CDPO/BR key terms

Informação relacionada a pessoa natural identificada ou identificável, incluindo dados de localização, identificadores eletrônicos e elementos que permitam chegar a um indivíduo por meios razoáveis.

Categoria que abrange origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dados de saúde, vida sexual, genética e biométricos, cujo tratamento exige proteções reforçadas e hipóteses legais restritas.

Pessoa natural a quem se referem os dados pessoais objeto de tratamento. É quem exerce os direitos previstos na legislação e pode solicitar confirmação, acesso, correção e eliminação de informações.

Qualquer operação realizada com dados pessoais, como coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação.

Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais, especialmente sobre finalidade, meios e duração da operação.

Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador, seguindo suas instruções e sem decidir sobre finalidades ou elementos essenciais.

Pessoa indicada pelo controlador para atuar como canal de comunicação entre controlador, titulares e a ANPD, orientando internamente sobre práticas de proteção de dados e recebendo reclamações.

Processo técnico que remove ou altera elementos de modo que o dado perca a possibilidade de associação, direta ou indireta, a um indivíduo, considerando meios razoáveis e esforços disponíveis à época.

Técnica que substitui identificadores diretos por códigos, reduzindo a associação imediata a uma pessoa, mas mantendo a possibilidade de reidentificação por quem detém informações adicionais separadas.

Dado que não pode ser associado a um titular, considerados meios técnicos razoáveis e disponíveis no momento do tratamento. Em regra, não é considerado dado pessoal para fins da lei.

Hipótese prevista em lei que autoriza o tratamento de dados pessoais, como consentimento, cumprimento de obrigação legal, execução de contrato, legítimo interesse ou proteção da vida.

Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados para finalidade determinada, podendo ser revogada a qualquer momento mediante procedimento gratuito e facilitado.

Base legal que permite tratar dados para atender interesses legítimos do controlador ou de terceiros, desde que não prevaleçam direitos e liberdades fundamentais do titular, com avaliação documentada e salvaguardas.

Diretriz que exige tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de uso posterior incompatível com essas finalidades declaradas.

Princípio segundo o qual o tratamento deve limitar-se ao mínimo necessário para atingir a finalidade pretendida, abrangendo apenas dados pertinentes, proporcionais e não excessivos.

Princípio que assegura ao titular informações claras, precisas e facilmente acessíveis sobre a realização do tratamento, os agentes envolvidos, a finalidade e os direitos aplicáveis.

Princípio que exige medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados, perda, destruição, alteração ou qualquer forma de tratamento inadequado.

Princípio que orienta a adoção de medidas para evitar a ocorrência de danos aos titulares, atuando antes do tratamento ou do incidente, e não apenas remediando consequências já produzidas.

Princípio que veda a realização de tratamento para fins discriminatórios ilícitos ou abusivos, exigindo atenção especial a decisões automatizadas e a dados sensíveis que possam gerar tratamento desigual.

Conjunto de faculdades exercíveis pelo titular, como confirmação, acesso, correção, anonimização, portabilidade, eliminação, informação sobre compartilhamento e revisão de decisões automatizadas.

Faculdade do titular de retirar o consentimento anteriormente dado, a qualquer momento, por procedimento gratuito e facilitado, sem prejuízo da legalidade do tratamento realizado antes da revogação.

Direito de solicitar a transferência de seus dados a outro fornecedor de serviço ou produto, mediante requisição expressa, observados segredos comercial e industrial e regulamentação aplicável.

Meio divulgado de forma clara e acessível pelo qual o titular pode exercer direitos, esclarecer dúvidas e apresentar reclamações, com prazos e procedimentos internos definidos.

Conjunto de estruturas, políticas, papéis e processos que asseguram que a proteção de dados seja incorporada às atividades da organização, com responsabilização, monitoramento e melhoria contínua.

Iniciativa organizacional que integra políticas, controles, treinamentos, avaliações de risco e mecanismos de resposta a incidentes para demonstrar conformidade e criar cultura de proteção de dados.

Inventário que descreve as atividades de tratamento, finalidades, categorias de dados e titulares, bases legais, destinatários, prazos de retenção e medidas de segurança adotadas.

Documento que descreve os processos de tratamento suscetíveis de gerar riscos elevados, analisando medidas, salvaguardas e mecanismos de mitigação, quando exigido pela autoridade ou por norma interna.

Processo contínuo de identificação, análise, avaliação e tratamento de riscos à privacidade, considerando probabilidade e impacto sobre titulares e priorizando controles proporcionais à criticidade.

Evento que compromete a confidencialidade, integridade ou disponibilidade de dados pessoais, como acesso não autorizado, vazamento, perda ou destruição, exigindo avaliação de risco e possível comunicação.

Ato de informar à autoridade nacional e ao titular afetado a ocorrência de incidente relevante, descrevendo dados envolvidos, riscos, medidas adotadas e providências de mitigação, nos prazos regulamentares.

Conjunto documentado de papéis, etapas e critérios para detectar, conter, erradicar e recuperar-se de incidentes, incluindo avaliação de risco, comunicação e registro de lições aprendidas.

Envio de dados pessoais para outro país ou organismo internacional, permitido apenas em hipóteses legais, como cooperação jurídica, garantias contratuais, normas corporativas ou consentimento específico.

Disposições inseridas em contrato entre exportador e importador de dados que estabelecem garantias de proteção, direitos dos titulares e obrigações de segurança para viabilizar transferência internacional.

Órgão da administração pública federal responsável por zelar pela proteção de dados, editar normas, fiscalizar o cumprimento da lei, aplicar sanções e orientar titulares e agentes de tratamento.

Penalidade aplicada pela autoridade após processo administrativo, podendo consistir em advertência, multa simples ou diária, publicização da infração, bloqueio ou eliminação dos dados.

Procedimento conduzido pela autoridade para apurar infrações, assegurar contraditório e ampla defesa e decidir sobre a aplicação de sanções, observando dosimetria e critérios regulamentares.

Lei que estabelece direitos e deveres no uso da internet, incluindo guarda de registros de acesso, proteção de dados pessoais e responsabilidades de provedores, aplicável em conjunto com a LGPD.

Dever de guardar informações confidenciais obtidas em razão de profissão ou função, que limita o compartilhamento de dados e interage com bases legais e com pedidos de autoridades.

Conjunto de órgãos e entidades estatais que tratam dados para executar políticas públicas, sujeitos a regras específicas de transparência, finalidade pública e compartilhamento entre entes.