MÓDULO I: FUNDAMENTOS DA PRIVACIDADE E CONTEXTO DA LGPD
——————————————————————————-
AULA 01: A SOCIEDADE DA INFORMAÇÃO E OS DADOS COMO VALOR DE MERCADO
——————————————————————————-
Olá! Seja muito bem-vindo ao nosso curso prático de Proteção de Dados.
Você já reparou como basta você conversar ou pesquisar sobre um produto na internet para, em poucos segundos, receber dezenas de anúncios exatamente daquele item?
Pois é. Na sociedade atual, dados pessoais se tornaram o verdadeiro motor da economia. Mas a grande questão é: será que nós ainda temos o controle sobre as nossas próprias decisões, ou estamos sendo induzidos o tempo todo?
A verdade é que informação gera poder. Quando uma empresa consegue reunir uma grande quantidade e qualidade de dados sobre você, ela passa a prever seus hábitos, suas preferências, suas rotinas e até as suas fragilidades. E quem consegue prever o comportamento humano, consegue direcionar escolhas.
Pense no famoso caso da Cambridge Analytica, em que dados comportamentais de milhões de pessoas foram usados para influenciar eleições globais. Foi exatamente diante desse poder econômico e político dos dados que surgiu a necessidade urgente de criar uma lei para proteger o cidadão.
A Lei Geral de Proteção de Dados não nasceu para travar os negócios ou proibir o uso de tecnologias. Ela nasceu para garantir transparência e evitar que o poder econômico passe por cima da autonomia e da dignidade da pessoa humana.
Na nossa próxima aula, vamos entender como a ideia de privacidade evoluiu ao longo do tempo até chegar ao modelo que temos hoje. Te vejo lá!
——————————————————————————-
AULA 02: A EVOLUÇÃO HISTÓRICO-LEGISLATIVA DA PRIVACIDADE
——————————————————————————-
Olá! Tudo bem? Na aula de hoje, vamos fazer uma breve viagem no tempo para entender como o conceito de privacidade mudou radicalmente.
Você sabia que, no final do século dezenove, a privacidade era vista simplesmente como o direito de ser deixado em paz? Era o famoso direito ao isolamento físico. Se ninguém entrasse na sua casa ou mexesse nas suas cartas, sua privacidade estava garantida.
Com o passar das décadas, a sociedade mudou. A privacidade passou a proteger também a honra, a imagem e a reputação das pessoas contra fofocas e exposições morais.
Mas o grande salto aconteceu em 1983, na Alemanha. A Corte Constitucional Alemã analisou um censo populacional super invasivo e consagrou um princípio revolucionário: a Autodeterminação Informativa. Ou seja, o direito de cada cidadão saber e controlar o que é feito com as suas informações digitais.
Aqui no Brasil, antes da LGPD, a gente tinha uma proteção totalmente picotada. Tinha um pedaço no Código de Defesa do Consumidor, outro no Marco Civil da Internet e outro na Constituição. Faltava uma regra única, clara e preventiva.
Foi aí que nasceu a LGPD, trazendo um padrão moderno para colocar o cidadão no controle das suas próprias informações.
Na próxima aula, vamos descobrir onde exatamente essa lei se aplica e quais são as situações em que ela não entra. Até já!
——————————————————————————-
AULA 03: ESCOPO DE APLICAÇÃO, TERRITORIALIDADE E EXCEÇÕES DA LGPD
——————————————————————————-
Seja bem-vindo a mais uma aula! Hoje eu quero te fazer uma pergunta direta: se uma empresa estrangeira, que nem tem escritório no Brasil, coletar dados de brasileiros pela internet, ela precisa cumprir a LGPD?
A resposta é um sonoro SIM! A nossa lei adota o princípio da extraterritorialidade. Se o tratamento de dados acontece no Brasil, se os dados foram coletados aqui, ou se o objetivo é oferecer produtos e serviços para pessoas localizadas no Brasil, a LGPD precisa ser respeitada. Não importa onde fica a sede da empresa.
Mas atenção, porque a lei também traz exceções muito claras, onde ela NÃO se aplica.
Por exemplo: a sua lista de contatos no celular ou a lista de convidados da sua festa de aniversário não seguem a LGPD, porque você está usando como pessoa física, para fins estritamente pessoais e sem fins lucrativos.
Outra exceção importante: dados usados exclusivamente para jornalismo, arte ou trabalhos acadêmicos também não seguem a LGPD, para proteger a liberdade de expressão e de imprensa. E, por fim, investigações criminais e segurança pública estatal são regidas por leis específicas.
Agora que você já sabe onde a lei se aplica, na próxima aula vamos entrar nos conceitos básicos e descobrir quem é quem nesse mercado de dados. Até lá!
===============================================================================
MÓDULO II: ARQUITETURA JURÍDICA – CONCEITOS, PRINCÍPIOS E BASES LEGAIS
===============================================================================
——————————————————————————-
AULA 04: GLOSSÁRIO ESSENCIAL E OS AGENTES DE TRATAMENTO
——————————————————————————-
Olá! Bem-vindo ao Módulo dois. Hoje nós vamos decifrar os papéis e os termos mais importantes da LGPD.
Primeiro, quem é quem nessa história?
O Titular é você, a pessoa física dona dos dados. O Controlador é a empresa ou instituição que toma as decisões e diz para que o dado vai ser usado.
Já o Operador é quem coloca a mão na massa e executa o trabalho a mando do Controlador, como um serviço de nuvem terceirizado.
E temos também o Encarregado, mundialmente conhecido como DPO. Ele é a ponte oficial de comunicação entre a empresa, os cidadãos e a Autoridade Nacional.
Agora, fique atento aos tipos de dados:
Dado Pessoal é qualquer informação que identifica ou pode identificar alguém, como nome, CPF, e-mail ou placa do carro.
Dado Pessoal Sensível é aquele que pode gerar discriminação, como dados de saúde, biometria, religião, opinião política ou orientação sexual. Esses dados exigem um cuidado dobrado!
E o Dado Anonimizado? É aquele que passou por um processo técnico irreversível e não permite mais identificar a pessoa. Quando o dado é anonimizado de verdade, ele sai do alcance da LGPD.
Na próxima aula, vamos conversar sobre os pilares que sustentam toda essa estrutura. Até lá!
——————————————————————————-
AULA 05: FUNDAMENTOS INTRÍNSECOS E AUTODETERMINAÇÃO INFORMATIVA
——————————————————————————-
Olá! Mitos e boatos sobre a LGPD dizem que a lei veio para atrapalhar os negócios e dificultar a tecnologia. Mas será que isso é verdade?
De jeito nenhum! Os fundamentos da lei, que estão no artigo segundo, provam exatamente o contrário. A LGPD busca o equilíbrio perfeito entre duas forças.
De um lado, temos a proteção da Autodeterminação Informativa, da privacidade, da honra e dos direitos humanos. Do outro lado, a lei garante a Livre Iniciativa, a livre concorrência, o desenvolvimento tecnológico e a inovação econômica.
A LGPD reconhece que o uso de dados gera riqueza, empregos e eficiência para o mercado. O que ela exige é lealdade e respeito ao cidadão nessa relação. A ideia não é proibir o motor da economia, mas sim colocar cinto de segurança e regras de trânsito.
Guardou bem esses pilares? Na próxima aula, nós vamos conhecer as dez regras de ouro da lei: os Princípios do tratamento de dados!
——————————————————————————-
AULA 06: OS 10 PRINCÍPIOS ORIENTADORES DO TRATAMENTO DE DADOS
——————————————————————————-
===============================================================================
MÓDULO II: ARQUITETURA JURÍDICA – CONCEITOS, PRINCÍPIOS E BASES LEGAIS
===============================================================================
——————————————————————————-
AULA 06: OS 10 PRINCÍPIOS ORIENTADORES DO TRATAMENTO DE DADOS
——————————————————————————-
Seja muito bem-vindo! Se existe uma aula que você precisa dominar para nunca errar na prática, é esta. Hoje nós vamos desvendar os dez Princípios Orientadores da LGPD.
Pense nesses dez princípios como a espinha dorsal e a bússola de toda a lei. Não importa o tamanho da sua empresa ou o setor em que você atua: se uma operação com dados pessoais desrespeitar um único desses princípios, o tratamento inteiro se torna ilegal e sujeito a pesadas sanções.
Para facilitar o seu entendimento, vamos analisar cada um desses dez pilares com situações reais do mercado.
O Primeiro princípio é o da FINALIDADE.
Ele estabelece que todo tratamento precisa ter propósitos legítimos, específicos, explícitos e devidamente informados ao titular. Você não pode coletar dados para um fim genérico e incerto. O objetivo precisa ser claro antes mesmo da coleta acontecer.
O Segundo princípio é a ADEQUAÇÃO.
A pergunta aqui é: o tratamento que a empresa está fazendo é compatível com a finalidade informada ao cliente? Por exemplo, se uma farmácia solicita o seu CPF no caixa com a justificativa de aplicar um desconto no remédio, ela não pode, em hipótese alguma, usar esse mesmo dado para criar um perfil de saúde e vendê-lo para uma operadora de planos de saúde. Isso viola frontalmente a adequação e a finalidade prometidas.
O Terceiro princípio é a NECESSIDADE, também conhecido no mercado como princípio da Minimização.
A regra é simples: a empresa só deve coletar o mínimo de dados estritamente necessário para atingir o seu objetivo. Nada de pedir informações de sobra “para usar no futuro”. Se você vai vender um e-book digital para download, para que pedir o estado civil, a profissão e o endereço residencial do cliente, se um nome e um e-mail já resolvem a entrega? Colete apenas o estritamente necessário.
O Quarto princípio é o LIVRE ACESSO.
Ele garante ao cidadão a consulta facilitada e totalmente gratuita sobre a forma, a duração e a exatidão dos seus dados mantidos pela organização. Se o titular quiser saber tudo o que a empresa possui sobre ele, esse canal precisa estar aberto e sem custos.
O Quinto princípio é a QUALIDADE DOS DADOS.
O controlador deve garantir que os dados pessoais armazenados sejam exatos, claros, relevantes e devidamente atualizados. Manter cadastros antigos, incorretos ou desatualizados pode gerar prejuízos graves ao cidadão e responsabilidade direta para a empresa.
O Sexto princípio é a TRANSPARÊNCIA.
Este princípio exige informações claras, precisas e facilmente acessíveis aos titulares sobre como o tratamento funciona e quem são os agentes envolvidos. Nada de letras miúdas, termos jurídicos incompreensíveis ou pegadinhas escondidas em políticas de privacidade de vinte páginas. O cliente precisa entender de verdade o que acontece com a informação dele.
O Sétimo princípio é a SEGURANÇA.
A organização é obrigada a adotar medidas técnicas e administrativas adequadas para proteger os dados pessoais contra acessos não autorizados, vazamentos, destruição, perda ou modificação. Estamos falando do uso de criptografia, controle de acessos, senhas fortes e antivírus corporativos.
O Oitavo princípio é a PREVENÇÃO.
A postura da empresa precisa ser proativa e não apenas reativa. A organização deve adotar medidas prévias para evitar que o dano ou o vazamento aconteça. Em vez de remediar o estrago depois que os dados vazaram, a lei exige que você mapeie as vulnerabilidades e treine a sua equipe com antecedência para impedir o incidente.
O Nono princípio é a NÃO DISCRIMINAÇÃO.
É expressamente proibido realizar o tratamento de dados para fins discriminatórios, ilícitos ou abusivos. Uma empresa não pode, por exemplo, usar dados de localização, religião, histórico médico ou hábitos de consumo para criar algoritmos de seleção que excluam ou neguem serviços injustamente a determinado grupo de pessoas.
E, por fim, o Décimo princípio é a RESPONSABILIZAÇÃO E PRESTAÇÃO DE CONTAS, mundialmente conhecida pelo termo em inglês “Accountability”.
Não basta dizer que cumpre a LGPD; a empresa precisa provar que cumpre. Isso significa manter registros das operações, emitir relatórios de impacto quando necessário, treinar colaboradores e comprovar a eficácia de todas as medidas de segurança adotadas perante a Autoridade Nacional e a Justiça.
Conseguiu guardar a força desses dez princípios? Eles são a chave para qualquer projeto de conformidade e aplicação prática da lei.
Na nossa próxima aula, vamos desmistificar uma das maiores dúvidas do mercado: afinal de contas, precisa pedir autorização e consentimento para absolutamente tudo? Te vejo em instantes!
——————————————————————————-
AULA 07: HIPÓTESES LEGAIS DE TRATAMENTO DE DADOS COMUNS
——————————————————————————-
Olá! Vamos desfazer um dos maiores mitos sobre a LGPD hoje mesmo: o mito de que você precisa pedir autorização do cliente para absolutamente tudo!
Isso é mentira. O Consentimento é apenas UMA das dez hipóteses legais previstas no artigo sétimo da lei.
Quer ver exemplos práticos?
Quando você compra um produto pela internet e a loja pede seu endereço para fazer a entrega, a base legal é a Execução de Contrato. A loja não precisa pedir seu consentimento, porque sem o endereço não tem como entregar o produto!
Quando um hospital atende uma vítima de acidente desacordada, a base é a Proteção da Vida. Quando uma empresa guarda notas fiscais por anos, a base é o Cumprimento de Obrigação Legal.
Temos também o Legítimo Interesse do Controlador e a Proteção do Crédito.
A dica de ouro é: evite depender apenas do consentimento quando houver outra base legal mais adequada, porque o consentimento pode ser cancelado pelo cliente a qualquer momento.
E como fica essa regra quando lidamos com biometria, exames médicos ou crianças? É o tema da nossa próxima aula!
——————————————————————————-
AULA 08: DADOS PESSOAIS SENSÍVEIS, CRIANÇAS E ADOLESCENTES
——————————————————————————-
Seja muito bem-vindo! Hoje vamos falar sobre informações que exigem uma blindagem especial por causa do alto risco de discriminação.
Estamos falando dos Dados Sensíveis e dos Dados de Crianças e Adolescentes.
Nos dados sensíveis, como biometria, dados médicos, religião ou etnia, as regras são muito mais rigorosas. Para começar, NÃO existe a hipótese de “legítimo interesse” para dados sensíveis. Além disso, a lei proíbe expressamente que operadoras de plano de saúde usem dados de exames ou doenças para barrar clientes ou aumentar mensalidades.
Já quando o assunto são dados de Crianças e Adolescentes, o foco absoluto deve ser o Melhor Interesse do menor. A coleta exige o consentimento específico dado por pelo menos um dos pais ou responsável legal. E todas as explicações na tela precisam ser feitas em linguagem simples, clara e acessível para a família.
Com isso, fechamos o nosso Módulo dois. No Módulo três, você vai aprender quais são os direitos do cidadão e o que acontece quando há um vazamento de dados. Até lá!
===============================================================================
MÓDULO III: DIREITOS DOS TITULARES, TRANSFERÊNCIA INTERNACIONAL E RESPONSABILIDADE
===============================================================================
——————————————————————————-
AULA 09: O ROL DE DIREITOS DOS TITULARES E PROCEDIMENTOS
——————————————————————————-
Olá! Seja bem-vindo ao Módulo três. Hoje nós vamos conhecer o verdadeiro arsenal de poderes que a LGPD entregou na mão do cidadão.
O artigo dezoito traz uma lista completa de direitos. O titular pode exigir da empresa:
- Confirmação se os dados dele são tratados e acesso a esses dados;
- Correção de informações incompletas ou erradas;
- Eliminação de dados excessivos ou desnecessários;
- Portabilidade dos dados para uma empresa concorrente;
- E a revogação do consentimento concedido anteriormente.
E fique muito atento aos prazos! Se o cliente pedir uma confirmação simples, a resposta deve ser imediata. Mas se ele pedir uma declaração completa e detalhada, a empresa tem o prazo fatal de até quinze dias para responder.
Além disso, se um banco usar um algoritmo ou inteligência artificial para negar um financiamento, o cidadão tem o direito de solicitar a revisão dessa decisão automatizada.
Na próxima aula, vamos descobrir onde o cidadão pode reclamar se a empresa se recusar a atender esses direitos. Até já!
——————————————————————————-
AULA 10: MECANISMOS TUTELARES E AÇÕES JUDICIAIS
——————————————————————————-
Olá! Tudo bem? O que acontece quando um cidadão faz um pedido para uma empresa e é sumariamente ignorado? Quais são os caminhos de defesa?
Na esfera administrativa, o cidadão pode fazer uma denúncia direta na Autoridade Nacional de Proteção de Dados, a ANPD, ou recorrer aos órgãos de defesa do consumidor, como o PROCON.
Na esfera judicial, para situações individuais, é possível entrar com uma Ação Ordinária com pedido de Tutela de Urgência para obrigar a empresa a apagar ou entregar os dados, além de pedir indenização. O famoso Habeas Data também pode ser usado quando o banco de dados for de entidade governamental ou de caráter público.
Agora, quando acontece um vazamento em massa que afeta milhares ou milhões de consumidores, o cenário muda de figura. O Ministério Público, a Defensoria e as Associações podem ajuizar uma Ação Civil Pública para buscar reparações milionárias por Danos Morais Coletivos.
Compreendeu a força da tutela coletiva? Na próxima aula, vamos abordar um assunto fundamental para empresas modernas: o envio de dados para o exterior!
——————————————————————————-
AULA 11: TRANSFERÊNCIA INTERNACIONAL DE DADOS
——————————————————————————-
Seja bem-vindo a mais uma aula! Se a sua empresa usa servidores em nuvem localizados nos Estados Unidos ou envia dados para uma filial no exterior, preste muita atenção.
A regra geral da LGPD é que o envio de dados para fora do Brasil só é permitido se o país de destino oferecer um nível de proteção de dados adequado e compatível com a nossa lei.
Enquanto a Autoridade Nacional analisa e aprova a lista desses países, as empresas precisam adotar salvaguardas contratuais. As mais comuns são as Cláusulas Contratuais-Padrão e as Normas Corporativas Globais.
Outra saída é obter o Consentimento Específico e Destacado do próprio titular, informando claramente que os dados serão enviados para o exterior.
Lembre-se do caso prático: enviar dados de clientes brasileiros para um departamento de inteligência de mercado no exterior sem aviso prévio na Política de Privacidade é totalmente ilegal!
Garanta a conformidade dos seus contratos internacionais. Na próxima aula, vamos falar sobre dores no bolso: a Responsabilidade Civil!
——————————————————————————-
AULA 12: RESPONSABILIDADE CIVIL, REPARAÇÃO E INVERSÃO DO ÔNUS DA PROVA
——————————————————————————-
Olá! Chegamos a uma aula decisiva. Ocorreu um vazamento ou um tratamento irregular de dados em uma empresa. De quem é a conta das indenizações?
A LGPD adota o princípio da reparação integral de danos patrimoniais e morais, sejam eles individuais ou coletivos.
A regra geral é a solidariedade: os Controladores respondem juntos pelos prejuízos. E o Operador? Se o Operador descumprir as ordens do Controlador ou violar a lei, ele entra no polo passivo e responde solidariamente pela conta!
Outro ponto crítico: o juiz pode inverter o ônus da prova a favor do cidadão. Ou seja, a empresa é quem terá que provar que agiu de forma correta e segura.
E como uma empresa se livra da responsabilidade? Provando uma das excludentes da lei: provar que não realizou o tratamento, que não houve nenhuma violação, ou que o incidente aconteceu por culpa exclusiva do próprio usuário.
Fechamos aqui o Módulo três. No nosso último Módulo, vamos sair da teoria jurídica e entrar na prática da Segurança da Informação. Te vejo na próxima aula!
===============================================================================
MÓDULO IV: SEGURANÇA DA INFORMAÇÃO E GOVERNANÇA NA PRÁTICA (SGSI)
===============================================================================
——————————————————————————-
AULA 13: ESTRUTURA DOCUMENTAL DO SGSI E POLÍTICAS
——————————————————————————-
Olá! Seja muito bem-vindo ao Módulo quatro. Vamos falar direto ao ponto: não adianta nada ter uma Política de Privacidade linda no site, se no dia a dia os funcionários deixam senhas anotadas em papéis colados no monitor!
A governança na prática exige a implantação de um Sistema de Gestão de Segurança da Informação, o famoso SGSI. E ele se organiza em três níveis documentais:
No nível Estratégico, temos a Política de Segurança da Informação e a Política de Privacidade, definindo as diretrizes da alta gestão.
No nível Tático, temos as Normas de Classificação da Informação, que definem o que é um documento Público, Interno, Confidencial ou Secreto.
E no nível Operacional, temos a prática do dia a dia: a Política de Mesa Limpa e Tela Limpa, bloqueando o computador ao se levantar; as regras formais para o Home Office; e a proibição do chamado Shadow IT, que é o uso de softwares e aplicativos não autorizados pela TI.
A segurança da informação começa na cultura da equipe! Na próxima aula, vamos conhecer as travas técnicas de acesso e criptografia. Até lá!
——————————————————————————-
AULA 14: CONTROLES TÉCNICOS: RBAC, CRIPTOGRAFIA E DISPOSITIVOS MÓVEIS
——————————————————————————-
Seja bem-vindo a nossa aula 14! Responda rápido: na sua empresa, o estagiário do marketing tem acesso aos arquivos da folha de pagamento da diretoria no sistema?
Se a resposta for sim, a sua empresa está correndo um risco gigante e descumprindo os controles de acesso básicos!
O modelo ideal é o RBAC, que significa Controle de Acesso Baseado em Papéis. Cada colaborador só deve ter acesso às informações estritamente necessárias para desempenhar a sua função específica.
Além disso, a gestão de credenciais exige senhas fortes, autenticação de dois fatores, o famoso MFA, e o desligamento imediato de todos os acessos no momento em que um funcionário é desligado.
E para dados sensíveis, a Criptografia em trânsito e em repouso é indispensável.
Por fim, celulares e notebooks corporativos devem ser cedidos mediante Termo de Comodato, garantindo que a empresa possa apagar os dados remotamente em caso de perda ou roubo.
Chegamos à nossa aula final! Como agir diante de um vazamento e como elaborar o Relatório de Impacto? Vamos descobrir!
——————————————————————————-
AULA 15: GESTÃO DE INCIDENTES, CONTINUIDADE E RELATÓRIO DE IMPACTO (RIPD)
——————————————————————————-
Olá! Seja bem-vindo à nossa aula de encerramento. Imagine o cenário: os servidores da empresa foram atacados por um vírus ransomware e todos os dados foram bloqueados. Sua equipe sabe o que fazer nos primeiros sessenta minutos?
Incidentes podem acontecer com qualquer organização. O que diferencia uma empresa responsável é a sua capacidade de resposta rápida e o seu Plano de Continuidade de Negócios.
Havendo um incidente que gere risco ou dano relevante aos cidadãos, a Autoridade Nacional e os titulares afetados precisam ser notificados em prazo razoável, com a explicação de tudo o que foi feito para conter o problema.
E para fechar com chave de ouro, temos o RIPD, o Relatório de Impacto à Proteção de Dados Pessoais. Ele é o documento em que a empresa mapeia os riscos de suas atividades antes de lançar um projeto, demonstrando a sua boa-fé e a sua prestação de contas perante a fiscalização.
Parabéns por concluir toda esta Trilha de Formação em LGPD! Agora você possui o conhecimento prático e estratégico para atuar com total confiança no mercado.
Um grande abraço de toda a equipe Araújo e Andrade Advogados Associados!