Na finalidade de garantir a privacidade e segurança dos Dados Pessoais de seus Colaboradores e clientes, bem como o adequado gerenciamento de eventuais crises e Incidentes relacionados à proteção de Dados Pessoais, a Libercon Engenharia Ltda. (“Libercon”), por meio do presente documento, apresenta o Procedimento Operacional para elaboração do Relatório de Impacto à Proteção e Dados Pessoais (“Procedimento” ou “PRIPD”), na finalidade de orientar o Data Protection Officer (“DPO” ou “Encarregado”) e demais Colaboradores responsáveis na produção do Relatório de Impacto à Produção de Dados Pessoais (“RIPD”). Neste sentido, os trechos e informações neste documento deverão ser editados pelo DPO, devendo ser substituídos ou excluídos, conforme necessário.
Este Procedimento, visa estabelecer os meios e métodos padronizados para produção do RIPD, com fulcro no art. 5º, XVII, da Lei n. 13.709/18, Lei Geral de Proteção de Dados (“LGPD”), como instrumento de conformidade e prestação de informações.2. Objetivo e Importância
De acordo com o art. 10, § 3º e o art. 38, caput, da LGPD, e ressalvadas as demais hipóteses legais aplicáveis, a Autoridade de Proteção de Dados Pessoais (“ANPD”) poderá, a qualquer momento, solicitar a apresentação do RIPD, sobretudo quando o Tratamento de Dados Pessoais gerar Riscos às liberdades civis e aos direitos fundamentais do Titular. Estabelecer, portanto, procedimento para a produção de um RIPD propiciará uma resposta adequada, assertiva e rápida.
Nesse sentido, o presente Procedimento visa estabelecer um modelo (estandardizado) para a estruturação do RIPD, objetivando, ao fim e ao cabo, descrever e evidenciar os processos de Tratamento de Dados Pessoais que possam gerar Riscos aos direitos dos Titulares dos Dados. Notadamente, busca-se descrever, também, as medidas, salvaguardas e mecanismos de mitigação de Riscos que abrangem tanto as atividades da Libercon quanto a atuação dos seus Colaboradores que, de alguma forma, tratam Dados Pessoais no âmbito das atividades realizadas pela sociedade empresarial.
Este Procedimento é dirigido a todos os Colaboradores que atuam em nome da Libercon.
Para fins do presente Procedimento, as seguintes palavras ou termos, no singular ou no plural, no gênero masculino ou feminino, quando grafados com a primeira letra maiúscula, terão os respectivos significados aqui atribuídos:
I. Agentes de Tratamento: o Controlador e o Operador;
II. Autoridade Nacional de Proteção de Dados (“ANPD”): órgão da Administração Pública responsável por fiscalizar o cumprimento da LGPD em todo território nacional;
III. Base Legal: fundamentação legal que torna legítimo o Tratamento de Dados Pessoais para uma determinada Finalidade;
IV. Bloqueio: suspensão temporária de qualquer operação de Tratamento de Dados Pessoais;
V. Colaboradores: todos os empregados da Libercon, efetivos ou temporários, os parceiros, prestadores de serviços e Terceiros que atuem em nome da empresa;
VI. Controlador de Dados ou Controlador: Agente de Tratamento. Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao Tratamento de Dados Pessoais. Para fins desta Política de Privacidade, a Libercon;
VII. Dados Pessoais: toda informação relacionada a uma pessoa natural identificada ou identificável, que abrange, mas não se limita ao nome, sobrenome, apelido, idade, endereço residencial ou eletrônico, podendo incluir dados de localização, placas de automóvel, perfis de compras, número do Internet Protocol (“IP”), dados acadêmicos, histórico de compras, entre outros;
VIII. Dados Pessoais Sensíveis: são dados relacionados a características da personalidade do indivíduo e/ou suas escolhas pessoais, tais como origem racial ou étnica, convicção religiosa, opinião Política, filiação a sindicato ou organização de caráter religioso, filosófico ou político, dado referente a saúde ou a vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural;
IX. Data Protection Officer (“DPO” ou “Encarregado”): pessoa física ou jurídica indicada pela Libercon, como elo de comunicação entre o Controlador, os Titulares dos dados e a ANPD. É responsável, ainda, por responder e dar efetividade à eventuais requisições e solicitações dos Titulares, bem como orientar os colaboradores do Controlador sobre a maneira adequada de Tratamento de Dados Pessoais;
X. Eliminação de Dados Pessoais (“Eliminação”): exclusão de dado ou de conjunto de Dados Pessoais, independentemente do procedimento empregado, após o término do Tratamento dos Dados Pessoais, cumprimento da(s) Finalidade(s), por determinação legal e/ou requisição do Titular;
XI. Incidente de Segurança com Dados Pessoais (“Incidente”): qualquer evento adverso ou um conjunto desses, confirmado ou sob suspeita, capaz de impactar a disponibilidade, integridade, confidencialidade ou a autenticidade de um ativo de informação, no caso, Dados Pessoais, tais como acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, vazamento ou ainda, qualquer forma de Tratamento inadequado ou ilícito de Dados Pessoais, e possa ocasionar risco para os direitos e liberdades do Titular;
XII. Legítimo Interesse: Base Legal que pode fundamentar tratamento de dados pessoais para finalidades legítimas, consideradas a partir de situações concretas, conforme art. 10 da LGPD;
XIII. Operador: refere-se à uma pessoa física ou jurídica que trata Dados Pessoais em nome do Controlador de Dados;
XIV. Procedimento Operacional para Elaboração de Relatório de Impacto à Proteção de Dados Pessoais (“PRIPD”): procedimento estabelece, de forma clara e objetiva, os meios e métodos padronizados para produzir o Relatório de Impacto à Proteção de Dados Pessoais;
XV. Procedimento de Prevenção e Mitigação de Riscos (“PPMR”): procedimento que estabelece os meios e métodos padronizados para minimização/extinção dos riscos relativos ao Tratamento de Dados Pessoais realizados pela Libercon;
XVI. Risco: situação, materializada ou não, que cause ou possa causar prejuízo à segurança das informações e Privacidade dos Dados Pessoais Tratados pela Libercon;
XVII. Terceiros: todos aqueles que não integrem a estrutura organizacional da Libercon;
XVIII. Titular de Dados Pessoais (“Titular”): pessoa natural a quem se referem os Dados Pessoais objetos de Tratamento pelo Controlador ou Operador, e que tenham seus Dados Pessoais tratados nos termos da LGPD;
XIX. Tratamento de Dados Pessoais (“Tratamento”): toda operação realizada com Dados Pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, Eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;
Para a produção do RIPD, o elaborador deverá utilizar o template abaixo, seguindo as instruções/recomendações em cada seção do documento, sem prejuízo de eventuais melhorias ou aplicação das melhores técnicas existentes à época de sua elaboração.
O elaborador deverá manter os tópicos de cada item, excluindo, contudo, as instruções contidas em cada seção (após utilizá-las).
O elaborador deverá percorrer as seguintes etapas:
| Controlador | ||
| Incluir o nome da pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao Tratamento de Dados Pessoais (art. 5º, VI, LGPD), in casu, a Libercon. | ||
| Operador | ||
| Incluir o nome da pessoa natural ou jurídica, de direito público ou privado, que realiza o Tratamento de Dados Pessoais em nome do Controlador (art. 5º, VII, LGPD). | ||
| DPO/Encarregado | ||
| Incluir o nome da pessoa indicada pelo Controlador e operador para atuar como canal de comunicação entre o Controlador, os Titulares dos Dados e a ANPD (art. 5º, VIII, LGPD). | ||
| E-mail DPO/Encarregado | Telefone DPO/Encarregado | |
Inicialmente, o elaborador deve indicar o(s) motivo(s) pelo(s) qual(is) o RIPD foi produzido.
O RIPD deverá ser elaborado sempre que houver determinação da ANPD. Contudo, é indicada a elaboração do documento sempre que existir a possibilidade de impacto na privacidade dos Dados Pessoais do Titular, ou quando ocorrer:
I. Uma das hipóteses previstas no item 08 (oito) do PPMR;
II. O uso de tecnologia, serviço ou outra nova iniciativa em que houver o Tratamento de Dados Pessoais e Dados Pessoais Sensíveis;
III. Rastreamento da localização dos indivíduos ou qualquer outra ação de Tratamento que vise a formação de perfil comportamental de pessoa natural, se identificada (art. 12 § 2º, LGPD);
IV. Tratamento de Dado Pessoal sensível sobre “origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural” (art. 5º, II, LGPD);
V. Processamento de Dados Pessoais usado para tomar decisões automatizadas que possam ter efeitos legais, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade (art. 20, LGPD);
VI. Tratamento de Dados Pessoais de crianças e adolescentes (art. 14, LGPD);
VII. Tratamento de Dados que possa resultar em algum tipo de dano patrimonial, moral, individual ou coletivo aos Titulares de Dados, se houver vazamento (art. 42, LGPD);
VIII. Tratamento fundado no Legítimo Interesse do Controlador (art. 10, § 3º, LGPD);
IX. Alterações nas leis e regulamentos aplicáveis à privacidade, política e normas internas, operação do sistema de informações, propósitos e meios para tratar dados, fluxos de dados novos ou alterados, etc.;
X. Reformas administrativas que implicam em nova estrutura organizacional resultante da incorporação, fusão ou cisão da Libercon.
A descrição adequada do Tratamento de Dados Pessoais que, eventualmente, podem gerar Riscos às liberdades civis e aos direitos fundamentais do Titular devem conter especificações da natureza, tipologia, contexto e finalidade do Tratamento, conforme artigo 5º, XVII, da LGPD. Essas informações servirão como subsídio para avaliação da ANPD, além de explicitar o ciclo envolvendo o Tratamento dos Dados Pessoais, fornecendo contribuições para avaliação e Tratamento de Riscos.
I. Natureza: como os Dados Pessoais são coletados, retidos/armazenados, usados, compartilhados e eliminados (fluxogramas); fonte de dados; medidas de segurança; se há tecnologia que tenha impacto no Tratamento de Dados Pessoais; dados físicos/eletrônicos; e quem são os operadores;
II. Tipologia: tipos e volumes de Dados Pessoais; se Dados Pessoais Sensíveis ou não; extensão e frequência do Tratamento; número de Titulares; periodicidade de armazenamento; e abrangência geográfica;
III. Contexto: fatores internos/externos; relacionamento com os Titulares; experiências anteriores; nível/método de controle dos Titulares; expectativa e realidade; avanços significativos em tecnologia e segurança para proteção de Dados Pessoais;
IV. Finalidade: motivos e resultados bem definidos pelos quais se deseja tratar ou que se está tratando os Dados Pessoais; benefícios pretendidos e base legal adotada.
O elaborador poderá sintetizar a natureza, tipologia, contexto e finalidade do Tratamento em uma única seção do RIPD, sem necessidade de segregar a descrição do Tratamento em subseções.
Nessa seção, é importante identificar as partes consultadas e o que foi observado em relação ao Tratamento dos Dados Pessoais no que tange aos Riscos de não conformidade.
Neste sentido, deve-se destacar:
I. Quais partes foram consultadas, e.g. operador (art. 5º, VIII, LGPD), DPO (art. 5º, VIII, LGPD), gestores, especialistas em segurança da informação, consultores jurídicos; e
II. Observações e aspectos relevantes indicados pela parte consultada em relação ao Tratamento dos Dados Pessoais e possíveis Riscos. Também deve-se observar os Riscos de não-conformidade perante a LGPD e os instrumentos internos de controle (políticas, processos e procedimentos voltados à proteção de Dados e privacidade).
Caso não seja conveniente registrar o que foi consultado, uma vez que a divulgação pode (i) comprometer segredo comercial ou industrial, (ii) fragilizar a segurança da informação e (iii) ser desproporcional ou impraticável a realização do registro das opiniões obtidas, é de suma importância a apresentação de justificativa para essa ausência.
Neste passo, é salutar que sejam apresentados elementos hábeis no sentido de demonstrar a obediência aos princípios previstos no art. 6°, da LGPD, sobretudo, aos princípios da finalidade, adequação, necessidade, prevenção e segurança no Tratamento de Dados Pessoais.
São exemplos de cumprimento aos requisitos legais:
I. Base Legal:
II. uso não excessivo;
III. clareza;
IV. finalidade;
V. periodicidade;
VI. Classificação; e
VII. Medidas de prevenção.
Em caso de dúvidas acerca do preenchimento, o DPO deverá ser consultado.
Caso o presente RIPD esteja sendo produzido para a atendimento de requisição da ANPD, o elaborador deve considerar a necessidade de apresentar toda a metodologia utilizada pela Libercon para a identificação, avaliação e mitigação de Riscos, presente no PPMR, bem como as análises e deliberações realizadas/adotadas em eventual caso concreto. Isso porque, segundo o art. 5º, XVII, da LGPD, o RIPD deve descrever “medidas, salvaguardas e mecanismos de mitigação de risco”.
Contudo, se a produção do RIPD estiver relacionada às demais necessidades contidas no item II do presente template, nessa seção, o elaborador deverá fazer constar a devida avaliação, quantificação e aplicação de mitigadores de Riscos para o caso concreto, segundo a metodologia do PPMR.
Para cada Risco identificado, define-se: (i) a probabilidade de ocorrência do evento de Risco, (ii) o possível impacto caso o Risco ocorra e (iii) o nível potencial de Risco para cada evento.
Ao final, deve-se informar resumidamente: (i) as medidas que se pretende adotar; (ii) se cada Risco foi eliminado, reduzido ou admitido; (iii) eventual Risco residual; e (iv) a criticidade.
Por fim, deve-se formalizar a aprovação do RIPD por meio da obtenção das assinaturas do Responsável pela elaboração do documento, pelo DPO e pelos representantes responsáveis do Controlador e Operador.
Ademais, o responsável pela elaboração do RIPD pode ser o próprio DPO ou qualquer outra pessoa designada pelo Controlador com conhecimento necessário para realizar a tarefa.
O RIPD deve ser revisto e atualizado anualmente ou sempre que existir qualquer tipo de mudança que afete o Tratamento dos Dados Pessoais realizados pela Libercon Engenharia Ltda.
Fornecer, ao final do RIPD, os contatos necessários, especialmente do DPO, e assinar o documento.
| CONTROLADOR/REPRESENTANTE | COPERADOR/REPRESENTANTE |
| Nome [●]; e-mail [●]; E Telefone [●]. | Nome [●]; e-mail [●]; E Telefone [●]. |
| RESPONSÁVEL PELO RIPD | DPO |
| Nome [●]; e-mail [●]; E Telefone [●]. | Nome [●]; e-mail [●]; E Telefone [●]. |