Em julho de 2019, a [GDPR](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) (a regulação geral de proteção de dados da União Europeia) pediu a maior multa da história da lei: 183 milhões de euros. A empresa multada foi a [British Airways](https://oglobo.globo.com/economia/defesa-do-consumidor/british-airways-multada-em-us-230-milhoes-por-caso-de-roubo-de-dados-de-passageiros-23791711), companhia aérea inglesa. O motivo foi o seguinte: a empresa, por falha de segurança, vazou dados pessoais de mais de 500 mil clientes.

Ja faz algum tempo que a LGPD entrou em vigor, mas o assunto ainda continua gerando muitas dúvidas aos brasileiros. Quais multas são previstas na LGPD? Qual é a multa máxima que uma empresa pode receber? Qual é o prazo para um site se adequar e não ser multado?

Neste artigo responderemos todas as suas perguntas com relação às multas da Lei Geral de Proteção de Dados.

## Quais multas foram aplicadas na GDPR?

Na União Europeia, empresas podem ser penalizadas com uma multa de 20 milhões de euros ou até 4% do faturamento, aquilo que for maior. Como vimos, a British Airways teve um prejuízo de 183 milhões de euros pelo mau uso de dados.

A Alemanha multou em 1,5 mil dólares um policial que utilizou, para fins pessoais, a placa de carro de um cidadão para encontrar o número telefônico dele. Ou seja, não apenas grandes empresas que chamam atenção com seus erros e são penalizadas.

Mas e a nossa LGPD? Essas multas serão as mesmas na Lei Geral de Proteção de Dados, inspirada no regulamento europeu?

## Quais casos na LGPD são passíveis de multa?

A LGPD deve ser acatada por inteiro, não em partes. A British Airways, por um deslize não proposital, foi multada em valor recorde.

Por isso, é de extrema importância que você leia [tudo sobre a LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) e se adeque o mais rápido possível. Toda empresa deverá ter um Encarregado de Proteção de Dados e é recomendável que utilize uma [CMP](https://goadopt.io/blog/o-que-e-uma-cmp/), o que torna o trabalho muito mais fácil.

Deslizes maiores acarretarão em multas maiores; deslizes menores, obviamente, serão penalizados de forma diferente. A lei diz que os seguintes fatores serão levados em conta: 

•	A gravidade e a natureza das infrações e dos direitos pessoais afetados;

•	A boa-fé do infrator;

•	A vantagem auferida ou pretendida pelo infrator;

•	A condição econômica do infrator;

•	A reincidência;

•	O grau do dano;

•	A cooperação do infrator;

•	A adoção de política de boas práticas e governança;

•	A pronta adoção de medidas corretivas; e

•	A proporcionalidade entre a gravidade da falta e a intensidade da sanção.

As sanções administrativas completas estão no artigo 52 da lei, que pode ser consultada [aqui](http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/L13709.htm).

## Quais são as multas e penalidades na LGPD?

A LGPD prevê seis penalidades ou multas. São elas:

1.	Advertência. Essa advertência virá com um prazo para que a empresa se adeque à legislação. Se não se corrigir no prazo estipulado, haverá penalidade.

2.	Multa simples em cima do faturamento. Essa multa pode ser de até 2% do faturamento da pessoa jurídica. O limite é de 50 milhões de reais por infração.

3.	Multa diária. Essa multa também será limitada a 50 milhões de reais.

4.	Publicização da infração. A infração se tornará pública e os prejuízos à imagem da empresa poderão ser enormes.

5.	Bloqueio dos dados pessoais. Essa sanção administrativa impede que as empresas utilizem os dados pessoais coletados até a situação se regularizar.

6.	Eliminação dos dados pessoais. A sexta penalidade prevista na LGPD obriga a empresa a eliminar por completo os dados coletados em seus serviços, causando danos à operação da empresa.

O limite das multas na LGPD é de 50 milhões. Mas algumas das penalidades podem ser ainda piores, dependendo da empresa. Por exemplo, assumir publicamente o vazamento de dados pessoais de milhares de clientes pode derrubar até mesmo empresas sólidas, minando totalmente a credibilidade de uma marca.

Mas essas multas também se aplicam a negócios menores, com pequenas operações de tratamento de dados? Ou apenas a empresas grandes, como a British Airways e o Google?

## Qualquer um pode ser multado?

A lei fala de “agentes de tratamento”. Qualquer site ou empresa que realiza coleta de dados se torna, automaticamente, um agente de tratamento.

Mas há exceções. São elas:

•	Pessoas naturais que utilizem dados para fins particulares e não econômicos;

•	Pessoas que utilizem dados para fins jornalísticos, artísticos ou acadêmicos;

•	Agentes de segurança pública ou defesa nacional que utilizem dados para cumprir a lei.

Nestas hipóteses, não há a necessidade de um consentimento formal. Portanto, não existe a possibilidade de multa, tendo em vista que não infringem a lei.

Mas todo negócio, sem exceção, estará sujeito às multas assim que a lei entrar em vigor. Mas enquanto não entra você tem uma tarefa:

## Qual é o prazo para adequação?

O prazo já acabou! A lei entrou em vigor em território nacional no dia 16 de agosto de 2020.

Se a sua empresa ainda não está adequada recomendamos que comece o quanto antes e obtenha o máximo de informações sobre a lei, para seu negócio não estar sujeito às multas e penalidades. Para entender melhor o regulamento, leia o artigo [Tudo sobre a LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)!


Multas na LGPD – Quais são, valores e prazos de adequação

Um dos maiores dilemas de quem começa a estudar e entender a LGPD mais à fundo é a compreensão de que por mais árduo que seja o processo de adequação, ela é apenas o começo. Sim, uma série de mudanças e ajustes que devem fazer parte da rotina da empresa a partir de agora. Diversos são os processos do seu marketing envolvendo dados pessoais, que você deve repensar agora, por conta da LGPD!

Com isso, a adequação à LGPD não para no setup do [aviso de cookies](https://goadopt.io/) nem, muito menos, na nova política de privacidade que você teve que atualizar. Inúmeros processos, dependendo do tamanho da sua empresa, devem ser revistos e também adequados às novas realidades determinadas pela lei.

A burocracia pode parecer grande e sem fim para as empresas. Mas, precisamos sempre nos colocar no lugar dos visitantes, dos titulares dos dados. Lembre-se eu e você também o somos, antes mesmo de sermos empresas, profissionais, somos cidadãos! A LGPD tem como prioridade justamente empoderar os titulares para que eles, em sua individualidade, tenham pleno direito e acesso às informações necessárias referentes ao uso dos seus dados pessoais.

Por isso estamos aqui!

#### Sejamos os profissionais que enxergam a legislação como uma nova oportunidade de subir a régua, de aplicar o nosso conhecimento com qualidade e respeito aos nossos clientes e visitantes!

A LGPD trouxe novas regras, novos processos do marketing, novos cargos…

Como então, não antecipar os novos padrões e as novas referências de qualidade que serão ao fim percebidas pelos nossos clientes?

Um dos belíssimos conceitos, como o [Privacy by Design](https://goadopt.io/blog/o-que-e-privacy-by-design/) (já falamos disso aqui no blog), pode, e deve sempre ser trazido à tona!

Isto posto, quero te ajudar! Abaixo então:

## Os 10 processos do marketing que você deve repensar, por conta da LGPD!

### 1 – Compartilhar listas de dados com fornecedores e terceiros. (freellas, corretores imobiliários, vendedores…)

Se a essa altura do campeonato isso já não estiver óbvio pra você, não sei mais como deixar claro o risco deste tipo de compartilhamento. Afinal de contas, o visitante forneceu seus dados pessoais e sensíveis, à empresa. Não tem como ele advinhar que você tem mais “N” pessoas penduradas no seu mailing.

Por isso, muito cuidado com essa prática! Principalmente se não há nenhum contrato de sigilo ou responsabilidade entre as partes envolvidas!

Pode ser que o seu modelo de negócios peça essa distribuição dos dados, então reforce – com clareza, em sua política e termos! Lembre-se, na dúvida preze pela privacidade!

 

### 2 – Receber listas de e-mails dos clientes para subir no facebook, para match e look-a-like.

Essa lista tem o consentimento para ações do facebook? Qual a origem da lista? Você já deve ter reparado que o facebook, desde a GDPR, já questionava os anunciantes quando faziam uploads de e-mails… Por que será, né?

Seja você um departamento de marketing, ou agência terceira ao cliente. Sempre questione estas listas e evite ao máximo estender os canais de comunicação direta com o cliente, pois, isso pode ferir o consentimento e/ou a base legal que ampara o uso do dado.

Quer saber mais sobre a relação dos cookies de internet na LGPD? Tenho um [artigo](https://goadopt.io/blog/cookies-e-lgpd/) só sobre isso!

### 3 – Comprar listas frias para disparar e-mails, SMS e SPAM. (se já era um crime antes, agora mais ainda)

Quem nunca pensou em “conseguir” uma lista de contatos, que atire a primeira pedra! Ou, até mesmo, quem nunca foi abordado por empresas de “listas”que vendem esses leads frios!

Feliz de quem gera conteúdo com qualidade, e transparência a ponto dos visitantes confiarem à empresa os seus dados…

Não à toa às ferramentas de e-mail marketing tem inúmeros avisos para evitarmos spams. Isso prejudica a reputação de todo mundo, e a internet não tem mais paciência pra spam, concorda?

### 4 – Trocar listas de e-mails para disparo de artigos e newsletters com parceiros e clientes. (Prática que parece inocente, mas, que pode ferir o direito dos titulares)

Parece inocente, mas, só parece mesmo! Assim como os pontos acima, os titulares confiaram seus dados àquela finalidade exclusiva. Qualquer interação que extrapole ela, pode ferir diretamente o direito adquirido pelo consentimento e/ou base legal.

### 5 – A agência como um todo tem acesso às listas de e-mails dos clientes/visitantes. (Alçadas de acesso para dados sensíveis – contrato de responsabilidade)

Aqui entramos em uma alçada de gestão e processos! Diversas ferramentas de marketing nos dão a possibilidade de criação das hierarquias dentro dos seus usuários. Justamente pois, cada um tem seu nível de atividade e também responsabilidades.

É fato que muitas empresas trabalham hoje com uma gestão descentralizada, ou até mesmo horizontal. Mas, na hora do aperto quem é que vai ser responsabilizado? Evite problemas, revisando as alçadas de aprovação e até mesmo de acesso aos dados de acordo com as responsabilidades da sua equipe. Afinal, as ações de um colaborador recaem sobre toda a organização, e isso pode e deve ser considerado como contingência.

### 6 – Contratar freellas e profissionais com alta rotatividade sem um contrato de responsabilidade para com os dados dos clientes. (famoso “espetou em pen-drive”)

Esse ponto é bastante parecido com o ponto anterior, mas, tem um detalhe ainda maior. Profissionais terceiros têm suas responsabilidades limitadas, ou até mesmo, estendidas aos seus contratos que os vinculam ou não a determinados critérios. Assim sendo, toda vez que um terceiro tem acesso a uma base de dados da sua empresa, qual a segurança que você tem sobre esses dados?

Qual a garantia que o titular do dado tem, uma vez que os dados estão abertos? Sim, é básico! Mas, não são poucos os casos do funcionário X ou da agência Y, que apagou tudo antes de sair… ou levou tudo com ele. E aí? Tinha contrato?

### 7 – CTAS em campanhas e anúncios para “deixe seu contato abaixo, se quiser receber…”

Esse CTA (call-to-action, ou chamada para a ação) por mais “tosco” que pareça, ainda é muito usado e eu diria que “se tem regra é porque tem história”, ou seja, funciona.

Cuidado com esse tipo de abordagem, principalmente se o seu público é mais simples e não tem muito discernimento dos riscos da internet.

Lembra do caso do pessoal que fornecia os dados em um posto do facebook, para terem um cartão de crédito de super-heróis? Pois, é… você não quer a imagem da sua empresa atrelada a uma brecha para oportunistas.

### 8 – Ações off-line sem uma diretriz forte de coleta de dados (base legal), ou consentimento atrelado.

A LGPD não é dirigida apenas ao ambiente virtual, logo, quais as ações off-line, presenciais, cujas diretrizes também devam ser adaptadas? Você usa fichas de cadastro? Qual o processo de coleta de dados nos ambientes?

Cada empresa tem uma realidade, mas, eu mesmo já vi empresas utilizando termos de consentimento “off-line” (bloco de folhas timbradas mesmo) para serem anexados aos cadastros dos visitantes! Ou até mesmo, todos os cadastros via tablets para que o consentimento também já alimente o CRM.

Nosso radar deve estar ligado nas portas ON e OFF-LINE! Se você levar tudo para o online, via QR CODE por exemplo, além de poder usar o [aviso de cookies da AdOpt](https://goadopt.io/) como sua ferramentas de consentimento, ainda pode usar tags de rastreio na mesma LP!

Quem sabe assim não só já automatiza o opt-in, como também um remarketing autorizado no mesmo ato!

### 9 – Manter as listas de e-mail por vaidade.

Foi-se o tempo em que aquele excel cheio de e-mails dos anos 90 eram o tesouro da empresa.

Além de serem uma métrica de vaidade, é também um custo imenso dentro das ferramentas de automação, bases de e-mails frias e antigas hoje também são um risco enorme para a organização! Evite, elimine isso tudo e corra para conseguir o consentimento atualizado da sua base ativa, o quanto antes!

Depois não diga que não avisei!

 

### 10 – Compor organograma da Agência com dados pessoais (profissionais, sem a aprovação no contrato de trabalho. Ex. celular pessoal…)

Organograma de agências, a alegria dos SDRs pra aquele um cold call raiz, e agendar pro do Field Sales! #quemnunca?

Se você não sabe o que é isso… eu te explico!

Muitas agências (as grandes principalmente) de SP, ainda tem, o tal “organograma da agência” na recepção.

Acessar esse arquivo é a alegria do time comercial, porque ali não só temos de fato quem decide, como o contato de cada um deles!

Mas, aqui também mora um perigo!

Se o seu organograma contém não somente os dados profissionais dos colaboradores, mas, também um celular pessoal do funcionário X que não quis usar 2 telefones, por exemplo…

Será que esse compartilhamento está previsto no contrato de trabalho?

Agora pode não ser um problema, mas, se o direito trabalhista usa de tudo na hora da crise. Por que não usaria isso também?

Enfim, nosso objetivo nunca foi profetizar a desgraça nas empresas, muito menos ser parte da Cavalaria Apocaliptica a LGPD. Mas, já que estamos no mercado há um tempo, esse tipo de coisa sempre nos chama atenção quando começamos a fazer o data mapping e conversar com os colegas.

Lembrou de mais algum processo que poderia compor essa lista?

Comenta aí embaixo, quem sabe ajuda os colegas na saga da adequação!


10 processos do marketing que você deve repensar na LGPD!

O começo de tudo são as chamadas “Bases Legais da LGPD”, ou seja, os motivos e as razões pelas quais as empresas não só podem, como devem ter acesso aos dados dos titulares para bem executarem as suas funções.

Sim, é possível pensarmos que o legitimo interesse da prestação de serviço, ou venda de produtos já seriam um motivo nobre. Como também, a força de contratos ou legislações paralelas que nos obrigam a ter acesso a tais informações para bem executá-los e, de fato o são.

Justamente por isso que a LGPD nos trás 10 Bases Legais, ou seja, 10 motivos que legitimam uso dos dados pessoais tentando enquadrar os mais variados motivos e hipóteses para o uso dos dados. Elas são a base estrutural que sustenta o uso de dados, sem que esta mesma legislação sirva também de subterfúgio para driblar outras normativas tão ou igualmente essenciais.

Seu papel como gestor, ou encarregado dos dados da empresa é de encontrar – dentre estas 10, a que melhor se adeque ao seu modelo de negócio e legislação própria. Isso vale para todos as eventuais etapas do dado dentro da sua empresa/processo, tais como:

- Coleta,
    
- Armazenamento,
    
- Tratamento,
    
- Transferência,
    
- Compartilhamento dos dados pessoais.
    

Lembre-se estamos falando de privacidade e dados que não só identificam o cidadão, como o qualificam em suas matrizes de comportamento e demografia.

Segundo a LGPD, dados pessoais sensíveis são:

_Origem racial ou étnica, convicções religiosas ou filosóficas, opiniões políticas, filiação sindical, questões genéticas, biométricas e sobre a saúde ou a vida sexual de uma pessoa._

A coleta de dados como Nome, RG, CPF e Gênero, independente da etapas de coleta, deve sempre respeitar os princípios de Finalidade e Transparência.

## Com isso em mente, vamos então às 10 Bases Legais, segundo a LGPD.

São elas:

1.  Consentimento do Titular.
    
2.  Legítimo Interesse.
    
3.  Obrigação Legal.
    
4.  Cumprimento de Políticas Públicas.
    
5.  Órgãos de Pesquisa.
    
6.  Execução de Contratos.
    
7.  Exercício de Direitos.
    
8.  Proteção à Vida.
    
9.  Tutela da Saúde.
    
10.  Proteção ao Crédito.
    

 

Antes de aprofundarmos cada uma das Bases Legais, eu gostaria de separá-las em 2 grandes grupos. Isolando as 2 primeiras: **Consentimento** e **Legítimo Interesse**. Pois, apesar de serem as mais populares elas pedem cuidados adicionais no seu uso. Enquanto as 8 demais, são mais “claras e seguras” em uma perspectiva jurídica, que legitima o seu enquadramento na sua empresa.

Abaixo então o detalhamento de cada uma delas, para te ajudar nesta compreensão e no porquê desta divisão entre elas.

 

## 1 - Consentimento do Titular.

Esta talvez seja a Base Legal mais popularmente conhecida em todo o mercado. Pois, já são muitos os sites que usam dela para se adequarem à LGPD, quando exibem aquele aviso tão conhecido por aí: “Este site usa de cookies...” Pois bem, seja no ambiente virtual ou off-line, o consentimento é uma maneira muito ágil de se conseguir a autorização dos titulares para podermos acessar os seus dados, e executarmos os nossos serviços.

Contudo, vale destacar que a Lei especifica que o consentimento deve ser: **por escrito, ou por meio que demonstre a manifestação inequívoca da vontade do titular**. Logo, quando o cidadão se deparar com uma ocasião que peça o seu consentimento este deve ter **clareza**, **facilidade**, e **liberdade** de fazê-lo de maneira autônoma.

Exatamente aqui está um destaque que difere esta base legal das demais.

A mesma facilidade com que o titular pode autorizar o uso dos seus dados, está para a revogação desta autorização. Assim, preza-se que a coleta do consentimento, ou opt-in (na linguagem do mercado) seja ágil e fácil, para ambos os lados. Bem como a revogação, ou opt-out. Pois, espera-se que o consentimento não gere atrito na relação comercial. Uma prática bastante aconselhada pelos advogados é que, como empresário, você não se apoie apenas nesta modalidade para legitimar o seu uso de dados. Pois, ela tende a ser frágil se olharmos apenas para a interação entre cliente e empresa.

Justamente por isso que a AdOpt preza tanto pela agilidade, rapidez e identificação da sua comunicação, com a identidade visual da empresa em questão. Quando estudamos a GDPR e seus impactos na vida dos grandes Publishers (portais de notícias e conteúdo) vimos que um dos maiores impactos daqueles avisos imensos e feios, que parecem que foi o departamento jurídico que desenhou no Word, é o “bounce rate” ou a chamada taxa de rejeição. Uma métrica de Marketing Digital e UX que demonstra o % de visitantes do seu site que assim que o acessam, já pulam fora por algum motivo qualquer.

Imagine você na sua loja vendo os clientes entrarem e saírem e questão de minutos. Sem se apresentarem, perguntarem por um produto, ou interagirem com um vendedor.

Essa é a analogia do mundo off-line para essa métrica. Então, pense bem no aviso de cookies que você irá colocar no seu site. Ele pode agir como uma barreira gigante para os seus clientes.

Por fim, entenda que o uso do consentimento nos ambientes on e off-line devem ser integrados às demais etapas de uso e tratamento dos dados dentro da sua empresa. Logo, busque sempre desenhar o mapeamento dos dados dentro da sua empresa para que você não realize uma etapa sem a segurança de que a outra está devidamente atrelada a esta.

## 2 - Legítimo Interesse.

Esta é a 2ª. Base Legal mais popular e talvez a mais propagada pois, para muitos, serve de tábua de salvação ou carta na manga caso não consigam enquadrar-se nas demais. Isso não faz dela menos importante ou ilegítima. Apenas, é preciso destacar que o chamado “Legítimo Interesse” é um tanto subjetivo quando nos colocamos diante das partes: Titular e Operador ou Controlador dos Dados. Afinal, o interesse comercial pode falar mais alto. Mas, não necessariamente irá configurar um interesse _legítimo_ para o uso de tal dado.

Por que? Pois, este pode ferir algum direito individual do titular ou até mesmo outra disposição expressa na LGPD. O art. 10 da LGPD determina que o legítimo interesse do controlador somente poderá servir de fundamento ao tratamento de dados pessoais, para finalidades legítimas, consideradas a partir de situações concretas, que incluem, mas não se limitam a: 1) apoio e promoção de atividades do controlador e; 2) proteção, em relação ao titular, do exercício regular de seus direitos ou prestação de serviços que o beneficiem, respeitadas as legítimas expectativas dele e os direitos e liberdades fundamentais.

Portanto, é importante que o uso de dados esteja legitimamente justificado para a prestação do serviço ou venda do produto, sem nenhuma brecha que enfraqueça esta base legal perante outras legislações vigentes.

 

## 3 - Obrigação Legal.

Como a LGPD é uma lei bastante recente. Não faltam outras leis que obriguem às empresas, por exemplo, a coletarem, tratarem e compartilharem dados pessoais de cidadãos para outras finalidades anteriores. Assim, caso seu modelo de negócio, atividade ou processo tenha alguma legislação vigente que te obrigue à essa atividade, esta legislação já seria o melhor motivo/hipótese para manipular estes dados pessoais.

Um exemplo seriam os dados pessoais que as empresas devem coletar dos seus funcionários ao Ministério do Trabalho, Previdência Social, etc. Assim, os titulares – e neste caso também colaboradores, não poderiam opor-se a este compartilhamento por motivos de obrigação legal a ser cumprida pela empresa contratante.

 

## 4 - Cumprimento de Políticas Públicas.

Esse talvez seja um dos maiores ganhos que a LGPD deu aos titulares de dados, a todos nós cidadãos, a cada CPF deste país. Os governos também deverão se enquadrar na LGPD. Fazendo então desta uma das maiores – se não a maior, Bases Legal da LGPD.

Hoje o Governo uma das instituições que mais se beneficia dos dados de seus cidadãos, até mesmo de maneira comercial, também deverá andar na linha, mesmo nas suas inúmeras instâncias.

Segundo o paragrafo III do art. 7º da LGPD, órgãos da administração pública precisam se adequar e cumprir a lei ao tratarem e compartilharem dados pessoais para execução de politicas públicas ou respaldadas em contratos, convênios ou instrumentos congêneres, sem a necessidade de consentimento dos titulares.

Por mais que não haja a necessidade de consentimento, ainda assim os titulares têm o direito ao acesso claro e inequívoco das finalidades e processos envolvidos com cada um dos seus respectivos dados. Um último destaque, contudo, é que a administração pública não é passível de penalidade com multas. Mas, está sujeita a advertências, publicação da infração, e porque não, bloqueios ou até mesmo eliminação dos dados.

 

## 5 - Órgãos de Pesquisa.

A pesquisa e o desenvolvimento científico também têm acesso autorizado pela LGPD aos dados pessoais, pela finalidade dos seus estudos. Recomenda-se contudo, que sejam sempre anonimizados, afim de garantir a privacidade dos titulares evitando assim possíveis vazamentos. Com isso, não só a amostra da população entrevistada pela pesquisa tem sua identidade protegida, com os pesquisadores também ficam mais tranquilos quanto a segurança dos seus métodos científicos.

 

## 6 - Execução de Contratos.

Uma vez celebrado um contrato as partes têm suas obrigações e direitos ali estabelecidos pelo objeto em questão. Assim, uma vez tendo um dos titulares como integrante direto do contrato, esta será a base legal para o uso dos dados de maneira apropriada.

Neste caso o próprio titular é quem cede os seus dados e legitima a Base Legal, por fazer parte do contrato celebrado. Neste momento é uma situação bastante semelhante à do consentimento, contudo, a revogação por parte do titular não é tão simples, uma vez que o contrato também tem sua força de vigência e suas amarrações legais de outras legislações eventualmente envolvidas no acordo.

 

## 7 - Exercício de Direitos.

Outra finalidade legal para uso de dados pessoais, à escolha do controlador, é a de exercício regular de direitos em processos judiciais, administrativos ou arbitrais.

Esta Base Legal tem como intuito garantir o direito de produção de provas de uma parte contra a outra em processos judiciais. Permitindo assim que uma das partes não obstrua a outra ao acesso e tratamento dos dados, como mecanismo de defesa durante o processo.

 

## 8 - Proteção à Vida.

O uso dos dados também tem a proteção e outorga de lei, em casos de proteção à vida ou integridade física dos titulares, ou de terceiros.

Com base no artigo 11 da LGPD, II, os dados sensíveis dos titulares poderão ser tratados sem o fornecimento do consentimento do titular caso sejam indispensáveis para a proteção da vida ou a chamada incolumidade física destes, ou de terceiros.

Como exemplo imaginem o trabalho de socorristas que dão entrada de pessoas inconscientes em casos de emergências. Uma vez identificado o cidadão e até mesmo o prontuário médico em alguma rede médica e hospitalar, tais informações poderão ser compartilhadas entre os médicos pelo bem da pessoa, sem o seu consentimento.

 

## 9 - Tutela da Saúde.

Assim como no item anterior, a LGPD também fornece uma base legal que autoriza o acesso e tratamento dos dados para a tutela da saúde, desde que realizada por profissional de saúde, serviços de saúde ou autoridade sanitária.

Essa base legal tende a ser bastante discutida e posta à prova, principalmente pelo interesse das informações que podem ser utilizadas em caráter público e comercial. Contudo, a legislação destaca que o compartilhamento dos dados não pode ser feito para prejudicar o titular ou, obter vantagem econômica sobre este.

Como assim? Imagine um cenário onde o acesso a alguma informação de saúde do titular, automaticamente reajuste o seu plano de saúde, por exemplo. Este é um exemplo categoricamente vetado pela LGPD. Ou seja, é vetado às operadoras dos planos de saúde o uso destes dados para seleção de riscos ou acepção de clientes.

 

## 10 - Proteção ao Crédito.

A 10ª. e última base legal tem por finalidade garantir que em situações de cobrança ou dívidas contraídas, os titulares não usem os mecanismos da LGPD como brecha para escaparem de suas obrigações financeiras.

Um exemplo, seria que o titular solicitasse à instituição financeira credora a exclusão dos seus dados de sua base de dados, ou até mesmo de órgãos como Boa Vista e Serasa, driblando assim a cobrança.

Esta também tende a ser uma Base Legal bastante discutida dadas as proporções polêmicas que o contexto é envolvido.

 

## Bases legais são apenas a fundamentação!

Por fim, espero ter deixado claro a você leitor – ainda que brevemente, as 10 Bases Legais para que você possa realizar o tratamento de dados, dentro das diretrizes da Lei. Tendo isto em mão, é seguro que possamos avançar para águas mais profundas, discutindo então os próximos passos que servirão de base para o seu caminho de adequação.

Um próximo capítulo pra você continuar nesta compreensão, será: [Qual a política de privacidade ideal para a sua empresa?](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)

Entenda o que são as Bases Legais da LGPD

Uma vez que já temos o caminho dos dados dentro da sua empresa, precisamos destacar 2 aspectos da LGPD que vão te ajudar a determinar até onde vai a sua responsabilidade frente a tantos pontos listados na empresa. Estou falando da diferença entre Controlador e Operador de dados.

## Como determinar as diferenças entre as partes?

Um exemplo simples seriam os papéis entre uma empresa e sua agência de marketing. Neste caso a empresa seria o controlador e a agência o operador dos dados, pois, suas funções são distintas na cadeia de serviços e responsabilidades.

### Sempre se coloque no lugar do Titular dos Dados.

Por exemplo, quando ele for até um e-commerce comprar algum produto, na ótica dele, a quem ele está confiando os seus dados pessoais para realizar aquela compra?

Tem como ele saber se a agência recebe o lead e depois cadastra na ferramenta de e-mail marketing? Não. Isso então, faz do e-commerce o _controlador_ e da agência a _operadora_ dos dados. Logicamente cada um tem o seu papel perante a lei, mas, todos são corresponsáveis, em suas funções, para com os cuidados devidos aos dados dos titulares.

Assim sendo, no seu [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/), que falávamos a algumas linhas atrás; qual o seu papel: controlador ou o operador dos dados? Ou até mesmo, dependendo do seu modelo de negócios, os dois dependendo da etapa?

É importante que você destaque isso pois, assim como as suas responsabilidades são diferenciadas de acordo com o papel que você executa, a maneira como você vai conduzir uma solicitação de exclusão e, ou download dos dados é diferente. Pois, pode ser que você tenha os dados em mãos e também tenha e a capacidade para entrega-los aos titulares.

Mas, também pode acontecer que você só possa apontar ao controlador esse poder, afinal, você é apenas um elo na corrente, e não tem acesso aos dados diretamente, mas, a alguma criptografia que te dê apenas a visualização anonimizada destes.

## Mais exemplos entre Controlador e Operador de Dados - LGPD

Outros exemplos comuns onde há papeis diferentes, mas, uma corresponsabilidade clara para com os dados e seu uso,são:

#### Empresa <> Contabilidade Terceira. Empresa Imobiliária <> Corretores Terceirizados. Fundo de Investimento <> Agentes Autônomos. E-commerce <> Empresas de Logística e serviços de entrega. Escritórios de Advocacia <> Dados de qualificação dos clientes e seus funcionários.

Enfim, acredito que esteja claro a importância de uma listagem precisa de todos os controladores e operadores de dados dentro do mapeamento da sua empresa. Com isso em mãos, é recomendável que você faça o link de todos os envolvidos no processo de acordo a sua política de privacidade e termos de uso.

Futuramente, podemos falar das obrigatoriedades prescritas na lei.

Mas, isso você também pode consultar diretamente com o seu advogado, ainda mais se você tiver alguma legislação que se sobreponha à LGPD.

Em nosso próximo artigo, adentramos as [responsabilidades do DPO ou Encarregado de Dados.](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) Te espero lá.

As diferenças entre Operador e Controlador dos Dados - LGPD

_Será que existe uma Política de Privacidade ideal e à prova de falhas?_

Essa é uma das perguntas mais difíceis de responder atualmente. Quanto mais com toda a jurisprudência já criada na Europa, com a GDPR, todo o seu histórico de processos, e as inúmeras dicas que vemos por aí no mercado. Sem falar, com as decisões judiciais que já estão saindo no Brasil, por ocasião da LGPD.

Já te respondo prontamente: _Não._ E, vou te ajudar e entender o porquê.

Acredito que seja possível desenvolvermos uma linha de raciocínio que ajude a cada um de nós Empreendedores, DPOs, Advogados, Consultores terceiros, etc. Enfim, todo mundo pode ter uma compreensão clara de como funciona o jogo para não sermos pegos de surpresa.

Abaixo então a lógica de uma política de privacidade, e alguns princípios para te ajudar a entender o jogo. Quem sabe, até mesmo te ajudar na adequação da sua empresa e nas dúvidas que virão pelo caminho.

## O que faz um politica de privacidade melhor ou pior?

Sendo o mais direto possível:  _Ela reflete ou não a realidade do uso, e do fluxo de dados dentro da empresa, com veracidade?_

**Aqui está a chave de leitura para toda política de privacidade: Ela deve refletir com veracidade as motivações e o fluxo de dados nas rotinas da empresa.**

Assim sendo, antes de avaliarmos a qualidade de uma política de privacidade é essencial sabermos o porquê dela existir e qual a sua utilidade. Tá ficando mais claro?

De maneira simples e direta, eu destacaria que a politica de privacidade de uma empresa é:

**A** **_Declaração Pública dos Objetivos, Interesses e Responsabilidades que as Empresas têm no uso e aplicação dos dados, principalmente os pessoais, para a realização do seu modelo de negócios._**

Ou seja, através das diretrizes ali dispostas temos de fato o motivo real com que aquele negócio opera o uso dos dados, e, as reais finalidades tanto comerciais e/ou, legais para o uso efetivo dos dados.

## O que eu preciso saber e mapear para montar a minha Política de Privacidade?

Em suma, não é possível estruturarmos uma politica de privacidade sem conhecermos os alicerces do negócio. Calma, não estou complicando por complicar, mas, te mostrando que sem esse conhecimento nem o advogado de milhares de dólares a hora, poderá te ajudar.

Aliás, uma boa informação pra você é que a política não precisa ser obrigatoriamente escrita por um advogado, ou em “advoguês”. De acordo com a LGPD, antes disso, ela tem que ser clara, educativa e de fácil leitura para o titular do dado. Então, se for você, ou seu advogado, ou qualquer pessoa que entenda dos processos e finalidades ou legislação do seu mercado, tá tranquilo. Preze pela facilidade de leitura, clareza e interpretação dos fatos por parte de qualquer visitante ou clientes que acesse seus ambientes.

Porém, vale destacar que recomendamos que você seja ao menos assessorado por um advogado. Pois, existem alguns critérios e eventuais complexidades do mercado que eles podem te ajudar com mais destreza. Por exemplo, mercados de saúde tem uma legislação específica que já trata os dados dos pacientes de maneira diferenciada e, por isso, muitas vezes ela pode sobrepor as determinações da LGPD.

Estamos no Brasil meu caro, então – pra variar, tudo depende.

Enfim, vamos aos pontos essenciais que você tem que conhecer para montar qualquer política de privacidade. Pontos como:

1. #### Constituição Societária;
    
2. #### Mercado de atuação;
    
3. #### Legislações vigentes que regulam a atuação dos players;
    
4. #### Portfólio de produtos e, ou serviços;
    
5. #### Linhas de Receita e canais de distribuição;
    
6. #### Breve organograma e noções básicas da estrutura da empresa;
    
    #### (Matriz e filiais, tamanho, número de departamentos envolvidos, hierarquia de decisão, etc.)
    
7. #### Cadeia de Fornecedores;
    
8. #### Serviço de Venda e Pós-Venda;
    
9. #### Canais de comunicação;
    
    ..

Sem essa visão inicial detalhada minimamente a politica ficará incompleta e, consequentemente, falha.

_Por exemplo: De que adianta eu falar que uso os dados no facebook, e coleto endereço, e-mail e CPF, para a assinatura do meu plano e para o e-mail marketing, descartando em caso de opt-out. Se no meu mercado, uma legislação me obriga a armazenar esses dados para além das requisições dos titulares?_

Acredito que já tenha ficado claro o quanto de informação precisamos considerar. Mas, isso não deve ser motivo de desânimo pra você! Pois, justamente o conhecimento destes processos, ou seja, da operação como um todo, que te darão uma maior segurança para saber se a política de privacidade é “boa ou não”. De novo, se ela reflete a realidade e dia-a-dia da empresa, ou não.

Uma das ferramentas/processos que podem te ajudar a estruturar com confiança a politica de privacidade é o _Data Mapping,_ ou Mapeamento de Dados. Se você ainda não tem um, ou já pensou em estruturá-lo, vou resumir ele pra você no link abaixo.

[Mapeamento ou inventário de dados, o colete salva vidas na LGPD](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)

Qual a política de privacidade ideal para a sua empresa?

A AdOpt é uma plataforma de gestão de consentimentos que permite que você construa uma relação de transparência e confiança com os visitantes do seu site.

Assim, todos os visitantes que acessarem o seu site serão abordados pelo aviso com uma notificação que pede o consentimento de cada um deles de maneira livre, direta, informada e detalhada.

Abaixo o passo a passo das etapas que processam esse registro de consentimento na AdOpt.

## Como funciona o [aviso de cookies da AdOpt](https://goadopt.io/)?

 Esse é um exemplo do funcionamento da plataforma:

1.  O visitante acessa seu site.
    
2.  A AdOpt verifica se esse este acesso é de um novo visitante (ou seja, já tem o cookie AdOpt, ou não)
    
     1 – Se sim, o aviso não é mostrado e apenas o controlador fica aparente no canto do site (controlador = bolinha com o logotipo da AdOpt, ou do seu site)
    
     2.2 Se não, a AdOpt irá tratá-lo como um visitante novo.
    
     2.3 Tags classificadas como Necessárias/Essenciais são disparadas.
    
3.  Ele recebe uma notificação de configuração de privacidade da AdOpt. Com:
    
     1 – Listagem de Tags/Cookies de terceiros e sua respectiva classificação feita pelo gestor da AdOpt naquele site.
    
     3.2 – Links Públicos da Política de Cookies, Política de Privacidade e Termos de Uso.
    
     3.3 – Links Públicos da página de Opt-out da AdOpt para aquele site.
    
4. #### Ele configura suas preferências, podendo detalhar a listagem de cada uma das categorias de [cookies](https://goadopt.io/blog/cookies-e-lgpd/) e das tags presentes.
    
5.  Ao clicar em aceito, a AdOpt gera um cookieID único para aquele visitante, que fica armazenado em seu navegador.
    
6.  As informações do consentimento, contendo:
    
     1 – Data e Hora,
    
     6.2 – CookieID anonimizado,
    
     6.3 – Relação atualizada das Tags e Cookies aceitos ou não,
    
     6.4 – Versão da Política de Cookies, Política de Privacidade e Termos de uso disponíveis à época,
    
     São registradas de maneira individualizada na sessão “Consent Log" ou "Logs de Consentimento”, dentro da plataforma da AdOpt (área logada).
    
7.  Caso o [gestor do aviso da AdOpt](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) para o referido site, tenha feito a configuração de bloqueio da AdOpt com o Tag Manager. Sempre que esse visitante acessar o site, a lista com as tags autorizadas ou não (item 6.3) estará no navegador do visitante.
    
     [– **Aqui o tutorial de bloqueio de tags de terceiros**](https://www.youtube.com/watch?v=8jqGLjZZ4UM)
    
     Assim, a cada novo acesso, as tags dentro do GTM consultam a lista da AdOpt para que seja feito o disparo, ou para que fiquem inativas naquele acesso único.
    
8.  Caso o visitante faça uma requisição de opt-out:
    
     a – A AdOpt atualiza o CookieID que fez a solicitação, com uma “marca/tag” classificando este cookie como inativo/optout. Assim, dentro do sistema AdOpt este “CookieID” será inutilizado, e só servirá para fins de registro – prova de consentimento.
    
     b – Os 2 (dois) e-mails são disparados notificando o titular (se identificado) e o gestor do site/empresa.
    
     1 – A empresa recebe esse e-mail e pode analisar se há outras integrações que usam essas informações para então dar sequência na requisição em outros sistemas integrados (sistemas, callbacks, e APIs).
    
     b.1.1 – Se você não tiver nenhum dado associado ao cookie, você não precisa fazer nada. Pois, na AdOpt estarão apenas as informações (anônimas) para fins de prova de consentimento, cuja cópia você já recebeu no e-mail.
    
     b.2 – Caso o titular também tenha informado o e-mail, você deve usar esse dado para excluí-lo de todos os demais sistemas, utilizando-o como chave de acesso, pelo seu data mapping/mapeamento de dados. ([aqui um artigo sobre data mapping](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/))
    
     b.2.1 – Caso esteja em seus processos a notificação de comprovação de que as exclusões foram feitas, aproveite o e-mail do titular para esse disparo.
    
     b.3 – O Titular é notificado, por um pop-up e por um link no rodapé do e-mail recebido, que o conduz para um ambiente educativo e público, que o ensina a apagar manualmente os Cookies do seu Navegador.
    
     [– Aqui o tutorial encaminhado para o titular](https://goadopt.io/blog/apagar-cookies-cache-navegador/)
    
      c – A AdOpt mantém esse registro em sua base, informando que o CookieID #xyz.exemplo.1234 fez uma requisição naquele momento (data/hora). Pois, caso você precise para utilização em bases legais, e auditorias de privacidade, ela estará facilmente acessível.
    

Esse é um detalhamento bastante completo das etapas!

Se sentiu falta de alguma parte mais detalhada de como funciona um aviso de cookies, fique à vontade para nos escrever [aqui](https://adopt-help.freshdesk.com/support/tickets), ou deixa um comentário pra gente!

Muito Obrigado! Time [AdOpt](https://goadopt.io/).



Como funciona um aviso de cookies da LGPD?

João Bruno Soares

Com o Data Mapping entendemos à fundo as 5 etapas que todo e qualquer dado passa dentro de qualquer departamento de uma empresa, não importando o tamanho ou mercado. Novamente meu caro, não é preciso ser nenhum PhD em PMBOK ou Gestão de Projetos para entender essas etapas tão importantes! Pois, o Data Mapping e o Inventário de Dados se tornaram, uma das maiores ferramentas de trabalho dos DPOs!

O mercado hoje trouxe muita tecnologia e qualidade para esses processos! Não temos o que falar. Mas, meu objetivo aqui hoje é te ensinar a ver as coisas de maneira mais simples e objetiva, como de fato são **– um simples ordenamento dos fatos**, e isso já vai te ajudar.

Então, vamos lá!

Um conceito básico que vai nortear a sua compreensão daqui pra frente:

## **Com o agrupamento de processos temos um departamento.**

Logo, cada processo pode ser organizado em uma ordem, ou não, formando assim as rotinas dos departamentos.

Assim, para cada processo da sua empresa, os 5 pontos abaixo podem ser cumpridos total ou parcialmente.

São eles:

1. #### Motivação precisamos deste dado – Por quê?
    
2. #### 2.1 – Consentimento.
    
3. #### Processamento / Tratamento
    
    #### 1 – Compartilhamento interno entre as áreas e sistemas.
    
    #### 3.2 – Armazenamento para uso e consulta interna.
    
    #### 3.3 – Back-up.
    
4. #### Descarte
    
5. #### Fim do processo?
    

_E o que eu faço com esses 5 pontos acima?_

### **Preenche eles e estrutura essa lógica em todos os seus processos e consequentemente, departamentos.**

Sim, dá trabalho eu sei!

Mas, isso será extremamente valioso em caso de uma notificação da ANPD ou antes mesmo, no caso de um cliente ou visitante do seu site te pedir acesso aos dados que vocês eventualmente tenham sobre ele.

Lógico, e se você é uma “EUpresa”, ou tem pouquíssimos funcionários e processos tudo isso pode se resumir a 3, 4 sistemas (e-mail, automação de marketing, algum google drive e a contabilidade) pois, tudo está armazenado nestes lugares. Agora, imagina uma empresa com 500 funcionários em 10 cidades.

Lembre-se, de acordo com a LGPD qualquer titular pode bater na sua porta perguntando se você tem algum dado dele, e, você deve responder com agilidade.

Logo, sem o “mapa do tesouro” como você vai saber que o [zé@emailmaroto.com](mailto:zé@emailmaroto.com) se cadastrou na Newsletter, já comprou há 3 meses e foi seu funcionário há 5 anos atrás?

Neste exemplo acima, você teria que reportar para o “Zé” que você possui dados como:

\- Nome, E-mail, CPF, Telefone, Endereço, Carteira de Trabalho, Filiação (dados do RH) e compartilhamento com Google e Facebook.

Pelos motivos de:  
1- Contratação no passado, logo a legislação trabalhista te obriga a manter esses dados na contabilidade por X anos. Ou seja, mesmo que ele peça a exclusão você poderá negá-la, por força maior da outra legislação.

2 – Compra do produto X, Y, Z há 3 meses.  
Que também gerou o cadastro na newsletter (com o famoso “aceito receber promoções”). Da newsletter, você tem ele na lista de disparo para novos produtos e novidades do seu e-commerce, e todas as ferramentas de remarketing estão ligadas perseguindo-o diariamente por toda a internet, toda vez que ele entra pra ver os seus produtos.

Sendo assim, ele pode livremente te pedir a exclusão de todos os seus dados para fins de marketing. Isso vai te levar a uma ação que desencadeia diversas outras. São elas:

\- Apagar o e-mail e demais dados no CRM e ferramenta de disparo de e-mails.  
\- Distribuir a solicitação de Opt-out para eventuais sistemas que você esteja integrado e usem esses dados. (sistema da logística e ERP, por exemplo)  
\- Remover ele do segmento de remarketing do Google e Facebook.  
\- Reportar em uma documentação oficial da empresa que os passos acima foram realizados prontamente.

(Para os clientes AdOpt, quando integrada ao Tag Manager a parte dos cookies fica bem mais fácil! Pois, no momento que o visitante não autoriza algum deles, a AdOpt já bloqueia esse disparo automaticamente!  
[Aqui um tutorial pra você!](https://adopt-help.freshdesk.com/support/solutions/articles/67000400613-configurac%C3%A3o-via-google-tag-manager-do-bloqueio-autom%C3%A1tico-das-tags-e-cookies-de-terceiros-)

Além disso, a requisição de um visitante na na página de opt-out já envia na mesma hora um e-mail pra você, com essa solicitação vinculando o e-mail do solicitante ao Cookie ID gerado no Opt-In.

Assim, você consegue já iniciar essa busca com um maior direcionamento caso o solicitante tenha te dado o consentimento a alguma ferramenta, e quando.

Entendeu agora a importância de um mapeamento dos processos da empresa?

Somente com tudo isso em mãos que você vai terá tranquilidade e, principalmente, facilidade de acessar a todos esses dados prontamente. Para algumas empresas cerca de 48, 72 horas (um prazo razoável para uma resposta...) dá e sobra, para outras é praticamente impossível.

Seja você ou o seu DPO contratado, nós não podemos parar a empresa a cada requisição que um visitante solicite. Com o Data Mapping em mãos, essa busca é muito mais rápida, direcionada e diria até automatizada, caso você use um software só pra isso.

Abaixo um detalhamento maior sobre cada um dos pontos do _Data Mapping_

1. **Motivação precisamos deste dado – Por quê?**Se a LGPD ainda não despertou em você e na sua empresa uma reflexão real sobre a real necessidade dos dados pessoais em sua empresa, pare e faça isso o quanto antes.
    
    Sim! Muitas vezes, principalmente as áreas de Marketing e Vendas tem uma compulsão pela informação de qualificação e identificação dos _prospects_ e _leads_ para cada etapa do funil. É ótimo pegar o telefone e fechar os últimos detalhes da venda, ou abordar um cliente indeciso na surpresa e conseguir convencê-lo do valor do seu negócio.
    
    Mas, o ponto que destaco é: Repense as reais necessidades de acessar, processar e armazenar esses dados. Você não necessariamente precisa ter um excel com milhares de linhas dos seus clientes inativos de 5 anos atrás, na esperança de um dia reaquecer essa lista morta. À luz da LGPD seu risco já foi mensurado, será que ele vale a pena?
    
    [Nesse artigo deixo pra você 10 processos do marketing que você deve repensar na LGPD!](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/)
    
2. **Coleta**.  
    Quais são as maneiras com que cada processo coleta/recebe os seus dados, e juntamente com eles o seu consentimento? Todos os dados adentram a empresa por 1 única porta de entrada, ou mais de uma?
    
    Liste-as todas, e reveja se em cada porta de entrada estão dispostas as devidas comunicações de políticas e processos, e se juntamente com os dados, são também coletados os consentimentos de cada titular. Ainda que de maneira analógica/off-line, o consentimento é essencial  
    1 – Consentimento.  
    Sim, o consentimento é essencial mas, não é o único instrumento que te permite acessar ou processar dados pessoais.
    
    Nesse [artigo listamos todas as bases legais](https://goadopt.io/blog/bases-legais-da-lgpd/) que amparam o uso de dados pessoais, segundo a LGPD.
    
3. **Processamento / Tratamento**  
    1 – Compartilhamento interno entre as áreas e sistemas.  
    \- Para o processamento de dados são utilizados softwares terceiros?  
    \- Os dados trafegam entre eles de que maneira?  
    \- O software está alinhado ao seu processo e política de privacidade?  
    \- Caso algum titular solicite a exclusão dos dados pessoais da sua empresa, como notificar esse fornecedor externo ou interno, para que ele processe a exclusão?
    
    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento
    
    3.2 – Armazenamento para uso e consulta interna.
    
    \- Durante os processos onde os dados são armazenados?  
    \- Por quanto tempo?  
    \- Arquivos, HDs físicos ou na nuvem?  
    \- Esta nuvem está em território nacional ou internacional?  
    \- Quem será o responsável pela ação de exclusão, ou consulta no banco de dados caso haja solicitação?
    
    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento
    
    3.3 – Back-up.  
    \- Qual a periodicidade e regras para backup?  
    \- Arquivos, HDs físicos ou na nuvem?  
    \- Esta nuvem está em território nacional ou internacional?  
    \- Quem será o responsável pela ação de exclusão, ou consulta no banco de dados caso haja solicitação?
    
    \- Há alguma documentação ou ferramenta de busca que assista ao DPO em caso de varredura, para facilmente localizar algum dado de titular no departamento
    
4. **Descarte**  
    Apesar de extremamente facilitado para arquivos digitais, essa etapa do processo é bastante séria. Pois, muitos arquivos permanecem na “lixeira”, e não são devidamente deletados.  
    Para arquivos físicos esse problema é ainda maior, quando o descarte é mal feito ou negligenciado.  
    Entenda esse processo e principalmente caso haja terceiros na etapa, inclua-os no seu monitoramento de terceiros eventualmente envolvidos.
5. **Fim do processo?**  
    O fim do processo é de fato o fim da jornada do dado na empresa, ou ele é apenas o começo de um outro?

Certamente à primeira vista, essas perguntas e questionamentos todos podem soam como excessivos. Mas, acredite esses são só algumas das perguntas que você teria/terá que responder caso contrate uma consultoria e adequação.

Ou, em um cenário não tão informal como esse texto, uma visita da ANPD.

Espero ter te ajudado com uma melhor compreensão de o como essas etapas são essenciais na rotina de um DPO.  
Com o Data Mapping temos com certeza a base para a confecção de uma política de privacidade mais robusta.

Sentiu falta de algum item, ou descritivo?  
Manda pra gente, estamos abertos a melhorias, sempre! - Pode nos enviar no hey@goadopt.io

Uma próxima leitura que indico a você, para aprofundar mais o assunto é:

[As diferenças entre Operador e Controlador dos dados.](https://goadopt.io/blog/tag/controlador-e-operador/)

Data Mapping e Inventário de Dados – O Colete Salva Vidas do DPO

Com a aprovação da GDPR - Regulamento Geral de Proteção de Dados, implementado em Maio de 2018 na União Européia, empresas e organizações passaram a dedicar atenção total ao consentimento, processamento, uso e armazenamento de dados.

Mas, muitas empresas cometem o erro de focar apenas no consentimento, como estratégia de compliance.
Por que isso seria um erro? 

Porque o consentimento deve ser dado durante e, para todo o processo de tratamento de dados, podendo ser revisado e revogado a qualquer momento. Além disso, outras [Bases Legais da LGPD](https://goadopt.io/blog/bases-legais-da-lgpd/), por exemplo, exigem condições diferentes de para o uso do dado, e, no caso, do consentimento.

Esse trabalho deve ser feito de forma cuidadosa e detalhista para de fato podermos tratar os dados de uma pessoa. Agora, você imagina como gerenciar os dados e consentimentos de milhões de clientes? É para isso que uma CMP serve.

## O que é uma CMP?

**CMP** é a sigla para “Consent Management Platform”. Em português, plataforma de gestão de consentimento.

CMP é uma ferramenta/plataforma que serve para gerir o consentimento de até milhões de usuários para que uma empresa possa utilizar os dados desses usuários para seus objetivos previamente explicitados. Ou, como requerido pela [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/)"para finalidades determinadas". 

Isso inclui saber o que cada usuário consentiu e dá a eles a oportunidade de rever seus consentimentos, podendo revisá-los e até revogá-los, conforme permite a lei.

Na prática, a plataforma de gestão de consentimento trabalha como uma intermediária entre o visitante e o dono do website.

Mas, antes de entender melhor o propósito e a utilidade de uma CMP, precisamos entender a importância do consentimento no contexto da LGPD.

## Por que pedir consentimento?

Segundo a [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), consentimento é a “manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada”. Ou seja, consentimento é uma permissão dada pelo usuário para que você possa usar os dados dele.

Quais as regras e diretrizes para este consentimento? Justamente para isso que servem os documentos: [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e, em alguns casos, até mesmo os Termos de Uso que materializam a maneira como a empresa se dispõe na utilização dos dados.

Por isso que sempre que há uma alteração na Política de Privacidade ou Termos de Uso, os consentimentos devem ser coletados novamente!

Qualquer dado que seja utilizado sem o consentimento do usuário (chamado pela lei de “titular”) estará infringindo o regulamento. As multas  para esse tipo de mal uso e violação de privacidade são altas e você pode ler mais sobre elas neste outro artigo: [Saiba mais sobre as multas na LGPD](https://goadopt.io/blog/multas-na-lgpd/).

A função da CMP, portanto, é gerenciar os consentimentos registrando por escrito:

/- O que o usuário X consentiu?
/- O que o usuário X não quer mais consentir?
/- Quais consentimentos o usuário X revogou e como isso te afeta?
/- Quando esses fatos ocorreram?
/- Qual a ordem dos fatos para uma clara compreensão das interações do usuário X?
/- Integrar as opções do usuário X às demais ferramentas que necessitem desta informação no processamento de dadados.
/- Reconhecer o país de acesso do visitante e mostrar o aviso no idioma e legislação do visitante

Dessa forma, você não corre nenhum risco de tratar os dados de uma forma que não seja autorizada por lei, garantindo a ética do seu trabalho e a privacidade de seus clientes.

Mas talvez você se pergunte: Eu não posso fazer isso de outra forma, economizando? É apenas para isto que uma CMP serve?

Bom, é o que vamos ver.

## Preciso ter uma CMP?

Respondendo de forma objetiva: não, você não precisa. 

De maneira simplória, a função da CMP é mostrar ao usuário, com um pop-up ou banner, as opções de consentimento e comprovar que o usuário realmente aceitou o tratamento de seus dados, bem como remover e atualizar dados já consentidos.

Acontece que fazer isso de forma manual é uma tarefa nada prática, principalmente levando em consideração centenas de milhares (ou milhões) de visitantes em seu site. A CMP permite que você tenha todo esse registro e inclusive atualize a Política de Privacidade e Termos de Uso, para manter o usuário sempre informado.

E por que é importante documentar o consentimento de forma automática?

Digamos que vários usuários cujos dados estão sendo tratados digam: “Nós não autorizamos a utilização dos nossos dados”. Como você pode comprovar que o consentimento foi dado, em uma fila de mil, dois mil, um milhão de requisições?

Com uma CMP.

Lembre-se: o importante é que a LGPD seja respeitada e você não prejudique seu negócio. Afinal, antes das multas esse processo dá trabalho e ao invés de você focar na gestão dos consentimentos você faça suas vendas e venda o seu produto!

Os meios usados para obedecer à lei na prática são escolhidos por você. A CMP está aqui para te ajudar.

## Como funciona, na prática, uma CMP?

Para o usuário, na prática, a CMP mostra um aviso de que o site utiliza cookies e coleta dados e informações de seus usuários. O aviso, normalmente em um pop-up, diz com que objetivo o site trata os dados. Junto com o aviso, há opções: o usuário pode aceitar todas as formas de tratamento, pode aceitar só algumas ou não aceitar nenhuma.

A plataforma de gerenciamento de consentimento também é responsável por integrar sua Política de Privacidade e Termos de Uso. Além disso, conforme a LGPD exige, as tags devem ser organizadas por propósitos específicos. Uma CMP como a [AdOpt](https://goadopt.io/) permite que isso seja feito de forma simples, em uma interface customizável.

Esse [artigo aqui, a gente aprofunda o passo a passo de um aviso de cookies!](https://goadopt.io/blog/funcionamento-aviso-de-cookies/)

## O que é importante para o DPO?

O Data Protection Officer (em português, [Encarregado de Proteção de Dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)) é o profissional responsável por supervisionar a preservação de dados e o cumprimento da lei.

Já que o DPO é o elo entre a empresa e a ANPD (Autoridade Nacional de Proteção de Dados), é essencial que ele eduque a companhia e as equipes.

A tarefa principal do DPO é aceitar as requisições, reclamações e comunicações dos titulares dos dados, tomando providências para que suas vontades sejam respeitadas e atendidas. O volume de trabalho é grande. A CMP, por sua vez, garante que os dados vão ser bem gerenciados e que o consentimento será documentado e de fácil acesso.

Dessa forma, a CMP otimiza o trabalho do Encarregado de Proteção de Dados. Ele não ficará sobrecarregado e a empresa não precisará aumentar a equipe para que dê conta da função, o que tornaria o custo da operação significativamente maior.

A LGPD já fez com que todos os sites atualizem sua forma de trabalhar. É normal que muitas dúvidas surjam e que à princípio pareçam difíceis. Mas lembre-se que estamos aqui para tirar suas dúvidas.

E, se você quer saber mais sobre como uma CMP pode ajudar especificamente no seu site, clique neste [link](http://goadopt.io/) e entre em contato.

O que é uma CMP (Plataforma de Gestão de Consentimento)?

[Considerada uma das profissões mais cotadas do momento](https://www.jota.info/ carreira/dados-dpo-carreira-direito-salarios-23102018), o surgimento da carreira do “_Data Protection Officer_” – DPO (ou “Encarregado de Proteção de Dados”, em português), é consequência direta da Lei nº 13.709/2018, a chamada Lei Geral de Proteção de Dados (LGPD), que entrou em vigor em agosto de 2020.

Desde a sanção da [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), em agosto de 2018, passando pela aprovação da Medida Provisória nº 869/2018, até a conversão da MP em lei (Lei nº 13.853/2019), o tema do Encarregado de Dados passou por algumas reviravoltas, como por exemplo a respeito da possibilidade do encarregado ser pessoa física ou jurídica, e a necessidade de possuir conhecimento jurídico regulatório.

Assim, esse breve artigo tem por objetivo trazer alguns esclarecimentos a respeito dessa pessoa tão importante no contexto da proteção de dados. As vagas de emprego surgiram sim mas, também com elas a responsabilidade e cobrança do mercado!

Na definição do artigo 5º, inciso VIII, da LGPD, o encarregado é a _“pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)”_.

Fazendo uma analogia do país do futebol, podemos pensar na pessoa do encarregado como o “meio-campo” do time, ou seja, o responsável por fazer a ligação entre a defesa e o ataque. Graficamente, temos:

![DPO Encarregado de Dados.png](https://strapi.goadopt.io/uploads/DPO_Encarregado_de_Dados_3e447ae66a.png)

Assim, o Encarregado, é a figura responsável por intermediar o diálogo entre controlador e titular dos dados, ou entre controlador e a ANPD, acomodando suas necessidades e interesses.

## Quais a responsabilidades do Encarregado de Dados?

Dentre suas várias responsabilidades, todas previstas nos incisos do artigo 41, § 2º, da LGPD, o Encarregado, as atividades do encarregado consistem em:

_I - aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

II - receber comunicações da autoridade nacional e adotar providências;

III - orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e

IV - executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares._

Para desempenhar tais atribuições, o Encarregado deverá dominar as técnicas de [mapeamento de dados](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/), identificando todas as fontes possíveis de coleta, bem como de controle do ciclo de vida dos dados, ou seja, como os mesmos serão armazenados e utilizados, com quem serão compartilhados, quando e de que forma serão eliminados.

Outro aspecto fundamental para que o Encarregado possa de fato cumprir o papel que a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) propõe é a autonomia no poder de tomada de decisões independentes e exercício de fiscalização dos processos internos da empresa. Naturalmente, como um profissional contratado por determinada empresa para atuar conforme seus interesses, o Encarregado terá sua dose de sujeição às diretrizes de seu contratante. Isso, no entanto, não pode comprometer sua posição de interlocutor perante o titular dos dados pessoais, tampouco perante a ANPD.

Para concluir, é válido ponderar que embora a redação atual da LGPD não mais exija que o DPO possua conhecimento jurídico regulatório, o conhecimento e, sobretudo, o domínio da LGPD e demais normas aplicáveis no contexto da proteção de dados pessoais é essencial para o bom desempenho das funções do encarregado. Principalmente pois, a LGPD não deve ser analisada de maneira isolada mas, sempre dentro do contexto de mercado e regulações da empresa que busca a adequação.

Sem prejuízo,  a crescente preocupação do empresariado a respeito da LGPD é natural. Afinal, o Brasil é um país extremamente complexo para se empreender e toda nova regulação traz incerteza e instabilidade para o jogo.

_**SOBRE O AUTOR:**_

_**Dânton Zanetti**_ _é advogado, sócio fundador do_ _Zanetti, Oliveira & Machado Sociedade de Advogados_ _([www.zomadv.com](http://www.zomadv.com)), atuando nas áreas de Direito Empresarial, Contratual, e Direito Digital, Mestre em privacidade e proteção de dados._

As Responsabilidades do Encarregado de Dados - DPO na LGPD

Certamente você já deve ter visto aquelas inúmeras previsões de multas e sanções que a LGPD trouxe consigo, certo?

Já que temos a tal "nova" [Lei Geral de Proteção de Dados, a LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), e agora?

Calma! 

Antes de uma perspectiva alarmista ou até mesmo pessimista diante da lei, é essencial deixarmos claro que: o uso de dados pessoais (leia-se tratamento e processamento) não está proibido pela lei, mas, simplesmente – agora, regulado por ela. Assim sendo, você como empresário ou especialista do seu mercado pode e deve manter os seu trabalho e estratégias como um todo. Porém, agora também, você deve entender como adequar o seu modelo de negócios às normativas que a lei prescreve para o uso dos tais dados pessoais.

Mas, então, qual seria então o significado da [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) para a sua empresa?

Meu objetivo aqui é te entregar, de maneira mais breve e prática o possível, um compilado de informações-chave que servirão como um norte diante das dúvidas e bifurcações que você enfrentará no seu caminho de compreensão e, sobretudo, adequação!

## Introdução



### Antes de começarmos, quem é a AdOpt pra me ajudar com isso?

Após vários anos à frente de iniciativas de trabalho e estudos sobre dados, marketing e privacidade na internet é preciso fazer uma confissão. Nós sinceramente já vimos de tudo. Estamos neste mercado desde o nascimento dos conceitos de análise preditiva, e todas as AdTechs que surgiram desde então. Vimos a ascensão e queda da Cambridge Analytica e seus escândalos e vazamentos, inúmeras análises e documentários, Wikileaks, Snowden, etc.

Logicamente, acompanhamos todo o mercado com o surgimento da GDPR, CCPA e suas derivações ao redor do globo, que hoje – aqui no Brasil, culminam com a LGPD. Há quase 8 anos estamos trabalhando diariamente com vários dos pilares que hoje o mercado de “Marketing por dados” está tão familiarizado. - A construção de modelos de dados para análise de métricas de performance,

\- Bancos de dados sequenciais, não relacionais, físico, em nuvem e tantos outros que já passaram por nossas mãos.

\- Inúmeras características de tags de rastreio, fingerprints, SDKs, etc. - Infinitas atualizações de tecnologia, privacidade, boatos e navegadores com seus bloqueios de cookies de terceiros. - Diversas integrações com Adservers, CRMs, ferramentas de e-mail, DSPs, Cookie Syncs com DMPs, Data Providers, Bureaus de Crédito, etc. - Firewalls, Backdoors, Rotinas de Segurança, DNS,  etc.

Enfim, são mais de 200M de usuários únicos mapeados em nossos sistemas, e 40 mil sites já passaram por nossa rede desde 2015, quando criamos a nossa primeira versão de Tag e Cookie.

 

Tudo isso para te dizer que, todo esse conhecimento que acumulamos até hoje só nos dão uma certeza. De nada vale saber tudo isso, se:

1 – Não executarmos com prontidão as melhores práticas de trabalho e segurança, 
2 – Não conseguimos traduzir a teorias internacionais para nossas legislações e realidades do mercado local. 
3 – Se não desmistificarmos a necessidade de recursos infinitos, e extremamente elaborados, para começar um bom trabalho. 
4 – Se a Teoria não gerar um ganho real para os clientes, e consequentemente, vendas para os dois lados.

Durante o ano de 2019 entrevistamos quase 250 empresas sobre a LGPD e seus impactos e percepções no desafio da adequação, e a maioria das dificuldades listadas há época foram: _a dificuldade de compreensão da lei, falta de mão de obra capacitada, dificuldades com o manejo de novas tecnologias e,_ não menos importante_, a administração e coleta dos consentimento dos titulares_.

Desde então tínhamos o mesmo o sentimento, a LGPD permanece uma incógnita para a maioria, e ao mesmo tempo nós – que somos parte viva do mercado, temos em nossas mãos a oportunidade de reforçar o quanto a Privacidade pode e deve ser levada a sério. Não sendo valorizada apenas quando perdida, mas – em suma,** como um direito individual de todos os cidadãos.**

Quanto mais hoje em dia onde é impossível ignorar o elefante na sala, ou melhor, o número crescente de celulares e dispositivos coletando dados de texto, áudio e vídeo em praticamente todos os lares. Quem nunca teve a sensação do celular estar te escutando, que atire a primeira pedra!

O fato é, todas as legislações de privacidade vieram pra ficar! 

Sim, estamos em um caminho sem volta no que se refere ao uso de dados pelas nossos gadgets favoritos. Com isso, é essencial que saibamos o valor da Privacidade enquanto ainda – teoricamente, temos o controle. Mas, principalmente que tenhamos acesso a tecnologias que trabalhem ao nosso favor, não apenas coletando os dados mas, nos dando a liberdade em frente às inúmeras ocasiões de coleta, que enfrentamos diariamente. 

Sim, antes da coleta há uma escolha de um cidadão livre, que deve ser respeitada e informada de maneira clara e transparente.

Assim, exatamente neste acumulado de dados, serviços, dúvidas e testes infinitos das tecnologias, nasceu a AdOpt.

São anos de estudo e aplicações práticas, que tem como objetivo minimizar as consequências que o mercado de marketing e publicidade sofreram. Não só quando a GDPR entrou em vigor na Europa e derrubou drasticamente a receita dos grandes publishers, mas, também pelo amadurecimento do nosso mercado local – Brasileiro, frente as inúmeras tecnologias que sequer conseguimos testar, graças aos nossos budgets tupiniquins.

A AdOpt, começa como uma maneira rápida e prática com que todas as empresas possam comunicar e coletar o consentimento dos seus visitantes sem correrem o risco de destruírem suas métricas e engajamento com mais um aviso feio, que mais parece um Pay Wall, ou diríamos – Cookie Wall?

Em todo o roadmap da AdOpt e sua evolução como produto, temos por objetivo também democratizar o acesso a informação a respeito da legislação e suas aplicações em si, de modo que respeitemos a privacidade de todos! Novamente, o contexto que a AdOpt nasce, faz dela impossível de ser ignorada, tamanha a sua importância nos dias de hoje.

#### De um ponto de vista comercial, chegamos à conclusão que o mercado carece de alguns posicionamentos de fácil compreensão e, acima de tudo, desmistificando os interesses de algumas classes do mercado, no que tange à nova Lei Geral de Proteção de Dados Pessoais, a LGPD. É certo que advogados, contadores, agências de marketing, profissionais de TI e diversos outros “experts” estão ávidos para abocanhar seu pedaço no mercado. O que é perfeitamente compreensível, pois, a lei abarca conhecimentos de diversas áreas simultaneamente. Contudo, antes de qualquer vantagem de mercado ou de classe de trabalhadores, nós da AdOpt acreditamos que existem 2 princípios que devem sempre reger a nossa interpretação disto tudo, à luz da privacidade; exaltada pelas inúmeras legislações de privacidade ao redor do mundo.

## 1 – **Um princípio de liberdade**.

Sim, a liberdade é de um valor imensurável e só quem a perde é capaz de realmente descrever o impacto de sua ausência. Seja no acesso à informação, no direito de ir e vir, na liberdade de imprensa ou no simples direito ao esquecimento. Somos a geração que criou os memes, mas também o “cancelamento”, a crítica ferrenha às _Fake News_, o banimento de algumas redes sociais, entre outras. Pautados em premissas de valorização da verdade, algumas vezes esquecemos de mensurar o real impacto de alguns mecanismos unilaterais que acabam ofuscando real o valor da liberdade. 

A LGPD, GDPR, CCPA, e tantas outras são também um mecanismo que ajuda o cidadão na manutenção de sua liberdade, diante dos gigantes da internet.

#### 2 – **Sem produtores de conteúdo, não teríamos a internet.**

Quando isso (a internet) "_era tudo mato_" e tínhamos meia dúzia de blogs e portais de notícias, a LGPD jamais faria sentido. Porém,  foram graças a essas âncoras da internet que criou-se a oportunidade de monetizar a atenção das pessoas em determinadas páginas! Sem os grandes _publishers_ não teríamos a mídia programática e todas as oportunidades de automatizar o fluxo monetário gerado hoje globalmente, na escala e proporção que vivemos.

 

#### Sem a mídia programática não teríamos as redes sociais como as conhecemos hoje. Afinal, como diria o Mr. Zuckemberg.

“We Run Ads”.

 

Talvez essa introdução tenha um ar de “Manifesto” para você, quando exaltamos tanto o valor da Privacidade e da Liberdade, expressas no livre acesso a informação e consequentemente na produção de conteúdo.

Aqui vai mais uma confissão para você, caro leitor. A AdOpt hoje, tem a função de aviso de cookies, ajudando como uma [CMP (](https://goadopt.io/blog/o-que-e-uma-cmp/)_Consent Management Plataform)._ Mas, você não faz ideia do que virá pela frente quando ligarmos todos esses pontos acima e te dermos acesso às tecnologias que estamos desenhando!

#### Se os dados são o novo petróleo, a privacidade será a nova moeda!

O assunto ainda não acabou, mas, espero que você tenha entendido o quanto somos apaixonados por esse assunto e queremos te conduzir por ele!

Em nosso próximo capítulo (artigo) eu quero te mostrar a base de toda a compreensão da lei: [As Bases Legais da LGPD,](https://goadopt.io/blog/bases-legais-da-lgpd/) te espero lá!


Entenda o significado da LGPD para a sua empresa

Os termos de uso são parte essencial de diversos sites, na [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/). Apesar de constantemente ignorados, os Termos de Uso são literalmente o contrato firmado entre você e a empresa que oferece aquele produto ou serviço, de maneira digital. Assim, não apenas o desenvolvimento deles, mas também eventuais alterações requerem bastante cuidado.

Esse cuidado se refere tanto às situações em que tais alterações podem ou devem ser aplicadas quanto à forma de alteração e aos reflexos disso. Confira, no texto que segue, como funciona cada um desses aspectos e garanta a validade dos seus termos, bem como a [adequação à LGPD, GDPR, CCPA, PIPEDA, POPIA](https://goadopt.io) entre outras.

## Quais os principais temas tratados nos Termos de Uso?

Antes de adentrarmos especificamente nos porquês de uma eventual alteração dos Termos de Uso, e a melhor maneira de fazê-la, vamos analisar rapidamente alguns dos principais capítulos/temas distribuídos que costumam ser encontrados em qualquer documento padrão.

Tendo como base os próprios Termos de Uso da [AdOpt](https://goadopt.io/termos-de-uso), a divisão do texto é a seguinte:

**1. Objeto**

**2. Funcionalidades**

**3. Contratação e Prestação de Serviços**

**4. Prazo**

**5. Remuneração**

**6. Interrupção dos serviços.**

**7. Responsabilidades**

**8. Tratamento de Dados Pessoais**

Abaixo um breve resumo do que cada seção trata:

1. **Objeto**
 Identificação das partes envolvidas e detalhamento dos serviços prestados, suas características e definições operacionais.
 
2. **Funcionalidades**
No caso de um software como o da AdOpt, dedica-se esta seção à listagem das funcionalidades envolvidas e o respectivo detalhamento dentro dos planos.

3. **Contratação e Prestação de Serviços**
Descritivo dos processos e detalhamentos necessários para a contratação do serviço.

4. **Prazo**
Periodicidade de entrega e, ou disponibilidade do produto/serviço após/durante a compra.

5. **Remuneração**
Como será feito o pagamento, preço, prazos e condições de pagamento.

6. **Interrupção dos serviços**
Situações onde a interrupção dos serviços é prescrita, necessária e justificada. Bem como, fatos que podem levar à interrupção.

7. **Responsabilidades**
Ambas as partes têm responsabilidades mediante o aceite dos termos. De um lado o contratado em prestar o serviço, e o cliente em realizar os pagamentos e em utilizar o sistema/plataforma conforme necessário para a entrega do serviço.

8. **Tratamento de Dados Pessoais**
Definição dos papéis de [controlador vs. operador de dados](https://goadopt.io/blog/tag/controlador-e-operador/), dentro dos processos criados pelo contrato. Caso sejam coletados dados, é feito o devido enquadramento de base legal utilizada, e, responsabilidades dos processos advindos da operação.

9. **Disposições gerais**
Declarações que posicionam o contrato geograficamente, estabelecem condições para eventuais atualizações, direcionamento caso uma das partes descumpra o contrato e foro.

## Por que alterar os termos de uso?

As alterações nesses documentos, embora muitos sequer se atentem, são necessárias sempre que haja alguma alteração significativa no descritivo do seu conteúdo. Aspectos como: objeto da entrega do serviço ou produto da empresa, condições de atendimento ao público, dados oficiais, e agora aos aspectos obrigatórios pela LGPD.

Tanto a [LGPD (Lei Geral de Proteção de Dados)](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), bem como às outras normas que se apliquem no caso, especificam aspectos sobre a coleta, tratamento e processamento de dados que podem fazer parte do objeto do serviço ou produto, logo devem fazer parte dos termos de uso.

Ainda, muitas vezes as alterações são necessárias para adequação do conteúdo dos termos de uso à realidade da marca. Afinal, tais termos devem ser um reflexo da realidade da empresa e não uma história fictícia.

Em caso contrário corre-se o risco de que não haja compatibilidade entre os termos de uso do site e a realidade dele, dos seus serviços, regras e normas que lhe atingem. Portanto, é como se ele fosse inútil.

Aspectos da nossa vida mudam constantemente e isso também é uma verdade quando nos referimos às marcas, às formas de atuação delas e às regras às quais elas se submetem.

Uma vez que os termos de uso dizem respeito a essas questões, qualquer mudança nelas também deve refletir sobre eles para que continuem sendo válidos e relevantes, bem como prestem o papel que lhes cabe frente à marca.

##Quando, então, é necessário alterar os termos de uso?

Em termos gerais, sempre que houver identificação de algum desses aspectos:
- Alteração no modo de operação do site;
- Adição ou mudança nos serviços e produtos disponíveis;
- Mudanças legais que reflitam sobre as regras que um site pode aplicar, bem como nos deveres e direitos que impõe;
- Inadequação entre os termos e a realidade da marca (como suas características, o que oferta e como opera), ou, então, entre eles e as leis vigentes (como LGPD ou Código do Consumidor, por exemplo).

Portanto, são vários os motivos que podem levar à alteração dos termos de uso. E todas elas são relevantes especialmente para manter a validade desse documento, bem como sua aplicabilidade.

## Preciso de autorização para a alteração dos termos de uso?

Sim! Os termos estão entre os documentos que esclarecem ao público como são as regras vigentes naquele espaço, ou seja, no site. 

Ele se junta, então, à [política de privacidade ](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/)e o aviso de cookies para promover a transparência com o usuário. Enquanto os termos indicam as regras válidas ali, direitos e deveres, a política diz respeito à privacidade e ao uso de dados, coisa que os [cookies](https://goadopt.io/blog/cookies-e-lgpd/) também fazem parte.

Todos esses documentos são importantes porque ajudam no cumprimento das regras da LGPD. Ela tem como norte a transparência.

Sendo assim, sequer faria sentido a alteração dos termos de uso poder ocorrer sem a anuência do usuário, certo?! Não se trata necessariamente de uma autorização; afinal, cabe ao titular decidir se aceita os termos, mantendo seu acesso a serviços do site e deixando disponível a ele suas informações, ou se abre mão disso e retira seu aceite.

Concluindo: sempre que houver alteração em regras e políticas que atinjam usuários e titulares de dados estes devem ser notificados para que se manifestem sobre. Ou seja, para que demonstrem a aceitação ou não das novas normas e diretrizes vigentes.

Por isso que alterações são sempre anunciadas para uma data futura, dando aos usuários um tempo hábil para a leitura e compreensão das mudanças.

## Meus termos de uso possuem cláusula indicando possibilidade de alteração deles, preciso notificar os usuários mesmo assim?

Mais uma vez a resposta é positiva. Por mais que muitos termos e políticas prevejam a possibilidade de alteração deles, não é uma boa ideia alterá-los sem qualquer notificação e obtenção da anuência do titular de dados.

Afinal, isso se revela em uma alteração unilateral. Uma vez que os termos de uso funcionam como um contrato online, essa não é uma decisão interessante e pode ser vista como abusiva. Igualmente, como contrária à LGPD, para quem a transparência e o consentimento são essenciais.

## Como notificar seus usuários na alteração dos termos de uso?

É indispensável que você dê ciência aos seus usuários e clientes quanto à alteração das suas políticas de privacidade e termos. Por isso, veja dicas de como fazê-lo para não deixar isso passar em branco.

## Notificação por mensagem

Uma das possibilidades de notificar seus usuários quanto a alteração dos termos de uso do seu site é por notificação por mensagem. Nesse caso, então, é possível optar por e-mail ou por outros meios de comunicação que tenham sido cedidos pelo titular (SMS, etc.).

Nessa hipótese, então, busque informar sobre as alterações, bem como dê acesso ao indivíduo aos novos termos. Da mesma forma, certifique-se de que ao acessar o documento o visitante tenha a chance de manifestar se aceita ou não essas alterações (na famosa caixinha de “Declaro que li e aceito os termos de uso”. 

Ainda, é claro, garanta que esse tipo de concessão de alteração será identificado e devidamente arquivado como prova.

## Notificação no acesso ao site
Outra possibilidade é fazer com que assim que o usuário acesse o seu site ele se depare com um banner que indique a alteração dos termos de uso. Nesse cenário é interessante impedir que ele navegue pela página até que leia e concorde (ou não) com os novos termos. 

Geralmente essa prática é utilizada quando os novos termos já entraram em vigor. Pois, podem ser mais drásticas no aspecto da experiência do usuário. Mas, essenciais para ambos.

## Cuidado! Quem cala não consente

Por fim, nossa última dica ao alterar os termos de uso é ter cuidado quanto ao silêncio. Aqui, diferentemente do que consideramos muitas vezes, quem cala não consente. É essencial que haja a obtenção expressa do aceite do titular de dados quanto às alterações dos termos.

## Ajude o visitante na leitura dos novos termos de uso!

Nem todos os seus visitantes, para não dizer a minoria, têm a paciência e o interesse pela leitura dos seus Termos de Uso. Sim, isso é preocupante dada a sua importância mas, este é o fato que observamos diariamente.

Então, uma vez que você já vai ter que notificar os usuários quanto às alterações, uma boa prática é já destacar quais foram as principais mudanças, e se elas afetam o usuário para que ele já tenha os principais pontos de maneira destacada, acelerando a compreensão e, consequentemente, a coleta do aceite dos termos.

Então, uma vez que você já vai ter que notificar os usuários quanto às alterações, uma boa prática é já destacar quais foram as principais mudanças, e se elas afetam o usuário para que ele já tenha os principais pontos de maneira destacada, acelerando a compreensão e, consequentemente, a coleta do aceite dos termos.

Ficou com alguma dúvida, ou trabalha como como [Encarregado de Dados ](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) e pode contribuir com esseas dicas?

Conta pra gente como podemos melhorar, estamos sempre abertos a feedbacks!

Dicas para notificação de usuários na alteração dos Termos de Uso.

Ignorar os Termos de Uso e a sua importância dentro de um site, principalmente agora com a [LGPD](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/), é um erro comum que tanto os consumidores quanto os donos do site cometem com frequência. 

Os primeiros a ignoram e os segundos simplesmente as copiam de outros sites e ignoram os pontos principais.

Afinal, é chato perder tempo lendo esses documentos ou pensando no desenvolvimento deles, certo? Errado! É claro que a leitura não promete um deleite literário, eu bem sei. 

Porém, ela é necessária para que se garanta a segurança tanto do usuário quanto do proprietário da página. Não à toa está presente na maioria dos [banners de cookies](https://goadopt.io/blog/banner-de-cookies/) espalhados por aí…

Não perca mais tempo, então, e confira abaixo tudo sobre eles, bem como os Termos de Uso se tornaram essenciais em tempos de LGPD. 
## Termos de Uso: O que são?
Termos de Uso correspondem a um documento que traz em detalhes questões sobre o funcionamento do site, a contratação dos serviços/produtos ofertados (ou uso de informações ali presentes) e limites de responsabilidades das partes.

Ele, então, é um documento em texto que traz normas sobre o funcionamento e a utilização do site e dos seus serviços. Estes podem ser comerciais, informativos, de prestação de serviços e por aí vai.

Termos de Uso e  LGPD, [Políticas de Privacidade](https://goadopt.io/blog/o-que-e-politica-de-privacidade/), coleta de dados... são tantos os termos que surgem nas conversas sobre proteção de dados e obrigações dos sites que navegar na internet passou a necessitar de um dicionário e de um diploma em Direito e TI. 

Calma, mesmo que você já seja o [Encarregado de Dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/) do seu site, por livre espontânea pressão, estamos aqui para te ajudar! :D

Mas você não precisa disso tudo para entender como esses termos conversam e qual é a importância deles. Hoje veremos de forma simples e sem complicações que exijam termos técnicos sobre o assunto.

## E para que servem os Termos de Uso?
Os Termos de Uso servem justamente como um contrato! 

E você já imaginou assinar um contrato sem lê-lo com antecedência? Ou, ainda, copiar um contrato qualquer que diz respeito sobre as regras que lhe protegem, sem saber se elas cabem ao seu caso?

Pois é, é por isso mesmo que ignorar os Termos de Uso não é mais uma opção. Na verdade é uma grande irresponsabilidade, convenhamos.

Ele serve, então, para impor regras para que os usuários ou clientes utilizem o site ou plataforma. Ou seja, quando você aceita os termos, aceita as condições que a página impôs. Ao fazer uma compra nesse e-commerce, segue as regras ali impostas.

É claro que esse documento também segue regras como o Código de Defesa do Consumidor, mas no geral, o contrato é imposto pelo site. Por isso, é de responsabilidade dele o desenvolver com qualidade, transparência e acessibilidade (fácil leitura).

Da mesma forma, cabe ao visitante ler os termos e, caso não concorde com eles, abandonar o site ou o uso. Afinal, caso concorde, deverá seguir os limites dele (desde que não abusivos, mas isso já é papo jurídico).

Os Termos de Uso servem, em resumo, para estabelecer os limites de uso do site, de responsabilidade dele, o uso correto dos serviços, os deveres e direitos de cada um e o que se oferece ali.

Além disso, cabe lembrar que cada tipo de Termos é diferente. Afinal, um site de notícias não oferece os mesmos serviços (e nem tem as mesmas responsabilidades) que uma página que vende produtos.

Por isso, pensar nesse documento é sempre muito importante para quem tem sites. Da mesma forma, é importante para você, leitor, pois indica seus direitos e deveres.
## Qual é a relação entre os Termos de Uso e a LGPD?
Os Termos de Uso fazem parte da transparência que os sites devem aos seus visitantes e usuários. Eles acompanham, então, as Políticas de Privacidade. Estas indicam como é feito o tratamento, colhimento e segurança de dados que eventualmente são colhidos ali.

E são justamente essas documentos que são a formalização dos temas centrais da [LGPD, a Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/). Ela é recente e entrou em vigor em Agosto de 2020.

Por isso, mais do que nunca é essencial que os sites se atentem à necessidade de desenvolver esses documentos que atingem a privacidade e os direitos do consumidor/visitante de acordo com a LGPD. Em caso contrário, correm risco de receberem penalidades. Dentre estas, multas bem significativas.

Embora muitos sites optem por apresentá-los em um documento só, é de suma importância que eles estejam dispostos no site em documentos separados e únicos. Ou seja, um para os Termos de Uso e outro sobre a Política de Privacidade.

Enquanto os Termos de Uso trazem as limitações sobre possibilidade de uso dos dados e serviços ali disponíveis, de responsabilidades das partes, direitos, deveres e propriedades intelectuais. Já as Políticas de Privacidade trazem informações sobre tratamento e obtenção dos dados dos usuários e visitantes.
## Como desenvolver os Termos de Uso do meu site?
Ao criar os Termos de Uso de acordo com a LGPD existem alguns cuidados que são indispensáveis.

Primeiramente, embora os Termos de Uso correspondam a um contrato para uso do site e dos seus serviços, ele não requer linguagem jurídica. Na verdade, quando mais claro puder ser nele, melhor!

Afinal, é imprescindível que todos os visitantes sejam capazes de compreender os termos ali dispostos, pois dizem respeito aos seus direitos e deveres no uso da página. Por isso, lembre-se de manter a simplicidade.

Outra questão diz respeito à especificidade dos termos. Lembra que citamos antes o (péssimo) hábito de alguns sites que simplesmente copiam os Termos de Uso de outros? Pois bem. Isso é errado justamente porque esse documento deve se relacionar de forma específica ao que cada página oferta.

Por exemplo, um site informativo, um de e-commerce e um que ofereça ferramentas de cálculos online terão, cada uma, Termos de Uso específicos e diferentes. Ainda, mesmo entre os e-commerces isso varia.

Outro ponto que deve ser considerado são as delimitações, dentro da LGPD, sobre os papéis de [Controlador e Operador de Dados](https://goadopt.io/blog/tag/controlador-e-operador/). Pois, muitas vezes esses papéis podem ser confundidos ou até mesmo invertidos durante a prestação de serviços.

Afinal, devem conter dados sobre os tipos de produtos que comercializa, os dados necessários para compra, dentre outras questões que são extremamente únicas de cada negócio.

Por fim, lembre-se de que os Termos de Uso devem conter, além de delimitação dos serviços, a limitação das responsabilidades e obrigações, bem como declarações de direitos autorais e de propriedade industrial.

Com tudo isso é possível garantir Termos de Uso de acordo com a LGPD, seguros, claros e completos! Se quiser, pode usar os [Termos de Uso da AdOpt](​​https://goadopt.io/termos-de-uso) como referência.

## Quer se aprofundar no assunto?

Temos este outro artigo, que te ajuda com [dicas para quando precisar atualizar os seus Termos](https://goadopt.io/blog/notificacao-usuarios-termos-de-uso)


O que são Termos de Uso e qual a sua importância na LGPD?

A [LGPD - Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) trouxe consigo várias siglas e termos específicos. Muitos deles importados de outros países e legislações. Um deles é o ROPA (_Record Of Processing Activities_), adaptado no Brasil para Registros das Atividades de Tratamento. Um documento essencial para qualquer DPO, Encarregado de Dados.

Se você trabalha na área ou está em processo de adequação da sua empresa, esse artigo foi feito para te ajudar a entender melhor esse documento.
 
O ROPA (_Record Of Processing Activities_), nada mais é do que um documento que organiza as provas oficiais da empresa sobre:
- **Como é feita a coleta de dados**, seus processos e atividades; 
- **O que é feito com o dado**, se há algum tratamento ou compartilhamento;
- **Como o dado é excluído**, se for o caso.

Ou seja, as perguntas e respostas essenciais em caso de consulta da ANPD - Autoridade Nacional de Proteção de Dados, à sua empresa. Abaixo falaremos melhor de cada um destes pontos.

Vale destacar que todos os documentos e processos mapeados pelo Encarregado de Dados da empresa são "vivos", em constante atualização e mudança. Um processo novo criado no departamento X pode alterar o ROPA, a [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e tantos outros controles.

Assim, independente do tamanho da sua empresa, os documentos devem sempre refletir a realidade e serem constantemente atualizados.

Pode ser que empresas menores não sintam tanto a necessidade ou complexidade de manter esse "Mapeamento dos fluxos" atualizados, afinal tudo é menor e com menos pessoas envolvidas. Agora, para uma empresa maior, já existem softwares que ajudam nesse controle de maneira mais automatizada, como a [LGPDNOW](http://lgpdnow.com.br/), por exemplo.

## O que é o ROPA?
 
ROPA (_Record Of Processing Activities_), traduzido pelo mercado brasileiro para Registros das Atividades de Tratamento, é um documento oficial das empresas, gerado por um sistema ou não, que registra todos os fluxos, processamentos e atividades envolvendo dados pessoais. 

Nele, lista-se principalmente todas as finalidades e razões pela qual a empresa precisa daquele(s) dado para sua operação, embasamento jurídico ([Base Legal](https://goadopt.io/blog/bases-legais-da-lgpd/)), critérios de segurança, período de armazenamento/retenção do dado.

## ROPA é a mesma coisa que Data Mapping?
 
A resposta fácil é: _depende_.

O [Data Mapping ou Inventário de Dados ](https://goadopt.io/blog/mapeamento-ou-inventario-de-dados-lgpd/)funciona como um mapa visual do fluxo de dados pessoais dentro do Agente de Tratamento, trazendo muito mais do que o ROPA, como mapas de sistema e transferências internacionais, parâmetros de adequação à ISO, NIST entre outros.

Já o ROPA foca nas atividades onde haja tratamento de dados. Ou seja, em uma empresa mais estruturada, pode acontecer de um Data Mapping conter alguns ROPAs como parte dele.

De qualquer maneira, o registro das atividades é parte essencial de ambos os documentos. A ótica e metodologia aplicada em cada um pode ser o seu diferencial.

## Como deve ser um ROPA?

De acordo com a [ICO (Information Commissioner’s Office) um ROPA deve ter no mínimo:](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements)

- Nome e dados de contato de sua organização, seja ela um controlador ou um operador (e onde aplicável, o controlador conjunto, seu representante e o DPO);
- Os objetivos do processamento;
- Uma descrição das categorias de indivíduos e dos dados pessoais;
- As categorias de destinatários dos dados pessoais;
- Os detalhes das transferências para países terceiros, incluindo um registro das salvaguardas do mecanismo de transferência em vigor;
- Os horários de retenção / armazenamento;
- Uma descrição das medidas de segurança técnica e organizacional em vigor.
- Se você tem um registro interno de todas as atividades de processamento realizadas por qualquer processador em nome de sua organização.

**### Perguntas que o ROPA deverá responder:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal diria que você tem processos eficazes para manter o registro atualizado, preciso e garantir que os dados sejam minimizados?
- O pessoal poderia explicar suas responsabilidades e como as executam na prática?


## Boas práticas para um bom ROPA.

Ainda, de acordo com a [ICO (Information Commissioner’s Office)](https://ico.org.uk/for-organisations/accountability-framework/records-of-processing-and-lawful-basis/#requirements) O ROPA também inclui, ou faz links para, a documentação que cobre:

- Informações necessárias para os avisos de privacidade, tais como a base legal para o processamento e a fonte dos dados pessoais;
- Registros de consentimento;
- Contratos do controlador-processador;
- A localização dos dados pessoais;
- Relatórios da DPIA;
- Registros de violações de dados pessoais;
- Informações necessárias para o processamento de dados de categoria especial ou dados de condenações penais e infrações nos termos da Lei de Proteção de Dados de 2018 (DPA 2018); e
- Documentos de política de retenção e exclusão.

### **Questionamento para a criação do seu ROPA:**

- Você já considerou a eficácia de suas medidas de responsabilização?
- O pessoal entende como acessar outros documentos relevantes vinculados ao ROPA?
- É fácil para o pessoal acessar a documentação relevante da ROPA?
- O pessoal poderia explicar este processo e como ele impacta a sua função?


## Como fazer um ROPA para LGPD?
Um bom exemplo para quem está começando, ou tem uma empresa menor é utilizar planilhas para esse controle e organização.

Além disso, no site do [gov.br existem diversos guias e templates para te ajudar na adequação à LGPD.](https://www.gov.br/governodigital/pt-br/seguranca-e-protecao-de-dados/guias-operacionais-para-adequacao-a-lei-geral-de-protecao-de-dados-pessoais-lgpd)

Para empresas maiores que precisam estruturar melhor esses processos uma plataforma de gerenciamento da privacidade e mapeamento de dados pode ajudar muito! 

Por isso indicamos que você marque com o pessoal da [LGPDNOW](http://lgpdnow.com.br/) para uma conversa, sem compromisso, e ver como eles podem te ajudar no desenvolvimento do seu ROPA para LGPD.

Pois, templates e modelos importados de outras empresas ajuda muito. Mas, é essencial que você consiga traduzir exatamente a realidade da sua empresa com clareza e objetividade.

Todas as vezes que nos deparamos com a complexidade de justificar e embasar um a coleta de um dado, re-pensarmos a sua real necessidade. Afinal, devemos sempre prezar pela privacidade ao longo de todos os processos, como nos ensina o [Privacy by Design](https://goadopt.io/blog/o-que-e-privacy-by-design/)

## Como a AdOpt pode te ajudar no ROPA?
 
Conforme as recomendações da ICO listadas acima a Plataforma para LGPD da AdOpt te ajuda a mapear e organizar:

- [Banner de Cookies](https://goadopt.io/blog/banner-de-cookies/) dentro dos padrões da ICO, LGPD, GDPR, CCPA.
- Registros de todos os consentimentos por escrito; (organizado por usuário com data, hora e detalhes de cada consentimento.)
- API de Integração com suas demais plataformas para enriquecer os dados coletados com as informações de consentimento registradas.
- Entre outros, a depender do tamanho da sua empresa.

Estamos aqui para te ajudar!

Então, neste [link](https://calendly.com/valquiriaadopt) a nossa agenda aberta para discutirmos os seus desafios de adequação do seu negócio.

ROPA na LGPD? Conheça os Registros das Atividades de Tratamento

O [encarregado de dados, ou DPO](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) (_Data Protection Officer_ em inglês) é um cargo novo que surgiu, no Brasil, junto à [Lei Geral de Proteção de Dados](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/). Embora já existisse em outras legislações internacionais, como na [GDPR](https://goadopt.io/blog/gdpr-lgpd-e-ccpa-o-que-sao-essas-leis-semelhancas-e-diferencas/) da União Europeia, aqui ele ainda é uma novidade que se impõe desde 2020. Com ele também surge a possibilidade de terceirização, o DPOaaS (DPO as a Service).

Por ser uma figura nova e pela importância que seu papel resguarda, muitas empresas e organizações estão optando pela terceirização dessa atividade. Mas será que isso realmente é uma boa? Quais são os riscos e vantagens em fazê-lo?

Confira as respostas para essas perguntas e conheça melhor o encarregado de dados e suas atribuições conforme determinações presentes na LGPD.

## O que é o DPO?

O DPO é uma pessoa física ou jurídica que é estabelecida dentro das Políticas de Proteção de Dados como um dos agentes que atua junto ao tratamento e uso de informações de titulares. Dessa forma, sua atuação é de extrema importância.

Ele pode ser uma pessoa física ou jurídica. Contudo, não pode corresponder a um departamento ou equipe da empresa. Afinal, é preciso que os documentos referentes à captação e tratamento de dados indiquem de forma específica quem se responsabiliza enquanto encarregado.

**### Saiba mais sobre as funções de controlador e operador de dados da LGPD**

As funções do DPO se revelam na intermediação da relação entre os titulares de dados, o agente de tratamento e, também, a Autoridade Nacional de Proteção de Dados (ANPD). 

Ele não necessariamente toma decisões em relação aos dados e ao uso deles. Mas, auxilia no seguimento e cumprimento  das diretrizes que são impostas pelo agente de dados e pela Lei Geral de Proteção de Dados. E, aqui, surge outra das atribuições do DPO.

Afinal, ele também tem a responsabilidade de orientar os colaboradores que têm acesso aos dados de terceiros e que os utilizam como devem agir para respeitar as diretrizes da LGPD, bem como os consentimentos que foram concedidos.

_### Seu papel é de educar, organizar e auditar de acordo com as normativas da ANPD._

Dentre as principais atividades que um DPO encontra - sendo ele terceirizado ou não - estão:

- Aceitar reclamações dos titulares de dados, prestar esclarecimentos e adotar as providências necessárias;
- Receber comunicações da ANPD e tomar providências;
- Receber as revogações de consentimento ou as alterações no consentimento e dar as devidas providências;
- Garantir a aplicação dos princípios da LGPD referentes ao tratamento de dados pessoais;
- Monitorar a conformidade das organizações em relação à Lei Geral de Proteção de Dados, etc.

Assim, tem-se que o DPO realiza um serviço de meio de campo, pois ele intermedia relações e, ainda, é um dos agentes que se responsabiliza pelo respeito e adequação das ações à LGPD.

## Quando é possível terceirizar o DPO?

Sempre que a empresa ou organização desejar ela pode terceirizar esses serviços. A lei não exige que o encarregado seja um funcionário interno. Aliás, ela sequer exige que seja uma pessoa física que assuma esse papel.

Portanto, qualquer profissional autônomo ou empresa que preste serviços nessa área pode prestar serviços para outras empresas. Assim, estipula-se um contrato de prestação ou terceirização de serviços.

No caso da contratação de uma pessoa externa como DPO _as a service_, (_DPOaaS_) toma-se um contrato de prestação de serviços diretamente com o profissional.

Por outro lado, quando há contratação de uma empresa, há uma terceirização de DPO. Quem fica determinado como encarregado, dentro das Políticas de Privacidade, é a pessoa jurídica, então.

Ela concede, desse modo, profissionais que irão realizar os serviços típicos de um DPO. Contudo, eles prestam esse serviço a uma empresa em razão da contratação do seu empregador.

## Vantagens do DPO as a service

Para saber se vale a pena apostar na terceirização do DPO LGPD é necessário saber quais são as vantagens que isso oferta. Confira as principais delas abaixo.

Primeiramente, é indispensável para a adequação das empresas, organizações e sites à [LGPD](https://goadopt.io/blog/ignorar-a-lgpd/) que eles tenham a determinação clara de quem é o DPO. Atualmente todas as empresas devem ter um, embora existam indícios de limitação da obrigação no futuro.

### Abaixo algumas vantagens para o DPOaaS

### Agilidade
Nesse sentido, note que nem sempre é fácil contratar alguém que tenha os conhecimentos necessários para essa função ou treiná-lo para que cumpra as atividades do DPO. Por isso, a adequação pode ser mais rápida e fácil pela terceirização de tais serviços.

### Velocidade
Uma vez que se encontre um profissional já qualificado, ou até mesmo uma empresa que concentre o conhecimento multidisciplinar para a função, ganha-se muita velocidade no processo de adequação, já que cada empresa e mercado tem a sua especificidade.

### Treinamento e capacitação
Toda nova área e lei pede muito estudo e está sujeita a diversas mudanças no curto prazo. Logo, terceirizar essa função também designa a terceirização da responsabilidade de estar sempre atualizado e investindo na formação dos profissionais.

### Autonomia
Funções de guarda e auditoria acabam criando certos atritos com as áreas e até mesmo gestores. É essencial que o DPO tenha autonomia no seu trabalho, e até mesmo estabilidade, algo prescrito pela lei. Afinal, ele não pode ser ameaçado de perder o emprego por fiscalizar processos dentro da empresa. Assim, terceirizar essa responsabilidade por tornar as coisas um pouco mais leve no clima organizacional.

### Flexibilidade
Assim como todo prestador de serviço trabalha com um contrato, a sua substituição é muito mais fácil do que no caso de um funcionário CLT. Logo, o DPOaaS como PJ dará muito mais flexibilidade em caso de necessidade de ajustes ou substituições ao longo do tempo.

### Menor Custo
Encargos trabalhistas e previdenciários são muito pesados no Brasil, logo a contratação de um PJ para essa função pode servir de acordo reduzindo custos para a empresa e aumentando a remuneração do prestador de serviços.

**ATENÇÃO**: Vale destacar que todo prestador de serviço, por mais responsável que seja, pela função desempenhada, ainda está embaixo da hierarquia do empregador. Logo, decisões de última instância podem ser levadas à responsabilidade última dos administradores da empresa, mesmo tendo o DPOaaS. Logo, tome cuidado para não se apoiar na terceirização como uma isenção de responsabilidades.

O mesmo acontece quando a empresa não indica um DPO,os administradores assumem automaticamente. Falaremos mais a seguir.

## Se ninguém for nomeado DPO, o que acontece?

Independente da nomeação, os sócios administradores da empresa também já acumulam essa responsabilidade, a não ser que outra pessoa seja de fato designada. 

Contudo, em última instância a responsabilidade sempre cairá sob os sócios administradores. Quando nomeado então, o profissional age em nome da empresa e dos seus representantes diante da autoridade nacional.

**### Sabe qual a diferença entre o Mapeamento de Dados e o [ROPA na LGPD](https://goadopt.io/blog/ropa-lgpd/)?**

## Contrate especialistas no assunto

Outro ponto interessante na terceirização do DPO é que desse modo você pode contar com um especialista no assunto. Como dito acima, veja que não é a sua empresa quem se responsabiliza pela capacitação, mas sim a empresa ou profissional contratado.

Com isso é possível garantir ainda mais segurança às operações para que elas se adequem a LGPD e estejam em mãos de experts.

Melhor ainda quando o profissional faz parte de uma rede ou grupo multidisciplinar que pode auxiliá-lo nas peculiaridades do seu negócio e mercado.

## Quais são as funções do DPO quando há terceirização?

As funções, nesse caso, são as mesmas que um encarregado interno teria. Afinal, a terceirização somente se refere à possibilidade de que as atividades sejam realizadas por um agente externo à empresa.

Como vimos acima, então, esse agente pode ser uma pessoa jurídica ou natural. Seja como for, deverá ocorrer a indicação de quem ele é, de forma específica, dentro da [Política de Privacidade](https://goadopt.io/blog/existe-politica-de-privacidade-ideal/) e demais documentos referentes ao consentimento, uso e tratamento de dados.

Aliás, qualquer alteração referente a quem é o responsável enquanto encarregado de dados LGPD deve refletir em uma alteração das políticas. Em caso contrário, haverá transgressão à Lei Geral de Proteção de Dados e criação de risco de sanções como [multas e até suspensão das bases de dados.](https://goadopt.io/blog/multas-na-lgpd/)

Quer saber mais sobre as [responsabilidades do Encarregado de Dados](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/), separei esse artigo para você!




Terceirizar o DPO (DPOaaS), ou encarregado de dados da empresa é uma boa?

Como lidar com uma profissão que sequer existia até alguns anos atrás e cuja presença se faz obrigatória, hoje, nas empresas? Essa é justamente a pergunta que se apresenta quando pensamos na figura do [Encarregado de Dados ou DPO](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/).

Esse termo, bem como o profissional por trás dele, surgiu com a promulgação das leis de privacidade, no Brasil a [Lei Geral de Proteção de Dados - LGPD.](https://goadopt.io/blog/lgpd-lei-geral-de-protecao-de-dados/) Esta, ocorreu em 2018, e entrou em vigor apenas em 2020. Segundo a lei, então ele é o encarregado por garantir o correto tratamento dos dados que a empresa eventualmente use e que pertençam a terceiros.

E essa responsabilidade que a lei atribui sobre a figura profissional do encarregado pode dar a entender que ele é o único e exclusivo responsável pelos cuidados que se aplicam a tais dados. E aí? É isso ou não? O trabalho do Encarregado de Dados é solitário ou deve ser em equipe? Confira tudo isso na sequência.

## Encarregado de Dados e suas responsabilidades

Sabe aquelas listas em que vemos as “profissões do futuro”? Pois saiba que se por futuro considerássemos 2021, a figura do Encarregado de Dados estaria nessa lista, pois em termos profissionais ela é o que há de mais novo e moderno no mercado.

Afinal, esse cargo sequer existia antes da LGPD, ou da GDPR. A lei criou uma nova profissão. Isso ocorreu a partir do momento em que a Lei Geral de Proteção de Dados estipulou expressamente a existência dessa figura. Ao mesmo tempo, trouxe todas as suas responsabilidades.

O Encarregado de Dados ou DPO (_Data Protection Officer_) é justamente uma figura que deve controlar e gerenciar o tratamento de dados - ou seja, o uso deles - no dia a dia da empresa. Assim, é ele quem se responsabiliza por garantir que todos os processos, fluxos e ações respeitem os limites amparados pela Base Legal que sustenta o uso daquela dado pela empresa. Assim, em caso de uma consulta da ANPD à empresa, ele é quem deve responder em nome da instituição.

### Saiba mais sobre as Bases Legais da LGPD.

Dentre as responsabilidades do DPO que estão claras na LGPD estão:

- Executar atribuições determinadas pelo Controlador de Dados e nos limites dessa determinação (e, claro, da lei);
- Lidar com as reclamações dos titulares dos dados pessoais;
- Prestar esclarecimentos sobre o uso dos dados aos titulares deles;
- Comunicar-se com os titulares de dados sempre que necessário;
- Tomar as providências para que haja o devido reflexo no uso e captação de dados diante de eventual alteração de consentimento do titular;
- Orientar os demais profissionais que lidem com esses dados e os tratem quanto aos cuidados com a segurança e aos limites de consentimento e aplicação dessas informações.
- 
Aliás, note que por responder às diretrizes do [Controlador de Dados](https://goadopt.io/blog/diferencas-operador-controlador-de-dados-lgpd/), o DPO não se confunde com essa figura. Enquanto o controlador se refere a quem define o modo de tratamento das informações desde a sua entrada até a eliminação delas, o Operador de Dados é quem executa o processo e garante que isso será seguido à risca. Ambos, Controlador e Operador, quando distintos, devem ter os seus DPOs responáveis.

### [Conheça mais sobre as responsabilidades do Encarregado de Dados e como o trabalho dele impacta as empresas frente à Lei Geral de Proteção de Dados ](https://goadopt.io/blog/responsabilidades-de-um-encarregado-de-dados/)

## Todos os clichês de trabalho em equipe se tornam realidade nos cuidados ao tratamento de dados conforme LGPD.

São várias as atribuições que um DPO possui dentro de uma empresa, como vimos acima. E isso não se dá por acaso, afinal os tratamentos de dados impõem limites específicos e requerem atenção e cuidados essenciais.

Nesse sentido, fica claro que o Encarregado de Dados acumula uma série de atividades. Mas, por mais que ele seja capacitado para as suas responsabilidades e esteja em dia com as atividades da empresa que envolvam o tratamento de dados, isso não é suficiente.

_O trabalho isolado do DPO é algo que é impossível de ocorrer. _

Ou melhor, não encontra possibilidades de se desenvolver com a qualidade necessária e com a manutenção da segurança contra vazamentos de dados ou uso deles de forma indevida.

É por isso que quando falamos no trabalho do Encarregado de Dados não podemos entender que suas atividades se dão de forma isolada ou individual. A importância e o número das atribuições fazem com que seu trabalho se dê em equipe.

Para que não haja confusão, entenda: o DPO realmente tem responsabilidade sobre as questões que envolvem o uso de dados. Assim, em caso de acidentes ou problemas que envolvam essas informações, ele estará diretamente envolvido.

Por outro lado, isso não significa, então, que ele deva trabalhar sozinho. Muito pelo contrário! Garantir que os demais colaboradores e equipes se envolvam no cuidado que os tratamentos de dados exigem em razão da LGPD é crucial.

O trabalho do Encarregado de Dados é multidisciplinar. Jurídico, Tecnologia, [Marketing](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/), Segurança da Informação, Gestão de Processos, Relações 
Institucionais,etc. Como é muito difícil que uma pessoa domine todas essas áreas, o auxílio de uma equipe/time de suporte é essencial!

Somente assim se torna possível desenvolver um trabalho em sintonia, que ocorra conjuntamente de forma a garantir o uso correto dos dados. Dessa forma, nada de isolar o seu DPO! O trabalho dele deve acontecer perto dos demais colaboradores e com a assistência destes.

## Formação de um comitê de segurança

Uma forma de dar ao Encarregado de Dados o apoio do qual ele precisa para desenvolver suas atividades com sucesso é criar um comitê de segurança de dados. Ele, então, deve ser formado por diversos profissionais que representam as equipes da empresa.

Ainda, que representem os principais interesses que entram em jogo quando estamos diante do vazamento ou mau uso de dados. Por isso, deve ter representantes de Recursos Humanos, do setor Jurídico e de Tecnologia da Informação, no mínimo.

Da mesma forma, podem contar, fixamente ou em situações específicas, com representante do time de marketing, bem como dos departamentos de Comunicação, Comercial, Financeiro…

Com isso o DPO encontra possibilidades de, conjuntamente, traçar estratégias, de forma que os representantes de cada um desses departamentos ajudem na implementação delas, bem como no mapeamento dos principais problemas que o tratamento de dados encontra nos mais diversos processos empresariais.

Cada representante age como um braço direto do DPO no seu(s) departamento(s), assim, é importante que haja um bom conhecimento dos processos e autonomia na investigação dos fluxos e detalhes.

## Conhecimento sobre os processos da empresa que se baseiam em tratamento de dados

Como vimos, o DPO se encarrega por garantir que o uso de dados ocorra de acordo com a [base legal ](https://goadopt.io/blog/bases-legais-da-lgpd/)que ampara o uso de dados dos usuários e com os limites da LGPD. E, também, em fiel seguimento às determinações do Controlador de Dados.

São inúmeros os tipos de atividades que ocorrem simultaneamente, dentro de uma empresa, que envolvem o tratamento de dados. Considere, nesse sentido, uma venda online. Nesse caso, são colhidos dados de endereço, CPF, telefone e nome completo, que deverão ser usados para:

- Cobrança;
- Geração de nota fiscal;
- Comunicação da conclusão da venda com o próprio cliente;
- Logística de separação e encaminhamento do produto;
- Oferecimento de rastreamento;
- Contato para pós-venda.
- …

E essas são apenas algumas das atividades que requerem dados em um processo de venda. Portanto, é necessário que o Encarregado de Dados conheça esses processos, como eles se dão, os dados que usam, como são armazenados, descatados e outras informações do tipo.

Somente dessa maneira se torna possível saber onde a empresa está acertando e errando no tratamento de dados, bem como traçar estratégias de segurança e garantir que o tratamento de dados se dê dentro dos seus limites e normas.

## Estipular limites e regras para o uso dos dados pelas equipes

Ideias e possibilidades não faltam. 
Mas, para tentar encerrar esse tópico, uma última dica.

Quando o DPO está em contato com as equipes ele também se torna capaz de orientá-las para que, no seu dia a dia, o tratamento de dados ocorra da maneira correta. Isso pode ser feito de diversas formas, como pelo desenvolvimento de um manual, treinamentos, etc.

É crucial que todos que de alguma forma trabalham com o tratamento de dados tenham acesso a tais normas e que saibam exatamente qual é o limite do uso das informações. 

Com isso, o trabalho em equipe do Encarregado de Dados não apenas se torna possível, mas, igualmente, traz melhorias efetivas na empresa e a deixa segura frente às diretrizes da LGPD.

Já ouviu falar do [ROPA na LGPD](https://goadopt.io/blog/ropa-lgpd/), sabe o que é esse documento?

Aqui falamos um pouco mais dele, para te ajudar nos [processos de adequação](https://goadopt.io/blog/10-processos-arriscados-no-seu-marketing/).



Encarregado de Dados e LGPD, um trabalho solitário ou em equipe?


A proteção de dados pessoais tornou-se uma questão fundamental na era digital, levando à implementação de regulamentações em todo o mundo para garantir a privacidade e a segurança dos indivíduos. Duas das legislações mais conhecidas e abrangentes nesse sentido são a Lei Geral de Proteção de Dados (LGPD), do Brasil, e o Regulamento Geral de Proteção de Dados (GDPR), da União Europeia. Afinal elas abarcam populações imensas em seus territórios, consequentemente reverberam para além de suas fronteiras.

Contudo, embora ambas tenham o objetivo de proteger os direitos dos indivíduos em relação ao processamento de seus dados pessoais, existem algumas diferenças importantes entre elas.

##A diferença na aplicação geográfica

A primeira diferença significativa entre a LGPD e a GDPR está na sua aplicação geográfica. A GDPR aplica-se a todos os países membros da União Europeia (UE) e também **a empresas fora da UE que processam dados de indivíduos da UE.**

Por outro lado, a LGPD aplica-se a todas as organizações que processam dados pessoais no Brasil, independentemente de sua localização geográfica. Isso significa que empresas brasileiras e estrangeiras que lidam com dados pessoais de indivíduos brasileiros devem cumprir as disposições da LGPD. Por isso a importância de transparência na transferência internacional de dados.


##A diferença nas multas e sanções

Outra diferença importante é o valor das multas por não conformidade. Sob a GDPR, as multas podem chegar a 20 milhões de euros ou até 4% do faturamento global da empresa, prevalecendo o valor mais alto. Enquanto isso, a LGPD estabelece multas que podem chegar a 2% do faturamento da empresa no Brasil, limitadas a 50 milhões de reais por infração. 

É importante notar que esses valores representam penalidades máximas e que a gravidade da infração e a capacidade financeira da organização são consideradas na determinação da multa. Outro ponto, é que a multa é por infração, ou seja, 1 cidadão que tenha seus dados comprometidos = 1 infração. Quantas infrações seriam calculadas para uma base com milhares, milhões de dados?






##A diferença nas categorias de dados considerados sensíveis.

A definição de dados sensíveis também difere entre as duas regulamentações. Enquanto a GDPR inclui categorias específicas de dados, como raça, origem étnica, opiniões políticas, crenças religiosas, saúde, orientação sexual, entre outros, a LGPD vai além e também inclui informações relacionadas à biometria e genética como dados sensíveis. 

Essa ampliação da definição de dados sensíveis na LGPD reflete a preocupação em proteger informações pessoais ainda mais sensíveis e garantir que elas sejam processadas com o devido cuidado.



##A diferença na coleta de consentimentos e o seu processamento

O consentimento para o processamento de dados é outro aspecto que difere entre a GDPR e a LGPD. Sob a GDPR, o consentimento deve ser explícito, específico e livremente dado pelo indivíduo. Já a LGPD requer um consentimento inequívoco, fornecido por meio de uma declaração ou outra ação afirmativa do titular dos dados. 

Ambas as regulamentações enfatizam a importância do consentimento informado e livre, garantindo que os indivíduos tenham controle sobre como seus dados pessoais são utilizados.

Porém, você pode se perguntar:
_Não seria a mesma coisa mas, dita de maneira diferente?_

Contudo, apesar de ambas as legislações enfatizarem a importância do consentimento, existem diferenças sutis na forma como elas abordam esse aspecto.

De acordo com a GDPR, o consentimento deve ser **explícito**, o que significa que deve ser dado por meio de uma ação afirmativa clara e específica pelo indivíduo. **Isso implica que o consentimento não pode ser presumido ou obtido por meio de omissão ou pré-seleção.** Além disso, o consentimento deve ser **específico**, **indicando claramente a finalidade para a qual os dados serão processados**. E também deve ser **livremente dado**, ou seja, o indivíduo deve ter a liberdade de escolher consentir ou não, **sem sofrer pressão ou coerção.**

Por outro lado, a LGPD exige um consentimento **inequívoco**, que significa que o consentimento deve ser **claro e indiscutível**. Ele deve ser **fornecido por meio de uma declaração ou outra ação afirmativa do titular dos dados**, indicando sua concordância com o processamento dos dados para uma finalidade específica. A LGPD não usa o termo "explícito" como a GDPR, mas exige que o consentimento seja inequívoco, ou seja, não deixe dúvidas ou ambiguidades.

Embora a nomenclatura e as palavras utilizadas para descrever o consentimento possam variar entre as duas legislações, as diferenças vão além disso. A GDPR estabelece requisitos específicos para o consentimento explícito, enquanto a LGPD enfatiza a necessidade de um consentimento inequívoco. 

Essas diferenças refletem as abordagens distintas adotadas por cada legislação, embora ambas busquem proteger os direitos e a privacidade dos indivíduos em relação ao processamento de seus dados pessoais.

Enfim, a LGPD – recentemente, publicou seu Guia Orientativo acerca do uso de cookies. Neste aproveitam-se mais das predefinições da GDPR quanto aos requisitos específicos para o consentimento explícito na coleta de consentimentos.


##A diferença na nomeação do Encarregado de Dados ou DPO.

Outro ponto relevante é a nomeação de um Encarregado de Proteção de Dados (Data Protection Officer). Na GDPR, algumas organizações são obrigadas a nomear um DPO para supervisionar a conformidade com o regulamento e atuar como ponto de contato para questões relacionadas à proteção de dados. Essa obrigação se aplica a organizações que realizam um monitoramento sistemático em larga escala de dados pessoais ou que processam categorias especiais de dados, como dados relacionados à saúde ou origem étnica. 

Já na LGPD, embora a nomeação de um Encarregado de Proteção de Dados não seja obrigatória, é recomendado que as empresas designem um profissional responsável por lidar com questões de privacidade e proteção de dados. Pois, em última instância o sócio administrador da empresa já seria o responsável por esta frente.


##A diferença na utilização de cookies de internet

No que diz respeito ao impacto dos cookies de internet, tanto a GDPR quanto a LGPD abordam a questão de forma semelhante. Os cookies são pequenos arquivos de texto que são armazenados nos dispositivos dos usuários quando eles visitam um site. Eles desempenham um papel importante na personalização da experiência online, mas também podem coletar informações pessoais. Ambas as regulamentações exigem que os sites obtenham o consentimento do usuário antes de armazenar ou acessar cookies que coletam dados pessoais.

A GDPR estabelece que o consentimento deve ser obtido por meio de uma ação afirmativa clara, como marcar uma caixa de seleção ou clicar em um botão. Além disso, os usuários devem ser informados sobre quais cookies serão armazenados, para que finalidade e por quanto tempo. Eles também têm o direito de retirar seu consentimento a qualquer momento.

Já a LGPD segue uma abordagem semelhante, exigindo que os sites obtenham o consentimento prévio e inequívoco dos usuários antes de utilizar cookies que coletam dados pessoais. Os usuários devem ser informados sobre a finalidade dos cookies, bem como sobre a possibilidade de recusar ou revogar o consentimento. Além disso, a LGPD também prevê o direito dos usuários de acessar, corrigir e excluir seus dados pessoais coletados por meio de cookies.

Portanto, tanto a GDPR quanto a LGPD têm como objetivo garantir que os usuários tenham controle sobre seus dados pessoais, incluindo aqueles coletados por meio de cookies. As empresas que operam na União Europeia e no Brasil devem estar cientes das disposições dessas regulamentações e adotar medidas adequadas para garantir a conformidade.

##A transparência, a segurança e o controle são a sinergia entre as legislações

Em resumo, a GDPR e a LGPD são regulamentações abrangentes de proteção de dados que visam proteger os direitos e a privacidade dos indivíduos. Embora existam diferenças nas suas aplicações geográficas, multas por não conformidade, definição de dados sensíveis e requisitos de consentimento, ambas compartilham o objetivo de promover a transparência, o controle e a segurança no processamento de dados pessoais. 

Além disso, ambas as regulamentações reconhecem a importância do consentimento para o uso de cookies e exigem que os sites obtenham o consentimento dos usuários antes de coletar seus dados por meio dessas tecnologias. Portanto, as empresas que operam em conformidade com a GDPR e a LGPD devem observar atentamente as diretrizes relacionadas aos cookies de internet, garantindo que obtenham o consentimento apropriado e forneçam informações claras sobre a coleta, o armazenamento e o uso desses cookies.


## A privacidade e o uso de cookies

O impacto dos cookies de internet é significativo para empresas que devem observar tanto a GDPR quanto a LGPD. Os cookies são amplamente utilizados para rastrear o comportamento dos usuários, personalizar anúncios e melhorar a experiência de navegação. No entanto, eles também levantam preocupações em relação à privacidade e à proteção de dados pessoais.

Para empresas que operam em conformidade com ambas as legislações, é crucial garantir que os cookies sejam configurados e utilizados de acordo com os requisitos de consentimento e transparência estabelecidos pelo regulamento. Isso significa obter o consentimento explícito dos usuários antes de ativar os cookies e fornecer informações claras sobre os tipos de cookies usados, sua finalidade e a duração do armazenamento. Além disso, as empresas devem permitir que os usuários optem por não aceitar cookies ou gerenciem suas preferências de cookies facilmente.

O não cumprimento das disposições relacionadas aos cookies pode resultar em multas substanciais, bem como na perda de confiança dos usuários e danos à reputação da empresa. Portanto, é fundamental que as empresas estejam atentas às obrigações impostas tanto pela GDPR quanto pela LGPD em relação aos cookies de internet.

Para garantir a conformidade com a GDPR e a LGPD em relação aos cookies, as empresas devem adotar as seguintes medidas:

1.	**Transparência**: As empresas devem fornecer informações claras e acessíveis sobre o uso de cookies em seus sites. Isso inclui explicar quais tipos de cookies são usados, para que finalidade e por quanto tempo os dados são armazenados.

2.	**Consentimento adequado**: É necessário obter o consentimento dos usuários antes de ativar cookies que coletam dados pessoais. O consentimento deve ser obtido de forma clara, específica e inequívoca. Os usuários devem ter a opção de consentir ou recusar o uso de cookies e poder gerenciar suas preferências de cookies.

3.	**Gerenciamento de preferências**: As empresas devem fornecer aos usuários opções claras para gerenciar suas preferências de cookies. Isso pode incluir a possibilidade de aceitar ou recusar categorias específicas de cookies ou revogar o consentimento anteriormente dado.

4.	**Segurança dos dados**: As empresas devem implementar medidas de segurança adequadas para proteger os dados pessoais coletados por meio de cookies. Isso inclui salvaguardar essas informações contra acesso não autorizado, uso indevido ou divulgação.

5.	**Direitos dos usuários**: As empresas devem respeitar os direitos dos usuários em relação aos seus dados pessoais, conforme estabelecido na GDPR e na LGPD. Isso inclui o direito de acessar, corrigir, atualizar ou excluir os dados coletados por meio de cookies.

Ao adotar essas medidas, as empresas podem garantir que estão agindo em conformidade com as regulamentações de proteção de dados e demonstrando seu compromisso com a privacidade e a segurança dos usuários. 

Precisa de ajuda para implementar uma política de cookies e a coleta de consentimentos nos sites da sua empresa? Nós da [AdOpt](https://goadopt.io) podemos te ajudar!

