Tag: Transparência

Publicado em por

CINCO ANOS DE LGPD: OS ERROS QUE AINDA COMPROMETEM A PROTEÇÃO DE DADOS NAS EMPRESAS BRASILEIRAS

Cinco anos após a promulgação da Lei Geral de Proteção de Dados Pessoais (LGPD), a realidade empresarial brasileira ainda demonstra um longo caminho rumo à plena conformidade. Embora o marco regulatório tenha se consolidado no ambiente jurídico e corporativo, grande parte das organizações permanece com lacunas significativas em suas práticas de governança e segurança da informação.

Pesquisas recentes apontam que apenas uma parcela reduzida das empresas declara atender integralmente às exigências da lei. Ainda assim, o número de instituições que reconhecem falhas estruturais em seus programas de privacidade é expressivo. Essa discrepância revela que conhecer a legislação não basta: é preciso incorporá-la à cultura organizacional.

A conformidade com a LGPD não deve ser vista como um projeto pontual, mas como uma rotina de atualização constante, baseada em segurança, transparência e responsabilidade. Muitos gestores, contudo, ainda cometem equívocos recorrentes que enfraquecem a credibilidade e expõem as empresas a riscos jurídicos e reputacionais.

1. Tratar a LGPD como tarefa com início e fim

É comum que a adequação à lei seja encarada como um projeto temporário, executado apenas para cumprir prazos ou evitar sanções. Essa visão limitada ignora que legislações, tecnologias e ameaças evoluem de forma contínua. A ausência de revisões e auditorias periódicas cria brechas que comprometem a proteção dos dados pessoais e a confiança dos titulares.

2. Subestimar o alcance da lei

Muitas empresas ainda acreditam que a LGPD se aplica apenas a grandes corporações ou setores específicos. Outras desconhecem o conceito de dados sensíveis e o dever de proteção que se estende a qualquer tratamento realizado. O resultado é um número expressivo de organizações que não conseguem adaptar processos ou novos projetos para prevenir riscos à privacidade.

3. Utilizar consentimentos frágeis ou inválidos

Termos genéricos, linguagem técnica e ausência de registros formais tornam o consentimento juridicamente ineficaz. Sem essa base, o tratamento de dados pode ser considerado irregular, abrindo espaço para sanções administrativas e perda de credibilidade perante clientes e parceiros. A transparência e a clareza na comunicação com o titular são elementos essenciais da legitimidade do tratamento.

4. Manter políticas de privacidade desatualizadas

Ainda é comum encontrar políticas de privacidade imprecisas, vagas e escritas de forma a dificultar a compreensão do usuário. A legislação determina que as empresas informem de modo claro quais dados são coletados, por qual motivo, quem os acessa e por quanto tempo serão armazenados. A transparência deixou de ser um diferencial de imagem: tornou-se uma obrigação legal e um pilar da confiança digital.

5. Ignorar medidas técnicas de segurança

Sem a adoção de controles técnicos adequados, como criptografia, autenticação multifatorial, segregação de acessos e rotinas de backup seguro, a conformidade simplesmente não se sustenta. A segurança da informação é um componente indispensável da governança de dados e deve ser tratada como prioridade estratégica em qualquer estrutura organizacional.

6. Nomear encarregados sem autonomia

Algumas organizações nomeiam encarregados de dados (DPOs) apenas para cumprir formalidades. A falta de autoridade, de acesso direto à alta gestão e de recursos suficientes compromete a efetividade das políticas internas. O encarregado precisa atuar como figura independente, com poder de orientação e decisão sobre temas relacionados à privacidade.

7. Ausência de plano de resposta a incidentes

Muitas empresas não possuem protocolos claros para identificar, conter e comunicar incidentes de segurança. Essa falha aumenta o impacto financeiro e jurídico de eventuais vazamentos e retarda o cumprimento do dever legal de informar a autoridade competente e os titulares afetados. Um plano estruturado de resposta é requisito fundamental da maturidade digital.

Conformidade como cultura corporativa

A proteção de dados deve ser tratada como valor institucional, e não como imposição regulatória. As empresas que incorporam a LGPD à sua estratégia de negócios fortalecem a confiança de clientes e parceiros, reduzem riscos e ganham vantagem competitiva.

Mais do que cumprir uma obrigação, estar em conformidade significa adotar uma postura de respeito, ética e responsabilidade na gestão das informações que sustentam a economia digital.

Publicado em por

COMO ALINHAR PRÁTICAS DO SETOR FARMACÊUTICO À LGPD

A Lei Geral de Proteção de Dados (LGPD) consolidou princípios que buscam garantir o tratamento responsável e transparente de dados pessoais. No setor farmacêutico, que lida com informações de saúde de alta sensibilidade, a conformidade com essas diretrizes é não apenas uma exigência legal, mas também um fator de confiança para o consumidor.

A Autoridade Nacional de Proteção de Dados (ANPD) tem reforçado sua atuação fiscalizatória, ampliando a exigência de ajustes internos e impondo medidas corretivas em empresas que não observam os requisitos da lei. Esse movimento reflete a necessidade de se adotar processos claros, políticas consistentes e práticas proporcionais no tratamento de dados pessoais.

Irregularidades identificadas

Em 2025, a ANPD concluiu investigações no setor farmacêutico envolvendo redes de farmácias, federações e programas de fidelidade. A apuração revelou falhas estruturais significativas, como políticas de privacidade desatualizadas ou inexistentes, práticas pouco transparentes e ausência de informações claras ao consumidor. Em termos simples, os clientes eram convidados a fornecer dados sem compreender plenamente como seriam utilizados.

A exigência de CPF para liberação de descontos foi um dos pontos de destaque. Essa prática impede que o consumidor exerça liberdade real de escolha quanto ao compartilhamento de suas informações. Do mesmo modo, a coleta de dados biométricos para autenticação foi considerada desproporcional quando outros mecanismos, menos invasivos, poderiam ser adotados.

Impactos para o setor

A análise da Autoridade mostrou que programas de fidelização, quando mal estruturados, podem gerar inferências sobre o estado de saúde do consumidor. Além da ANPD, o Ministério Público também instaurou procedimentos para apurar os riscos relacionados ao tratamento de dados nessa área, demonstrando que a fiscalização não se limita a um único órgão. Esse alinhamento entre autoridades reforça a necessidade de adequação imediata.

A não conformidade traz riscos concretos: desde sanções administrativas e multas até danos reputacionais de difícil reparação. O comprometimento da imagem e a perda de confiança podem, em alguns casos, ser mais impactantes do que a própria penalidade financeira.

Caminhos para adequação

Para o setor farmacêutico, o desafio é transformar exigências legais em práticas efetivas. Isso exige auditorias internas capazes de mapear fluxos de dados, revisão periódica das políticas de privacidade e adoção de controles técnicos que assegurem integridade, confidencialidade e disponibilidade das informações.

O investimento em treinamento das equipes e em soluções tecnológicas de proteção de dados deve ser contínuo. O monitoramento permanente das operações e a melhoria constante dos processos são medidas que fortalecem a governança e reduzem o risco de novas desconformidades.

Publicado em por

O CPF NO CAIXA DO SUPERMERCADO E OS LIMITES DA PROTEÇÃO DE DADOS

Nos caixas de supermercados, tornou-se rotina o pedido do CPF do consumidor no momento da compra. Em geral, a prática é apresentada como forma de liberar descontos ou permitir a participação em programas de benefícios. O que parece uma formalidade simples, entretanto, envolve implicações relevantes em matéria de privacidade e proteção de dados.

A Lei Geral de Proteção de Dados, em vigor desde 2020, classifica o CPF como dado pessoal e impõe limites claros para sua utilização. Isso significa que, para coletar e tratar essa informação, o estabelecimento precisa de fundamento legal adequado, como o consentimento livre e informado do titular. Mais do que isso, deve deixar explícito como o dado será usado e quais são as garantias oferecidas quanto ao seu tratamento.

O uso do CPF sem transparência ou sem respaldo legal pode representar risco direto à privacidade do consumidor. Entre os direitos assegurados pela legislação, estão a confirmação sobre a existência do tratamento, o acesso às informações registradas, a correção de eventuais erros e a eliminação de dados utilizados de forma irregular. Cabe ao consumidor solicitar a exclusão de seus dados do cadastro da empresa quando verificar finalidades que não condizem com a lei ou quando o consentimento não tiver sido obtido de forma clara.

A fiscalização vem sendo fortalecida pela Autoridade Nacional de Proteção de Dados, que já dispõe de instrumentos para coibir práticas abusivas. Entre as sanções previstas, encontram-se advertências, multas que podem atingir valores expressivos e até a restrição do uso dos dados pessoais até a correção das falhas.

Em um contexto de intensificação do debate sobre privacidade, o simples ato de informar o CPF na hora da compra ganha novos contornos jurídicos e exige maior responsabilidade das empresas que coletam esses dados. O consumidor, por sua vez, tem instrumentos legais para assegurar que suas informações sejam tratadas de maneira correta e transparente.

Publicado em por

O TRATAMENTO DE DADOS PESSOAIS NO MERCADO DE ARTE E SEUS DESAFIOS JURÍDICOS

O mercado de arte costuma ser retratado de maneira quase mítica: grandes leilões, cifras milionárias, compradores discretos e destinos incertos para as obras. No entanto, a prática revela outra realidade. A maior parte das galerias brasileiras é de pequeno ou médio porte, com equipes enxutas e volumes de negociação bem mais modestos do que a percepção pública sugere. Pesquisas recentes apontam que a maioria dessas empresas movimenta até R$ 5 milhões ao ano, com colecionadores que compram obras de valores relativamente acessíveis, em geral abaixo de R$ 50 mil.

Um elemento central nas transações é a chamada trajetória da obra, que reúne registros sobre propriedade, circulação, exposições, restaurações e valores praticados ao longo do tempo. Esse histórico influencia diretamente a precificação, funcionando, em certo sentido, como a matrícula de um imóvel. Do ponto de vista jurídico, esse conjunto de informações envolve o tratamento de dados pessoais de diversos titulares, com armazenamento de longo prazo e muitas vezes indeterminado. Surge, então, o desafio: como compatibilizar a necessária divulgação desses dados com a proteção legal da privacidade e com o sigilo que muitos compradores exigem?

Além disso, o setor lida com pressões por maior transparência, seja em razão da assimetria de informações comerciais, seja pela necessidade de atender a normas de prevenção à lavagem de dinheiro. No Brasil, os negociantes devem estar inscritos no CNART e comunicar operações em espécie acima de R$ 10 mil. Já na Europa, regulações mais severas exigem a adoção de políticas de identificação de clientes e monitoramento contínuo de transações. Nessas situações, a hipótese legal que legitima o tratamento de dados é a obrigação regulatória, prevista na LGPD.

Ainda que o regulamento da ANPD para agentes de pequeno porte conceda certa flexibilidade – como o uso de registros simplificados e a dispensa formal de um encarregado de dados – as galerias permanecem responsáveis por assegurar medidas mínimas de segurança da informação. Isso inclui não apenas a gestão de cadastros de clientes e fornecedores, mas também cuidados com possíveis transferências internacionais de dados, comuns em operações de exportação de obras ou uso de sistemas estrangeiros.

Nesse contexto, tecnologias como o blockchain têm sido apontadas como alternativa promissora. A possibilidade de registrar a trajetória de obras em uma rede digital descentralizada oferece segurança contra fraudes e falsificações, ao mesmo tempo em que mantém a rastreabilidade das informações. Porém, surgem novas questões jurídicas, especialmente quando se considera o direito de exclusão ou retificação de dados em um ambiente de registros imutáveis.

O fato é que o mercado de arte se encontra diante de um ponto de inflexão: busca tornar-se mais transparente e moderno, ao mesmo tempo em que precisa respeitar os limites da proteção de dados pessoais. A adequação às normas não deve ser vista apenas como obrigação, mas como oportunidade de profissionalizar ainda mais um setor que, embora marcado pela tradição, depende cada vez mais da confiança, da ética e da inovação tecnológica para sustentar sua relevância global.

Publicado em por

LGPD E SEGURANÇA DIGITAL: QUANDO A OMISSÃO EMPRESARIAL SE TRANSFORMA EM INDENIZAÇÃO

O Superior Tribunal de Justiça fixou entendimento relevante ao reconhecer que a exposição de dados pessoais sensíveis, ainda que sem prova de prejuízo concreto ao consumidor, configura por si só violação indenizável. Trata-se de um marco para a proteção da privacidade no país, especialmente após a entrada em vigor da Lei Geral de Proteção de Dados.

O processo teve origem em um ataque cibernético que atingiu uma seguradora e resultou na divulgação de informações fiscais, bancárias e de saúde de seus clientes. A comunicação do incidente foi feita de maneira vaga, sem explicitar os riscos efetivos nem os impactos sofridos pelos titulares. Soma-se a isso o fato de a empresa não ter comprovado a adoção de mecanismos eficazes de segurança ou de prevenção, o que pesou de forma significativa na avaliação judicial.

Na decisão, ficou assentado que a simples exposição de dados sensíveis gera risco à integridade, segurança e privacidade das pessoas. Reconheceu-se também que a responsabilidade da empresa é objetiva: não depende da demonstração de culpa direta. Assim, o dano moral passa a ser presumido, dispensando do consumidor o ônus de comprovar consequências materiais. Quando não há demonstração de protocolos de segurança adequados e de resposta efetiva ao incidente, o dever de indenizar se impõe.

Esse entendimento projeta efeitos diretos sobre a postura das empresas. Mais do que uma obrigação legal, a proteção de dados passa a ser vista como um ativo estratégico. É indispensável investir em segurança da informação, estruturar planos de resposta a incidentes, manter registros que comprovem conformidade com a lei e comunicar de maneira clara e transparente os titulares afetados em situações de violação.

Ignorar essas medidas pode significar não apenas a imposição de indenizações e multas, mas também danos irreparáveis à reputação da marca. O recado é inequívoco: a gestão responsável de dados pessoais deixou de ser opcional e se tornou parte da própria sobrevivência empresarial em um ambiente cada vez mais exposto a riscos digitais.

Publicado em por

CINCO ANOS DA LGPD: PRIVACIDADE CONSOLIDADA E NOVOS DESAFIOS PARA A RESPONSABILIDADE DIGITAL

A Lei Geral de Proteção de Dados Pessoais completou cinco anos de vigência e já se firmou como um dos pilares do ambiente digital brasileiro. Sua importância vai além do cumprimento de requisitos técnicos: trata-se de um marco jurídico que institucionalizou o direito à privacidade em um país onde o tratamento de dados pessoais, até então, ocorria de forma difusa, sem diretrizes claras e com escassa fiscalização.

A evolução da cultura de proteção de dados

A criação da Autoridade Nacional de Proteção de Dados (ANPD), a inclusão da proteção de dados no rol de direitos fundamentais e a adoção de práticas de governança como relatórios de impacto e mapeamentos de dados demonstram a maturidade adquirida nesse período. Grandes organizações incorporaram a privacidade às suas estratégias de negócios, e mesmo que órgãos públicos e pequenas empresas ainda enfrentem limitações estruturais, a pauta começa a se expandir para além do setor corporativo.

Responsabilidade ampliada das plataformas digitais

A recente decisão do Supremo Tribunal Federal que atribui responsabilidade às plataformas digitais por conteúdos ilícitos publicados por terceiros representa um desdobramento natural dessa lógica. Embora a discussão esteja centrada na esfera da liberdade de expressão, não se pode ignorar que a exigência de uma postura ativa das empresas na moderação de conteúdo dialoga diretamente com princípios centrais da LGPD, como responsabilidade, segurança e prevenção. O antigo modelo de inércia das plataformas cede lugar a uma exigência de diligência.

Entre avanços e desafios

Se, no início, a LGPD foi vista como entrave burocrático, hoje está claro que se trata de uma infraestrutura regulatória essencial para o funcionamento ético da economia digital. Ainda assim, os obstáculos permanecem. O risco de remoções preventivas excessivas e a possibilidade de comprometer a liberdade de expressão exigem que a ANPD atue em harmonia com o Judiciário, assegurando equilíbrio na aplicação das normas.

Outro desafio evidente é a desigualdade de maturidade entre setores. Enquanto corporações estruturaram departamentos inteiros de compliance digital, microempresas e entidades públicas ainda sofrem com a falta de recursos técnicos e humanos. A tentativa de simplificação normativa, como a trazida pela Resolução nº 15/2024, é relevante, mas insuficiente diante da dimensão dos problemas.

Perspectivas para o futuro

A lei brasileira segue em convergência com normas internacionais, sobretudo com a legislação europeia, e já compartilha pontos como bases legais, alcance extraterritorial e garantias de direitos aos titulares. No entanto, há espaço para evoluir na regulação de algoritmos, na harmonização com outros regimes jurídicos e na definição de prazos e procedimentos mais claros para incidentes de segurança.

Os cinco anos da LGPD confirmam que a proteção de dados não é mais uma pauta acessória, mas parte da estrutura essencial da vida digital. A responsabilização das plataformas digitais é apenas um reflexo desse novo padrão, no qual privacidade, transparência e segurança passaram a integrar a própria lógica das interações online. Proteger dados significa, ao mesmo tempo, resguardar direitos individuais, prevenir abusos e fortalecer as bases de confiança necessárias à democracia no espaço digital.

Publicado em por

EXPOSIÇÃO DE DADOS EM SISTEMA DE LEILÕES REVELA FRAGILIDADES NA PROTEÇÃO DA INFORMAÇÃO PÚBLICA

Um portal eletrônico de leilões mantido pelo governo de Minas Gerais apresentou falhas que resultaram na exposição de documentos pessoais de cidadãos cadastrados para participação nas disputas. Entre os arquivos acessíveis estavam cópias de carteiras de identidade, carteiras de habilitação e comprovantes de residência, muitas vezes concentrando dados de uma mesma pessoa, como CPF e número de registro civil.

A vulnerabilidade foi identificada porque o sistema permitia a visualização de diferentes documentos apenas pela alteração de números na URL, revelando fragilidade técnica no controle de acesso e na proteção de informações. Esse tipo de exposição representa risco significativo aos titulares dos dados e pode configurar descumprimento da Lei Geral de Proteção de Dados Pessoais (LGPD), que estabelece princípios de segurança, finalidade e necessidade para o tratamento de informações sensíveis.

O site é administrado por órgão estadual responsável pela gestão dos leilões e não informava de forma clara como os dados estavam armazenados e protegidos. Após ser questionada sobre a situação, a administração informou que a falha foi corrigida e que o acesso público aos documentos foi bloqueado.

Embora a correção tenha sido imediata, a ocorrência evidencia a importância de medidas preventivas e de monitoramento contínuo para garantir que dados de cidadãos não fiquem expostos em plataformas digitais. Casos como esse reforçam a necessidade de auditorias periódicas, políticas de segurança da informação e transparência quanto ao tratamento de dados em sistemas governamentais.

Publicado em por

LGPD NO RECRUTAMENTO: COMO APLICAR CONFORMIDADE E TRANSPARÊNCIA NO TRATAMENTO DE DADOS DE CANDIDATOS

Desde 2020, a Lei Geral de Proteção de Dados passou a influenciar de forma significativa a rotina das empresas, incluindo o departamento de Recursos Humanos. Nos processos de recrutamento e seleção, a norma impõe cuidados específicos quanto à coleta, armazenamento, uso e descarte das informações pessoais de candidatos, exigindo mudanças que vão desde a elaboração de formulários até a configuração de sistemas de triagem.

O propósito central da lei é assegurar privacidade, segurança e liberdade aos titulares dos dados. Para o RH, isso significa adotar práticas que garantam consentimento informado, clareza sobre a finalidade de cada dado solicitado e prazos definidos para o uso dessas informações. Mesmo testes de perfil ou avaliações técnicas devem estar alinhados a uma política clara de tratamento e descarte.

Impactos no processo seletivo
O tratamento de dados pessoais durante a seleção deve ser guiado pelo princípio da minimização: solicitar apenas o que for relevante para a vaga. Além disso, é necessário que o candidato seja informado, de forma objetiva, sobre:

  • Finalidade do uso das informações
  • Prazo de armazenamento
  • Eventual compartilhamento com terceiros, como consultorias ou plataformas especializadas
  • Procedimentos para exclusão ou anonimização dos dados após o encerramento do processo

Boas práticas para empresas e recrutadores
Para manter conformidade, as organizações devem revisar suas políticas internas, incluir cláusulas de privacidade nas etapas do processo seletivo e ajustar seus sistemas para registrar consentimentos e controlar prazos. É essencial implementar métodos seguros para o descarte de informações, de modo a impedir qualquer uso indevido posterior.

Transparência como diferencial
Empresas que demonstram responsabilidade e ética no tratamento de dados tendem a conquistar maior confiança dos candidatos e fortalecer sua imagem no mercado de trabalho. A forma como a privacidade é tratada pode influenciar diretamente a atração e retenção de talentos, servindo não apenas como cumprimento de uma obrigação legal, mas como um elemento de reputação corporativa.

Conformidade como estratégia de gestão de pessoas
Adequar o recrutamento à LGPD não é apenas uma medida preventiva contra sanções. É também uma oportunidade para estruturar processos seletivos mais organizados, seguros e eficientes. Ao respeitar os direitos digitais dos candidatos, a empresa reforça sua credibilidade e promove uma experiência mais positiva para todos os envolvidos.

Se quiser, posso também criar uma versão mais sintética desse texto para ser usada como post em redes sociais, preservando o tom profissional e informativo.

Publicado em por

A RESPONSABILIDADE DAS FARMÁCIAS NO TRATAMENTO DE DADOS PESSOAIS E OS DIREITOS DOS CONSUMIDORES

Com a digitalização das relações de consumo, práticas antes restritas ao ambiente físico passaram a incorporar rotinas tecnológicas que, apesar de promoverem facilidades, também impõem riscos à privacidade. Hoje, uma simples ida à farmácia pode envolver o fornecimento de CPF, telefone e dados sobre a saúde do consumidor, muitas vezes sem a devida clareza sobre a forma e a finalidade desse uso.

Essa realidade impõe uma obrigação ainda maior às farmácias e drogarias no que se refere à conformidade com as normas de proteção de dados e de defesa do consumidor. Quando se trata da coleta de dados pessoais para aplicação de descontos ou cadastro em programas de benefícios, é imprescindível que as informações sejam prestadas de maneira clara, objetiva e acessível, permitindo ao consumidor uma escolha consciente e livre.

A Lei Geral de Proteção de Dados Pessoais, ao estabelecer fundamentos como a autodeterminação informativa, o respeito à privacidade e a transparência, exige que qualquer tratamento de dados pessoais esteja devidamente amparado por uma base legal. O consentimento, nesses casos, não pode ser presumido ou obtido por imposição disfarçada, tampouco condicionado ao fornecimento de um benefício cujo valor real não é previamente conhecido.

É comum que consumidores sejam levados a fornecer seu CPF em troca de supostos descontos que, ao final, não se concretizam de forma mensurável. Sem a apresentação clara do preço cheio e do valor efetivamente abatido, o que se configura é uma prática potencialmente enganosa, em afronta tanto ao Código de Defesa do Consumidor quanto à LGPD. A ausência de transparência nesses casos compromete a confiança na relação comercial e viola o direito do consumidor à informação adequada.

Adicionalmente, o fornecimento de dados pessoais como pré-requisito para consultar preços ou realizar compras sem que haja justificativa clara e base legal apropriada pode ser considerado abusivo. A prática fere princípios legais e éticos e representa um desrespeito à autonomia do consumidor, que deve poder avaliar as condições de compra antes de decidir compartilhar qualquer dado pessoal.

Outro aspecto que demanda atenção é a forma como as informações sobre a proteção de dados são disponibilizadas aos consumidores. A veiculação dessas informações por meio de QR Codes, que direcionam a textos extensos e de difícil compreensão, não cumpre a exigência legal de comunicação clara, ostensiva e acessível. A linguagem técnica ou excessivamente jurídica, além de inadequada para o público em geral, afasta o consumidor de seu direito à informação.

É dever do estabelecimento apresentar essas informações nos próprios espaços físicos da loja, de forma visível e compreensível. As políticas de privacidade precisam estar ao alcance do consumidor no momento da coleta de dados, e não apenas mediante redirecionamento para documentos digitais que não explicam de modo claro o que está sendo feito com as informações coletadas.

A legislação prevê, ainda, que o titular de dados pessoais pode peticionar diretamente aos responsáveis pelo tratamento ou acionar os órgãos de defesa do consumidor para garantir seus direitos. Isso demonstra que a proteção de dados não se limita à esfera administrativa da ANPD, mas também integra o campo das relações de consumo, sendo passível de fiscalização por Procons e outros entes públicos.

É nesse sentido que iniciativas locais, como normas emitidas por secretarias municipais, ganham relevância. A recente resolução conjunta publicada por dois órgãos da administração municipal de uma capital brasileira traz orientações específicas voltadas às farmácias, promovendo diretrizes claras sobre como o tratamento de dados deve ser realizado com respeito aos princípios legais. A norma estabelece, entre outras medidas, que não se pode condicionar o fornecimento de dados pessoais à consulta de preços, que a informação sobre o tratamento de dados deve ser prestada de forma acessível, e que a concessão de descontos precisa ser efetiva e transparente.

Importa destacar que essas exigências não impedem a coleta legítima de dados para programas de fidelidade, cadastro em clubes de benefícios ou aquisição de medicamentos controlados. O que se busca é assegurar que o consumidor tenha acesso à informação sobre as condições de uso dos dados antes de fornecê-los, podendo optar por aderir ou não a determinada proposta de forma consciente.

O prazo de adequação previsto na norma demonstra que a intenção não é punir o setor, mas sim promover uma transição orientada para o cumprimento da legislação. A medida confere tempo hábil às farmácias para reverem suas práticas, treinarem suas equipes e ajustarem sistemas, de modo a garantir uma experiência de compra que respeite os direitos do consumidor e do titular de dados pessoais.

Portanto, ao assumir uma posição ativa na regulamentação local do tratamento de dados pessoais, o poder público reforça a importância da ética e da responsabilidade nas relações de consumo. A proteção dos dados é, antes de tudo, uma proteção à dignidade do cidadão, e deve ser encarada com seriedade por todos os agentes envolvidos no comércio varejista, especialmente na área da saúde. Trata-se de um caminho necessário para assegurar transparência, segurança e confiança nas relações entre empresas e consumidores.

Publicado em por

DADOS EXPOSTOS? ENTENDA SEUS DIREITOS E MEDIDAS POSSÍVEIS SEGUNDO A LGPD

Na última semana, veio a público um incidente de segurança que comprometeu uma fornecedora de tecnologia responsável pela integração de instituições financeiras ao sistema Pix. O ataque cibernético, que desviou valores expressivos de contas vinculadas ao Banco Central, revelou vulnerabilidades profundas nas engrenagens técnicas que sustentam o sistema financeiro nacional.

Diferentemente de falhas pontuais em aplicativos ou sistemas isolados, esse tipo de incidente atinge estruturas de infraestrutura que deveriam ser protegidas por padrões elevados de segurança, supervisão e governança. O acesso indevido ocorreu por meio de uma brecha explorada na integradora tecnológica, afetando diretamente contas utilizadas para liquidações financeiras entre instituições e o Banco Central.

Embora o impacto inicial tenha se concentrado em contas institucionais, é necessário reconhecer o potencial reflexo sobre usuários finais. Instabilidades em sistemas de pagamento, eventuais bloqueios operacionais e o possível comprometimento de dados transacionais são riscos que não podem ser descartados. Dados operacionais expostos, se não forem corretamente tratados após o incidente, podem ser utilizados de forma fraudulenta em outras esferas do sistema bancário.

Nessas situações, a Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece obrigações objetivas para as organizações envolvidas. Entre elas, está o dever de comunicar prontamente à Autoridade Nacional de Proteção de Dados (ANPD) a ocorrência do incidente, além de, conforme a gravidade, informar os titulares e adotar medidas para mitigar os efeitos do vazamento.

A legislação assegura ainda ao titular o direito de acessar informações sobre o tratamento de seus dados e sobre o incidente ocorrido. É possível, por exemplo, solicitar detalhes sobre a extensão da exposição, os dados afetados e as medidas tomadas para correção e prevenção. O titular também pode solicitar cópias dos dados tratados e exigir revisão de decisões automatizadas que envolvam seus dados pessoais.

Caso haja indício de uso indevido dos dados — como fraudes bancárias, abertura de contas indevidas ou empréstimos não autorizados — o titular pode apresentar reclamação à ANPD e, se necessário, acionar o Poder Judiciário para buscar reparação. Contudo, decisões recentes do Superior Tribunal de Justiça indicam que a simples exposição dos dados, por si só, não gera o dever automático de indenização. É preciso comprovar um dano efetivo e o nexo com o incidente de segurança.

Diante disso, é recomendável que o cidadão que suspeita de envolvimento em um incidente de segurança:

  1. Solicite informações formais à instituição envolvida sobre a possível exposição de seus dados;
  2. Monitore movimentações bancárias e financeiras, com especial atenção a tentativas de fraude;
  3. Formalize reclamação junto à ANPD caso a empresa não forneça os esclarecimentos devidos;
  4. Em caso de dano material ou moral, avalie o ajuizamento de ação judicial com base nos direitos previstos pela LGPD.

A confiança no sistema financeiro digital repousa, em grande parte, na capacidade das instituições de prevenir, detectar e responder de forma transparente a situações como essa. O dever de proteger os dados dos cidadãos permanece, mesmo quando falham os mecanismos de segurança. E é justamente nesse ponto que os direitos do titular devem ser plenamente respeitados e exercidos.

Publicado em por

O QUE DIZ A LEI SOBRE O USO DOS SEUS DADOS PELAS INTELIGÊNCIAS ARTIFICIAIS

A difusão das plataformas de inteligência artificial generativa tem transformado significativamente a interação dos usuários com as tecnologias digitais. Desde sua adoção em larga escala, modelos como o ChatGPT, desenvolvidos por empresas americanas, destacam-se pela capacidade de fornecer respostas coerentes e precisas, conquistando rapidamente usuários em diversas regiões, incluindo o Brasil.

Por outro lado, modelos provenientes da China chamaram a atenção inicialmente por sua eficiência técnica, mas também geraram debates relacionados à transferência de dados pessoais para servidores localizados naquele país, levantando questionamentos sobre privacidade e segurança da informação.

O debate sobre regulação e proteção de dados envolvendo essas tecnologias está em constante desenvolvimento. Assim, a reação do público e dos órgãos reguladores varia conforme a origem da plataforma e as práticas adotadas. Independentemente dessas diferenças, é fundamental observar com atenção qualquer transferência de dados pessoais para fora do território nacional, considerando o destino das informações e o cumprimento das normas aplicáveis.

Essa discussão envolve não apenas aspectos regulatórios, mas também questões relacionadas à geopolítica e à regulação do fluxo internacional de dados. Dado que os conflitos entre grandes potências ultrapassam a esfera das normas de proteção de dados, o foco desta análise será restrito à regulação da transferência internacional de dados pessoais, tema relevante para todas as plataformas de inteligência artificial generativa acessíveis no Brasil.

No ordenamento jurídico brasileiro, a transferência de dados pessoais para outros países está submetida à Lei Geral de Proteção de Dados (Lei nº 13.709/2018). Os artigos 33 a 36 estabelecem que esse tipo de transferência só pode ocorrer mediante cumprimento de condições específicas previstas na legislação, como a existência de decisão de adequação da autoridade reguladora, consentimento expresso do titular ou a utilização de cláusulas contratuais padrão aprovadas pela Autoridade Nacional de Proteção de Dados (ANPD).

Em agosto de 2024, a ANPD publicou norma regulamentadora detalhando procedimentos para reconhecimento de países e organismos considerados adequados, assim como para a disponibilização de cláusulas-padrão e avaliação de outras ferramentas regulatórias. Entretanto, mecanismos de transferência previstos na lei que não dependam de regulamentação continuam vigentes, desde que cumpram os requisitos legais.

Cabe destacar que a regulamentação diferencia a coleta internacional de dados, quando a empresa obtém os dados diretamente em outro país, da transferência internacional, que ocorre quando um controlador envia dados sob sua posse para o exterior.

Os sistemas de inteligência artificial generativa mencionados encontram-se sob a vigência da LGPD, o que impõe às empresas responsáveis a observância dos princípios e regras, principalmente quanto à transparência sobre os tratamentos realizados.

Dessa forma, é esperado que os termos de uso e, principalmente, as políticas de privacidade informem claramente quais mecanismos legais fundamentam as transferências internacionais de dados pessoais, conforme o princípio da transparência previsto na legislação brasileira.

Por meio de um estudo recente realizado em parceria com um centro de tecnologia e sociedade, foram avaliadas as práticas de transparência de diversas plataformas de inteligência artificial generativa. A pesquisa identificou que a maioria dos serviços não fornece informações claras sobre os mecanismos utilizados para transferência internacional de dados, tampouco detalha os países que recebem essas informações.

Um exemplo elucidativo é o modelo chinês que, conforme sua política de privacidade, não esclarece adequadamente quais dados pessoais são enviados a servidores locais ou retransmitidos para outras regiões, o que tem gerado questionamentos regulatórios e notificação por autoridades internacionais.

No mesmo sentido, a plataforma americana, embora utilize servidores em território norte-americano para transferência de dados, não tem enfrentado o mesmo grau de questionamento público. Sua política de privacidade também deixa lacunas em relação à explicitação dos mecanismos adotados para a transferência internacional.

Importa mencionar que, ao contrário da China, os Estados Unidos não dispõem de legislação federal específica sobre proteção de dados pessoais nem de autoridade reguladora dedicada ao tema, o que reflete em dificuldades para a celebração e manutenção de acordos internacionais de proteção, como evidenciado por decisões recentes de tribunais europeus.

Os acordos em vigor entre Estados Unidos e União Europeia não têm validade para o Brasil, o que reforça a necessidade de observância rigorosa da legislação nacional para todas as transferências internacionais de dados.

Ao analisar as demais plataformas avaliadas, verifica-se que o quadro de insuficiência de transparência e conformidade regulatória é generalizado, independentemente do país de origem.

Por mais que algumas dessas tecnologias ainda não recebam ampla atenção do público, o tema da proteção de dados merece constante monitoramento pelas autoridades brasileiras. A percepção pública acerca da segurança das informações parece estar mais relacionada a fatores culturais e políticos do que a uma avaliação técnica aprofundada.

A preocupação com a coleta e transferência internacional de dados pessoais não é nova. Desde o final do século passado, temas ligados ao controle de dados financeiros e, atualmente, ao uso intensivo de informações pessoais em dispositivos móveis, evidenciam a relevância da proteção de dados.

A inovação tecnológica amplifica o alcance do monitoramento, aumentando a exposição dos titulares a riscos relacionados à privacidade e à segurança, especialmente em um contexto de compartilhamento internacional de informações entre empresas privadas e entes governamentais.

Diante disso, é fundamental que a sociedade e os órgãos reguladores no Brasil mantenham atenção contínua sobre todas as plataformas tecnológicas operantes no país, exigindo cumprimento rigoroso das normas de proteção de dados pessoais. É importante evitar julgamentos baseados apenas na origem geográfica das empresas ou em sua popularidade, priorizando critérios técnicos e legais para assegurar a proteção dos direitos dos titulares.

Publicado em por

A POLÍTICA DE PRIVACIDADE COMO INSTRUMENTO DE TRANSPARÊNCIA ORGANIZACIONAL

A Política de Privacidade é, muitas vezes, tratada como um item obrigatório para constar no rodapé do site da empresa. No entanto, sua função vai muito além de atender à formalidade: trata-se de um documento que deve refletir a forma como a organização se relaciona com os dados pessoais que coleta, utiliza, compartilha e armazena.

É comum encontrarmos políticas repletas de termos jurídicos, genéricos e pouco acessíveis. Esse tipo de redação pode até satisfazer a análise de um advogado, mas não atende ao principal interessado: o titular dos dados. A Lei Geral de Proteção de Dados Pessoais (LGPD) é clara ao exigir que as informações sejam prestadas de forma simples, acessível e adequada ao público-alvo. Se a política não é compreendida por quem a lê, ela falha no seu objetivo principal.

Por isso, a primeira pergunta que qualquer empresa deveria se fazer é: nós mesmos conseguimos entender a nossa política? Ela está escrita para facilitar a vida do consumidor ou para demonstrar tecnicidade? Clareza, coerência e objetividade são valores que devem conduzir a redação desse documento.

Além disso, limitar a política ao ambiente digital é um erro comum. As práticas de privacidade devem ser aplicadas em todas as interações com dados pessoais: no atendimento presencial, em contratos físicos, em comunicações por telefone e até mesmo nas rotinas internas dos colaboradores. Transparência não é apenas uma exigência legal — é uma demonstração de respeito com quem confia seus dados à sua empresa.

Políticas genéricas ou desatualizadas transmitem uma mensagem de desorganização. Mais do que cumprir uma norma, é preciso demonstrar alinhamento entre discurso e prática. Uma boa política de privacidade comunica valores, reforça a confiança e torna a organização mais preparada para lidar com as responsabilidades que envolvem o tratamento de dados.

Revisar esse documento com regularidade, adaptá-lo à realidade operacional da empresa e garantir que ele seja acessível a todos os públicos é um compromisso com a transparência.