Conceitos essenciais para entender a Lei 21.719 de proteção de dados pessoais

O ponto de partida para avançar com clareza

Trabalhando com privacidade e proteção de dados, sempre esbarramos no mesmo problema inicial:

os conceitos se confundem e cada área usa a mesma linguagem com significados diferentes.

Antes de falar de diagnósticos, consentimentos ou riscos, é preciso algo mais básico: uma linguagem comum.

Esse foi um dos primeiros aprendizados na construção da Soyio.

Por isso, dentro de Soyio | Aprendizajes, começamos por aqui.

O glossário a seguir reúne os conceitos essenciais com sua definição formal e a fonte da informação, para que os times de jurídico, tecnologia, negócios e outros possam falar a mesma língua desde o início.

Fundamentos essenciais: privacidade, segurança, cibersegurança e dados

Dado

É uma representação de fatos, quantidades, medidas ou descrições da realidade: um símbolo ou fragmento descontextualizado que, ao ser interpretado, se transforma em informação.

Privacidade

Âmbito da vida privada que a pessoa tem o direito de proteger de qualquer intromissão.

Segurança da informação

Refere-se à proteção da informação garantindo sua Confidencialidade, Integridade e Disponibilidade (CIA) por meio de um Sistema de Gestão de Segurança da Informação (SGSI): um arcabouço estruturado de pessoas, processos e tecnologia para gerenciar riscos de segurança, se adaptar a ameaças e cumprir requisitos legais, tudo sob uma lógica de melhoria contínua.

Cibersegurança

É a preservação da confidencialidade e da integridade da informação e da disponibilidade e resiliência das redes e sistemas informáticos, com o objetivo de proteger as pessoas, a sociedade, as organizações ou as nações de incidentes de cibersegurança.

Anonimização

Procedimento irreversível pelo qual um dado pessoal deixa de poder ser vinculado ou associado a uma pessoa determinada, e também deixa de permitir sua identificação, por ter sido destruído ou eliminado o vínculo com a informação que liga, associa ou identifica essa pessoa. Um dado anonimizado deixa de ser um dado pessoal.

Pseudonimização

Tratamento de dados pessoais feito de tal forma que eles já não possam ser atribuídos a um titular sem o uso de informação adicional, desde que essa informação adicional seja mantida separadamente e esteja sujeita a medidas técnicas e organizacionais destinadas a garantir que os dados pessoais não sejam atribuídos a uma pessoa natural identificada ou identificável.

Taxonomia de dados

Um esquema estruturado de classificação que organiza os dados em categorias e subcategorias hierárquicas, permitindo identificá-los, gerenciá-los, usá-los e compreendê-los de forma consistente em toda a organização.

Leis de proteção de dados pessoais

É o conjunto de normas que regem como os dados pessoais devem ser tratados, de modo a resguardar a privacidade e as liberdades das pessoas, limitando a coleta, o uso, o acesso e a difusão desses dados ao estritamente necessário e com salvaguardas de segurança adequadas.

Conceitos jurídicos essenciais

Dado pessoal

Qualquer informação vinculada ou referente a uma pessoa natural identificada ou identificável. Considera-se identificável toda pessoa cuja identidade possa ser determinada, direta ou indiretamente, em especial por meio de um ou mais identificadores, como o nome, o número do documento de identidade ou a análise de elementos próprios da identidade física, fisiológica, genética, psíquica, econômica, cultural ou social dessa pessoa.

Dado pessoal sensível

São dados pessoais que se referem às características físicas ou morais das pessoas ou a fatos e circunstâncias da sua vida privada ou intimidade, que revelem origem étnica ou racial, filiação política, sindical ou de classe, situação socioeconômica, convicções ideológicas ou filosóficas, crenças religiosas, dados relativos à saúde e ao perfil biológico humano, dados biométricos e informações relativas à vida sexual, à orientação sexual e à identidade de gênero de uma pessoa natural.

Dado pessoal de categoria especial

São dados pessoais que têm padrões de conformidade diferenciados na lei. Entram nessa condição: os dados de crianças e adolescentes; os dados com fins históricos, estatísticos, científicos e de estudo ou pesquisa; dados de geolocalização; e dados para obrigações financeiras, bancárias ou comerciais.

Titular dos dados

Pessoa natural, identificada ou identificável, a quem os dados pessoais dizem respeito ou se referem.

Tratamento de dados

Qualquer operação ou conjunto de operações ou procedimentos técnicos, automatizados ou não, que permitam de qualquer forma coletar, processar, armazenar, comunicar, transmitir ou utilizar dados pessoais ou conjuntos de dados pessoais.

Controlador

Toda pessoa natural ou jurídica, pública ou privada, que decide sobre as finalidades e os meios do tratamento de dados pessoais, independentemente de os dados serem tratados diretamente por ela ou por meio de um terceiro mandatário ou operador.

Terceiro mandatário ou operador

A pessoa natural ou jurídica que trata dados pessoais por conta do controlador.

Bases de licitude, base legal ou base de legitimidade

Casos em que o tratamento de dados pessoais é lícito. A Lei 21.719 considera lícito o tratamento de dados pessoais quando há consentimento do titular, salvo se forem usadas outras fontes de licitude indicadas na lei: tratamento necessário para cumprir uma obrigação legal; quando é necessário para celebrar um contrato ou adotar medidas pré-contratuais; quando for possível demonstrar interesse legítimo; para o exercício de um direito perante tribunais ou órgãos públicos; ou dados relativos a obrigações de caráter econômico, financeiro, bancário ou comercial (em conformidade com o Título III)

Finalidade

Refere-se aos fins específicos para os quais os dados pessoais são coletados.

Consentimento

Toda manifestação de vontade livre, específica, inequívoca e informada, dada por meio de uma declaração ou de uma clara ação afirmativa, pela qual o titular dos dados, seu representante legal ou mandatário, conforme o caso, autoriza o tratamento dos dados pessoais que lhe dizem respeito.

Interesse legítimo

É uma base legal que permite tratar dados sem consentimento quando o controlador tem um interesse válido e necessário e esse interesse NÃO viola os direitos do titular.

Agência de Proteção de Dados

É um órgão público descentralizado e com personalidade jurídica própria, que será responsável por fiscalizar, regular e sancionar o tratamento de dados pessoais no Chile.

GDPR ou RGPD

O Regulamento Geral sobre a Proteção de Dados (RGPD) é a lei de privacidade e segurança de dados da União Europeia, que estabelece as regras sobre como os dados pessoais devem ser tratados. Ele reforça os direitos das pessoas e harmoniza as leis de proteção de dados em toda a UE.

País adequado

Um país fora do Chile que a Agência declarou garantir um nível adequado de proteção de dados.

Cessão de dados pessoais

Transferência de dados pessoais do controlador para outro controlador.

Comunicação de dados

Dar a conhecer, pelo controlador e de qualquer forma, dados pessoais a pessoas distintas do titular a quem os dados dizem respeito, sem chegar a cedê-los ou transferi-los.

Prazos de conservação de dados

É o período durante o qual uma organização pode manter dados pessoais, estritamente limitado ao tempo necessário para cumprir a finalidade do tratamento ou um dever legal. Cumprido esse prazo, os dados devem ser excluídos ou anonimizados.

Registro Nacional de Sanciones y Cumplimiento (Registro Nacional de Sanções e Conformidade)

É um registro nacional de caráter público administrado pela Agência, que consigna os modelos certificados de prevenção, os controladores que os adotaram e as sanções aplicadas aos controladores que infringiram a lei.

Direitos do titular

Direito de acesso

Direito do titular dos dados de solicitar e obter do controlador a confirmação de que seus dados pessoais estão sendo tratados por ele, o acesso a esses dados quando for o caso, e as informações previstas nesta lei.

Direito de retificação

Direito do titular dos dados de solicitar e obter do controlador que modifique ou complete seus dados pessoais, quando estiverem sendo tratados por ele e forem inexatos, desatualizados ou incompletos.

Direito de eliminação

Direito do titular dos dados de solicitar e obter do controlador que suprima ou exclua seus dados pessoais, de acordo com as hipóteses previstas na lei.

Direito de oposição

Direito do titular dos dados de solicitar e obter do controlador que determinado tratamento de dados não seja realizado, conforme as hipóteses previstas na lei.

Direito à portabilidade dos dados pessoais

Direito do titular dos dados de solicitar e obter do controlador uma cópia dos seus dados pessoais em formato eletrônico estruturado, genérico e de uso comum, que possa ser operado por sistemas distintos, e de poder comunicá-los ou transferi-los a outro controlador. O titular terá direito a que seus dados pessoais sejam transmitidos diretamente de um controlador a outro quando isso for tecnicamente possível.

Direito de bloqueio

Direito de solicitar a suspensão temporária de qualquer operação de tratamento dos seus dados pessoais quando for apresentado um pedido de retificação, eliminação ou oposição, enquanto esse pedido não for resolvido.

Revisão humana

Direito dos titulares de solicitar ao controlador, nos casos de decisões baseadas no tratamento automatizado de dados pessoais, uma explicação, a intervenção humana, a possibilidade de expressar seu ponto de vista e a revisão da decisão.

Exercício de direitos

Solicitação ou requerimento feito por escrito, por formulário ou por meio eletrônico, por meio do qual o titular dos dados pode pedir a um controlador o exercício dos direitos reconhecidos na Lei (Acesso, Retificação, Eliminação, Oposição, Portabilidade e Bloqueio).

Gestão de direitos

Pode ser definida como o conjunto de políticas, procedimentos e medidas técnicas e organizacionais que permitem a uma organização receber, processar, responder e documentar os pedidos dos titulares para exercer os direitos sobre seus dados pessoais. É preciso garantir que esse processo seja efetivo, tempestivo, transparente e conforme as normas vigentes.

Devem ser levados em conta, entre outros, os seguintes aspectos:

Ter um ou mais canais disponíveis para apresentar pedidos

Verificar a identidade do solicitante

Analisar se o pedido cumpre os requisitos legais

Executar o direito solicitado

Responder dentro dos prazos legais

Registrar evidências do processo

Evidências, rastreabilidade e auditoria

Evidências de privacidade

Registros (documentos, logs, relatórios) que sirvam como prova de que os processos de privacidade estão sendo executados conforme o planejado e de que os requisitos legais e as políticas internas estão sendo cumpridos.

Rastreabilidade

Capacidade de reconstruir o histórico de acesso, uso e alteração dos dados pessoais ao longo do tempo.

Auditoria

Inspeção e verificação formal para checar se um padrão ou um conjunto de diretrizes está sendo seguido, se os registros são precisos ou se os objetivos de eficiência e eficácia estão sendo cumpridos.

Segurança da informação e cibersegurança

Controle de acessos

Mecanismos que garantem que apenas pessoas autorizadas possam acessar dados ou sistemas, de acordo com papéis e permissões definidos.

Autenticação multifator (MFA)

Método de autenticação que exige dois ou mais fatores independentes para verificar a identidade de um usuário. Por exemplo, uma senha e um código enviado ao telefone.

Criptografia de dados

Técnica criptográfica que transforma a informação para que só possa ser compreendida por quem tem a chave correspondente.

Cópia de segurança

Cópia de arquivos e programas para facilitar a recuperação quando necessário.

Incidente de segurança

Um evento que põe em risco, real ou potencialmente, a confidencialidade, a integridade ou a disponibilidade de um sistema de informação ou da informação que esse sistema processa, armazena ou transmite, ou que constitui uma violação ou ameaça iminente de violação de políticas de segurança, procedimentos de segurança ou políticas de uso aceitável.

Violação das medidas de segurança

A perda de controle, a violação, a divulgação não autorizada, a aquisição não autorizada ou qualquer evento semelhante em que: uma pessoa distinta de um usuário autorizado acesse ou possa acessar informação pessoal identificável; ou um usuário autorizado acesse informação pessoal identificável para uma finalidade distinta da autorizada.

Medidas técnicas e organizacionais de segurança

Medidas de proteção prescritas para cumprir os requisitos de segurança (ou seja, confidencialidade, integridade e disponibilidade) especificados para um sistema de informação. As salvaguardas podem incluir recursos de segurança, restrições de gestão, segurança do pessoal e segurança de estruturas físicas, áreas e dispositivos.

Confidencialidade

A capacidade de proteger os dados para que terceiros não autorizados não consigam acessá-los.

Integridade

Proteção contra a modificação ou destruição indevida da informação, o que inclui garantir o não repúdio e a autenticidade da informação.

Disponibilidade

Garantir o acesso e o uso oportuno e confiável da informação.

Resiliência

A capacidade de se preparar e se adaptar a condições em mudança, assim como de resistir e se recuperar rapidamente de perturbações. A resiliência inclui a capacidade de resistir e se recuperar de ataques deliberados, acidentes ou ameaças e incidentes naturais.

Biometria e identidade

Biometria

Tratamento técnico específico que, a partir de características físicas, fisiológicas ou comportamentais únicas, permite identificar uma pessoa.

Identidade digital

Conjunto de atributos eletrônicos que permitem identificar uma pessoa em ambientes digitais.

Validação de identidade

Processo para verificar que uma pessoa é quem diz ser, antes de conceder acesso ou executar um procedimento.

Assinaturas eletrônicas

Assinatura eletrônica simples

É qualquer tipo de som, símbolo ou processo eletrônico que permita ao destinatário de um documento eletrônico identificar, ao menos formalmente, o seu autor.

Assinatura eletrônica avançada

É a assinatura certificada por um prestador credenciado e criada com meios que o titular mantém sob seu controle exclusivo, de modo que se vincule unicamente a ele e aos dados a que se refere. Ela permite detectar posteriormente qualquer modificação, verifica a identidade do titular e impede que ele negue a integridade do documento e sua autoria.

Governança, maturidade e medidas organizacionais

RAT (registro de atividades de tratamento)

Documento que registra e descreve as atividades de tratamento de dados pessoais realizadas por um controlador ou operador, incluindo finalidades, categorias de dados, categorias de titulares, categorias de destinatários, se há transferências internacionais e para qual país, prazos de conservação e medidas de segurança.

Governança de dados

É uma estrutura organizacional para dar suporte à gestão dos dados da empresa. É formada pelo conjunto de normas, políticas e processos de uma organização que permitem assegurar que seus dados sejam corretos, confiáveis, seguros e úteis.

EIPD (Evaluación de Impacto en Protección de datos) ou DPIA em inglês

Processo sistemático para identificar, avaliar e mitigar os riscos que um tratamento de dados pessoais pode gerar sobre os direitos dos titulares.

Maturidade em privacidade

Nível de desenvolvimento e eficácia com que uma organização implementa práticas, controles e cultura de proteção de dados pessoais de forma contínua.

Privacidade desde a concepção e por padrão

Obrigação do controlador de aplicar medidas técnicas e organizacionais adequadas desde a concepção, antes e durante o tratamento dos dados pessoais, com a finalidade de cumprir os princípios e os direitos dos titulares.

Risco de privacidade

É a probabilidade de que as pessoas sofram problemas em decorrência do tratamento de dados e o impacto desses problemas caso ocorram.

Política de privacidade

Documento que informa de forma transparente aos titulares como seus dados pessoais são coletados, usados, compartilhados e protegidos.

---

Fontes:RAE: https://dle.rae.es/privacidad

DAMA: https://dama.org/

Lei 21.719 de proteção de dados pessoais https://www.bcn.cl/leychile/navegar?idNorma=1209272

Lei 21.663, Marco de Cibersegurança https://www.bcn.cl/leychile/navegar?idNorma=1202434

Lei 19.799 https://www.bcn.cl/leychile/navegar?idNorma=196640

ISO 27001 https://www.iso.org/es/norma/27001

ISO 27701 https://www.iso.org/standard/27701

OCDE https://www.oecd.org/en/topics/privacy-and-data-protection.html

Comissão Europeia https://commission.europa.eu/law/law-topic/data-protection_en

ISACA https://www.isaca.org/

NIST https://csrc.nist.gov/glossary