Segurança da informação e a reviravolta da LGPD

Nos últimos meses os termos GDPR e LGPD ficaram sob os holofotes. Isto porque são regulamentações que impactam negócios e consumidores. Ou seja, a sociedade como um todo está sob suas diretrizes.

O GDPR, lei de proteção de dados da União Europeia, entrou em vigor em maio de 2018 e serviu de base para inúmeras outras regulações em todo o mundo. Inclusive para a Lei Geral de Proteção de Dados (LGDP) brasileira, a qual adiciona características locais.

Aprovada em agosto do último ano, a LGDP é um avanço. Entretanto, ao se tratar de Brasil e segurança da informação, deve-se ter em mente que apenas a adoção de soluções de ponta não garante a adequação à lei, bem como a proteção das ameaças.

Sendo assim, com a Lei Geral de Proteção de Dados brasileira, todas as empresas de pequeno, médio e grande porte terão que investir em cibersegurança e implementar sistemas de compliance efetivos para prevenir, detectar e remediar violações de dados pessoais, já que a lei prevê que a adoção de política de boas práticas será considerada como critério atenuante das penas, que podem chegar a 50 milhões de reais.

De acordo com o advogado Renato Opice Blum, considerado uma das sumidades em Direito Digital, Proteção de Dados e Educação Digital no Brasil, “o consentimento do uso de dados deve ocorrer de forma livre, informada e inequívoca do indivíduo, expressando sua concordância com o tratamento de suas informações pessoais para uma finalidade determinada”.

“Tudo que for mais adequado para se proteger do ponto de vista técnico e contratual será levado em conta em uma situação de vazamento de dados”, elucida Opice Blum. Isto significa que mesmo fazendo tudo que estava ao seu alcance, houve o vazamento.

Já a utilização do processo de anonimização, técnica que afasta a possibilidade de associação ao indivíduo sem possibilidade de reversão, é uma alternativa prevista na LGPD. Esta pode ser utilizada para dispensar o consentimento do titular dos dados pessoais objeto de tratamento – neste caso, o indivíduo não tem um rosto, o que torna mais fácil proteger sua identidade.

Profissionais e Autoridade Nacional de Proteção de Dados

Dentro dessa nova realidade, caberá as empresas também nomear seu Encarregado de Proteção de Dados (DPO – Data Protection Officer), que terá como principal atividade o monitoramento e disseminação das boas práticas em relação à proteção de dados pessoais perante funcionários e contratados no âmbito da empresa, assim como será a interface com a Autoridade Nacional de Proteção de Dados (ANPD), criada em dezembro/2018.

A ANPD é constituída como órgão da administração pública federal integrante da Presidência da República. Dentre suas principais atribuições, destacam-se o estabelecimento de padrões técnicos, a avaliação de cláusulas e jurisdições estrangeiras no que tange a proteção de dados, a determinação para a elaboração de Relatórios de Impacto, a fiscalização e aplicação de sanções, atividades de difusão e educação sobre a lei, e demais atribuições que visam a correta aplicação da lei e os princípios da proteção de dados pessoais como um todo.

Por ter sido anunciada quatro meses após a LGDP, houve adiamento da data de vigência da regulamentação. De um lado é positivo, pois as empresas terão um prazo maior para traçar e implementar um programa eficaz de segurança cibernética.

*Waldo Gomes é diretor de marketing e relacionamento da NetSafe Corp