Novas regras
para a proteção de dados
Entrevista exclusiva com a advogada Patricia Pech Pinheiro reforça as responsabilidades das empresas com a entrada em vigor da Lei 13.709, a Lei Geral de Proteção de Dados (LGPD)
A partir de agosto de 2020, entra em vigor a Lei 13.709, também conhecida como Lei Geral de Proteção de Dados (LGPD), que regulamenta o tratamento de dados pessoais de clientes e usuários por parte de empresas públicas e privadas. “Deve haver um cuidado redobrado para proteção dos dados pessoais de modo a evitar vazamentos, visto que é outro aspecto que pode implicar na aplicação de multa elevada”, alerta a advogada Patricia Peck Pinheiro, sócia e head de Direito Digital no PG Advogados. Graduada e Doutora pela Universidade de São Paulo (USP), com PhD em Direito Internacional, Peck é ainda pesquisadora convidada do Instituo Max Planch de Hamburgo e Munique, e da Universidade de Columbia, nos EUA. Confira abaixo entrevista exclusiva para o Central em Notícias:
Central em Notícias – Como Lei de Proteção de Dados (Lei nº 13.709/18) e as alterações trazidas pelas MPs 869/2018 e 870/2019 impactam nas organizações?
Patricia Peck: Por conta da Lei 13.709 que passa a vigorar em agosto de 2020, todas as empresas, associações e cooperativas que realizam tratamentos de dados precisam rever seus processos e práticas no nível técnico, jurídico e comportamental. São regras que valem tanto para grandes companhias quanto para pequenas empresas, e devido à complexidade de adequações, exigem planejamento estratégico na gestão dos dados.
Alguns aspetos das operações são mais diretamente impactados, como na questão do uso de recursos de Telemarketing, email marketing e unbound marketing. Visto que os dados pessoais devem ser tratados para as finalidades expressamente e explicitamente informadas. Logo, a abordagem comercial precisa estar bem alinhada, com verificação inclusive da legitimidade da origem da base de dados, para evitar uma denúncia no tocante ao uso indevido ou ilícito, que é um dos tipos de violações previstos.
Além disso, deve haver um cuidado redobrado para proteção dos dados pessoais de modo a evitar vazamentos, visto que é outro aspecto que pode implicar na aplicação de multa elevada. E neste tocante, em geral, as instituições devem buscar uma proteção técnica, mas também uma proteção contratual, visto que há muito compartilhamento de dados pessoais com fornecedores e parceiros.
Logo, um ponto de partida fundamental é a identificação do inventário de dados pessoais e a elaboração da matriz de tratamento de dados associando as categorias, com as finalidades e com as bases legais que justificam o tratamento dos dados pessoais.
É fundamental cumprir com o princípio da transparência, atendendo alguns artigos prioritários da Lei, como os artigos 5, 6, 7, 8, 9, 10, 18, 48, 50, 52.
Ou seja, as preocupações devem girar em torno de aplicar práticas que sigam a legislação, que vão desde o uso de softwares para proteção dos dados armazenados até a gestão do consentimento dos clientes para uso das informações pessoais.
Central – Quais as medidas que as organizações precisam adotar para atender as novas regras?
Peck: Como toda nova lei, há necessidade de revisão de procedimentos e atualização documental considerando desde políticas até cláusulas contratuais.
Isso passa pelo mapeamento e fluxo dos dados pessoais – por onde entram (formas de captura), onde ficam armazenados, quais os controles aplicados, se há compartilhamento com terceiros (inclusive dentro do próprio grupo), se há internacionalização (como pode ocorrer no uso de serviços de cloud) até como é feita a sua eliminação (que deverá atender a padrões de descarte seguro).
Também é preciso investir na mudança de cultura, para ensinar mais sobre comportamento seguro no tratamento de dados pessoais e promover um Programa Educativo voltado para orientar o comportamento de equipes e de terceiros, conforme exigido pelo artigo 50 da LGPD.
Pergunta – Quanto pode ser o valor da multa para descumprimento da legislação?
Peck: As punições vão de um advertência a multas diárias de até 2% do faturamento da companhia ou do grupo econômico (com limite de 50 milhões de reais no total por infração). Ou seja, se houver mais de uma infração pode ser aplicado valor de multa superior ao teto de R$ 50 milhões. Isso pode ocorrer quando se identifica, por exemplo, um vazamento de informações e que não havia medidas administrativas e técnicas de proteção de dados pessoais adequadas e a empresa ainda compartilhava informações com terceiros sem avisar isso claramente para os titulares. Aí neste caso, serão 3 infrações.
Mesmo com o risco financeiro, o maior prejuízo para ocorrências deste tipo, no entanto, é na reputação do negócio. O impacto reputacional pode ser até mais catastrófico que uma multa. É preciso não só estar preparado para atender a lei, como também para minimizar os efeitos, já que toda empresa, independentemente do porte, está sujeita a um vazamento de dados.
Central– Por que as empresas precisam investir em segurança cibernética?
Peck: Investir na segurança cibernética passou a ser medida de proteção do negócio, do patrimônio e da reputação da empresa.
As empresas que souberem tomar proveito da conformidade à LGPD podem se diferenciar do ponto de vista reputacional junto aos usuários e isso se tornar inclusive uma vantagem competitiva, já que é uma regulamentação desenvolvida para harmonizar as relações, aumentar o grau de transparência e contribuir com a cibersegurança. O propósito é estimular a inovação, a partir de regras claras e controles mínimos de segurança, para facilitar a atração de investimentos e contribuir com o crescimento econômico do país.
Vivemos novos tempos, onde a transformação digital não é apenas tecnológica. É um resgate de valores, da retomada da ética e da transparência como práticas fundamentais para garantir a inovação sustentável e segura.
Central - Como essa segurança deve ser tratada internamente nas corporações?
Peck: Para atingir níveis satisfatórios e adequados com as regras de cibersegurança é necessário cumprir uma jornada do compliance em Privacidade e Proteção de Dados e investir em três pilares: soluções tecnológicas, revisão de contratos e procedimentos e capacitação da equipe. Envolve um trabalho de gestão de riscos por contratos (especialmente os relacionados aos terceirizados) e aplicação de soluções de segurança da informação.
Este último quesito deve incluir investimentos para a mudança comportamental, ao estabelecer uma cultura de segurança e prevenção, como já foi dito, com o treinamento de funcionários, transparência nos processos de coleta de dados. Não basta ter a tecnologia, é preciso educar na prevenção de riscos, visto que muitos dos incidentes de vazamentos envolvem falhas comportamentais. Por isso, a relevância de se implementar mecanismos de disseminação de cultura de segurança com medição de resultados apuráveis.
São programas de capacitação e conscientização em segurança da informação com avaliação periódica de pessoal, além do comprometimento da alta administração com a melhoria contínua dos procedimentos de segurança cibernética, o que deve ser interpretado não apenas como um documento assinado pro forma, mas na participação efetiva e na presença das lideranças também nos programas de conscientização. Ainda é muito comum realizar campanhas de segurança em que participam as equipes mas não as chefias, ou que a presença não é obrigatória.
Central – Quais as orientações básicas das empresas do mercado financeiro para os seus usuários?
Peck: Para que a legislação de Proteção de Dados possa realmente alcançar uma maior efetividade, é necessário realizar campanhas educativas, conscientizar o usuário, principalmente quanto ao seu papel de aplicar as melhores práticas de segurança digital.
Todo indivíduo é um titular de dados pessoais e, portanto, tem direitos e deveres. Conhecer as novas regras contribui muito na prevenção, visto que cada pessoa pode ajudar também na proteção. De um lado, cada um pode exigir que a lei seja cumprida e denunciar quem não está em conformidade, de outro, também é uma obrigação do usuário seguir as recomendações de segurança para evitar os incidentes.
Dentre elas, as mais básicas são: usar uma senha forte, bloquear os dispositivos com senha, não compartilhar senhas com terceiros, evitar salvar senhas em aplicações no módulo automático, ter sempre um bom antivírus e antispyware atualizados, realizar as atualizações das aplicações (e não deixar para mais tarde), ler os termos de uso e políticas de privacidade e segurança.
