LGPD

1. [
E-BOOK]
[
LEI GERAL DA
PROTEÇÃO DE DADOS:
tudo o que você precisa saber

2. Vamos falar sobre:
1. Introdução������������������������������������������������������������������������������ 3
2. LGPD: principais perguntas e respostas������������������������������������������� 4
3. O que muda com a LGPD?������������������������������������������������������������ 7
4. O que a LGPD diz sobre armazenamento de dados?���������������������������10
5. Como se adequar à LGPD?����������������������������������������������������������13
6. Conclusão������������������������������������������������������������������������������16

3. 3
1. Introdução
A Lei Geral de Proteção de Dados (LGPD) é uma lei federal,
sancionada ainda no governo Michel Temer em 2018. O texto
institui um marco regulatório da proteção de dados pessoais e
privacidade no Brasil.
No entanto, após uma série de debates no Congresso Federal,
ficou determinado que as sanções administrativas e multas
previstas na LGPD só entrarão em vigor a partir de 1º de agosto
de 2021.
Antes da implementação da LGPD no Brasil, o uso indevido dos
dados não tinha uma legislação específica, sendo monitorados
pelos fundamentos normativos do direito à vida e intimidade.
Com a entrada da lei em vigor, multas gigantescas serão
emitidas contra empresas que não cumprem as normas do
regulamento. As empresas consideradas culpadas pelo uso
indevido de dados podem ser multadas em até R$ 50 milhões
ou 2% do faturamento anual, nos piores cenários possíveis.
O regulamento visa dar às pessoas maior poder sobre seus
dados e tornar as empresas mais transparentes na forma como
lidam com os dados pessoais. Mas como isso afeta a gestão da
sua empresa?
Se adequar à LGPD pode ser uma tarefa complexa. Para
te ajudar nessa jornada, fizemos este material! Aqui, você
entenderá quais são os princípios da nova lei, o que você precisa
fazer para se adequar e quais são as tecnologias e ferramentas
que te ajudarão pelo caminho!
Acompanhe abaixo e boa leitura!
De acordo com a pesquisa feita pela Serasa Experian
em 2019, 85% das empresas declararam não estarem
preparadas para assegurar o tratamento de dados
conforme as previsões da LGPD. Em um levantamento
feito em março de 2020 pela mesma empresa, mostra
que 84% das empresas ainda não estão totalmente
adequadas a lei.

4. 4
4
Fundamentalmente, na era da internet, quase todos os
aspectos da nossa vida giram em torno de dados. De
empresas de mídia social a bancos, construtoras, varejistas
e governos, quase todos os serviços que usamos envolvem
a coleta e a análise de nossos dados pessoais. Seu nome,
endereço, número de cartão de crédito e mais todos coletados,
analisados e, talvez mais importante, armazenados pelas
organizações.
Na sua essência, a LGPD é um novo conjunto de regras
destinadas a dar aos cidadãos brasileiros mais controle sobre
esses dados pessoais que são usados pelas organizações. O
objetivo é simplificar o enquadramento regulamentar das
empresas, para que tanto os cidadãos como as empresas
possam se beneficiar plenamente da economia digital.
2. LGPD: principais
perguntas e respostas
“toda informação relacionada a uma pessoa natural
identificada ou identificável, ou seja, qualquer informação
que identifique ou possa identificar uma pessoa, tais como
nomes, números, códigos de identificação, endereços.”
Para isso, a LGPD considera dados pessoais como:

5. 5
A LGPD aplica-se a qualquer organização que opere dados em
três casos, sendo:
• quando os dados pessoais forem coletados no Brasil;
• quando os dados sejam relacionados a indivíduos localizados
no território brasileiro;
• quando tiver por objetivo a oferta de produtos e/ou serviços
ao público brasileiro.
Isso significa que sua empresa precisará estar pronta antes
que as sanções administravas entrem em vigor, ou seja: quanto
antes, melhor.
2.2. A quem a LGPD se aplica?
Violações de dados acontecem inevitavelmente. As
informações são perdidas, roubadas ou liberadas nas
mãos de pessoas que nunca tiveram deveriam vê-
las — e essas pessoas geralmente não possuem as
melhores intenções.
Sob os termos da LGPD, as organizações não somente
terão que garantir que os dados pessoais sejam coletados
legalmente e sob condições restritas, mas aqueles que
coletarem e gerenciarem os dados serão obrigados a
protegê-los do uso indevido e da exploração, bem como a
respeitar os direitos dos proprietários de dados — ou enfrentar
penalidades por não fazê-lo.
2.1. O que é a conformidade com a LGPD?

6. 6
Existem dois tipos diferentes de manipuladores de dados
aos quais a legislação se aplica: operadores e controladores.
As definições de cada um estão estabelecidas no artigo 5.º da Lei
Geral de Proteção de Dados.
Um controlador é “pessoa natural ou jurídica, de direito
público ou privado, a quem competem as decisões
referentes ao tratamento de dados pessoais”, enquanto o
operador é “pessoa natural ou jurídica, de direito público ou
privado, que realiza o tratamento de dados pessoais em nome
do controlador”.
Há também o conceito de titular dos dados, “pessoa natural
a quem se referem os dados pessoais que são objeto de
tratamento”.
2.3. Quem são controladores
e operadores?
O controlador e o operador não precisam ser
especialistas na área de TI. Mas, para que o
processamento seja feito de forma adequada,
com segurança, recomenda-se que os dados
sejam cuidados por profissionais de tecnologia
ou fornecedores reconhecidos em serviços de
compliance e gestão de riscos.
Fale com um dos nossos especialistas em compliance
SABER MAIS

7. 7
Embora os princípios-chave da privacidade de informação ainda se mantenham fiéis à diretiva anterior de direito à vida
e individualidade, muitas mudanças foram propostas para englobar o tratamento dos dados na era da internet, são elas:
3. O que muda com a LGPD?
3.1. Aumento do escopo territorial 3.2. Penalidades em caso de violação
Indiscutivelmente, a maior mudança no panorama regulatório
da privacidade de dados vem com a jurisdição estendida
da LGPD, uma vez que se aplica a todas as empresas que
processam os dados pessoais coletados no Brasil ou de
residentes brasileiros, mesmo que sejam tratados no exterior.
A Lei Geral de Proteção de Dados torna a sua aplicabilidade
muito clara: aplica-se ao tratamento de dados pessoais
por parte de controladores e processadores no Brasil,
independentemente de o processamento ser feito aqui ou não.
Ela se aplica, também, ao tratamento de dados pessoais de
titulares no Brasil por um responsável pelo tratamento ou
subcontratante não estabelecido no país - quando as atividades
dizem respeito a produtos/serviços brasileiros.
Organizações que violem a Lei Geral de Proteção de Dados
podem ser multadas em até 2% do faturamento global anual,
ou até R$50 milhões (o que for maior). Esta é a multa máxima,
imposta para as infrações mais graves, como, por exemplo, não
ter o consentimento suficiente do cliente para processar dados
ou em caso de vazamento de dados sensíveis.
As sanções administrativas e multas previstas na
LGPD só entrarão em vigor a partir de 1º de agosto
de 2021.
Adiamento das penalidades para 2021

8. 8
Demais penalidades:
Advertência, com indicação de prazo para
adoção de medidas corretivas;
Publicização da infração após devidamente
apurada e confirmada a sua ocorrência;
Bloqueio dos dados pessoais correspondentes à
infração até a sua regularização;
Eliminação dos dados pessoais correspondentes
à infração;
É importante observar que essas regras se
aplicam tanto aos controladores quanto aos
operadores — o que significa que as “nuvens”
não estão isentas da fiscalização da Lei Geral
de Proteção de Dados.
3.3. Consentimento ao tratamento
dos dados
As condições de consentimento foram fortalecidas, e
as empresas não podem mais usar termos e condições
longos e ilegíveis. O pedido de consentimento deve
ser dado de uma forma clara e de fácil acesso, com
o propósito de processamento de dados anexado.
Da mesma forma, o consentimento deve ser
distinguível de outros assuntos, e ser fornecido de
uma forma compreensível e de fácil acesso, usando
linguagem simples. Ou seja, deve ser tão fácil pedir o
consentimento quanto fornecê-lo.
3.4. Direitos do titular dos dados
1. Notificação de violação;
2. Direito ao acesso;
3. Direito de exclusão de dados;
4. Portabilidade de dados;
Ao titular dos dados, é concedido quatro direitos
principais:

9. 9
Parte dos direitos expandidos dos titulares de dados
delineados pela LGPD é a confirmação do responsável pelo
tratamento de dados — se estão ou não processando dados
pessoais relativos aos mesmos, e em caso positivo, onde e com
que finalidade.
Além disso, o responsável pelo tratamento deve fornecer
gratuitamente uma cópia dos dados pessoais em formato
eletrônico. Esta mudança é drástica na transparência de
dados e no empoderamento dos titulares.
DIREITO AO ACESSO
O titular tem o direito de solicitar a exclusão dos seus
dados pessoais, interrompa a disseminação deles e,
potencialmente, terceiros suspendam o processamento dos
dados.
As condições para a exclusão incluem os dados que não são
mais relevantes para propósitos originais de processamento,
ou um titular de dados que retira o consentimento. No
entanto, é preciso observar os casos em que a exclusão fica
impossibilitada por outros motivos.
DIREITO DE EXCLUSÃO DE DADOS
A Lei Geral de Proteção de Dados introduz a portabilidade,
ou seja, o direito de um titular receber os dados pessoais
ou pedir a transferência a outro fornecedor de serviço ou
produto.
A LGPD só entra em vigor em agosto de 2020, contudo,
o quanto antes sua empresa começar a se adequar mais
fácil será a adaptação ao cumprimento das normas.
PORTABILIDADE DE DADOS
Sob a LGPD, as notificações de ataques são, agora,
obrigatórias quando uma violação de dados é susceptível
de “resultar em um risco para os direitos e liberdades dos
indivíduos”.
A notificação deve ser feita, primeiramente, às autoridades
responsáveis.Os processadores também são obrigados a
notificar os titulares atingidos, em prazo razoável, após tomar
conhecimento de uma violação de dados.
NOTIFICAÇÃO DE VIOLAÇÃO

10. 10
A LGPD define dados pessoais como a informação
relacionada a uma pessoa natural identificada ou
identificável — ou seja, qualquer informação que identifique
ou possa identificar uma pessoa, tais como nomes, números,
códigos de identificação, endereços etc.
A lei dispõe sobre todos os pontos do tratamento de
dados, que inclui a operação realizada com as informações,
como coleta, recepção, classificação, utilização e, claro,
armazenamento.
Apesar de todos os fatores serem importantes para garantir
conformidade digital e evitar multas, o armazenamento de
dados é um dos que ganha mais destaque.
4. O que a LGPD diz sobre
armazenamento de dados?
Basicamente, existem dois pontos
no armazenamento de dados que
exigem a atenção das organizações:
1. Acessibilidade dos dados;
2. Segurança dos dados
10

11. 11
4.1. Acessibilidade dos dados 4.2. Segurança dos dados
Como falamos, a LGPD institui o direito do titular de ter acesso
a como seus dados estão sendo tratados, solicitar correções,
exclusão ou transferências de armazenamento a outro
fornecedor de serviço ou produto. Isso significa que você deve
ser capaz de pesquisar, alterar ou excluir dados sob demanda.
Ter todos esses dados concentrados em um único local e de fácil
acesso, agiliza esse processo.
Você também deve estar pronto para fornecer a ele uma lista
completa dos dados pessoais que você processa ou armazena,
assim como a base legal para armazenar os dados.
A capacidade de excluir dados também ajudará caso a empresa,
como um controlador de dados (pessoa jurídica com poder
de decisão sobre o uso dos dados), termine um contrato com
um operador (pessoa jurídica que efetivamente realiza o
tratamento dos dados).
Nesse caso, todos os dados devem ser removidos do banco
de armazenamento e o processador tem que fornecer prova
suficiente de que eles foram excluídos.
Outro ponto-chave da conformidade com a LGPD é a
segurança de dados. A lei não declara diretamente como
você deve proteger os dados e as políticas de segurança
exatas, mas reforça a importância de tomar todas as
precauções necessárias para evitar uma possível violação.
Você deve adotar medidas de segurança com a finalidade de
garantir a proteção dos dados pessoais contra acessos não
autorizados e situações acidentais, ou até mesmo ilícitas. No
caso de incidentes, a lei também dispõe sobre os passos a serem
tomados.
Se uma violação de dados ocorreu, você deve contatar as
autoridades em prazo razoável, além de entrar em contato com
todos os titulares afetados pela violação. Se os arquivos
vazados tiverem seus nomes criptografados e você tiver
certeza de que nenhum titular foi afetado, só é preciso entrar
em contato com as autoridades.

12. 12
Ao criptografar os dados, você dificulta o acesso não
autorizado, no entanto, lembre-se de que até mesmo o
nome de alguns arquivos pode ser um problema em uma
violação de dados.
Isso acontece quando o conteúdo de um arquivo
é criptografado, mas o próprio nome dele revela
informações pessoais, como um nome ou número
de conta. Você pode criptografar nomes de arquivo
também, mas ainda será necessário conseguir encontrar
os dados, excluí-los e alterá-los.
CRIPTOGRAFIA DE DADOS
12

13. 13
5.1. Fazer um inventário de seus dados e in-
vestigar seu status de segurança atual
O primeiro passo é saber o que você tem: fazer um inventário e
investigar seus dados para saber quais dados sua empresa detém
que se encaixam na jurisdição da LGPD. Você precisará entender e
demonstrar sua compreensão das informações que sua empresa ou
os operadores que trabalham pra ela armazenam.
Por exemplo, nomes, endereços, endereços IP, dados bancários,
etc. Isso também inclui dados sensíveis, como exibições religiosas e
detalhes de integridade. Será preciso demonstrar que entende de
onde eles vêm e como a empresa os utiliza.
Para quem usa (ou pensa em usar) ferramentas de colaboração
como o Microsoft 365, este será um passo mais fácil. Além
da ferramenta já estar adequada aos princípios da nova lei, o
Microsoft 365 facilita o mapeamento dos dados e a revisão das
suas políticas de tratamento de dados, nosso próximo passo.
O grande segredo para se
adequar à LGPD é conseguir
fornecer os direitos que a
lei garante aos titulares dos
dados.
Mas como garantir que sua
empresa (controladora) e os
operadores que lidam com
seus dados cumpram esses
requisitos? Vamos dar algumas
dicas de como se adequar à
LGPD a seguir:
5. Como se
adequar à
LGPD?

14. 14
5.2. Projetar, desenvolver e entregar uma
política de privacidade completa e clara
5.3. Ajustar seus controles de privacidade
para alinhar com a LGPD
É aconselhável escrever uma política de privacidade clara
que os consumidores possam realmente ler e entender, pois
é importante fornecer um aviso claro aos clientes sobre a
finalidade da coleta dos dados.
Na política, você deve indicar claramente as informações
específicas que estão sendo coletadas ou solicitadas de seus
clientes, uma vez que eles devem ter a opção de fornecê-las ou
não. Além disso, lembre-se de que você deve marcar claramente
todos os dados coletados com sua finalidade específica.
Sua política de privacidade também se estende a qualquer outra
organização que possa receber, manipular e processar os dados
de seus clientes. Portanto, eles se tornam automaticamente
responsáveis em conjunto se houver alguma violação de dados.
A LGPD exige que as empresas revisem os controles de
privacidade e proteção de dados para garantir a incorporação
em qualquer sistema novo ou existente que envolva dados
pessoais de cidadãos brasileiros ou coletados em território
nacional.
Você pode se encontrar trabalhando sem processos definidos
formalmente para projetar e construir um novo ambiente.
Contudo, é preciso definir um processo abrangente que pode
ser usado por outras funções de negócios.
Uma vez construídos, sua empresa deve treinar usuários de TI e
outras áreas de negócios dentro da organização para incorporar
o controle e tratamento correto dos dados.

15. 15
5.4. Garantir que sua empresa e os operadores
armazenam os dados de forma segura
De acordo com a LGPD, os dados pessoais devem ser mantidos em
segurança — esta é provavelmente a maior questão de risco para
todas as organizações. Tanto os controladores de dados quanto os
operadores precisam implementar medidas técnicas e organizacionais
adequadas para garantir um nível de segurança adequado ao risco.
Em termos de avaliação do nível apropriado de segurança, os riscos
apresentados pelo processamento devem ser considerados, em
particular, de destruição acidental ou ilegal, perda, alteração, divulgação
não autorizada ou acesso a dados pessoais transmitidos, armazenados ou
processados de outra forma.
Medidas como uso de proxy e firewalls sempre foram essenciais para
controlar o acesso aos segredos de negócios da empresa. Agora,
mais do que nunca, é preciso garantir que agentes externos não acessem
também os dados pessoais armazenados.
Ferramentas como um Firewall de próxima geração garantem segurança
extra em relação aos firewalls de gerações anteriores, com a incorporação
no appliance do Sistema de Prevenção de Intrusão (IPS) e do Sistema de
Detecção de Intrusão (IDS).
Falando de modo geral, uma violação de dados é qualquer questão de
segurança que exponha os dados pessoais. Se houver uma violação (ou
suspeita), ela deverá ser informada a um regulador em prazo razoável.
Principais objetivos em caso de violação de dados
Impedir a propagação / perda de dados;
Impedir futuras violações.
Dado o prazo apertado de relatórios, será
imperativo agir rapidamente com todos os
aspectos de como lidar com uma violação
de dados.
Reverter a violação ou minimizar seus efeitos;
Identificar riscos decorrentes da violação;
Entrar em contato com as partes apropriadas
— a LGPD afirma que também pode ser
necessário informar os indivíduos que foram
afetados por uma violação da violação;

16. 16
A LGPD torna problemático, e talvez impossível, armazenar backups
em disco. Qualquer pessoa que tenha lidado com backups de dados
nesses formatos sabe como seria difícil encontrar, alterar, excluir ou
recuperar dados do usuário em questão sob demanda.
Por isso, é recomendável começar a mover seus arquivos para
o armazenamento em nuvem, com ferramentas como o Azure, da
Microsoft.
Ao contrário dos dispositivos de armazenamento
tradicionais, em que as informações são guardadas em um formato
físico, no Azure todos os dados na ficam alocados virtualmente em
servidores, o que permite acessá-los de qualquer computador que
tenha uma conexão à Internet.
Quando os dados são armazenados na nuvem, os dados do servidor são
distribuídos pelos servidores redundantes, e são salvaguardados
contra qualquer tipo de falha de hardware. Além disso, o Azure também
fornece backups periódicos automatizados para garantir mais segurança.
É preciso unir tecnologias, processos e pessoas para garantir a
adequação à Lei. Além das ferramentas já citadas, a plataforma
Microsoft 365 oferece um conjunto de funcionalidades para auxiliar na
conformidade com a legislação o quanto antes, de maneira simplificada.
6. Conclusão
A BHS possui especialistas em segurança de dados
para te ajudar em todo o processo de adequação à
Lei Geral de Proteção de Dados. Precisa de ajuda?
Fale com a gente agora mesmo!
FALE COM A BHS
16

17. 17
ACESSE MAIS CONTEÚDOS
Comercial 4000-1429
comercial@bhs.com.br
[
E-BOOK]
[