wiki

LGPD- Lei Geral de Proteção de Dados

Revisão de 18h37min de 4 de junho de 2020 por Lucasmoraes (discussão | contribs) (→Detalhamento Técnico)

Fase I - Estudo


Título da Idéia

  • LGPD - Lei Geral de Proteção de Dados


Objetivos

  • O objetivo básico da LGPD é regulamentar o tratamento de dados pessoais dos indivíduos garantindo direitos fundamentais relacionados à proteção da liberdade, privacidade e intimidade das pessoas e permitindo aos titulares mais transparência e controle sobre a coleta e utilização de seus dados.


Conceito


  • Art. 5o Para os fins desta Lei, considera-se:
    • I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;
  • Informação relativa a uma pessoa física identificada ou identificável (“titular dos dados”).
  • Exemplos:
      • Nome Completo, Nacionalidade, Data de Nascimento, Gênero,Documento de Identidade, Cadastro de Pessoa Física, Nome empresarial, CNPJ, Informações societárias, Endereço de e-mail, Endereço Físico, Número de telefone;
    • Outros exemplos:
      • Informações sobre sistema operacional e navegador de dispositivo,Endereço IP, Geolocalização, Dados técnicos de dispositivo utilizado,Registros de interações com a plataforma;
      • Quaisquer elementos específicos da identidade física (etnia, biometria), fisiológica (dados de saúde, vida sexual), genética, mental (opiniões políticas, filosóficas e religiosas, orientação sexual), econômica (Dados bancários / financeiros / creditícios), cultural (preferências) ou social (dados laborais, perfil de consumo, perfil acadêmico) etc.
    • II - dado pessoal sensível:
      • origem racial ou étnica;
      • convicção religiosa;
      • opinião política;
      • convicções filosóficas;
      • filiação a sindicato ou a organização de caráter religioso, filosófico ou político;
      • saúde;
      • vida sexual;
      • dado genético; e
      • biometria.


Características 


  • Entra em vigor em agosto/ 2020;
  • Proteção de dados pessoais em quaisquer meios, e não apenas os digitais;
  • Regulamenta o tratamento de dados pessoais;
  • Busca proteger o direito fundamental à privacidade;
  • Minimização no tratamento dos dados pessoais;
  • Sanções: Multa e Publicização da infração, dentre outras.
  • Conceito Controlador e Operador;
  • Conceito de Encarregado (DPO) e suas funções; e
  • Cenário atual da proteção de dados no Brasil e no mundo.



Estudo Dirigido


  • Drive da Empresa: LGPD - Lei Geral de Proteção de Dados

Link [[1]]

Fase II - Ensino


Conteúdo e Apresentação

Apresentação LGBD- Lei Geral de Proteção de Dados

Metodologia


  • Scrum
  • Kanban
  • Pmbok
  • Contratada Consultoria KPMG


Fase III - Exemplo de Caso de Negócio


Product Backlog


A Lei Geral de Proteção de Dados tem como principais abordagens:

  • Segurança de dados;
  • Privacidade;
  • Transparência entre as partes envolvidas;
  • Tratamento de dados responsável;


Essas abordagens buscam garantir a proteção e a intimidade do titular dos dados, beneficiando tanto o usuário final quanto a o organização.


Benefícios para quem for oferecer esta solução

  • Vantagem competitiva inicial onde as empresas que estiverem adequadas à Lei estarão um passo a frente daquelas que ainda vão se adequar, e, portanto, podem receber preferência dos consumidores e clientes;
  • Segurança jurídica, visto que estarão atuando sob as normas e condições legais;
  • Confiabilidade no relacionamento com o cliente: a transparência na coleta e tratamento de dados fará com que o cliente se sinta mais seguro e confortável em lidar com aquela organização, tornando a experiência menos invasiva e mais respeitosa;
  • Valorização de informações relevantes para o marketing da organização: com a quantidade de dados extremamente restrita as empresas deverão, através de estudos, valorizar informações que realmente exercem alguma influência no comportamento do consumidor, o que provavelmente irá fortalecer as ações de marketing e aumentar sua eficácia.




Benefícios para o usuário

  • Transparência no uso de dados pessoais: a partir da LGPD o consumidor terá maior controle a respeito do uso de suas informações, podendo limitar o acesso a eles (na maior parte das vezes) da maneira que preferir;
  • Privacidade e liberdade: exceto casos raros, cabe ao consumidor determinar quando julga necessário ou não que a empresa tenha acesso aos seus dados;
  • Valorização de dados: a longo prazo as pessoas irão compreender o quão valiosos suas informações pessoais podem ser, facilitando sua própria segurança;
  • Confiabilidade: os consumidores terão maior senso de confiabilidade com as companhias que tratarem seus dados adequadamente.


Direcionadores chave para esta iniciativa

A Lei Geral de Proteção de Dados têm como principais direcionadores:

  • Segurança e privacidade do consumidor;
  • Responsabilidade empresarial com informações de seus clientes;
  • Proteção jurídica contra o uso irresponsável de informações particulares;
  • Transparência entre a relação consumidor - organização.



Possíveis modelos de negócios

Para que a Algar desenvolva as ações necessárias para a conclusão do projeto de adequação à Lei é indicado que busquem orientação e acompanhamento jurídico, buscando compreender e respeitar toda a abrangência da mesma, também se faz preciso o envolvimento de quase todas as áreas da empresa, sendo elas:

  • Operações: TI, Relacionamento, Técnico/Campo e Algar Franquias;
  • Staff: Talentos Humanos, Faturamento/Cobrança, Jurídico e Processos;
  • Negócios: Marketing e Vendas.


O envolvimento e adequação dessas áreas é preciso, visto que todas elas, até então, possuíam livre acesso a dados e informações pessoais dos consumidores e clientes. Além disso, todos os parceiros da Algar também devem se adaptar e acolher a Lei de maneira apropriada, caso contrário a empresa não deve se envolver ou manter tal parceria pois pode ser legalmente prejudicada. Será necessário durante a execução do projeto uma frente que acompanhe e monitore a adequação destes terceiros à Lei, evitando sigilos e garantindo o interesse mútuo entre as partes.

Também listamos algumas empresas que oferecem serviços que podem auxiliar no cumprimento da Lei:

  • McAfee: podem oferecer antivírus e sistemas de monitoramento ao uso de dados;


  • KPMG: serviços de consultoria para auxiliar nos melhores processos e tecnologias a serem utilizados;


  • PG: consultoria jurídica para auxílio nas alterações das minutas contratuais;


  • Coruja: treinamentos para conscientização dos colaboradores, além de elaboração de peças de comunicação com o mesmo tema;


  • OneTrust:
  • Palo Alto:
  • IBM:
  • MD2:
  • Oracle:

Business Case


Alinhamento com Lei do Bem

  • Projeto possui algum elemento tecnologicamente novo ou inovador?


Basicamente todo o projeto, visto que é algo obrigatório que busca mudar todo o tratamento de dados e a tecnologia para cumprir esses padrões é nova.

  • Projeto possui barreira ou desafio tecnológico superável?


O tempo de implantação do projeto ser relativamente curto, a cultura de proteção de dados e a barreira tecnológica (comprar novas tecnologias e novos sistemas e aprender a melhor forma de manuseio desses sistemas e tecnologias)

  • Projeto utiliza metodologia/método para superação da barreira ou desafio tecnológico?


Utiliza a metodologia Agile Scrum, com reuniões diárias entre o time e repasses semanais para os gerentes e outras partes envolvidas no negócio. Essas reuniões mantém o time ciente das barreiras e facilita a superação das mesmas.


  • Projeto é desenvolvido em parceira com alguma instituição acadêmica, ICT ou startup?


Sim, as seguintes empresas participam do projeto:

    • IBM
    • MD2
    • McAfee
    • OneTrust
    • KPMG
    • PG
    • Oracle
    • Coruja
    • Palo Alto

Fase IV - Protótipo orientado ao Negócio


Escopo


Explique o escopo deste protótipo


Limitações


Informe sobre as limitações técnicas, comerciais, operacionais, recursos, etc.


Aprovações e adaptação de empresas parceiras, atualização de TODOS os contratos da Algar (com clientes, parceiros, colaboradores), adaptação dos sistemas da Algar para filtrar/criptografar dados já coletados de clientes, colaboradores e parceiros

PoC


Desenvolva um PoC (Proof of Concept)


Detalhamento Técnico


Para que o projeto possa ser executado e concluído de maneira apropriada no prazo estipulado, a Algar Telecom investiu em máquinas e softwares virtualizados. Esses serviços e produtos serão entregues pelas seguintes empresas:

  • IBM e MD2:


A MD2 irá fornecer o Quality Manager, um portal de processos necessário para atender a legislação, também chamado de Portal do Titular. Nesse portal o usuário final conseguirá consultar os protocolos, exercer o direito de esquecimento e consultar e questionar o uso de seus dados pessoais.Por outro lado, dentro desse portal grande parte das funcionalidades serão entregues pela IBM. Como a LGPD exige que a empresa tenha ciência de todas as localizações de dados pessoais, acessos, compartilhamentos e usuários que visualizam, as funcionalidades entregues pela IBM têm como principal objetivo fazer esse rastreamento e monitoramento. A solução entregue por eles irá encontrar cada dado, de cada cliente, em todos os locais que estão sob a gestão da Algar Telecom. Isso inclui máquinas, portais, drives, e-mails, arquivos e imagens.

  • McAfee


Serão responsáveis pela entrega de um antivírus com funcionalidades DLP, EDR e CASB.

Funcionalidade DLP (Data Lost Prevention): Software que busca evitar o vazamento de informações. A ferramenta atingirá os resultados através do monitoramento de tudo que está sob a gestão da Algar Telecom, sendo e-mails, computadores, drives e etc. Ele compreende que pessoas específicas tem acessos a arquivos e dados "privados", e através disso consegue seguir um padrão de "regras" que serão inseridas anteriormente. Essas regras irão guiar as ações que o software irá realizar caso alguém com acesso a essas informações sensíveis tente divulgá-las ou compartilhá-las, seja excluindo, bloqueando o acesso ou qualquer outro tipo de restrição. A ferramenta detecta informações em textos, imagens, prints, dentre outros.

Funcionalidade EDR (Endpoint Detection and Response): A falta de capacidade dos antivírus convencionais em monitorar, identificar, priorizar e neutralizar todas e quaisquer ameaças ou comportamentos suspeitos em um ambiente de forma contínua foi o que impulsionou a criação do EDR, que exerce exatamente essas funções nos "endpoints", além de instantaneamente comunicar os usuários responsáveis pela segurança do ambiente sobre tal situação para que tomem as medidas necessárias e consigam evitar a disseminação dessas ameaças por toda a rede e outros usuários. Simultaneamente também busca compreender de que maneiras essa ameaça ou anomalia se comporta para que possa automaticamente iniciar um processo de "antecipação", tentando bloquear e impedir que essa ameaça volte a acontecer ou atinja outros usuários e máquinas evitando o comprometimento da operação em grande escala Todas essas funcionalidades auxiliam a manter a segurança da rede e o trabalho de analistas e responsáveis pela segurança.

Funcionalidade CASB (Cloud Access Security Broker): Devido a necessidade de transferir e manter os dados confidenciais nas nuvens, é importante que os mesmos estejam seguros e constantemente protegidos. Para isso surgiram as ferramentas CASB. Essas ferramentas atuam entre o provedor de serviços de nuvem e os consumidores desses serviços. Sua principal função é manter esses dados seguros e livres de ameaças. A Algar Telecom opta por usar os serviços de nuvem da AWS (Amazon Web Services) para sustentar seus dados, sistemas e todas suas informações, e para manter esses dados seguros irá contratar um CASB do tipo IAS oferecido pela McAfee que será encarregado por monitorar tudo que diz respeito à própria Algar Telecom dentro da AWS.

  • Palo Alto


Assim como a McAfee a Palo Alto irá entregar um CASB, entretanto, este terá o foco para Shadow IT. O objetivo desse CASB é monitorar o uso de quaisquer ferramentas e softwares que não são homologados pela empresa, bloqueando, filtrando e evitando o vazamento de informações através desses canais.

  • OneTrust


Irá entregar uma solução que tem como principal função gerir as informações nos sites da Algar Telecom de forma legal para o usuário final. Isso será feito através da análise dos cookies, identificando quais são realmente necessários e adaptando-os para que sejam realizadas perguntas ao usuário final, evitando que seus dados sejam utilizados sem sua autorização.

  • Coruja


Foram contratados para elaborar peças de comunicação, criando e editando vídeos, imagens e quaisquer outros tipos de comunicação que auxiliem na divulgação da LGPD. O intuito é conscientizar todos os envolvidos, sendo eles tanto colaboradores quanto usuários finais. Também é responsabilidade da Coruja oferecer treinamentos para os colaboradores, facilitando a transição de cultura organizacional e adaptando os mesmo às novas regras impostas pela LGPD.

  • KPMG (Dentre outros [que outros?])


Prestam uma consultoria geral a respeito do tema. É responsabilidade deles estudarem todo o tema para que possam auxiliar na escolha dos melhores processos a serem adotados, melhores tecnologias que podem ser utilizadas, melhores práticas organizacionais para a adaptação, dentre outros.

  • PG (A PG fará a alteração nas minutas/políticas ou irá guiar alguém na Algar para realizar essas alterações e dará uma aprovação final?)


Como previsto pela Lei, todos os envolvidos devem se adaptar à segurança dos dados, portanto será necessário que todos os contratos tenham suas minutas alteradas e estabelecidas de maneira que respeite a segurança e privacidade dos dados. Além disso, as políticas de segurança e privacidade internas também serão alteradas para que seja de fato afirmado que os colaboradores irão respeitar as regras, caso contrário poderão sofrer consequências.

  • Oracle - Software - XXXXX (O que estão entregando?)


Cronograma Macro


Erro ao criar miniatura: Arquivo não encontrado Erro ao criar miniatura: Arquivo não encontrado Erro ao criar miniatura: Arquivo não encontrado

Histórico


  • 10/03/2020: Reunião de alinhamento com o especialista Elias Brandão agendada para discussão do tópico;
  • 11/03/2020: Início da escrita do Conceito;características e listagem dos tópicos do estudo dirigido;
  • 19/03/2020: Criação de apresentação da Fase 2;
  • 02/04/2020: Coloquei o Cronograma;
  • 08/04/2020: Atualizei o Cronograma ;
  • 20/04 a 24/04/2020: Estudando o tema e participando das reuniões de equipe para compreensão do projeto;
  • 27/04 a 01/05/2020: Estudando o tema;
  • 04/05/2020 a 08/05/2020: Reuniões e estudos;
  • 11/05/2020 a 15/05/2020: Elaboração da Fase 3;
  • 18/05/2020 e 19/05/2020: Possíveis modelos de negócios e Alinhamento com a Lei do Bem;
  • 22/05/2020: Business Case - Fase 3
  • 29/05/2020: Leitura de livro sobre LGPD
  • 02/06/2020: Ajustes na Fase 3


Pesquisadores

  • Lucas de Moraes
  • Wanessa De Moura Cota
  • Elias Brandão


Disponível em “http://3.143.69.156/wiki/index.php?title=LGPD-_Lei_Geral_de_Proteção_de_Dados&oldid=75266”