Digital

O Regulamento estabelece procedimentos obrigatórios para que os agentes de tratamento de dados comuniquem à ANPD e aos titulares sobre incidentes de segurança que possam comprometer a segurança ou a privacidade desses dados. Isso inclui eventos adversos que afetem a confidencialidade, integridade, disponibilidade ou autenticidade dos dados pessoais.

Tem por escopo proteger os direitos dos titulares de dados pessoais e estabelecer medidas para mitigar ou reverter prejuízos causados por incidentes de segurança. Além disso, busca promover a responsabilização e a prestação de contas pelos agentes de tratamento, estimular práticas de governança e segurança da informação, e fomentar uma cultura de proteção de dados pessoais.

Ainda, define claramente as responsabilidades dos agentes de tratamento, estabelecendo prazos específicos para a comunicação de incidentes à ANPD e aos titulares afetados. Segundo o Art. 6º, os controladores devem comunicar incidentes à ANPD em até três dias úteis após o conhecimento do incidente, acompanhados de informações detalhadas sobre a natureza dos dados afetados, número de titulares afetados, as medidas técnicas e de segurança adotadas e os possíveis impactos aos titulares, entre outros.

A ANPD poderá realizar auditorias e inspeções para verificar o cumprimento do Regulamento, podendo determinar medidas preventivas imediatas para proteger os direitos dos titulares. Além disso, o Regulamento prevê a possibilidade de aplicação de sanções em caso de descumprimento das normas estabelecidas.

Com a aprovação da Resolução CD/ANPD nº 15/2024, a ANPD reforça seu papel regulador na proteção de dados pessoais no Brasil, incentivando a transparência e a confiança nas relações entre agentes de tratamento e titulares. A implementação efetiva dessas medidas não apenas fortalece a segurança cibernética, mas também consolida o compromisso do Brasil com os padrões internacionais de proteção de dados.

Este Regulamento marca um avanço significativo na implementação da LGPD, alinhando-se com as melhores práticas globais em proteção de dados pessoais e reforçando a importância da comunicação transparente e eficiente de incidentes de segurança para a sociedade brasileira.

Desde a entrada em vigor da LGPD todos os Controladores são obrigados a nomear um Encarregado, exceto aqueles que se enquadram nas exceções para agentes de tratamento de pequeno porte. A Resolução representa um passo importante para tornar a função do Encarregado mais clara, bem definida e regulamentada.

Seguem os principais pontos da normativa:

• Nomeação formal: A indicação deve ser feita por documento escrito, datado e assinado, detalhando as atividades e formas de atuação do Encarregado. Este documento pode ser solicitado pela ANPD.
• Quem poderá ser um encarregado: O encarregado pode ser uma pessoa física (interna ou externa) ou jurídica, sem necessidade de certificações específicas, podendo acumular funções e trabalhar para mais de um agente de tratamento, desde que não gere conflito de interesses. A qualificação mínima do profissional deve considerar contexto, volume e risco do tratamento de dados pessoais.
• Divulgação dos dados: Devem ser divulgados o nome completo do encarregado e, no caso de pessoa jurídica, o nome empresarial e o nome completo da pessoa responsável, além das informações de contato para que os titulares possam exercer seus direitos.
• Encarregado substituto: Deve haver um substituto para o encarregado em caso de ausência, impedimento ou vacância, garantindo o atendimento contínuo dos titulares de dados.
• Obrigações da Organização: A organização deve garantir ao encarregado recursos humanos, técnicos e administrativos, autonomia técnica, e acesso direto aos níveis hierárquicos superiores. Deve solicitar assistência ao encarregado em decisões estratégicas e assegurar meios eficazes de comunicação com os titulares.
• Atividades principais: As atividades incluem aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências cabíveis, receber comunicações da ANPD e adotar providências, orientar os funcionários e contratados sobre práticas de proteção de dados pessoais, além de outras atribuições determinadas pelo agente ou normas complementares.

O encarregado deve adotar medidas necessárias ao receber comunicações da ANPD, incluindo encaminhar demandas internamente, fornecer orientação e assistência ao agente de tratamento, indicando o representante deste para casos de processo administrativo.

• Outras atividades: Assistir e orientar na elaboração e implementação de registros e comunicação de incidentes de segurança, registros de operações de tratamento de dados pessoais, relatórios de impacto à proteção de dados, supervisão e mitigação de riscos, medidas de segurança, compliance com a LGPD, instrumentos contratuais, transferências internacionais de dados, boas práticas e governança em privacidade, e design de produtos e serviços compatíveis com a LGPD.
• Não responsabilização: O encarregado não é responsável perante a ANPD pela conformidade do tratamento de dados pessoais realizado pelo controlador.
• Conflito de Interesse: O agente de tratamento deve garantir que o encarregado não exerça atribuições que gerem conflito de interesse e, se for constatada essa possibilidade, deve tomar providências como não indicar a pessoa para a função, implementar medidas para afastar o risco ou substituir o encarregado. A verificação do conflito de interesse será feita caso a caso, podendo resultar em sanção ao agente de tratamento. O encarregado deve declarar ao agente de tratamento qualquer situação que possa configurar conflito de interesse, responsabilizando-se pela veracidade das informações.

As alterações no regulamento do Pix, anunciadas pelo Banco Central, entrarão em vigor no dia 1º de novembro e incluem medidas como a redução dos valores de transferências realizadas por celulares ou computadores que não estejam cadastrados no banco.

Dessa forma, as transações não poderão exceder o valor de R$ 200,00, e o limite diário não poderá ultrapassar R$ 1.000,00. Para transações com valores acima dos mencionados, o novo dispositivo de acesso ao Pix (celular ou computador) deverá ser previamente cadastrado pelo cliente no banco, assim como nos casos em que o usuário mudar de aparelho.

Essa medida reduz as chances de fraudadores utilizarem dispositivos diferentes daqueles usados pelo cliente para gerenciar chaves e iniciar transações Pix.

Ademais, para garantir a segurança nas transações realizadas via Pix, algumas medidas foram impostas às instituições financeiras, a saber:

• Utilização de solução de gerenciamento de risco de fraude que contemple as informações de segurança armazenadas no Banco Central e que seja capaz de identificar transações Pix atípicas ou não compatíveis com o perfil do cliente;
• Disponibilização, em canal eletrônico de acesso amplo aos clientes, de informações sobre os cuidados que os clientes devem ter para evitar fraudes; e
• Verificação, pelo menos uma vez a cada seis meses, se seus clientes possuem marcações de fraude na base de dados do Banco Central.

Tais medidas têm como objetivo combater fraudes e golpes, garantindo aos usuários do Pix um meio de pagamento fácil e seguro.

Depois de passar por extensa consulta pública, a Autoridade Nacional de Proteção de Dados (ANPD) publicou em 27 de fevereiro de 2023 a Resolução que aprova o Regulamento de Dosimetria e Aplicação de Sanções Administrativas. A medida era aguardada por muitos, já que a dosimetria é o método que orienta a escolha da sanção mais apropriada para o caso concreto e, apesar das sanções estarem previstas na Lei Geral de Proteção de Dados Pessoais (LGPD – Lei n. 13.709/2018), não eram aplicadas pela ANPD por uma pendência de regulamentação. Assim, com a nova resolução a ANPD poderá cumprir plenamente sua função sancionadora.

O Regulamento estabelece as circunstâncias, as condições e os métodos de aplicação das sanções, que levarão em conta o caso concreto, a realidade dos agentes envolvidos e os cuidados que foram tomados nos tratamentos de dados, para definir a sanção mais adequada, garantindo a proporcionalidade entre a sanção aplicada e a gravidade da conduta. Ainda, somente haverá a aplicação da sanção por decisão fundamentada, após o processo administrativo, com garantia à ampla defesa, ao contraditório e ao devido processo legal.

Para aplicação das penas serão levadas em consideração as atitudes do infrator, eventual vantagem por ele auferida com a situação, a condição econômica dos agentes envolvidos, a existência de reincidência, o grau do dano causado, quais os mecanismos adotados para minimizar os danos, se houve a adoção de políticas de governança em proteção de dados, entre outras circunstâncias da situação fática.

As sanções são as mesmas previstas na LGPD:

• advertências;
• multas;
• publicização da infração;
• bloqueio e eliminação dos dados a que se refere a infração;
• suspensão parcial do funcionamento do banco de dados a que se refere a infração;
• suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a Infração; e
• proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

Ainda, o Regulamento estabeleceu uma classificação para as infrações, segundo sua gravidade, natureza e direitos pessoais afetados:

• Leve: quando não verificada nenhuma das hipóteses relacionadas abaixo;

• Média: quando puder afetar significativamente interesses e direitos fundamentais dos titulares de dados pessoais, caracterizada nas situações em que a atividade de tratamento puder impedir ou limitar, de maneira significativa, o exercício de direitos ou a utilização de um serviço, assim como ocasionar danos materiais ou morais aos titulares, tais como discriminação, violação à integridade física, ao direito à imagem e à reputação, fraudes financeiras ou uso indevido de identidade, desde que não seja classificada como grave.

• Grave: quando for verificada a hipótese estabelecida acima e, cumulativamente, pelo menos uma das hipóteses abaixo:

1. Envolver tratamento de dados pessoais em larga escala;
2. O infrator auferir ou pretender auferir vantagem econômica;
3. Implicar risco à vida dos titulares;
4. Envolver tratamento de dados pessoais sensíveis ou de crianças, adolescentes ou idosos;
5. Tratamento realizado sem amparo em uma base legal;
6. Tratamento com efeitos discriminatórios ilícitos ou abusivos; ou
7. Adoção sistemática de práticas irregulares.

Destaca-se que a ANPD poderá aplicar as sanções administrativas para casos ocorridos desde 1º de agosto de 2021, quando os artigos que versam sobre o tema, previstos na LGPD, entraram em vigor.

Assim, as empresas devem estar atentas ao adequado tratamento de dados pessoais, para evitar a aplicação das sanções, sendo que algumas delas tem o potencial de gerar mais impactos que o valor de uma multa, como, por exemplo, a publicização da infração, sanção esta que pode abalar a confiança conquistada perante os consumidores, ou mesmo a proibição total do exercício de atividades relacionadas ao tratamento de dados, que pode inviabilizar toda a operação da empresa a depender de sua atividade precípua.

Com o Regulamento, a ANPD está devidamente aparelhada para exercer sua função coercitiva, podendo as organizações que ainda não se adequaram à LGPD ou que violem seus dispositivos responder pela sua conduta em processo administrativo.

No dia 28 de janeiro é comemorado o Dia Internacional da Proteção de Dados, data escolhida em comemoração à Convenção 108 do Conselho da Europa para a Proteção das Pessoas Singulares no que diz respeito ao Tratamento Automatizado de Dados Pessoais, sendo o primeiro instrumento internacional juridicamente vinculativo no domínio da proteção de dados.

O Dia Internacional da Proteção de Dados representa a oportunidade de conscientização sobre as boas práticas em proteção de dados, assim como a oportunidade de ratificar a importância da aplicação da Lei Geral de Proteção de Dados – Lei 13.709/2018 (LGPD) no dia a dia das pessoas e empresas.

A LGPD, em vigor desde setembro de 2020, vem ganhando cada vez mais relevância, especialmente após a EC 115, que acrescentou o inciso LXXIX ao artigo 5º da Constituição Federal, assegurando o direito à proteção de dados como um direito fundamental.

Diante da sociedade cada vez mais conectada na qual estamos inseridos, não existem mais “dados insignificantes”, sendo essencial o desenvolvimento de uma verdadeira cultura de proteção de dados e de defesa da privacidade.

Neste dia, destaca-se a segurança jurídica que a LGPD trouxe para nosso país, incluindo a constituição da Autoridade Nacional de Proteção de Dados (ANPD), que tem como uma de suas funções principais zelar pela proteção de dados no Brasil.

No ano de 2022 a ANPD realizou diversos projetos, sendo válido citar alguns deles:

• Janeiro/2022: Realização da 1ª semana da Proteção de Dados Pessoais pela ANPD com conteúdos relevantes sobre LGPD, informações sobre as atividades da ANPD e direito dos titulares, além da aprovação pelo Conselho Diretor do Regulamento de aplicação da LGPD para agentes de tratamento de pequeno porte;
• Fevereiro/2022: Publicação do Decreto nº 10.975/2022, que modificou a estrutura da ANPD, fortalecendo a composição organizacional;
• Março/2022: Tomada de subsídios para regulamentar o papel do encarregado de dados;
• Abril/2022: Participação da ANPD no Privacy Symposium, em Veneza e no Global Privacy Summit, em Washington;
• Maio/2022: Abertura da Tomada de Subsídios sobre Transferência Internacional de Dados Pessoais;
• Setembro/2022: Abertura de Consulta Pública sobre a norma de Dosimetria e Aplicação de Sanções Administrativas;
• Outubro/2022: Transformação da ANPD em autarquia de natureza especial, lançamento do guia orientativo “Cookies e Proteção de Dados Pessoais” e mudança da sede para Brasília.

Nota-se que a ANPD tem adotado uma postura bastante positiva ao buscar a participação da sociedade civil na elaboração de suas normas, por meio de consultas públicas, o que deve permanecer neste ano de 2023. Assim, apesar da LGPD ser uma lei recente, o Brasil já está dando passos importantes na consolidação desta cultura de proteção de dados.

Os projetos da ANPD e sua agenda para 2023 podem ser consultados por meio de seu site: https://www.gov.br/anpd/pt-br.

A Black Friday é um evento originalmente criado nos Estados Unidos da América (EUA) que ocorre sempre na sexta-feira após o dia de ação de graças, que é comemorado naquele país na última quinta-feira de novembro. Produtos são divulgados com condições e descontos tentadores a fim de aquecer o consumo de produtos e serviços para as festas de final de ano.

Atualmente, muitos países fora dos EUA também aderiram a este evento, inclusive o Brasil, onde diversas empresas de varejo criam promoções e campanhas, sabendo que os consumidores irão em busca destes produtos e serviços promocionais, levando a fazerem compras por impulsos motivados pelo clima de descontos, porém além das empresas idôneas, muitos se aproveitam deste período para praticarem golpes. Por esta razão é importante estar atento e entender como é possível proteger seus dados pessoais neste período.

Optar por fornecedores reconhecidos ou já utilizados por pessoas de confiança:
Muitos sites são criados neste período apenas para tentar ludibriar as pessoas com promoções falsas que têm por finalidade roubar dados pessoais ou implantar algum vírus ou malware nos dispositivos da vítima. Por esta razão, é recomendável que as compras sejam feitas em sites de empresas já conhecidas ou que foram indicadas por pessoas que já utilizaram.

Realizar compras sempre no domínio oficial da empresa:
Caso identifique uma promoção proveniente de uma empresa de sua confiança, entre no site oficial dela e busque pelo produto, considerando que muitos sites são criados com o fim de imitar o site oficial para convencer o consumidor a fornecer seus dados pessoais ou mesmo realizar transferências de valores.

Não clique em links sem ter certeza da origem destes:
Esta medida deve ser sempre adotada a todo tempo, considerando que ao clicar em um link é possível que dados sejam furtados ou que programas maliciosos sejam instalados nos dispositivos, porém neste período, a atenção deve ser redobrada, já que muitos golpistas criam anúncios falsos ou divulgam produtos com ótimos descontos para ludibriar os consumidores. Por isso, confirme sempre a procedência dos anúncios ou links antes de clicar, preferindo sempre utilizar os domínios oficiais das empresas.

Evite realizar transações em computadores e redes públicas ou lan houses:
Além do cuidado com os sites que acessa, é importante também ficar atento para os dispositivos e redes que são utilizados para realizar transações. Dispositivos ou redes públicas podem possuir programas maliciosos que irão furtar os dados pessoais, como dados de identificação, bancários e senhas do usuário. Portanto, ao realizar transações, prefira sempre redes de internet privadas e dispositivos pessoais para evitar ser vítima destas práticas.

Tome muito cuidado com e-mails de marketing:
Além dos links fraudulentos, uma prática muito comum é o envio de e-mails com o fim de ludibriar os consumidores. Confirme sempre a origem deste e-mail, verificando se o remetente efetivamente é a loja que está descrita e, em caso de dúvidas, entre em contato com a empresa para confirmar se aquele e-mail é oficial, porém dê sempre preferência para comprar diretamente no domínio oficial das lojas, com o fim de evitar ao máximo clicar em links sem ter certeza da origem.

Tenha sempre muita atenção quando for realizar o pagamento:
É importante estar atento do início ao fim da transação. No momento do pagamento, o consumidor deve confirmar os dados da compra para ter certeza de que está realizando a transação com a empresa que quer fechar negócio.

Quando o meio de pagamento for o PIX confirme os dados de pagamento, principalmente quando utilizar QR Code, com o fim de verificar se o valor e nome da loja estão corretos. Caso utilize o Boleto Bancário, confirme os dados da empresa no boleto, e antes de finalizar a transação, confirme se o nome que consta no boleto é o mesmo que aparecerá ao final do procedimento. Por fim, caso opte por realizar o pagamento via Cartão de Crédito, além de confirmar todos os dados, dê preferência para cartões virtuais, o que dificultará a tentativa de clonagem do cartão ou mesmo a tentativa de uso por terceiro para furto dos dados.

Além dos consumidores, as empresas devem ser diligentes no tratamento dos dados pessoais, em respeito à LGPD, principalmente com relação ao envio de e-mails de marketing, que são extremamente comuns neste período.

Medidas para empresas – Atentar-se aos e-mails de marketing:
Não há regras com relação à quantidade de e-mails, mas sim com relação ao conteúdo e a base de titulares que este será enviado. É necessário ter uma base legal para enviar estes e-mails, sendo o consentimento a mais utilizada, em que é colhida a permissão do titular para coletar os dados e usá-los para uma finalidade específica, que neste caso costuma ser o envio de promoções.

Para que tal consentimento possa ser legítimo, é importante observar se o titular fez a escolha de forma livre, espontânea e se estava claramente informado sobre a finalidade deste tratamento, devendo haver a guarda do registro de tal consentimento para eventual comprovação.

Por fim, é muito importante estar ainda mais atento neste período, que leva muitos a comprarem por impulso sem tomar as medidas de cautela necessárias. Caso você seja vítima de algum golpe ou for lesado de qualquer forma, entre em contato com a empresa, e caso não haja solução, abra imediatamente uma denúncia junto ao Procon de seu Estado e busque auxílio de seu advogado para reverter ou ao menos mitigar, os danos sofridos.

O principal objetivo da Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018 – LGPD) é regular o uso e tratamento dos dados pessoais, visando não apenas a privacidade dos dados, mas também resguardar outros direitos fundamentais e liberdades individuais.

Entretanto, o gerenciamento de dados por meio de algoritmos têm gerado impacto no exercício e acesso a direitos fundamentais, impedindo que os titulares de dados compreendam como seus direitos estão sendo impactados.

Algoritmos são sequências pré-definidas de comandos automatizados, que, com base em dados (pessoais ou não pessoais), determinam um resultado que pode sujeitar um indivíduo. Nessa linha, podem afetar inclusive o acesso à informação, como, por exemplo, ocorre nas redes sociais, cujas informações disponibilizadas aos usuários são diretamente influenciadas pelos seus dados pessoais, como preferências, localização e serviços acessados.

Para combater abusos e práticas discriminatórias no uso de dados pessoais em negócios que se valem de algoritmos e para auxiliar na tomada de decisões automatizadas, foi previsto na LGPD o “direito à explicação”.

Assim, a LGPD garante o direito à transparência no tratamento dos dados pessoais, sendo que as informações sobre a realização do tratamento devem ser claras, precisas e facilmente acessíveis, observados os segredos comercial e industrial.

Ainda, a LGPD garante o direito de solicitar a revisão de decisão totalmente automatizada que afete seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade.

O direito à explicação de decisões automatizadas engloba todo tipo de tratamento de dados pessoais, independente do setor, visando, dessa forma, evitar a manutenção de práticas discriminatórias dos algoritmos, além de contribuir com a transparência e com a redução da assimetria de informações.

Não há como negar que o avanço das tecnologias digitais proporcionou também a oportunidade de desenvolvimento socioeconômico. Da mesma forma, esse avanço gerou implicações relacionadas à privacidade e proteção de dados pessoais, especialmente quando o assunto é relacionado às crianças.

As tecnologias digitais proporcionaram uma maior facilidade no desenvolvimento escolar das crianças, com acesso facilitado a pesquisas, notícias, além de oferecer maior oportunidade, não só com relação à educação, como à inovação e acesso à informação.

Entretanto, o crescimento do número de crianças conectadas, aumenta a incidência de riscos decorrentes do acesso à internet, principalmente no que diz respeito à forma como seus dados pessoais são tratados.

Se muitas vezes o próprio adulto desconhece como é realizado o tratamento de seus dados na internet, a situação se agrava quando o assunto é criança e adolescente, por ainda estarem em desenvolvimento cognitivo e psicossocial.

Um dos desafios que se tem enfrentado, é com relação ao direcionamento de conteúdo. A microssegmentação publicitária, que são as técnicas para construção de perfis psicológicos dos usuários valendo-se da coleta de dados pessoais, são utilizadas pelas empresas para direcionar anúncios publicitários pensados especificamente para determinado perfil, influenciando o usuário ao consumo de determinado produto ou serviço. E justamente por analisar as vulnerabilidades dos destinatários, que esse tipo de publicidade deve ser vetado às crianças e adolescentes.

Ocorre que essa publicidade direcionada às crianças e adolescentes já é uma realidade no Brasil, mesmo sendo vedada pelo Código de Defesa do Consumidor que define como abusiva a publicidade que “se aproveite da deficiência de julgamento e experiência da criança” – § 2º do art. 37 do CDC.

Por esses motivos é que tem se entendido que deve o Estado incentivar os provedores de serviços digitais utilizados por crianças a aplicar uma rotulagem de conteúdo, como já é realizado em alguns países. Um sistema baseado na idade ou no conteúdo, visando o resguardo da criança a conteúdos inapropriados, em consonância com o princípio da minimização dos dados.

Por fim, destaca-se a necessidade de respeitar o melhor interesse da criança, já que a interferência na privacidade da criança deve ser destinada a servir a um propósito legítimo e respeitando o princípio da minimização dos dados, não sendo possível a moderação de conteúdo legais para criança e adolescente para restringir o acesso desse público às informações disponibilizadas no ambiente digital, mas apenas para restringir o acesso a materiais nocivos.