1. Introdução
A segurança é um elemento necessário, mas não suficiente, para garantir os direitos e liberdades das pessoas em relação à proteção de dados pessoais. Com a entrada do Brasil no panorama mundial de privacidade, a lei 13.709 e alterações da lei 13.853, conhecida como Lei Geral de Proteção de Dados Pessoais (LGPD) busca um equilíbrio na manutenção do desenvolvimento econômico e tecnológico, com a inviolabilidade dos direitos constitucionais dos cidadãos, representando um importantíssimo marco regulatório para o Brasil sobre o tema.
É objetivo geral analisar a importância da governança de dados e boas práticas nas empresas.
2. A importância da governança de dados e boas práticas
Os dados pessoais que manipulamos não nos pertencem e temos a responsabilidade de fazer uso correto deles. Isso é aplicável em (dados de clientes, fornecedores, colaboradores etc.) devendo ser uma prioridade para qualquer empreendedor, empresa, entidade ou instituição.
Embora exista uma imprevisibilidade para data de início de vigência da lei a continuidade dos programas de adequação e conformidade, tal como a mudança cultural é essencial para mitigar riscos no negócio.
Na prática algumas disposições constantes na lei vem sendo utilizadas antes mesmo da entrada em vigor da LGPD, por exemplo o Ministério Público Federal firmou um TERMO DE AJUSTE DE CONDUTA para melhorias na coleta de dados pessoais utilizados pela Microsoft no Windows 10, mediante esclarecimentos e atualizações na forma de obtenção de anuência expressa e inequívoca dos usuários, considerando na decisão o Marco Civil da Internet e a Lei Geral de Proteção de Dados Pessoais. (LGPD).
“TAC” O objetivo é deixar claro que as diversas informações sobre os consumidores, como geolocalização, hábitos de navegação e histórico de buscas realizadas na internet, somente podem ser utilizadas ou coletadas com sua expressa anuência, inclusive com alertas para que o consumidor autorize tal coleta de dados.” MPF Leia a íntegra do TAC . O número do processo é 5009507-78.2018.4.03.6100.
O Procon/SP, anunciou o sistema para receber reclamações de consumidores sobre o uso indevido de dados pessoais e que por fazer parte do SISTEMA NACIONAL DE PROTEÇÃO AO CONSUMIDOR, a LGPD possibilita que Procons tenham legitimidade para investigar casos de tratamento de dados pessoais em desconformidade com a lei.
As opções para registro de reclamações referente a proteção de dados pessoais disponíveis são:
- Dados pessoais incorretos – dificuldade de retificação;
- Dados pessoais ou financeiros consultados, coletados, publicados ou repassados sem autorização;
- Dificuldade na exclusão de dados pessoais;
- Falha / Ausência de informação
- Falta de informação sobre o responsável pela coleta dos dados;
- Informações incompletas / inadequadas.
O tribunal de justiça de São Paulo(TJ/SP) visando adequação a LGPD, criou um portal com informações sobre a lei, a implantação do projeto pelo tribunal e criação do comitê gestor de proteção de dados. Podendo ser acessado pelo site clicando aqui. Lançada na última sexta-feira dia 24/07.
O controle das informações e as questões técnicas/jurídicas envolvidas no uso de dados, fazem parte dos principais objetivos das Empresas com visão estratégica de negócios, relacionamento com clientes, usuários e com imagem de respeito à privacidade.
Para se obter uma governança de compliance sólida e eficiente com a LGPD, faz se necessária a atuação multidisciplinar dos profissionais da área jurídica(advogados, gerentes, diretores) e dos profissionais da área de Tecnologia da informação( proteção de dados e privacidade, segurança da informação, infraestrutura, gestão de processo) entre outros. Algumas medidas importantes a adotar:
Elaborar um Mapeamento de fluxo de dados/ inventário de dados( Data mapping) - sendo o primeiro passo para diagnosticar a forma como a empresa lida com a privacidade e segurança da informação, com o objetivo de obter as informações necessárias para análise de vulnerabilidades técnicas e jurídicas.
Elaborar um Mapeamento dos riscos (Risk mapping) com o objetivo de obter informações de riscos legais, técnicos e de imagem.
Elaborar um Diagnóstico de adequação da proteção dos dados pessoais (conformidade com a LGPD – RIPDP- Relatório de Impacto à Proteção de Dados).
Revisar ou elaborar Política de Segurança da Informação, políticas de privacidade, código de ética e conduta, termos de uso, termos de consentimento de uso de dados, contratos com funcionários, clientes e fornecedores.
Nomeação do encarregado de dados (DPO)- uma peça chave para cuidar das questões relacionadas a proteção de dados da organização, entre outras medidas.
As empresas que não se adequarem podem sofrer sanções financeiras colocando seus negócios em risco, conforme penalidades abaixo:
Multa simples, de até 2% (dois por cento) do faturamento, limitada no total, a R$ 50.000.000,00 (cinquenta milhões de reais) por infração;
Além da questão pecuniária, temos a questão da imagem e operacionais como penalidade:
Advertências, suspensão parcial do funcionamento do banco de dados, suspensão do exercício das atividades, proibição parcial ou total do exercício das atividades relacionadas a tratamento de dados
Notadamente a ausência de conformidade com a LGPD pode gerar um enorme prejuízo a imagem e a reputação que por vezes levou muito tempo para se construir e poucos instantes para destruir uma marca e ter um segmento afetado com problemas relacionados a segurança, privacidade e proteção de dados.
3. Conclusão
No contexto da sociedade atual cada vez mais conduzido e orientado por dados pessoais, o dever de conformidade à LGPD revela-se obrigatório a elaboração de um programa de adequação sendo necessário a conformidade e o monitoramento dos processos atuais e futuros.
No novo mundo digital, não será mais aceitável a forma como são tratados os dados pessoais dos dias atuais, sendo primordial a adequação com a lei para tomar os primeiros passos para a nova cultura dos dados.
_________
*Flavia Alcassa dos Santos é advogada Direito Digital | DPO Data Privacy | Corporate | Membro comitê jurídico ANPPD® - Associação Nacional dos Profissionais de Privacidade de Dados.
*Milena Pappert é advogada pós-graduanda em Direito Digital pela EPD | DPO | Compliance LGPD e GDPR | Certificada em ISFS – Information Security Foundation pela EXIN | Segurança Digital pela FGV.