LGPD, Provimento 134 e o Cartório

Em busca de esclarecer a relação LGPD x Provimento 134 e os Cartórios, seguem algumas definições e caminho para procedimentos que a conformidade com esses normativos legais citados seja atingida.

A Juscibernética poderá contribuir com a criação de plano de ação, documentações, termos, políticas, assim como revisão documental, auditoria externa, e principalmente com a capacitação e conscientização de equipes.

Então vamos lá:

A LGPD

Dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural.

TRATAMENTO DE DADOS PESSOAIS

Tratamento de dados é toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

Seguindo o determinado:

Princípios da LGPD

• finalidade: realização do tratamento para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

• adequação: compatibilidade do tratamento com as finalidades informadas ao titular, de acordo com o contexto do tratamento;

• necessidade: limitação do tratamento ao mínimo necessário para a realização de suas finalidades, com abrangência dos dados pertinentes, proporcionais e não excessivos em relação às finalidades do tratamento de dados;

• livre acesso: garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais;

• qualidade dos dados: garantia, aos titulares, de exatidão, clareza, relevância e atualização dos dados, de acordo com a necessidade e para o cumprimento da finalidade de seu tratamento;

• transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial;

• segurança: utilização de medidas técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão;

• prevenção: adoção de medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

• não discriminação: impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos;

• responsabilização e prestação de contas: demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas.

Fundamentos da LGPD

• respeito à privacidade;

• a autodeterminação informativa;

• a liberdade de expressão, de informação, de comunicação e de opinião;

• a inviolabilidade da intimidade, da honra e da imagem;

• o desenvolvimento econômico e tecnológico e a inovação;

• a livre iniciativa, a livre concorrência e a defesa do consumidor; e

• os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais.

TITULAR DE DADOS PESSOAIS

Pessoa natural a quem se referem os dados pessoais que são objeto de tratamento.

COMUNICAÇÃO TITULARES DE DADOS PESSOAIS

I – canal eletrônico específico para atendimento das requisições e/ou reclamações apresentadas pelos titulares dos dados pessoais; e

II – fluxo para atendimento aos direitos dos titulares de dados pessoais, requisições e/ou reclamações apresentadas, desde o seu ingresso até o fornecimento da resposta.

I – aviso de privacidade e proteção de dados;

II – avisos de cookies no portal de cada serventia, se houver; e

III – aviso de privacidade para navegação no website da serventia, se houver.

Livre acesso, transparência, publicidade.

DIREITOS DOS TITULARES

· Artigos 18, 19, 20 LGPD...

CONTROLADORES

Controlador é pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais.

Os responsáveis pelas delegações dos serviços extrajudiciais de notas e de registro, na qualidade de titulares das serventias, interventores ou interinos, são controladores no exercício da atividade típica registral ou notarial, a quem compete as decisões referentes ao tratamento de dados pessoais.

RESPONSABILIDADES CONTROLADOR

• nomear encarregado pela proteção de dados;

• mapear as atividades de tratamento e realizar seu registro; ("Inventário de Dados Pessoais)

• elaborar relatório de impacto sobre suas atividades, na medida em que o risco das atividades o faça necessário;

• adotar medidas de transparência aos usuários sobre o tratamento de dados pessoais;

• definir e implementar Política de Segurança da Informação;

• definir e implementar Política Interna de Privacidade e Proteção de Dados;

• criar procedimentos internos eficazes, gratuitos, e de fácil acesso para atendimento aos direitos dos titulares;

• zelar para que terceiros contratados estejam em conformidade com a LGPD, questionando-os sobre sua adequação e revisando cláusulas de contratação para que incluam previsões sobre proteção de dados pessoais; e

• treinar e capacitar os prepostos.

OPERADORES

Operador é a pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador.

Operador, a que se refere o art. 5º da LGPD, é a pessoa natural ou jurídica, de direito público ou privado, externa ao quadro funcional da serventia, contratada para serviço que envolva o tratamento de dados pessoais em nome e por ordem do controlador.

ENCARREGADO DE PROTEÇÃO DE DADOS PESSOAIS

A nomeação do Encarregado será promovida mediante contrato escrito, a ser arquivado em classificador próprio, de que participarão o controlador na qualidade de responsável pela nomeação e o Encarregado.

RESPONSABILIDADE DO ENCARREGADO DE PROTEÇÃO DE DADOS PESSOAIS

• aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;

• receber comunicações da autoridade nacional e adotar providências;

• orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e

• executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.

PLANO DE AÇÃO

AÇÕES EDUCATIVAS / TREINAMENTOS

Art. 16. As serventias deverão realizar treinamentos para implementação da cultura de privacidade e proteção de dados pessoais, bem como para a capacitação de todos os envolvidos no tratamento dos dados pessoais sobre os novos controles, processos e procedimentos, observando o seguinte:

I – capacitar todos os trabalhadores da serventia a respeito dos procedimentos de tratamento de dados pessoais;

II – realizar treinamentos com todos os novos trabalhadores;

III – manter treinamentos regulares, de forma a reciclar o conhecimento sobre o assunto e atualizar os procedimentos adotados, sempre que necessário;

IV – organizar, por meio do Encarregado e eventual equipe de apoio, programa de conscientização a respeito dos procedimentos de tratamento de dados, que deverá atingir todos os trabalhadores; e

V – manter os comprovantes da participação em cursos, conferências, seminários ou qualquer modo de treinamento proporcionado pelo controlador aos operadores e Encarregado, com indicação do conteúdo das orientações transmitidas.

Parágrafo único: O responsável pela serventia extrajudicial poderá solicitar apoio à entidade de classe para capacitação de seus prepostos.

Artigo 50 LGPD

REVISÃO LEGAL

I – revisar todos os contratos celebrados com os seus empregados, incluindo a obrigatoriedade de respeito às normas de privacidade e proteção de dados nos contratos ou em regulamentos internos;

II – revisar os modelos existentes de minutas de contratos e convênios externos, que envolvam atividades de tratamento de dados pessoais, incluindo compartilhamento de dados;

III – elaborar “Termos de Tratamento de Dados Pessoais” para assinatura com os operadores, sempre que possível, incluindo as informações sobre quais dados pessoais são tratados, quem são os titulares dos dados tratados, para quais finalidades e quais são os limites do tratamento;

IV – incluir cláusulas de descarte de dados pessoais nos contratos, convênios e instrumentos congêneres, conforme os parâmetros da finalidade (pública) e necessidade acima indicados;

V – elaborar orientações e procedimentos para as contratações futuras, no intuito de deixá-los em conformidade com a lei de regência;

VI – criar procedimentos de auditoria regulares para realizar a gestão de terceiros com quem houver o compartilhamento de dados pessoais.

DOCUMENTAÇÃO, POLÍTICAS, TERMOS E PROCESSOS

ESTRUTURA DO INVENTÁRIO DE DADOS PESSOAIS

a) finalidade do tratamento;

b) categorias de dados pessoais, e descrição dos dados utilizados nas respectivas atividades;

c) a identificação das formas de obtenção/coleta dos dados pessoais;

d) base legal;

e) descrição da categoria dos titulares;

f) se há compartilhamento de dados com terceiros, identificando eventual transferência internacional;

g) categorias de destinatários, se houver;

h) prazo de conservação dos dados; e

i) medidas de segurança organizacionais e técnicas adotadas.

ESTRUTURA DO RIPD

I – adotar metodologia que resulte na indicação de medidas, salvaguardas e mecanismos de mitigação de risco;

II – elaborar o documento previamente a contrato ou convênio que seja objeto da avaliação feita por meio do Relatório;

III – franquear, a título de transparência, aos afetados a possibilidade de se manifestarem a respeito do conteúdo; e

IV – elaborar o documento previamente à adoção de novos procedimentos ou tecnologias.

ESTRUTURA DE PSI

a) medidas de segurança técnicas e organizacionais;

b) previsão de adoção de mecanismos de segurança, desde a concepção de novos produtos ou serviços (security by design) (art. 46, § 1º, da LGPD); e

c) plano de resposta a incidentes (art. 48 da LGPD).

PLANO DE RESPOSTA À INCIDENTES DE SEGURANÇA DA INFORMAÇÃO

O plano de resposta a incidentes de segurança envolvendo dados pessoais deverá prever a comunicação, pelos responsáveis por serventias extrajudiciais, ao titular, à Autoridade Nacional de Proteção de Dados, ao Juiz Corregedor Permanente e à Corregedoria Geral da Justiça, no prazo máximo de 48 horas úteis, contados a partir do seu conhecimento, de incidente que possa acarretar risco ou dano relevante aos titulares, com esclarecimento da natureza do incidente e das medidas adotadas para a apuração das suas causas e a mitigação de novos riscos e dos impactos causados aos titulares dos dados.

DIGITALIZAÇÃO, ARMAZENAMENTO E ELIMINAÇÃO

I – digitalizará os documentos físicos ainda utilizados; e

II – armazenará os documentos físicos que contenham dados pessoais e dados pessoais sensíveis em salas ou compartimentos com controle de acesso.

Parágrafo único. Após a digitalização, o documento físico poderá ser eliminado, respeitados as disposições e os prazos definidos no Provimento n. 50, de 28 de setembro de 2015, da Corregedoria Nacional de Justiça.

Decreto 10278

IMPLEMENTAR CONFORMIDADE PROVIMENTO 74

· Plano de continuidade de negócio

· Implementar PSI

· Nomear um encarregado de backup

...

IMPLEMENTAR PROCEDIMENTOS INTERNO

Art 21 até Art 57

Precisa de ajuda? Fala com a gente!

claudiojoel@juscibernetica.com.br www.juscibernetica.com.br