A LGPD
A Lei Geral de Proteção de Dados é a Lei nº 13.709, aprovada em agosto de 2018 no Brasil. Ela cria normas para a coleta e o tratamento de dados pelas empresas.
Seu objetivo é assegurar a privacidade e a proteção de dados pessoais e promover a transparência na relação entre pessoas físicas e jurídicas.
A LGPD aplica-se a qualquer pessoa natural ou jurídica de direito público ou privada, que realize tratamento de dados pessoais, ou seja, que exerça atividade em que se utilizem dados pessoais (coleta, armazenamento, compartilhamento, exclusão) em meio digital e físico.
Essa lei é extremamente abrangente incluindo a maior parte das atividades e dos projetos do cotidiano das organizações, envolvendo diversos processos como: Compliance, Desenvolvimento de Softwares, Legal, Financeiro, Gestão de Produtos, Inteligência de Mercado, Recursos Humanos, Serviço de Atendimento ao Cliente (SAC), entre outros.
De acordo com a LGPD, o que são dados sensíveis?
Conforme o Art. 5º, inciso II da LGPD, dados pessoais sensíveis são aqueles sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural.
E quais são os casos em que o tratamento de dados sensíveis são permitidos?
Com base no art.11 da LGPD, o tratamento de dados pessoais sensíveis somente poderão ocorrer nas seguintes hipóteses:
I – quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas;
II – sem fornecimento de consentimento do titular, nas hipóteses em que for indispensável para:
a) cumprimento de obrigação legal ou regulatória pelo controlador;
b) tratamento compartilhado de dados necessários à execução, pela administração pública, de políticas públicas previstas em leis ou regulamentos;
c) realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis;
d) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral, este último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem);
e) proteção da vida ou da incolumidade física do titular ou de terceiro;
f) tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; ou (Redação dada pela Lei nº 13.853, de 2019)
g) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos, resguardados os direitos mencionados no art. 9º desta Lei e exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais.
É permitido o compartilhamento de dados pessoais sensíveis?
Com base no § 4º do artigo 11, a LGPD determina que a comunicação ou o compartilhamento de dados sensíveis com o objetivo de obter vantagem econômica é vedado, e no caso específico de dados de saúde determina a vedação, exceto em casos de consentimento expresso ou para a adequada prestação de serviços de saúde suplementar, de assistência farmacêutica e de assistência à saúde, incluídos os serviços auxiliares de diagnose e terapia.
E quais são as penalidades para o não cumprimento desta lei?
Caso a organização não esteja em conformidade com a LGPD e cometa algum tipo de infração a essa Lei, a empresa poderá receber:
Quais são os danos provocados por vazamento de dados?
Os dados podem variar desde perda financeira, danos à reputação e imagem das pessoas que tiveram os seus dados vazados, assim como implicações legais e impactos diretos ao negócio da organização que deu origem ao vazamento de dados.
O consentimento do titular dos dados pessoais pode ser dispensado!
Veja as situações:
O art. 11 da LGPD estabelece que o tratamento de dados pessoais sensíveis somente poderá ocorrer nas seguintes hipóteses, quando o titular ou seu responsável legal consentir, de forma específica e destacada, para finalidades específicas (inciso I, c.c. art. 7º, I) ou sem fornecimento de consentimento do titular, nas hipóteses especificadas (inciso II).
A LGPD só autoriza o tratamento de dados pessoais sensíveis sem o consentimento do titular se estes forem indispensáveis em situações ligadas a uma obrigação legal, a políticas públicas, à preservação da vida e da integridade física da pessoa, à tutela de procedimentos feitos por profissionais das áreas da saúde ou sanitária e à prevenção de fraudes, entre outros. Por exemplo:
Como tratar os dados sensíveis de forma segura e em conformidade com o LGPD?
1- Entenda todos os processos da organização e identifique quais são os riscos e não conformidades em cada um dos processos. Identifique todos os fornecedores e quais dados são compartilhados com os mesmos;
2- Defina um contrato com a sua cadeia de fornecedores, com o objetivo de garantir a aplicação dos controles de cibersegurança e obrigações legais definidas na LGPD;
3- Implemente processos de cibersegurança na organização, como gestão dos acessos e identidades, gestão de incidentes de cibersegurança, gestão de vulnerabilidades, sensibilização dos colaboradores, entre outras práticas definidas pela ENISA (European Union Agency for Cybersecurity), ISO/IEC 27.0001:2013, NIST (National Institute of Standards and Technology) e CERT (Computer Emergency Response Teams);
4- Defina um programa estratégico de privacidade, contemplando a definição da política de privacidade, avaliações de impacto na privacidade, comitê de gestão de riscos e privacidade, entre outras práticas definidas pela LGPD, ISO/IEC 27701:2019, GDPR (General Data Protection Regulation) e EDPS (European Data Protection Supervisor).
A B10SEC atua como DPO em diversas empresas em Portugal e no Brasil. É composta por profissionais especialistas em cibersegurança e proteção de dados habilitados e certificados para apoiar a sua empresa neste processo de adequação 360º atuando do lado operacional, tático e estratégico.
Entre em contato aqui ou contato@b10sec.com