Desde que entrou em vigor em agosto de 2020, a LGPD (Lei Geral de Proteção de Dados) trouxe desafios para as empresas que precisaram rever toda a sua relação com os dados dos clientes. Essa adequação exige mudanças no processo de captura de dados pessoais e informações como um todo, não apenas do site, mas de qualquer canal de conversão da empresa, inclusive, por meios físicos de coleta.
Pensando nisso, criamos um guia com boas práticas da LGPD, para ajudar a preparar as alterações necessárias nos sites e ferramentas das empresas e mostrar como será a relação com os clientes daqui para frente.
Controle de consentimento é fundamental com a LGPD
A primeira coisa que se deve entender é que a ciência do usuário sobre o conteúdo da política de privacidade e termo de uso é obrigatória para o usuário concluir um cadastro ou interagir com um sistema.
Se a empresa for utilizar o consentimento como respaldo para o usuário acessar o sistema e receber comunicações futuras da empresa, o cliente tem que ter a opção de interagir ou não com a sua empresa, concedendo e retirando o consentimento.
Neste caso, será necessário solicitar o consentimento para cada finalidade pretendida pela empresa. Assim, é necessário dividir o consentimento em níveis, por exemplo:
- Aceitar a comunicação por e-mail sobre promoções da empresa;
- Aceitar receber a comunicação de parceiros;
- Permitir compartilhar dados com terceiros para a prestação de serviços;
- Permitir compartilhar dados com outras empresas do Grupo, para melhoria do serviço.
Cada um destes itens pode ficar disponível na hora do cadastro, mas, para ter segurança jurídica em caso de contestações, é importante registrar todo o histórico. Para auxiliar nesta gestão, já existem sistemas específicos que se integram ao site ou plataforma. O RD Station e AdOpt, por exemplo, ajudam no registro do consentimento de comunicação direta e da política de privacidade.
Empoderamento do titular dos dados pessoais
Outro fator muito importante que a LGPD impõe é o empoderamento do titular dos dados. O usuário tem diversos direitos previstos na LGPD e deve ter, de forma facilitada o exercício destes, o que inclui a:
- Confirmação se está havendo tratamento de dados
- Opção de solicitar acesso aos dados registrados pela sua empresa e portabilidade de dados
Além disso, precisa de um um caminho para:
- Alterar sua opção de consentimento
- Revogar o consentimento
Existe também a necessidade de excluir dados pessoais da base, como por exemplo quando a ANPD (Autoridade Nacional de Proteção de Dados) solicitar, ou quando o próprio titular o fizer.
Sabemos que excluir informações de clientes pode gerar a perda de dados históricos e gerenciais da empresa. Por isso, é preciso buscar caminhos técnicos para, por exemplo, manter o registro de que uma venda aconteceu. Informações importantes como o valor das vendas e produtos comprados podem ser mantidos na base de dados, mas os dados como cliente, nome, e-mail, endereço de entrega deverão ser anonimizados, deixando de ser impactos pela LGPD.
Pela LGPD, quanto tempo pode-se manter os dados?
O prazo de retenção dos dados dentro da empresa deve também seguir uma lógica. Ou seja, tem que guardar relação com a finalidade para a qual o dado foi coletado/tratado. Por exemplo, uma vez prestado o serviço, não seria mais necessário conservar o dado pessoal na base de dados. Entretanto, a empresa poderá guardar o dado pessoal para cumprir com suas obrigações legais e regulatórias, ou para se defender em Juízo.
Mais do que um desafio técnico, o compliance com a LGPD impõe que a empresa assuma, de fato, o respeito à LGPD como um valor. A empresa deve se comprometer com um prazo para que os dados sejam realmente excluídos após a solicitação (da ANPD, ou do titular). Isso envolve a necessidade de criar processos internos para garantir que este procedimento seja feito em todos os sistemas da empresa (incluindo ERP e plataformas de pagamento).
Além disso, a LGPD também exige a nomeação de uma pessoa responsável pela Privacidade de Dados, o denominado Encarregado, que tem como suas principais atribuições fazer intermediação com a Autoridade Nacional de Proteção de Dados Pessoais (ANPD) e com os usuários (titulares dos dados) e poderá ser acionado em caso de contestação, ou em caso de acidentes de segurança.
Segurança da Informação
O último aspecto que é muito importante e não pode ser negligenciado é a segurança dos dados. Aqui, a equipe técnica realmente tem um papel fundamental para dar segurança à empresa. A ANPD tem um Guia Orientativo com Checklist dos requisitos básicos que as empresas tem que ter. A lei diz que a empresa deve tomar as medidas técnicas para impedir o acesso indevido aos dados pessoais, além de garantir que não sejam alterados, compartilhados ou tratados de forma inadequada.
Mas, na prática, o que isso significa?
Que a empresa deve ter estabelecidos procedimentos de segurança da informação tal como a criptografia dos dados pessoais antes de serem salvas no banco de dados. Neste caso, a criptografia garantiria que, mesmo diante de um ataque, o acesso aos seus arquivos será dificultado ou até mesmo não acessado por terceiros, na medida que haverá uma camada extra de proteção para leitura destes dados.
Também deve-se planejar com cuidado o manuseio destes dados, podendo criar até diferentes níveis de acesso aos sistemas. Apenas os usuários com nível administrativo devem ter acesso a todos os dados dos clientes. Ainda que as equipes operacionais precisem realizar consultas para gerar uma segunda via de boleto ou mesmo abrir uma solicitação interna. Neste caso, uma boa alternativa é exibir apenas parte da informação para os operadores. Por exemplo, mostrar apenas o primeiro nome do cliente ou os últimos dígitos do CPF.
Pontos de atenção ao capturar os dados
De maneira geral, a LGPD determina que devemos solicitar apenas os dados indispensáveis para atingir a finalidade da prestação do serviço pela empresa. Ou seja, deixar de fora informações excessivas/desnecessárias como data de nascimento e sexo, porque são irrelevantes para os serviços.
Existe ainda uma discussão sobre a necessidade de manter dados como telefone e endereço, mas como são dados cadastrais, sua guarda pode se justificar por permitir o contato em caso de detecção de possibilidade de fraude, geração de boletos e contato em caso de falhas de processamento. Para isso, devemos incluir que haverá retenção de tais informações na política de privacidade.
Outro ponto importante que citamos antes, mas que vale a pena reforçar é a recomendação de que todo dado que envolve a identificação pessoal (nome, e-mail e CPF, por exemplo) seja criptografado no Banco de Dados para reduzir os potenciais riscos de acesso indevido, ou uso indevido de referidos dados. Se não houver possibilidade de realizar a criptografia de toda a base, a criptografia dos dados sensíveis é recomendável.
Alterações técnicas nos sistemas
O compartilhamento interno de informações também é um ponto que mudou com a LGPD. Em razão dos princípios da finalidade, necessidade e adequação, podem acessar os dados apenas as áreas internas que tenham relação com os serviços prestados. A cópia de dados e a exportação também deve ser apenas por pessoas chave, com alto nível de segurança, ficando armazenados os logs de acesso. Por isso, devemos fazer alterações nos perfis de administradores, como:
- Identificação das pessoas que têm acesso ao sistema: incluir identificação da pessoa logada;
- Prevenir logins compartilhados: Exigir a autenticação de dois fatores ao fazer login pela primeira vez no browser (para isso, pode-se usar o aplicativo Google Authenticator ou token via e-mail/sms);
- Diferenciar níveis de acesso: em tese se a pessoa não tem uma razão para ter acesso aos dados pessoais, não deveriam aparecer;
- Restrições: a função de cópia de dados e de exportação dos dados deve ser exclusiva de superadministradores.
Cuidados com a terceirização
O compartilhamento de dados com terceiros merece atenção. Os operadores de telemarketing e agências de publicidade, por exemplo, atuarão como “Operadores de Dados” para a empresa e deverão se atentar às instruções transmitidas por esta para utilizar os dados pessoais compartilhados. A empresa será responsabilizada caso não utilize os dados de acordo com os limites impostos.
Além disso, é recomendável inserir cláusulas sobre proteção de dados pessoais no contrato de prestação de serviços com empresas terceirizadas. Assim, pode-se estabelecer as responsabilidades e limites de tratamento dos dados compartilhados.
Existem recursos que podem trazer maior segurança no desenvolvimento de sistemas. Por exemplo, ao invés de disponibilizar o telefone do cliente na interface, usar um discador integrado. Assim, o operador não teria acesso ao dado pessoal (número de telefone), mas pode contatar o cliente normalmente.
De toda forma, o que é importante é planejar bem para se adequar às regras de privacidade e proteção de dados pessoais, porque além de tudo, este se torna um diferencial da empresa, ponto cada vez mais valorizado pelos clientes.
Se você precisa de ajuda para adaptar o seu site ou plataforma à LGPD, entre em contato conosco. Somos especialistas no desenvolvimento e integração de sites, aplicativos, plataformas e ferramentas, atuando em todas as etapas do projeto: do planejamento à evolução após a entrega final.
Este texto contou com a análise jurídica do escritório de advocacia Brentani Roncolatto. Entre outras especialidades, possuem amplo conhecimento em direito digital e aplicação da LGPD. O suporte jurídico de um escritório especializado é essencial nesse processo.
Perguntas frequentes sobre desenvolvimento de sistemas de maneira adequada à LGPD
1. Como funciona o controle de consentimento com a LGPD?
A ciência na política de privacidade e termo de uso deve ser obrigatório para o usuário concluir um cadastro ou interagir com um sistema. Mas, caso a fundamentação utilizada para tratar os dados seja o consentimento, a obtenção do consentimento deverá ser feita para cada finalidade pretendida, podendo ser dividido em níveis como abaixo:
- Aceitar receber comunicações por e-mail sobre promoções da empresa;
- Aceitar receber a comunicação de parceiros da empresa;
- Permitir compartilhar dados com terceiros, para prestar os serviços;
- Permitir compartilhar dados com outras empresas do Grupo, para melhoria do serviço.
2. O que incluir nas fichas de cadastro por conta da LGDP?
Somente devem ser incluídas na ficha de cadastro as informações necessárias e suficientes para as finalidades do negócio. Dados como gênero, crença, idade e raça, por exemplo, não devem ser requisitados. Estes são dados excessivos e que não deveriam ter sido solicitados ao titular.
3. Que tipo de informação precisa ser criptografada com base na LGPD?
A criptografia é uma forma de colocar uma camada de proteção nos dados pessoais, de forma que a pessoa à quem eles se referem não seja mais identificada. Por isso, é recomendável usar criptografia, e especialmente, quando coletar dados sensíveis. dos clientes devem ser criptografados no Banco de Dados para evitar o vazamento das informações em caso de ataques. São dados sensíveis: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natura.
4. Quem pode ter acesso aos dados dos clientes segundo a LGPD?
Apenas aqueles que desempenharão as funções de tratamento de dados, ou seja, tenham relação com finalidade de tratamento pretendida. Por isso, é necessário criar diferenciações de nível de acesso no admin.
5. Como prevenir logins compartilhados ao sistema?
Para impedir o compartilhamento de informações dos clientes a partir do acesso ao sistema utilizando o mesmo login de usuário, é necessário exigir a autenticação de dois fatores ao fazer login pela primeira vez no browser. Pode-se usar o aplicativo Google Authenticator ou token via e-mail/sms.
6. Quanto tempo os dados podem ficar armazenados?
Os dados pessoais, regra geral, podem ficar armazenados pela empresa pelo estrito tempo necessário para cumprir a finalidade de tratamento. Assim, por exemplo, quando se acaba a prestação de serviços, deve-se eliminar os dados. Porém, os dados pessoais podem permanecer com a empresa para fins de auditoria, para cumprir obrigações legais, para poder realizar defesa em Juízo (por exemplo em uma ação judicial sobre o serviço que prestou).
7. Como excluir os dados do cliente sem perder o histórico?
Excluir informações de clientes pode gerar a perda de dados históricos e gerenciais da empresa. Deve-se criar um sistema que mantenha o registro de que uma venda aconteceu, mas anonimizando o dado bruto. Assim, preservamos informações como o valor das vendas e produtos comprados e anonimizamos dados como nome, e-mail, endereço de entrega etc.
8. Como fica a terceirização com a LGPD?
As empresas terceiras podem representar um risco porque haverá o compartilhamento de dados. Neste caso, elas atuarão como “Operadoras de Dados” para a empresa e deverão se atentar às instruções transmitidas por esta para utilizar os dados pessoais compartilhados. As terceirizadas serão responsabilizadas caso não utilize os dados nos limites impostos pela contratante. É recomendável inserir cláusulas sobre proteção de dados pessoais no contrato de prestação de serviços para estabelecer as responsabilidades e limites de uso.
Para evitar possíveis problemas, é possível criar uma interface de cobrança com um perfil de acesso específico no sistema, usando um discador integrado para que não haja acesso direto aos dados do cliente.
