Capítulo 8 — Privacidade e proteção de dados: casos difíceis

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX036.

flowchart TD
  N0["8.1 Prevenção à lavagem de dinheiro versus eliminaçã"]
  N1["8.2 Requisições policiais"]
  N2["8.3 Incidente complexo"]
  N3["8.4 Lições"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX036"]

Desenho lógico

flowchart LR
  N0["8.1 Prevenção à lavagem de dinheiro versus eliminaçã"]
  N1["8.2 Requisições policiais"]
  N2["8.3 Incidente complexo"]
  N3["8.4 Lições"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX036"]

[8.1 Prevenção à lavagem de dinheiro versus eliminaçã]
    |
    v
[8.2 Requisições policiais]
    |
    v
[8.3 Incidente complexo]
    |
    v
[8.4 Lições]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX036]

Objetivos de aprendizagem

Você vai (1) lidar com obrigações em conflito, como a prevenção à lavagem de dinheiro e a eliminação; (2) responder a requisições de autoridades policiais; (3) gerir um incidente complexo.

8.1 Prevenção à lavagem de dinheiro versus eliminação

Um cliente pede que a Corvina elimine todos os seus dados. As regras de prevenção à lavagem de dinheiro (AML) obrigam a Corvina a guardar registros de transações e documentos de identificação por vários anos. Priscila explica que o artigo 17(3)(b) do GDPR permite a conservação quando o tratamento é necessário ao cumprimento de uma obrigação legal, e que a LGPD tem disposição semelhante no art. 16, I. A eliminação, portanto, só se aplica em parte: a Corvina apaga os dados de marketing e as preferências do perfil, restringe os registros conservados ao uso de compliance e informa ao cliente, com clareza, o que fica guardado, por quê e por quanto tempo.

8.2 Requisições policiais

A polícia requisita os registros de transações de um cliente sob investigação. Priscila confere se a requisição tem a forma jurídica adequada, especifica os dados e vem de um órgão autorizado, verificando o fundamento legal de cada pedido. A Corvina divulga apenas as transações do período requisitado e registra a divulgação. Ela observa que a Corvina pode não poder informar o cliente se isso prejudicar a investigação. Priscila cria um procedimento para essas requisições, garantindo consistência e protegendo tanto os clientes quanto os funcionários, que deixam de decidir sozinhos sob pressão.

8.3 Incidente complexo

Um fornecedor de software de atendimento informa que um invasor acessou tickets de suporte, alguns com números parciais de cartão e endereços. Priscila lidera a resposta. O incidente afeta clientes dos dois países. Pelo GDPR, a Corvina notifica a autoridade de controle portuguesa em até 72 horas; pela LGPD, comunica a ANPD em três dias úteis, prazo do art. 6º da Resolução CD/ANPD nº 15/2024, contado do conhecimento de que dados pessoais foram afetados. Os dois relógios são acompanhados separadamente. As Diretrizes 9/2022 do EDPB ajudam a avaliar o risco, e os clientes afetados recebem orientações sobre phishing. O registro da resposta guarda a hora de cada comunicação.

8.4 Lições

Priscila reflete que os casos difíceis costumam envolver obrigações concorrentes, várias jurisdições e informação incompleta. Procedimentos claros, raciocínio documentado e coordenação com o jurídico ajudam. A revisão do incidente produz mudanças concretas: o contrato com o fornecedor passa a exigir notificação mais rápida, os dados de cartão nos tickets passam a ser mascarados automaticamente, um modelo de carta aos clientes é preparado e um ensaio é marcado a cada seis meses. A Dra. Ward observa que os casos difíceis testam se o programa de privacidade funciona sob pressão, e que aprender com eles importa tanto quanto resolvê-los.

Exemplo resolvido

Priscila equilibra a eliminação com a conservação exigida pela prevenção à lavagem de dinheiro, atende a uma requisição policial com divulgação mínima, coordena um incidente internacional num fornecedor e acrescenta o mascaramento automático dos dados de cartão nos tickets.

Caso sintético. Os casos são sintéticos; o artigo 17(3)(b) do GDPR, o art. 16 da LGPD, a Resolução CD/ANPD nº 15/2024 e as Diretrizes 9/2022 do EDPB são reais.

Erros e limites

Os prazos de cada jurisdição mudam; confira os regulamentos vigentes.

Exercícios

• EX036 — Eliminação e AML. O que a Corvina elimina e o que conserva no pedido de eliminação?
  Mostrar critérios de avaliação

  Rubrica: 3 = elimina marketing e preferências; conserva os registros de AML restritos a compliance;; 2 = uma parte;; 1 = tudo;; 0 = nenhuma.
• EX037 — Artigo 17(3)(b). Que dispositivo permite conservar dados por obrigação legal?
  Mostrar critérios de avaliação

  Rubrica: 3 = o artigo 17(3)(b) do GDPR;; 2 = aproximado;; 1 = errado;; 0 = nenhuma.
• EX038 — Divulgação à polícia. O que a Corvina divulgou à polícia?
  Mostrar critérios de avaliação

  Rubrica: 3 = só as transações do período requisitado, com registro;; 2 = menciona limitação;; 1 = tudo;; 0 = nenhuma.
• EX039 — Incidente internacional. Que autoridades foram notificadas no incidente do fornecedor?
  Mostrar critérios de avaliação

  Rubrica: 3 = a autoridade de controle portuguesa pelo GDPR e a ANPD pela LGPD;; 2 = uma;; 1 = vago;; 0 = nenhuma.
• EX040 — Mascaramento nos tickets. Que correção preventiva seguiu o incidente?
  Mostrar critérios de avaliação

  Rubrica: 3 = mascaramento automático dos dados de cartão nos tickets de suporte;; 2 = menciona mascaramento;; 1 = vago;; 0 = nenhuma.

Síntese

O capítulo 8 trata de casos difíceis. O capítulo 9 oferece liderança e garantia.