COMPLIANCE DIGITAL E3

Prévia do material em texto

AULA 3 
COMPLIANCE DIGITAL E 
GOVERNANÇA CORPORATIVA 
Profª Daiane Medino da Silva 
 
 
2 
TEMA 1 – DECRETO n. 8.771/2016: REGULAMENTAÇÃO DO MARCO CIVIL 
DA INTERNET 
Anteriormente, falamos sobre os aspectos gerais do compliance digital e a 
Lei n. 12.965/16, o Marco Civil da Internet (MCI). Nesta aula, veremos o Decreto 
n. 8771/2016, que regulamenta o MCI, trazendo aspectos práticos para garantir 
um programa efetivo de compliance digital. 
O Decreto n. 8.771, que regulamenta o Marco Civil da Internet (Lei n. 
12.965/2016), foi editado em 11 de maio de 2016. Seu art. 1º, trata de 
hipóteses admitidas de discriminação de pacotes de dados na internet e 
de degradação de tráfego, indicando procedimentos para guarda e 
proteção de dados por provedores de conexão e de aplicações, 
apontando medidas de transparência na requisição de dados cadastrais 
pela administração pública e estabelecendo parâmetros para 
fiscalização e apuração de infrações à Lei n. 12.965/2016. (Brasil, 2016) 
De acordo com a análise literal da norma, o Decreto n. 8.771 ocupa-se 
basicamente de três assuntos, os quais são separados em capítulos: 
• neutralidade da rede (capítulo II); 
• proteção aos registros, aos dados pessoais e às comunicações privadas 
(capítulo III); 
• fiscalização e da transparência (capítulo IV). 
O art. 2 do decreto indica os destinatários da norma, conforme segue: 
a) destina-se: aos responsáveis pela transmissão, pela comutação ou pelo 
roteamento e aos provedores de conexão e de aplicações de internet, 
definida nos termos do inciso I do caput do art. 5º da Lei n. 12.965, de 2014; 
b) não destina-se, ou seja, não é aplicável: 
I. aos serviços de telecomunicações que não se destinem ao provimento 
de conexão de internet; 
II. aos serviços especializados, entendidos como serviços otimizados por 
sua qualidade assegurada de serviço, de velocidade ou de segurança, 
ainda que utilizem protocolos lógicos TCP/IP ou equivalentes, desde 
que: 
a) não configurem substituto à internet em seu caráter público e irrestrito; 
b) sejam destinados a grupos específicos de usuários com controle 
estrito de admissão. 
 
 
 
3 
Conforme indica Teixeira (2020) 
dentre os pontos do decreto que merecem destaque, está a questão do 
spam (envio de mensagens eletrônicas não solicitadas), cujo art. 5º, 
parágrafo 1º, inciso I, prevê a necessidade de requisitos técnicos 
indispensáveis à prestação adequada de serviços quanto ao tratamento 
de questões de segurança de redes, tais como restrição ao envio de 
mensagens em massa (spam) e controle de ataques de negação de 
serviço. 
O autor ainda aponta que, em relação aos requisitos técnicos, caberá à 
Agência Nacional de Telecomunicações (Anatel) a fiscalização e apuração de 
infrações no cumprimento dos requisitos técnicos fixados, conforme estabelece o 
Decreto n. 8.771 em seus arts. 6º e 5º, parágrafo 2º. 
Destarte, nos termos da norma em comento, cabe ao Comitê Gestor da 
Internet estabelecer diretrizes para o bom funcionamento da internet no Brasil, e 
compete à Anatel fixar os parâmetros regulatórios do setor, atuando na regulação, 
na fiscalização e na apuração de infrações, de acordo com o art. 17 do decreto. 
Quanto às relações de consumo, o art. 18 do decreto indica que caberá à 
Secretária Nacional do Consumidor a fiscalização e apuração de infrações. Já no 
que tange às infrações à ordem econômica, conforme preconiza o art. 19 do 
Decreto n. 8.771, a apuração de infrações fica a cargo do Sistema Brasileiro de 
Defesa da Concorrência, nos termos da Lei n. 12.529/2011. 
Portanto, percebam que há vários entes para fiscalizar o bom cumprimento 
da lei e seus princípios, sendo de extrema importância “estar de acordo” com as 
leis, normas e regulamentos, estabelecendo planejamento estratégico, 
treinamentos e critérios de fiscalização interna para manter o compliance 
digital/programa de integridade efetivo. 
Dessa forma, conforme indica Guimarães (2020), 
o Decreto institui um microssistema de fiscalização e transparência (art. 
17 a 21), determinando atribuições à Agencia Nacional de 
Telecomunicações, à Secretaria Nacional do Consumidor do Ministério 
da Justiça e ao Sistema Brasileiro de Defesa da Concorrência, no âmbito 
de suas competências legais, para garantir a efetividade aos direitos 
introduzidos com o MCI, devendo “zelar pelo cumprimento da legislação 
brasileira, inclusive quanto à aplicação das sanções cabíveis, mesmo 
que as atividades sejam realizadas por pessoa jurídica sediada no 
exterior, nos termos do art. 11 da Lei n. 12.965, de 2014”. 
De acordo com o Decreto, as entidades citadas acima devem atuar de 
forma colaborativa, a fim de levar em consideração as diretrizes estratégicas 
definidas pelo Comitê Gestor da Internet no Brasil. 
 
 
4 
No capítulo II do Decreto n. 8.771, quanto à neutralidade da rede, o art. 10 
indica que 
as ofertas comerciais e os modelos de cobrança de acesso à internet 
devem preservar uma internet única, de natureza aberta, plural e diversa, 
compreendida como um meio para a promoção do desenvolvimento 
humano, econômico, social e cultural, contribuindo para a construção de 
uma sociedade inclusiva e não discriminatória. (Brasil, 2016) 
Assim, resta claro na norma que não poderá haver cobranças diferenciadas 
de acordo com o tipo de destinação que se dá com o acesso à internet, ou seja, 
não poderá cobrar diferentemente os acessos para vídeos, troca de mensagens, 
compras etc. 
O capítulo III do Decreto n. 8.771 menciona a proteção aos registros, dados 
e comunicações, apontando em seu art. 11, parágrafo 2º, que se considera dados 
cadastrais do usuário: a filiação, a qualificação pessoal (nome, prenome, estado 
civil e profissão) e o endereço. 
Como bem pontua Teixeira (2020), 
ao requerer aos provedores os dados cadastrais dos usuários, as 
autoridades administrativas deverão apresentar o fundamento legal e a 
motivação para o pedido de acesso aos dados. O provedor não está 
obrigado a fornecer dados cadastrais quando não os coletar dos 
internautas (Decreto n. 8.771/2016, art. 11, caput e parágrafo 1º). 
Conforme o parágrafo 2º do art. 13 do Decreto, os provedores de conexão 
e de aplicações de internet devem reter a menor quantidade possível de dados 
pessoais, comunicações privadas e registros de conexão e de aplicações de 
internet, devendo ser excluídos tão logo atingida a finalidade de seu uso ou se 
encerrado o prazo determinado por obrigação legal. 
 Finalizando a análise do decreto, importante destacar o seu art. 16, que 
dispõe sobre as informações dos padrões de segurança adotados pelos 
provedores de aplicação e provedores de conexão devem ser divulgadas de forma 
clara e acessível a qualquer interessado, preferencialmente por meio de seus 
sítios na internet, respeitando o direito de confidencialidade quanto aos segredos 
empresariais. 
TEMA 2 – LGPD: ASPECTOS GERAIS 
Atualmente, não há como falar em compliance digital sem falar em 
segurança e proteção de dados e privacidade, ou seja, sem citar a Lei Geral de 
Proteção de Dados (LGPD). Pode-se definir o compliance digital como o conjunto 
 
 
5 
de protocolos e práticas de segurança com que uma organização, pública ou 
privada, busca proteger dados e demais informações sigilosas de ataques ou de 
uso criminoso. 
Teixeira (2020) indica que 
a discussão acerca da necessidade de haver uma tutela jurídica para os 
dados e a privacidade das pessoas iniciou na década de 1970 na 
Europa, que culminou implicando na Diretiva n. 95/46/CE, que por sua 
vez foi substituída pelo Regulamento n. 2016/679166 (GDPR – General 
Data Protection Regulation; em português, Regulamento Geral de 
Proteção de Dados), o qual entrou em vigor em 2018. Essa norma 
europeia datada de 2016 passou a ter forte influência na aprovação de 
normas de proteção de dados pelo mundo, especialmente no Brasil. 
Sendo assim, a partir de 14 de agosto de 2018, foi incorporadaao 
ordenamento jurídico brasileiro a Lei n. 13.709/2018 – Lei Geral de 
Proteção de Dados Pessoais (LGPD). 
 No Brasil, as discussões sobre proteção da privacidade se desenvolveram, 
sobretudo, após a promulgação da Constituição Federal de 1988 e a edição do 
Código Civil de 2002, mas foram intensificadas com a chegada da internet ao país, 
na década de 1990, e as formas de captação de dados, formação e 
comercialização de mailing list e o envio de mensagens não solicitadas. 
Conforme Teixeira (2020), o regramento jurídico da proteção de dados no 
Brasil já estava previsto em outras normas jurídicas, como a Constituição Federal, 
entretanto, previsto sob a roupagem da tutela à privacidade (CF, art. 5º, X), e o 
sigilo da correspondência, da comunicação e dos dados (CF, art. 5º, XII). Embora 
sendo um tratamento mais superficial, os direitos estão previstos no Marco Civil 
da Internet (Lei n. 12.965/2014), tendo essa própria lei, em seu art. 3º, inciso. III, 
expressado que a proteção de dados é um princípio legal, mas “na forma da lei”. 
Ou seja, o próprio Marco Civil da Internet reconhece a necessidade de uma lei 
específica para proteção de dados. 
Apenas para a LGPD, há uma norma específica, ainda que anteriormente 
já existissem dispositivos legais que abordassem o tema de proteção de dados, 
tais como o Código de Defesa do Consumidor, o Marco Civil da Internet, a Lei do 
Cadastro Positivo, o Código Civil e a Constituição Federal, o Estatuto da Criança 
e do Adolescente, dentre outros. Ou seja, a LGPD unificou importantes conceitos, 
obrigações, direitos e consequências pelo descumprimento de proteção de dados. 
Como vimos no capítulo anterior, não podemos afirmar que o Decreto n. 
8.771/2016 (que regulamenta o Marco Civil da Internet) trate de dados cadastrais 
sob o aspecto do regime jurídico de proteção de dados, pois é voltado para 
atuação dos provedores. 
 
 
6 
Destarte, nos moldes do art. 2 da LGPD, a disciplina da proteção de dados 
pessoais tem como fundamentos: 
• respeito à privacidade; 
• autodeterminação informativa; 
• liberdade de expressão, de informação, de comunicação e de opinião; 
inviolabilidade da intimidade, da honra e da imagem; 
• desenvolvimento econômico e tecnológico e a inovação; 
• livre-iniciativa, livre concorrência e defesa do consumidor; 
• direitos humanos, livre desenvolvimento da personalidade, dignidade e 
exercício da cidadania pelas pessoas naturais. 
Interessante pontuar que a LGPD foi inicialmente aprovada prevendo um 
período de 18 meses para entrada em vigor. Contudo, com a aprovação da 
Medida Provisória n. 869/2018, tal prazo foi majorado para 24 meses, restando 
início (entrada em vigor) em agosto de 2020. 
De acordo com Blum e Moraes (2020), o objetivo da LGPD é 
regular o tratamento de dados pessoais por pessoas ou entidades do 
setor privado ou público, inclusive nos meios digitais, de consumidores, 
empregados, independentemente do país da sede ou no qual os dados 
estejam localizados com o propósito principal de proteger a liberdade, a 
privacidade e o livre desenvolvimento da pessoa natural. A nova lei 
aplica-se sempre que o tratamento for realizado no território nacional, 
tenha por objetivo a oferta, o fornecimento de bens ou a prestação de 
serviços, ou o tratamento de dados de indivíduos localizados no território 
nacional, ou os dados pessoais tenham sido coletados no território 
nacional. 
Em uma sociedade cada vez mais globalizada, informatizada, movida à 
tecnologia, os fundamentos da LGPD merecem extrema atenção, principalmente 
no que toca à proteção, à privacidade, à liberdade de expressão e à inviolabilidade 
da intimidade, honra e imagem, visto que tal norma protege todo e qualquer dado 
que identifica, ou a partir do qual possa ser identificada, uma pessoa natural. 
Os dados pessoais são as informações relacionadas ao titular dos dados, 
usualmente a pessoa natural identificada ou identificável pelo dado, podendo 
incluir nome, endereço, e-mail, idade, estado civil e situação patrimonial, obtidos 
em qualquer tipo de suporte (papel, eletrônico, informático, som e imagem etc.). 
Conforme art. 5, inciso II, a lei regulamentou a proteção dos chamados 
dados sensíveis: 
II - dado pessoal sensível: dado pessoal sobre origem racial ou étnica, 
convicção religiosa, opinião política, filiação a sindicato ou a organização 
de caráter religioso, filosófico ou político, dado referente à saúde ou à 
 
 
7 
vida sexual, dado genético ou biométrico, quando vinculado a uma 
pessoa natural. (Brasil, 2018) 
De outro lado, a própria lei exclui o tratamento de dados pessoais em seu 
art. 4, ou seja, não é abrangido aquele tratamento realizado por pessoa física para 
fins exclusivamente particulares e não econômicos, ou para fins exclusivamente 
jornalísticos e artísticos ou acadêmico, ou ainda realizados para fins 
exclusivamente ligados à segurança pública, ou proveniente de território 
estrangeiro nos moldes do inciso IV do mesmo dispositivo legal. 
A LGPD considera a figura do agente de tratamento como sendo o 
controlador e operador, nos moldes do art. 5, inciso IX. O controlador pode ser 
pessoa natural ou jurídica, de direito público ou privado, com a competência para 
tomar as decisões referentes ao tratamento de dados pessoais, ao passo que o 
operador (pessoa natural ou jurídica) age em nome do controlador. 
Os titulares dos dados pessoais devem expressar seu consentimento 
(manifestação livre, informada e inequívoca pela qual o titular concorda com o 
tratamento de seus dados pessoais para uma finalidade determinada), expresso 
de forma clara e objetiva, e têm direito de obter do controlador, de acordo com o 
art. 18 da LGPD: 
• confirmação de tratamento; 
• acesso aos dados no prazo de até 15 dias do requerimento; 
• correção de dados incompletos, inexatos ou desatualizados; 
• anonimização, bloqueio ou eliminação de dados desnecessários, 
excessivos ou não tratados em desconformidade com o disposto na Lei; 
• portabilidade dos dados; 
• eliminação dos dados; 
• informações das entidades públicas e privadas com as quais o controlador 
realizou uso compartilhado de dados; 
• informações sobre a possibilidade de não fornecer o consentimento e as 
consequências negativas; 
• revogação do consentimento. 
Percebam que todo e qualquer dado será protegido; até aquele de 
funcionários e terceirizados deverá ser adequadamente arquivado. Ou seja, a 
LGPD trata de forma ampla todo e qualquer informação que diga respeito a dados 
protegidos pela lei. Por tal razão, sua aplicação é igualmente ampla, abrangendo 
 
 
8 
toda e qualquer empresa (pública ou privada) que possa ter acesso a dados 
pessoais protegidos. 
Dessa forma, a adequação das empresas à LGPD indica uma revisão 
estrutural dos dados, ou seja, levantamento e revisão de cláusulas e contratos, 
termos de consentimento, adequação da política de segurança de dados, 
treinamentos, levantamento de passivos de dados, adequação de sistemas, 
política de compliance digital e de segurança de dados, dentre outras exigências. 
A LGPD disciplina três figuras muitos importantes quanto à proteção de 
dados pessoais: o controlador, o operador e o encarregado de dados. De acordo 
com a referida lei, art. 5º, incisos VI e VII, respectivamente, controlador é a “pessoa 
natural ou jurídica, de direito público ou privado, a quem competem as decisões 
referentes ao tratamento de dados pessoais” (Brasil, 2018). O operador é a 
“pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento 
de dados pessoais em nome do controlador” (Brasil, 2018). Já conforme dispõe o 
art. 37, “o controlador e o operador devem manter registro das operações de 
tratamento de dados pessoais que realizarem, sobretudo quando a base legal for 
o interesse legítimo” (Brasil, 2018). 
O art. 38, caput, indica que quanto ao controlador, a Autoridade Nacional 
de Proteção deDados (ANPD) poderá determinar que ele elabore relatório de 
impacto à proteção de dados pessoais (RIPD), inclusive de dados sensíveis, 
referente às operações de tratamento de dados, respeitados os segredos 
comerciais e industriais. Assim, o RIPD é uma das formas do controle de dados 
que o controlador do tratamento dos dados terá que produzir, inclusive de dados 
sensíveis, referente às suas operações, mediante solicitação da autoridade 
nacional. Tal relatório deverá conter, no mínimo, a descrição dos tipos de dados 
coletados, a metodologia utilizada para a coleta e para a garantia da segurança 
das informações e a análise do controlador com relação a medidas, salvaguardas 
e mecanismos de mitigação de risco adotados. 
Quanto ao encarregado, embora o legislador nacional tenha copiado do 
GDPR, a figura do Data Protection Officer (DPO; em português, Oficial de 
Proteção de Dados), optou-se por denominá-lo encarregado pelo tratamento de 
dados pessoais, ou podemos nos referir simplesmente a encarregado. O 
encarregado pode ser uma pessoa natural ou jurídica. No primeiro caso, poderá 
ser normalmente um colaborador interno da empresa; no segundo caso, uma 
empresa prestadora de serviços. 
 
 
9 
Assim, conforme dispõe o inciso VIII do art. 5º da LGPD, o encarregado é 
a “pessoa indicada pelo controlador e operador para atuar como canal de 
comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional 
de Proteção de Dados (ANPD)” (Brasil, 2018). 
Ademais, conforme depreende-se do art. 52, inciso II, da LGPD, quem não 
cumprir a Lei restará sujeito às penalidades de advertência com indicação de 
prazo para a correção: I - multa simples de até 2% (dois por cento) do faturamento 
do seu último exercício, excluídos os tributos, limitada a R$ 50.000.000,00 
(cinquenta milhões de reais) por infração; II - multa diária, observado o limite em 
milhões indicado na lei; III - publicização da infração; IV - bloqueio; ou V -
eliminação dos dados objeto da infração. Pode haver, inclusive, cumulação de 
penalidades. Assim, é indispensável que as empresas implementem uma nova 
cultura, com programa de integridade (compliance de dados e digital) com maior 
responsabilidade sobre o tratamento dos dados. 
Destarte, o compliance digital é a união entre a conformidade à lei e a 
tecnologia da informação para a gestão de riscos, de forma que dentro de um 
programa de compliance, a vertente de compliance digital se estrutura num 
programa de protocolos, procedimentos e regulamentos que visam adequar as 
práticas a normas de conduta e segurança internas e externas. 
TEMA 3 – LGPD: CONFORMIDADE 
Dando seguimento, a fim de buscar a implantação de um programa de 
compliance efetivo, passaremos a analisar oito itens essenciais para 
demonstração de conformidade de uma organização frente à LGPD. 
De acordo com Marinho (2020), o princípio da responsabilidade é 
fundamental para o atendimento aos requisitos da LGPD, de forma que as 
organizações que processam dados pessoais devem não só cumprir, mas 
também ser capazes de demonstrar o seu cumprimento com os requisitos dessas 
ordenações. Ou seja, dever ser e parecer ser. 
Os oito itens essenciais que devem existir para garantir a demonstração de 
conformidade de uma organização com as exigências da LGPD são: 
1. Estabelecer uma estrutura de prestação de contas e governança; 
2. Escopo e planejamento do projeto; 
3. Realizar um inventário de dados e uma auditoria de fluxo de dados; 
4. Realizar uma análise detalhada de brechas; 
 
 
10 
5. Desenvolver políticas, procedimentos e processos operacionais; 
6. Proteger os dados pessoais por meio de medidas processuais e técnicas; 
7. Comunicações; 
8. Monitorar e auditar a conformidade. 
Para se estabelecer uma estrutura de prestação de contas e governança, 
a conformidade com a LGPD exige o suporte da alta gestão, sendo essencial que 
a diretoria entenda as implicações da lei (tanto positivas quanto negativas) para 
garantir os recursos necessários a fim de alcançar e manter a conformidade. 
Dessa forma, é necessário: 
• apresentar à alta gestão os riscos e oportunidades da LGPD; 
• obter suporte de gerenciamento para um projeto de conformidade com a 
LGPD; 
• atribuir a responsabilidade pela LGPD a uma pessoa da diretoria; 
• incorporar o risco de proteção de dados na estrutura de gerenciamento de 
riscos corporativos e controles internos. 
Quanto ao escopo e planejamento do projeto, depois de obter suporte de 
nível superior, será preciso descobrir quais áreas de sua organização se 
enquadram no escopo da LGPD e considerar quais processos existentes podem 
ser afetados, auxiliando em seus esforços de conformidade. Para isso, é preciso: 
• nomear e capacitar um gerente de projeto e indicar/nomear um 
encarregado de dados ou oficial de proteção de dados (DPO), se 
necessário; 
• identificar quais entidades estarão no escopo: unidades de negócio, filiais, 
terceirizados, localidades etc.; 
• identificar padrões ou sistemas de gerenciamento que possam fornecer 
uma estrutura para conformidade. Por exemplo: a ISO 27001 demonstra 
atendimento às melhores práticas de gerenciamento de segurança da 
informação e proteção de dados; 
• avaliar o princípio da proteção de dados incorporado e, por padrão, em 
relação a processos e sistemas atuais ou novos; 
• considerar as implicações de regras e leis anteriores à LGPD no seu 
planejamento. 
É impossível cumprir os requisitos de processamento de dados da LGPD 
se você não entender completamente quais dados processa e como você os 
 
 
11 
processa. Para isso, é necessário realizar um inventário de dados e uma auditoria 
de fluxo de dados, em que é necessário: 
• avaliar as categorias de dados mantidos, a origem e a base legal para o 
processamento. Mapear os fluxos de dados de, para, através e da própria 
organização; 
• usar o mapa de dados para identificar os riscos em suas atividades de 
processamento de dados, indicando se uma análise de impacto na 
proteção de dados (DPIA) é necessária; 
• criar a documentação do art. 30 — o registro de atividades de 
processamento de dados pessoais —, com base na auditoria do fluxo de 
dados e da análise do inventário. 
Em seguida, deve-se realizar uma análise detalhada de brechas. A partir 
de uma abordagem sensata da conformidade, é preciso estabelecer o que você 
ainda não faz — avaliar seus fluxos de trabalho, processos e procedimentos atuais 
— para identificar as lacunas que precisa preencher: 
• auditar sua posição de conformidade atual em relação aos requisitos da 
LGPD; 
• identificar as lacunas de conformidade que podem ser eliminadas com 
recursos próprios; 
• identificar as lacunas de conformidade que só podem ser eliminadas com 
auxílio de recursos externos. 
Por meio de uma avaliação de suas práticas de gerenciamento de 
privacidade e processamento de dados, é possível obter um relatório resumido 
das suas lacunas de conformidade com recomendações de correção, a fim de 
desenvolver políticas, procedimentos e processos operacionais. Assim, deve-se: 
• garantir que as políticas de proteção de dados, segurança de informação, 
código de conduta/ética e os avisos de privacidade estejam alinhados à 
LGPD; 
• sempre que precisar de consentimento, assegurar que atenda aos 
requisitos da LGPD; 
• revisar os contratos de funcionários, clientes e fornecedores, atualizando-
os, se necessário; 
• planejar como reconhecer e lidar com as solicitações de acesso de sujeitos 
dos dados, fornecendo respostas no prazo estipulado; 
 
 
12 
• ter um processo para determinar se é necessária a análise de impacto de 
privacidade; 
• analisar se os mecanismos para transferências externas de dados são 
compatíveis com a proteção interna. 
A LGPD exige que as organizações implementem “medidas técnicas e 
organizacionais apropriadas” para garantir que os dados pessoais sejam 
processadosapropriadamente, de forma a proteger os dados pessoais por meio 
de medidas processuais e técnicas, sendo necessário: 
• ter uma política de segurança da informação em vigor, compartilhada e 
assimilada pelos colaboradores da organização; 
• ter uma política de privacidade em vigor, compartilhada e assimilada pelos 
colaboradores da organização; 
• praticar controles técnicos básicos, como os especificados por estruturas 
estabelecidas, como o Cyber Essentials; 
• implementar criptografia e/ou anonimizacão e/ou pseudonimização nos 
casos especificados por lei, quando apropriado; 
• garantir que políticas e procedimentos sejam implementados para detectar, 
relatar, investigar e responder a violações de dados pessoais. 
Manter sua conformidade com a LGPD depende muito de uma equipe 
entender corretamente o que deve fazer e “por quê”, de forma que todos os 
envolvidos no processamento de dados devem ser adequadamente capacitados 
e treinados para seguir processos e procedimentos definido, garantindo assim 
boas comunicações. Para tanto, é necessário: 
• estabelecer comunicações internas eficazes com as partes interessadas e 
a equipe é essencial, uma vez que a conformidade com a LGPD é um 
projeto de mudança de negócios; 
• proporcionar que os funcionários entendam a importância da proteção de 
dados e sejam treinados nos princípios básicos de LGPD e nos 
procedimentos que estão sendo implementados para garantir a 
conformidade. 
Por fim, a conformidade com a LGPD é um projeto dinâmico — realizando 
uma jornada em vez de buscar um destino. Deve-se executar auditorias internas 
periódicas e atualizar seus processos de proteção de dados, incluindo a 
verificação de seus registros de atividades de processamento (logs), mecanismos 
 
 
13 
de consentimento, testes de controles de segurança de informações e a 
realização de Análises de Impacto na Privacidade (PIAs). 
Nesse sentido, é preciso: 
• agendar auditorias regulares de atividades de processamento de dados e 
controles de segurança; 
• manter registros do processamento de dados pessoais atualizados; 
• empreender DPIAs e PIAs quando necessário (é um equívoco achar que 
todos os processos exigem). 
Ainda de acordo Marinho (2020), durante a coleta de dados, é possível que 
haja exposição de informações privadas que podem ser copiadas ou fotografadas. 
Casos comuns ocorrem durante uma campanha de novos clientes para cartões 
de crédito, normalmente realizada em portas de supermercados ou shoppings. 
Durante a coleta de dados, especialmente se for realizada em papel, a 
guarda de fichas cadastrais preenchidas deverá ter sua atenção redobrada, uma 
vez que a simples exposição de dados de titulares será considerada vazamento. 
Outro exemplo comum ocorre quando vamos a um hospital ou clínica e prestamos 
as informações necessárias para sermos atendidos. No momento em que a 
atendente clica no botão para impressão, ela se levanta e deixa nossos dados 
expostos na tela do PC. Em ambas as ocasiões, é necessário criar um “alerta” 
para quem está procedendo a coleta, a fim de que não se distraia no processo e 
eventualmente exponha de forma descuidada os dados. 
No papel, pode ser uma tarja vermelha, indicando que aquele documento 
deve ser armazenado com cuidado; no meio eletrônico, pode surgir um aviso, 
solicitando que se bloqueie a tela antes de se levantar para buscar a ficha 
impressa. Eventualmente, a empresa possui um processo de coleta que 
demandará uma atenção específica durante o atendimento ao titular dos dados. 
O importante é saber que existem momentos em que o funcionário está 
concentrado na atividade e pode não perceber que está expondo informações de 
quem está atendendo. É preciso criar um “lembrete” para esse momento, a fim de 
minimizar o risco de uma penalidade. Note que esse alerta pode estar direcionado 
para a coleta ou para o pedido de consentimento, dependendo da situação. 
O importante é que essa ação minimiza riscos e, em conjunto com 
treinamento e capacitação, reduz as vulnerabilidades comuns nesses momentos. 
 
 
 
14 
TEMA 4 – ISO 27000: SISTEMA DE GERENCIAMENTO DE SEGURANÇA DA 
INFORMAÇÃO 
A Organização Internacional para Padronização (ISO) é uma rede global 
fundada em 1947, formada atualmente por 165 organismos de normas nacionais 
e que publicou mais de 23 mil normas até julho de 2020. A ISO 9000 e a ISO 
14000, que são respectivamente as certificações internacionais de gestão da 
qualidade e gestão ambiental para empresas, bem como as ISOs 37001 e 19600, 
(auditoria e gestão de compliance), já são de conhecimento comum de 
marcas/empresas que desejam se adequar às normas e práticas internacionais. 
Há ainda outras certificações internacionais que se aplicam à gestão de programa 
de compliance que tratam da segurança da informação em empresas. 
A primeira norma ISO que tratou sobre segurança de informação é a ISO 
17799-2000, posteriormente renomeada para ISO 27002, que fornece as 
diretrizes para práticas de gestão de segurança da informação. 
A família de padrões ISO/IEC 27000, também conhecida como série ISO 
27000, é uma série de práticas recomendadas para ajudar as organizações a 
melhorar a segurança da informação. Publicada pela ISO (International 
Organization for Standardization) e IEC (International Electrotechnical 
Commission), a série explica como implementar as melhores práticas de 
segurança da informação. A entidade faz isso definindo os requisitos do ISMS 
(Information Security Management System, ou Sistema de Gerenciamento de 
Segurança da Informação – SGSI). Um SGSI é uma abordagem sistemática de 
gestão de risco, contendo medidas que abordam os três pilares da segurança da 
informação: pessoas, processos e tecnologia. 
Atualmente, a família ISO 27000 é um conjunto de certificações, com 
aproximadamente 50 normas, que variam de temas mais técnicos como 
cybersecurity, segurança em redes até temas normais às organizações, tais como 
gestão de risco, incidentes, fornecedores e governança. 
Nessa família, a ISO 27011 aborda a gestão da segurança da informação 
para empresas de telecomunicações. Já a ISO 27018 explica como as 
organizações devem proteger informações confidenciais na nuvem. Por outro 
lado, a ISO 27015 é dedicada a negócios do ramo de serviços financeiros. Existem 
outras ISOs focadas em tópicos específicos da tecnologia da informação, como 
controles para cloud computing (ISO 27017) e segurança de redes (ISO 27033). 
 
 
15 
A ISO IEC 27001:2013 é o único padrão da série em que as organizações 
podem ser auditadas e certificadas. Isso porque ele contém uma visão geral de 
tudo o que você deve fazer para alcançar um programa de 
compliance/conformidade, que é expandida em cada um dos demais padrões. 
De acordo com Fernando Fonseca (2020), o SGSI, baseado no ciclo PDCA 
é especificado na ISO 27001, a qual é responsável pela manutenção dos controles 
e melhorias contínuas de segurança nas empresas. 
Nesse ciclo, encontra-se os seguintes elementos: 
• Comunicação com partes interessadas: transmitem suas expectativas e 
requisitos de segurança da informação que devem ser alcançados. 
• As estratégias de proteção são desenhadas, os recursos são alocados, o 
SGSI é estabelecido e a alta gestão da organização demonstra seu 
comprometimento com o sucesso de sua implantação e manutenção. 
• Os controles são implementados, os recursos necessários para a sua 
operação são alocados e o sistema passa a gerenciar a efetividade deles 
ao longo do tempo. 
• Os responsáveis pelo SGSI monitoram e fazem uma análise crítica da 
eficiência dos controles. 
• Os controles são revistos e, quando necessário, aprimorados para que 
possam oferecer uma proteção cada vez mais adequada. 
• As partes interessadas acompanham a eficiência do SGSI e conseguem 
gerenciar os riscos relacionados à segurança da informação na 
organização. 
Pelo fato de a norma ISO 27001 serauditável e certificável, o SGSI é o 
responsável por garantir que um determinado nível de segurança será mantido ao 
longo do tempo. Assim, a certificação traz confiabilidade e cria uma boa imagem 
de credibilidade, com boas práticas para implantação de um compliance digital. 
Considerando que a ISO 27002 fornece as diretrizes para a prática de 
gestão de segurança das informações, a fim de identificar a implantação de 
controles, dividindo em 14 seções (cada um tratando de um domínio de segurança 
da informação diferente), cada diretriz sugerida se torna obrigatória. 
Dessa forma, as empresas precisam criar evidências que estão cumprindo 
regularmente os controles de forma periódica, sendo revisto, nunca ultrapassando 
um ano, período no qual a certificação precisa ser revalidada. Por tal razão, a 
gestão e organização do programa de compliance digital e a aplicação das normas 
 
 
16 
da família ISO 27000 exige que as companhias façam análise de riscos de 
segurança periodicamente, a fim de garantir a sua eficácia e comprometimento. 
A implantação do programa de integridade exige que a alta administração 
demonstre comprometimento com a análise de riscos e a definição de objetivos e 
estratégias, garantindo que todos os recursos necessários não só para a 
implementação, mas também para a manutenção do sistema estejam disponíveis. 
A norma exige que toda a informação seja documentada apropriadamente, 
com identificação, definição e formato, com acompanhamento de desempenho, 
através da aplicação de indicadores que possibilitem analisar a eficiência do 
sistema, a fim de garantir uma melhoria contínua para corrigir não conformidades. 
TEMA 5 – SEGURANÇA DA INFORMAÇÃO 
A segurança da informação é uma palavra de ordem atualmente. No 
entanto, entender a importância do assunto não torna mais fácil a tarefa de colocá-
la em prática no momento da implantação de um programa de compliance digital. 
A segurança da informação é um tema que ganhou corpo nos últimos anos, 
obtendo espaço nas mídias e tornando-se commodity, em empresas dos mais 
variados portes e segmentos. Sobretudo por considerar que os transtornos 
gerados por incidentes são variados, acarretando desde danos à imagem do 
negócio, vazamento de informações críticas e perdas financeiras substanciais. 
Por isso, é importante identificar os riscos aos quais os ativos de informação estão 
expostos (armazenamento e a troca de dados em meio digital). 
De acordo com Brosso e Moretzsohn (2020), são propriedades básicas da 
segurança da informação: confidencialidade, integridade, disponibilidade e 
autenticidade (CIDA), que garantem que a informação não seja disponibilizada ou 
revelada a indivíduos, entidades ou processos não autorizados. Dessas 
propriedades, destacam-se integridade, confidencialidade e disponibilidade. 
A integridade relaciona-se com a fiel característica da informação, sendo 
considerado risco à integridade quando uma mensagem é transferida com 
distorções, fatos falsos ou parciais. 
Somente pessoas autorizadas devem acessar determinado conteúdo, a fim 
de que a confidencialidade seja garantida. Dessa forma, como exemplo, se 
hackers forem capazes de invadir um sistema e roubar dados restritos, a 
confidencialidade está comprometida, ou ainda, se colaboradores tiverem acesso 
 
 
17 
a informações sigilosas internas da companhia, como folhas de salários e dados 
pessoais de outros funcionários. 
Uma informação deve ser acessada quando necessária para que sua 
disponibilidade seja garantida, visto que as informações devem ser rápidas e 
precisas, para garantir ainda que a fiscalização ocorra de forma célere. 
Tendo em vista, ainda, a crescente necessidade de garantir a segurança 
da informação de forma a comprovar a sua eficácia, as empresas têm buscado 
cada vez mais implantar um programa de integridade de compliance digital 
robusto, valendo-se inclusive das normas estabelecidas na ISO 27002. 
Como visto no tema anterior, a ISO 27002 fornece as diretrizes para a 
prática de gestão de segurança das informações, a fim de identificar a implantação 
de controles, dividindo em 14 seções. Portanto, devem ser focados nas boas 
práticas para a gestão da segurança da informação, garantindo assim um Sistema 
de Gestão de Segurança da Informação (SGSI) voltado à manutenção dos 
processos de segurança, bem como aos objetivos estratégicos da organização. 
Algumas atuações complementam a gestão de um programa de 
compliance digital efetiva, aliado a boas práticas para fortalecer a empresa, dentre 
elas testes periódicos de atualização constante, formas de proteção de dados, 
treinamentos com todos os usuários dos sistemas, atuação com boas práticas e 
governança corporativa para políticas de segurança da informação. É necessário 
inclusive a realização de levantamentos dos ativos das informações, backups 
periódicos, controles de acesso, manejo de senhas, segurança de redes Wi-Fi, 
dentre outros atos. 
FINALIZANDO 
A proteção das informações, garantindo a confidencialidade, integridade, 
disponibilidade e autenticidade, é cada vez mais necessária em todas as 
organizações empresariais, a fim de garantir a confiança de clientes, fornecedores 
e demais parceiros. Destarte, atualmente, o compliance digital aliado à LGPD e à 
segurança da informação deve ser considerado como base essencial nos 
negócios, a fim de garantir o sucesso e a sobrevivência das organizações. 
 
 
 
18 
REFERÊNCIAS 
BLUM, R. P. F.; MORAES, H. F. M. Manual de Compliance. 2. ed. Rio de Janeiro: 
Forense, 2020. 
BRASIL. Decreto n. 8.420 de 18 de março de 2015. Disponível em: 
. 
Acesso em: 2 jul. 2021. 
BRASIL. Lei n. 12.846, de 1º de agosto de 2013. Disponível em: 
. 
Acesso em: 2 jul. 2021. 
MARINHO, F. Os 10 mandamentos da LGPD: como implementar a Lei Geral de 
Proteção de Dados em 14 passos. 1. ed. São Paulo: Atlas, 2020. 
TEIXEIRA, T. Direito digital e processo eletrônico. 5. ed. São Paulo: Saraiva 
Educação, 2020. 
 
 
	TEMA 1 – DECRETO n. 8.771/2016: REGULAMENTAÇÃO DO MARCO CIVIL DA INTERNET
	TEMA 2 – LGPD: ASPECTOS GERAIS
	TEMA 3 – LGPD: CONFORMIDADE
	TEMA 4 – ISO 27000: SISTEMA DE GERENCIAMENTO DE SEGURANÇA DA INFORMAÇÃO
	TEMA 5 – SEGURANÇA DA INFORMAÇÃO
	FINALIZANDO
	REFERÊNCIAS