez identificado um incidente de segurança ou havendo suspeita, o Encarregado de Proteção de Dados deverá ser notificado para investigar o evento. (ii) Comunicação do incidente à ANPD e aos titulares: sempre que houver incidente que acarretar risco ou dano relevante aos titulares, deverá ser comunicado à ANPD e aos próprios titulares afetados no prazo de 3 (três) dias úteis, contados a partir do conhecimento do incidente pelo controlador.  (iii) Ausência de informações completas: caso o controlador não tenha as informações completas a respeito do incidente ou não conseguir notificar os titulares no prazo recomendado, pode ser apresentada comunicação complementar no prazo de 20 dias úteis.        Plano de continuidade de negócios       O Plano de continuidade negócios (PCN) é um dos recursos a serem utilizados para a gestão de risco, atuando com uma estratégia documentada que garante a continuidade das operações, mesmo diante de eventos que possam comprometer os negócios, minimizando interrupções e os impactos negativos sobre seus clientes e colaboradores. Esses eventos incluem desastres naturais, ciberataques e falhas no sistema.        Para garantir a eficácia do Plano, é importante que ele contenha responsabilidades bem definidas e diretrizes claras. Entre suas disposições, devem constar: (i) Prioridades: definição dos processos que devem ser recuperados primeiro em caso de interrupção; (ii) Identificação de processos críticos: quais atividades são essenciais para o funcionamento da empresa; (iii) Responsabilidades: definição de funções e responsabilidades para a equipe de continuidade; (iv) Plano de recuperação: procedimentos para restaurar as operações.       Apesar da sua relevância, não há regulamentação específica que torne obrigatória a elaboração de um PCN. No entanto, a norma ISO 22301:2019 é amplamente reconhecida como um  padrão internacional para o gerenciamento da continuidade de negócios. Essa norma estabelece os requisitos relacionados a planejamento, análise crítica, monitoramento, implementação e acompanhamento de resultados, para empresas que desejem melhorar sua estrutura de gestão de continuidade de negócios. Suas disposições se aplicam a qualquer tipo de organização, independente do tipo, dimensão e natureza.      A implementação é recomendada para mitigar perda de faturamento com multas, indenizações e prejuízo em decorrência de interrupções das operações. A presença de um plano demonstra o comprometimento da organização com a resiliência organizacional, com seus clientes, fornecedores e colaboradores, além de oferecer uma vantagem competitiva no mercado.        Saiba mais sobre Incidente de segurança com dados pessoais: espécies e plano de respostas no link: https://boiteuxealmeida.com/incidente-de-seguranca-com-dados-pessoais-especies-e-plano-de-respostas/  Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

     A recente decisão do Ministro Alexandre de Morais de acesso ao X (twitter) por meio de conexões de VPNs do Brasil foi objeto de grande controvérsia e trouxe discussões no âmbito jurídico, tecnológico e social. A decisão estipulou multa de R$50 mil para pessoas físicas ou jurídicas que utilizassem VPN para burlar o bloqueio de acesso ao X a partir do Brasil.     Para avaliar os efeitos da decisão do STF, é fundamental compreender a tecnologia por trás do uso de VPNs, as suas possíveis utilizações e as regulações existentes no direito comparado, além dos projetos de lei em debate no Brasil.       O que é a tecnologia VPN      VPN significa “Virtual Private Network” (Rede Privada Virtual). É uma tecnologia que permite a interconexão de redes e a conexão de usuários remotos a essas redes, criando um caminho para enviar e receber informações pela internet por de uma conexão segura e criptografada entre o usuário e a internet.      Ao se conectar a uma VPN, os dados do usuário são criptografados. Ou seja, os dados são convertidos em um formato ilegível para proteger a privacidade do usuário. Quando o usuário se conecta a uma VPN, seu endereço IP real é ocultado e substituído pelo endereço IP do servidor VPN. Com a tecnologia,  o histórico de navegação e localização se tornam indetectáveis.       Modalidades de uso     Durante a pandemia, o uso da VPN foi intensificado pelo trabalho remoto, proporcionando acesso seguro aos recursos da empresa pelos colaboradores. Por exemplo, uma organização com escritórios em diferentes locais, ou cujo os colaboradores trabalham em à distância (por exemplo, em regime de home office ou teletrabalho), pode fornecer acesso a serviços de e-mail e arquivo corporativos através da VPN, de forma a proteger os dados em trânsito.     A utilização das VPNs para acessar serviços de streaming também tem se tornado crescente, servindo como uma forma de contornar geobloqueios. Muitas plataformas limitam o acesso a conteúdos com base na localização geográfica do usuário. Com a VPN, o usuário pode se conectar a servidores de outros países e ter acesso a uma gama de conteúdo que não estão disponíveis em seu país.     Embora tenha diversas aplicações positivas, usuários mal-intencionados têm se utilizado da tecnologia para se esconder por meio do anonimato oferecido pelas VPNs. Devido a capacidade de possibilitar que o usuário acesse a internet de forma anônima, ocultando seu endereço IP e a localização geográfica, usuários têm utilizado a VPN para para realizar fraudes, ataques cibernéticos e outras atividades criminosas.      Projetos de lei VPN no Brasil     Atualmente, não existe legislação no Brasil que proíba ou restrinja seu uso no país. No entanto, diante das recentes discussões sobre a tecnologia, foram propostos dois projetos de lei (PL) referentes às VPNs.      O PL 3475/2024, de autoria da Deputada Bia Kicis, tem como objetivo vedar qualquer proibição de uso da VPN para acessar a rede social “X” (Twitter).. O texto propõe que desde que o acesso não tenha cometido crimes previstos na legislação, as pessoas físicas e jurídicas que acessaram o aplicativo estão isentas de pagar multa. A justificativa principal apresentada é de que tanto a multa quanto a proibição da VPN seriam inconstitucionais, ilegais e contrárias às instituições democráticas.      Já o PL 3471/2024, apresentado pelo Deputado Dr. Zacharias Calil, determina que nenhuma restrição ao uso de VPNs poderá ser imposta sem decisão judicial específica e fundamentada em provas concretas. O projeto prevê que o uso de VPNs não exime os usuários da responsabilidade legal por atividades ilícitas, como pirataria, hacking, fraude online e outras atividades criminosas permanecem ilegais, mesmo quando realizadas com o uso de VPNs.      Regulação em outros países     Em vários países, o uso de VPN é restrito ou até banido. Os países que proíbem VPNs incluem Rússia, Coreia do Norte, Iraque, Irã e Arábia Saudita. Já países como Turquia e China autorizam o acesso, mas com restrições, devendo ser licenciadas e alinhadas com as regulamentações governamentais.      A União Europeia tem histórica proteção de direitos relacionados à privacidade e à segurança de dados. Nesta esteira, o eIDAS 2.0 (Regulamento Europeu de Identificação Eletrônica e Serviços de Confiança), aprovado em abril de 2024, visa mudar a forma como os navegadores web lidam com segurança e autenticação de sites, ao mesmo tempo em que lança um aplicativo de identificação (EU ID Wallet) para todos os europeus.  Algumas interpretações do eIDAS 2.0 sugerem que o regulamento poderia limitar o uso de VPNs, pois elas podem dificultar a verificação da identidade do usuário e o rastreamento de suas atividades online.      Mesmo nos países em que a VPN não é regulada, a sua utilização para atividades ilegais pode ser submetida às medidas judiciais cabíveis.       Perspectivas     Com a crescente preocupação em relação aos impactos do uso da VPN, muitos países estão começando a considerar legislações que regulamentem o uso de VPNs. Para que sua utilização seja eficiente, é necessário que haja uma estrutura adequada que limite e responsabilize adequadamente os abusos em sua utilização. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.  1 – INTERNATIONAL STANDARD. ISO/IEC 27033-5:2013(E). Information technology — Security techniques — Network security — Part 5: Securing communications between networks.Primeira Edição. Geneva: International Organization for Standardization, 2013.