Montax Inteligência auxilia departamentos jurídicos e escritórios de advocacia com estratégias de Compliance.
Montax provê clientes corporativos com dicas de conformidade com a lei para a prevenção de multas e ações de indenização.
Proteção de Dados Pessoais deve ter como premissas o Estado Democrático de Direito, o princípio da livre iniciativa e a Lei de Acesso à Informação.
"O Programa de Governança em Privacidade da LGPD deve ser implementado de forma semelhante ao Programa de Integridade da Lei Anticorrupção".
Marcelo Carvalho de Montalvão, diretor
MONTAX INTELIGÊNCIA
Marcelo Carvalho de Montalvão, diretor
MONTAX INTELIGÊNCIA
Montax Inteligência elaborou um Manual de Compliance para empresas que querem estar em conformidade com a Lei 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD), que definiu regras de proteção e tratamento de dados pessoais e criou a Autoridade Nacional de Proteção de Dados (ANPD) e o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade.
Portanto, empresas de informação, tecnologia e marketing - ou mesmo empresas com um bom CRM, software de Gestão de Relacionamento com o Cliente -, se preparem!
Premissas
A Lei 13.709/2018 foi criada para a proteção da intimidade e privacidade, mas, deve ter como premissas outras leis, princípios e garantias fundamentais, no caso
a) Estado Democrático de Direito. O preâmbulo da Constituição Federal estabelece um "Estado Democrático, destinado a assegurar o exercício dos direitos sociais e individuais, a liberdade, a segurança, o bem-estar, o desenvolvimento, a igualdade e a justiça como valores supremos de uma sociedade fraterna, pluralista e sem preconceitos, fundada na harmonia social e comprometida, na ordem interna e internacional, com a solução pacífica das controvérsias, promulgamos, sob a proteção de Deus". Portanto, a opinião da maioria prevalece sobre a de grupos ou pessoas de interesse e a intimidade de um não pode se sobrepor à segurança da maioria; b) Princípio da livre iniciativa. Vivemos em uma sociedade pré-capitalista porque orientada pelo estamento burocrático (Faoro) mas também consagramos em nossa Constituição o princípio da livre iniciativa, sem o qual não haverá a prosperidade da qual depende o futuro de nossas gerações; c) Lei de Acesso à Informação. Todos têm o Direito de Acesso à Informação previsto na Constituição, no Decreto nº 4.073/2002 e Lei n° 12.527/2011. A proteção de dados pessoais deve prevenir abusos, porém, não deve restringir o direito à informação e de acesso à informação;
A Lei Geral de Proteção de Dados Pessoais (LGPD) do Brasil de 2018 vai entrar em vigor dia 28 de dezembro de 2020.
Ela é baseada no desenvolvimento científico e tecnológico que gerou mudanças na sociedade. O principal avanço foi sem dúvida a Internet, que alterou profundamente as relações de consumo com a descentralização dos canais de informação e comunicação e de distribuição de produtos e serviços e a globalização da economia. A Era Digital e a digitalização dos meios de produção trouxeram outra novidade: Consumidores passaram a preencher fichas e formulários e comprar eles próprios, pela Internet, produtos e serviços que antes eram vendidos somente por empregados de bancos, seguradoras, companhias aéreas e até academias de ginástica, pessoalmente. Esse mesmo consumidor que entrega seus dados pessoais às empresas é estimulado pelo Governo à realizar denúncias contra empresas que não estão em conformidade com a lei. A Internet facilitou a comunicação e a integração entre as pessoas e empresas e foram criadas empresas somente para esse fim. Elas prometem conectar você aos seus amigos em troca de seus dados pessoais, que por sua vez são vendidos ou explorados por grandes marcas. Os dados pessoais passaram a ter valor econômico maior.
Esse é um Manual de Compliance das empresas à Lei Geral de Proteção de Dados Pessoais.
Manual de Compliance da LGPD
1- Programa de Integridade
Com o advento da Lei 12.846/2013 (Lei Anticorrupção), as empresas do Brasil - principalmente aquelas que têm negócios com o governo - tiveram que criar seu Programa de Integridade & Compliance, que por sua vez têm no Código de Ética e no Canal de Denúncia os mais importantes mecanismos de prevenção de fraudes e inconformidades.
A primeira coisa a ser feita é a comunicação social acerca da aderência da empresa ao Compliance da Lei Geral de Proteção de Dados Pessoais (LGPD) nos canais de comunicação que seguem.
1.1 Código de Ética. O profissional de Compliance deve criar um artigo no Código de Ética exigindo de todos os diretores, empregados e fornecedores o respeito à Lei 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD), bem como um Termo de Consentimento do empregado ou fornecedor de tratamento de seus dados pessoais;
1.2 Canal de Denúncias. Se seu Canal de Denúncias é do tipo de múltipla escolha, com um rol de inconformidades das quais qualquer pessoas pode selecionar para denunciar, expressa ou anonimamente, o profissional de Compliance da LGPD deve fazer constar mais um item no rol de inconformidades, que pode ser com as expressões "empresa ou controlador ou operador de tratamento de dados pessoais causou ou pode causar dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais";
O novo Código de Ética a ser enviado para todos os empregados e fornecedores - e respondido - deve conter o Termo de Consentimento de tratamento de dados pessoais.
Existe a obrigatoriedade legal de um Programa de Governança em Privacidade, do qual falaremos mais adiante.
Se sua empresa ainda não implementou sequer o Programa de Integridade da Lei Anticorrupção (!), necessário para o Compliance da Lei Geral de Proteção de Dados Pessoais, pode fazê-lo com base no artigo Compliance & Governança Corporativa - CGU Pode Multar Microempresa Sem Programa de Integridade e Canal de Denúncias. Ou mediante o Compliance Intelligence.
O Compliance Intelligence (imagem) é um Programa de Integridade com um Código de Ética e um Canal de Denúncia fácil de instalar para detectar furtos e fraudes contra a organização que o head do departamento jurídico ou de Compliance podem experimentar grátis AQUI.
2- Proteção e "Tratamento dos Dados Pessoais"
Os principais objetivos da Lei Geral de Proteção de Dados Pessoais (LGPD) é a proteção de dados pessoais e "tratamento dos dados pessoais", expressão que aparece 49 vezes válidas na LGPD.
Dados pessoais podem ser considerados ativos financeiros to tipo ativos intangíveis, porque de fácil transporte e difícil depreciação.
Logo, tão importante quanto proteger dados pessoais de cidadãos e clientes é o Controlador ou custodiante conferir ao titular dos dados pessoais o direito de dispor de seus dados e demonstrar, comunicar sua política de Segurança e Sigilo de Dados, de Boas Práticas e Governança corporativa acerca da proteção e tratamento dos dados.
A LGPD não se aplica aos casos de dados tratados por pessoa física sem intuito de lucro, dados tratados para fins jornalístico, artísticos ou acadêmicos, dados tratados para fins de segurança pública, defesa nacional, segurança do Estado ou atividades de investigação e repressão de infrações penais, ou quando o dado vier do exterior e não estiver relacionado com pessoas do Brasil e desde que o país de origem tenha lei de proteção de dados pessoais semelhante.
Portanto é fundamental conferir aos titulares dos dados os direitos previstos na LGPD por meio de medidas, salvaguardas e mecanismos de mitigação de risco; mecanismos de participação do titular; mecanismos de supervisão internos e externos, enfim, a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados, e a adoção de política de boas práticas e governança.
O mais importante é a empresa implementar mecanismos simplificados, por meio de seu site, que permitem aos cidadãos e consumidores exigir o tratamento de seus dados pessoais em conformidade com a LGPD. Isso pode ser realizado de vários formas, mas, principalmente:
2.1 Website. O site da empresa pode conter indicação de fácil acesso acerca dos processos e políticas internas adotadas para assegurar o cumprimento da LGPD e boas práticas relativas à proteção de dados pessoais, bem como identificação e informações de contato do Controlador de dados pessoais, ou do Chief Information Officer (CIO), do Operador e do Encarregado pelo Tratamento de Dados Pessoais, em conformidade com o artigo 9º, inciso III e IV e artigo 41 § 1º da LGPD. Sugerimos um texto curto publicado na página do Canal de Denúncias;
2.2 Relatórios, memorandos e e-mails. Relatórios, memorandos e e-mails aos clientes, colaboradores e outros stakeholders devem conter um "Alerta de Restrição de Uso", conforme o mercado. Montax Inteligência usa um assim: "DIREITO DE ACESSO À INFORMAÇÃO - Montax é empresa de serviços de informação e de levantamento de informações de negócios que atende com base no Direito de Acesso à Informação do artigo 5º, incisos XIV, XXXIII e XXXIV “b” da Constituição, artigo 15 do Decreto nº 4.073/2002 e artigos 6°, 7° e 8° da Lei n° 12.527/2011, atividade econômica prevista no Cadastro Nacional de Atividades Econômicas (CNAE) da RECEITA FEDERAL DO BRASIL (RFB). É pesquisa de fontes abertas e dados de domínio público (public domain information) acessados por qualquer cidadão em sítios virtuais, cartórios de registros públicos e Diários Oficiais não abrangidos pela Lei nº 13.709/2018, a Lei Geral de Proteção de Dados Pessoais (LGPD), porque Esta Lei não se aplica ao tratamento de dados pessoais realizado para fins exclusivos de atividades de investigação e repressão de infrações penais. Apesar disso, o consulente concorda que a Informação não deve ser publicada ou reproduzida, total ou parcial, senão “para o exercício regular de direitos em processo judicial”";
2.3 Web 2.0 (Linkedin, Facebook e Instagram). As sugestões dos itens 2.1 e 2.2 acima podem ser replicadas nas fan-pages da companhia no Linkedin, Facebook e Instagram;
2.4 Termo de Consentimento em formulários de coleta de dados pessoais. Ao coletar dados pessoais, em formulário de papel ou meio eletrônio, as empresas devem solicitar um Termo de Consentimento mais ou menos assim: "Em conformidade com o artigo 7º, inciso I da Lei Geral de Proteção de Dados Pessoais (LGPD), declaro que sou maior de idade, li a Política Interna de Proteção de Dados Pessoais (PIPD) da empresa e dou consentimento ao tratamento de dados pessoais, para a finalidade estrita do objeto e propósito deste contrato, inclusive permito a análise dos dados transmitidos e dos serviços contratados, a fim de receber propostas comerciais específicas. ( ) Concordo ( ) não concordo".
A lei é recente e os tribunais do Brasil ainda vão discutir bastante os efeitos, extensão e eficácia e circunstâncias desses mecanismos aos cidadãos e empresas, especialmente empresas de informação, tecnologia e marketing que têm como principal ativo e fonte de renda a exploração, produção, armazenamento e difusão de dados, como as estrangeiras Google, Facebook, Linkedin e as nacionais Serasa Experian, Quod e Boa Vista SCPC e outras menos famosas que têm irritado cidadãos mais discretos e sensíveis como o Escavador, ConsultaSocio.com e o polêmico TudoSobreTodos.
O desafio dos tribunais será analisar caso-a-caso sob o ponto-de-vista do direito à liberdade, a segurança, o bem-estar, o desenvolvimento, a igualdade e a justiça, o princípio da livre iniciativa e o direito de acesso à informação e seus antagônicos direito à privacidade, direito à intimidade e o direito ao esquecimento.
Se este Manual de Compliance com a LGPD fosse um livro, a capa dele seria esta.
Considerando que o titular dos dados pessoais tenham acesso fácil às informações sobre o tratamento de seus dados, disponibilizadas de forma clara, adequada e ostensiva (princípio do livre acesso), em conformidade com a LGPD, especificamente com informações acerca da
I - finalidade específica do tratamento;
II - forma e duração do tratamento, observados os segredos comercial e industrial;
III - identificação do controlador;
IV - informações de contato do controlador;
V - informações acerca do uso compartilhado de dados pelo controlador e a finalidade;
VI - responsabilidades dos agentes que realizarão o tratamento; e
VII - direitos do titular, com menção explícita aos direitos contidos no art. 18 desta Lei.
E considerando que todo titular dos dados pessoais tem direito a obter do controlador
I - confirmação da existência de tratamento;
II - acesso aos dados;
III - correção de dados incompletos, inexatos ou desatualizados;
IV - anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto nesta Lei;
V - portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial;
VI - eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no art. 16 desta Lei;
VII - informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados;
VIII - informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa;
IX - revogação do consentimento, nos termos do § 5º do art. 8º desta Lei.
As empresas deverão criar dispositivos tecnológicos em seus sistemas informatizados para permitir o pleno exercício do Direito de Acesso à Informação com base no princípio do livre acesso.
Habeas Data e ação de obrigação de fazer serão coisa do passado. Clientes, consumidores, fornecedores e cidadãos comuns poderão consultar seus dados pessoais em formulários especialmente criados para esse fim. Ou acionarão Advogados especialistas em Direito de Proteção de Dados Pessoais para propor ações de indenização ou correção de dados contra empresas que não estiverem em conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD). E vão começar pelas empresas que não dispõem de medidas, salvaguardas e mecanismos de mitigação de risco; mecanismos de participação do titular; mecanismos de supervisão internos e externos.
O tempo dirá se a fiscalização do Governo, que vai de simples advertência à multa de R$ 50 milhões por infração, vai impactar mais que as ações judiciais dos consumidores, mas, recomendamos ênfase aos mecanismos de participação do titular dos dados pessoais tratados por companhias que realizam "coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração" de dados pessoais. Praticamente todas as empresas na Era Digital.
Exemplo: Na Ação de Exibição de Documento (prontuário médico) de uma consumidora de serviços médicos, o Tribunal de Justiça do Estado de São Paulo decidiu que nem o hospital nem o plano de saúde são obrigados a restaurar prontuário médico extraviado, por absoluta "impossibilidade fática", porém, com base na LGPD, condenou ambos à indenização de danos morais pelo extravio de documento que "expressa direitos fundamentais à privacidade e à liberdade, mais especialmente autodeterminação informacional" (Fonte: Apelação Cível 1071005-03.2016.8.26.0100).
Exemplo 2: A Hellenic Data Protection Authority (HDPA), a Autoridade Nacional de Proteção de Dados (ANPD) da Grécia, multou a PwC em € 150 mil por infração à General Data Protection Regulation (GDPR). Os empregados da Big Four eram obrigados a assinar um Consentimento Específico para tratamento de seus dados pessoais. A HDPA entendeu que não havia liberdade de escolha em um contexto de relação patrão versus empregados. Além disso, a PwC exigiu autorização "incondicional" para usar informações pessoais já custodiadas e não foi transparente acerca das circunstâncias de sua exigência e finalidade. (Fonte: EuroCloud).
Esqueçam as ameaças virtuais, "hackers" e softwares cavalos de tróia... As maiores ameaças serão os cidadãos alegadamente prejudicados... O que o Governo conseguiu reduzir em ações trabalhistas aumentará em ações de indenização de uso indevido ou tratamento inadequado de dados pessoais... Mais um item do "custo Brasil"...
4- Do Controlador, Operador e Encarregado pelo Tratamento de Dados Pessoais
Mais uma vez a lei do Brasil está voltada para uma economia estatista e pré-capitalista porque orientada pelo estamento burocrático (Faoro) ao criar as figuras do Controlador, Operador e Encarregado pelo Tratamento de Dados Pessoais.
Tudo muito bonito e maravilhoso, menos por um detalhe: Muitas empresas de dados são "Startups" e não têm estruturas gigantescas como as de empresas estatais. Na maioria dos casos as funções de "Controlador, Operador e Encarregado pelo Tratamento de Dados Pessoais" é de uma única pessoa.
Ao menos a LGPD prevê a dispensa do Encarregado conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados.
Para facilitar a compreensão e extensão de responsabilidades civis e criminais de cada um deles, realizamos um Quadro de Competências:
Considerando a lei processual penal do Brasil e o fato de a LGPD permitir que os Agentes de tratamento, Controlador e o Operador, sejam "pessoa natural ou jurídica", é recomendável que estes sejam sempre pessoas jurídicas. Não está claro se pode ser a própria organização, mas, a companhia deve analisar a conveniência e oportunidade de contratar uma Agência de tratamento de dados pessoais terceirizada para funcionar como Controladora e Operadora dos dados pessoais.
Essa decisão de terceirização depende de vários fatores, especialmente o aumento de despesas operacionais e a proteção de segredos comerciais.
Para evitar responsabilidade civil por fato de terceiro, o custodiante dos dados pessoais, que a Lei Geral de Proteção de Dados Pessoais chama de Controlador, interno ou terceirizado, deve zelar pela custódia e pela cadeia de custódia dos dados pessoais. Isso pode ser realizado mediante Formulário da Cadeia de Custódia em formato físico (papel) ou eletrônico. Uma Agência de tratamento de dados pessoais terceirizada saberá cuidar disso.
Modelo semelhante pode ser usado para o Controlador obter do titular de dados pessoais o Consentimento Específico para o tratamento de dados pessoais e o compartilhamento de dados pessoais com outros Controladores, de que trata o artigo 7º, inciso I da LGPD, assinado por ao menos um dos pais quando o titular dos dados pessoais for menor de idade (artigo 14 § 1º) ou quando houver operação de transferência internacional de dados pessoais (artigo 33, inciso VIII). Pensando bem, é melhor deixar tudo isso para uma Agência de tratamento de dados pessoais terceirizada.
Formulário da Cadeia de Custódia de dados pessoais, banco de dados, softwares e hardwares (modelo acima) deve ser preenchido e assinado a fim de evitar injusta responsabilização penal, cível e administrativa do Controlador, Operador e Encarregado pelo tratamento de dados pessoais.
5- Da Segurança e das Boas Práticas - O Programa de Governança em Privacidade
A LGPD também visa proteger os dados pessoais de ameaças criminosas como intrusão, violação e extrusão de dados pessoais praticadas por hackers ou mesmo empregados, voluntária ou involuntariamente. Vazamentos de dados pessoais e informações são cada vez mais comuns porque cada vez maior a digitalização dos processos produtivos.
E porque "dados são o novo petróleo".
Aqui chamo a atenção para o fato de a LGPD ter criado a "Autoridade Nacional de Proteção de Dados (ANPD)" e o "Conselho Nacional de Proteção de Dados Pessoais e da Privacidade", ao invés de criar uma "Agência Nacional de Dados". Um jurista especialista em Direito Administrativo pode esclarecer essa diferença, mas, do ponto-de-vista econômico suspeito que o Governo do Brasil deu aos dados importância social e jurídica, mas, ainda não deu aos dados sua importância econômica.
A LGPD tratou esses fatos como vazamentos individuais ou os acessos não autorizados ou situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, ou ainda, "acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito" (artigo 46 da LGDP)
A lei fala em "Agente de tratamento", mas, com ênfase às obrigações de comunicação do fato pelo Controlador, principal Agente de tratamento responsável pela proteção dos dados pessoais.
Voltando ao assunto "Segurança e Boas Práticas", um dos tópicos principais da LGPD é o Programa de Governança em Privacidade previsto no artigo 50, inciso I da LGPD.
É uma espécie de Programa de Integridade porém em nível de proteção de dados pessoais.
"O Programa de Governança em Privacidade da LGPD deve ser implementado de forma semelhante ao Programa de Integridade da Lei Anticorrupção".
O Programa de Governança em Privacidade deve principalmente demonstrar o comprometimento do controlador em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais; adaptado à estrutura, à escala e ao volume de suas operações, bem como à sensibilidade dos dados tratados
O site Tudo Sobre Todos, por exemplo, informa em um link da página inicial chamado "Boas Práticas", que remete á página de "Política de Boas Práticas" de forma bastante genérica que segue:
Cada companhia tem sua política de segurança da informação, orientada pelo CIO, pelo diretor de Compliance e agora pelo Controlador dos dados pessoais. A proteção dos dados pessoais deve ser antecipada, preventiva, com ações de Governança, Risco e Compliance da LGPD.
Conforme o artigo 51 da LGPD, "A autoridade nacional estimulará a adoção de padrões técnicos que facilitem o controle pelos titulares dos seus dados pessoais".
Somente o tempo e as ações fiscais do Governo e da sociedade vão dizer se o Programa de Governança em Privacidade de cada companhia obedece aos critérios de conformidade e os padrões técnicos que facilitem o controle pelos titulares dos seus dados pessoais.
Podemos aguardar, mas, é recomendável assumirmos desde já a posição de liderança no trato dos dados pessoais sob custódia da companhia.
Lembro que enquanto a Lei Anticorrupção visa proteger especialmente os Governos contra atos de corrupção, troca de vantagens indevidas entre empresas que vendem produtos e serviços ao Estado e servidores públicos, a LGPD visa proteger dados pessoais, logo, qualquer cidadão é em tese parte legítima para ações fiscais e de indenização. A LGPD pode se tornar um novo nicho para Advogados.
Enquanto a companhia não implementa um Programa de Governança em Privacidade e a Autoridade Nacional de Proteção de Dados não define padrões técnicos de controle pelos titulares dos dados, em caso de acessos não autorizados ou situações acidentais ou ilícitas recomendamos:
a) Due Diligences Cibernéticas
b) Prevenção de Ameaças Virtuais (Segurança da Informação)
c) Segurança Cibernética do ERP e CRM
d) Testes de Intrusão, Violação e Extrusão
e) Plano de Contingência Digital (Cyber CONPLAN)
f) Consultar a ANPD ao realizar ações de proteção de dados pessoais antes da vigência da LGPD
E a produção de provas eletrônicas (e-discovery) com ajuda de softwares como o Paladin Suíte Forense da Sumuri ou MOBILedit da Compelson Forense & Investigações, abertamente, no horário comercial, na presença de empregados da companhia e Tabelião de Notas (Notário), que lavrará uma Ata Notarial para dar solenidade, legalidade e fé pública às ações de coleta de imagens de HDs. Essas Atas Notariais servirão como provas das ações de mitigação de riscos de vazamentos individuais ou os acessos não autorizados ou situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão a ser usadas em eventuais processos administrativos e judiciais.
Alguns casos de acessos não autorizados ou situações acidentais ou ilícitas recomendam perícia de Computação Forense, ou TI Forense com a extração, análise e avaliação de dados, informações e arquivos de computador e dispositivos móveis, de propriedade da corporação, e que podem ter sido usados nas comunicações de execução de crimes. A Busca de Provas Eletrônicas (e-discovery) pode ser realizada com softwares de coleta de imagens em HDs, desde que com transparência, na presença de empregados da companhia e um Tabelião de Notas (Notário).
E porque "dados são o novo petróleo".
Aqui chamo a atenção para o fato de a LGPD ter criado a "Autoridade Nacional de Proteção de Dados (ANPD)" e o "Conselho Nacional de Proteção de Dados Pessoais e da Privacidade", ao invés de criar uma "Agência Nacional de Dados". Um jurista especialista em Direito Administrativo pode esclarecer essa diferença, mas, do ponto-de-vista econômico suspeito que o Governo do Brasil deu aos dados importância social e jurídica, mas, ainda não deu aos dados sua importância econômica.
A LGPD tratou esses fatos como vazamentos individuais ou os acessos não autorizados ou situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão, ou ainda, "acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito" (artigo 46 da LGDP)
A lei fala em "Agente de tratamento", mas, com ênfase às obrigações de comunicação do fato pelo Controlador, principal Agente de tratamento responsável pela proteção dos dados pessoais.
Voltando ao assunto "Segurança e Boas Práticas", um dos tópicos principais da LGPD é o Programa de Governança em Privacidade previsto no artigo 50, inciso I da LGPD.
É uma espécie de Programa de Integridade porém em nível de proteção de dados pessoais.
"O Programa de Governança em Privacidade da LGPD deve ser implementado de forma semelhante ao Programa de Integridade da Lei Anticorrupção".
O Programa de Governança em Privacidade deve principalmente demonstrar o comprometimento do controlador em adotar processos e políticas internas que assegurem o cumprimento, de forma abrangente, de normas e boas práticas relativas à proteção de dados pessoais; adaptado à estrutura, à escala e ao volume de suas operações, bem como à sensibilidade dos dados tratados
O site Tudo Sobre Todos, por exemplo, informa em um link da página inicial chamado "Boas Práticas", que remete á página de "Política de Boas Práticas" de forma bastante genérica que segue:
Cada companhia tem sua política de segurança da informação, orientada pelo CIO, pelo diretor de Compliance e agora pelo Controlador dos dados pessoais. A proteção dos dados pessoais deve ser antecipada, preventiva, com ações de Governança, Risco e Compliance da LGPD.
Conforme o artigo 51 da LGPD, "A autoridade nacional estimulará a adoção de padrões técnicos que facilitem o controle pelos titulares dos seus dados pessoais".
Somente o tempo e as ações fiscais do Governo e da sociedade vão dizer se o Programa de Governança em Privacidade de cada companhia obedece aos critérios de conformidade e os padrões técnicos que facilitem o controle pelos titulares dos seus dados pessoais.
Podemos aguardar, mas, é recomendável assumirmos desde já a posição de liderança no trato dos dados pessoais sob custódia da companhia.
Lembro que enquanto a Lei Anticorrupção visa proteger especialmente os Governos contra atos de corrupção, troca de vantagens indevidas entre empresas que vendem produtos e serviços ao Estado e servidores públicos, a LGPD visa proteger dados pessoais, logo, qualquer cidadão é em tese parte legítima para ações fiscais e de indenização. A LGPD pode se tornar um novo nicho para Advogados.
Enquanto a companhia não implementa um Programa de Governança em Privacidade e a Autoridade Nacional de Proteção de Dados não define padrões técnicos de controle pelos titulares dos dados, em caso de acessos não autorizados ou situações acidentais ou ilícitas recomendamos:
a) Due Diligences Cibernéticas
b) Prevenção de Ameaças Virtuais (Segurança da Informação)
c) Segurança Cibernética do ERP e CRM
d) Testes de Intrusão, Violação e Extrusão
e) Plano de Contingência Digital (Cyber CONPLAN)
f) Consultar a ANPD ao realizar ações de proteção de dados pessoais antes da vigência da LGPD
E a produção de provas eletrônicas (e-discovery) com ajuda de softwares como o Paladin Suíte Forense da Sumuri ou MOBILedit da Compelson Forense & Investigações, abertamente, no horário comercial, na presença de empregados da companhia e Tabelião de Notas (Notário), que lavrará uma Ata Notarial para dar solenidade, legalidade e fé pública às ações de coleta de imagens de HDs. Essas Atas Notariais servirão como provas das ações de mitigação de riscos de vazamentos individuais ou os acessos não autorizados ou situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão a ser usadas em eventuais processos administrativos e judiciais.
Alguns casos de acessos não autorizados ou situações acidentais ou ilícitas recomendam perícia de Computação Forense, ou TI Forense com a extração, análise e avaliação de dados, informações e arquivos de computador e dispositivos móveis, de propriedade da corporação, e que podem ter sido usados nas comunicações de execução de crimes. A Busca de Provas Eletrônicas (e-discovery) pode ser realizada com softwares de coleta de imagens em HDs, desde que com transparência, na presença de empregados da companhia e um Tabelião de Notas (Notário).
Quer implementar um
Programa de Governança em Privacidade ?
Programa de Governança em Privacidade ?
Envie um e-mail para montax@montaxbrasil.com.br
SOBRE O AUTOR
Marcelo Carvalho de Montalvão é diretor da Montax Inteligência, franquia de serviços de Inteligência Empresarial como Compliance, Investigação, Due Diligence e Pesquisa de bens.
Advogado criminalista especialista em Direito Penal Econômico e crimes financeiros como fraude à execução, "lavagem" ou ocultação de bens, direitos e valores, auxilia departamentos jurídicos e escritórios de advocacia com engenharia reversa da blindagem patrimonial para a solução de fraudes milionárias.
Autor do livro “Inteligência & Indústria – Espionagem e Contraespionagem Corporativa” e do "Manual de Inteligência - Busca de Ativos & Investigações" comentados AQUI.
Conecte-se com Marcelo no LinkedIn
Ouça o Marcelo no YouTube
Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens - Compliance - Investigação - Due Diligence - Pesquisa de Bens -
Pesquisa de Bens • Investigação • Compliance Intelligence
Rio de Janeiro - RJ
Rua Figueiredo Magalhães, 387/801 - Copacabana - CEP: 22031-011
Telefone + 55 (21) 2143-6516
WhatsApp +55 (21) 99682-0489
E-mail montax@montaxbrasil.com.br
www.montaxbrasil.com.br
Montax Inteligência e Busca de Bens Ltda.
CNPJ 11.028.620/0001-55
Copyright © 2009
Nenhum comentário:
Postar um comentário
Observação: somente um membro deste blog pode postar um comentário.