Tag: cultura de privacidade

Publicado em por

CINCO ANOS DE LGPD: OS ERROS QUE AINDA COMPROMETEM A PROTEÇÃO DE DADOS NAS EMPRESAS BRASILEIRAS

Cinco anos após a promulgação da Lei Geral de Proteção de Dados Pessoais (LGPD), a realidade empresarial brasileira ainda demonstra um longo caminho rumo à plena conformidade. Embora o marco regulatório tenha se consolidado no ambiente jurídico e corporativo, grande parte das organizações permanece com lacunas significativas em suas práticas de governança e segurança da informação.

Pesquisas recentes apontam que apenas uma parcela reduzida das empresas declara atender integralmente às exigências da lei. Ainda assim, o número de instituições que reconhecem falhas estruturais em seus programas de privacidade é expressivo. Essa discrepância revela que conhecer a legislação não basta: é preciso incorporá-la à cultura organizacional.

A conformidade com a LGPD não deve ser vista como um projeto pontual, mas como uma rotina de atualização constante, baseada em segurança, transparência e responsabilidade. Muitos gestores, contudo, ainda cometem equívocos recorrentes que enfraquecem a credibilidade e expõem as empresas a riscos jurídicos e reputacionais.

1. Tratar a LGPD como tarefa com início e fim

É comum que a adequação à lei seja encarada como um projeto temporário, executado apenas para cumprir prazos ou evitar sanções. Essa visão limitada ignora que legislações, tecnologias e ameaças evoluem de forma contínua. A ausência de revisões e auditorias periódicas cria brechas que comprometem a proteção dos dados pessoais e a confiança dos titulares.

2. Subestimar o alcance da lei

Muitas empresas ainda acreditam que a LGPD se aplica apenas a grandes corporações ou setores específicos. Outras desconhecem o conceito de dados sensíveis e o dever de proteção que se estende a qualquer tratamento realizado. O resultado é um número expressivo de organizações que não conseguem adaptar processos ou novos projetos para prevenir riscos à privacidade.

3. Utilizar consentimentos frágeis ou inválidos

Termos genéricos, linguagem técnica e ausência de registros formais tornam o consentimento juridicamente ineficaz. Sem essa base, o tratamento de dados pode ser considerado irregular, abrindo espaço para sanções administrativas e perda de credibilidade perante clientes e parceiros. A transparência e a clareza na comunicação com o titular são elementos essenciais da legitimidade do tratamento.

4. Manter políticas de privacidade desatualizadas

Ainda é comum encontrar políticas de privacidade imprecisas, vagas e escritas de forma a dificultar a compreensão do usuário. A legislação determina que as empresas informem de modo claro quais dados são coletados, por qual motivo, quem os acessa e por quanto tempo serão armazenados. A transparência deixou de ser um diferencial de imagem: tornou-se uma obrigação legal e um pilar da confiança digital.

5. Ignorar medidas técnicas de segurança

Sem a adoção de controles técnicos adequados, como criptografia, autenticação multifatorial, segregação de acessos e rotinas de backup seguro, a conformidade simplesmente não se sustenta. A segurança da informação é um componente indispensável da governança de dados e deve ser tratada como prioridade estratégica em qualquer estrutura organizacional.

6. Nomear encarregados sem autonomia

Algumas organizações nomeiam encarregados de dados (DPOs) apenas para cumprir formalidades. A falta de autoridade, de acesso direto à alta gestão e de recursos suficientes compromete a efetividade das políticas internas. O encarregado precisa atuar como figura independente, com poder de orientação e decisão sobre temas relacionados à privacidade.

7. Ausência de plano de resposta a incidentes

Muitas empresas não possuem protocolos claros para identificar, conter e comunicar incidentes de segurança. Essa falha aumenta o impacto financeiro e jurídico de eventuais vazamentos e retarda o cumprimento do dever legal de informar a autoridade competente e os titulares afetados. Um plano estruturado de resposta é requisito fundamental da maturidade digital.

Conformidade como cultura corporativa

A proteção de dados deve ser tratada como valor institucional, e não como imposição regulatória. As empresas que incorporam a LGPD à sua estratégia de negócios fortalecem a confiança de clientes e parceiros, reduzem riscos e ganham vantagem competitiva.

Mais do que cumprir uma obrigação, estar em conformidade significa adotar uma postura de respeito, ética e responsabilidade na gestão das informações que sustentam a economia digital.

Publicado em por

GESTÃO DE DADOS SENSÍVEIS NO RH: COMO PROTEGER SUA EMPRESA E SEUS COLABORADORES

A Lei Geral de Proteção de Dados (Lei nº 13.709/2018) trouxe uma transformação profunda na forma como empresas lidam com informações pessoais. No setor de Recursos Humanos, essa responsabilidade ganha ainda mais relevância, considerando que o departamento lida diariamente com dados que podem impactar diretamente a privacidade, a dignidade e os direitos dos colaboradores.

Entre esses dados, estão os chamados dados pessoais sensíveis, que exigem cuidados rigorosos, tanto na coleta quanto no armazenamento, uso e descarte. A correta gestão dessas informações não apenas preserva a segurança dos titulares, como também protege a empresa contra riscos legais, trabalhistas e reputacionais.

O que a LGPD entende como dados sensíveis

De acordo com a legislação, dados sensíveis são aqueles que revelam informações sobre origem racial ou étnica, convicções religiosas, opiniões políticas, filiação sindical, dados referentes à saúde, vida sexual, informações genéticas ou biométricas quando vinculadas a uma pessoa natural.

No ambiente do RH, essa definição se materializa em diversos documentos e registros, como exames admissionais, prontuários ocupacionais, dados biométricos utilizados para controle de ponto, informações sobre dependentes para plano de saúde, entre outros. Tratá-los de forma inadequada pode gerar não apenas desconforto ou constrangimento, mas também sérios prejuízos legais e financeiros.

Bases legais para tratamento de dados sensíveis no RH

A LGPD estabelece que o tratamento de dados sensíveis deve ser fundamentado em hipóteses legais muito bem definidas, especialmente no artigo 11. No âmbito trabalhista, as principais são:

  • Cumprimento de obrigações legais ou regulatórias;
  • Execução de políticas públicas determinadas em lei;
  • Necessidade para a execução de contrato de trabalho ou de procedimentos preliminares;
  • Proteção da vida ou da integridade física do titular ou de terceiros;
  • Consentimento do titular, utilizado apenas quando nenhuma das outras bases se aplica.

O uso do consentimento deve ser tratado com cautela. Sempre que houver uma base legal mais robusta e aplicável, ela deve ser priorizada, evitando a dependência do consentimento, que pode ser revogado a qualquer momento.

Diretrizes para proteger dados sensíveis no RH

Uma gestão eficiente de dados sensíveis começa pela organização e controle das informações que transitam pelo setor de Recursos Humanos. Para isso, recomenda-se:

1. Mapeamento dos dados sensíveis
É indispensável identificar quais dados são coletados em cada etapa da jornada do colaborador, desde o processo seletivo até o desligamento. Esse mapeamento permite entender finalidades, riscos e obrigações associadas.

2. Controle rigoroso de acessos
O acesso a dados sensíveis deve ser restrito exclusivamente aos profissionais que, de fato, necessitam dessas informações para desempenhar suas funções. Adoção de controles como autenticação multifator, senhas robustas e restrição por perfil é fundamental.

3. Medidas técnicas de segurança
O uso de criptografia, armazenamento em servidores seguros, proteção contra malware, firewalls e monitoramento constante são práticas indispensáveis. Informações sensíveis jamais devem ser mantidas em dispositivos pessoais, planilhas abertas ou plataformas sem certificação de segurança.

4. Políticas internas claras e aplicáveis
A elaboração de uma Política de Proteção de Dados específica para o setor de RH é altamente recomendada. Essa política deve estabelecer diretrizes sobre coleta, uso, compartilhamento, armazenamento e descarte, além de contar com termos de confidencialidade assinados pelos responsáveis.

5. Gestão de consentimento, quando aplicável
Nos casos em que o consentimento for a base legal adequada, este deve ser obtido de forma expressa, específica, destacada e documentada. O titular deve ser informado sobre a finalidade do tratamento, tempo de retenção, possibilidade de revogação e seus direitos.

Armazenamento seguro e prazos de retenção

O armazenamento seguro de dados sensíveis envolve a utilização de plataformas com certificações como ISO 27001 ou SOC 2, além de servidores protegidos com criptografia em repouso e em trânsito, e sistemas com logs de acesso e backup automático.

Quanto aos prazos, algumas informações possuem retenção definida pela legislação trabalhista. Por exemplo, dados de saúde ocupacional devem ser mantidos por até 20 anos, conforme normas regulamentadoras como a NR 7 e a NR 9. Já currículos e exames admissionais de candidatos não contratados podem ser armazenados por períodos mais curtos, geralmente entre 6 a 12 meses, desde que fundamentados em uma base legal adequada.

Finalizada a necessidade ou obrigação legal, é indispensável promover o descarte seguro ou a anonimização dos dados, evitando o acúmulo indevido de informações sensíveis.

Consequências do descuido no tratamento de dados sensíveis

As sanções previstas na LGPD incluem multas que podem chegar a 2% do faturamento da empresa, limitadas a R$ 50 milhões por infração. Além disso, há riscos de indenizações por danos morais, bloqueio de operações envolvendo dados, exigências de adequação impostas pela Autoridade Nacional de Proteção de Dados (ANPD) e impactos reputacionais que podem comprometer a confiança de colaboradores, clientes e parceiros.

A proteção de dados sensíveis é uma obrigação ética, legal e estratégica

Cuidar dos dados pessoais sensíveis no RH vai muito além do cumprimento da lei. É uma demonstração clara de respeito aos direitos dos colaboradores e de comprometimento com boas práticas corporativas.

Se sua empresa busca apoio para revisar os processos de tratamento de dados e implementar soluções jurídicas e tecnológicas alinhadas à LGPD, entre em contato com um de nossos especialistas. Estamos prontos para orientar sua organização na construção de uma cultura de privacidade, segurança e conformidade.

Publicado em por

CONTROLE DE ACESSOS E LGPD: O CONTROLE DE ACESSOS COMO MEDIDA ESSENCIAL

A segurança dos dados pessoais e corporativos deixou de ser apenas uma responsabilidade técnica para tornar-se uma obrigação legal e estratégica nas organizações. Desde a entrada em vigor da Lei Geral de Proteção de Dados Pessoais (LGPD), a forma como empresas coletam, armazenam, utilizam e compartilham informações passou a ser objeto de fiscalização e, muitas vezes, de questionamentos judiciais.

Contudo, há um ponto que muitas empresas ainda negligenciam: o acesso interno às informações. Frequentemente, colaboradores, especialmente aqueles que ocupam cargos administrativos ou de liderança, têm acesso a sistemas, planilhas, e-mails e arquivos que concentram dados sensíveis. O risco se intensifica quando esse acesso não é devidamente controlado ou permanece ativo mesmo após o desligamento do profissional.

É bastante comum encontrar empresas que mantêm logins e senhas inativos esquecidos em sistemas de gestão, plataformas de e-mail ou serviços em nuvem. Essa prática expõe a organização a incidentes de segurança, vazamentos e até mesmo a usos indevidos por pessoas que não mais têm vínculo com a empresa. O risco não se limita à má-fé. Um ex-colaborador pode, por desconhecimento ou negligência, acessar informações e compartilhá-las inadvertidamente, gerando consequências sérias para a empresa.

A LGPD estabelece que o tratamento de dados deve observar princípios como necessidade, segurança e prevenção. Isso exige que os acessos sejam restritos apenas ao tempo e à finalidade necessária, e que as empresas adotem medidas técnicas e administrativas capazes de proteger essas informações.

Uma boa prática é manter um controle rigoroso de acessos, com registros atualizados de quem tem permissão para visualizar ou manipular dados. Além disso, os processos de admissão e desligamento devem contemplar a criação e revogação de credenciais, a assinatura de termos de confidencialidade e a orientação clara sobre os limites do uso de informações mesmo após o fim do contrato.

A segurança da informação não depende apenas de firewalls e antivírus. Ela começa com a definição de regras internas, passa pela conscientização dos colaboradores e se consolida com a revisão contínua de processos.

Sua empresa sabe exatamente quem pode acessar cada tipo de dado? Os acessos estão mapeados, justificados e atualizados? Se a resposta for negativa, talvez seja o momento de repensar a governança da informação e ajustar o foco não só na tecnologia, mas também na gestão de pessoas e processos.

Zelar pelos dados é também zelar pela reputação, pela confiança do mercado e pela sustentabilidade do negócio.

Publicado em por

O IMPACTO DA LGPD NA PROTEÇÃO DE DADOS NO BRASIL

Há seis anos, o Brasil deu um passo essencial na proteção dos direitos fundamentais de seus cidadãos com a criação da Lei Geral de Proteção de Dados Pessoais (LGPD). Essa legislação surgiu como resposta à crescente demanda por regulamentar o uso de informações pessoais em um cenário cada vez mais digitalizado. Com o fim do período de adaptação para as empresas, houve transformações significativas não apenas no tratamento dos dados, mas, principalmente, na conscientização das pessoas sobre o uso de suas informações.

O tratamento de dados abrange qualquer atividade que envolva o manejo de dados pessoais, desde a coleta até a eliminação. Esse conceito, conforme descrito pelas autoridades competentes, inclui uma vasta gama de operações, como a recepção, armazenamento, modificação e até mesmo a comunicação de dados, refletindo a complexidade e a abrangência das práticas que a LGPD busca regulamentar.

A LGPD representou um marco importante para criar um ambiente mais seguro para os dados pessoais no Brasil. No entanto, sua implementação revelou desafios que ainda comprometem sua eficácia. Um dos principais entraves é a falta de conhecimento da população sobre seus próprios direitos em relação aos dados pessoais. Isso resulta em uma exposição contínua a fraudes e golpes digitais, sem que as pessoas saibam que poderiam ter maior proteção e reparação jurídica.

Entre os impactos mais notáveis da LGPD está a exigência de que empresas adotem medidas técnicas e administrativas para garantir a segurança da informação e mitigar vulnerabilidades cibernéticas. A lei exige que os direitos dos titulares de dados sejam respeitados, demandando o consentimento explícito para o tratamento de suas informações. Além disso, as empresas, como agentes de tratamento, são obrigadas a garantir a transparência total na coleta, armazenamento e uso dos dados pessoais, sob pena de sanções.

Os efeitos diretos da LGPD são amplos. Primeiramente, ela conferiu aos titulares maior controle sobre seus dados pessoais, permitindo que eles acessem, corrijam e, em algumas situações, eliminem suas informações. Isso marca uma mudança significativa, pois a legislação não só proporciona um poder de fiscalização à Autoridade Nacional de Proteção de Dados (ANPD), mas também aos próprios titulares.

As empresas, em resposta à LGPD, foram obrigadas a revisar e adaptar suas práticas de segurança da informação. Isso incluiu a implementação de novas políticas e procedimentos internos, a revisão de contratos com terceiros e a criação de avisos de privacidade que atendam às exigências legais de transparência.

A LGPD também impulsionou a criação de novos cargos e estruturas dentro das organizações, como o Encarregado de Proteção de Dados (DPO), cuja função é assegurar a conformidade com a lei e promover a cultura de privacidade entre os colaboradores. Com isso, comitês de privacidade e outros órgãos internos passaram a desempenhar papéis cruciais na governança corporativa.

Além das adaptações internas, a LGPD trouxe implicações legais rigorosas, com penalidades que podem chegar a multas significativas para o descumprimento de suas disposições. As empresas que infringirem as regras estão sujeitas a processos judiciais, elevando o nível de responsabilidade sobre o tratamento de dados.

Outro impacto importante foi a necessidade de alteração nas práticas de marketing e publicidade. As estratégias que envolvem o uso de dados pessoais precisaram ser ajustadas para se adequar às novas regras, que, em alguns casos, requerem o consentimento dos titulares.

A LGPD fomentou uma maior conscientização entre os cidadãos sobre a importância da privacidade e da proteção de dados. Esse aumento na conscientização é essencial para a proteção individual em um contexto de crescente criminalidade digital, tornando-se um dos legados mais importantes da lei.

A LGPD não só transformou a maneira como as empresas operam, mas também promoveu uma mudança cultural no Brasil, destacando a relevância da privacidade em um mundo digital cada vez mais interconectado.