Além do conhecimento técnico necessário para responder às solicitações de titulares de forma eficiente (tanto jurídico quanto de tecnologia da informação), o Encarregado também precisa realizar a gestão eficiente dessas solicitações e das respostas, para garantir que elas sejam atendidas dentro do prazo estabelecido pela ANPD.

Em empresas de grande porte, contudo, essa gestão pode se mostrar particularmente desafiadora. Além do maior volume de solicitações (pedidos de acesso, portabilidade ou eliminação de dados pessoais, por exemplo), as empresas maiores contam com diversos departamentos (jurídico, comercial, de coletas de subsídios, entre outros), e para atender os pedidos dos titulares de dados dependerá de uma comunicação eficaz entre esses departamentos.

LEIA TAMBÉM: 

• Como o Business Intelligence pode ajudar as empresas?
• A importância dos guias orientativos da ANPD

Como se sabe, o cenário vivenciado pela maioria das empresas é de emprego do e-mail (uma ferramenta de comunicação) como ferramenta de gestão, resultando em longas sequências de mensagens, com inúmeros colaboradores em cópia e demora para a tomada de ação, além das dificuldades de verificação da localização da demanda e gerenciamento da volumetria e natureza dos pedidos.

Diante desse cenário, os prazos não são acompanhados de forma adequada, não há levantamento de métricas relevantes para melhoria do atendimento e muitas solicitações acabam não sendo respondidas, acarretando o risco de sanções administrativas ou ações judiciais.

Ainda que a ANPD não tenha aplicado multas até o momento, qualquer empresa pode receber uma solicitação de informações, tendo que esclarecer a forma como os pedidos dos titulares de dados são respondidos. Nesse momento, demonstrar a seriedade com que a empresa conduz essas solicitações é essencial para comprovar o compromisso com as novas regras trazidas pela LGPD.

Não basta ter um DPO/Encarregado designado, com dados para contato via website, se ele ou ela não for capaz de atender e gerir aquelas informações com eficiência, celeridade e organização.

Cabe a cada empresa indagar como as tecnologias utilizadas impactam as vidas das pessoas e como melhor utilizá-las. Uma gestão eficiente de dados pessoais requer, necessariamente, uma boa gestão das solicitações de demandas realizadas pelos titulares desses dados, no exercício de seus direitos.

Isso significa uma melhor governança, cujo impacto repercute não apenas sobre a relação com os clientes, mas também sobre colaboradores, investidores, parceiros, fornecedores e sobre a sociedade como um todo.

Uma política de proteção de dados robusta faz parte de uma estrutura de governança sólida. É mais do que um diferencial competitivo, responder às solicitações de titulares de dados, forma rápida e eficaz contribui para o ganho reputacional da empresa, para a organização e gestão de processos, além de influenciar diretamente a continuidade de negócios.

O post Como a sua empresa atende solicitações de titulares de dados? apareceu primeiro em LBCA | Lee, Brock, Camargo Advogados.

Isso começou a mudar em alguma medida e, especialmente no âmbito da União Europeia, com o surgimento de casos de danos ambientais plurilocalizados (caso Bier[1]), evoluindo com a propositura de ações por difamação praticadas em publicações distribuídas em mais de um Estado (caso Shevill[2]).

Essas hipóteses de concorrência internacional de jurisdições alcançaram atualmente um patamar de relevância incomparável na história, com a massificação da internet, dos modelos de comunicação e dos conflitos dali advindos.

Mesmo na ausência de decisões de tribunais superiores no Brasil, é relevante destacar que o Tribunal de Justiça de São Paulo (TJSP) já indeferiu pedidos de ampliação da competência internacional das cortes nacionais em assuntos relacionados à internet em algumas oportunidades.

Em 2011, a corte considerou suficiente, para fins de comprovação de cumprimento de ordem judicial de remoção, que resultados de decisões colegiadas proferidas por tribunais considerados infringentes pelo Judiciário fossem desindexados do motor de buscas da Google, porém apenas nos resultados direcionados ao público brasileiro (www.google.com.br), indeferindo a desvinculação nos resultados trazidos em outras jurisdições, como pelo endereço www.google.com.

Em 2016, ao apreciar uma demanda que buscava a remoção de postagens no Twitter, o tribunal destacou que:

“Embora o conteúdo ilícito ainda possa ser acessado mediante conexões estrangeiras, a determinação de remoção de conteúdo, prolatada por juiz brasileiro, está restrita ao território nacional, não se estendendo a outros países como medida impositiva, em clara observância ao princípio da territorialidade”[3].

No mesmo ano de 2016, o tribunal decidiu, num recurso que versava sobre o bloqueio de acesso a um vídeo no YouTube: “a regra é que a remoção de conteúdo deve ser local, não global”. Desse modo, “a jurisdição brasileira não tem competência para determinar a alteração de conteúdos em outros países; ela não pode atingir a produção e circulação de informações e conteúdos em outros Estados soberanos”[4].

Em 2017, em outro caso também envolvendo o YouTube, o TJSP teve a oportunidade de destacar que:

“À evidência, o comando judicial limita-se ao território nacional, à luz do disposto no artigo 16 do Novo CPC (antigo 1º do CPC de 1973), de sorte que não se pode compelir o apelante […] a promover a retirada desse mesmo vídeo em outros países”[5].

No mesmo ano de 2017, a corte paulista afastou a ampliação de uma ordem judicial de remoção de postagem em um blog, entendendo que:

“O cumprimento da execução foi verificado, tendo em vista que a remoção da fotomontagem nos limites do território nacional atende aos ditames da lei 12.965/2014 (o Marco Civil da Internet) […] porque esta lei que regula a utilização do uso da internet está limitada ao território nacional, não podendo nossa legislação estender sua aplicação além das fronteiras nacionais, pois isso violaria o princípio da soberania”.

Já em 2019, o TJSP entendeu que “a despeito das alegações da agravante de que os canais pertencentes ao réu estão ativos em outros países”, não haveria descumprimento de obrigação de fazer determinada pelo Judiciário brasileiro, caso o material reputado infringente tivesse o seu acesso indisponibilizado às pessoas localizadas no território nacional. Assim,

“conforme as diretrizes da Lei 12.965/2014, a qual estabelece princípios, garantias, direitos e deveres para o uso da internet no Brasil e em observância ao art. 16 do Código de Processo Civil e à soberania dos Estados prevista no art. 4º, III, e V da Constituição Federal; a versão brasileira do YouTube é o ambiente adequado para o cumprimento das decisões proferidas no Brasil”.

No mesmo mês, outra decisão do TJSP entendeu que:

“Muito embora a internet seja uma rede mundial, a competência do magistrado restringe-se ao território nacional, não lhe sendo possível determinar a exclusão dos conteúdos em outros países, os quais possuem seu próprio ordenamento jurídico”.

Em outro recurso julgado ainda em 2019 e também vinculado a um pedido de remoção de vídeo do YouTube, o tribunal afirmou que:

“Não pode o agravante ser compelido ao bloqueio do acesso de usuários de outros países ao conteúdo supostamente ofensivo, diante da aplicação, no caso, do princípio da territorialidade, previsto no artigo 16 do Código de Processo Civil”.

Por fim, em 2020, em outro caso envolvendo postagem no Twitter, decidiu o TJSP que:

“A determinação para remoção de conteúdo, por ter sido proferida por juiz brasileiro, a princípio, deve restringir-se ao território nacional, não se estendendo a conexões provenientes de outros países, em respeito aos princípios da territorialidade e soberania”.

Discussões sobre a efetividade das soluções adotadas nos julgamentos acima são deveras pertinentes. A esse respeito, é importante esclarecer que a efetivação de comandos judiciais de remoção de ilícito na internet dificilmente ocorrerá em seu patamar máximo, ou seja, no sentido de que 100% dos usuários de internet ficarão impossibilitados de acessar o conteúdo tido como infringente, e isso não se restringe a questões territoriais.

Por exemplo, uma determinação judicial pode ordenar a remoção de um conteúdo inserto em uma URL e desse mesmo material por ser reinserido em outro endereço eletrônico ou mesmo em outra rede social.

Essa situação, aliás, foi percebida pelo ministro Alexandre de Moraes no Inquérito 4.781/DF quando, no objetivo de afastar uma alegação de censura prévia decorrente do bloqueio de perfis, reconheceu que os investigados continuavam se manifestando em redes sociais, mediante a criação de novos endereços, “não raras vezes repetindo as mesmas condutas criminosas”.

Esse fenômeno tem sido conhecido como a “Primeira Emenda do espaço virtual”. Na prática, a liberdade de expressão é garantida, se não pela lei material ou pelas decisões jurisdicionais, pela própria estrutura em que fora concebida a internet.

Os padrões e as possibilidades de anonimização; descentralização; desvinculação de critérios geográficos; criptografia; e a ausência de sistemas de identificação de materiais, em conjunto ou separadamente, contribuem para a permanência das postagens no ambiente online, não obstante as tentativas judiciais de remoção.

A rede foi concebida visando justamente a impedir atos de censura por uma autoridade central, e isso acaba gerando, na prática, imperfeições regulatórias indissociáveis.

Diversos Estados, então, podem conhecer e executar — especialmente porque as empresas de internet têm atuação global — decisões potencialmente diferentes e, nesse contexto, ocasionar impactos no acesso de pessoas localizadas fora de seus lindes territoriais.

Além do mais, a existência de decisões divergentes pode gerar um ambiente de descumprimento indesejado em relação a um ou mais comandos. Como a possibilidade de conflitos é real, este artigo defende que a solução mais adequada é limitar a eficácia de decisões judiciais dirigidas a bloquear manifestações na internet aos acessos à rede localizados naquele território.

Quanto à possibilidade de utilização de ferramentas que “mascaram” a real origem da conexão, verificou-se que a medida é conhecida por uma quantidade muito reduzida de pessoas, percentual que parece não comprometer, de maneira decisiva, a efetividade da tutela jurisdicional.

Essa lógica, por exemplo, é aquela aceita pelo Tribunal de Justiça da União Europeia (TJUE) no caso Google v. CNIL (c-507/2017), quando defendido o “desencorajamento” de acessos ao conteúdo tido por infringente.

[1] C-21/76 – Handelskwekerij Bier v. Mines de Potasse d’Alsace.

[2] C-68/93 – Fiona Shevill v. Presse Alliance SA.

[3] TJSP. Agravo de Instrumento 2055830-58.2016.8.26.0000. Rel. Des. J.B. Paula Lima. 10ª Câmara de Direito Privado. Data do Julgamento: 26/07/2016.

[4] TJSP. AI 2059415-21.2016.8.26.0000. Rel. Des. Natan Zelinschi de Arruda. 4ª Câmara de Direito Privado. Data do Julgamento: 11.08.2016.

[5] TJSP. AC 1054138-03.2014.8.26.0100. Rel. Des. Salles Rossi. 8ª Câmara de Direito Privado. Data do Julgamento: 05.04.2017.

SOLANO DE CAMARGO – Sócio-sênior da Lee, Brock, Camargo Advogados, pós-doutorando em Direito Internacional pela Faculdade de Direito de Coimbra (Portugal), doutor e mestre pela Faculdade de Direito da USP.

FRANCISCO DE MESQUITA LAUX – Doutor e mestre em Direito Processual pela Universidade de São Paulo. Vice-diretor de Processo e Tecnologia e membro do Instituto Brasileiro de Direito Processual. Advogado.

O post A ‘Primeira Emenda do espaço virtual’ apareceu primeiro em LBCA | Lee, Brock, Camargo Advogados.

1. O que são as ouvidorias no setor público?

Canais de comunicação que devem manter a imparcialidade e independência e atuar como apoio estratégico a órgãos públicos, servindo de mediadoras na facilitação de diálogo e na busca de soluções de conflitos entre usuários/cidadãos e entidades da administração pública. Elas devem observar em sua atuação, os princípios constitucionais de legalidade, moralidade, transparência e eficiência. A ouvidoria foi fortalecida a partir da Constituição de 1988 e a criação das ouvidorias em órgãos públicos municipais, estaduais e federais tornou-se obrigatória pela Lei 10.844/18.

2.Quais cuidados que a ouvidoria deve ter com dados pessoais e a LGPD?

As ouvidorias podem tratar de dados pessoais (inclusive sensíveis), além de informações sigilosas, devendo garantir a privacidade do titular de dados através da observância do regramento da proteção de dados. Portanto, deve restringir a coleta desses dados apenas ao essencial para cumprir a finalidade de apuração, devendo o titular dos dados ser informado de forma objetiva e precisa sobre as políticas de tratamento adotadas pela ouvidoria à luz da LGPD. Vale ressaltar que nas ouvidorias também são permitidas manifestações anônimas, que precisam ser cobertas pelo sigilo de dados.

3.É importante obter o consentimento do titular dos dados?

É fundamental que o tratamento dos dados pela Ouvidoria seja fundamentado em uma das bases legais previstas no artigo 7º da LGPD, dentre elas o consentimento de forma livre e inequívoca do titular dos dados para que haja o tratamento de seus dados pessoais para finalidade determinada de apuração de um ilícito, por exemplo. Também seria ideal que a ouvidoria obtivesse de seus profissionais um termo de confidencialidade sobre os dados dos usuários que estão sendo tratados e incluísse uma cláusula de conformidade à LGPD nos contratos de trabalho.

4.Na Ouvidoria, o ouvidor tem papel de encarregado ou DPO (Data Protection Officer), segundo a LGPD?

Não. A Ouvidoria é um agente de tratamento e atua como o operador dos dados sob o comando do controlador. A Ouvidoria deve atuar em conjunto com o encarregado de dados de modo que este a oriente a tratar os dados pessoais de modo a proteger a privacidade dos titulares, assegurando o cumprimento da aplicação da LGPD. A Ouvidoria pode ser uma forma pela qual o encarregado de dados receba reclamações dos titulares de dados para prestar os devidos esclarecimentos. As comunicações dos órgãos fiscalizadores devem ser encaminhadas diretamente ao encarregado de dados conforme o contato disponibilizado ao público (e-mail, telefone, etc.).

Confira  as últimas atualizações jurídicas sobre o impacto do Coronavírus no Brasil e no mundo/a></a

O post Adequação das Ouvidorias à LGPD apareceu primeiro em LBCA | Lee, Brock, Camargo Advogados.

Ricardo Freitas Silveira, sócio e chief data officer do escritório Lee, Brock, Camargo Advogados (LBCA) explica que as companhias vivem momentos diferentes em relação à nova lei, o que ocasiona variações na busca pelos serviços das bancas. Ele destaca duas demandas que possuem alta procura:

Serviço completo de implementação: compreende o mapeamento dos dados, a análise de riscos e a toda a adequação jurídica necessária; Terceirização do cargo de Data Protection Officer (DPO): conhecida como “DPO as a Service”, a prática traz flexibilidade e redução de custos para as empresas, contando com o serviço de um profissional capacitado sem precisar de um funcionário interno especializado no assunto. Ricardo relata que, hoje, 60% da equipe de seu escritório atua como encarregado de proteção de dados.

Também existem demandas mais complicadas de serem implementadas, como a definição das bases legais que justificam o tratamento de dados, que podem variar de acordo com o tipo de negócio da empresa e o nível e maturidade dela em relação ao tema. O sócio do LBCA enfatiza dois serviços com aplicação mais complexa:

Identificação correta do fluxo de dados: o mapeamento certo dos dados é imprescindível e, para isso, os colaboradores devem conhecer muito bem sobre o tratamento adotado. Isso se torna mais difícil por conta das mudanças que a sociedade brasileira enfrenta desde o início da pandemia, principalmente as alterações nos processos internos das companhias;

Gestão do consentimento dos titulares de dados: quando este serviço é realizado em empresas que trabalham com milhares de titulares e interagem com eles de maneira presencial e virtual, a aplicação pode se mostrar mais trabalhosa.

É possível ter uma equipe corporativa de privacidade e proteção de dados que possua profundo conhecimento do negócio. No entanto, realizar um trabalho em parceria, com ajuda de uma banca jurídica, pode trazer mais tranquilidade na jornada de adequação.

“A importância da contratação de um escritório de advocacia para assuntos relacionados à LGPD está na experiência em outros processos de adequação, complementando o conhecimento da equipe interna. Assim, há um conhecimento prévio, por exemplo, sobre os principais fluxos de dados a aplicação das bases legais. Muitas dúvidas já foram superadas, o que garante maior celeridade e  efetividade no processo de adequação“, diz Ricardo Freitas Silveira, sócio e chief data officer da LBCA.

Apesar de serem temas que estão nos holofotes atualmente, a privacidade e a proteção de dados movimentam o cenário jurídico há alguns anos. João Pedro Ferraz Teixeira, sócio do escritório COTS Advogados, relata que a busca por serviços de adequação teve início com clientes multinacionais, em razão da General Data Protection Regulation (GDPR), legislação vigente na Europa. Ele explica que, com a aprovação da LGPD no Brasil, passaram a surgir demandas como consultorias em projetos de desenvolvimento de produtos e serviços, elaboração e análises de contratos e relatórios sob a ótica da privacidade e da proteção de dados e maior procura pelos serviços de um DPO. O advogado também destaca as seguintes medidas:

Serviços relacionados à governança de dados pessoais: fazem parte deles a elaboração de normas e políticas sobre o tema e due diligences que envolvam a análise de risco em contratação de fornecedores, parceiros e fusões e aquisições;

Incidentes relacionados a dados pessoais: neste tema, estão as demandas de apoio jurídico nos planos de resposta a incidentes, nas atividades de investigação corporativa e na mitigação de riscos relacionados às ocorrências com dados pessoais.

Em relação às demandas mais trabalhosas de se implementar nas companhias, João Pedro vai além das questões técnicas e ressalta a dificuldade em conscientizar e aculturar as pessoas sobre a privacidade e a proteção dos dados pessoais, por não serem matérias que necessariamente são observadas pelas pessoas diariamente e enfrentarem alguma resistência por parte dos clientes.

“Para que uma organização tenha a privacidade e a proteção de dados incorporada em sua cultura organizacional, não basta apenas a redação de documentos e o estabelecimento de políticas. É necessário todo um desenvolvimento dos colaboradores, que é dificultado pela falta de conhecimento prévio do tema e exige grande esforço e criatividade, permitindo às pessoas a absorverem e aplicarem os conhecimentos necessários”, afirma João Pedro Ferraz, sócio do COTS Advogados.

Por fim, seguindo a mesma linha de Ricardo sobre a importância da contratação de um escritório para auxiliar em demandas de adequação, João Pedro enfatiza a necessidade e carimba esta medida como essencial, tendo em vista que a regulamentação da LGPD não está completa e traz muitas obrigações e responsabilidades, sem indicar uma forma objetiva de atendê-las. Ele aponta o dever do profissional especializado em saber orientar seus clientes quanto aos meios para atingir os objetivos e requisitos da legislação pois, de acordo com o sócio, de nada adianta conseguir proteger os dados pessoais se a utilização deles pela empresa é invasiva, lesiva ou prejudicial aos seus titulares.

Confira  as últimas atualizações jurídicas sobre o impacto do Coronavírus no Brasil e no mundo/a></a

O post A importância da LGPD na implementação das empresas apareceu primeiro em LBCA | Lee, Brock, Camargo Advogados.

Nota-se que o escopo da LGPD (lei 13.709/2018) é proteger a privacidade dos titulares dos dados  por meio de regras de proteção de dados.

Desta forma, a definição de finalidades previamente informadas aos titulares dos dados ou aos seus responsáveis, em caso de menores de idade, é uma regra que deve ser tomada por padrão com a vigência da lei iniciada em setembro de 2020.

Neste sentido, competirá às instituições de ensino informar aos titulares dos dados as finalidades nas quais os dados pessoais serão tratados, levando-se sempre em consideração a regra da minimização, isto é, caberá a escola tratar o menor número de dados pessoais possíveis para atingir a finalidade do tratamento.

Logo, a criação de atos de tratamento excepcionais em nome de finalidades que não foram previamente informadas devem ser tratadas com muito cuidado para não ferir o princípio da transparência e do livre acesso à informação.

Neste sentido, emergem questões como: a filmagem completa do ambiente das salas de aula para viabilizar a participação dos alunos que acompanharão de forma remota é uma maneira correta à luz da LGPD e da proteção à privacidade?

Devemos notar que a função da filmagem de uma aula é a transmissão do conteúdo pelo professor para os alunos que estão presentes de forma remota, razão pela qual, neste prisma, a filmagem dos alunos presentes na sala de aula se torna desnecessária e configura tratamento de dados sem base legal apropriada.

Abordagem diferente pode ser avaliada no caso de trabalhos em grupo dos alunos com exposição direta ao professor e aos demais colegas de sala. Neste caso, entende-se que a finalidade do ensino está sendo aplicada e o tratamento de dados pessoais decorrentes da filmagem tem como escopo viabilizar o acesso dos alunos que estão assistindo de forma remota aos debates acerca do trabalho ali exposto pelos alunos presentes em sala de aula, em conjunto com aqueles que lá não estão.

Sob este mesmo prisma deve ser analisada a questão da exposição e tratamento da imagem dos alunos que estão presentes na aula de forma remota. Necessário sempre a indagação sobre a necessidade do uso da imagem e do tratamento dos dados pessoais deste aluno diante da finalidade que se pretende, no caso, o ensino.

Diante destes exemplos, o que se pretende é preservar o tratamento de dados pessoais dos alunos ao mínimo necessário para que as atividades de ensino sejam aplicadas e executadas pelas instituições, respeitando-se sempre a privacidade do aluno o quanto possível por meio da minimização do tratamento de dados, seja por meio de filmagens desnecessárias ou outros modos de tratamento que não condigam com a finalidade do ensino, seja na modalidade presencial ou à distância.

Levando-se em consideração que a finalidade da filmagem é a transmissão do conteúdo pelo professor durante a aula, não se recomenda que a filmagem exponha os demais alunos ali presentes, na medida em que os dados pessoais dos alunos filmados, direta ou indiretamente, acarretam em tratamento de dados pessoais que deveriam ser informados previamente além de ser relacionados diretamente com a finalidade de ensino.

Confira  as últimas atualizações jurídicas sobre o impacto do Coronavírus no Brasil e no mundo/a></a

O post Filmagem dos alunos em sala de aula à luz da LGPD apareceu primeiro em LBCA | Lee, Brock, Camargo Advogados.

• Clique aqui e confira entrevista na integra

Confira  as últimas atualizações jurídicas sobre o impacto do Coronavírus no Brasil e no mundo/a></a

O post Quais os direitos e obrigações com a LGPD? apareceu primeiro em LBCA | Lee, Brock, Camargo Advogados.