O documento discute quando um dado é considerado pessoal, afirmando que depende muito do contexto. Primeiro, analisa se o nome fantasia de uma pessoa jurídica é um dado pessoal, concluindo que depende se é de um MEI, candidato político ou outra situação. Em seguida, define o que são dados pessoais segundo a LGPD e discute a identificabilidade. Por fim, enfatiza que o contexto do tratamento é fundamental para determinar se um dado é pessoal.

1. Quando um dado é
considerado pessoal?
(Há mais coisa entre o céu e a
terra do que sugere a sua
governança de dados)
24 de Março de 2021

2. 2
Sobre a Apresentação
—
Tema: Reflexão sobre quando um
dado é pessoal ou não
Agenda:
1. Nome Fantasia é um Dado Pessoal?
2. Quando um Dado é Considerado Pessoal?
3. A LGPD é sobre Dados Pessoais?
4. Contexto é Tudo!

3. Nome Fantasia
é um
Dado Pessoal?

4. 4
O que é Nome Fantasia?
—
https://facilite.co/nome-fantasia/

5. 5

6. 6
MEI
—
Razão social (nome
empresarial) é o nome
registrado que individualiza
uma PJ para exercer suas
atividades.
Possui regra de formação:
NOME + CPF
Outros atributos podem ser
dados pessoais: CNPJ,
endereço, nome fantasia
etc

7. 7
Candidato a Cargo Político
—
Nome empresarial: Eleição + Ano da Eleição + Nome do Candidato + Cargo Eletivo
Sensível

8. 8
Classificação Estática Conservadora (MCS)
—
Metadados Centralizados do SERPRO
● Mais de 280k tabelas
● Mais de 3 milhões de atributos
● Diversas bases
● Classificação manual
Problema:
Como classificar estaticamente o nome
fantasia e atributos da pessoa jurídica?

9. Quando um
Dado é
Considerado
Pessoal?

10. 10
Dado Pessoal
—
Informação relacionada a pessoa
natural identificada ou
identificável
(LGPD)

11. 11
Classificação Geral
—
Pseudonimização vem de “Pseudônimo” ou omissão parcial e reversível da identidade para um certo escopo: Identificável

12. 12
Exemplos de Dados Pessoais
—
Nome
CPF
Endereço
Foto (crachá)
Cartão de
Crédito
Etnia
Religião
Foto (vigilância)
Biometria
Saúde
Filiação Política
Localização
Histórico de
Compras
Cliques
Rating
Preferências
Cookies

13. 13
Anonimização e Pseudonimização
—
considerando a utilização de
meios técnicos razoáveis e
disponíveis na ocasião de
seu tratamento (LGPD)

14. 14
Exemplo de Anonimização
—

15. 15
Exemplo de Pseudonimização
—

16. 16
Anonimização e Pseudonimização
—

17. 17
Grau de Identificabilidade (Tons de Cinza)
—

18. A LGPD é
sobre Dados
Pessoais?

19. 19
Foco da LGPD: Os Tratamentos
—
Esta Lei dispõe sobre o
tratamento de dados pessoais,
inclusive nos meios digitais …
(LGPD)

20. 20
LGPD x Governança de Dados (SERPRO)
—
LGPD
Privacidade
Compliance
Referência
Governança
de Dados
Rentabilização
Datacêntrico
Metadados
Qualidade de Dados
Oportunidades
Compartilhamentos
Classificação

21. 21
Lição Aprendida: O RAT (art. 37) RoPA (GDPR)
—
Art. 37. O controlador e o
operador devem manter registro
das operações de tratamento de
dados pessoais que realizarem,
especialmente quando baseado no
legítimo interesse.
Equipe Multidisciplinar
Processo de Negócio
(Escopo de Negócio)
Registro de
Atividades de
Tratamento
1. Definir o escopo de negócio
2. Elaborar um RAT dos tratamentos

22. 22
Contexto do Tratamento
—

23. Contexto
é Tudo!

24. 24
Fatores de Identificabilidade (Contextos)
—

25. 25
Contexto Exemplo 1: Nome Fantasia
—
MEI
?
O Nome Fantasia é um
Dado Pessoal?
Dado Pessoal
Sim
Político
?
Não
Dado Pessoal
Sensível
Sim
Dado Não
Pessoal
Não
Qual tipo de dado?
1. Cadastro da DEMAC (RFB)?
2. Cadastro do TSE?
3. Cadastro dos pipoqueiros?

26. 26
Anonimização por Redução
—
Hash de
Senha

27. 27
Contexto Exemplo 2: Covid 19
—
Redução

28. 28
Questões sobre o Contexto 2
—
1. Os dados de percentual são pessoais?
2. Foram usados dados pessoais no processo?
3. O tratamento realizado foi legal (LGPD)?
4. A publicação pela mídia foi legal (LGPD)?

29. 29
Dado Pessoal
—
Informação relacionada a pessoa
natural identificada ou
identificável
(LGPD)

30. 30
Regra Geral (com muitas exceções!)
—
identificada
identificável
Dado Pessoal
Depende do
Contexto

31. 31
Depende
—
Afinal, quando um
dado é considerado
pessoal?
DEPENDE!
Consultor
Depende de pessoas
que analisem o contexto

32. Obrigado
Débora Modesto
Superintendência de Digitalização da Receita Federal
Douglas Siviotti
Superintendência de Privacidade e Proteção de Dados