DefiniçãoA LGPD (Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018) é a lei brasileira que regula o tratamento de dados pessoais por empresas e órgãos públicos, define direitos dos titulares e obrigações de segurança, com fiscalização da ANPD.
Como funciona
A LGPD vale para qualquer operação com dados pessoais, em meio digital ou físico, realizada no Brasil, com o objetivo de oferecer bens ou serviços a pessoas no Brasil ou com dados coletados no país. Todo tratamento precisa de uma base legal, como consentimento, cumprimento de obrigação legal, execução de contrato ou legítimo interesse. A lei define papéis:
- Titular: a pessoa a quem os dados se referem.
- Controlador: quem toma as decisões sobre o tratamento.
- Operador: quem trata os dados em nome do controlador.
- Encarregado: o canal de comunicação entre controlador, titulares e ANPD.
Onde a LGPD encontra a cibersegurança
A lei exige que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, para proteger os dados contra acessos não autorizados e situações acidentais ou ilícitas. Também determina que o controlador comunique à ANPD e aos titulares a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. Na prática, isso exige capacidade de detectar, investigar e documentar incidentes: sem saber quais dados foram afetados, não há como avaliar o risco nem comunicar corretamente.
Sanções
O art. 52 prevê sanções que vão de advertência a multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, além de publicização da infração, bloqueio e eliminação de dados, entre outras. O cálculo das multas segue o regulamento de dosimetria da ANPD.
LGPD vs ISO 27001: a LGPD é lei e trata de dados pessoais; a ISO/IEC 27001 é norma voluntária sobre segurança da informação em geral. Um SGSI bem implantado ajuda a demonstrar as medidas de segurança que a lei exige.
A Network Secure apoia programas de GRC e de resposta a incidentes que ajudam a atender às exigências de segurança da LGPD.
Perguntas frequentes
Qual a diferença entre LGPD e GDPR?
A LGPD é a lei brasileira de proteção de dados; o GDPR é o regulamento da União Europeia. Têm princípios parecidos, mas diferem em pontos como bases legais, prazos e valores de sanções.
Toda violação de dados precisa ser comunicada à ANPD?
A LGPD exige comunicar à ANPD e aos titulares os incidentes que possam acarretar risco ou dano relevante. Avaliar esse risco depende de investigar o que foi afetado.