LEI GERAL DE PROTEÇÃO DE DADOS - LGPD

Lei 13.709/2018

Conheça os detalhes da lei e o que muda no seu negócio.

INTRODUÇÃO A Lei Geral de Proteção de Dados, sancionada
em agosto de 2018, entrou em vigor em
setembro de 2020. A lei determina as
obrigações que empresas e organizações
possuem diante da coleta, armazenamento,
tratamento e compartilhamento de dados
pessoais, tanto online quanto offline.

O Brasil agora faz parte dos mais de 120 países

que possuem lei específica para a proteção de
dados pessoais. O objetivo da lei é proteger
os direitos fundamentais de liberdade e de
privacidade e o livre desenvolvimento da
personalidade da pessoa natural. A lei prevê
multas e penalidades consideráveis no caso de
não cumprimento dos requisitos impostos na lei.

Neste e-book você conhecerá as principais

características da Lei Geral de Proteção de
Dados e o que muda no seu negócio.
SEGURANÇA DA Carta de Direitos Fundamentais da União Europeia
reconheceu em seu Art. 8º a Proteção de Dados
como um direito autônomo, destacado do Direito à
INFORMAÇÃO E Privacidade (Art. 7º).

PRIVACIDADE Modelo europeu de proteção de dados:

Tutela da privacidade no sentido de proteção dos dados
pessoais é um direito fundamental (Regulamento Geral
de Proteção de Dados – GPDR).

Modelo norte-americano de proteção de dados:

Tutela da privacidade no sentido de proteção dos
dados pessoais não configura um direito fundamental.
A abordagem norte-americana tem um aspecto mais
prático, mais voltado para a solução e proteção de
situações específicas, que culminam em legislações
separadas para cada uma delas.

Modelo brasileiro de proteção de dados:

A proteção dos dados pessoais no sistema jurídico
brasileiro se aproxima do modelo europeu, pois
reconhece seu status de direito fundamental.
DO QUE DISPÕE A LEI GERAL DE PROTEÇÃO DE PADRONIZAÇÃO DE NORMAS
DADOS? Estabelecer regras únicas e harmônicas sobre
Tratamento de dados pessoais por pessoas tratamento de dados pessoais, por todos os
naturais ou jurídicas (públicas e privadas). agentes e controladores que fazem tratamento
e coleta de dados.
QUAIS SEUS PRINCIPAIS OBJETIVOS?
• Proteção à privacidade; SEGURANÇA JURÍDICA
• Assegurar o direito à privacidade e à Fortalecer a segurança das relações jurídicas e
proteção de dados pessoais dos usuários, por a confiança do titular no tratamento de dados
meio de práticas transparentes e seguras, pessoais, garantindo a livre iniciativa, a livre
garantindo direitos fundamentais; concorrência e a defesa das relações comerciais
• Transparência; e de consumo.
• Estabelecer regras claras sobre tratamento
de dados pessoais. FAVORECIMENTO À CONCORRÊNCIA
Promover a concorrência e a livre atividade
DESENVOLVIMENTO econômica, inclusive com portabilidade de dados.
Fomentar o desenvolvimento econômico e
tecnológico.
DEFINIÇÕES RELEVANTES

Dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

Dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião
política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado
referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa
natural;

Dado anonimizado: dado relativo a titular que não possa ser identificado, considerando a utilização
de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento;

Banco de dados: conjunto estruturado de dados pessoais, estabelecido em um ou em vários locais,

em suporte eletrônico ou físico;

Consentimento: manifestação livre, informada e inequívoca pela qual o titular concorda com o
tratamento de seus dados pessoais para uma finalidade determinada;

Titular: pessoa natural a quem se referem os dados pessoais que são objeto de tratamento;
DEFINIÇÕES RELEVANTES

Controlador: pessoa natural ou jurídica, de direito público

ou privado, a quem competem as decisões referentes ao
tratamento de dados pessoais;

Operador: pessoa natural ou jurídica, de direito público ou

privado, que realiza o tratamento de dados pessoais em nome
do controlador;

Encarregado: pessoa indicada pelo controlador e operador

para atuar como canal de comunicação entre o controlador,
os titulares dos dados e a Autoridade Nacional de Proteção de
Dados (ANPD).
DIREITOS DO TITULAR
• Confirmação da existência de tratamento;

• Acesso aos dados;

• Correção de dados incompletos, inexatos ou desatualizados;

• Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em

desconformidade com o disposto na LGPD;

• Portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de
acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial;

• Eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses
previstas no art. 16 da LGPD;

• Informação das entidades públicas e privadas com as quais o controlador realizou uso
compartilhado de dados;

• Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da

negativa;

• Revogação do consentimento.
DA AUTORIDADE NACIONAL DE PROTEÇÃO
DE DADOS (ANPD) E SUAS COMPETÊNCIAS
• Zelar pela proteção dos dados pessoais, nos • Solicitar, a qualquer momento, às entidades
termos da legislação; do poder público que realizem operações
de tratamento de dados pessoais informe
• Zelar pela observância dos segredos comercial específico sobre o âmbito, a natureza dos
e industrial, observada a proteção de dados dados e os demais detalhes do tratamento
pessoais e do sigilo das informações quando realizado, com a possibilidade de emitir
protegido por lei ou quando a quebra do sigilo parecer técnico complementar para garantir o
violar os fundamentos do art. 2º da LGPD; cumprimento da LGPD;

• Fiscalizar e aplicar sanções em caso • Editar regulamentos e procedimentos sobre

de tratamento de dados realizado em proteção de dados pessoais e privacidade, bem
descumprimento à legislação, mediante processo como sobre relatórios de impacto à proteção
administrativo que assegure o contraditório, a de dados pessoais para os casos em que o
ampla defesa e o direito de recurso; tratamento representar alto risco à garantia
dos princípios gerais de proteção de dados
• Apreciar petições de titular contra controlador pessoais;
após comprovada pelo titular a apresentação de
reclamação ao controlador não solucionada no • Ouvir os agentes de tratamento e a sociedade
prazo estabelecido em regulamentação; em matérias de interesse relevante e prestar
contas sobre suas atividades e planejamento;
DA AUTORIDADE NACIONAL DE PROTEÇÃO
DE DADOS (ANPD) E SUAS COMPETÊNCIAS
• Realizar auditorias, ou determinar sua realização, no âmbito da atividade de fiscalização de que
trata o inciso IV e com a devida observância do disposto no inciso II do caput deste artigo, sobre o
tratamento de dados pessoais efetuado pelos agentes de tratamento, incluído o poder público;

• Comunicar às autoridades competentes as infrações penais das quais tiver conhecimento;

• E muitas outras mais...

FISCALIZAÇÃO E SANÇÕES
• Advertência, com indicação de prazo para adoção de medidas corretivas;
• Multa simples, de até 2% (dois por cento) do faturamento da pessoa jurídica de direito privado,
grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total,
a R$ 50.000.000,00 (cinquenta milhões de reais) por infração;
• Multa diária;
• Publicização da infração após devidamente apurada e confirmada a sua ocorrência;
• Bloqueio dos dados pessoais a que se refere a infração até a sua regularização;
• Eliminação dos dados pessoais a que se refere a infração;
• Suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período
máximo de 6 (seis) meses, prorrogável por igual período, até a regularização da atividade de
tratamento pelo controlador;
• Suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a
infração pelo período máximo de 6 (seis) meses, prorrogável por igual período;
• Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dado.
 Due Diligence sobre dados pessoais:
Identificação dos dados (pessoal, sensível, criança, público,
anonimizado), departamentos, meios (físico ou digital), operadores
internos e externos para mensuração de exposição da empresa à
LGPD.
BASICAMENTE,
Auditoria sobre o tratamento de dados:
O QUE A Aderência das 20 atividades de tratamento (art. 5º, X) de dados
(coleta, controle, eliminação, etc.) aos princípios gerais previstos
EMPRESA no Art. 6º da LGPD, mediante revisão e criação de documentos
(contratos, termos, políticas) para uso interno e externo.

DEVE FAZER? Gestão do consentimento e anonimização:

Controle do consentimento e anonimização para atender possível
solicitação do titular e da futura agência.

Gestão dos pedidos do titular:

Criação de banco de dados para controle dos pedidos dos titulares
dos dados (acesso, confirmação, anonimização, consentimento,
portabilidade etc).
 Relatório de impacto:
Atendimento à ANPD e demais órgãos do Sistema Nacional de
Proteção do Consumidor que poderá solicitar ao controlador
relatório de impacto à proteção de dados pessoais.

BASICAMENTE, Segurança dos dados:

Adoção das medidas de segurança da informação aptas a proteger
O QUE A os dados pessoais de acessos não autorizados e de situações
acidentais ou ilícitas.

EMPRESA Governança do tratamento:

Criação de regras de boas práticas e de governança que
DEVE FAZER? estabeleçam procedimentos, normas de segurança, ações
educativas e mitigação de riscos no tratamento de dados pessoais.

Plano de comunicação – Incidente de segurança:

Comunicação aos órgãos fiscalizatórios (Autoridade Nacional de
Proteção de Dados - ANPD, Programa de Proteção e Defesa do
Consumidor - Procon, Conselho Administrativo de Defesa Econômica
- Cade) e à imprensa sobre incidente de segurança que acarrete
risco ou dano.
 Validação do término do tratamento:
Adoção das providências necessárias à eliminação dos dados
tratados e verificação de eventual conservação dos dados com a
BASICAMENTE, elaboração de documentos que evidenciem a eliminação.

O QUE A Certificação:
Certificação por auditoria especializada das práticas relacionadas
EMPRESA à LGPD.

DEVE FAZER? Data Protection Officer (Encarregado):

Identificação do encarregado (Pessoa Física ou Jurídica) e sua
capacitação para exercer as atividades previstas na LGPD.

Prevenção de conflitos:
Inclusão de uma cláusula compromissória de mediação vinculada
à câmara privada online cadastrada no CNJ (ou similar) para
mitigação do contencioso judicial
COMO NÓS ESTAMOS?
• 85% das empresas declararam que não estão prontas
para a LGPD (Serasa Experian, 2019);

• 69% dos indivíduos consultados na América Latina

dizem estar preocupados com a segurança de seus dados
pessoais (Unisys Security Report, 2019);

• O Brasil foi o segundo colocado no aumento do nível de

preocupação mundial com segurança de dados de 2018
para 2019 (Unisys Security Report, 2019);

• 43% é a probabilidade, no Brasil, de se enfrentar

violações de dados, sendo o mais provável dos países
pesquisados (IBM, 2019);

• O impacto financeiro sobre uma empresa que sofre

vazamento de dados pode chegar a um custo médio total
de US$ 1,24 milhão no Brasil (IBM, 2019).
A LGPD SE
Independe:
• Do setor econômico
• Do tamanho da base de dados
APLICA À MINHA • Se a base de dados é digital ou física

EMPRESA? Implica a rotina e práticas de governança de diversos

setores do negócio:
• Jurídico
A LGPD impacta diretamente todos • Tecnologia da Informação
os negócios independentemente do • Contabilidade
seu tamanho ou do segmento em • Recursos Humanos
que atuam - que acessam, coletam • Marketing
ou tratam dados de pessoas físicas, • Comercial
tanto no meio digital quanto no meio • Compliance
físico.
Envolve relações com:
• Clientes
• Prestadores de serviços
• Fornecedores de produtos
• Funcionários, colaboradores, terceirizados
• Parceiros de negócios
 INSTRUMENTOS
PARA ADEQUAÇÃO

• Assessment para empresas já em operação: • Capacitação interna de equipe com Código de

submeter a uma avaliação técnica e jurídica Conduta.
que localize os pontos que estão gerando
desconformidade à proteção de dados; • Medidas a serem adotadas em caso de vazamento
de dados.
• Testes, providências, revisões, auditorias e
conformidades técnicas. • Políticas de privacidade para usuários.

• Cláusulas de NDA que prevejam proteção de dados. • Políticas tratamento de dados para serem seguidas
por terceirizados (integrantes do contrato).
• Contratos com fornecedores.
• Termos de uso.
• Contratos com clientes.
• Manual de Boas práticas e governança em proteção
• Contratos de RH. de dados.
PILARES

Jurídico Tecnologia da Informação

Consultoria Jurídica Plataforma Onetrust

Análise de Privacidade (Situação Atual) Firewall – Segurança de Perímetro
Legislação de Privacidade Proteção de Endpoint (Desktop, Notebook e
Impacto da Privacidade no Negócio Mobile)
Análise de Contratos, Termos de Consentimento Firewall de Banco de Dados
Treinamentos Firewall de Aplicação – WAF
Cofre de Senhas
Processos Gestão de Acesso
Analise de Vulnerabilidade
Entrevista com as áreas Pentest
Mapeamento dos processos SOC – Security Operation Center
Mapeamento das aplicações PSI – Política de Segurança da Informação
Mapeamento dos dados pessoais digitais
www.fecomercio-ce.com.br