Boiteux & Almeida Advogados Associados

Menu
Linkedin Instagram Facebook
Menu
Linkedin Instagram Facebook

Lei Geral de Proteção de Dados – LGPD

Do STF às Empresas: O que o acesso indevido a dados sigilosos ensina sobre a Gestão de Acesso no seu negócio?

Lei Geral de Proteção de Dados - LGPD /

Recentemente, o debate público foi tomado por investigações acerca do suposto acesso indevido a dados fiscais de ministros do Supremo Tribunal Federal e seus familiares por parte de servidores públicos. Embora o caso ganhe contornos políticos e criminais na mídia, ele serve como um alerta fundamental para o mundo corporativo: se nem o alto escalão do setor público está imune a acessos não autorizados, como está a proteção das informações estratégicas da sua empresa? No ambiente empresarial, a gestão de acesso não é apenas uma tarefa do departamento de TI, mas uma medida de governança jurídica essencial para proteger segredos de negócio e garantir a conformidade com a Lei Geral de Proteção de Dados (LGPD). O Princípio do “Need to Know” e a Entrada do Colaborador A segurança da informação deve começar no primeiro dia de um novo colaborador. O controle rigoroso baseia-se no princípio do need to know (necessidade de saber): o acesso deve ser limitado estritamente ao que é indispensável para o exercício daquela função específica. Conceder privilégios excessivos “por conveniência” cria vulnerabilidades desnecessárias. Uma política de acesso eficiente mapeia as responsabilidades e garante que dados sensíveis ou estratégicos não fiquem expostos a quem não possui finalidade legítima para manuseá-los, mitigando o risco de vazamentos acidentais ou maliciosos. Rastreabilidade e Monitoramento: O Papel dos Logs Não basta limitar o acesso; é preciso saber quem, quando e como as informações foram visualizadas ou editadas. A utilização de registros de logs e outras tecnologias de monitoramento é o que permite a rastreabilidade total das operações. Para as empresas, essa transparência é uma ferramenta de defesa. Em caso de incidentes ou auditorias, a capacidade de identificar o caminho percorrido por um dado dentro da organização demonstra diligência e boa-fé, requisitos centrais para o cumprimento da LGPD e para a preservação da propriedade intelectual da companhia. O Desligamento e a Revogação Imediata de Acessos Um dos pontos de maior fragilidade na segurança corporativa ocorre no momento da rescisão do contrato de trabalho. A revogação dos acessos deve ser imediata e sistêmica. Contas de e-mail, pastas em nuvem, sistemas internos e acessos físicos que permanecem ativos após o desligamento são portas abertas para riscos reputacionais e financeiros. Uma política de segurança da informação robusta prevê um protocolo de offboarding alinhado entre o RH, o Jurídico e o TI. Garantir que o ex-colaborador não tenha mais alcance aos ativos da empresa é uma medida de proteção que preserva a integridade da operação e evita o uso indevido de informações privilegiadas. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

Do STF às Empresas: O que o acesso indevido a dados sigilosos ensina sobre a Gestão de Acesso no seu negócio? Read More »

Brasil e União Europeia oficializam adequação em proteção de dados

Lei Geral de Proteção de Dados - LGPD /

Em um marco histórico para a economia digital e a privacidade, o Brasil e a União Europeia anunciaram o reconhecimento mútuo de seus regimes de proteção de dados pessoais. A decisão, comunicada pela Agência Nacional de Proteção de Dados (ANPD), agora consolidada como agência reguladora autônoma, confirma que o nível de proteção conferido pela LGPD brasileira é equivalente aos padrões exigidos pelo Regulamento Geral de Proteção de Dados (GDPR) europeu. O que muda para as empresas? Até então, a transferência de dados pessoais entre o Brasil e o bloco europeu exigia salvaguardas contratuais complexas e onerosas, como as Cláusulas Contratuais Padrão. Com a decisão de adequação, o fluxo transfronteiriço de dados passa a ocorrer de forma livre, como se fosse uma operação doméstica, desde que respeitados os princípios legais de ambos os territórios. Impacto jurídico e a atuação da Agência Este reconhecimento não apenas fortalece a posição do Brasil como um destino seguro para investimentos, mas também valida o trabalho da ANPD em sua transição para o modelo de autarquia especial. A autonomia da agência foi um fator determinante para que o bloco europeu reconhecesse a independência e a eficácia da fiscalização no Brasil. Este avanço reforça a importância de uma governança de dados robusta. A conformidade deixa de ser apenas uma obrigação legal e passa a ser um facilitador estratégico de negócios globais. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

Brasil e União Europeia oficializam adequação em proteção de dados Read More »

O CASO LOUVRE E A SENHA “LOUVRE”: O alerta global para a governança da Segurança da Informação

Direito Digital, Lei Geral de Proteção de Dados - LGPD /

O recente e espetacular roubo de joias históricas da Coleção Real de Gemas e Diamantes da Coroa no Museu do Louvre, em Paris, com prejuízo estimado em mais de R$ 550 milhões (cerca de 88 milhões de euros/US$ 100 milhões), transcendeu a esfera do crime de patrimônio. Ele se tornou um estudo de caso contundente sobre as falhas críticas na implementação de políticas de segurança, com implicações diretas para a gestão e a responsabilidade civil das organizações ao redor do mundo, incluindo as brasileiras. A Catástrofe da Senha Fraca: O Elo Mais Fraco da Segurança O prejuízo de meio bilhão de Reais reflete não apenas o valor intrínseco das joias, mas a perda inestimável para o patrimônio histórico e cultural da França. No entanto, o fator mais chocante é a aparente facilidade com que o sistema de vigilância por vídeo (circuito interno de segurança – CFTV) pode ter sido neutralizado ou burlado devido a uma senha de baixíssima complexidade e altamente previsível. O uso de senhas como “Louvre”, “123456”, ou o nome da própria empresa/setor é um erro básico, que demonstra a falha na implementação e fiscalização de uma Política de Segurança da Informação (PSI) robusta. Para as organizações brasileiras, o caso serve como um alerta severo de que a segurança de uma instituição é tão forte quanto seu elo mais fraco. De que adianta investir milhões em cofres, câmeras e tecnologia de ponta se a chave digital de controle é trivial? A Política de Segurança da Informação (PSI) como Boa Prática de Governança A implementação de uma PSI é um dever fiduciário na gestão de qualquer organização, independentemente do porte ou segmento. A PSI define claramente os ativos da organização (dados, sistemas, know-how, informações estratégicas e, no caso do Louvre, as próprias obras de arte e o sistema que as monitora) e os riscos a que estão expostos. Ela estabelece diretrizes para garantir a Confidencialidade, Integridade e Disponibilidade (CID) desses ativos. A adoção da PSI como boa prática de governança garante que: Padrões Mínimos de Segurança sejam estabelecidos: A PSI exige a definição de regras para senhas (complexidade, troca periódica), controle de acesso, uso de softwares atualizados e monitoramento de logs. Treinamento e Conscientização: Uma PSI eficaz prevê o treinamento contínuo de todos os colaboradores (vigilantes, TI, administradores) para que entendam seu papel na segurança, eliminando práticas de risco como senhas fracas ou compartilhamento de credenciais. Auditoria e Compliance: A PSI estabelece mecanismos de auditoria interna para verificar se as regras estão sendo seguidas e se os sistemas estão em conformidade com as diretrizes internas e a legislação. Para as empresas brasileiras, a desídia com a segurança da informação, evidenciado pelo caso Louvre, pode gerar sérias consequências jurídicas baseadas na legislação vigente. A Lei Geral de Proteção de Dados (LGPD) – Lei nº 13.709/2018 estabelece o padrão de segurança da informação no Brasil. Art. 46: Determina que os agentes de tratamento (Controladores e Operadores) devem adotar medidas de segurança técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. Responsabilidade Civil: Caso a falha na segurança (como uma senha fraca) leve ao vazamento de dados de clientes, stakeholders ou colaboradores, a organização poderá ser responsabilizada civilmente, além de sofrer sanções administrativas da Agência Nacional de Proteção de Dados (ANPD). Conclusão para a Gestão O episódio no Louvre é um lembrete multimilionário de que a gestão de riscos digitais é indissociável da gestão de riscos físicos e de negócios. A falta de uma PSI adequada ou o descumprimento de suas regras mais básicas, como a política de senhas, configura não apenas uma falha operacional, mas uma falha de governança. Assim, é importante que as organizações brasileiras revisem e aprimorem seus protocolos de segurança da informação, garantindo que o investimento em tecnologia seja acompanhado pela conscientização humana e pela supervisão rigorosa dos administradores. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

O CASO LOUVRE E A SENHA “LOUVRE”: O alerta global para a governança da Segurança da Informação Read More »

ECA Digital: um novo marco para a proteção de crianças e adolescentes

Direito Digital, Lei Geral de Proteção de Dados - LGPD /

A era digital trouxe inúmeros benefícios, acesso à informação, aprendizado, socialização e oportunidades de expressão. No entanto, também intensificou riscos específicos para crianças e adolescentes, que enfrentam desafios como exposição a conteúdos inadequados, exploração comercial e vulnerabilidade emocional.   Nesse contexto, em setembro de 2025 foi aprovado o ECA Digital (Lei n° 15.211/2025), que representa um marco fundamental na proteção de crianças e adolescentes no ambiente digital. Trata-se da consolidação da proteção integral prevista no Estatuto da Criança e do Adolescente (ECA) e na Lei Geral de Proteção de Dados (LGPD).   O ECA Digital é a primeira legislação da América Latina voltada exclusivamente à proteção digital de crianças e adolescentes. Ele atualiza o ECA da década de 90 (Lei n° 8.69/90) para o ambiente online, prevendo deveres a plataformas, escolas, famílias e órgãos públicos. Entre os principais objetivos da nova lei estão: Garantir um ambiente digital seguro e inclusivo para menores de 18 anos; Definir responsabilidade compartilhada entre Estado, empresas e responsáveis legais; Imprimir o conceito de “segurança por padrão”, impondo a proteção automática como regra; Proibir o uso de técnicas de perfilamento e publicidade direcionada para crianças e adolescentes; Criar mecanismos confiáveis de aferição de idade, sem depender apenas da autodeclaração; Estabelecer sanções severas, que incluem multas de até R$ 50 milhões e suspensão de atividades para plataformas infratoras. Os pilares do novo marco regulatório O ECA Digital se apoia em quatro pilares centrais: Proteção Integral e Melhor Interesse: O princípio do “melhor interesse desde a concepção” (art. 7º) obriga empresas a priorizar a segurança de crianças e adolescentes em qualquer etapa do design de produtos e serviços. Responsabilidade Compartilhada:A lei impõe deveres não apenas aos pais e responsáveis, mas também às plataformas digitais, escolas e provedores de serviço, reconhecendo que a proteção deve ser um esforço coletivo. Aferição de Idade Confiável:Considerada o “pilar central” da lei, a verificação de idade visa impedir o acesso a conteúdos impróprios. O desafio está em equilibrar a proteção com os princípios da minimização de dados da LGPD, evitando coleta excessiva de informações pessoais. Fiscalização e Sanções:A Agência Nacional de Proteção de Dados (ANPD) atua como órgão regulador central, com autonomia para regulamentar, fiscalizar e aplicar penalidades em caso de descumprimento. O papel da educação e da sociedade O ECA Digital reforça que a proteção não se limita à regulação. A educação digital e o engajamento social são componentes indispensáveis. Educação Midiática: capacitar crianças, pais e professores para reconhecer riscos e navegar de forma segura. Engajamento das Plataformas: incentivo a políticas de moderação eficazes e transparentes, remoção célere de conteúdos ilícitos e controle parental por padrão. Responsabilidade Compartilhada: a proteção não deve recair apenas sobre o poder público ou sobre as plataformas, mas envolver toda a sociedade. O novo marco normativo redefine as fronteiras da responsabilidade civil, administrativa e ética no ambiente digital. Mais do que uma nova legislação, o ECA Digital é um convite à corresponsabilidade. Ele reconhece que a proteção de crianças e adolescentes no ambiente digital depende da atuação coordenada de empresas, famílias, escolas, governo e sociedade civil. Trata-se, portanto, de um passo decisivo rumo a uma internet mais segura, inclusiva e humanizada, onde o desenvolvimento tecnológico se alia à promoção dos direitos fundamentais das novas gerações. Entraga em vigor O ECA Digital entrará em vigor em março de 2026. Assim, os entes submetidos à lei precisão rever suas atividades para atender novos deveres e obrigações previstos no ECA Digital nos próximos meses.  Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

ECA Digital: um novo marco para a proteção de crianças e adolescentes Read More »

SITES CORPORATIVOS E MARKETPLACES: Riscos à segurança e a LGPD

Lei Geral de Proteção de Dados - LGPD /

O crime digital evoluiu de atos isolados de “super-hackers” para um ecossistema vasto e de baixo custo de entrada, tornando todos os sites de empresas, incluindo marketplaces, alvos constantes e de ataques oportunistas. A noção de que um site pequeno ou com pouco lucro não será atacado é um mito perigoso. A exposição na internet, por si só, é um convite ao ataque, impulsionado pela facilidade de escaneamento em massa e pela automação. A ameaça é sistêmica e generalizada, com o prejuízo global de ciberataques projetado em trilhões de dólares. O principal vetor para alcançar esses números exorbitantes é a automação e a repetição de padrões de ataque. A Mecânica do Risco: Ataques Oportunistas e Automatizados Os criminosos utilizam ferramentas e mecanismos que aceleram a identificação e a exploração de vulnerabilidades. O atacante não precisa mais buscar um alvo específico, pois ferramentas como Masscan e o ZMap Project conseguem escanear toda a internet IPv4 em tempo recorde. Serviços de indexação como Shodan funcionam como um catálogo do que está exposto, permitindo que atacantes busquem rapidamente por servidores vulneráveis ou mal configurados, bastando saber como um sistema responde. Os riscos mais críticos para sites de menor porte, incluindo blogs e marketplaces, são: Ataques de Força Bruta contra Credenciais Fracas: A simples abertura de portas de administração (como SSH na porta 22), mesmo sem indexação ou DNS registrado, gera milhares de tentativas de login e senha em 24 horas. Senhas de administrador ou root fracas são derrubadas em questão de dias. Isso ressalta a importância de políticas de senhas fortes e, principalmente, do MFA (Autenticação de Múltiplos Fatores). Vulnerabilidades em Aplicações e Frameworks Comuns: O ataque massivo foca em falhas conhecidas de componentes populares, como WordPress (em temas e caminhos previsíveis) e frameworks. Criminosos utilizam repositórios de exploits (como o Exploit-DB) e técnicas de Google Dorking para buscar URLs que contenham o nome de um tema ou componente vulnerável. Uma falha pública em um único tema pode levar à invasão de milhares de sites que o utilizaram. Ataque com Payloads Diretos: Muitos ataques automatizados pulam a fase de reconhecimento e enviam payloads (como webshells conhecidas) diretamente na tentativa de explorar uma falha, apostando na negligência e na alta velocidade da internet para ter sucesso. Fraude como Serviço (Fraud-as-a-Service): O ecossistema criminal permite que pessoas com baixo conhecimento técnico comprem kits prontos (phish kits) ou contratem serviços de terceiros (C2C – Crime to Crime) para realizar partes do ataque, como a listagem de e-mails ou o uso de proxies anônimos. Isso democratiza o ataque e aumenta o número de agressores. Reutilização de Credenciais Vazadas e Marketplaces de Dados: A falha de uma empresa em proteger dados pode afetar o cliente em outros serviços. Marketplaces de dados na Dark Web consolidam informações de grandes vazamentos (Serasa, Detran, etc.) e as vendem por valores irrisórios, permitindo fraudes sofisticadas, como ligações de phishing direcionadas com dados reais. Conformidade e Mitigação de Riscos: LGPD e ANPD A Lei Geral de Proteção de Dados (LGPD – Lei n° 13.709/2018) estabelece o marco legal para o tratamento de dados pessoais no Brasil, impondo responsabilidades claras às empresas, que são as controladoras ou operadoras desses dados. A lei exige que medidas de segurança, técnicas e administrativas, sejam adotadas para proteger os dados pessoais contra acesso não autorizado, destruição, perda, alteração ou qualquer forma de tratamento inadequado ou ilícito. A Agência Nacional de Proteção de Dados (ANPD), como órgão fiscalizador, é responsável por aplicar as sanções e emitir diretrizes. Medidas Essenciais de Segurança e Governança Embora a transcrição não detalhe as exigências legais, a conformidade com a LGPD e as diretrizes da ANPD (baseadas nos princípios da lei) requer que as empresas abordem os riscos de segurança mencionados com as seguintes ações: Medidas de Prevenção e Proteção (Segurança por Padrão): Segurança no Desenvolvimento (Security by Design): Integrar a segurança desde a concepção de novos produtos e serviços, utilizando frameworks robustos e atualizados, que previnam falhas comuns como SQL Injection (um risco alto para sites que não utilizam parametrização e filtros adequados). Gerenciamento de Vulnerabilidades e Patches: Manter todos os sistemas, frameworks e temas atualizados para corrigir falhas conhecidas (CVEs). A ANPD e a LGPD exigem que a empresa conserte ativamente vulnerabilidades que possam ser exploradas para causar vazamento de dados. Políticas de Senha Fortes e Autenticação de Múltiplos Fatores (MFA): O MFA deve ser obrigatório para acessos de administração e sistemas críticos. A mera complexidade da senha já não é mais suficiente para ser considerada segura. Monitoramento e Testes: Implementar scanners de vulnerabilidade, Intrusion Detection Systems (IDS) e Honeypots (como o teste feito na transcrição) para monitorar ativamente ataques e padrões maliciosos, além de realizar testes de penetração (pen tests). Medidas de Governança e Resposta a Incidentes (Conformidade Legal): Mapeamento e Minimização de Dados: Coletar apenas os dados estritamente necessários para o serviço (Princípio da Necessidade). Reduzir a quantidade de dados armazenados diminui o impacto de um possível vazamento. Marketplaces, por coletarem dados de pagamento e cadastro, têm responsabilidade elevada. Comunicação de Incidentes: Em caso de vazamento ou incidente de segurança que possa acarretar risco ou dano relevante aos titulares, a LGPD exige que a ANPD e os titulares sejam notificados em prazo razoável. Falhar na comunicação pode resultar em sanções. Treinamento e Conscientização: O erro humano é responsável por cerca de 60% dos problemas de segurança. A empresa deve investir em treinamento contínuo para que funcionários identifiquem tentativas de phishing, não reutilizem credenciais e compreendam os riscos. A ANPD pode considerar a falta de conscientização como uma falha na adoção de medidas de segurança. A segurança da informação não é apenas um custo ou um item opcional; é um investimento estratégico e uma obrigação legal para proteger os dados pessoais e manter a confiança no ecossistema digital. Ignorar esses riscos é contar com a sorte no meio de um campo de batalha digital automatizado. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem

SITES CORPORATIVOS E MARKETPLACES: Riscos à segurança e a LGPD Read More »

Biometria Comportamental: segurança e LGPD

Lei Geral de Proteção de Dados - LGPD /

A biometria comportamental é uma tecnologia de segurança que identifica e autentica usuários a partir de suas ações e padrões de comportamento únicos. Diferente da biometria tradicional — como a impressão digital ou o reconhecimento facial —, que utiliza características físicas (o que você é), a biometria comportamental analisa como você interage com dispositivos digitais (como você age). Aplicação prática A tecnologia funciona de maneira silenciosa e contínua, em segundo plano. Ela tem um vasto campo de aplicação, especialmente em setores que lidam com transações críticas e grandes volumes de dados. Setor Financeiro: Bancos e fintechs são os maiores interessados nessa tecnologia. A biometria comportamental pode ser usada para detectar transações fraudulentas, prevenir roubo de identidade e proteger contas de clientes. Ao analisar o padrão de digitação de senhas e a navegação dentro do aplicativo bancário, é possível identificar atividades incomuns de forma instantânea. E-commerce e Varejo Online: A tecnologia pode ajudar a prevenir fraudes de cartão de crédito e a identificar contas falsas. Se um golpista cria várias contas para fazer compras com cartões roubados, a biometria comportamental pode ligar esses perfis a um mesmo padrão de comportamento, bloqueando as transações. Serviços Digitais e E-mail: Empresas que oferecem serviços online, como plataformas de streaming, e-mail e redes sociais, podem usar a biometria comportamental para identificar acessos não autorizados e proteger as contas dos usuários contra invasões. Saúde Digital: Em aplicativos de telemedicina ou plataformas de agendamento, a biometria comportamental pode garantir que apenas o paciente legítimo está acessando seus dados de saúde, que são dados pessoais sensíveis. Segurança e Conveniência: benefícios e desafios A principal vantagem da biometria comportamental é a sua capacidade de criar uma camada de segurança mais robusta e discreta. Ela opera sem que o usuário precise fazer nada, eliminando a necessidade de senhas complexas, tokens ou etapas extras de autenticação. Para uma empresa, isso se traduz em uma experiência de usuário mais fluida e segura. Segurança Contínua: Enquanto a biometria tradicional autentica o usuário apenas no momento do login, a biometria comportamental monitora a sessão inteira. Se alguém roubar o seu login e senha, o sistema detectará que os padrões de navegação e digitação não são os seus e poderá bloquear a conta automaticamente ou pedir uma verificação extra. Melhor Prevenção de Fraudes: Essa tecnologia é eficaz na detecção de fraudes em tempo real.  Experiência do Usuário Aprimorada: A biometria comportamental pode ser usada para oferecer autenticação sem fricção. Em vez de pedir a senha ou a impressão digital a cada acesso, o sistema simplesmente “confirma” a identidade do usuário pela forma como ele se comporta. Isso torna a experiência de uso mais agradável, rápida e menos propensa a abandono. Flexibilidade: Não há necessidade de hardware especial, como leitores de impressão digital ou câmeras de reconhecimento facial. A biometria comportamental utiliza os sensores e as informações já disponíveis em dispositivos comuns, como computadores e smartphones, tornando sua implementação mais acessível para as empresas. Apesar de suas vantagens, a biometria comportamental também apresenta desafios que devem ser considerados. Risco de Falsos Positivos: O sistema pode interpretar uma mudança natural de comportamento como uma ameaça. Por exemplo, se um usuário digita mais devagar porque está cansado ou está usando um teclado diferente, o sistema pode erroneamente considerá-lo um impostor. Isso pode levar a bloqueios de conta ou solicitações de verificação desnecessárias, causando frustração. A calibração e o treinamento do sistema são cruciais para minimizar esses erros. Dificuldade de Implementação para Todos: Pessoas com deficiências motoras ou que usam tecnologias assistivas podem ter padrões de comportamento muito diferentes. Os sistemas de biometria comportamental precisam ser projetados para serem inclusivos e se adaptarem a uma ampla variedade de perfis de usuário, evitando a exclusão de determinados grupos. A biometria comportamental não deve ser vista como uma solução mágica, mas sim como uma camada adicional e sofisticada dentro de uma política de segurança da informação (PSI) robusta.  Compatibilidade com a LGPD A utilização da biometria comportamental em empresas levanta questões importantes sobre sua compatibilidade com a Lei Geral de Proteção de Dados (LGPD). A LGPD classifica dados biométricos como dados pessoais sensíveis, exigindo um nível de proteção maior e uma base legal específica para seu tratamento.  A biometria comportamental pode se integrar de forma segura e ética à política de segurança de uma empresa, desde que os princípios legais sejam observados. A LGPD exige que o tratamento de dados pessoais sensíveis tenha uma finalidade legítima e que os titulares sejam informados sobre como seus dados são coletados e utilizados. A organização deve deixar claro, em sua política de privacidade, a finalidade e base legal para tratamento da biometria comportamental. Outra possibilidade pode ser a anonimização e a pseudonimização. A biometria comportamental não precisa, necessariamente, associar os padrões de comportamento a uma pessoa identificável. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

Biometria Comportamental: segurança e LGPD Read More »

ANPD e limites para divulgação de imagens de câmera de segurança

Direito Digital, Lei Geral de Proteção de Dados - LGPD /

     A instalação de câmeras de segurança é prática comum em condomínios, empresas e espaços públicos, visando a proteção do patrimônio e a segurança das pessoas. Trata-se de um tipo de tratamento de dados pessoais, já que há coleta da imagem de pessoas físicas. Se as câmeras utilizarem sistema de reconhecimento facial, também haverá tratamento de dado sensível (biometria).      Em maio de 2025, a Autoridade Nacional de Proteção de Dados – ANPD recebeu notificação do Ministério Público do Estado de Santa Catarina para requerer a verificação da conformidade com a Lei Geral de Proteção de Dados – LGPD da prática adotada por empresa que divulgava vídeos captados por câmeras de segurança nas redes sociais. O agente fiscalizado divulgava a imagem de pessoas que supostamente teriam cometido furto em seus estabelecimentos comerciais.      Em análise preliminar, a Coordenação-Geral de Fiscalização da ANPD emitiu medida preventiva para determinar a suspensão provisória da divulgação dos vídeos até a conclusão do processo de fiscalização. Entre os principais riscos apontados pela Autoridade, destaca-se a possibilidade de exposição indevida de imagens de crianças e adolescentes, sem a observância das exigências legais.     A decisão da ANPD não proíbe a utilização de câmeras de vigilância, nem impede que vídeos ou imagens sejam entregues às autoridades responsáveis quando servirem como prova de crimes. No entanto, é necessário garantir que a instalação das câmeras e utilização das imagens observem a LGPD e demais legislações aplicáveis. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

ANPD e limites para divulgação de imagens de câmera de segurança Read More »

Decisões automatizadas e proteção de dados

Direito Digital, Lei Geral de Proteção de Dados - LGPD /

      Decisões automatizadas são aquelas tomadas sem intervenção humana direta. Elas são utilizadas por sistemas, programas e aplicações que fazem parte da rotina de pessoas comuns e são indispensáveis para algumas atividades. Citamos a título exemplificativo, os sistemas bancários utilizados para concessão de limite de crédito em cheque especial, alertas de operadoras de cartão de crédito para operações fora do padrão de compras do titular, fixação de valor de seguro de bens e até mesmo a seleção de produtos expostos aos clientes em sites e aplicativos.      O desenvolvimento e utilização de sistemas ou programas com decisões automatizadas, via de regra, envolve o tratamento de dados pessoais. Esse tratamento inclui desde a coleta e o armazenamento até organização, análise, previsão de comportamentos ou tomada de decisões que impactam os titulares, como recomendações personalizadas.       A Lei Geral de Proteção de Dados (LGPD) estabelece que os titulares de dados têm o direito de solicitar a revisão de decisões tomadas unicamente “com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade” (art. 20, caput). Deve o controlador que utiliza o sistema fornecer informações claras e adequadas sobre os critérios e procedimentos aplicados para a tomada de decisão, observados os segredos comercial e industrial.    A Autoridade Nacional de Proteção de Dados (ANPD) tem competência legal de auditar os sistemas automatizados para verificar “aspectos discriminatórios”, caso o controlador não forneça as informações necessárias.      Após a promulgação da LGPD em 2018, há crescente utilização de sistemas de Inteligência Artificial (IA) para tomada de decisões automatizadas, o que provocou debate quanto à proteção de dados pessoais, especialmente sobre os limites e as responsabilidades envolvidas nesse processo.    Nesse contexto, a Autoridade Nacional de Proteção de Dados (ANPD) prevê em sua agenda regulatória a publicação de resolução sobre decisões automatizadas. De novembro de 2024 a janeiro de 2025, a Autoridade abriu a Tomada de Subsídios para manifestação de especialistas, setores impactos e sociedade civil sobre a futura regulação. A Nota Técnica n. 12/2025/CON1/CGN/ANPD consolidou as contribuições recebidas, que foram organizadas em mais de dez documentos. Estes documentos reúnem os principais desafios, boas práticas e perspectivas regulatórias relacionadas às quinze perguntas distribuídas em quatro blocos temáticos na Tomada de Subsídios, que sintetizamos adiante.       Bloco 1 – Princípios da LGPD      O primeiro bloco concentra as discussões relacionadas a como compatibilizar os princípios da Lei Geral de Proteção de Dados, com o desenvolvimento e o treinamento de sistemas de inteligência artificial, considerando a coleta massiva de dados pessoais. As contribuições convergem em alguns pontos ao mesmo tempo que apresentam divergências em relação à interpretação e à aplicação do princípio da necessidade.       Pontos de convergência: Necessidade de equilíbrio entre uso de dados e proteção da privacidade; Limitar o uso ao estritamente necessário, considerando a finalidade e a qualidade do sistemas;       Pontos de divergência: Obrigatoriedade de algumas salvaguardas, como uso obrigatório de dados anonimizados ou sintéticos; A utilização de vastos volumes de dados para garantir a qualidade e eficácia dos sistemas de IA.       Bloco 2 — Hipóteses Legais      O segundo bloco se concentra em reunir as contribuições relacionadas às bases legais adequadas da LGPD para o tratamento de dados em sistemas de IA, abrangendo limites, desafios e adequações necessárias para garantir conformidade legal.  As contribuições foram convergentes quanto às limitações e aos desafios relacionados ao uso do consentimento como hipótese legal, especialmente no que se refere às dificuldades operacionais para sua obtenção. No entanto, não houve consenso sobre a viabilidade do consentimento em larga escala e sobre a obrigatoriedade ou não da sua renovação. Além disso, outros pontos se destacaram:       Pontos de convergência: A revogação do consentimento é um desafio crítico porque, uma vez que os dados são incorporados ao modelo de IA, reverter seu impacto é extremamente difícil; Grande parte das contribuições defendem que bases legais como o legítimo interesse, a execução de contrato e o cumprimento de obrigação legal podem ser mais adequadas em certos contextos de IA.       Pontos de divergência: Há divergência sobre a possibilidade de utilizar o consentimento para tratamento de dados públicos; Algumas contribuições defendem que o consentimento deve ser renovado a cada atualização significativa do sistema.      Bloco 3 – Direitos dos Titulares      Com intuito de aprofundar o debate sobre os direitos assegurados pela LGPD aos titulares no contexto de decisões automatizadas, o terceiro bloco discute o exercício de direitos como acesso, correção, eliminação, portabilidade e, especialmente, o direito à revisão de decisões tomadas unicamente com base em tratamento automatizado.        Pontos de convergência: Necessidade de programas de governança que integrem privacidade, proteção de dados e IA, priorizando a documentação dos tratamentos, monitoramento do uso dos dados e criação de canais para atendimento aos titulares; Há um grande consenso sobre a importância da transparência no uso de IA equilibrada na proteção de segredos comerciais e informações confidenciais.       Pontos de divergência: Preocupação relacionada à criação de regras rígidas pela ANPD quanto aos procedimentos para exercício dos direitos dos titulares, sem levar em conta a diversidade dos agentes e dos sistemas; Algumas contribuições entendem que a LGPD se limita às fases de treinamento e output e outras defendem sua aplicação a todo o ciclo de vida da IA.       Bloco 4 – Boas Práticas e Governança     O quarto bloco agrupou temas como governança em privacidade, Privacy by Design, transparência, Relatório de Impacto à Proteção de Dados – RIPD, capacitação de colaboradores e avaliação de impacto. As contribuições também trouxeram temas relacionados à adoção de padrões internacionais e o grau de detalhamento que a ANPD deve adotar na regulamentação.       Pontos de convergência: Necessidade e monitoramento contínuo e auditorias de software com revisão periódica dos algoritmos; Implementação de programas de governança em

Decisões automatizadas e proteção de dados Read More »

Fraudes bancárias na era digital

Direito Digital, Lei Geral de Proteção de Dados - LGPD /

     O crescimento das fraudes bancárias no Brasil é motivo de grande preocupação em razão do seu impacto para a atividade econômica, exigindo das instituições financeiras a adoção de medidas eficazes de segurança digital. Com o avanço da tecnologia, houve uma mudança significativa na forma de prestação de serviços bancários no Brasil.       Há poucos anos, o atendimento era predominantemente presencial dentro das agências com auxílio de gerentes, subgerentes e caixas. A rápida e intensa digitalização das instituições financeiras mudou a forma como os clientes interagem com o banco. Os serviços passaram a ser oferecidos inicialmente por meio de computadores pessoais e, posteriormente, por aplicativos em dispositivos móveis, alterando profundamente a forma como os clientes se relacionam com os bancos.      Essa transformação trouxe benefícios incontáveis em termos de eficiência e acessibilidade para os clientes e bancos. Ao mesmo tempo em que as instituições financeiras reduziram com a agilidade no acesso aos serviços bancários a qualquer hora e em qualquer lugar, os clientes podem ser atendidos sem a necessidade de deslocamento ou espera em filas. Segundo Pesquisa Febraban de Tecnologia Bancária 2025, os bancos brasileiros devem investir R$ 47,8 bilhões em tecnologia ao longo de 2025, um crescimento de 13% em relação a 2024.1 O mercado global de pagamentos digitais deve alcançar US$19,89 trilhões até 2026, evidenciando uma tendência mundial de digitalização dos serviços financeiros em resposta à demanda por soluções mais ágeis, seguras e convenientes.2      Embora a acelerada digitalização traga inúmeros benefícios, também apresenta desafios relevantes que requerem atenção das instituições financeiras e do poder público. Clientes com menor familiaridade tecnológica, como idosos e pessoas com baixa escolaridade, encontram dificuldade para acessar e utilizar os serviços bancários digitais. A autonomia proporcionada pela tecnologia também se torna um fator de risco para o aumento de fraudes bancárias. No ano de 2024, o Brasil registrou mais 11.509.214 tentativas de fraudes, segundo dados do Mapa da Fraude da Serasa Experian, o que equivale a uma ocorrência a cada 2,8 segundos.3         Fraudes bancárias      A fraude pode ser definida como qualquer ação enganosa e de má-fé, cujo propósito é prejudicar, enganar outra pessoa, ou ainda, descumprir um dever assumido. As fraudes bancárias podem ocorrer tanto no sistema das instituições financeiras, quanto por meio do acesso do próprio cliente aos canais digitais de atendimento.       No primeiro caso, a responsabilidade recai sobre os bancos, que devem seguir regras rigorosas de segurança, proteger seus sistemas contra invasões e manipulações e cumprir a legislação aplicável, especialmente no que diz respeito ao sigilo bancário, que é garantia constitucional (art. 5º, X, da Constituição Federal, c/c art. 1°, caput, da LC 105/2001). Além disso, há regulamentações específicas voltadas à segurança do sistema financeiro nacional. A Resolução CMN nº 4.893/2021, por exemplo, estabelece diretrizes para a política de segurança cibernética e sobre os requisitos para a contratação de serviços de processamento e armazenamento de dados e de computação em nuvem a serem observados pelas instituições reguladas pelo Banco Central do Brasil. A Resolução Conjunta nº 6/2023 e a Resolução BCB nº 343/2023 estabelecem mecanismos para o compartilhamento de dados e informações sobre indícios de fraudes entre as instituições.     Recentemente, uma instituição financeira de grande porte notificou seus clientes e a   Autoridade Nacional de Proteção de Dados (ANPD)  sobre um incidente de segurança ocorrido em 22 de março de 2025, com vazamento de dados pessoais como nomes, números de conta bancária, saldos e limites de crédito. A natureza crítica das informações vazadas, incluindo dados financeiros detalhados, eleva o potencial de danos aos clientes, expondo-os a riscos de fraudes e golpes financeiros.       As fraudes bancárias também podem ocorrer por meio do próprio cliente.  Entre os métodos mais comuns estão: fornecimento voluntário de senhas a golpistas; roubo ou furto de celulares com aplicativos bancários instalados; golpe do Boleto Falso – criminosos enviam boletos bancários falsificados para as vítimas; clonagem de WhatsApp – usada para enganar contatos do cliente e solicitar transferências via Pix     Ao identificar um golpe, o primeiro passo é reportar imediatamente a fraude ao banco. Esse contato faz com que a instituição possa tomar algumas medidas urgentes, como bloqueio de contas e de operações suspeitas. Caso a questão não seja solucionada  ou se a resposta for considerada inadequada, o cliente poderá adotar a medida legal cabível, como ajuizamento de ação judicial para reparação de danos.         Aplicação do Código de Defesa do Consumidor (CDC)     Os bancos, enquanto fornecedores de serviços financeiros, estão sujeitos às regras do Código de Defesa do Consumidor (CDC) e a serem responsabilizados objetivamente pelos danos causados aos seus clientes. Essa responsabilização significa que, para pleitear a reparação dos prejuízos sofridos decorrentes das fraudes, o cliente precisa comprovar:  a existência do dano; e  o nexo de causalidade entre a conduta da instituição financeira e o dano, sem a necessidade de provar a culpa (negligência, imprudência ou imperícia) do banco.       O tema já foi amplamente enfrentado pelo Superior Tribunal de Justiça (STJ), que estabeleceu critérios para a responsabilização dos bancos. Um dos critérios aplicados é a análise de  ocorrência de fortuito interno (riscos inerentes à atividade bancária) ou fortuito externo (evento imprevisível e inevitável). A Súmula 479 do STJ define que: “as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no  âmbito de operações bancárias.”      Ademais, há julgados de tribunais de justiça que isentam os bancos de responsabilidade nos casos em que o cliente é vítima de fraude por sua própria ação (ex. fornecimento de senhas a terceiros).      Por isso, é importante adotar medidas de segurança preventivas razoáveis e, se identificada vulnerabilidade no sistema bancário, agir para reportar ao próprio banco e adotar outras medidas legais necessárias.  Fonte: https://portal.febraban.org.br/noticia/4278/pt-br/ https://www.globenewswire.com/news-release/2023/01/24/2593999/0/en/Digital-Payment-Market-Worth-USD-19-89-Trillion-by-2026-Report-by-Fortune-Business-Insights.html  https://www.serasaexperian.com.br/sala-de-imprensa/prevencao-a-fraude/tentativas-de-fraude-contra-idosos-aumentam-em-quase-12-em-2024-revela-serasa-experian/ Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

Fraudes bancárias na era digital Read More »

Dia da mundial propriedade intelectual e novos desafios na era da IA

Lei Geral de Proteção de Dados - LGPD /

Em 26 de abril é celebrado o dia mundial da propriedade intelectual. A data foi estabelecida pela Organização Mundial da Propriedade Intelectual no ano de 2000 com o propósito de aumentar a conscientização sobre os direitos de propriedade intelectual e  estimular a inovação e a criatividade. A proteção da propriedade intelectual existe, em âmbito global, para promover a inovação e fomentar a criatividade ao assegurar aos criadores direitos sobre suas criações, contribuindo para o desenvolvimento econômico, científico e cultural. Ao conceder direitos exclusivos aos titulares sobre suas invenções, obras e marcas, assegura-se que eles desfrutem dos resultados de suas criações ao mesmo tempo em que a sociedade se beneficia com o avanço tecnológico e a circulação de conhecimento. No Brasil, a proteção da propriedade intelectual é regulada principalmente pela Lei de Propriedade Industrial (Lei nº 9.279/96) e pela Lei de Direitos Autorais (Lei nº 9.610/98). A primeira regula direitos e obrigações relativos a patentes, marcas e desenhos industriais. Já a Lei de Direitos Autorais disciplina direitos e obrigações dos criadores e usuários de obras intelectuais, artísticas, científicas e literárias. O Brasil, assim como diversos outros países, sofre intenso impactos da internet em múltiplos setores da sociedade, incluindo a propriedade intelectual,  uma vez que o ambiente digital transformou profundamente a forma como criações intelectuais são produzidas e consumidas. Um dos grandes desafios enfrentados nas últimas décadas foi o crescimento das plataformas digitais que possibilitam a replicação e compartilhamento de músicas, vídeos e outras obras protegidas por direitos autorais, muitas vezes carecendo de autorização dos titulares. Neste sentido, o surgimento de novas tecnologias geraram a necessidade de buscar novas formas de proteção da propriedade intelectual, capazes de acompanhar a velocidade das transformações digitais e garantir a devida proteção dos direitos dos criadores. O cenário de desafios se expande ainda mais com a emergência da Inteligência Artificial (IA) generativa, que amplia a complexidade da proteção de criações intelectuais no que tange à autoria, originalidade e proteção de obras e coloca em xeque a estrutura tradicional da propriedade intelectual. A velocidade com que a IA generativa se desenvolve exige uma discussão profunda sobre como equilibrar o incentivo à inovação tecnológica com a garantia dos direitos dos criadores. Uma das grandes questões trazidas é que muitas ferramentas de IA generativa são treinadas por uma enorme quantidade de itens protegidos por propriedade intelectual. Neste sentido, há discussões sobre o treinamento, uso e resultados de sistemas de IA generativas representam infrações à propriedade intelectual. Dentre os riscos envolvidos, destaca-se a falta de clareza quanto à possibilidade de desenvolvedores, provedores, clientes e usuários de ferramentas de IA generativa serem responsabilizados por infrações de propriedade intelectual. Ainda não há normativas sobre a extensão dessa responsabilidade, principalmente quando o conteúdo gerado por IA infringe direitos de terceiros. Ademais, como as criações geradas não possuem um autor humano direto, há uma incerteza sobre quem detém direitos sobre o conteúdo produzido. A  ausência de um consenso internacional sobre o tema tem impulsionado uma série de disputas judiciais. Veículos de imprensa, autores e criadores têm recorrido aos tribunais contra o uso indevido de suas criações por estas tecnologias. Há muitos questionamentos a serem enfrentados, a legislação precisa evoluir para definir claramente os limites de uso de obras existentes no treinamento de IA e os direitos e responsabilidades sobre o conteúdo produzido. Até que se amadureça o debate, algumas medidas podem ser tomadas, principalmente por empresas, para mitigar os riscos da utilização de uma ferramenta de IA, tais como: Recomenda-se implementar políticas e treinamentos para a equipe contra o uso de comandos que mencionem nomes comerciais de terceiros, marcas, obras protegidas ou autores/artistas específicos; Considerar usar ferramentas de IA generativa que tenham sido treinadas exclusivamente com dados licenciados, de domínio público ou com dados próprios do usuário; Estabelecer diretrizes que exijam o registro dos prompts utilizados em IAs generativas pode evidenciar a participação humana no processo criativo. Este artigo foi preparado com propósito meramente informativo; não pode ser tratado como aconselhamento legal e as informações nele contidas não devem ser seguidas sem orientação profissional.

Dia da mundial propriedade intelectual e novos desafios na era da IA Read More »