Evento discute as transformações da LGPD após quatro anos em vigor
Há 4 anos o cenário de tratamento de dados no país mudou consideravelmente com a publicação da Lei Geral de Proteção de Dados Pessoais (LGPD). Desde então, vimos a criação da Autoridade Nacional de Proteção de Dados (ANPD), e diversos regulamentos e guias orientativos sendo publicados pelo órgão. Acompanhando as novas normas e observando o número de processos administrativos e de sanções crescerem, empresas de diversos setores e tamanhos precisaram se adaptar rapidamente às novas diretrizes.
Para falar sobre as mais recentes mudanças e pontos de atenção em relação à legislação, realizamos no dia 6 de novembro, em nosso escritório de São Paulo, o evento LGPD 4.0 - As transformações da legislação após quatro anos em vigor. O encontro foi moderado por nosso sócio Felipe Palhares e pelas advogadas da área de Proteção de Dados e Cybersecurity, Fernanda Vilella e Fernanda Golgato Polloto, que receberam especialistas de empresas como Microsoft, Meta, Tik Tok, CVC, Fleury e GE Healthcare para compartilhar os desafios práticos enfrentados durante os últimos quatro anos, após a publicação da LGPD.
Time de Proteção de Dados e Cybersecurity do BMA Advogados em evento no nosso escritório de São Paulo
Transferências Internacionais de Dados
O painel de abertura falou sobre uma das mais recentes regulamentações publicadas, que trata sobre a Transferência Internacional de Dados. Nossa advogada Fernanda Vilella moderou a conversa que contou com a participação de Christian Perrone, da Microsoft, e de Camilla Schrappe, da ByteDance (Tik Tok).
De forma geral, o Regulamento prevê os seguintes mecanismos para correta operação de transferência internacional de dados:
Decisão de adequação pela ANPD, reconhecendo que o país importador possui um grau adequado de proteção de dados pessoais;
Cláusulas-padrão contratuais;
Cláusulas contratuais específicas; e
Normas corporativas globais.
A Resolução previu prazo de 12 meses da data de publicação para as empresas implementarem as cláusulas-padrão em seus instrumentos contratuais.
Na oportunidade, Christian e Camilla compartilharam os desafios práticos para a implementação das mudanças. Neste momento, as empresas precisam mapear a cadeia de fornecedores, avaliar um número grande de contratos e de diversos níveis de complexidade, em um prazo relativamente curto para operações robustas e globais, que, muitas vezes, possuem diversos subcontratos. É preciso olhar para cada contrato de forma específica, decidindo então se vão optar pelo caminho das cláusulas-padrão ou cláusulas contratuais específicas, seguindo as orientações da Autoridade.
O grande objetivo é conseguir tomar essa decisão e operacionalizar essas mudanças de forma leve, sem atrito com os diversos parceiros comerciais. Durante o evento, os especialistas também destacaram que essa mudança não afeta só as empresas, mas que produtos e serviços também precisam ser adaptados. É preciso olhar para a arquitetura de políticas, contratos e práticas.
Comunicação de Incidentes de Segurança
"Não é uma questão de se; é uma questão de quando". Com essa frase nosso sócio Felipe Palhares abriu o segundo painel sobre Comunicação de Incidentes de Segurança, que contou com a participação de Angélica Dente, do Fleury, e de Karin Rocha, da CVC.
Durante o painel, os especialistas falaram sobre como comunicar incidentes de segurança à ANPD, comentaram casos reais, além de compartilharem recomendações relevantes do ponto de vista jurídico na condução e prevenção aos incidentes. Algumas das boas práticas destacadas foram:
Atenção ao tempo de resposta e reporte à ANPD;
A importância de possuir um Comitê de Gestão de Crise Multidisciplinar;
Manter a transparência com os stakeholders e parceiros comerciais;
Adaptar a linguagem e forma de comunicação para cada público;
Ter um parceiro jurídico que te dê a segurança adequada durante e depois do incidente;
Trabalhar um programa de conscientização consistente com os integrantes da empresa.
Mesmo compartilhando diversas recomendações, os especialistas lembraram que, por mais que as empresas se preparem e invistam em treinamentos, sempre haverá uma vulnerabilidade que você não conhece.
Felipe encerrou o painel abrindo a discussão sobre a definição de danos relevantes e detalhando aprendizados que teve ao longo dos anos durante a gestão dos incidentes, além de aprendizados na interação com a Autoridade Nacional de Proteção de Dados (ANPD), como prazos para a comunicação e forma de reporte.
O Papel do Encarregado
Felipe Palhares e Fernanda Vilella se juntaram à nossa advogada, Fernanda Golgato Polloto para moderar o terceiro e último painel do dia, que falou sobre o Papel do Encarregado pelo tratamento de dados pessoais ou, em inglês, Data Protection Officer ("DPO").
Bruna Godoy, da GE Healthcare, e Ramon Alberto dos Santos, da Meta, completaram o painel, compartilhando o dia a dia prático de um encarregado em multinacionais e as mudanças advindas a partir da publicação do regulamento para encarregado pela ANPD, que era esperado há algum tempo pelo mercado.
Conforme previsto no art. 41 da LGPD, o Controlador deve nomear um Encarregado, e a sua identidade e informações de contato devem ser divulgadas publicamente, preferencialmente no sítio eletrônico do Controlador. A legislação, no entanto, não trazia maiores detalhes sobre a função de DPO, outorgando à Autoridade Nacional de Proteção de Dados (ANPD) a possibilidade de editar normas complementares sobre a definição, atribuições e casos de dispensa de indicação do Encarregado.
No entanto, em julho deste ano foi publicada no Diário Oficial da União a Resolução CD/ANPD nº 18, que aprovou o Regulamento sobre a atuação do Encarregado, estipulando novas regras sobre a respectiva função.
Ao longo do evento, os especialistas discutiram sobre o processo para a nomeação dos encarregados, quais são as responsabilidades desses profissionais, a definição sobre conflitos de interesse pela regulação, a obrigação de ter um encarregado substituto, e a complexidade que é operacionalizar esta nomeação, principalmente, ao levar em consideração uma empresa global.
Os profissionais também destacaram as soft skills que um encarregado precisa ter para poder permear entre diferentes áreas. Dentre as habilidades listadas estão: entender do negócio, ter conhecimento sobre a lei, afinidade com os temas de tecnologia e segurança da informação, mesmo que em níveis diferentes.
O tema sobre conflito de interesses permeou o final das discussões, afinal a norma não apresenta de forma clara todas as hipóteses que poderiam configurar este conflito, e os riscos envolvidos neste processo de adaptação.
Após quatro anos, a LGPD continua mudando e trazendo novas perspectivas para o tratamento de dados pessoais no Brasil, preenchendo algumas lacunas existentes, mas também deixando novas questões em aberto. Acompanhar todas as mudanças e ter um olhar estratégico e ágil para a adaptação às normas é crucial neste cenário.
LEIA TAMBÉM
E-book | 4 anos de vigência da LGPD: os novos desafios de adequação à legislação
