Seu navegador não oferece leitura em voz alta. Você pode ler o guia normalmente.
O Capítulo VII da LGPD é o que mais conversa com as questões de segurança da informação. Ele diz o que o agente de tratamento deve fazer antes, o que fazer durante um incidente e como demonstrar boa governança depois. Muitos candidatos de TI e de áreas administrativas sabem os conceitos, mas erram os detalhes do art. 48 (comunicação) e do art. 50 (governança). Este guia organiza os arts. 46 a 51. Para a responsabilidade pelos danos, veja controlador, operador e responsabilidade.
Segurança e sigilo (arts. 46 a 49)
O art. 46 impõe aos agentes de tratamento medidas de segurança, técnicas e administrativas, aptas a proteger os dados de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito. Dois parágrafos para memorizar:
- a autoridade nacional pode dispor sobre padrões técnicos mínimos, considerando a natureza das informações, as características do tratamento e o estado atual da tecnologia, especialmente para dados sensíveis (§ 1º);
- as medidas devem ser observadas desde a fase de concepção do produto ou do serviço até a sua execução (§ 2º), a ideia conhecida como privacidade desde a concepção.
O art. 47 estende o dever de segurança a quem intervenha em uma das fases do tratamento, mesmo após o seu término. O art. 49 manda estruturar os sistemas para atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios da lei.
Comunicação de incidente (art. 48)
O controlador deve comunicar à autoridade nacional e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante aos titulares. Note os dois destinatários e o critério: não é qualquer incidente, e sim o que possa acarretar risco ou dano relevante.
A comunicação é feita em prazo razoável, conforme definido pela autoridade nacional, e deve mencionar, no mínimo (§ 1º):
| Item | Conteúdo |
|---|---|
| I | descrição da natureza dos dados pessoais afetados |
| II | informações sobre os titulares envolvidos |
| III | indicação das medidas técnicas e de segurança usadas para proteger os dados, observados os segredos comercial e industrial |
| IV | riscos relacionados ao incidente |
| V | motivos da demora, se a comunicação não foi imediata |
| VI | medidas adotadas ou que serão adotadas para reverter ou mitigar os efeitos |
O § 2º permite à autoridade verificar a gravidade e, se necessário para salvaguardar os direitos dos titulares, determinar providências como ampla divulgação do fato em meios de comunicação e medidas para reverter ou mitigar o incidente. No juízo de gravidade, avalia-se a eventual comprovação de que foram adotadas medidas técnicas adequadas que tornem os dados ininteligíveis para terceiros não autorizados (§ 3º).
Armadilhas habituais:
- afirmar que a lei fixa o prazo em horas ou dias: ela remete a prazo razoável definido pela autoridade;
- afirmar que só a autoridade deve ser comunicada: o titular também;
- esquecer que a criptografia adequada pode reduzir a gravidade avaliada, não eliminar a obrigação.
Exemplo resolvido
Um órgão perde um notebook com planilhas de servidores sem criptografia. O controlador identifica risco relevante. Deve comunicar a autoridade e os titulares, descrevendo natureza dos dados, titulares envolvidos, medidas de segurança adotadas, riscos, motivos da demora e medidas para mitigar (§ 1º). Se os dados estivessem tornados ininteligíveis, a gravidade seria avaliada à luz desse fato (§ 3º). Para os cenários de servidor, veja LGPD no dia a dia do servidor.
Boas práticas e governança (arts. 50 e 51)
O art. 50 diz que controladores e operadores, individualmente ou por meio de associações, poderão formular regras de boas práticas e de governança que estabeleçam condições de organização, regime de funcionamento, procedimentos (inclusive reclamações e petições de titulares), normas de segurança, padrões técnicos, obrigações específicas, ações educativas, mecanismos internos de supervisão e de mitigação de riscos. Ao fazê-lo, consideram a natureza, o escopo, a finalidade e a probabilidade e a gravidade dos riscos e dos benefícios do tratamento (§ 1º).
O § 2º trata do programa de governança em privacidade, que o controlador poderá implementar. Ele deve, no mínimo:
- demonstrar o comprometimento do controlador em adotar processos e políticas internas que assegurem o cumprimento de normas e boas práticas;
- ser aplicável a todo o conjunto de dados sob seu controle, independentemente do modo de coleta;
- ser adaptado à estrutura, escala e volume das operações e à sensibilidade dos dados;
- estabelecer políticas e salvaguardas com base em avaliação sistemática de impactos e riscos;
- buscar relação de confiança com o titular, com atuação transparente e mecanismos de participação;
- estar integrado à estrutura geral de governança, com supervisão interna e externa;
- contar com planos de resposta a incidentes e remediação;
- ser atualizado constantemente com base em monitoramento contínuo e avaliações periódicas.
O controlador deve ainda demonstrar a efetividade do programa quando apropriado e, em especial, a pedido da autoridade nacional ou de outra entidade que promova o cumprimento de boas práticas (inciso II). As regras de boas práticas devem ser publicadas e atualizadas periodicamente e podem ser reconhecidas e divulgadas pela autoridade (§ 3º). O art. 51 incumbe a autoridade de estimular padrões técnicos que facilitem o controle pelos titulares.
O verbo muda de capítulo para capítulo: no art. 46 é “devem adotar” (dever); no art. 50 é “poderão formular” (faculdade). Banca que trate o programa de governança como obrigatório incorre em erro de leitura. O art. 52, § 1º, IX, porém, faz da adoção de política de boas práticas e governança um critério na dosimetria de sanções (veja sanções administrativas da LGPD).
Quadro rápido de verbos
| Artigo | Verbo | Natureza |
|---|---|---|
| 46 | devem adotar | dever |
| 47 | obriga-se a garantir, mesmo após o término | dever |
| 48 | deverá comunicar | dever |
| 49 | devem ser estruturados | dever |
| 50 | poderão formular | faculdade |
| 51 | estimulará | incentivo da autoridade |
Erros comuns
- Tratar o programa de governança como obrigatório.
- Dizer que o dever de segurança acaba com o término do tratamento: o art. 47 o prolonga.
- Dizer que o incidente deve ser comunicado em prazo fixo em dias: a lei fala em prazo razoável definido pela autoridade.
- Esquecer o dever de segurança desde a concepção (art. 46, § 2º).
Próximos passos
- Veja a ligação com a política de segurança em segurança da informação, PNSI e LGPD.
- Aprofunde a área técnica em administrador de banco de dados: LGPD, eliminação e incidentes.
- Estude a LGPD na saúde.
Fontes e atualização
- Lei 13.709, texto compilado: Lei 13.709 (LGPD) no Planalto.
Conferimos o texto compilado na data de publicação. A lei foi alterada; confira a norma vigente e o edital.