Tag: LGPD

Publicado em por

O EQUILÍBRIO ENTRE SEGURANÇA E PRIVACIDADE: A RESOLUÇÃO 6 DO BACEN E A LGPD

No dia 1º de novembro, uma importante determinação do Banco Central (Bacen) entrou em vigor, marcando um passo significativo em direção a uma cultura de segurança aprimorada nas transações financeiras. A Resolução Conjunta nº 6 do Bacen, publicada em conjunto com o Conselho Monetário Nacional (CMN), estabelece critérios para o compartilhamento de dados e informações sobre indícios de fraudes entre instituições financeiras, empresas de pagamento e outras instituições autorizadas pelo Bacen.

Essa iniciativa visa criar um sistema eletrônico que permita o registro, alteração, exclusão e consulta de dados e informações relacionados a indícios de fraudes detectadas por essas instituições em suas operações. Isso é particularmente relevante, uma vez que bancos, fintechs, empresas de crédito e pagamento estão entre os principais alvos de cibercriminosos no Brasil, que utilizam táticas avançadas, como deepfake, fraudes de identidade facial e documental, para acessar aplicativos bancários de forma não autorizada. No ano anterior, as perdas atribuídas a fraudes no sistema financeiro nacional atingiram a marca de R$ 2,5 bilhões.

Com a entrada em vigor da Resolução 06 do Bacen, as instituições financeiras autorizadas pelo Banco Central devem compartilhar informações sobre indícios de fraude entre si. Isso ampliará a visibilidade das características de alto risco nas operações comerciais para todos os participantes do mercado.

No entanto, surgem algumas preocupações com relação à conformidade com a Lei Geral de Proteção de Dados (LGPD). A LGPD estabelece exceções ao consentimento para o tratamento de dados pessoais com base em obrigações legais, o que já se aplicaria ao cliente do sistema financeiro. Portanto, a exigência de consentimento para inclusão na base de dados de combate à fraude imposta pelo Bacen parece contrariar a LGPD.

A Resolução Conjunta nº 6 também aborda a necessidade de cumprir a legislação de proteção de dados ao compartilhar informações para prevenir fraudes. A LGPD prevê explicitamente a justificativa do tratamento de dados pessoais sensíveis na prevenção de fraudes, alinhando-se com essa finalidade.

Para resolver essa aparente incompatibilidade, sugere-se que as instituições devem manter documentação relacionada ao sistema de compartilhamento eletrônico à disposição do Bacen, incluindo os dados compartilhados, bem como informações sobre os mecanismos de acompanhamento e controle. Elas devem esforçar-se para operar em conformidade com a legislação vigente, preservando o sigilo, a proteção dos dados pessoais e a livre concorrência.

Nesse cenário, as instituições financeiras precisam estar preparadas para enfrentar os desafios tecnológicos que surgem e adotar práticas que fortaleçam seus controles internos, garantindo assim a resiliência cibernética e a proteção de seus ativos e interesses dos stakeholders.

Publicado em por

DESAFIOS DA RESOLUÇÃO CONJUNTA Nº 6 DO BANCO CENTRAL: HARMONIZAÇÃO COM A LGPD

A partir de 1º de novembro, uma nova regulamentação do Banco Central (Bacen) entra em vigor, com o intuito de fortalecer a segurança nas transações financeiras. A Resolução Conjunta nº 6 do Bacen, publicada em conjunto com o Conselho Monetário Nacional (CMN), estabelece diretrizes para o compartilhamento de dados e informações relacionadas a indícios de fraudes entre instituições financeiras, empresas de pagamento e outras entidades autorizadas pelo Bacen.

Essa partilha de informações será efetuada por meio de um sistema eletrônico que permitirá o registro, modificação e consulta de dados e informações sobre indícios de fraudes identificadas durante as atividades dessas instituições. Isso se torna especialmente relevante devido ao fato de que bancos, fintechs, empresas de crédito e pagamento têm sido alvos frequentes de cibercriminosos, que utilizam táticas como manipulação de imagens, deepfake e fraudes de identidade facial e documental para acessar indevidamente aplicativos bancários. No ano passado, as perdas relacionadas a fraudes no sistema financeiro atingiram R$ 2,5 bilhões.

A resolução visa ampliar a visibilidade das instituições financeiras e demais atores do mercado sobre os perfis de maior risco em operações comerciais, contribuindo para o combate a fraudes.

Entretanto, surge uma questão relacionada ao Open Banking e à exigência de consentimento para inclusão na base de dados de combate à fraude. Aparentemente, isso pode entrar em conflito com a Lei Geral de Proteção de Dados (LGPD). No entanto, a LGPD prevê exceções à necessidade de consentimento em casos de obrigação legal, o que poderia ser aplicável a situações de prevenção à fraude. Nesse sentido, a resolução 6 do Bacen parece contrariar a LGPD ao exigir consentimento prévio e geral para o compartilhamento de dados com essa finalidade.

Para contornar essa incompatibilidade, sugere-se que as instituições mantenham documentação detalhada relacionada ao sistema de compartilhamento eletrônico, os dados compartilhados e os mecanismos de controle. Além disso, é crucial que as instituições esforcem-se para cumprir a legislação e regulamentação vigentes, respeitando o sigilo, a proteção de dados pessoais e a livre concorrência.

Diante dessas mudanças, as instituições financeiras devem estar preparadas para enfrentar desafios tecnológicos, fortalecer seus controles internos e melhorar sua resiliência cibernética, garantindo a proteção de ativos e interesses de seus stakeholders.

Publicado em por

OS DESAFIOS DA PROPRIEDADE INTELECTUAL NA ERA DA IA: REFLEXÕES SOBRE A POLÍTICA DA REDE SOCIAL X

A rede social X, anteriormente conhecida como Twitter, recentemente introduziu uma nova política de privacidade que tem gerado um debate sobre a interseção entre propriedade intelectual e plataformas digitais. Essa política estabelece que os dados compartilhados pelos usuários serão utilizados para o treinamento de modelos de inteligência artificial (IA). Em outras palavras, criações intelectuais e artísticas humanas, incluindo direitos autorais, marcas e patentes, passam a estar à disposição da nona maior rede social do mundo, que possui 556 milhões de usuários.

A implementação dessa nova política representa um risco real de desvalorização da criatividade. Se as plataformas podem empregar o conteúdo dos usuários para aprimorar seus modelos de IA sem compensação adequada, é natural que os criadores se sintam desencorajados a produzir e compartilhar suas obras. Afinal, por que investir tempo e energia na criação de algo original se isso será usado para enriquecer terceiros sem nenhum benefício tangível para o criador?

Quando um usuário decide ingressar em uma rede social, é confrontado com os termos de serviço e, na maioria das vezes, os aceita sem uma leitura cuidadosa. Ao fazer isso, ele concede uma licença gratuita e não exclusiva para o uso do conteúdo que irá produzir. Geralmente, essa permissão se limita à operação, promoção e melhoria dos serviços oferecidos pela própria plataforma. A questão que emerge agora é a extensão dessa licença.

No Brasil, a LGPD está em vigor desde setembro de 2020, regulando a proteção de dados pessoais em meios físicos e digitais. A LGPD define dados pessoais como qualquer informação relacionada a uma pessoa identificada ou identificável e destaca a importância do consentimento do titular dos dados para o tratamento dessas informações.

Além do Brasil, países como Japão, Argentina e os Estados-membros da União Europeia têm suas próprias leis de proteção de dados pessoais. A mudança nos termos da rede social X é global, o que implica que cada jurisdição deve examinar como as questões normativas se aplicam em sua área geográfica. Por exemplo, o Regulamento Geral de Proteção de Dados (GDPR) da União Europeia estabelece padrões rigorosos para a proteção da privacidade e impõe penalidades substanciais por violações. Tanto a LGPD quanto o GDPR enfatizam o consentimento informado e a transparência no tratamento de dados.

Embora os termos de uso frequentemente concedam amplas licenças às plataformas, a expansão dessas licenças para incluir o treinamento de IA pode ultrapassar o que foi originalmente acordado ou mesmo o que é ético.

É importante considerar que os modelos de IA podem, em certa medida, reproduzir o conteúdo original em seus resultados, levando a preocupações sobre a apropriação não autorizada. Esse é um terreno legal que está apenas começando a ser explorado, mas as bases estão lançadas.

Criadores e defensores dos direitos de propriedade intelectual devem estar cientes de que as implicações da nova política da rede social X são apenas a superfície de um problema maior. Por outro lado, advogados especializados em propriedade intelectual têm o dever de esclarecer esse caminho e proteger os direitos fundamentais dos indivíduos.

As plataformas online também enfrentam o desafio de encontrar soluções que atendam tanto aos interesses dos criadores de conteúdo quanto à privacidade e segurança dos usuários. À medida que a IA se torna cada vez mais presente em nossas vidas, a proteção adequada da propriedade intelectual se torna necessária. A rede social X lançou um alerta importante para uma questão urgente.

A comunidade global deve se unir para garantir que o avanço tecnológico não seja alcançado às custas dos direitos fundamentais dos indivíduos. É essencial que as redes sociais reavaliem suas políticas, garantindo que os direitos dos criadores sejam protegidos e respeitados. Simultaneamente, os usuários precisam estar cientes de seus direitos e das licenças que estão concedendo às plataformas.

Publicado em por

INSTITUTO SIGILO LANÇA PORTAL PARA BENEFICIÁRIOS DO AUXÍLIO BRASIL AFETADOS POR VAZAMENTO DE DADOS

O Instituto Sigilo, oficialmente conhecido como o Instituto Brasileiro de Defesa da Proteção de Dados Pessoais, Compliance e Segurança da Informação, lançou um novo portal voltado para a verificação de informações dos beneficiários do programa Auxílio Brasil, que foi extinto. Este portal permite que os beneficiários verifiquem se suas informações pessoais foram comprometidas e se têm direito a receber compensações.

O Instituto Sigilo iniciou uma ação judicial em relação ao vazamento de informações, alegando que os dados de cerca de 4 milhões de pessoas que receberam o Auxílio Brasil em 2022 foram divulgados de maneira indevida. Essas informações envolvem dados de cidadãos de mais de 4 mil municípios. Segundo o Ministério Público Federal, essas informações foram compartilhadas ilegalmente com correspondentes bancários, que as utilizaram para oferecer empréstimos e outros produtos financeiros. Em setembro, a 1ª Vara Cível Federal de São Paulo aceitou o pedido do Instituto Sigilo e determinou o pagamento de R$ 15 mil a título de danos morais a cada pessoa afetada.

As entidades responsáveis pelos pagamentos incluem a União, a Caixa Econômica Federal, a Dataprev e a ANPD (Autoridade Nacional de Proteção de Dados). No entanto, a Caixa Econômica Federal recorreu da decisão, como anunciado em comunicado oficial. A Caixa nega veementemente o vazamento dos dados e assegura que não encontrou falhas em sua gestão de informações, garantindo a integridade de seus dados e a segurança dos sistemas do Cadastro Único, em conformidade com a Lei Geral de Proteção de Dados (LGPD).

Para verificar sua situação, os beneficiários podem acessar o portal em sigilo.org.br e selecionar a opção “Conferir se tenho direito”, localizada no início da página. É necessário fornecer informações pessoais, como nome completo, e-mail, CPF e número de telefone, além de aceitar os termos de privacidade e uso do site. É importante observar que a consulta informa se a pessoa está incluída na base de dados supostamente comprometida e se é elegível para receber uma compensação. No entanto, isso não implica em um pagamento imediato, pois o processo ainda não foi finalizado. O objetivo principal do portal é informar às pessoas se têm direito a compensações, permitindo que manifestem seu interesse no processo.

É importante destacar que a compensação não é garantida, uma vez que o Instituto Sigilo não é responsável pelos pagamentos. Caso a decisão de compensação seja mantida, cada beneficiário cujos dados foram expostos terá que buscar a execução da sentença ao final do processo, com a assistência de um advogado.

O Instituto Sigilo não divulgou publicamente como obteve acesso à suposta base de dados vazados, embora afirme que as informações coincidem com as dos brasileiros cadastrados no site. Segundo o site, 471 mil pessoas têm direito à compensação. A organização planeja entrar em contato com a Ordem dos Advogados do Brasil (OAB) para cadastrar advogados em todo o país, a fim de fornecer assistência aos associados do instituto para receber as compensações. Devido às diversas opções de recursos legais disponíveis, o resultado da ação é incerto, e um pagamento representaria um precedente único no país.

Publicado em por

ANPD PROPÕE MODELO INSTITUCIONAL PARA REGULAÇÃO DA INTELIGÊNCIA ARTIFICIAL NO BRASIL

A Autoridade Nacional de Proteção de Dados (ANPD) anunciou hoje, 24 de outubro, sua segunda análise (Nota Técnica nº 16/2023/CGTP/ANPD) referente ao Projeto de Lei nº 2338/2023, que trata da regulamentação do uso de inteligência artificial (IA) no Brasil. Este documento apresenta contribuições significativas para a modificação do projeto de lei, propõe um novo modelo institucional, destaca sete áreas cruciais de intersecção entre o projeto de lei e a Lei Geral de Proteção de Dados Pessoais (LGPD) e faz uma comparação com as práticas regulatórias de autoridades internacionais.

A análise da ANPD propõe a criação de um modelo institucional para a regulamentação de sistemas de IA composto por quatro instâncias complementares, com a Autoridade Nacional desempenhando o papel central na regulamentação desse tema. O modelo sugerido pela ANPD inclui uma atuação coordenada entre órgãos do Poder Executivo, órgãos reguladores setoriais, bem como a criação de um Conselho Consultivo, semelhante ao Conselho Nacional de Proteção de Dados e da Privacidade (CNPD), destinado exclusivamente à regulamentação do uso de IA no país.

Conforme indicado no documento, experiências internacionais demonstram que uma abordagem centralizada, sob a égide de uma única autoridade, oferece benefícios indiscutíveis na formulação de normas, como evidenciado nas experiências da União Europeia, França, Holanda e outros países.

Além disso, o documento realça a proposta de que a competência para elaborar, gerenciar, atualizar e implementar a Estratégia Brasileira de Inteligência Artificial (EBIA) seja atribuída ao Poder Executivo, em vez da autoridade competente, como previsto na redação atual do projeto de lei. De acordo com a nota técnica, a ANPD terá a responsabilidade de contribuir, no âmbito de suas atribuições, para o processo de elaboração e implementação da EBIA.

Durante uma audiência pública realizada no Senado Federal, na Comissão Temporária Interna sobre Inteligência Artificial no Brasil, a Diretora Miriam Wimmer defendeu a ideia de uma autoridade central com uma abordagem regulatória mais centralizada, que atue como uma fonte clara e consistente de orientação para todos os setores e partes envolvidas, eliminando ambiguidades e interpretações divergentes que podem resultar em incertezas legais. A Diretora destacou a capacidade da ANPD de adotar uma abordagem transversal e enfatizou que qualquer expansão de competências depende do fortalecimento institucional da ANPD, incluindo independência técnica, autonomia administrativa e decisória, de acordo com o modelo das agências reguladoras previsto na lei das agências.

Miriam também mencionou a criação de um Fórum de Órgãos Reguladores Setoriais, com o objetivo de facilitar a colaboração entre a autoridade central e os órgãos reguladores setoriais na regulamentação do tema.

A nota técnica propõe alterações legislativas nos artigos 32 a 35 do Capítulo VIII do Projeto de Lei nº 2338, que trata da supervisão e fiscalização. No entanto, ressalta que outras modificações podem ser necessárias e que a ANPD está à disposição do Congresso Nacional para discutir as propostas sugeridas.

A contribuição da ANPD tem como objetivo enfatizar o papel ativo da Autoridade no debate sobre a regulamentação da IA e garantir que a futura lei esteja em conformidade com os princípios e diretrizes estabelecidos pela LGPD.

Publicado em por

DECISÃO DO STJ: RESPONSABILIDADE DOS BANCOS NA PROTEÇÃO DE DADOS PESSOAIS

A inadequada manipulação de informações pessoais vinculadas a transações e serviços bancários é considerada uma violação na prestação do serviço, pois é responsabilidade das instituições financeiras garantir a confidencialidade desses dados sensíveis. Recentemente, a 3ª Turma do Superior Tribunal de Justiça emitiu uma decisão favorável em um recurso especial, no qual uma cliente caiu no “golpe do boleto” devido ao vazamento de seus dados por parte do banco.

A jurisprudência estabelece diretrizes para determinar quando os bancos podem ser responsabilizados por golpes de engenharia social, usando como base a Lei Geral de Proteção de Dados (LGPD).

Em termos gerais, a responsabilidade das instituições financeiras depende do tipo de informação em posse dos criminosos. Se forem dados genéricos que poderiam ser obtidos de outras fontes, mesmo que sejam considerados sensíveis, não haverá uma conexão causal. Isso ocorre quando os fraudadores utilizam informações como nome, sobrenome, estado civil, profissão, endereço, telefone, origem racial ou étnica, crença religiosa, orientação política, filiação a sindicatos, informações de saúde ou dados biométricos, por exemplo.

No entanto, os bancos podem ser responsabilizados quando os dados usados pelos criminosos estão relacionados às operações financeiras. Geralmente, essas informações são exclusivamente tratadas pelas instituições, que têm o dever de armazená-las com segurança.

A ministra relatora afirmou que “dados pessoais vinculados a operações e serviços bancários são sigilosos, e é responsabilidade das instituições financeiras garantir seu tratamento seguro. O armazenamento inadequado dessas informações, que permite que terceiros tenham acesso a elas e causem prejuízos aos consumidores, constitui uma falha na prestação do serviço”.

No caso específico que foi julgado, uma mulher contratou um financiamento de veículo em uma financeira e optou por quitar a dívida antecipadamente. Ela seguiu as instruções do site da instituição e enviou um e-mail solicitando informações sobre o contrato e o valor devido. Poucos dias depois, uma funcionária da financeira entrou em contato via WhatsApp, informando que havia 32 parcelas em aberto e enviando um boleto de R$ 19,2 mil. A cliente efetuou o pagamento, mas posteriormente percebeu que havia sido vítima de fraude.

O tribunal de primeira instância considerou a dívida quitada, mas o Tribunal de Justiça de São Paulo (TJ-SP) revogou a sentença, argumentando que a fraude ocorreu devido à falta de cautela da consumidora. Alguns indícios incluíam a troca de mensagens informais via WhatsApp e inconsistências no boleto, como o banco e o beneficiário indicados, que eram diferentes dos do contrato de financiamento, além de um número incorreto do documento.

Não era razoável esperar que a cliente percebesse essas discrepâncias, uma vez que a pessoa que a contatou em nome da financeira possuía informações confidenciais sobre ela. Os fraudadores tinham conhecimento de que a mulher era cliente da empresa, que havia enviado um e-mail para quitar a dívida e que tinham informações sobre o financiamento contratado. Essas informações são sigilosas e deveriam ser protegidas pela instituição financeira.

Portanto, se esses dados chegaram ao conhecimento dos criminosos, a responsabilidade da financeira não pode ser descartada devido ao tratamento inadequado dessas informações, o que facilitou a fraude.

Publicado em por

RESILIÊNCIA DIGITAL NO VAREJO: ESTRATÉGIAS ESSENCIAIS CONTRA ATAQUES CIBERNÉTICOS

A crescente digitalização do mundo moderno representa uma notável transformação em vários setores, e o varejo não é exceção. Essa mudança trouxe consigo uma série de benefícios, mas também aumentou a necessidade de proteção contra os crescentes ataques cibernéticos, que podem ter um impacto devastador nas empresas do setor. À medida que o varejo, tanto físico quanto online, avança na digitalização de suas operações, integra sistemas complexos e coleta uma vasta quantidade de dados dos clientes, a importância de adotar medidas para garantir a segurança dessa infraestrutura e preservar a privacidade dos dados se torna cada vez mais evidente.

Estudos indicam que o varejo é um dos alvos mais visados pelos hackers, pois informações como dados de cartões de crédito e outras informações bancárias são altamente valorizadas por cibercriminosos. Os ataques de phishing, que buscam enganar os funcionários para obter acesso a informações sensíveis, são particularmente comuns. Além disso, ataques de ransomware, nos quais os sistemas da empresa são sequestrados e os dados são criptografados, exigindo um resgate para sua liberação, estão no topo da lista de riscos que podem paralisar as operações. Os sistemas de ponto de venda (POS) também são frequentemente alvos de hackers, que exploram brechas nos leitores de cartão para acessar informações confidenciais.

Nesse cenário desafiador, é fundamental adotar várias iniciativas para reduzir as chances de ataques cibernéticos. A implementação de práticas de segurança robustas, como a criptografia, desempenha um papel importante para garantir que informações valiosas não caiam nas mãos erradas. Além disso, soluções de segurança, como firewalls de última geração, oferecem proteção ao realizar controles que impedem invasões na rede do varejo e estabelecem políticas de acesso para aplicativos e usuários. A segmentação de rede, o monitoramento de tráfego suspeito e a atualização regular dos sistemas também são iniciativas necessárias para proteger esses pontos críticos.

Para acompanhar a expansão dos negócios e a criação de filiais, é essencial investir em comunicação segura entre a matriz e as lojas, por meio de redes definidas por software (SD-WAN). Essas redes integram diversos recursos de segurança avançada em uma única solução, como filtro de conteúdo web, proteção avançada contra ameaças e sistema de prevenção de intrusão.

A entrada em vigor da LGPD representou uma mudança significativa na maneira como os varejistas lidam com os dados pessoais de seus clientes. Para cumprir essa legislação e evitar penalidades, é necessário que o setor adote políticas de segurança sólidas e promova a conscientização e o treinamento dos colaboradores sobre como lidar com a segurança cibernética. Funcionários bem treinados são essenciais para reconhecer diferentes tipos de ataques, aplicar práticas seguras em suas atividades e iniciar protocolos predefinidos caso suspeitem de uma invasão nos sistemas.

Dada a crescente magnitude das ameaças cibernéticas, ter um plano de resposta a incidentes cibernéticos bem definido é de extrema importância. Esse plano deve conter um conjunto estruturado de procedimentos e diretrizes que a empresa deve seguir para identificar e gerenciar incidentes, minimizando os danos causados por eles. A partir desse plano, podem ser implementadas iniciativas para recuperar os sistemas e dados afetados rapidamente, permitindo que as operações voltem à normalidade o mais breve possível.

Além de se preparar para os desafios atuais, as organizações precisam estar atentas às tendências emergentes em cibersegurança. O campo da cibersegurança está em constante evolução, e o varejo deve estar vigilante quanto a essas mudanças. A evolução das soluções de segurança é uma resposta direta à crescente complexidade e amplitude das ameaças cibernéticas, bem como ao rápido crescimento dos negócios. Esse cenário de constante evolução não mostra sinais de desaceleração.

Em um mundo cada vez mais interconectado, a segurança cibernética transcende a esfera técnica e se torna uma estratégia fundamental para proteger a reputação da empresa e a confiança dos clientes. A implementação de medidas eficazes fortalece não apenas a proteção dos dados, mas também a resiliência da organização diante das ameaças em constante expansão e cada vez mais sofisticadas.

Casos recentes de sérios ataques cibernéticos a redes varejistas resultaram em prejuízos financeiros significativos, deixando claro que a cibersegurança não deve ser negligenciada pelo setor. Ao adotar as melhores práticas e tecnologias disponíveis, mantendo políticas e sistemas atualizados, o varejo está investindo não apenas em um presente mais seguro, mas também no futuro sustentável de seus negócios.

Publicado em por

DESAFIOS CIBERNÉTICOS NO BRASIL: SOPHOS REVELA IMPACTO DO RANSOMWARE NAS EMPRESAS

A empresa britânica especializada em cibersegurança, Sophos, divulgou recentemente o relatório “The State of Ransomware”, que traz uma análise sobre a situação das empresas brasileiras. Segundo esse estudo, mais da metade dessas instituições foi alvo de roubo de dados internos.

Quase 70% das organizações enfrentam ataques de ransomware, uma forma de crime digital que envolve o sequestro de dados e sistemas por hackers. Esse tipo de malware bloqueia o computador da vítima, exigindo um resgate para desbloquear os dados cruciais.

O ransomware, uma categoria de software malicioso que inclui vírus e cavalos de Tróia, é capaz de roubar desde arquivos locais até sistemas operacionais completos, deixando as empresas vulneráveis a perdas significativas.

Outro relatório relevante, o “Global DDoS Threat Intelligence”, confirmou que o Brasil lidera a América Latina em termos de vulnerabilidade a ataques cibernéticos. O segundo semestre de 2022 testemunhou um alarmante aumento de 19% nos ataques hacker, com uma média global 13% maior.

Para prevenir esses crimes cibernéticos, é imperativo que as organizações, sejam públicas ou privadas, adotem programas de alta qualidade e softwares apropriados.

Além disso, as empresas que têm seus bancos de dados roubados e utilizados de maneira prejudicial correm o risco de enfrentar sanções de acordo com a Lei Geral de Proteção de Dados (LGPD). Esta legislação, sancionada em 2018, estabelece que as informações armazenadas pelas empresas pertencem ao titular dos dados pessoais, como nome, sobrenome, CPF e outros documentos. É um chamado urgente para fortalecer a segurança digital e proteger não apenas as instituições, mas também os indivíduos e a sociedade como um todo.

Publicado em por

DPIA NA LGPD: O PAPEL FUNDAMENTAL DO RELATÓRIO DE IMPACTO NA LGPD

No contexto da Lei Geral de Proteção de Dados (LGPD), o Relatório de Impacto à Proteção de Dados (RIPD), conhecido como DPIA (Data Protection Impact Assessment), emerge como um documento importante. Este relatório descreve os processos de tratamento de dados pessoais que podem representar um alto risco para a garantia dos princípios fundamentais de proteção de dados. Embora não seja obrigatório para todas as empresas, a elaboração do RIPD revela-se uma ferramenta altamente benéfica na adaptação das organizações à LGPD e na promoção de uma cultura corporativa alinhada às exigências atuais do mercado, especialmente no que diz respeito à proteção de dados sensíveis.

Além de fomentar a transparência das empresas com os titulares dos dados, o RIPD oferece uma preparação essencial para eventuais incidentes de segurança. Isso é possível por meio de um procedimento pré-estabelecido de mitigação de danos, delineado no relatório. O DPIA deve ser elaborado pelo controlador, ou seja, a entidade responsável pelas decisões referentes ao tratamento de dados pessoais, desde a coleta até a eliminação.

É importante ressaltar que a Agência Nacional de Proteção de Dados (ANPD) pode exigir o RIPD em situações específicas, como operações de tratamento voltadas para segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais. Isso se aplica também quando o tratamento se fundamenta no interesse legítimo, abrangendo agentes do Poder Público e controladores em geral. Além dessas situações, o DPIA pode ser requerido para cumprir o princípio da responsabilização e prestação de contas, garantindo segurança e prevenção por meio da implementação de um programa de governança em privacidade.

Até o momento, a LGPD e os regulamentos da ANPD não estabelecem requisitos essenciais para a elaboração e conteúdo obrigatório do RIPD. Nesse sentido, recomenda-se a elaboração do DPIA antes do início do tratamento de dados pessoais, permitindo a antecipada avaliação dos riscos associados a esse tratamento. Essa abordagem oferece ao controlador a capacidade de identificar a probabilidade de cada fator de risco e seu impacto nas liberdades e direitos fundamentais dos titulares, possibilitando a implementação de medidas de mitigação específicas para cada cenário.

Caso o tratamento já tenha iniciado sem a elaboração do DPIA, é altamente recomendado que o mesmo seja elaborado assim que for identificado um tratamento de alto risco para os princípios gerais de proteção de dados e as liberdades civis e direitos fundamentais dos titulares de dados. Embora a ANPD ainda não tenha fornecido orientações específicas sobre o conteúdo mínimo do RIPD, é possível basear-se nas recomendações do Grupo de Trabalho Artigo 29 da União Europeia, um órgão consultivo especializado em proteção de dados pessoais. Esse grupo indica que o RIPD deve conter uma descrição sistemática das operações de tratamento previstas, o objetivo do tratamento e uma avaliação detalhada da necessidade, proporcionalidade e das medidas previstas em relação aos riscos associados, garantias, medidas de segurança e procedimentos para garantir a conformidade com a legislação de proteção de dados. O RIPD deve ser suficientemente detalhado para garantir uma compreensão ampla do modo de tratamento de dados e seus possíveis riscos, tanto para o controlador quanto para a ANPD.

Publicado em por

VIOLAÇÃO DA LGPD: ANPD SANCIONA IAMSPE COM ADVERTÊNCIAS E MEDIDAS CORRETIVAS

No último dia 6 de outubro de 2023, a Autoridade Nacional de Proteção de Dados (ANPD) concluiu um processo sancionatório contra o Instituto de Assistência ao Servidor Público Estadual de São Paulo (IAMSPE) por violação da LGPD. Neste caso, a violação se relacionou à falha do IAMSPE em manter sistemas seguros para o armazenamento e tratamento adequado dos dados pessoais de milhões de servidores públicos e seus dependentes, configurando uma espécie de engenharia social que levou a erros por parte dos usuários, expondo seus dados pessoais, em violação ao artigo 49 da LGPD.

Conforme estabelece o artigo 49 da Lei 13.709/2018, os sistemas utilizados para o tratamento de dados pessoais devem atender a requisitos de segurança, boas práticas, governança e princípios gerais da lei, bem como outras normas regulamentares.

Além disso, o IAMSPE foi considerado responsável por um incidente de segurança no qual não comunicou de forma clara, adequada e tempestiva os titulares dos dados sobre quais dados pessoais poderiam ter sido comprometidos, infringindo o artigo 48 da LGPD, que estabelece os requisitos mínimos para uma comunicação eficaz de incidentes de segurança, tanto para a ANPD quanto para os titulares dos dados.

Diante dessas infrações, a ANPD aplicou ao IAMSPE advertências e apontou medidas corretivas, conforme despacho publicado no Diário Oficial da União. Isso reforça a importância para todas as organizações, sejam públicas ou privadas, de cumprir integralmente as disposições da LGPD. A ANPD tem demonstrado seu empenho em finalizar os processos e aplicar as sanções necessárias diante das violações, ressaltando a necessidade de conscientização e conformidade com a LGPD por parte de todas as empresas.

É importante que os contadores informem a seus clientes sobre a importância de se adequar à LGPD, buscando profissionais qualificados para realizar os procedimentos exigidos. Vale destacar que a cópia de políticas de privacidade ou a oferta de informações genéricas é ineficaz e pode configurar crime, conforme o artigo 184 do Código Penal. A adequação à LGPD é um assunto de extrema seriedade, e qualquer abordagem genérica é insuficiente.

Publicado em por

LGPD NO BRASIL: DESAFIOS E REFLEXÕES CINCO ANOS APÓS SUA IMPLEMENTAÇÃO

Cinco anos após a implementação da Lei Geral de Proteção de Dados (LGPD) no Brasil, a situação da segurança da informação nas empresas ainda deixa muito a desejar. A adesão à LGPD por parte das empresas brasileiras é uma incógnita, com números divergentes entre 20% e 50%. Isso revela que a segurança da informação continua sendo um ponto fraco para a maioria das organizações no país.

Com base em um estudo do Centro Regional de Estudos para o Desenvolvimento da Sociedade da Informação no Brasil (Cetic.br) publicado em agosto de 2022, apenas 32% das empresas têm uma política de privacidade que esclarece como é feito o tratamento dos dados. Apenas 30% realizam testes de segurança contra vazamentos de dados, e míseros 17% designaram um encarregado de dados, mesmo sendo uma obrigação dispensada para empresas menores.

A LGPD foi criada para garantir o direito dos cidadãos à privacidade e proteção de seus dados pessoais, evitando o uso indevido dessas informações pelas empresas. No entanto, para proteger os dados, as empresas precisam também proteger o ambiente tecnológico e físico onde essas informações são armazenadas.

Considerando uma mediana entre 20% e 50%, podemos concluir que apenas cerca de 35% das empresas contam com sistemas para proteção de dados. Nesse aspecto, a segurança da informação mostrou pouca evolução em cinco anos.

A teoria da segurança da informação nas organizações contrasta com a prática. Embora as empresas apresentem um discurso inovador e correto sobre segurança da informação, a realidade não reflete esse discurso. A segurança da informação ainda é afetada pela volatilidade econômica e pelo uso de soluções inadequadas para combater as ameaças atuais.

Os números de ataques a empresas no Brasil continuam crescendo. Um relatório da Check Point Research referente ao primeiro semestre de 2023 revelou um aumento de 8% nas atividades criminosas. A inteligência artificial e a engenharia social estão sendo cada vez mais utilizadas para realizar ataques complexos, como phishing e ransomware.

Além disso, o uso indevido da inteligência artificial está em ascensão, com ferramentas de IA generativa sendo empregadas para criar e-mails de phishing, malwares e códigos de ransomware.

Embora o cenário macroeconômico do Brasil possa contribuir para essa realidade, é fundamental reconhecer que a segurança da informação não é uma prioridade para a maioria das empresas, como evidenciado pela baixa adesão à LGPD.

Adotar a LGPD vai além de cumprir formalidades, como ter um link para a Política de Privacidade no site. Requer controles de acesso eficazes, visibilidade e proteção de dados físicos e digitais, além do investimento em tecnologias baseadas em inteligência artificial e aprendizado de máquina para combater um cenário de ameaças em constante evolução.

No primeiro semestre de 2023, o Brasil enfrentou cerca de 23 bilhões de tentativas de ataques. É fundamental que, nos próximos cinco anos, haja um aumento significativo no número de empresas que adotaram a regulamentação, em paralelo à redução dos ataques cibernéticos.

Publicado em por

CRESCIMENTO E ESPECIALIZAÇÃO: TENDÊNCIAS NA ADVOCACIA EMPRESARIAL BRASILEIRA

O panorama da advocacia empresarial no Brasil tem passado por transformações marcantes nos últimos anos. Entre 2021 e 2022, quase 40% dos escritórios especializados em Direito Empresarial expandiram suas áreas de atuação para atender ao crescimento do escopo, conforme apontam dados do conceituado Análise Advocacia 2022. A pesquisa, que ouviu mais de 1.000 líderes de departamentos jurídicos de empresas e representantes de escritórios de advocacia, oferece insights valiosos sobre as mudanças e desafios que estão moldando a prática do Direito Empresarial no país.

A LGPD, em vigor desde 2021, surge como um catalisador central das novas demandas das empresas para os profissionais de Direito. A proteção e privacidade de dados se tornaram prioridades para uma parcela substancial de diretores jurídicos entrevistados. Além disso, a governança corporativa e o papel do setor de compliance na garantia de boas práticas internas nas empresas têm adquirido destaque significativo, refletido nos comentários dos diretores jurídicos.

A diversificação das demandas abrange várias áreas em 2023, incluindo Direito Ambiental, Direito Regulatório, Direito Tributário, Direito do Trabalho, Direito Societário e ESG – Governança Ambiental, Social e Corporativa. A tendência de especialização crescente dos escritórios reflete uma abordagem mais alinhada a modelos internacionais, onde áreas altamente especializadas colaboram sinergicamente para oferecer soluções globais e integradas aos clientes.

Os escritórios pesquisados adotam diferentes abordagens, com alguns optando por especialização em uma área específica do Direito Empresarial, enquanto outros mantêm uma abordagem mais ampla, priorizando uma área, mas também atendendo a outros ramos jurídicos. Esta diversidade de atuação reflete uma adaptação dinâmica às necessidades do mercado.

Além da especialização, os escritórios enfrentam o desafio de incorporar tecnologia em sua prática. A inteligência artificial, por exemplo, tem o potencial de automatizar tarefas rotineiras, ao mesmo tempo que levanta questões legais novas sobre responsabilidade e ética. Essa dinâmica exige uma constante atualização e aprimoramento dos advogados empresariais para compreender o impacto das tecnologias no ambiente empresarial e nas leis que o regulamentam.

A proteção dos dados pessoais dos clientes, em conformidade com regulamentações como o Regulamento Geral sobre a Proteção de Dados da União Europeia, representa outro desafio importante. Apesar dessas complexidades, os escritórios brasileiros são amplamente reconhecidos e respeitados internacionalmente, evidenciando sua excelência na prestação de serviços em operações complexas.

Os profissionais do setor percebem que a expansão das áreas de atuação das bancas empresariais tem permitido uma concentração mais eficiente das demandas das empresas em um número menor de escritórios. Isso facilita a interação entre os jurídicos internos e os profissionais, possibilitando soluções mais alinhadas com as necessidades individuais de cada negócio.

O mercado brasileiro de advocacia empresarial está em constante amadurecimento, embora ainda em estágio inicial em comparação com mercados mais maduros. Este cenário reflete a necessidade de continuar avançando e se equiparando às melhores práticas internacionais, em busca de excelência e sofisticação na prestação de serviços jurídicos empresariais.