Proteção de Dados Pessoais Conformidade com a LGPD. Compliance em Proteção de Dados e Segurança da Informação

Transcrição

1 Proteção de Dados Pessoais Conformidade com a LGPD Compliance em Proteção de Dados e Segurança da Informação

2 Electronic Numerical Integrator and Computer - ENIAC Compliance em Proeção Proteção de Dados e Segurança da Informação

3 Privacidade Informacional Privacidade vs. Proteção de Dados Pessoais Amplitude muito maior da proteção de dados pessoais em relação ao direito à privacidade Privacidade: Respeito à vida privada, vida familiar, recato do lar e de sua correspondência Proteção a Dados Pessoais: Proibição de processamento inapropriado de informações. Protege os direitos afetados pelo fluxo de informações, tais como, direito ao emprego, à família, à liberdade de expressão e a vida econômica. Compliance em Proeção Proteção de Dados e Segurança da Informação

4 Atividade de Risco Tratamento de Dados Possíveis problemas decorrentes do tratamento de dados ou da violação ao direito à privacidade Inibição decorrente de observação e monitoramento; Profiling e predestinação: A partir da agragação e processamento de informações; Possível distorção da realidade: Imprecisão das ferramentas de analytics; Discriminação; Exclusão (redlining); Perda de controle sobre o fluxo de informação que diz respeito ao titular dos dados; Limitações à escolha, ensimesmamento. Compliance em Proteção de Dados e Segurança da Informação

5 Regulação em Tensão Desenvolvimento da Sociedade Proteção dos Titulares de Dados Soluções Criativas Baseadas em Dados Direito à Privacidade NOVO Compliance em Proteção Proeção de Dados e Segurança da Informação PARADIGMA

6 E como uma norma dessa natureza, faz isso? Por onde as normas começam? As leis protegem os dados para proteger as pessoas... COMPLIANCE Compliance em SOB Proteção Proeção MEDIDA de Dados e Segurança da Informação

7 O que as normas protegem? I. Dado pessoal - dado relacionado à pessoa natural identificada ou identificável, inclusive números identificativos, dados locacionais ou identificadores eletrônicos, quando estes estiverem relacionados a uma pessoa; Personal Data or PII data pertaining to a identified or identifiable natural person, including by means of registration numbers, locational data or electronic identifiers, whenever those relate to a person; II. Tratamento de dados pessoais - toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração. DADO ANÔNIMO - ANONIMIZADO OU DE-IDENTIFICADO DADO PESSOAL DADO SENSÍVEL Compliance em Proteção de Dados e Segurança da Informação

8 O NÃO VOCÊ JÁ TEM O tratamento de dados pessoais é uma atividade de risco. Há tensão entre o desenvolvimento tecnológico/econômico e os direitos dos titulares de dados. A legislação de proteção de dados limita o tratamento para buscar equilibrar interesses e direitos envolvidos. A restrição ao tratamento torna-se a regra. Compliance em Proteção Proeção de Dados e Segurança da Informação

9 COM CHEGAR AO SIM? A LGPD traz condições para que seja possível o tratamento de dados pessoais: Requisitos (bases de legitimação); Princípios; Direitos dos Titulares; Controles e Governança. Compliance em Proteção Proeção de Dados e Segurança da Informação

10 Bases de Legitimação de Tratamento (Requisitos) A LGPD autoriza o tratamento de dados pessoais nas seguintes hipóteses: Consentimento do titular; Cumprimento de obrigação legal ou regulatória pelo controlador; Execução de políticas públicas pela Administração Pública; Realização de estudos por órgão de pesquisa (anonimização sempre que possível); Execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados; Compliance em Proteção de Dados e Segurança da Informação

11 Bases de Legitimação de Tratamento (Requisitos) A LGPD autoriza o tratamento de dados pessoais nas seguintes hipóteses: Exercício regular de direitos em processo judicial, administrativo ou arbitral; Proteção da vida ou da incolumidade física do titular ou de terceiro; Tutela da saúde, em procedimento realizado por profissionais da área da saúde ou por entidades sanitárias; Interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; Proteção do crédito, inclusive quanto ao disposto na legislação pertinente. Compliance em Proteção de Dados e Segurança da Informação

12 Direitos dos Titulares de Dados Confirmação da existência de tratamento; Acesso aos dados; Correção de dados incompletos, inexatos ou desatualizados; Anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou em desacordo com a LGPD; Portabilidade dos dados; Eliminação dos dados pessoais tratados com o consentimento do titular; Informação das entidades com as quais o controlador realizou uso compartilhado de dados; Informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; Revogação do consentimento; Revisão de decisões automatizadas. Compliance em Proteção de Dados e Segurança da Informação

13 Princípios Finalidade Realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades; Adequação Compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento; Necessidade Limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados; Livre acesso Garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais; Qualidade dos dados garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento; Compliance em Proteção de Dados e Segurança da Informação

14 Princípios Transparência Garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial; Segurança Utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão; Prevenção Adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais; Não discriminação Impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos; Responsabilização e prestação de contas Demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas. Compliance em Proteção de Dados e Segurança da Informação

15 Controles para o Tratamento de Dados Pessoais Segurança desde a Concepção e Sigilo; Boas Práticas e Governança; Nomeação de Encarregado (DPO); Relatórios de Impacto à Proteção de Dados (DPIA); Comunicação de Incidentes que Envolvam Dados Pessoais; Limitação ao Uso de Dados Pessoais Sensíveis; Requisitos para transferência internacional (e.g Normas Corporativas Globais/Cláusulas-Padrão). Compliance em Proteção de Dados e Segurança da Informação

16 CONFORMIDADE EM QUATRO CAMADAS Controles e Governança Direiro dos Titulares Não Sim Princípios Requisitos para Tratamento Compliance em Proteção de Dados e Segurança da Informação

17 DIRETIVA 95 GDP R Desmistificando o GDPR GDPR: Compliance COMPLIANCE em Proteção Proeção SOB de MEDIDA Dados e Segurança da Informação

18 OUTBOUND (Você afeta a Europa) Efeitos no Brasil Escopo Territorial do GDPR Processador/Controlador Estabelecidos na UE. Oferta de bens e serviços intencional a titulares de dados que se encontrem na UE. Monitoramento de sujeitos de dados que se encontrem na UE. GDPR: Compliance COMPLIANCE em Proteção Proeção SOB de MEDIDA Dados e Segurança da Informação

19 Compliance em Proteção de Dados Pessoais Sob Medida Manter Inventário e Fluxos de Dados (Data Mapping) Manter e gerir inventário de dados pessoais, com a devida classificação destes, bem como o controle de seus fluxos nos sistemas e processos das organizações; Manter Estrutura de Governança Atribuir responsabilidades (verticais e horizontais) no que respeita ao cumprimento das obrigações estabelecidas pelo MCI; Manter Política Interna de Privacidade Política que aponta para os colaboradores as práticas da companhia; Manter Política de Privacidade Externa. Revisada periodicamente. Voltada a clientes; Manter Programa de Treinamento e Awareness Colaboradores treinados de acordo com a Política Interna de Privacidade. Compliance emsob Proteção Medida de Dados e Segurança da Informação

20 Compliance em Proteção de Dados Pessoais Sob Medida DPIA Elaboração de Relatório de Impacto à Privacidade ( RIP ); Os chamados relatórios de impacto a privacidade são previsto tanto da GDPR, quanto na LGPD. Relatórios (pretéritos) poderão ser solicitados pelo regulador a qualquer tempo (em casos de data breach ou outro tipo de investigação). O RIP levará em conta a natureza, forma, contexto e finalidades do tratamento de dados pessoais realizado no UH com relação aos hóspedes e produzirá relatório descritivo-analítico que indicará: (i) as operações de tratamento; (ii) as fontes e inventários de dados; (iii) proporcionalidade entre operação e os dados coletados; (iv) avaliação de riscos e sugestão de tratamento ideal e mitigação. Segurança da Informação Específica para Proteção de Dados Compliance em Proteção sob Medida de Dados e Segurança da Informação

21 Alcance Regulação que tem efeitos em cadeia. Compliance em Proteção Proeção de Dados e Segurança da Informação

22 Leis de Proteção de Dados são, em geral, a bit... Monitoramento e Relacionamento E é o regulador quem faz a modulação... COMPLIANCE Compliance em SOB Proteção Proeção MEDIDA de Dados e Segurança da Informação

23 Confianç a Muito mais do que regras... Muito mais do que uma lei... NOVO Compliance em Proteção de Dados e Segurança da Informação PARADIGMA

24 COLOCANDO A REPONSABILIDADE PELA CONFIANÇA EM QUEM PROVOCA O RISCO "an obligation or willingness to accept responsibility or to account for one's actions". - "the obligation of an individual or organization to account for its activities, accept responsibility for them, and to disclose the results in a transparent manner - NOVO Compliance em Proteção Proeção de Dados e Segurança da Informação PARADIGMA

25 The Paper Chase Disclose Results... COMPLIANCE Compliance em SOB Proteção MEDIDA de Dados e Segurança da Informação