Recentemente, a Autoridade Nacional de Proteção de Dados publicou um guia orientativo com sugestões de boas práticas em relação à LGPD. O guia de segurança da informação elaborado pela ANPD traz, então, medidas administrativas e técnicas, previstas pelo art. 46 da LGPD a serem adotadas pelos agentes de pequeno porte.
Dentre as medidas administrativas encontram-se a política de segurança da informação, conscientização, treinamento e gerenciamento de contrato.
Com relação às medidas técnicas, o guia de segurança da informação cita a importância de observar:
Apesar de não ser um rol taxativo, e sim sugestivo, a ANPD tem visto com bons olhos as empresas que façam uso destas políticas. Isto porque evidencia a boa-fé na segurança dos dados que estão sob sua custódia.
Segundo a ANPD o guia de segurança da informação foi editado para aquelas empresas que, pelo seu tamanho, muitas vezes não possuem um corpo de funcionários especializados em segurança da informação, e em razão da entrada em vigor da LGPD necessitam se ajustar as boas práticas previstas nos artigos 46, 47, 48 e 49.
Desse modo, o guia de segurança da informação delimitou como agentes de pequeno porte,:
Ademais, também citou que outras categorias além das mencionadas podem ser incluídas.
Leia também:
Com o propósito de ajudar na adoção destas boas práticas, o guia de segurança da informação disponibilizou um checklist. Dessa forma, é possível visualizar melhor as medidas sugeridas.
Além disso, ele também auxilia na implementação dessas medidas.
Primeiramente, cita a importância da adoção de uma política de segurança, conhecida também como PSI.
Visando facilitar o planejamento, implementação e ações relacionadas a segurança das informações. Sua principal função é servir como base na hora de implementar um processo bem estruturado, que se adapte a cada tipo de escritório.
Ele ainda sugere que, nessas políticas, se realizem revisões periódicas. Estas devem, então, contemplar controles relacionados ao tratamento dos dados, como cópias de seguranças, uso de senhas, acesso às informações, compartilhamento de dados, utilização de softwares, uso de correio eletrônico e antivírus.
Em seguida, expõe a importância de conscientizar os funcionários, por meio de treinamentos e campanhas sobre as suas obrigações e responsabilidades legais quanto ao tratamento de dados.
Além disso, listas algumas ações que os funcionários devam adotar, como:
Com relação a gerenciamento de contratos, o checklist sugere que todos os funcionários assinem os termos de confidencialidade (non-disclosure agreement– NDA).
Também estabelece que se realizem contratos com cláusulas de segurança da informação, assegurando dados pessoais com regras para fornecedores e parceiros, regras sobre compartilhamentos, relações entre controlador-operador e, orientações sobre o tratamento com vedação a tratamentos incompatíveis com as orientações do controlador.
Já em relação ao controle de acesso, preconiza a implementação de um sistema de controle a acessos para todos os usuários, com níveis e permissões conforme a necessidade do trabalho.
A configuração de funcionalidades que possam detectar e não permitir o uso de senhas que não respeitem um nível de complexidade determinado.
Com relação ao gerenciamento de senhas, estabelece medidas como:
O guia de segurança da informação da ANPD fala ainda sobre a necessidade de proibir compartilhamento de contas e senhas entre os usuários, usando do princípio do menor privilegio, ou need to know, a utilização da autenticação multi-fator para acesso ao sistema ou bando de dados, e por fim, em caso de agentes de tratamento que tenham rede interna a implementação de um sistema de controle aos usuários que acessem o sistema de TI.
Quanto à segurança dos dados armazenados, o guia de segurança da informação salienta a importância do princípio da necessidade, previsto no art. 6°, III da LGPD.
O princípio da necessidade impõe a limitação do mínimo necessário para a realização de sua atividade, abrangendo os dados pertinentes e proporcionais. No caso de dados sensíveis, indica métodos que dificultem a identificação, como o uso de criptografia.
Vale lembrar que a coleta excessiva de dados vem sendo considerado uma prática inadequada.
Orienta, também que os funcionários não desativem ou ignorem as configurações de segurança de seus computadores, evitem a transferência de dados pessoais para dispositivos de armazenamento externo, como pendrives e discos rígidos externos.
A respeito dos dispositivos de armazenamento externos, indica a realização de backups offline e periódicos, que o armazenamento dos discos seja feito em local seguro, e que sejam inventariados e cifrados. Caso ainda faço uso de mídias físicas, sugere que a formatação e a subscrição delas antes de descartá-las.
O guia destaca a segurança das comunicações, para isso recomenda a utilização de conexões cifradas (TLS/HTTPS), criptografadas de ponta a ponta, além do gerenciamento do trafego de rede, que podem ser feitos por meio de instalação de um firewall.
Da mesma forma, um monitoramento que detecte e bloqueie ameaças e a proteção de serviços de e-mail, utilizando antivírus integrados, ferramentas anti-spam e filtros de e-mail e a remoção de qualquer tipo de dados pessoais e sensíveis que estejam disponibilizadas em redes públicas de forma desnecessários.
A respeito do gerenciamento de vulnerabilidades aponta algumas medidas que são simples, mas muitas vezes deixadas de lado pela maioria dos usuários. São elas, dessa maneira: a atualização periódica de sistemas e aplicativos, utilização de softwares antivírus e antimalware e a realização de varreduras dos dispositivos.
Ademais, cita os cuidados referentes aos dispositivos móveis, como a utilização de autenticação multi-fator para o controle de acessos, a separação dos dispositivos de uso privado e de uso institucional e implementação de sistemas que permitam a remoção de dados remotamente.
O guia destaca também os cuidados quanto aos serviços de nuvem. Então, cabe avaliar se o serviço oferecido pelo provedor atende aos requisitos de segurança da informação, se há requisitos para o acesso de cada usuários, se utilizem técnicas de autenticação, e por fim, que o contrato com o provedor do serviço seja de acordo com o nível da atividade, contemplando a segurança dos dados armazenados.
Com pouco mais de 1 ano em vigência, a LGPD mostra gradativamente o seu real valor, especialmente no que diz respeito à segurança da informação, que trata de garantir que os dados, físicos e digitais, fiquem protegidos contra quaisquer tipos ataques.
Assim, quando falamos em segurança da informação, podemos relacionar diretamente com a advocacia, uma vez que grande parte da atividade envolve dados de todos os tipos, desde um simplesmente o nome de um cliente até informações extremamente sensíveis, como aquelas contidas em processos em segredo de justiça.
Por consequência, os escritórios de advocacia, que de alguma forma ainda resistem a se adequarem à LGPD, acabam não só comprometendo a si, mas também todos os seus clientes que ali confiaram suas informações. Além de toda a essa imagem negativa, as sanções impostas pela LGPD não são nada pacíficas.
Os exemplos destas sanções estão citados nos arts. 52 a 54, que variam de advertências, multas de 2% do faturamento da pessoa jurídica de direito privado, até a proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.
Saiba mais sobre as multas na LGPD, e como elas podem afetar as empresas. Ouça o Juriscast abaixo:
Bom, como podemos ver não há como questionar a aplicabilidade do guia de segurança da informação no ambiente da advocacia, tendo em vista as dezenas de dados que são tratados a todo momento.
E como estar em conformidade com este novo mundo não é uma tarefa nada simples, reunimos algumas dicas que podem proteger seu escritório de possíveis ataques.
Considerando essas dicas te convidamos a dar uma olhada em nosso artigo sobre segurança da informação da advocacia e como o uso de um software jurídico pode ajudar nesta missão.
Quer ficar por dentro de todas as novidades sobre LGPD? Faça seu cadastro e receba as novidades em seu e-mail.
Preencha seus dados abaixo e receba um resumo de meus artigos jurídicos 1 vez por mês em seu email
