LGPD- Lei Geral de Proteção de Dados

Fase I - Estudo

Título da Idéia

• LGPD - Lei Geral de Proteção de Dados

Objetivos

• O objetivo básico da LGPD é regulamentar o tratamento de dados pessoais dos indivíduos garantindo direitos fundamentais relacionados à proteção da liberdade, privacidade e intimidade das pessoas e permitindo aos titulares mais transparência e controle sobre a coleta e utilização de seus dados.

Conceito

• Art. 5o Para os fins desta Lei, considera-se:
  • I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
• Informação relativa a uma pessoa física identificada ou identificável (“titular dos dados”).

• Exemplos:
  • • Nome Completo, Nacionalidade, Data de Nascimento, Gênero,Documento de Identidade, Cadastro de Pessoa Física, Nome empresarial, CNPJ, Informações societárias, Endereço de e-mail, Endereço Físico, Número de telefone;
  • Outros exemplos:
    • Informações sobre sistema operacional e navegador de dispositivo,Endereço IP, Geolocalização, Dados técnicos de dispositivo utilizado,Registros de interações com a plataforma;
    • Quaisquer elementos específicos da identidade física (etnia, biometria), fisiológica (dados de saúde, vida sexual), genética, mental (opiniões políticas, filosóficas e religiosas, orientação sexual), econômica (Dados bancários / financeiros / creditícios), cultural (preferências) ou social (dados laborais, perfil de consumo, perfil acadêmico) etc.
  • II - dado pessoal sensível:
    • origem racial ou étnica;
    • convicção religiosa;
    • opinião política;
    • convicções filosóficas;
    • filiação a sindicato ou a organização de caráter religioso, filosófico ou político;
    • saúde;
    • vida sexual;
    • dado genético; e
    • biometria.

Características 

• Entra em vigor em agosto/ 2020;
• Proteção de dados pessoais em quaisquer meios, e não apenas os digitais;
• Regulamenta o tratamento de dados pessoais;
• Busca proteger o direito fundamental à privacidade;
• Minimização no tratamento dos dados pessoais;
• Sanções: Multa e Publicização da infração, dentre outras.
• Conceito Controlador e Operador;
• Conceito de Encarregado (DPO) e suas funções; e
• Cenário atual da proteção de dados no Brasil e no mundo.

Estudo Dirigido

• Drive da Empresa: LGPD - Lei Geral de Proteção de Dados

Link [[1]]

Fase II - Ensino

Conteúdo e Apresentação

Apresentação LGBD- Lei Geral de Proteção de Dados

Metodologia

• Scrum
• Kanban
• Pmbok
• Contratada Consultoria KPMG

Fase III - Exemplo de Caso de Negócio

Product Backlog

A Lei Geral de Proteção de Dados tem como principais abordagens:

• Segurança de dados;
• Privacidade;
• Transparência entre as partes envolvidas;
• Tratamento de dados responsável;

Essas abordagens buscam garantir a proteção e a intimidade do titular dos dados, beneficiando tanto o usuário final quanto a o organização.

Benefícios para quem for oferecer esta solução

• Vantagem competitiva inicial onde as empresas que estiverem adequadas à Lei estarão um passo a frente daquelas que ainda vão se adequar, e, portanto, podem receber preferência dos consumidores e clientes;
• Segurança jurídica, visto que estarão atuando sob as normas e condições legais;
• Confiabilidade no relacionamento com o cliente: a transparência na coleta e tratamento de dados fará com que o cliente se sinta mais seguro e confortável em lidar com aquela organização, tornando a experiência menos invasiva e mais respeitosa;
• Valorização de informações relevantes para o marketing da organização: com a quantidade de dados extremamente restrita as empresas deverão, através de estudos, valorizar informações que realmente exercem alguma influência no comportamento do consumidor, o que provavelmente irá fortalecer as ações de marketing e aumentar sua eficácia.

Benefícios para o usuário

• Transparência no uso de dados pessoais: a partir da LGPD o consumidor terá maior controle a respeito do uso de suas informações, podendo limitar o acesso a eles (na maior parte das vezes) da maneira que preferir;
• Privacidade e liberdade: exceto casos raros, cabe ao consumidor determinar quando julga necessário ou não que a empresa tenha acesso aos seus dados;
• Valorização de dados: a longo prazo as pessoas irão compreender o quão valiosos suas informações pessoais podem ser, facilitando sua própria segurança;
• Confiabilidade: os consumidores terão maior senso de confiabilidade com as companhias que tratarem seus dados adequadamente.

Direcionadores chave para esta iniciativa

A Lei Geral de Proteção de Dados têm como principais direcionadores:

• Segurança e privacidade do consumidor;
• Responsabilidade empresarial com informações de seus clientes;
• Proteção jurídica contra o uso irresponsável de informações particulares;
• Transparência entre a relação consumidor - organização.

Possíveis modelos de negócios

Para que a Algar desenvolva as ações necessárias para a conclusão do projeto de adequação à Lei é indicado que busquem orientação e acompanhamento jurídico, buscando compreender e respeitar toda a abrangência da mesma, também se faz preciso o envolvimento de quase todas as áreas da empresa, sendo elas:

• Operações: TI, Relacionamento, Técnico/Campo e Algar Franquias;
• Staff: Talentos Humanos, Faturamento/Cobrança, Jurídico e Processos;
• Negócios: Marketing e Vendas.

O envolvimento e adequação dessas áreas é preciso, visto que todas elas, até então, possuíam livre acesso a dados e informações pessoais dos consumidores e clientes. Além disso, todos os parceiros da Algar também devem se adaptar e acolher a Lei de maneira apropriada, caso contrário a empresa não deve se envolver ou manter tal parceria pois pode ser legalmente prejudicada.

Será necessário durante a execução do projeto uma frente que acompanhe e monitore a adequação destes terceiros à Lei, evitando sigilos e garantindo o interesse mútuo entre as partes.

Business Case

Para que o projeto possa ser executado e concluído de maneira apropriada no prazo estipulado, a Algar Telecom investiu em máquinas e softwares virtualizados. Esses serviços e produtos serão entregues pelas seguintes empresas:

• IBM e MD2:

A MD2 irá fornecer o Quality Manager, um portal de processos necessário para atender a legislação, também chamado de Portal do Titular. Nesse portal o usuário final conseguirá consultar os protocolos, exercer o direito de esquecimento e consultar e questionar o uso de seus dados pessoais.Por outro lado, dentro desse portal grande parte das funcionalidades serão entregues pela IBM. Como a LGPD exige que a empresa tenha ciência de todas as localizações de dados pessoais, acessos, compartilhamentos e usuários que visualizam, as funcionalidades entregues pela IBM têm como principal objetivo fazer esse rastreamento e monitoramento. A solução entregue por eles irá encontrar cada dado, de cada cliente da Algar, em todos os locais que estão sob a gestão da Algar Telecom. Isso inclui máquinas, portais, drives, e-mails, arquivos e imagens.

• McAfee

Serão responsáveis pela entrega de um antivírus com funcionalidades DLP, EDR e CASB.

Funcionalidade DLP (Data Lost Prevention): Software que busca evitar o vazamento de informações. A ferramenta atingirá os resultados através do monitoramento de tudo que está sob a gestão da Algar Telecom, sendo e-mails, computadores, drives e etc. Ele compreende que pessoas específicas tem acessos a arquivos e dados "privados", e através disso consegue seguir um padrão de "regras" que serão inseridas anteriormente. Essas regras irão guiar as ações que o software irá realizar caso alguém com acesso a essas informações sensíveis tente divulgá-las ou compartilhá-las, seja excluindo, bloqueando o acesso ou qualquer outro tipo de restrição. A ferramenta detecta informações em textos, imagens, prints, dentre outros.

Funcionalidade EDR (Endpoint Detection and Response): A falta de capacidade dos antivírus convencionais em monitorar, identificar, priorizar e neutralizar todas e quaisquer ameaças ou comportamentos suspeitos em um ambiente de forma contínua foi o que impulsionou a criação do EDR, que exerce exatamente essas funções nos "endpoints", além de instantaneamente comunicar os usuários responsáveis pela segurança do ambiente sobre tal situação para que tomem as medidas necessárias e consigam evitar a disseminação dessas ameaças por toda a rede e outros usuários. Simultaneamente também busca compreender de que maneiras essa ameaça ou anomalia se comporta para que possa automaticamente iniciar um processo de "antecipação", tentando bloquear e impedir que essa ameaça volte a acontecer ou atinja outros usuários e máquinas evitando o comprometimento da operação em grande escala Todas essas funcionalidades auxiliam a manter a segurança da rede e o trabalho de analistas e responsáveis pela segurança.

Funcionalidade CASB (Cloud Access Security Broker): Devido a necessidade de transferir e manter os dados confidenciais nas nuvens, é importante que os mesmos estejam seguros e constantemente protegidos. Para isso surgiram as ferramentas CASB. Essas ferramentas atuam entre o provedor de serviços de nuvem e os consumidores desses serviços. Sua principal função é manter esses dados seguros e livres de ameaças. A Algar Telecom opta por usar os serviços de nuvem da AWS (Amazon Web Services) para sustentar seus dados, sistemas e todas suas informações, e para manter esses dados seguros irá contratar um CASB do tipo IAS oferecido pela McAfee que será encarregado por monitorar tudo que diz respeito à própria Algar Telecom dentro da AWS.

• Palo Alto

Assim como a McAfee a Palo Alto irá entregar um CASB, entretanto, este terá o foco para Shadow IT. O objetivo desse CASB é monitorar o uso de quaisquer ferramentas e softwares que não são homologados pela empresa, bloqueando, filtrando e evitando o vazamento de informações através desses canais.

• OneTrust

Irá entregar uma solução que tem como principal função gerir as informações nos sites da Algar Telecom de forma legal para o usuário final. Isso será feito através da análise dos cookies, identificando quais são realmente necessários e adaptando-os para que sejam realizadas perguntas ao usuário final, evitando que seus dados sejam utilizados sem sua autorização.

• Coruja

Foram contratados para elaborar peças de comunicação, criando e editando vídeos, imagens e quaisquer outros tipos de comunicação que auxiliem na divulgação da LGPD. O intuito é conscientizar todos os envolvidos, sendo eles tanto colaboradores quanto usuários finais. Também é responsabilidade da Coruja oferecer treinamentos para os colaboradores, facilitando a transição de cultura organizacional e adaptando os mesmo às novas regras impostas pela LGPD.

• KPMG (Dentre outros [que outros?])

Prestam uma consultoria geral a respeito do tema. É responsabilidade deles estudarem todo o tema para que possam auxiliar na escolha dos melhores processos a serem adotados, melhores tecnologias que podem ser utilizadas, melhores práticas organizacionais para a adaptação, dentre outros.

• PG (A PG fará a alteração nas minutas/políticas ou irá guiar alguém na Algar para realizar essas alterações e dará uma aprovação final?)

Como previsto pela Lei, todos os envolvidos devem se adaptar à segurança dos dados, portanto será necessário que todos os contratos tenham suas minutas alteradas e estabelecidas de maneira que respeite a segurança e privacidade dos dados. Além disso, as políticas de segurança e privacidade internas também serão alteradas para que seja de fato afirmado que os colaboradores irão respeitar as regras, caso contrário poderão sofrer consequências.

• Oracle - Software - XXXXX (O que estão entregando?)

Alinhamento com Lei do Bem

• Projeto possui algum elemento tecnologicamente novo ou inovador?

Basicamente todo o projeto, visto que é algo obrigatório que busca mudar todo o tratamento de dados e a tecnologia para cumprir esses padrões é nova.

• Projeto possui barreira ou desafio tecnológico superável?

O tempo de implantação do projeto ser relativamente curto, a cultura de proteção de dados e a barreira tecnológica (comprar novas tecnologias e novos sistemas e aprender a melhor forma de manuseio desses sistemas e tecnologias)

• Projeto utiliza metodologia/método para superação da barreira ou desafio tecnológico?

Utiliza a metodologia Agile Scrum, com reuniões diárias entre o time e repasses semanais para os gerentes e outras partes envolvidas no negócio. Essas reuniões mantém o time ciente das barreiras e facilita a superação das mesmas.

• Projeto é desenvolvido em parceira com alguma instituição acadêmica, ICT ou startup?

Sim, as seguintes empresas participam do projeto:

• • IBM
  • MD2
  • McAfee
  • OneTrust
  • KPMG
  • PG
  • Oracle
  • Coruja
  • Palo Alto

Fase IV - Protótipo orientado ao Negócio

Escopo

Explique o escopo deste protótipo

Limitações

Informe sobre as limitações técnicas, comerciais, operacionais, recursos, etc.

Aprovações e adaptação de empresas parceiras, atualização de TODOS os contratos da Algar (com clientes, parceiros, colaboradores), adaptação dos sistemas da Algar para filtrar/criptografar dados já coletados de clientes, colaboradores e parceiros

PoC

Desenvolva um PoC (Proof of Concept)

Detalhamento Técnico

Descreva especificamente os aspectos técnicos desta pesquisa

Cronograma Macro

Erro ao criar miniatura: Arquivo não encontrado Erro ao criar miniatura: Arquivo não encontrado Erro ao criar miniatura: Arquivo não encontrado

Histórico

• 10/03/2020: Reunião de alinhamento com o especialista Elias Brandão agendada para discussão do tópico;
• 11/03/2020: Início da escrita do Conceito;características e listagem dos tópicos do estudo dirigido;
• 19/03/2020: Criação de apresentação da Fase 2;
• 02/04/2020: Coloquei o Cronograma;
• 08/04/2020: Atualizei o Cronograma ;
• 20/04 a 24/04/2020: Estudando o tema e participando das reuniões de equipe para compreensão do projeto;
• 27/04 a 01/05/2020: Estudando o tema;
• 04/05/2020 a 08/05/2020: Reuniões e estudos;
• 11/05/2020 a 15/05/2020: Elaboração da Fase 3;
• 18/05/2020 e 19/05/2020: Possíveis modelos de negócios e Alinhamento com a Lei do Bem;
• 22/05/2020: Business Case - Fase 3
• 29/05/2020: Leitura de livro sobre LGPD

Pesquisadores

• Lucas de Moraes
• Wanessa De Moura Cota
• Elias Brandão