FAQ – Curso Introdução à LGPD

A ANPD (Autoridade Nacional de Proteção de Dados) divulgará mais informações, mas as empresas precisão ler os artigos da Lei e se adequar ao que está escrito.

As áreas que tiverem mais dados pessoais e com menos controle.
É necessário atenção com áreas que tratam dados sensíveis.

Não existe uma métrica, pois cada empresa tem suas peculiaridades.

Uma estimativa é:

• de 6 a 8 meses para empresas pequenas;
• 1 ano para médias empresas;
• 1 a 2 anos para grandes empresas.

Isso seguindo os passos de um plano de adequação, com levantamento, mapeamento, classificação, relatório de impacto, notificações e processo de requisição dos titulares.

A comercialização de dados não é uma prática legal, mas todas as empresas devem demostrar controles, inclusive para os operadores que estão recebendo os dados do controlador.

São duas coisas diferentes, mas ele precisa sim se adequar às leis trabalhistas, assim como à LGPD.

A LGPD cita quais são as exceções, mas mesmo empresas sem fins lucrativos devem demostrar controles sobre os dados tratados.

Sim.

Eu vejo várias, principalmente passíveis de multa e sanção. Por exemplo, advogados costumam portar processos e contratos em meio físico, havendo violação de dados (uma folha de papel com dados pessoais voando de um processo no meio da rua), ele será responsabilizado.

Há projetos em tramitação para adequação desse tema, então temos que aguardar.

A responsabilidade é sempre do controlador.

Os principais pontos são a segurança jurídica e o dano à marca. Sabemos como é complicado colocar uma marca ou um nome no mercado e perder a reputação por um vazamento de dado exposto na mídia é uma realidade. Outro aspecto é o financeiro, já que nenhuma empresa tem como prever o valor de uma possível multa.

O titular pode questionar qual a finalidade. Caso a finalidade não exija a entrega desses dados para um operador, então é uma violação do controlador (portanto, passível de sanções).

Os fornecedores de cloud serão operadores de uma empresa. É necessário que seja previsto em contrato a obrigação dos controles solicitados em lei, assim como é obrigação do controlador monitorar. A Microsoft recentemente obteve o certificado ISO 27701 de privacidade para seu ambiente em nuvem, isso é uma demonstração de que a Microsoft está buscando ter controles para entregar aos seus clientes.

Boa analogia. A resposta é sim, mas claro que terá ações específicas mencionadas no Art. 41.

Multa de até 2% do faturamento do grupo (limitado a 50 milhões), parada do banco de dados em que houve a violação, chegando até a suspensão da atividade da empresa.

Essa informação consta em toda a lei, mas o capítulo VII é um bom norte para começar a leitura.

Pela lei, é o controlador que tem a responsabilidade de responder ao titular, por isso a necessidade dos profissionais de direito terem esse conhecimento e cuidado na elaboração de contratos.

Quem será responsabilizado será o controlador. Mas isso não impede do controlado, com base no contrato firmado, entrar com uma ação contra o Operador. Por isso a importância de monitorar os operadores e os contratos que foram firmados.

A LGPD é uma lei para evitar que as empresas tratem dados sem ter controles, atendente a finalidade ao qual foi informada.

Ferramentas como as de DLP são muito úteis, mas não existe uma solução única. Assim como não são apenas ferramentas, é necessário um conjunto de pessoas, processos e produtos.

Com a PL 1.179/20 que foi aprovada e convertida na lei 14.010/20, as sanções serão aplicadas só a partir de agosto de 2021.

Hoje está como maio de 2021, mas existe a probabilidade de iniciar esse ano ainda. Aconselho ouvir nosso podcast em https://www.hsbs.com.br/lgpd-em-agosto-de-2020/

O dono do dado pela LGPD é o titular do dado. Os demais citados no exemplo são responsáveis pelo tratamento, mas o dono é o titular.

O hotel é o controlador e a administradora é o operador, mas existe um X na questão: caso o contrato seja feito com a pessoa jurídica da administradora e não do hotel, os papeis se invertem; a administradora passa a ser o controlador e o hotel (espaço físico locado para ser alugado em nome da administradora) passa ser o operador.

Falei sobre isso em um post recente da HSBS: https://www.hsbs.com.br/lgpd-em-agosto-de-2020/

O Art. 50 resume bem isso. “§ 2º - I - implementar programa de governança em privacidade que..” Lá você vai encontrar 8 pontos que devem ser seguidos.

Com a entrada da lei as empresas precisarão demonstrar controles, um desses é ser fiel a finalidade ao qual o dado foi consentido.

Com medidas administrativas ou organizacionais, ou seja, políticas, palestras, mudança de cultura...

Existem várias estratégias. A mais indicada, no meu ponto de vista,  é que em vez de criar um setor jurídico, um setor de compliance e contratar mais gente para a TI, a pequena empresa contrate uma consultoria para implantar e depois um encarregado como serviço (DPOaaS) para manter e ser o canal de comunicação.

O controlador é quem recebeu o consentimento para tratar o dado pelo titular e decidiu o que será feito com esse dado, ao contratar uma empresa para tratar esse dado, essa empresa será o operador, o operador contratando outra empresa ela será o sub-operador.

Cada empresa precisará criar seu processo interno.

Sim. A multa que falamos é por infração, não dar acesso ao titular aos dados é uma infração, o vazamento é outra infração, ou seja, seu exemplo tem no mínimo duas infrações.

Pelo que está escrito na lei é desta forma, mas temos que esperar a ANPD para termos mais direcionamento dessas questões.

É responsabilidade da empresa, ela não tomou medidas administrativas (como evitar esses campos, ter uma política, conscientizar, fazer palestras sobre o assunto e etc...) para evitar esse tipo de violação. A lógica pela lei seria essa, mas é um assunto bem complicado.

A LGPD é um complemento (vamos colocar assim para ser didático). Caso exista alguma legislação que impossibilite essa exclusão, uma legislação trabalhista, por exemplo, a empresa não poderá excluir os dados. Por isso temos que ter cuidado nas bases de tratamento que escolhemos para o dado que será tratado, o consentimento deve ser a última opção.

Sim, deve se preocupar sim. É necessário cobrar contratos e controles desse fornecedor.

A pergunta é: você ainda faz tratamento com base nesses contratos antigos? Se sim, é necessário atualizar.

A ANPD já foi criada com a Lei 13.853/19, mas infelizmente ainda não está em funcionamento. Concordo que o ideal seria iniciar com a autoridade já em funcionamento, infelizmente o que estamos vendo é uma briga grande do legislativo com o judiciário, estamos vendo isso com as MP's e PL's que estão entrando esse ano para alterar a Lei. Aconselho ouvir nosso podcast em https://www.hsbs.com.br/lgpd-em-agosto-de-2020/

São coisas complementares, como falamos. Mesmo pensando em privacidade desde a concepção do serviço, eu posso ter esse serviço sem minimização dos dados pessoais coletados e a privacidade como padrão vem como um complemento.

Com a LGPD em vigor, isso se enquadra em uma violação de dados pessoais. Como você falou, é necessário a criação de controles para evitar esse tipo de violação.

Trabalhar como software pirata por si só é ilegal, isso é, contra a lei. Mas piora com a LGPD em vigor; uma empresa que tem esse tipo de software, está sendo passiva na falta de segurança, pois esse tipo de software não tem patch de segurança, atualizações e etc., ou seja, em caso de um vazamento, a empresa assumiu o risco por ter um software pirata e aumenta a probabilidade de receber uma multa.

Não, ela vem como um complemento. Caso tenha curiosidade, é possível acessar a lei e nela verá algumas referências a outras leis.

Sim, inclusive com abertura de um processo administrativo. O capítulo IV é todo voltado para o poder público.

Qualquer empresa inicialmente precisa saber quais são os dados pessoais que estão sendo tratados e depois atuar com medidas técnicas e administrativas para protegê-los.

O tratamento de dados pessoais de crianças deverá ser realizado com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.

Poderá ser multada em até 2% do faturamento do grupo, limitado a 50 milhões, parada do banco de dados referente a violação, chegando até a parada da atividade da empresa.