Você sabe o que é a Lei Geral de Proteção de Dados Pessoais e para que ela serve?

A Lei Geral de Proteção de Dados (LGPD nº 13.709/18) no Brasil estabelece diretrizes que orientam como indivíduos, empresas e entidades governamentais devem armazenar, guardar e manipular informações pessoais obtidas dos usuários. Sancionada em 14 de agosto de 2018 e em vigor desde agosto de 2020, a LGPD tem um impacto significativo na administração pública e se aplica a qualquer pessoa, seja natural ou jurídica de direito público ou privado que realize o tratamento de dados pessoais, online e/ou offline.

A Lei inclui todos os órgãos públicos integrantes da administração direta dos Poderes Executivo, Legislativo, incluindo as Cortes de Contas, Judiciário e Ministério Público, além das autarquias, fundações e empresas públicas, sociedades de economia mista e demais entidades controladas direta ou indiretamente pela União, Estados, Distrito Federal e Municípios.

A inclusão do setor público no escopo da LGPD constitui um marco na Administração Pública, obrigando-a a se adequar e investir em questões de segurança e a atuar de forma a evitar a utilização de dados pessoais para fins diferentes daqueles para os quais foram coletados. A LGPD não impede o setor público do tratamento de dados pessoais, até porque é uma atividade necessária e inerente à consecução das inúmeras políticas públicas que desempenha.

No entanto, a partir da vigência da legislação, a administração terá que se adaptar aos princípios da nova Lei, quais sejam: finalidade; adequação; necessidade; livre acesso aos titulares dos dados; qualidade dos dados, os quais deverão estar corretos e atualizados; transparência; segurança; prevenção; não discriminação; e accountability (responsabilização e prestação de contas).

Para implementar as regras de conformidade da LGPD no setor público, a Administração Pública baseia-se em três pilares:

Tecnologia, para instituir uma política forte de segurança em TI, com atenção ainda maior para que as aplicações que tratam de dados pessoais estejam seguras desde a concepção;

Processos, mapeando-os para entender todo o fluxo do tratamento de dados e identificar os riscos inerentes ao tratamento;

Pessoas, capacitando-as e conscientizando-as da importância em estar e permanecer em conformidade com a Lei.

AGENTES DE TRATAMENTO

A LGPD também prevê a existência dos agentes de tratamento de dados e estipula suas funções nas organizações. Estes incluem o controlador, que toma as decisões sobre o tratamento; o operador, que realiza o tratamento em nome do controlador; e o encarregado, que interage com os titulares dos dados pessoais e a Autoridade Nacional de Proteção de Dados (ANPD).

Os agentes de tratamento de dados são figuras fundamentais na implementação da LGPD. Eles são responsáveis por garantir que o tratamento de dados pessoais esteja em conformidade com a lei.

Controlador: É a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais. Em outras palavras, o controlador é quem decide como e por que os dados pessoais serão processados.

Operador: É a pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador. O operador é quem efetivamente processa os dados pessoais em nome do controlador.

Encarregado pela Proteção de Dados: É a pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a ANPD. O Encarregado é responsável por garantir que a organização esteja em conformidade com as leis de proteção de dados e atua como ponto de contato entre a organização e qualquer supervisão ou autoridades regulatórias.

Cada um desses agentes tem um papel específico e responsabilidades no processo de tratamento de dados. Eles devem trabalhar juntos para garantir que os dados pessoais sejam tratados de maneira segura e legal.

DADOS PESSOAIS

São considerados dados pessoais qualquer informação que permite identificar, direta ou indiretamente, um indivíduo que esteja vivo. Isso inclui, mas não se limita a, nome, RG, CPF, gênero, data e local de nascimento, telefone, endereço residencial, localização via GPS, retrato em fotografia, prontuário de saúde, cartão bancário, renda, histórico de pagamentos, hábitos de consumo, preferências de lazer; endereço de IP (Protocolo da Internet) e cookies. Abaixo, algumas particularidades dos dados pessoais:

Dados pessoais sensíveis: São aqueles que revelam origem racial ou étnica, convicções religiosas ou filosóficas, opiniões políticas, filiação sindical, questões genéticas, biométricas e sobre a saúde ou a vida sexual de uma pessoa.

Dado anonimizado: A LGPD define dado anonimizado como aquele que passou por etapas que garantiram a desvinculação dele a uma pessoa. Se um dado for anonimizado, então a LGPD não se aplicará a ele.

Banco de dados: A LGPD estabelece padrões para o compartilhamento de banco de dados tanto no âmbito da Administração Pública quanto no setor privado. As empresas devem garantir a segurança do banco de dados e se adequar às exigências da Lei.

Tratamento Anonimização: A LGPD define anonimização como a utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo.

Consentimento: Segundo a LGPD, consentimento é uma manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.

Bloqueio: O bloqueio é a suspensão temporária de qualquer operação de tratamento de dados pessoais de determinada pessoa. Ele pode ser solicitado pelo próprio titular ou ser uma penalidade por infração à LGPD.

Eliminação: O titular tem o direito de solicitar a eliminação dos dados quando eles forem “desnecessários, excessivos ou tratados em desconformidade” com a Lei.

Transferência internacional de dados: A LGPD permite a transferência internacional de dados pessoais para países ou órgãos internacionais que proporcionem grau de proteção de dados pessoais adequados ao previsto na Lei.

Compartilhamento de dados: Segundo o artigo 5º da LGPD, o uso compartilhado de dados pode ser entendido como qualquer comunicação, difusão, transferência internacional, interconexão de dados pessoais. O compartilhamento dentro da Administração Pública é previsto na Lei e dispensa o consentimento específico.

SEGURANÇA DA INFORMAÇÃO

 A Segurança da Informação é um termo usado para se referir à defesa de dados e à prática que assegura que informações sigilosas possam ser acessadas somente por aqueles a quem estas se referem. Ela está diretamente relacionada com a proteção de um conjunto de informações, no sentido de preservar o valor que possuem para um indivíduo ou uma organização. As propriedades básicas da segurança da informação são: confidencialidade, integridade, disponibilidade, autenticidade e legalidade.

A Política de Segurança da Informação (PSI) é um documento que orienta e estabelece as diretrizes corporativas para a proteção dos ativos de informação e a prevenção da responsabilidade legal para todos os usuários. Ela pode ser definida como um documento que reúne um conjunto de ações, técnicas e boas práticas para o uso seguro de dados. Em outras palavras, é um manual que determina as medidas mais importantes para certificar a segurança de dados da organização. Ou seja, trata-se, em resumo, das medidas de proteção aos dados e aos sistemas de informação da organização. A PSI segue as leis vigentes no Brasil e foi elaborada com base nas recomendações propostas pela norma ABNT NBR ISO/IEC 27002:2013, reconhecida mundialmente como um código de prática para a gestão da segurança da informação.