Direito digital e proteção de dados para empresas que operam na economia digital. LGPD, contratos de tecnologia e resposta a incidentes, da adequação à defesa perante a ANPD.
Mapeamento, política e governança de dados que resistem à fiscalização.
Vazamento e ataque: o plano para as primeiras horas, quando tudo conta.
SaaS, licenciamento, cloud, SLA e a proteção da propriedade.
Fiscalização, sanção e a relação com a autoridade de dados.
Cessão de código, marca e o ativo intangível protegido no papel.
Uso indevido de dados, imagem e responsabilidade na rede.
Riscos jurídicos da inteligência artificial na empresa: LGPD e decisão automatizada, confidencialidade, titularidade do resultado e contrato com fornecedor.
Ler análise › Direito Digital e LGPDLGPD em empresa B2B: papéis de controlador e operador, contrato com fornecedor, governança de dados e prazo de resposta a incidente.
Ler análise › Direito Digital e LGPDVeja os cuidados jurídicos que empresas devem adotar em e-commerce, termos de uso, política de privacidade, informações ao consumidor e proteção de dados.
Ler análise ›Programa de proteção de dados se prova no dia do incidente. É quando se descobre se o mapeamento existia, se alguém sabia a quem comunicar e em quanto tempo, e se os contratos com fornecedores diziam alguma coisa útil.
A ordem usual inverte o problema: contrata-se um modelo de política de privacidade, publica-se no site e considera-se a empresa adequada. Mas a política descreve o que a empresa faz com dados, e ninguém pode descrever o que não mapeou.
O mapeamento responde quatro perguntas por tratamento: que dado, de quem, para qual finalidade e por quanto tempo. Dele saem a base legal de cada operação, o prazo de guarda, o registro exigido pelo art. 37 da Lei 13.709/2018 e, só então, os documentos públicos.
O art. 7º lista as bases legais e elas não são intercambiáveis. Consentimento exige manifestação livre, informada e inequívoca, e o art. 8º, §2º, coloca no controlador o ônus de provar que foi obtido conforme a lei. Execução de contrato cobre o necessário àquela relação, e não tudo o que for conveniente a partir dela.
O legítimo interesse, dos arts. 7º, IX, e 10, é o mais invocado e o menos documentado. Ele exige finalidade concreta, necessidade e balanceamento registrado com os direitos do titular, e o art. 10, §3º, permite que a autoridade peça o relatório de impacto.
O art. 48 da Lei 13.709/2018 obriga a comunicar à autoridade e ao titular o incidente que possa acarretar risco ou dano relevante, e a regulamentação da ANPD fixou prazo contado do conhecimento do fato.
Isso torna a detecção parte do dever. Empresa que descobre o vazamento dois meses depois não ganha dois meses de prazo: ganha dois meses de omissão para explicar.
O plano de resposta precisa existir antes e responder a três perguntas: quem decide que houve incidente, quem comunica e por qual via, e quem preserva a evidência técnica antes que a correção apague o rastro.
A maior parte do dado de uma empresa hoje está em sistema de terceiro. O contrato com esse terceiro é, na prática, a medida de segurança mais relevante que ela tem.
Quatro cláusulas carregam o peso: finalidade e limites do tratamento, com proibição de uso para finalidade própria do fornecedor, inclusive treinamento de modelos; prazo e procedimento de comunicação de incidente; regras de subcontratação e local de armazenamento; e devolução ou eliminação dos dados ao término, com formato e prazo definidos.
O art. 42 estabelece que o operador responde solidariamente quando descumpre a legislação ou deixa de seguir instrução lícita do controlador. Cláusula que tenta concentrar toda a responsabilidade em um dos lados organiza o regresso entre as partes, mas não afasta a responsabilidade perante o titular.
Para a empresa contratante, a consequência é que escolher e fiscalizar o fornecedor faz parte da adequação. Não é possível terceirizar o tratamento e, junto com ele, a responsabilidade.
Este texto é informativo e não substitui a análise da operação concreta, nos termos do Provimento CFOAB 205/2021.
A comunicação é devida quando o incidente pode acarretar risco ou dano relevante aos titulares, e deve ser feita em prazo razoável. A avaliação precisa ser registrada mesmo quando a conclusão é pela não comunicação, porque a ausência de registro impede demonstrar depois que houve análise. Nas primeiras horas importa conter, preservar evidência e documentar a linha do tempo, que é o que sustenta a posição da empresa perante a autoridade.
Aplica-se, porque a lei trata de dado pessoal e não de relação de consumo. Em operação B2B há dado de representante, de contato, de empregado do cliente e de candidato a vaga. O que muda é a base legal predominante, que costuma ser execução de contrato e legítimo interesse, e esta última exige teste documentado, não mera invocação.
Três, no mínimo. Saber qual base legal sustenta o tratamento dos dados usados. Garantir revisão humana efetiva quando a decisão afeta direito de alguém, o que significa alguém com poder real de mudar o resultado. E definir contratualmente com o fornecedor quem responde por erro, quem pode usar os dados de entrada para treinar modelo e o que acontece com eles no fim do contrato.
A resposta vem antes do contrato com o fornecedor e depende de como o resultado é gerado e aproveitado. No Brasil, a proteção autoral pressupõe criação intelectual humana, o que torna frágil a pretensão de exclusividade sobre resultado puramente automatizado. Por isso a proteção prática se constrói por contrato, por sigilo e pelo registro do que foi efetivamente desenvolvido pela equipe.
Nível de serviço com consequência pelo descumprimento, e não apenas percentual declarado. Regra de propriedade e de devolução dos dados ao término, em formato utilizável. Responsabilidade por incidente de segurança, com obrigação de comunicar em prazo definido. Condições de reajuste e de rescisão. E cláusula de continuidade, porque a interrupção de um sistema crítico costuma custar mais do que o contrato inteiro.
Não basta. O banner precisa permitir recusa tão fácil quanto o aceite, e o disparo das tecnologias de medição e de anúncio deve ocorrer depois da escolha, não antes. Banner que informa enquanto o rastreamento já acontece cria registro de descumprimento em vez de evidência de conformidade. Vale conferir no próprio site o que dispara antes do clique.
O que está em jogo são os dados e a operação.
Conte em duas linhas o que está acontecendo. A primeira conversa é com um sócio, e você escolhe se prefere café, telefone ou vídeo.
Vamos tomar um caféUsamos cookies para medir o uso do site e, se você permitir, para anúncios. Veja a Política de Privacidade.
