CDPO/BR flashcards

32 cards. Read the term and the definition here. The deck at the top of this page is optional.

Âmbito de aplicação da LGPD

A LGPD aplica-se ao tratamento realizado no Brasil, quando a operação visa oferecer bens ou serviços a pessoas no Brasil, ou quando os dados foram coletados no território nacional, inclusive por pessoa estrangeira.

Dado pessoal sensível

Dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dados genéticos ou biométricos, quando vinculados a pessoa natural.

Dado anonimizado

Dado que perdeu a possibilidade de associação, direta ou indireta, a um indivíduo, considerando meios técnicos razoáveis e disponíveis no momento do tratamento; se reversível, volta ao regime da lei.

Agentes de tratamento

Controlador é quem toma decisões sobre o tratamento; operador realiza o tratamento em nome do controlador; encarregado é a pessoa indicada para comunicação entre titulares, controlador e ANPD.

Hipóteses de não aplicação

A lei não se aplica ao tratamento para fins particulares e não econômicos, jornalísticos, artísticos, literários, acadêmicos, para segurança pública e defesa nacional, ou a dados estrangeiros sem comunicação com agentes brasileiros.

Bases legais de dados comuns

Consentimento, obrigação legal ou regulatória, políticas públicas, estudos por órgão de pesquisa, execução de contrato, exercício regular de direitos, proteção da vida, tutela da saúde, legítimo interesse e proteção do crédito.

Bases legais de dados sensíveis

Consentimento específico e destacado, obrigação legal ou regulatória, políticas públicas, estudos por órgão de pesquisa, exercício regular de direitos, proteção da vida, tutela da saúde e prevenção à fraude e segurança do titular.

Legítimo interesse

Base legal que exige finalidade legítima, necessidade do tratamento e balanceamento com expectativas e direitos do titular, com salvaguardas e transparência; não se aplica a dados sensíveis.

Princípio da necessidade

Impõe a limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação ao propósito.

Consentimento

Manifestação livre, informada e inequívoca do titular, por escrito ou outro meio que demonstre vontade, referente a finalidades determinadas; pode ser revogado a qualquer tempo.

Direito de acesso

Direito do titular de obter confirmação da existência de tratamento e acesso aos dados, em formato simplificado ou por declaração clara e completa, respeitados segredos comercial e industrial.

Portabilidade de dados

Direito do titular de solicitar a transferência de seus dados a outro fornecedor de serviço ou produto, mediante requisição expressa, conforme regulamentação da ANPD e observados segredos comercial e industrial.

Revisão de decisões automatizadas

Direito do titular de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados que afetem seus interesses, incluindo definição de perfil pessoal, profissional, de consumo ou de crédito.

Eliminação de dados

Direito de solicitar a eliminação de dados tratados com consentimento, ressalvadas hipóteses de guarda obrigatória, como obrigação legal, estudo, transferência a terceiro com base legal ou uso exclusivo anonimizado.

Prazo de resposta ao titular

O controlador deve responder de forma simplificada e imediata ou por declaração clara e completa, observados prazos regulamentares, indicando origem, critérios, finalidade e formato dos dados.

Registro de operações de tratamento

Obrigação do controlador e do operador de manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse, para fins de prestação de contas.

Encarregado (DPO)

Pessoa indicada pelo controlador para aceitar reclamações e comunicações de titulares, prestar esclarecimentos, receber comunicações da ANPD, orientar funcionários e executar atribuições determinadas.

Publicidade do encarregado

A identidade e as informações de contato do encarregado devem ser divulgadas publicamente, de forma clara e objetiva, preferencialmente no site do controlador.

Prestação de contas

Princípio que exige do controlador a demonstração da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais.

Relatório de impacto (RIPD)

Documento que descreve os processos de tratamento que possam gerar riscos às liberdades civis e aos direitos fundamentais, bem como as medidas, salvaguardas e mecanismos de mitigação de risco.

Avaliação de alto risco

Análise prévia exigida para tratamentos como uso de dados sensíveis, decisões automatizadas, monitoramento em larga escala e compartilhamento com terceiros, considerando probabilidade e impacto aos titulares.

Inventário de dados

Mapeamento que identifica fluxos, finalidades, bases legais, prazos de retenção, destinatários e controles aplicáveis a cada tratamento, servindo de insumo para a avaliação de impacto.

Privacy by design

Abordagem que incorpora privacidade e proteção de dados desde a concepção de produtos, serviços e processos, com minimização, controles e avaliação de riscos antes da coleta.

Medidas de segurança

Medidas técnicas e administrativas aptas a proteger dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou tratamento inadequado.

Comunicação de incidente

O controlador deve comunicar à ANPD e ao titular afetado, em prazo razoável, incidente que possa acarretar risco ou dano relevante, com descrição da natureza, dados afetados, riscos e medidas adotadas.

Responsabilidade do operador

O operador responde solidariamente pelos danos causados quando descumprir obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador.

Transferência internacional

Envio de dados pessoais a país estrangeiro ou organismo internacional, permitido para países com grau de proteção adequado ou mediante garantias, consentimento específico ou outras hipóteses legais.

Cláusulas-padrão contratuais

Garantias contratuais aprovadas pela ANPD que podem fundamentar a transferência internacional de dados, assegurando a observância dos princípios e direitos dos titulares.

Sanções da ANPD

Advertência, multa simples de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, multa diária, publicização da infração, bloqueio e eliminação dos dados.

Competências da ANPD

Zelar pela proteção de dados, editar normas, fiscalizar e aplicar sanções, atender petições de titulares, comunicar infrações penais e promover cooperação internacional, com autonomia técnica e decisória.

Processo administrativo sancionador

A aplicação de sanções observa contraditório e ampla defesa e considera gravidade, boa-fé, vantagem auferida, condição econômica, reincidência, cooperação e adoção de medidas de mitigação.

Marco Civil e LGPD

O Marco Civil da Internet disciplina direitos dos usuários, guarda de registros e responsabilidade de provedores; a LGPD aplica-se ao tratamento de dados nessas relações, sem substituí-lo.