LGPD | IMPACTOS NO DIA-A-DIA CORPORATIVO

Nossos Mantras
✓ Não se gerencia o que não se mede, não se mede o que
não se define, não se define o que não se entende, não há
sucesso no que não se gerencia....
Willian E. Deming

12/06/2020 Monitoração Integradas - Monitoração Luz Apagada
LGPD - Lei Geral de Proteção de Dados
❑ CAPÍTULO I - DISPOSIÇÕES PRELIMINARES
❑ Impactos
o Regras específicas para dados pessoais:
✓ Coleta
✓ Uso
✓ Tratamento
✓ Armazenamento
o Todos os setores da economia
✓ Público
✓ Privado
o Relação entre:
✓ Cliente e fornecedores
✓ Comercial transacionais e nacionais
Art. 1º Esta Lei dispõe sobre o TRATAMENTO DE DADOS PESSOAIS, inclusive nos meios
digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo
de proteger os direitos fundamentais de liberdade e de privacidade e o livre
desenvolvimento da personalidade da pessoa natural.
Slide: 3 / 28

Art. 5º Para os fins desta Lei, considera-se:
o Dado Pessoal - toda e qualquer informação
relacionada a uma pessoa natural viva
identificada ou identificável, não se limitando:
❖ Nome
❖ Sobrenome
❖ Apelido
❖ Idade
❖ endereço residencial ou eletrônico,
incluindo dados de localização:
❖ placas de automóvel
❖ perfis de compras
❖ número de Internet Protocol (IP)
❖ dados acadêmicos
❖ histórico de compras
dentre outros.
o Dado Pessoal Sensível – são dados de uma pessoa
natural viva relacionados a características da
personalidade do indivíduo e suas escolhas pessoais:
❖ Origem racial ou étnica
❖ Convicção religiosa
❖ Opinião pública
❖ Filiação a Sindicato
❖ Filiação a organizações religiosas, filosóficas ou
políticas
❖ Saúde
❖ Vida Sexual
❖ Dado genético ou biométrico
Slide: 4 / 28

o Dado anonimizado - são os dados
relativos a um TITULAR que não possam
ser identificados, considerando a
utilização de meios técnicos razoáveis e
disponíveis na ocasião do seu
tratamento.
o Anonimização - utilização de meios técnicos
razoáveis e disponíveis no momento do
tratamento dos dados, por meio dos quais um
dado perde a possibilidade de associação,
direta ou indireta, a um indivíduo.
o Consentimento - Manifestação livre,
informada e inequívoca pela qual o titular
concorda com o tratamento de seus
dados pessoais para uma finalidade
determinada. Não é o único motivo que
autoriza o tratamento de dados, mas
apenas uma das hipóteses e
possibilidade.
o Banco de dados: conjunto estruturado de
dados pessoais, estabelecido em um ou em
vários locais, em suporte eletrônico ou físico;.
o Bloqueio: suspensão temporária de qualquer
operação de tratamento, mediante guarda do
dado pessoal ou do banco de dados;
Slide: 5 / 28

o Eliminação: exclusão de dado ou de conjunto
de dados armazenados em banco de dados,
independentemente do procedimento
empregado;
o Transferência internacional de
dados: transferência de dados
pessoais para país estrangeiro ou
organismo internacional do qual o país
seja membro.
o Uso compartilhado de dados: comunicação,
difusão, transferência internacional,
interconexão de dados pessoais ou tratamento
compartilhado de bancos de dados pessoais
por órgãos e entidades públicos no
cumprimento de suas competências legais, ou
entre esses e entes privados, reciprocamente,
com autorização específica, para uma ou mais
modalidades de tratamento permitidas por
esses entes públicos, ou entre entes privados;
o Relatório de impacto à proteção de dados
pessoais: documentação do controlador que
contém a descrição dos processos de tratamento
de dados pessoais que podem gerar riscos às
liberdades civis e aos direitos fundamentais, bem
como medidas, salvaguardas e mecanismos de
mitigação de risco;
Slide: 6 / 28

o Controlador - pessoa com competência para
tomar decisões referentes ao uso e tratamento
de dados pessoais dos TITULARES de dados
por meio de consentimento ou por hipóteses de
exceção:
❖ Pessoa física / jurídica
❖ Público / Privado
o Operador - pessoa com competência para
realizar qualquer tipo de tratamento de dados
pessoais em nome do Controlador, motivado por
contrato ou obrigação legal:
❖ Pessoa física / jurídica
❖ Público / Privado
o Agentes de Tratamento - São o Controlador e o
Operador
o Titular - pessoa natural viva a quem se referem
os dados pessoais que são objeto de algum tipo
de tratamento.
o Órgão de pesquisa: órgão ou entidade da
administração pública direta ou indireta ou pessoa
jurídica de direito privado sem fins lucrativos
legalmente constituída sob as leis brasileiras, com
sede e foro no País, que inclua em sua missão
institucional ou em seu objetivo social ou estatutário
a pesquisa básica ou aplicada de caráter histórico,
científico, tecnológico ou estatístico; e
o Autoridade nacional: órgão da administração
pública responsável por zelar, implementar e
fiscalizar o cumprimento desta Lei em todo o
território nacional - ANPD
Slide: 7 / 28

o Tratamento de dados - toda operação realizada com dados pessoais, como as que se referem a:
❖ coleta
❖ produção
❖ recepção
❖ Classificação
❖ Utilização
❖ Arquivamento
❖ Armazenamento
❖ Eliminação
❖ avaliação ou controle da
informação
❖ Modificação
❖ Acesso
❖ Reprodução
❖ Transmissão
❖ Distribuição
❖ Processamento
❖ Comunicação
❖ Transferência
❖ difusão ou extração
Ciclo de Vida dos Dados
Gerar /
Coletar
Usar Compartilhar Arquivar Excluir
Rastreabilidade
Crescimento Transformar
Mover
Hierarquizar
Anonimizar
Pseudonimizar
Controle de
Acesso
Comportamento
Direitos de
Acesso
Fuga de Dados
Risco de Acesso
Backup
Criptografia
Reter
Recuperar
Preservar
Auditar
Expirar
Deletar
Destruir
Armazenar
Identificar
Classificar
Armazenar
Preservar
Proteger
Visibilidade
Dark Data
Geração ou Coleta de
dados
Estrutura de Permissões de
Acessos
Regras de Retenção /
Exclusão Slide: 8 / 28

Art. 6º As atividades de tratamento de dados pessoais deverão observar a boa-fé e os seguintes
PRINCÍPIOS:
❖ Finalidade
❖ Adequação
❖ Necessidade
❖ Livre acesso
❖ Qualidade dos dados
❖ Transparência
❖ Segurança
❖ Prevenção
❖ Não discriminação
❖ Responsabilização
❖ Prestação de contas
I - finalidade: realização do tratamento para propósitos legítimos, específicos,
explícitos e informados ao titular, sem possibilidade de tratamento posterior de
forma incompatível com essas finalidades;
II - adequação: compatibilidade do tratamento com as finalidades informadas ao
titular, de acordo com o contexto do tratamento;
III - necessidade: limitação do tratamento ao mínimo necessário para a
realização de suas finalidades, com abrangência dos dados pertinentes,
proporcionais e não excessivos em relação às finalidades do tratamento de
dados;
IV - livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a
forma e a duração do tratamento, bem como sobre a integralidade de seus dados
pessoais;
Slide: 9 / 28

PRINCÍPIOS:
❖ Finalidade
❖ Adequação
❖ Necessidade
❖ Livre acesso
❖ Transparência
❖ Segurança
❖ Prevenção
V - qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância
e atualização dos dados, de acordo com a necessidade e para o cumprimento da
finalidade de seu tratamento;
VI - transparência: garantia, aos titulares, de informações claras, precisas e
facilmente acessíveis sobre a realização do tratamento e os respectivos agentes
de tratamento, observados os segredos comercial e industrial;
VII - segurança: utilização de medidas técnicas e administrativas aptas a
proteger os dados pessoais de acessos não autorizados e de situações
acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;
VIII - prevenção: adoção de medidas para prevenir a ocorrência de danos em
virtude do tratamento de dados pessoais;
Slide: 10 / 28

PRINCÍPIOS:
❖ Finalidade
❖ Adequação
❖ Necessidade
❖ Livre acesso
❖ Transparência
❖ Segurança
❖ Prevenção
IX - não discriminação: impossibilidade de realização do tratamento para
fins discriminatórios ilícitos ou abusivos;
X - responsabilização e prestação de contas: demonstração, pelo
agente, da adoção de medidas eficazes e capazes de
comprovar a observância e o cumprimento das normas de proteção de
dados pessoais e, inclusive, da eficácia dessas medidas.
Slide: 11 / 28

❑ CAPÍTULO II | DO TRATAMENTO DE DADOS PESSOAIS
Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:
http://www.portaldaprivacidade.com.br/2018/08/01/infografico-06-bases-legais-para-o-tratamento-de-dados-pessoais/
Slide: 12 / 28

CVM
ANVISABACEN
Lei de
Liberdade
Econômica
Lei Geral de
Proteção de
Dados
Lei da
Desburocratiz
a-ção
Lei do
Cadastro
Positivo
Legislações e
Regulamentaç
ões
Código de
Defesa do
Consumidor
Lei de Acesso
à Informação
Lei de Crimes
Cibernéticos
Lei do Marco
Civil da
Internet
Lei Européia
de Proteção
de Dados e
Privacidade
PCI, HIPPA,
Governança,
etc.
leis, padrões e normas regulatórias relevantes relacionadas à proteção de dados e privacidade as
quais o negócio corporativo está sujeito estão mapeadas e consolidadas
Contratos
com
Fornecedores
Contratos
com Parceiros
Contratos
com Cliente
Relação com
Colaborado-
res
❑ CAPÍTULO II | DO TRATAMENTO DE DADOS PESSOAIS
Slide: 13 / 28

12/06/2020 LGPD – LEI GERAL DE PROTEÇÃO DE DADOS - SGPD
❑ Impactos Corporativos | Dia-a-Dia
Art. 50. Os controladores e operadores, no âmbito de suas competências, pelo tratamento de dados pessoais, individualmente ou por
meio de associações, poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o
regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões
técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de
supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais.
CAPÍTULO VII | DA SEGURANÇA E DAS BOAS PRÁTICAS
Seção I | Da Segurança e do Sigilo de Dados
Art. 46. Os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais
de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de
tratamento inadequado ou ilícito.
Seção II | Das Boas Práticas e da Governança
Slide: 14 / 28

Considerar TODOS os Ambiente s
Operacionais Corporativos
Slide: 15 / 28

Documentação Requeridas | Evidências | Compliance
Art. 6º As atividades de tratamento de dados
pessoais deverão observar a boa-fé e os
seguintes PRINCÍPIOS:
Documentos Referências LGPD
Política de Proteção de Dados Pessoais Paragrafo 1o. e 2o. Do Artigo 46o.
Avisos de Privacidade Incisos I,II,III ou V do Art. 9o.
Aviso de Privacidade para Colaboradores Artigo 9o.
Artigo 5o. | X, XIIV, XV
Art. 8o. Parag. 1o
Art.9o. Indiretamente
Seção II e Seção III - Parag. 3o.
Seção II
Art. 40o. e 9o. Indiretamente
Art. 7o. (I, Parág. 4o. e 5o.)
Art. 8o.(Parág. 1o. ao 6o.)
Formulário de Consentimento dos pais Seção III - Art. 14o.
Registro dos Resultados da AIPD Artigo 38o.
COMPLIANCE | ADEQUAÇÃO À LGPD
Política de Retenção de Dados
Cronograma de Retenção
Formulário de Consentimento dos Titulares
X - responsabilização e prestação de
contas: demonstração, pelo agente, da adoção
de medidas eficazes e capazes de
comprovar a observância e o cumprimento
das normas de proteção de dados pessoais e,
inclusive, da eficácia dessas medidas.
Slide: 16 / 28

Documentação Requeridas | Evidências | Compliance
Art. 6º As atividades de tratamento de dados
pessoais deverão observar a boa-fé e os
contas: demonstração, pelo agente, da adoção
de medidas eficazes e capazes de
comprovar a observância e o cumprimento
das normas de proteção de dados pessoais e,
inclusive, da eficácia dessas medidas.
Documentos Referências LGPD
Contrato de processamento de dados do
Forncedor
Artigos 39o. e 7o. (III)
Procedimento de Resposta e Notificação de
Violação de Dados
Artigo 50o. (g)
Registro de Violação de Dados (IV) e Artigos 31o. e 42o.
Formulário de Notificação de Violação de
Dados para a Autoridade Supervisora
Artigo 50o. (g)
Noemação e descrição do Cargo do
Encarregado
Artigo 41o.
Registro (evidência) de todas as Atividades
de Processamento de Dados Pessoais
Artigo. 37o.
Cláusulas Contratuais Padrão para a
transferência de Dados Pessoaias para
Controladores, e para fora do território
nacional
Artigos 35o. e 64o.
COMPLIANCE | ADEQUAÇÃO À LGPD
Slide: 17 / 28

Método de Coleta de
Dados Pessoais
Origem da Coleta de
Dados Pessoais
Periodicidade da Coleta
de Dados Pessoais
Formato dos Dados
Pessoais Coletados
Tipos dos Dados
Pessoais Coletados
Volume dos Dados
Pessoais Coletados
Acessos aos Dados
Pessoais Coletados
Finalidade da Coleta dos
Dados Pessoais
Onde e como os Dados
Pessoais estão
armazenados
Período de Retenção dos
Dados Pessoais estão
armazenados
Política de Atualização
dos Dados Pessoais
Responsável pelo
Tratamento dos Dados
Pessoais
Medidas de Controle de
Acesso
Medidas de Incidentes de
Seguraça da Informação
Medidas de Vazamento de
Dados Pessoais
Demais......
Processos envolvidos na
Coleta de Dados Pessoais
Sistemas envolvidos na
Coleta dos Dados
Pessoais
Art. 6º As atividades de tratamento de
dados pessoais deverão observar a boa-fé
e os seguintes PRINCÍPIOS:
contas: demonstração, pelo agente, da
adoção de medidas eficazes e capazes
de comprovar a observância e o
cumprimento das normas de proteção de
dados pessoais e, inclusive, da eficácia
dessas medidas.
Slide: 18 / 28

❑ Privacidade & Segurança da Informação
Finalidade
Adequação
Necessidade
Livre Acesso
Qualidade
Transparência
Segurança
Prevenção
Não Discriminação
Responsabilização
Prestação de Contas
Privacidade
Ciclo de Vida das Informações Pessoais e
dos Processos de Negócio que as utilizam
Segurança da
Informação
Ciclo de Vida das Informações Corporativas
e dos Processos de Negócio que as utilizam
Confidencialidade
Integridade
Disponibilidade
Proteção de Dados Pessoais contra Acesso
Físicos e Lógicos não Autorizados
Fonte: http://www.amchamrio.com/srcreleases/alexandre_cavina_protecao_de_dados_amchamrio.pdf
Adaptação: Wellington Antonio Monaco
Art. 6º As atividades de tratamento
de dados pessoais deverão
observar a boa-fé e os seguintes
PRINCÍPIOS:
X - responsabilização e
prestação de contas:
demonstração, pelo agente, da
adoção de medidas eficazes e
capazes de comprovar a
observância e o cumprimento das
normas de proteção de dados
pessoais e, inclusive, da eficácia
dessas medidas.
Slide: 19 / 28

Política de Segurança da Informação
Classificação da Informação
Governança, Risco e Conformidade (GRC)
Gestão de Identidade e Acesso (IAM)
Plano de Disaster Recovery
Plano de Continuidade de Negócio
Governança
Gerenciamento
Ciclo de Vida dos
Dados
Atribuições DPO
Testes de Penetração
Gestão de Vulnerabilidades
Threat Hunting
Resposta de Incidentes de Segurança
Resposta às Violações de Dados
Identificação
Inventário e
Classificação de
Dados
Prevenção de
Violação de Dados
Next Generation Firewall (NGFW)
Data Loss Prevention (DLP) & Data Privacy
Enterprise Information Archiving
Web Application Firewall (WAF)
User Behavior Analytics
Phishing Simulation & Training Broker (CASB)
Encryption
Advanced Threat Detection
Instrusion Prevention System (IPS)
Backup
Cloud Workload Security (CWS)
Database Activy Monitoring (DAM)
Database Audit and Protection (DA)
Database Access Management (PAM)
Segurança
Gerenciamento dos
Dados em Uso
Gerenciamento dos
Dados em Repouso
Dados em
Movimento
Segurança da
Informação
Privacidade
de Dados
❑ Privacidade & Segurança da Informação
Art. 6º As atividades de
tratamento de dados pessoais
deverão observar a boa-fé e os
X - responsabilização e
prestação de contas:
demonstração, pelo agente,
da adoção de medidas
eficazes e capazes de
comprovar a observância e
o cumprimento das normas
de proteção de dados
pessoais e, inclusive, da
eficácia dessas medidas.
Slide: 20 / 28

Portabilidade
dos Dados
Pessois
Limitação ou
Oposição ao
Tratamento
dos Dados
DIREITO DE
ACESSO
Não submetido
a Decisões
Automatizadas
e Profiling
Notificação
sobre
Mudanças no
Tratamento
dos Dados
Pessoais
Retificação ou
Atualização
dos Dados
Pessoais
Esquecimento
CAPÍTULO III | DOS DIREITOS DO TITULAR
Art. 17. Toda pessoa natural tem assegurada a titularidade de seus dados pessoais e garantidos os direitos fundamentais
de liberdade, de intimidade e de privacidade, nos termos desta Lei.
Art. 18. O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a
qualquer momento e mediante requisição:
Slide: 21 / 28
Artigo 19 estabelece o prazo
de 15 dias para atender às
requisições de acesso aos
dados.

Slide: 22 / 28

Slide: 23 / 28

Titular
DSR Forms
PORTAL
Atendimento: 15 DIAS
Resolução: ?? DIAS
DPO
Encarregado de
Dados Pessoais
Descoberta
▪ Dados Pessoais
▪ Identidades
▪ Registros
Escopo
▪ Estruturados
▪ Não Estruturados
Consentimento
▪ Dados
▪ Cookie
▪ Política
Correlacionar
▪ Dados Pessoais
▪ Titulares
Colaboração
Colaboração | Acompanhamento | Atualização de Estatus
ANPD
Total Titulares: 10.000
1% Requisições / mês: 100
Requisições / Dia: 5
Colaboração | Acompanhamento | Atualização de Estatus
Gestão de Crises
❑ Dados que Ressurgiram
❑ Dados que deveriam ter sido deletados
Slide: 24 / 28

12/06/2020 Monitoração Integradas - Monitoração Luz Apagada Slide: 25 / 99
+55 11 99222-4396
www.palestrantemonaco.com.br
monaco@palestrantemonaco.com.br

LGPD | IMPACTOS NO DIA-A-DIA CORPORATIVO

Mais conteúdo relacionado

Mais procurados

Semelhante a LGPD | IMPACTOS NO DIA-A-DIA CORPORATIVO

Mais de Wellington Monaco

Último

LGPD | IMPACTOS NO DIA-A-DIA CORPORATIVO