COMPLIANCE DIGITAL Aspectos Jurídicos da Segurança da Informação no Contexto do Direito do Trabalho. Camilla do Vale Jimene

Transcrição

1 COMPLIANCE DIGITAL Aspectos Jurídicos da Segurança da Informação no Contexto do Direito do Trabalho Camilla do Vale Jimene

2 INTRODUÇÃO Existe legislação específica para o ambiente eletrônico? A Internet é um novo território ou apenas um meio de praticar atos jurídicos? O que está no mundo virtual pode fazer prova no mundo real?

3 INTRODUÇÃO MEDIDA PROVISÓRIA 2.200/2001: Instituiu ICP-Brasil; LEI /2006: dispõe sobre a informatização do processo judicial; LEI 8069/1990: tipificou o crime de pornografia infantil por meio de sistema da Internet; LEI 9.983/2000: tipificou o crime de inserção de dados falsos em sistemas de informações; LEI 12551/2011: incluiu na CLT o teletrabalho; LEI 12737/2012: tipificou o crime de invasão de sistemas (Carolina Dieckmann); DECRETO 7962/2013: regulamentou o comércio eletrônico; LEI /2014: Marco Civil da Internet; LEI /2015: Novo Código de Processo Civil dispõe documento eletrônico como prova; LEI /2015: programa de combate ao bullying; DECRETO 8771/2016: regulamentou o Marco Civil da Internet.

4 DEFINIÇÃO - ATO LESIVO LEI N.º 12846/2013 Art. 5 o Constituem atos lesivos à administração pública, nacional ou estrangeira, para os fins desta Lei, todos aqueles praticados pelas pessoas jurídicas mencionadas no parágrafo único do art. 1 o, que atentem contra o patrimônio público nacional ou estrangeiro, contra princípios da administração pública ou contra os compromissos internacionais assumidos pelo Brasil, assim definidos: I - prometer, oferecer ou dar, direta ou indiretamente, vantagem indevida a agente público, ou a terceira pessoa a ele relacionada; II - comprovadamente, financiar, custear, patrocinar ou de qualquer modo subvencionar a prática dos atos ilícitos previstos nesta Lei; III - comprovadamente, utilizar-se de interposta pessoa física ou jurídica para ocultar ou dissimular seus reais interesses ou a identidade dos beneficiários dos atos praticados; IV - no tocante a licitações e contratos: a) frustrar ou fraudar, mediante ajuste, combinação ou qualquer outro expediente, o caráter competitivo de procedimento licitatório público; (...) c) afastar ou procurar afastar licitante, por meio de fraude ou oferecimento de vantagem de qualquer tipo; V - dificultar atividade de investigação ou fiscalização de órgãos, entidades ou agentes públicos, ou intervir em sua atuação, inclusive no âmbito das agências reguladoras e dos órgãos de fiscalização do sistema financeiro nacional

5 PROGRAMA DE INTEGRIDADE DECRETO 8420/2015 Art. 41. Para fins do disposto neste Decreto, programa de integridade consiste, no âmbito de uma pessoa jurídica, no conjunto de mecanismos e procedimentos internos de integridade, auditoria e incentivo à denúncia de irregularidades e na aplicação efetiva de códigos de ética e de conduta, políticas e diretrizes com objetivo de detectar e sanar desvios, fraudes, irregularidades e atos ilícitos praticados contra a administração pública, nacional ou estrangeira. Art. 42. Para fins do disposto no 4o do art. 5o, o programa de integridade será avaliado, quanto a sua existência e aplicação, de acordo com os seguintes parâmetros: II padrões de conduta, código de ética, políticas e procedimentos de integridade, aplicáveis a todos os empregados e administradores, independentemente de cargo ou função exercidos; III padrões de conduta, código de ética e políticas de integridade estendidas, quando necessário, a terceiros, tais como, fornecedores, prestadores de serviço, agentes intermediários e associados; XII procedimentos que assegurem a pronta interrupção de irregularidades ou infrações detectadas e a tempestiva remediação dos danos gerados; IV - treinamentos periódicos sobre o programa de integridade

6 CENÁRIO TECNOLÓGICO ATUAL TODOS OS ATOS LESIVOS PREVISTOS NA LEI PODEM ENVOLVER O USO DE TECNOLOGIA!

7 CONTROLES TECNOLÓGICOS

8 O MONITORAMENTO VIOLA A PRIVACIDADE DOS EMPREGADOS?

9 MONITORAMENTO

10 MONITORAMENTO Prova ilícita. corporativo. Justa Causa. Divulgação de material pornográfico. 1) Os sacrossantos direitos do cidadão à privacidade e ao sigilo de correspondência constitucionalmente assegurados, concernem à comunicação estritamente pessoal, ainda que virtual. Assim, bem assim do próprio endereço eletrônico que lhe é disponibilizado igualmente pela apenas o pessoal ou particular do empregado socorrendo-se do próprio provedor, desfruta de proteção constitucional e legal de inviolabilidade. 2) Solução diversa impõe-se em se tratando de corporativo, instrumento de comunicação virtual mediante o qual o empregado louva-se de terminal e de computador da empresa (...) Ostenta pois natureza jurídica equivalente à de uma ferramenta de trabalho proporcionada pelo empregador ao empregado para consecução do serviço. 3) (...) notadamente o corporativo, não raro sofre acentuado desvio de finalidade, mediante a utilização abusiva e ilegal, de que é exemplo o envio de fotos pornográficas. Constitui assim expediente pelo qual o empregado pode provocar expressivo prejuízo ao empregador.(...) 5) Pode o empregador monitorar e rastrear a atividade do empregado no ambiente de trabalho, em corporativo, isto é, checar suas mensagens, tanto do ponto de vista formal quanto sob o ângulo material ou de conteúdo. Não é ilícita a prova assim obtida, visando a demonstrar justa causa para despedida decorrente do envio de material pornográfico a colega de trabalho. Inexistência de afronta ao art. 5º, incisos X, XII e LVI, da Constituição Federal. (...) (TST)

11 MONITORAMENTO O art. 5º, XII, da CF garante, entre outras, a inviolabilidade do sigilo da correspondência e da comunicação de dados. 2. A natureza da correspondência e da comunicação de dados é elemento que matiza e limita a garantia constitucional, em face da finalidade da norma: preservar o sigilo da correspondência manuscrita, impressa ou eletrônica da pessoa física ou jurídica diante de terceiros. 3. Ora, se o meio de comunicação é o institucional da pessoa jurídica, não há de se falar em violação do sigilo de correspondência, seja impressa ou eletrônica, pela própria empresa, uma vez que, em princípio, o conteúdo deve ou pode ser conhecido por ela. 4. Assim, se o é fornecido pela empresa, como instrumento de trabalho, não há impedimento a que a empresa a ele tenha acesso, para verificar se está sendo utilizado adequadamente. (...) Se o trabalhador quiser sigilo garantido, nada mais fácil do que criar seu endereço eletrônico pessoal, de forma gratuita, como se dá com o sistema gmail do google, de acesso universal. 5. Portanto, não há dano moral a ser indenizado, em se tratando de verificação, por parte da empresa, do conteúdo do correio eletrônico do empregado, quando corporativo, havendo suspeita de divulgação de material pornográfico, como no caso dos autos. (TST)

12 MONITORAMENTO AGRAVO DE INSTRUMENTO EM RECURSO DE REVISTA. DANOS MORAIS. INDENIZAÇÃO. COMUNICAÇÃO ELETRÔNICA. PROGRAMA DE MENSAGEM INSTANTÂNEA (MSN). ACESSO AO CONTEÚDO DAS MENSAGENS ENVIADAS E RECEBIDAS PELOS EMPREGADOS. OFENSA AO DIREITO À INTIMIDADE. VIOLAÇÃO DO SIGILO DA CORRESPONDÊNCIA. ABUSO DO PODER DIRETIVO. (...) 1. O empregador, no âmbito do seu poder diretivo (art. 2º da CLT), pode adotar medidas a fim de assegurar o cumprimento pelos empregados do seu compromisso de trabalho e de proteger a sua propriedade. Deve fazê-lo, contudo, sempre respeitando os direitos fundamentais do trabalhador, dentre os quais está incluído o direito à intimidade. 2. No caso dos autos, é incontroverso que o empregador, na tentativa de recuperar determinado documento, acessou um dos computadores utilizados no ambiente de trabalho e, na oportunidade, fez a leitura das mensagens trocadas entre os reclamantes via MSN, sem a autorização dos mesmos. 3. Tais fatos evidenciam que o poder diretivo foi exercido de forma abusiva, mediante a utilização de práticas que importaram em ofensa ao direito à intimidade e ao sigilo da correspondência, assegurados nos arts. 5º, X e XII, da Carta Magna. 4. Com efeito, a comunicação via MSN - ainda que estabelecida durante o horário de trabalho, por meio de computador fornecido pela empresa -, por ostentar natureza estritamente pessoal, é inviolável, não sendo possível o exercício, pelo empregador, de qualquer tipo de controle material, ou seja, relativo ao seu conteúdo. 5. Nesse contexto, em que os atos praticados pelo empregador não se encontravam dentro de seu poder diretivo, traduzindo-se em violação dos direitos de personalidade dos reclamantes, resta configurado o dano moral passível de indenização. Recurso de revista conhecido e provido. (TST)

13 FUNDAMENTOS LEGAIS EMPREGADOR EMPREGADO Direito de propriedade sobre equipamento (CF, art. 5º, inc. XXII); Direito à privacidade (CF, art. 5º inc. X); Responsabilidade objetiva do empregador (CC, art. 932, inc. III); Poder de direção do empregador (CLT, art. 2º); Obrigação de implementar mecanismos e procedimentos para garantir respeito ao Código de Ética (LAC, art. 7º, inc. VIII). Direito à inviolabilidade da correspondência e das comunicações telegráficas, de dados e telefônicas (CF, art. 5º, inc. XII);

14 COMO CONDUZIR - BYOD?

15 COMO CONDUZIR - TERCEIROS? Terceiros com conta de da tomadora de serviços; Riscos Trabalhistas Reconhecimento Vínculo; Contratos de Prestação de Serviços; Adoção dos mesmos controles; Permissão auditoria a qualquer tempo.

16 DIREITO COMPARADO New Jersey Supreme Court: Blakley x Continental Airlines (2000): o empregador tem o DEVER de monitorar se há suspeita da divulgação de mensagens difamatórias no ambiente de trabalho, sob pena de responsabilidade. CORREO ELECTRONICO. laboral. Uso particular. Importancia como herramienta de trabajo. Privacidad. Necesidad de políticas claras sobre su utilización. DESPIDO CON CAUSA. Improcedencia.

17 DOCUMENTOS OBRIGATÓRIOS PARA LEGITIMAÇÃO Regulamento Interno de Segurança da Informação (RISI) Atribuição de responsabilidades, direitos e expectativas de acesso, penalidades e criação de cultura de proteção aos sistemas Termos de Uso de Sistemas de Informação (TUSI) Legitimação do controle de atividades, e outras considerações visando reforçar a inexistência de expectativa de privacidade, a fim de convalidar a prova obtida por este meio.

18 PRÁTICAS COMPLEMENTARES Treinamentos On Line; Avaliações sobre a aprendizagem; Guarda dos logs de participação; Pop Up ao logar na rede; Código de conduta Intranet.

19 PROVAS ELETRÔNICAS

20 O QUE TEM VALOR PROBANTE? Impressão? Print Screen? Senha? HD? Logs? Ponto Eletrônico? Fotografia Digital?

21 PROBLEMAS Integridade (foi adulterado?) Autenticidade (quem é o autor?) Cadeia de Custódia (qual a forma de coleta?)

22 NOVO CÓDIGO DE PROCESSO CIVIL Art As partes têm o direito de empregar todos os meios legais, bem como os moralmente legítimos, ainda que não especificados neste Código, para provar a verdade dos fatos em que se funda o pedido ou a defesa e influir eficazmente na convicção do juiz. Art A existência e o modo de existir de algum fato podem ser atestados ou documentados, a requerimento do interessado, mediante ata lavrada por tabelião. Parágrafo único. Dados representados por imagem ou som gravados em arquivos eletrônicos poderão constar da ata notarial.

23 NOVO CÓDIGO DE PROCESSO CIVIL Art A utilização de documentos eletrônicos no processo convencional dependerá de sua conversão à forma impressa e da verificação de sua autenticidade, na forma da lei. Art O juiz apreciará o valor probante do documento eletrônico não convertido, assegurado às partes o acesso ao seu teor. Art Serão admitidos documentos eletrônicos produzidos e conservados com a observância da legislação específica.

24 MERA IMPRESSÃO Na fls. 11 dos autos foi juntada impressão de uma página do site norte-americano com a entrada para o serviço de hospedagem de páginas de usuários chamada geocities. Porém, nessa impressão não consta nenhuma evidência de uma página que difamou o autor lá inserida. Nas fls. 13 a 29 há impressão do que seria, segundo o autor, o conteúdo da dita página, chamada Cafajestes Home Page. Porém no canto inferior esquerdo está o endereço eletrônico, que não é da Internet, pois assim consta: file://c:\cjb\cafejestehome Page_arquivos\index.htlm. É de conhecimento de todos que usam computadores e estão com eles um pouco familiarizados que a letra C no início significa que o endereço do arquivo é na unidade C do computador, ou seja, o disco rígido. Assim não há prova alguma que algum dia existiu um site na internet que publicou o conteúdo impresso pelo autor. (TJRS)

25 REDES SOCIAIS Com razão. Não há controvérsia em que o empregado, operando máquina instalada na biblioteca, mediante solicitação dos alunos, procedia na cópia reduzida de subsídio didático passado por professores, de resto providenciando no alcance de material plastificante à confecção de cola destinada a fraudar exames escolares. Inverossímil alegação de que desconhecesse a finalidade por que, reiteradas vezes, eram-lhe requisitadas a redução das cópias e o material plastificante, tanto assim que, fruto de sua atuação, viu-se homenageado por estudantes com a CRIAÇÃO DA COMUNIDADE AMIGOS DO SEU ADEMIR, NO SITE ORKUT, de concorrido acesso na internet (fl. 31). Aos mais de 500 membros da referida comunidade, na fl. 40, assim se dirige o empregado, verbis: Oi galera! Agora tenho minha página no orkut. Peço que vocês entrem, porque se eu tiver de ir atrás de cada um vai levar muito tempo. Valeu, um grande abraço para todos. (...) Dentre outros, são exemplos desses depoimentos, mediante veiculação na referida página da internet. (TRT 4ª R)

26 S

27 PERÍCIA Interna ou externa/judicial ou extrajudicial; Metodologia não invasiva; Preservação dos originais; Conhecimento prévio para adoção das medidas.

28 APREENSÃO DE EQUIPAMENTOS

29 OBRIGADA!

30 Sócia do escritório Opice Blum, Bruno, Abrusio e Vainzof Advogado Associados; Especializada em Direito Digital e suas vertentes; Pós-graduada em Direito Processual Civil pela PUC/SP; Professora do MBA de Direito Eletrônico da EPD Escola Paulista de Direito; Professora convidada da Pós Graduação dos cursos de Tecnologia da Informação e Computação Forense da Universidade Presbiteriana Mackenzie; Professora convidada do MBA de Gestão de Riscos Financeiros, Corporativos e Compliance da FIPE Fundação Instituto de Pesquisas Econômicas; Autora do livro O Valor Probatório do Documento Eletrônico (2010) e coautora de artigos publicados nos livros Educação Digital (2015) e Compliance: A Nova Regra do Jogo (2016).