Quando falamos em privacidade, a conversa quase sempre corre para apps, senhas e ferramentas online. Mas a privacidade física é tão importante quanto… pensa naquela etiqueta de entrega da encomenda do Mercado Livre, Amazon ou Shopee que você arranca da caixa e joga fora inteira, ali está seu nome completo, endereço, telefone e às vezes até o que você comprou. Um prato cheio para quem souber procurar.

Mesmo em 2026, ainda lidamos com uma quantidade surpreendente de papel, como recibos, faturas, documentos médicos, contratos, etiquetas de correspondências. Juntos, eles formam um retrato detalhado da sua vida, ou seja, um prato cheio para golpistas e para o roubo de identidade.

A solução é simples e velha de guerra: uma boa trituradora, que transforma o documento em confete impossível de remontar. As de corte em tiras? Esquece. Quem tem tempo e paciência remonta com fita adesiva.

Não tem uma trituradora? Existem outras opções:

• Um carimbo de segurança (aquele que borra os dados) resolve para o dia a dia.

• Sem nenhum dos dois? Respira fundo, tenha paciência e pique BASTANTE o papel (confete, não tirinha).

• Ou queime! Funciona muito bem. (Mas, por favor, com responsabilidade e longe da cortina) Ah… lembre-se papel picado costuma ser reciclável = Privacidade + meio ambiente. ♻️

A regra é destruir tudo com dados pessoais, mesmo o que parece insignificante. Fique atento! CPF, endereço, dados bancários e outros. Em uma vida cada vez mais digital, é fácil esquecer os riscos do papel. Não esqueça do mundo físico.

Talvez não tenhamos nada a esconder, mas temos tudo a proteger.

O script verifica primeiro se você está no Chrome antes de executar qualquer varredura. Os navegadores como Firefox e Safari não são afetados e o Brave bloqueia o envio dos dados antes que saiam do navegador.

E qual a correção para isso? Simples, troque de navegador. Se privacidade importa para você, fuja do Chrome.

Não apaguei o perfil — deixei um post lá informando onde estou. Deslogado, app removido.

Se quiser continuar me acompanhando: Mastodon, Bluesky ou por aqui mesmo.

Frases como “sempre fizemos assim”, “nunca tivemos problemas antes” ou “essas regras só vão atrapalhar o trabalho” são muito mais comuns do que se imagina e não aparecem apenas nos níveis operacionais. Elas surgem em reuniões de liderança, em revisões de contratos e até nos bastidores de projetos de transformação digital. E representam um risco para o programa de privacidade, não tanto porque alguém age de má-fé, mas porque a privacidade, quando não compreendida, vira sinônimo de obstáculo.

A resistência cultural se alimenta principalmente da falta de contexto. Quando as pessoas não entendem por que a privacidade importa (por exemplo, os riscos de um incidente, as obrigações que a LGPD impõe e o impacto reputacional de uma notificação à ANPD) o programa de privacidade se transforma em mais um processo burocrático a ser tolerado, não em uma prática integrada à rotina.

Na prática, a estratégia para superar essa resistência passa por três caminhos que aprendi a combinar.

Primeiro, engajar a liderança, não com apresentações genéricas sobre compliance, mas mostrando os riscos reais (incidentes, sanções, perda de confiança do titular) e o valor estratégico de um programa maduro. Segundo, investir em comunicação e capacitação contínua, com linguagem acessível e exemplos do próprio negócio, não de cartilha. Terceiro, identificar e desenvolver embaixadores do programa dentro das áreas de negócio, com pessoas que entendem o tema e mantêm a cultura viva no cotidiano, entre um treinamento e o próximo.

Aproveitando esse gancho, escrevi um artigo “A Difícil Missão de Conscientizar a Organização em Privacidade e Proteção de Dados” que integrará um livro coletivo com outros especialistas da área. A publicação está prevista para julho, e assim que tiver mais detalhes trago aqui para vocês.

Já vi organizações com políticas impecavelmente redigidas, processos mapeados, controles formalizados, e que, diante de um incidente, não conseguiram demonstrar uma evidência sequer de que aqueles controles eram aplicados no dia a dia. O programa existia no papel, mas a auditoria não havia sido feita.

É exatamente isso que a auditoria de privacidade vem revelar, se o que está documentado também acontece na prática. Se o risco mapeado no RIPD foi de fato mitigado. Se os processos acompanharam mudanças regulatórias e operacionais. Se os indicadores refletem o estado real do programa e não apenas o que gostaríamos que fosse verdade.

Ela pode assumir formatos diferentes, como uma autoavaliação conduzida pela própria equipe, auditoria interna com critérios formalizados, ou avaliação independente por terceiros. Em organizações com programas mais maduros, os três coexistem e se complementam. Na prática de compliance, essa camada de verificação é frequentemente o que transforma intenção em evidência.

A ISO 27701 incorpora o ciclo de melhoria contínua ao sistema de gestão de privacidade, e auditorias regulares fazem parte estrutural desse modelo. A ANPD, por sua vez, já sinalizou que a capacidade de demonstrar conformidade por meio de evidências documentadas é um fator relevante na dosimetria das sanções, conforme a Resolução CD/ANPD nº 4/2023.

Auditoria não é punição nem sinal de fraqueza. Precisamos considerar ela como oportunidade de identificar falhas antes que elas se tornem um problema verdadeiro. Tratar a auditoria como parte natural do ciclo de gestão, e não como evento extraordinário, é o que define um programa que realmente funciona.

Basta garantir que o ambiente esteja escuro, abrir o aplicativo da câmera do seu celular e girá-lo lentamente em 360 graus pelo cômodo. As câmeras infravermelhas, como as usadas em dispositivos de vigilância oculta, aparecem como pequenos pontos brancos ou azulados na tela. Isso acontece porque o sensor da câmera capta luz infravermelha, que é invisível a olho nu.

Essa é uma técnica usada por cinemas para detectar dispositivos de gravação não autorizada. E funciona mesmo! Aprendi isso há alguns anos para verificar quartos de hotel. Hoje faz parte da minha rotina de check-in.

Salva esse post! Da próxima vez que você entrar em um quarto de hotel/Airbnb, vai lembrar o que precisa fazer.

Além de atuar em privacidade e proteção de dados, sou um grande entusiasta de produtividade. A aplicação do método GTD (Getting Things Done) tem sido fundamental para a minha organização pessoal e profissional. Com certificação nos três níveis do método, utilizo o GTD diariamente, trazendo uma sensação de controle e clareza sobre o que precisa ser feito e, igualmente importante, o que pode ser delegado ou adiado.

O GTD se baseia em capturar todas as demandas e informações, processá-las, organizá-las, revisar com frequência e, finalmente, executar de forma eficiente. Ao estruturar minhas tarefas em categorias como “Próximas Ações” e “Projetos”, consigo focar no que realmente importa, sem o estresse de tentar lembrar de tudo mentalmente.

Além do GTD, integro conceitos do BASB (Building a Second Brain), do Tiago Forte, que me ajudam a construir um sistema confiável para armazenar ideias e insights. Isso me proporciona mais segurança ao saber que todas as minhas informações estão organizadas e prontas para serem acessadas quando necessário.

A combinação desses métodos não apenas melhora a minha produtividade, mas também a minha tranquilidade mental.

“Escolher as nossas pessoas é o mais próximo que chegamos de controlar nosso destino.”

Ele sempre me faz pensar sobre o que realmente está ao nosso alcance em meio a tantas variáveis que não controlamos.

https://teachprivacy.com/notable-privacy-ai-and-security-books-2025/

Vejam esse vídeo, reflete muito bem essa realidade e nos provoca um certo desconforto e desespero.

Aqueles pontinhos coloridos no topo da tela não são detalhes decorativos, são alertas de privacidade em tempo real.

🟠 Laranja: o microfone está ativo
🟢 Verde: a câmera está em uso
🔵 Azul com seta: um app está acessando sua localização

Se aparecer um ponto que você não estava esperando, preste atenção.

Esses indicadores aparecem sempre que há uso ativo desses recursos. Ver algo inesperado é um bom motivo para revisar quais apps têm acesso ao microfone, câmera ou localização

E como eu faço isso?

Vá em Ajustes → Privacidade e Segurança e revise as permissões de câmera, microfone, localização e fotos. Muitos apps acumulam acessos que já não fazem sentido e que você provavelmente nem lembra que concedeu.

O que cada uma faz?

A segurança da informação protege sistemas, redes e dados contra acessos não autorizados, vazamentos e ataques. Seus instrumentos são técnicos: criptografia, controle de acesso, DLP, SIEM, operações de SOC. A pergunta central é “quem pode acessar o quê e como impedimos acessos indevidos”.

A privacidade faz perguntas diferentes. Esses dados deveriam existir em primeiro lugar? A coleta é proporcional à finalidade declarada? O uso atual é compatível com o que foi informado ao titular? A privacidade não protege apenas o dado, ela protege a pessoa por trás dele.

Um sistema pode ser tecnicamente seguro e ainda assim violar a privacidade se os dados estiverem sendo usados para outros fins.

Onde isso aparece na prática?

Implementação de DLP - A ferramenta monitora e bloqueia saída de dados. Mas sem uma análise de privacidade prévia, a configuração pode criar monitoramento desproporcional de colaboradores, sem base legal clara e sem que os titulares tenham sido informados.

Resposta a incidentes - A equipe de segurança identifica um vazamento e quer preservar logs para investigação forense. A equipe de privacidade precisa avaliar: quais dados foram expostos, quem precisa ser notificado, em qual prazo e com qual conteúdo. Sem processos integrados, a organização chega atrasada na notificação à ANPD.

Projetos com ferramentas de IA - A segurança quer restringir o uso de ferramentas não aprovadas. A privacidade precisa mapear quais dados pessoais estão sendo inseridos, por quem e com qual finalidade. Sem essa conversa, o bloqueio técnico existe, mas o mapeamento de risco não.

Onboarding de fornecedores - O time de segurança faz assessment técnico do fornecedor. O time de privacidade avalia o DPA, as bases legais, a cadeia de suboperadores e os mecanismos de transferência internacional. Sem integração, a organização aprova um fornecedor tecnicamente seguro mas juridicamente exposto.

O que acontece quando não há essa integração?

Já vi casos em que a segurança implementou controles de monitoramento de endpoints sem qualquer envolvimento de privacidade. E o resultado? Colaboradores monitorados sem aviso adequado, dados coletados além do necessário, e a organização exposta a reclamações trabalhistas e questionamentos regulatórios.

O caminho oposto também acontece com programas de privacidade bem estruturados no papel, mas sem qualquer controle técnico por trás.

A maturidade está na integração entre as duas áreas, com processos conectados e boa comunicação. Isso exige decisão, estrutura e clareza sobre onde cada área começa e onde termina.

A LGPD se aplica a qualquer empresa que realize tratamento de dados pessoais no Brasil, independentemente do porte, desde que as atividades se enquadrem nas hipóteses da lei. A Resolução CD/ANPD nº 2/2022 criou um regime diferenciado para agentes de pequeno porte, com algumas flexibilizações procedimentais, como a dispensa de indicação formal de encarregado e prazos diferenciados para atendimento de solicitações de titulares, mas as obrigações centrais da LGPD continuam se aplicando integralmente.

O que muda para as PMEs é principalmente a forma e a profundidade da implementação. Uma empresa com 20 colaboradores não precisa de um escritório de privacidade com equipe dedicada. Mas precisa saber quais dados trata, ter uma base legal para cada tratamento, informar seus clientes e colaboradores sobre o uso dos dados e ter um processo mínimo para responder a solicitações de titulares. Isso é o básico e o básico ainda falta em boa parte das empresas.

Na prática, os pontos mais críticos para PMEs costumam ser três: o compartilhamento de dados com fornecedores sem qualquer cláusula contratual de proteção; o uso de ferramentas de terceiros (CRMs, plataformas de marketing, armazenamento em nuvem) sem avaliar minimamente quem está atuando como operador; e a ausência de qualquer canal ou procedimento para atender um titular que queira saber o que a empresa faz com seus dados.

Esses não são problemas caros de resolver. São problemas de organização e de cultura de privacidade.

A boa notícia é que a implementação para empresas menores pode ser mais ágil e menos custosa do que parece. Com um bom mapeamento dos dados tratados, cláusulas contratuais adequadas com fornecedores-chave, políticas compatíveis com o contexto da empresa e um fluxo básico de resposta a incidentes e solicitações de titulares, já é possível alcançar um nível razoável de conformidade. Não estou falando aqui de perfeição, mas de proporcionalidade.

A ANPD já demonstrou que o porte é um fator de dosimetria de sanções, não uma imunidade. A Resolução CD/ANPD nº 4/2023, que trata da dosimetria das penalidades, prevê o porte da empresa como critério de graduação, mas não como condição de isenção. Portante, a empresa pode pagar menos, mas ainda pode ser autuada e responsabilizada.

Não, não é mais uma lista de apps! É uma organização sem fins lucrativos, que avalia ferramentas com critérios técnicos e publica tudo de forma aberta. Tem avaliações de navegadores, mensageiros, gerenciadores de senha, VPNs, configurações de sistema. É muito bacana e vale a pena salvar no favorito!

O ambiente regulatório não para. A ANPD publica novas resoluções, orientações técnicas e notas de esclarecimento com frequência crescente. Basta acompanhar o histórico recente, com as Resoluções CD/ANPD nº 4/2023 e nº 15/2024 alterando de forma significativa o que se espera dos controladores. A jurisprudência também evolui, e decisões administrativas da própria ANPD começam a delinear como a autoridade interpreta conceitos que a lei deixou em aberto.

Os negócios também mudam, talvez mais rápido do que a regulação. Novos produtos, novos sistemas, novas parcerias, novas operações em outros países. Cada mudança relevante nos processos de negócio pode impactar o mapeamento de dados, as bases legais utilizadas, a cadeia de operadores envolvidos e os controles de segurança aplicáveis. Ignorar esse movimento é assumir um risco silencioso que se acumula ao longo do tempo.

Por isso, o monitoramento contínuo não é acessório. É estrutural. Na prática, isso se traduz em autoavaliações periódicas de conformidade, auditorias internas com critérios definidos, testes de efetividade dos controles técnicos e organizacionais, revisão dos indicadores de desempenho do programa e, nas organizações com maior maturidade, avaliações independentes conduzidas por terceiros qualificados.

A ISO 27701 é direta sobre esse ponto. O Sistema de Gestão de Privacidade da Informação exige ciclos regulares de revisão e melhoria contínua. O modelo PDCA, que orienta as etapas de Planejar, Executar, Verificar e Agir, é o mecanismo que mantém o programa calibrado à realidade do negócio e do ambiente regulatório. Não por acaso, a mesma lógica estrutura a ISO 27001 e, mais recentemente, a ISO 42001, voltada à gestão de sistemas de inteligência artificial.

Não podemos pensar que monitoramento é desconfiança da organização, mas simplesmente maturidade institucional. É o mecanismo que transforma um programa de privacidade implementado em um programa de privacidade efetivo, e que mantém o DPO (Data Protection Officer) em condições de responder com segurança quando a ANPD, um cliente ou um parceiro de negócios perguntar como a organização garante que o programa realmente funciona.

A LGPD, no artigo 48, obriga o controlador a comunicar à ANPD e ao titular qualquer incidente de segurança que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 trouxe critérios mais claros sobre o que constitui esse risco, os prazos de notificação e o conteúdo mínimo da comunicação, tornando o plano de resposta não apenas uma boa prática, mas uma exigência regulatória concreta.

Na prática, um plano de resposta a incidentes precisa responder a perguntas básicas antes que o incidente ocorra: quem fica responsável pela coordenação? Quais são os critérios para avaliar a gravidade e a relevância do risco ao titular? Qual é o prazo interno de análise antes da notificação à ANPD? Quem deve ser comunicado internamente?

Atuando diariamente com o tema, vejo de perto como essa integração entre privacidade e segurança da informação é indispensável e muitas vezes subestimada. Um incidente de segurança pode ou não gerar um incidente de privacidade, e essa avaliação precisa ser feita com critério técnico e jurídico.

Registrar e analisar os incidentes ao longo do tempo também é fundamental, e não apenas para fins de conformidade. Os padrões que emergem nesses registros revelam vulnerabilidades sistêmicas, falhas de processo, gaps de treinamento, terceiros com controles insuficientes, que precisam ser endereçadas de forma estruturada.

Preparação não é burocracia. É o que diferencia uma resposta controlada de uma exposição desnecessária.

Treinamento e conscientização são pilares fundamentais de qualquer programa de privacidade maduro. Não basta que a liderança esteja alinhada. Cada colaborador que lida com dados pessoais no dia a dia, seja no RH, no atendimento, na área comercial ou na TI, precisa entender suas responsabilidades concretas, não apenas assinar um termo de ciência.

O programa de treinamento precisa ser modular e adaptado ao contexto de cada área. Isso vale para qualquer setor. Por exemplo, em Telecom, o atendente que consulta dados cadastrais de milhões de clientes tem uma exposição completamente diferente do engenheiro de rede que configura a infraestrutura. Dar o mesmo treinamento para perfis tão distintos é desperdiçar a única oportunidade de criar consciência mais assertiva.

Na prática, o formato também importa. Pílulas de privacidade, conteúdos curtos, objetivos e conectados a situações do cotidiano, têm uma taxa de absorção muito superior a treinamentos longos e genéricos. O colaborador não precisa virar especialista, mas precisa saber identificar uma situação de risco e saber a quem recorrer.

Um elemento que potencializa o programa é a figura dos Privacy Champions, que são colaboradores de diferentes áreas que se tornam pontos focais de privacidade nos seus times. Eles reforçam a cultura no dia a dia, respondem dúvidas simples e ajudam a identificar situações de risco antes que se tornem incidentes. É governança distribuída e que funciona.

A lei distingue controlador e operador: o controlador é quem define a finalidade e a forma do tratamento; o operador é quem realiza o tratamento seguindo as orientações do controlador. O artigo 39 da LGPD obriga o operador a tratar os dados apenas conforme as instruções do controlador. E o artigo 48 torna ambos responsáveis, em determinadas situações, por incidentes que envolvam dados pessoais.

Isso tem implicações contratuais diretas. Todo contrato com fornecedores que processam dados pessoais precisa conter cláusulas específicas: finalidade do tratamento, medidas técnicas e organizacionais de segurança, vedação de uso para outros fins, obrigações em caso de incidente e critérios de auditoria.

Mas formalizar o contrato não é suficiente. É necessário fazer due diligence antes de contratar. Verificar se o fornecedor tem um ambiente de controles adequado, políticas de privacidade e segurança, e se está em conformidade com as regulamentações aplicáveis. Na minha atuação esse processo também passa pelo alinhamento com a área de Segurança da Informação. Não adianta o jurídico aprovar um contrato se a TI não avaliou os controles técnicos do fornecedor.

O inventário de dados pessoais é a ferramenta que permite identificar quais fornecedores têm acesso a quais dados e, portanto, precisam passar por esse processo. Sem o inventário, a gestão de terceiros fica cega e a empresa não sabe nem por onde começar.

A gestão de fornecedores não é só uma exigência legal. É uma decisão estratégica de risco. Pense que um incidente causado por um operador despreparado gera responsabilidade compartilhada, dano reputacional e exposição regulatória direta para o controlador, independentemente de quem falhou.

Quem assina o contrato sem fazer a devida diligência está terceirizando o serviço, mas não o risco.

Na prática, isso significa que privacidade não pode ser um ajuste de último momento. Quando uma empresa desenvolve um novo produto digital, uma nova funcionalidade ou um novo processo que envolva dados pessoais, as proteções precisam estar planejadas desde o início, e não adicionadas depois que tudo já está pronto.

A ISO 31700 foi desenvolvida justamente para orientar a implementação do Privacy by Design em produtos e sistemas, oferecendo requisitos e diretrizes práticas para diferentes contextos.

O benefício vai além da conformidade. Sistemas construídos com privacidade em mente tendem a ser mais seguros, mais eficientes no uso de dados e menos propensos a gerar incidentes. O custo de corrigir um problema de privacidade depois que o produto está no ar é sempre maior do que o de preveni-lo no projeto.

Privacidade desde a concepção não é luxo de empresa grande. É uma prática que qualquer organização pode e deve incorporar ao seu processo de desenvolvimento.

A política de privacidade é um documento interno, voltado para os colaboradores da organização. Ela orienta como os funcionários devem lidar com dados pessoais no dia a dia, quais são as práticas permitidas, quais são as restrições e quais são os canais para reportar dúvidas ou incidentes.

O aviso de privacidade é o documento público, voltado para os titulares de dados: clientes, usuários, candidatos a vagas. Ele deve informar, de forma clara e acessível, quais dados são coletados, para qual finalidade, com base em qual hipótese legal, por quanto tempo serão retidos, se são compartilhados com terceiros e como o titular pode exercer seus direitos. O artigo 9º da LGPD detalha os requisitos de transparência que devem estar presentes nesse documento.

Ambos precisam ser revisados periodicamente e estar alinhados às práticas reais da empresa. Um aviso de privacidade que não reflete o que a empresa de fato faz com os dados não serve de proteção jurídica. Pelo contrário, pode agravar a situação em caso de questionamento.

A transparência não é só uma obrigação legal. É a forma mais concreta de demonstrar respeito pelos titulares de dados.

O consentimento é a base mais conhecida, mas está longe de ser a mais utilizada no dia a dia empresarial. Nas relações de trabalho, por exemplo, o tratamento de dados de colaboradores normalmente se fundamenta no cumprimento de obrigação legal ou no contrato. Nas relações com clientes, pode ser o legítimo interesse ou a execução contratual, dependendo do contexto.

Escolher a base legal errada ou não documentar a escolha são erros que aparecem com frequência nos programas de privacidade mal estruturados. E isso tem consequência, como por exemplo, a ANPD questionar a licitude do tratamento, o que pode levar a sanções e à obrigação de cessar o tratamento dos dados.

Um detalhe prático importante é que a base legal precisa ser definida antes do início do tratamento, e não depois. E deve estar refletida no aviso de privacidade que a empresa disponibiliza aos titulares.

Entender bases legais não é detalhe técnico-jurídico, mas um fundamento para operar com segurança.

Os equívocos por aqui são parecidos.

Equívoco 1: “A LGPD obriga os sites a usar banners de cookies.”

Não. A LGPD exige base legal para tratar dados. Se a empresa escolhe o consentimento, ela precisa coletá-lo de forma válida: livre, informada e inequívoca (art. 8º). O banner é uma escolha da empresa, não uma imposição da lei. E, na prática, muitos são projetados para maximizar aceite, não para garantir escolha real. O Guia de Cookies da ANPD é claro sobre isso.

Equívoco 2: “As empresas precisam temer a ANPD.”

Ainda não, infelizmente. A ANPD construiu uma estrutura regulatória relevante, mas seu enforcement efetivo ainda é incipiente. A primeira sanção veio só em 2023. Casos envolvendo grandes empresas seguem sem desfecho sancionatório expressivo.

Equívoco 3: “Sem publicidade personalizada, o modelo digital quebra.”

A indústria diz que precisa rastrear você para sobreviver. Essa alegação é, no mínimo, controversa.

Publicidade contextual, conteúdo pago, merchandising, freemium, os modelos alternativos existem, funcionam e não dependem do seu histórico de navegação.

A questão não é sobrevivência. É preferência por um modelo que monetiza comportamento alheio sem transparência.

Equívoco 4: “A LGPD atrapalha os negócios.”

A proteção de dados pessoais é direito fundamental no Brasil desde a EC nº 115/2022 (art. 5º, LXXIX, CF). Legislação tributária, trabalhista e ambiental também “atrapalham” e ninguém questiona sua legitimidade. Conformidade com a LGPD é governança, não custo.

Equívoco 5: “Os titulares estão abusando do direito de acesso.”

No Brasil, o problema é o oposto. A maioria das pessoas não sabe que pode exercer os direitos do art. 18 da LGPD. E quando tenta, frequentemente recebe silêncio ou resposta incompleta. A ANPD já sinalizou isso como uma das principais causas de reclamações.

O mapeamento e inventário de dados é um dos pilares de qualquer programa de privacidade. Ele permite que a organização tenha uma visão clara de quais dados pessoais processa, em quais sistemas, por quais processos de negócio, por quanto tempo e com quais terceiros esses dados são compartilhados.

Sem esse mapa, fica impossível gerenciar riscos, responder às solicitações de titulares dentro dos prazos legais ou tomar decisões informadas sobre como tratar os dados. A LGPD impõe obrigações que dependem diretamente desse conhecimento, como as bases legais para cada tratamento (art. 7º), a retenção adequada e o descarte seguro.

O inventário também é a porta de entrada para identificar quais fornecedores e parceiros têm acesso a dados pessoais, o que gera obrigações contratuais específicas que muitas empresas ainda ignoram.
A boa prática recomenda revisar esse inventário ao menos uma vez por ano e sempre que houver mudanças relevantes nos processos de negócio.

Não precisa ser perfeito para começar. Precisa começar!

Conhecer os dados que você trata é o primeiro passo para protegê-los de verdade.

O que significa ter governança de privacidade na prática?

Significa que a organização sabe quem é responsável pelo quê. Que existe um Encarregado de Proteção de Dados, o famoso DPO, com acesso direto à alta liderança. Que há um time ou escritório de privacidade funcionando com processos definidos. E que KPIs são monitorados para que a gestão acompanhe os resultados.

A LGPD, em seu artigo 50, já trata da importância de um programa de governança em privacidade, elencando critérios que as organizações devem observar. A ANPD, por sua vez, publicou guias específicos sobre o tema, reforçando a necessidade de documentação e demonstração de conformidade.

Um detalhe que é muito importante e faz diferença: a governança precisa ser comunicada! Não basta criar estruturas internas se as pessoas da organização não sabem que elas existem e como se conectam a elas.

A governança de privacidade que funciona não é burocracia. É o que permite que a proteção de dados seja tratada com a seriedade que ela merece, em todos os níveis da empresa.

Nenhuma avaliação de privacidade, nenhum mapeamento de dados, nenhum DPA com o fornecedor. Fui chamado depois, para “resolver”. E a resposta que recebi quando perguntei por que não tinham me acionado antes foi direta: “achamos que você ia travar o projeto.”

Ali ficou claro que eu tinha um problema de posicionamento, não de compliance.

A área de negócio não estava agindo de má-fé. Estava desviando de um processo que, na visão dela, só servia para atrasar. E parte da culpa era minha: eu aparecia nas reuniões falando em base legal, RIPD obrigatório e risco regulatório, sem nenhuma conexão com o que eles estavam tentando entregar.

Mudei a abordagem. Comecei a entrar nas conversas mais cedo, antes do projeto ganhar tração. Parei de falar em artigos da LGPD e passei a falar em prazo, reputação e custo de correção tardia. Troquei “isso está irregular” por “aqui está como a gente resolve isso sem parar o projeto”.

A avaliação de privacidade deixou de ser obstáculo e virou parte natural do fluxo. Não porque a lei mudou, mas porque a conversa mudou.

Se você trabalha com privacidade, já passou por algo parecido?

O NIST Privacy Framework é um dos referenciais mais conhecidos, desenvolvido de forma colaborativa nos EUA para ajudar organizações a identificar e gerenciar riscos de privacidade de forma prática e adaptável. A ISO 27701, por sua vez, estabelece os requisitos para um Sistema de Gestão de Privacidade da Informação, funcionando como extensão da ISO 27001 e se alinhando diretamente à LGPD e ao GDPR, inclusive na separação de responsabilidades entre controladores e operadores.

Para organizações públicas brasileiras, o Framework de Privacidade e Segurança da Informação do Gov.br é referência obrigatória. Empresas privadas também podem usá-lo como ponto de diagnóstico.

Há ainda um framework menos citado no Brasil, mas bastante relevante para programas maduros: o GAPP, desenvolvido pelo AICPA/CICA. Ele organiza a privacidade em dez princípios geralmente aceitos, como gestão, aviso, consentimento, coleta, uso, retenção, acesso, segurança e monitoramento. É especialmente útil em auditorias e avaliações de maturidade, porque oferece critérios objetivos para medir conformidade.

A escolha do framework ideal depende do setor, do porte e do estágio da organização. Mas adotar qualquer um deles já representa um avanço real em relação a operar sem nenhuma estrutura.

O Brasil, com a LGPD em vigor desde 2020, está alinhado a essa tendência global. A nossa lei foi fortemente inspirada no GDPR europeu, o regulamento que se tornou referência mundial no tema e que prevê multas de até 4% do faturamento global anual para infrações graves.

No contexto brasileiro, a LGPD estabelece penalidades de até 2% do faturamento anual, limitadas a R$ 50 milhões por infração. Não são valores simbólicos.

O que esse cenário internacional nos mostra é que a conformidade com leis de privacidade deixou de ser um diferencial e passou a ser uma exigência de mercado. Empresas que operam em múltiplos países, ou que têm fornecedores e clientes no exterior, precisam entender que as obrigações não param nas fronteiras.

Mais do que isso: clientes e parceiros de negócios já observam se as empresas com quem se relacionam têm práticas sérias de proteção de dados. Esse critério está cada vez mais presente em processos de due diligence e contratação.

O cenário mudou. Quem se adapta agora, sai na frente.

A Lei Geral de Proteção de Dados está em vigor desde 2020 e a ANPD vem amadurecendo seu processo sancionatório de forma consistente. Em 2023, com a Resolução CD/ANPD nº 4, ficaram definidos os critérios de dosimetria das sanções, o que deixou o cenário ainda mais concreto para as empresas que ainda adiam o tema.

Mas o ponto que mais me interessa não é a multa. É a reputação.

Uma empresa que sofre um incidente de dados e não tem um programa de governança estruturado perde algo muito mais difícil de recuperar do que dinheiro: a confiança de clientes, parceiros e colaboradores. E no mercado atual, isso tem peso nos negócios.

Implementar um sistema de gestão de privacidade não é só sobre estar em conformidade. É sobre demonstrar que a organização trata dados pessoais com seriedade, responsabilidade e respeito. Isso vira diferencial competitivo.

A boa notícia é que existem caminhos práticos para começar, independentemente do tamanho da empresa.

Nas próximas publicações, vou compartilhar os fundamentos desse processo, com base na minha experiência prática de implementação.

O curioso é perceber como esse cuidado é frágil quando não depende só de você.

Eu, por exemplo, evito usar ferramentas de IA que transformam fotos em quadrinhos, personagens, versões “melhoradas” ou estilizadas. Nunca usei com minhas imagens e, principalmente, nunca com as fotos dos meus filhos. Até o dia em que recebi uma mensagem de um pai, amigo do meu filho, com a legenda: “Super-heróis em ação”.

Antes mesmo de abrir a imagem, pensei: “Não acredito”. E era exatamente isso. Ele havia enviado a foto das crianças para um sistema de IA transformar em personagens de desenho. A intenção era boa, a brincadeira era inocente, mas o incômodo veio na hora.

A situação até tem um lado engraçado, mas ilustra bem um ponto importante: não adianta você ter cuidado, entender riscos e fazer escolhas conscientes se as pessoas ao seu redor não têm a mesma percepção ou sequer sabem que há riscos envolvidos.

É aí que a privacidade deixa de ser um tema individual e passa a ser coletivo. Conscientização importa. Conversas simples importam. Porque, no fim, não se trata de paranoia, mas de escolhas informadas sobre algo que diz respeito a todos nós.

Em um projeto de privacidade no qual atuei, um de nossos consultores era daltônico. Para garantir sua plena participação, implementamos uma solução simples, mas extremamente eficaz: todos os relatórios e entregas passaram a incluir legendas que combinavam cores com números ou letras. Essa abordagem permitiu que ele identificasse informações críticas sem depender exclusivamente das cores, promovendo inclusão e colaboração plena.

Essa experiência reforçou para mim a importância de elaborarmos relatórios e visualizações de dados acessíveis para atender às necessidades de todos, garantindo que ninguém fique de fora.

Agora pense nisso: O quanto suas apresentações, dashboards ou relatórios são acessíveis? Você já considerou como diferentes públicos podem interagir com eles?

Compartilhe comigo se você já adaptou algum relatório ou entrega para torná-lo mais acessível?

Escolher as nossas pessoas é o mais próximo que chegamos de controlar nosso destino.

Esse trecho da série sempre me faz pensar sobre o que realmente está ao nosso alcance em meio a tantas variáveis que não controlamos. Projetos mudam. Prioridades mudam. Leis mudam. Mas uma coisa permanece essencial: as pessoas com quem escolhemos caminhar.

No dia a dia de um profissional de privacidade (ou de qualquer líder), isso é ainda mais evidente. Não dá pra fazer um programa de governança vingar sozinho. Não dá pra garantir a proteção de dados sem a colaboração de quem está no operacional, no jurídico, no produto, na tecnologia.

E mais: liderar é, muitas vezes, sobre escolher bem, escolher quem apoiar, quem desenvolver, quem escutar. Porque, no fim, as entregas até mudam, mas as pessoas certas constroem caminhos consistentes. Elas trazem confiança, constância e propósito, mesmo em tempos incertos.

Você tem escolhido as suas pessoas com intenção?

É impressionante como isso virou um padrão, quase uma contaminação silenciosa. Onde quer que você vá, há sempre olhos fixos naquela pequena tela. Como descreve Catherine Price em Celular: Como dar um tempo, os aparelhos se transformaram em uma espécie de “slot machine” portátil, projetados para prender nossa atenção, gerar pequenas recompensas e nos manter conectados sem perceber.

Mas, será que precisamos estar conectados a todo instante? No intervalo de uma série, no meio de uma conversa ou até nos momentos de descanso, a tela vira nossa primeira opção. É como se não suportássemos o silêncio ou a pausa. No fundo, isso rouba algo essencial: o tempo de qualidade. Seja nos exercícios, com a família ou entre amigos, acabamos deixando de estar verdadeiramente presentes.

Talvez o maior desafio não seja “largar o celular”, mas recuperar o controle da nossa atenção. Afinal, se não protegermos nossos momentos, sempre haverá uma notificação pronta para roubá-los.

Já falei por aqui sobre essas chamadas silenciosas e dei algumas dicas, mas a verdade é que controlar esse tipo de ligação beira o impossível. Os números mudam, as origens são mascaradas e, no final, quem acaba desgastado é sempre o usuário.

Recentemente, ouvi uma dica curiosa: usar duas linhas. Uma só para contatos reais e outra apenas para cadastros, que seria totalmente ignorada e teria bloqueios automáticos. Fiquei pensando se isso funciona na prática.

Se alguém já usa essa estratégia, queria ouvir a experiência.

E se você tiver alguma dica que realmente ajude a lidar com esse problema, me envie uma mensagem. Vou postar aqui no blog uma lista com as dicas! Isso pode ajudar muita gente.

Dicas dos leitores

04/12/2025 - Leonardo: Infelizmente há uns anos eu tive de tomar uma decisão drástica: não atendo mais números desconhecidos. Quem quiser falar comigo tem de estar na minha agenda ou, na pior das hipóteses, me mandar uma mensagem de WhatsApp antes para se identificar e falar que esta me ligando. Só assim para minimizar a perda de tempo e os riscos de golpe.

04/12/2025 - Daniel: A Apple tem um serviço que é um agente que atende e registra o “recado” interagindo com a pessoa que ligou. Dá uma olhada. Dizem que funciona muito bem.

28/01/2026 - Guilherme: Hoje eu uso duas linhas de celular no meu dia-a-dia para controlar o número que passo para qualquer pessoa (que inclusive é meu número pessoal rs) e o número que uso profissional e sou bem seletivo para quem compartilho. Ter essa divisão já ajuda bastante para ter ideia de quem poderia estar contatando você e se, pelo horário, você deveria atender uma ligação ou não. Além disso, existem alguns cadastros que você pode utilizar para solicitar que não sejam realizadas ligações de telemarketing para o seu número. Eu especificamente já me cadastrei no “não me ligue” do PROCON de São Paulo e no www.naomeperturbe.com.br que é uma iniciativa particular de algumas operadoras. Depois que eu fiz esses cadastros, a quantidade de ligações diminuiu MUITO. Em relação a telemarketing, não recebo mais nenhuma, só um golpe ou outro de vez em quando. Além disso, se você quiser se aventurar em ferramentas, o aplicativo whoscall (sei que tem para Android, não sei se tem para IOS) costuma dar uma filtrada precisa em relação se a ligação é legítima ou se trata de uma ligação indesejada/golpe.

O cenário se complica quando influenciadores transformam seus filhos em produtos. Cada post, parceria ou clique vira parte de uma engrenagem comercial, onde a criança se torna conteúdo e a linha entre afeto e exploração simplesmente desaparece. Não por acaso, cresce o entendimento de que essa prática deveria ser tratada como trabalho infantil, já que pais lucram enquanto os filhos vivem com consequências que podem durar anos, como privacidade violada, dados expostos e impactos emocionais que só aparecem mais tarde.

Um caso recente na Vara de Família de Rio Branco (AC) reforça esse alerta. A juíza proibiu os pais de superexpor o filho nas redes sociais, destacando que a proteção da criança deve prevalecer sobre qualquer interesse dos adultos, inclusive o de manter presença online. A decisão sinaliza um movimento jurídico importante sobre os limites da exposição digital na infância.

O documentário “The Dangers of Sharenting” aprofunda esse debate e mostra como a exposição precoce pode afetar autonomia, segurança e o futuro dessas crianças. O documentário traz ainda elatos que incomodam e e nos fazem pensar…

Até onde vai o direito dos pais de decidir pela exposição dos filhos?

No campo conceitual, a discussão sobre IA como produto ou serviço se torna mais clara quando observamos como essas tecnologias são entregues e operadas. Em muitos casos, a IA chega ao mercado como um produto, algo fechado e padronizado, semelhante a um software tradicional. Exemplos incluem um modelo de visão computacional embarcado em uma câmera de segurança, um app que usa IA para reconhecer documentos ou um assistente digital integrado a um smartphone. Aqui, o desempenho é relativamente previsível e a responsabilidade tende a recair sobre quem desenvolve e disponibiliza o sistema.

Em outros contextos, a IA funciona como serviço. O valor não está apenas no modelo, mas no trabalho contínuo de quem treina, ajusta, integra, monitora e interpreta os resultados. Plataformas de IA generativa usadas para criar conteúdos sob demanda, soluções de detecção de fraude ajustadas para cada cliente, ou modelos que dependem de dados e pipelines específicos são bons exemplos. Nessas situações, a qualidade depende da execução técnica e da experiência profissional, o que aproxima a responsabilidade de um regime típico de prestação de serviços.

A fronteira entre produto e serviço é cada vez mais tênue, e muitos modelos operam de forma híbrida. Entender essa distinção ajuda empresas a definir obrigações, estabelecer controles e reduzir riscos em todo o ciclo de vida da IA.

A boa notícia é que dá para mudar esse cenário com alguns ajustes simples. O primeiro passo, e o mais importante, é desativar a opção de compartilhamento de dados para treinamento. Isso geralmente está escondido nas configurações de privacidade, com nomes como “Melhore o modelo para todos” ou “Use meus dados para treinamento”. Desligar essa chave já reduz drasticamente sua exposição.

Outra alternativa é usar os modos temporários ou incógnitos que algumas plataformas oferecem. Eles não salvam o histórico e evitam que suas conversas alimentem futuros treinamentos, embora ainda fiquem registradas por um período para fins de segurança. Não é perfeito, mas ajuda.

Mas o hábito mais eficaz mesmo é adotar a minimização de dados: trate essas ferramentas como ambientes públicos. Antes de colar qualquer texto, revise e remova dados pessoais como nomes, endereços, dados da empresa. Lembre-se, quanto menos você compartilha, menor o rastro que deixa.

Se você usa IA no ambiente corporativo, provavelmente já está mais protegido. Os planos empresariais costumam garantir contratualmente que seus dados não serão usados para treinar modelos. Ainda assim, vale conferir.

Recentemente, veio à tona que o Museu do Louvre usava como senha do seu sistema de vigilância… “Louvre”.

Parece ironia, mas essa história ilustra um problema que vejo todos os dias em organizações de todos os tamanhos. A tecnologia avança, investimos em sistemas sofisticados de proteção, mas tropeçamos no fundamento mais básico: senhas fracas.

Não importa o quanto você invista em segurança da informação se a porta de entrada está escancarada com uma senha óbvia. É como ter o melhor sistema de alarme do mundo e deixar a chave embaixo do tapete.

O que me preocupa é que esse não é um caso isolado. Estudos mostram que senhas como “123456”, “password” e variações com o nome da empresa ainda estão entre as mais utilizadas globalmente. Em projetos que já acompanhei, é comum encontrar credenciais padrão nunca alteradas, senhas compartilhadas entre equipes inteiras ou anotadas em post-its colados no monitor.

Uma senha forte precisa combinar letras maiúsculas e minúsculas, números e caracteres especiais, com no mínimo 12 caracteres. Mas sei que é difícil lembrar de tudo isso, especialmente quando temos dezenas de acessos diferentes no dia a dia profissional. Por isso, como mencionei em um post recente, os gerenciadores de senhas são essenciais. Eles criam e armazenam senhas complexas e únicas para cada sistema, deixando você livre dessa sobrecarga mental e eliminando a tentação de reutilizar a mesma senha em múltiplos lugares.

No final das contas, o Louvre tinha suas câmeras, seus alarmes e seus seguranças. Mas a diferença é que, diferentemente de um museu que pode contar com seguranças físicos, no ambiente digital, sua senha é frequentemente a única linha de defesa entre seus dados e um invasor.

Parece inofensivo, mas pode ser o primeiro passo de uma fraude sofisticada.

Criminosos utilizam esses segundos de ligação para capturar sua voz e, com ferramentas de inteligência artificial, conseguem reproduzi-la com fidelidade impressionante. A partir daí, podem se passar por você em pedidos de transferência de dinheiro, mensagens a familiares ou até contatos de trabalho.

O risco não está apenas no prejuízo financeiro, mas no uso indevido de um dado extremamente sensível: a sua própria voz. Quando explorada de forma indevida, pode comprometer sua identidade digital, abrir brechas para golpes em diferentes canais e até ser reutilizada em fraudes de autenticação que dependem de reconhecimento por voz.

Vivemos um momento em que dados pessoais são coletados e manipulados de formas cada vez mais sofisticadas e o “golpe silencioso” mostra como pequenas interações, como atender uma ligação, podem se transformar em grandes riscos quando combinadas ao avanço da tecnologia e ao uso malicioso da inteligência artificial.

Como se proteger:

• Desconfie de chamadas mudas;
• Não diga “sim” de imediato;
• Bloqueie e denuncie números suspeitos;
• Nunca compartilhe dados pessoais em ligações não solicitadas;
• Combine palavras de segurança com familiares;
• Confirme pedidos de ajuda por outro canal (vídeo, mensagem, pessoalmente).

Conscientizar-se sobre esse tipo de ameaça é essencial. Estar atento a detalhes e desconfiar de contatos inesperados podem fazer diferença para evitar que sua própria voz seja transformada em uma arma contra você.

A definição sobre onde posicionar a área de privacidade continua sendo um dos pontos mais estratégicos dentro das empresas. Segurança, TI, Jurídico e Compliance são atores fundamentais, mas nenhum deles abrange sozinho toda a complexidade da privacidade.

A experiência tem mostrado que, embora execução e suporte sejam distribuídos entre várias áreas, a liderança e a responsabilidade pela governança de privacidade devem estar sob Jurídico ou Compliance.

Esse modelo garante independência, consistência e alinhamento entre exigências regulatórias, riscos e operações.

Mais do que um tema técnico, a privacidade é um assunto de governança corporativa. Onde ela está na estrutura diz muito sobre como a empresa enxerga o tema, como requisito de segurança ou como valor estratégico que sustenta confiança e reputação.

Na verdade, vou confessar algo pior: eu nem vejo mais esses banners. Uso bloqueador de anúncios que também bloqueia avisos de cookies. Simplesmente não aparecem na minha tela. Navego tranquilo, sem pop-ups, sem interrupções, sem aquela sensação de estar sendo perseguido por uma caixa pedindo permissão a cada site que visito.

Mas isso levanta uma questão importante, se tanta gente ignora ou simplesmente bloqueia esses avisos, qual é o real propósito deles? A ideia original era boa. Dar controle ao usuário sobre quais dados podem ser coletados durante a navegação (cookies de desempenho, de marketing, de análise). Teoricamente, você escolhe o que aceita.

Na prática, porém, virou teatro. Os banners são desenhados para cansar. Botões enormes para “aceitar tudo” e links microscópicos para personalizar. A maioria das pessoas clica no caminho mais fácil só para continuar lendo o que estava lendo. E quem usa bloqueador? Bem, simplesmente pula essa etapa toda.

Então, é necessário ler políticas de cookies? Tecnicamente, sim. Principalmente se você se importa com rastreamento, publicidade direcionada e compartilhamento de dados com terceiros. Mas a verdade é que o formato atual não convida ninguém a ler. E enquanto isso não mudar, vamos continuar clicando em “aceitar” ou, no meu caso, nem vendo o aviso aparecer.

A maioria dessas políticas é escrita para ser complicada. Parágrafos intermináveis, termos jurídicos e letras miúdas que cansam os olhos antes mesmo de você entender o que está em jogo. Às vezes, tenho a impressão de que a complexidade é proposital. Afinal, quanto menos você entende, menos você questiona.

O problema não está só na dificuldade de leitura. Está na falta de clareza sobre o que realmente importa: como seus dados serão usados, com quem serão compartilhados e, principalmente, como serão protegidos.

E sabe o que é mais frustrante? As empresas só costumam ser responsabilizadas quando algo dá errado. Quando acontece uma violação de dados ou quando o manuseio irresponsável de informações vira escândalo público. Lembra do caso Cambridge Analytica? Pois é. Só quando a bomba explode é que vemos movimentação. Até lá, boa parte das práticas de coleta e uso de dados passa despercebida.

Existem dois sites que podem facilitar a sua vida, o PrivacySpy e o Terms of Service; Didn’t Read analisam políticas de privacidade e termos de uso, destacando o que é preocupante e o que é positivo em cada empresa.

Vale a pena consultar antes de criar uma conta ou baixar um app. Ler ou ao menos entender uma política de privacidade é o primeiro passo para proteger seus dados e exercer o controle que, na prática, é seu por direito.

Funciona assim: se seu endereço é nome@gmail.com, use nome+loja@gmail.com ou nome+newsletter@gmail.com. O envio continua chegando na sua caixa principal, mas você passa a ter um identificador por serviço.

Ao criar contas, use um alias diferente para cada fornecedor. Em seguida, crie filtros no Gmail que apliquem rótulos, movam mensagens para pastas específicas ou até autoarquivem comunicações comerciais. Se começar a receber spam em um alias, você identifica rapidamente qual empresa vazou seus dados e pode bloquear ou excluir apenas aquele padrão, sem afetar seu email principal.

Usar o sinal de “+” no seu endereço Gmail é uma estratégia simples e poderosa para ganhar controle sobre cadastros e rastreamento de emails. Em vez de divulgar seu email principal, acrescente um sufixo:

O uso de e-mails mascarados facilita auditoria “pessoal” de vazamentos, reduz ruído na caixa de entrada e acelera o processo de optar por não receber comunicações. É uma solução gratuita, sem depender de serviços adicionais, e que se integra bem com outras práticas de higiene digital como gerenciadores de senha e emails mascarados avançados.

Trabalho com privacidade e proteção de dados há anos e percebi que a privacidade não se constrói com grandes gestos, mas com pequenas escolhas diárias. Aqui vão cinco práticas que incorporei na minha rotina e que realmente mudaram minha forma de navegar no mundo digital.

1. Revise as permissões dos seus aplicativos

Aquele app de lanterna precisa mesmo acessar seus contatos e localização? Provavelmente não. Entre nas configurações do celular e desative o que não faz sentido. Muitos aplicativos solicitam permissões desnecessárias, e você tem total controle para limitar o acesso deles.

2. Revise todas as configurações de privacidade das redes sociais

Quem pode ver suas postagens antigas? Quem tem acesso à sua lista de amigos? Essas configurações mudam frequentemente com as atualizações das plataformas, então vale a pena revisá-las periodicamente para garantir que seu perfil está protegido como você deseja.

3. Use buscadores que não rastreiam seu comportamento

Existem alternativas que não criam perfis baseados nas suas pesquisas. A experiência de busca é praticamente a mesma, mas sem aquela sensação incômoda de estar sendo constantemente observado.

4. Leia os avisos de privacidade

Não precisa ler tudo, mas pelo menos entenda se seus dados serão compartilhados com terceiros.

5. Reduza o compartilhamento da sua localização

Desative o histórico de localização e deixe o GPS ligado apenas quando realmente precisar usar. Você ficaria surpreso com a quantidade de informação que fica registrada sobre seus movimentos diários.

Bônus: Baixe seus dados das plataformas que usa

É um direito seu saber o que as empresas têm sobre você. Quando vi meu arquivo, entendi melhor o que realmente estava compartilhando.

Privacidade é um exercício constante!

Vejo isso acontecer o tempo todo. Pessoas usando ChatGPT, Claude, Copilot, Perplexity, seja qual for a ferramenta, como se fossem um caderno pessoal. Colocam dados de clientes, informações estratégicas da empresa, documentos sensíveis. Tudo ali, sem nenhum filtro e cuidado com as informações.

A inteligência artificial está facilitando a nossa vida profissional, isso é inegável. Mas essas plataformas processam cada palavra que você digita e nem sempre há clareza sobre o que acontece com esses dados depois. Podem ser usados para treinar modelos, podem ficar armazenados, podem ser acessados em situações que você nem imagina.

Leia a política de privacidade. Eu sei, é chato e demorado, mas vale a pena entender como funciona e o que eles fazem com os seus dados. Muitas ferramentas permitem desabilitar o uso dos seus dados para treinamento dos modelos. Procure essa opção nas configurações e ative essa proteção.

Então aqui vai o básico que você precisa saber. Nunca insira dados pessoais de terceiros, informações confidenciais da empresa ou qualquer coisa que você não divulgaria publicamente. Se precisa trabalhar com exemplos reais, anonimize tudo. Troque nomes por iniciais, CPFs por sequências genéricas, contextos específicos por situações hipotéticas.

Outras dicas práticas:

1. Delete o histórico de conversas periodicamente. A maioria das plataformas guarda tudo que você digita. Faça uma limpeza regular, especialmente se trabalhou com informações sensíveis mesmo anonimizadas.
2. Evite fazer upload de documentos completos. Em vez de enviar contratos, planilhas ou apresentações inteiras, copie apenas os trechos necessários e remova qualquer informação identificável antes.
3. Use contas separadas para trabalho e uso pessoal. Assim você reduz o risco de misturar contextos e acabar expondo dados corporativos sem perceber.
4. Ative a autenticação de dois fatores. Parece básico, mas adiciona uma camada importante de segurança para proteger suas conversas e dados armazenados na plataforma.
5. Desconfie de integrações automáticas. Algumas ferramentas se conectam com seu e-mail, agenda ou sistema de arquivos. Revise essas permissões e libere apenas o estritamente necessário.
6. Cuidado com capturas de tela. Mesmo que você anonimize os dados no prompt, se compartilhar prints das respostas da IA, verifique se não há informações sensíveis visíveis na imagem.

Use com inteligência e responsabilidade.

O problema não está em compartilhar seu email. O problema é perder completamente o controle sobre ele depois.

É aí que entram os emails mascarados. Você já ouviu falar sobre isso? A lógica é simples: você cria um endereço único para cada serviço ou cadastro que fizer. Todos os emails chegam na sua caixa principal, mas você sabe exatamente qual empresa está por trás de cada mensagem e eles não sabem o seu e-mail principal.

Na prática, isso muda tudo. Quando o spam começa a chegar em um endereço específico, você identifica na hora a origem do vazamento. Não precisa mais adivinhar qual empresa compartilhou seus dados indevidamente. Basta bloquear aquele email mascarado sem afetar nenhum outro cadastro. 100% de rastreabilidade!

Serviços como Apple Hide My Email, DuckDuckGo Email Protection e SimpleLogin oferecem essa funcionalidade de forma gratuita ou integrada. Se você usa gmail, existe um alternativa gratuita. Você também pode testar essa dica A implementação é rápida e o ganho em privacidade é significativo.

No dia a dia, vale criar um email mascarado diferente para cada categoria: um para compras online, outro para newsletters, outro para cadastros pontuais. Quando não quiser mais receber mensagens de determinado serviço, basta desativar aquele endereço específico.

No fim, e-mails mascarados não são apenas conveniência, podemos considerar como uma ferramenta de governança pessoal de dados. Uma forma acessível de reforçar segurança, reduzir exposição e criar mais confiança nas interações digitais, rastreando exatamente como suas informações circulam na internet.

Como eu faço? Uso um gerenciador de senhas, no meu caso o 1Password, mas há ótimas opções no mercado, como Bitwarden, ProtonPass, NordPass, Keepass e Dashlane. Uma dica: fujam do LastPass, ele já sofreu nos últimos anos vários incidentes de segurança graves. Todas as minhas credenciais ficam em um cofre criptografado. Cada serviço tem uma senha única e robusta, com pelo menos 14 caracteres, incluindo letras maiúsculas, minúsculas, números e símbolos.

E não, eu não preciso ficar inventando ou decorando senhas complexas. O próprio gerenciador gera automaticamente combinações seguras, como por exemplo: Vey_tx6Nxu8q@o. Assim, minha única preocupação é lembrar da senha mestre, que dá acesso ao cofre. Essa prática me garante mais segurança e tranquilidade.**

E você, já utiliza algum gerenciador de senhas?

É aí que entra o uBlock Origin, uma extensão gratuita e de código aberto disponível para navegadores como Chrome, Firefox, Edge, Brave e Safari. Mais do que bloquear anúncios, ele impede que scripts de rastreamento sejam carregados, reduzindo a exposição de informações pessoais e tornando a navegação mais rápida e limpa.

Esse post não é propaganda. Eu mesmo utilizo o uBlock Origin nos meus dispositivos pessoais e recomendo por experiência própria. Para quem se preocupa com privacidade, é uma medida prática que reforça a proteção, reduz riscos de anúncios maliciosos e ainda economiza dados e processamento.

Ao escanear um QR Code, o usuário pode ser redirecionado para links maliciosos que instalam softwares indesejados, mas o risco não para aí. Muitos geradores de QR funcionam como plataformas de coleta de dados. Em segundos, conseguem registrar informações como endereço IP, localização, carimbo de data e hora e até detalhes sobre o dispositivo utilizado. Tudo isso sem que o usuário perceba e, em muitos casos, sem que a própria empresa que contratou o serviço saiba exatamente como esses dados são tratados.

Esse cenário traz implicações diretas para segurança e privacidade. Do ponto de vista legal, a responsabilidade pelo tratamento de dados recai também sobre a empresa que utiliza o recurso. Além disso, há impactos de reputação quando o cliente descobre que o simples ato de abrir um cardápio digital pode significar a entrega de seus dados para terceiros.

Adotar QR Codes não é um problema em si, mas exige avaliação criteriosa dos provedores e atenção a práticas de privacidade. Em alguns casos, optar por soluções estáticas, que apenas direcionam para um link sem rastreamento, pode ser o caminho mais seguro.

Muitos acreditam que basta anonimizar depois e o problema está resolvido. Mas não é bem assim.

Até que os dados sejam efetivamente anonimizados, eles continuam sendo considerados dados pessoais e, portanto, sujeitos à LGPD.

Isso significa que o controlador precisa aplicar uma base legal (art. 7º ou 11 da LGPD) para a coleta e qualquer tratamento inicial antes da anonimização.

A própria ANPD reforça isso em seu “estudo técnico sobre anonimização de dados na LGPD: análise jurídica”.

• O ato inicial do processo de anonimização é tratamento de dado pessoal, logo, exige base legal.
• A anonimização, por si só, não legitima um tratamento irregular. Se a coleta foi feita sem fundamento, a posterior anonimização não “conserta” a irregularidade.
• A anonimização deve ser vista como um processo contínuo, iniciado sobre dados pessoais identificáveis, e enquanto não concluído, o risco de reidentificação mantém a aplicação integral da LGPD.

Portanto, sempre que houver coleta para posterior anonimização, é obrigatório aplicar uma base legal.

E você, já se deparou com situações em que a coleta foi feita sem pensar nesse detalhe?

O nosso site não possui cookies.

Na hora, soou estranho. Afinal, é raríssimo um site, mesmo os mais simples, não ter ao menos cookies proprietários ou de terceiros.

Esse episódio me trouxe um ponto importante que quero dividir com quem trabalha com privacidade e proteção de dados: Conhecimentos técnicos são essenciais, não basta conhecer apenas a legislação.

Na mesma hora, compartilhei a tela, acessei o site, abri o módulo do desenvolvedor do navegador e… lá estavam os cookies de terceiros, visíveis sem o uso de nenhuma ferramenta automatizada.

Dica prática: Sempre que alguém afirmar que um site não utiliza cookies, faça a checagem técnica.

Como eu faço para identificar cookies diretamente no navegador?

💻 Chrome

O caminho é o praticamente o mesmo para outros navegadores que usam o Chromium, como Edge e Brave.

1. Acesse o site.
2. Pressione F12 ou clique com o botão direito e selecione “Inspecionar”.
3. Vá até a aba “Application”.
4. No menu lateral esquerdo, clique em “Cookies” (dentro de “Storage”).
5. Você verá os cookies separados por domínio. Cookies de domínios diferentes do site visitado são de terceiros.

🦊 Firefox

1. Acesse o site.
2. Pressione F12 ou clique com o botão direito e selecione “Inspecionar”.
3. Vá até a aba “Armazenamento” (Storage).
4. Em “Cookies”, clique no domínio e veja os detalhes.
5. Compare com o domínio do site visitado para identificar terceiros.

🍏 Safari (macOS)

1. Acesse o site.
2. Vá em Safari > Preferências > Privacidade > Gerenciar Dados do Site…
3. Aparecerá a lista de domínios com cookies ou dados armazenados.
4. Para mais detalhes, ative o Modo Desenvolvedor (Safari > Ajustes > Avançado > Mostrar menu de Desenvolvimento na barra de menus)
5. Com o site aberto, vá em Desenvolvedor > Mostrar Ferramentas da Web > Armazenamento > Cookies

Ainda é comum receber pedidos para o envio de documentos pessoais por e-mail ou aplicativo. Às vezes é inevitável: um processo de contratação, abertura de conta ou matrícula escolar. O problema é que, uma vez enviado, aquele documento pode ser replicado, armazenado ou até compartilhado sem controle.

Uma dica simples, mas pouco falada, é aplicar uma marca d’água sobre o arquivo com o nome da empresa ou pessoa que está solicitando e a data do envio. Isso não impede o uso indevido, mas desestimula fraudes e ajuda a identificar a origem, caso o documento vaze ou apareça em algum lugar onde não deveria.

É o tipo de precaução que leva poucos segundos, mas que mostra que você está atento à forma como seus dados circulam. Pequenas atitudes, quando viram hábito, podem reduzir bastante o impacto de uma exposição.

O movimento é coerente com o avanço das políticas de rastreabilidade total nas transações financeiras. Mas levanta uma questão delicada: estamos preparados para abrir mão da privacidade financeira em nome da transparência absoluta?

Embora o combate a ilícitos seja legítimo, é preciso refletir sobre os impactos colaterais à privacidade. O uso de tecnologias voltadas ao anonimato não deve ser automaticamente associado a atividades criminosas. Muitos recorrem a moedas privadas por razões legítimas como proteger-se da vigilância excessiva, preservar sua autonomia financeira ou garantir segurança em contextos políticos e econômicos instáveis.

A equiparação automática entre anonimato e atividade ilícita é perigosa e revela como o direito à privacidade vem sendo gradualmente impactado por legislações que não fazem distinções.

O equilíbrio entre segurança e direitos fundamentais precisa ser discutido com mais profundidade. Do contrário, corremos o risco de normalizar a ideia de que a única transação aceitável é aquela que pode ser monitorada.

Funciona assim: cada dispositivo carrega uma série de características técnicas, como modelo do aparelho, tipo e versão do navegador, fuso horário, fontes instaladas, resolução da tela, idioma, extensões ativas, entre outras.

Quando combinadas, essas informações formam uma browser fingerprint única. É como se fosse uma identidade digital que te acompanha pelos sites, mesmo que você não tenha se identificado. E sim, isso acontece em segundo plano, sem pedir sua permissão.

Na prática, isso permite rastrear seus hábitos, cruzar dados e criar perfis detalhados para publicidade, precificação dinâmica e até negação de acesso a conteúdos ou serviços com base no seu comportamento.

Você pesquisa passagens aéreas e o preço sobe? Muda de site e o conteúdo parece te seguir? Essa “mágica” muitas vezes tem a ver com fingerprints.

Quer reduzir esse rastreamento? Use navegadores que bloqueiam esse tipo de coleta por padrão, como Brave ou Firefox com extensões como uBlock Origin, NoScript e CanvasBlocker. Desative plugins desnecessários e repense o uso do Chrome como padrão.

Não basta apagar o histórico. O que seu navegador revela sobre você pode ir muito além do que parece.

Esse é o dilema central do modelo conhecido como “Pay or OK”, também chamado de consent paywall.

Nesse formato, o usuário precisa escolher entre:

1. Pagar uma assinatura para acessar um site ou serviço, ou
2. Aceitar o tratamento de seus dados pessoais, geralmente para publicidade comportamental, perfilamento e compartilhamento com terceiros.

Sem escolher uma das opções, o acesso é bloqueado.

Exemplos reais desse modelo:

O grupo Meta (Facebook e Instagram) passou a oferecer aos usuários na Europa a opção de pagar uma assinatura para usar suas plataformas sem anúncios personalizados.

Diversos portais de notícias também vêm adotando esse modelo, condicionando o acesso gratuito à aceitação de cookies para fins publicitários.

Mas qual é o problema?

Embora a proposta pareça “justa” à primeira vista, existem sérios conflitos com os princípios da privacidade:

1. Consentimento pode deixar de ser livre, pois o usuário sente-se coagido a aceitar o uso de seus dados para evitar o pagamento.
2. Cria-se um mercado de dados pessoais, onde a privacidade se torna um luxo acessível apenas a quem pode pagar.
3. Desalinhamento com o GDPR e a LGPD, que exigem que o consentimento seja livre, informado e inequívoco e não resultado de uma escolha forçada.
4. Desigualdade digital, ao colocar em desvantagem quem não tem recursos para preservar sua própria privacidade.

Se você já achou que esses termos são sinônimos, não está sozinho, mas há diferenças importantes que vale a pena entender.

Segurança de Dados

É como trancar a porta da sua casa. O foco é evitar acessos não autorizados, vazamentos ou alterações indevidas nos dados.

Exemplos: criptografia, firewalls, controle de acesso.

Privacidade de Dados

É sobre respeitar o que pode ou não ser feito com seus dados pessoais. Quem pode ver? Para qual finalidade? Você autorizou?

Exemplos: consentimento, direito ao esquecimento, opt-out.

Proteção de Dados

É o “guarda-chuva” que cobre tanto a segurança quanto a privacidade. Une práticas técnicas, jurídicas e organizacionais para garantir o uso responsável e legal dos dados.

Exemplos: classificação de dados, avaliação de impacto à privacidade, gestão de riscos.

Enquanto segurança protege o acesso, privacidade protege o uso. E proteção de dados garante que tudo isso funcione de forma alinhada à lei.

Criamos documentos, políticas e treinamentos impecáveis do ponto de vista jurídico e técnico — mas esquecemos de torná-los compreensíveis para quem realmente importa: as pessoas que precisam entender e aplicar essas informações no dia a dia (colaboradores, parceiros e até os próprios titulares de dados).

A Privacidade não é um tema exclusivo do jurídico ou do time de segurança da informação.
É um compromisso coletivo. E, como todo compromisso coletivo, precisa ser comunicado de forma clara, simples e acessível.

Veja alguns exemplos práticos:

Linguagem técnica:

“Os dados pessoais serão tratados em conformidade com os princípios da finalidade, adequação e necessidade, observando os direitos dos titulares.”

“Consentimento é a manifestação livre, informada e inequívoca do titular concordando com o tratamento de seus dados.”

Linguagem simples:

“Vamos usar seus dados apenas quando for necessário, de forma adequada e para um motivo claro. E você pode sempre saber como usamos essas informações.”

“Consentimento é quando você concorda de forma clara e consciente que seus dados sejam usados.”

Quando tornamos os conceitos de privacidade acessíveis, aumentamos o engajamento, diminuímos erros e promovemos uma cultura de proteção de dados de verdade.

Metadados são, basicamente, informações sobre outras informações.

Por exemplo, no e-mail:

1. O conteúdo do seu e-mail (“Vamos almoçar amanhã?”) não é um metadado.

2. Já quem enviou, para quem foi enviado, quando foi enviado, qual o assunto e o tamanho do e-mail… tudo isso é metadado.

No celular:

1. Tirou uma foto? Além da imagem em si, seu celular registra data, hora, localização, modelo da câmera — tudo isso são metadados.

2. Fez uma ligação? O sistema registra para quem você ligou, quanto tempo durou a ligação, de onde você ligou.

E no ambiente de trabalho, um clássico:

1. Você usa um template de PowerPoint ou Word, mas esquece de alterar os metadados. O nome do autor ainda é do colega que criou o modelo. Às vezes, consta o nome de um cliente anterior, data antiga, título interno confidencial.

Isso é mais comum do que parece e pode gerar exposição indevida de informações sensíveis, constrangimentos ou até violação de contratos.

Sozinhos, esses dados podem parecer inofensivos, mas quando cruzados com outros, os metadados podem contar histórias completas, revelando padrões e intenções.

E o que isso tem a ver com privacidade?

Do ponto de vista de quem atua com proteção de dados, os metadados são um ponto crítico. Embora muitas leis, como a LGPD, foquem nos dados pessoais identificáveis, os metadados — quando combinados — podem ser altamente identificáveis e sensíveis.

O problema?

Muitos sistemas coletam e armazenam metadados sem transparência. E o usuário sequer imagina que esses dados existem — ou que podem ser usados para rastrear seus hábitos, preferências, saúde, rotina, localização, etc.

Como lidar com isso?

• Use navegadores e ferramentas que priorizam a privacidade
• Desative geolocalização em fotos, quando possível.
• Evite compartilhamentos desnecessários, especialmente com apps e dispositivos que monitoram mais do que deveriam (como algumas smart TVs, por exemplo).
• Questione: ao adotar uma nova tecnologia, pergunte-se “Que metadados estou gerando? Para onde eles vão?”

Você já tinha parado para pensar nos metadados do seu dia a dia? Já teve alguma experiência em que percebeu como esses dados revelam mais do que deveriam?

A CNIL (França) publicou em janeiro desse ano um guia prático e robusto para a realização do Transfer Impact Assessment (TIA) — uma exigência para empresas que transferem dados pessoais para fora do Espaço Econômico Europeu com base em cláusulas contratuais padrão (SCCs), regras corporativas vinculantes (BCRs), entre outros mecanismos do Art. 46 do GDPR.

Por que isso é importante?

A metodologia propõe uma abordagem estruturada em 6 etapas, baseada nas recomendações do EDPB, para garantir que os dados transferidos continuem sob um nível de proteção essencialmente equivalente ao exigido na União Europeia. Entre os destaques:

1. Mapeamento detalhado da transferência;
2. Identificação do instrumento jurídico utilizado;
3. Análise da legislação e práticas do país de destino;
4. Adoção de medidas complementares técnicas, contratuais e organizacionais, se necessário;
5. Implementação das medidas;
6. Reavaliações periódicas e monitoramento de mudanças.

E como isso se conecta com a LGPD?

Enquanto ainda aguardamos avanços por parte da ANPD na regulamentação de transferências internacionais de dados — como decisões de adequação, regras complementares e mecanismos alternativos ao modelo europeu — o uso da metodologia de TIA pode ser um instrumento estratégico e de boa prática para organizações brasileiras que operam internacionalmente.

Além disso, o TIA pode ser adaptado como uma forma de demonstrar boa-fé, diligência e responsabilidade no cumprimento do princípio da prestação de contas da LGPD, especialmente em situações de transferência com países sem decisões de adequação da União Europeia ou do Brasil.

1. Avalie a escala da conformidade

Determine quantos mercados estão no escopo para definir se a abordagem de conformidade será global, país a país ou híbrida.

2. Identifique fontes confiáveis

Consulte colegas da área de privacidade e equipes internas locais. Envolva especialistas regionais e órgãos reguladores. Sempre que necessário, busque recomendações de consultorias jurídicas locais.

3. Acompanhe os desenvolvimentos contínuos

Utilize recursos como a IAPP, LinkedIn, escritórios de advocacia, sites de reguladores, newsletters, listas de e-mails, seminários e conferências. Reserve um tempo diário para se manter atualizado.

4. Mensure o risco

Adote uma abordagem baseada em risco, considerando o tipo, a sensibilidade e a localização dos dados, bem como o impacto sobre os titulares e reguladores da jurisdição. Avalie também a reputação da empresa e sua tolerância e exposição ao risco.

5. Defina o foco

Priorize países com base na presença jurisdicional, na probabilidade de aplicação das normas e nas necessidades imediatas dos clientes e setores específicos.

6. Desenvolva uma estratégia

Estabeleça objetivos claros, indicadores-chave de desempenho (KPIs) e padrões baseados no inventário das operações da empresa, seus recursos, tolerância ao risco e capacidades. Revise e atualize a estratégia regularmente.

7. Audite de forma abrangente

Realize auditorias periódicas para identificar possíveis áreas de não conformidade. Não presuma que uma regulamentação de privacidade não se aplicará a uma organização apenas porque não tem um impacto imediato.

8. Evite silos jurídicos

Saia do isolamento jurídico dominado por documentação e solicitações legais, interagindo com as áreas de tecnologia , negócios, relações públicas, políticas públicas e outras equipes.

9. Diferencie privacidade e segurança cibernética

Embora interligadas, essas áreas possuem abordagens distintas de conformidade. Identifique quais jurisdições enfatizam mais a segurança dos dados e alinhe-se a estratégias globais ou específicas de cada país.

10. Pratique a humildade cultural

Nenhuma equipe de privacidade pode ser especialista em todas as culturas jurídicas, mas deve reconhecer que diferentes contextos legais exigem abordagens distintas para a conformidade.

Privacidade: É a garantia de que seus dados só serão acessados pelas partes às quais você deu permissão. Envolve controle sobre quem pode ver suas informações e como elas são usadas.

Segurança: Está relacionada à proteção contra acessos não autorizados e ataques. É a confiança de que as aplicações que você usa são seguras, os envolvidos são legítimos e seus dados estão protegidos contra ameaças.

Anonimato: Refere-se à capacidade de agir sem ser identificado de forma persistente. Em outras palavras, é a possibilidade de navegar ou interagir sem que sua identidade real seja rastreável.

Embora relacionados, esses conceitos não são sinônimos. Você pode ter segurança sem privacidade (exemplo: um sistema altamente seguro que coleta todos os seus dados) e privacidade sem anonimato (exemplo: usar um serviço que protege seus dados, mas ainda sabe quem você é).

No seu dia a dia, pense nesses conceitos como camadas de proteção digital. Entender essas diferenças é essencial para tomar decisões mais informadas sobre como proteger seus dados e sua identidade online.

É aí que entra o Privacy Washing. O termo, inspirado no “Greenwashing” (quando empresas dizem ser sustentáveis, mas não são), se refere a práticas onde empresas afirmam proteger a privacidade dos usuários, mas fazem o contrário. Em outras palavras, é uma forma de marketing contraditório, onde a organização foca em parecer que está comprometida com a privacidade, sem, de fato, adotar as medidas necessárias para garantir que os dados dos usuários sejam tratados de maneira segura e ética.

Como isso acontece?

• Empresas que promovem recursos de privacidade enquanto continuam coletando dados de forma oculta.
• Discurso de proteção aos usuários, mas sem mudanças reais nos processos internos.
• Promessas de controle sobre os dados que não são verdadeiramente cumpridas.

Caso da Apple

Recentemente, a Meta acusou a Apple de Privacy Washing e levou o caso ao CADE (Conselho Administrativo de Defesa Econômica). A alegação? A Apple introduziu regras mais rígidas para a coleta de dados por terceiros no iOS, mas continua coletando informações para seus próprios serviços sem restrições. Na prática, a Meta argumenta que a Apple se promove como defensora da privacidade enquanto impõe limitações a concorrentes—o que pode ser visto como uma estratégia para reforçar seu próprio domínio de mercado.

Caso da Google

Em 2023, o Google lançou um recurso no Chrome denominado “Enhanced Ad Privacy”. Embora o nome sugira maior privacidade, a funcionalidade permitia que o Google continuasse coletando dados dos usuários, enquanto limitava o acesso de outras empresas a essas informações, centralizando o controle dos dados e mantendo sua capacidade de direcionar anúncios.

Caso da Meta

A Meta lançou o Threads, um aplicativo semelhante ao Twitter. No entanto, ao se inscrever, os usuários estavam sujeitos a uma ampla coleta de dados, levantando preocupações significativas sobre privacidade. ​

O Privacy Washing não apenas engana os consumidores, mas também mina a confiança nas empresas e dificulta a identificação de serviços que realmente priorizam a privacidade. É essencial que as organizações sejam transparentes e alinhem suas práticas às promessas feitas ao público.

E você, já percebeu exemplos de Privacy Washing no seu dia a dia? Compartilhe comigo!

O desafio organizacional e cultural

“Por que mudar agora se sempre fizemos assim?”
“Isso só vai burocratizar nosso trabalho.”
“Nunca tivemos problemas antes.”

Se alguma dessas frases soa familiar, bem-vindo ao mundo da resistência cultural à privacidade! A mudança exige conscientização, liderança engajada e uma cultura que veja a privacidade como um diferencial estratégico, não apenas um requisito legal.

O desafio do orçamento

Privacidade muitas vezes não é vista como um investimento essencial – até que ocorra uma violação de dados. O desafio aqui é demonstrar que a implementação de um programa estruturado reduz riscos financeiros e protege a reputação da empresa.

Estratégias para virar o jogo

• Escolha do framework certo: ISO 27701, NIST Privacy Framework e outros ajudam a criar uma base sólida.
• Engajamento da alta liderança: A privacidade deve ser uma pauta estratégica, não apenas uma responsabilidade do jurídico ou da TI.
• Privacy Champions: Criar um time de embaixadores internos pode acelerar a adoção da cultura de privacidade.
• Investimento contínuo: Capacitação e tecnologia são essenciais para mitigar riscos e garantir conformidade.

Aqui entra o monitoramento e auditoria, ferramentas essenciais para transformar um programa de privacidade em algo vivo, eficaz e resiliente. Sem essas práticas, o risco de falhas, sanções e perda de confiança cresce exponencialmente.

Erros comuns das empresas:

• Criar políticas robustas, mas nunca testá-las na prática.
• Confiar cegamente que fornecedores e terceiros estão cumprindo os requisitos.
• Tratar auditorias apenas como um evento pontual e não como um processo contínuo.
• Não revisar e atualizar controles conforme mudanças no negócio e na legislação.

O que fazer para não cair nessa armadilha?

1. Monitoramento contínuo: Relatórios de painel, revisões e métricas claras sobre privacidade e segurança.
2. Auditorias internas e externas: Validação independente para identificar lacunas antes que se tornem problemas reais.
3. Testes e simulações: A eficácia dos controles só pode ser garantida se forem constantemente testados.
4. Planos de ação estruturados: Detectar falhas é importante, mas corrigir e acompanhar melhorias é o que realmente faz a diferença.

E a Alta Gestão?

Sem o apoio estratégico da liderança, um programa de monitoramento pode se tornar apenas um “checklist burocrático”. Para ser efetivo, precisa estar alinhado à governança corporativa e ser tratado como prioridade estratégica.

A 3ª Turma do Superior Tribunal de Justiça (STJ) consolidou um importante precedente sobre a responsabilidade dos fornecedores pelo vazamento de dados pessoais.

No julgamento do REsp 2.121.904/SP, o STJ decidiu que a responsabilidade objetiva se aplica quando há falha na proteção de dados do consumidor, independentemente da comprovação de culpa da empresa. O caso envolveu uma seguradora que expôs informações sensíveis de um segurado, levando à condenação por danos morais presumidos.

Pontos-chave da decisão:

• A proteção de dados pessoais deve seguir tanto a LGPD quanto o Código de Defesa do Consumidor (CDC).
• Empresas devem garantir a segurança das informações de clientes, sob pena de responsabilização.
• Vazamento de dados sensíveis presume dano moral, sem necessidade de comprovação adicional.
• A decisão amplia o entendimento de que dados não sensíveis também não podem ser compartilhados sem consentimento.

O que isso significa para empresas e consumidores?

Para empresas, reforça a necessidade de investimentos robustos em segurança da informação e governança de dados. Para consumidores, reafirma o direito à proteção de seus dados e à indenização em caso de falhas.

Privacidade e proteção de dados são temas estratégicos e jurídicos de alta relevância. Esse precedente pode impactar diretamente práticas empresariais e futuras ações judiciais envolvendo dados pessoais.

Esta semana, assisti a série Zero Day, da Netflix, estrelada por Robert De Niro. A trama mistura conspiração cibernética, ataques hackers e desinformação, trazendo um suspense instigante e, ao mesmo tempo, um alerta sobre os desafios da segurança digital. O título da série faz referência a um conceito na cibersegurança: as vulnerabilidades Zero Day.

O que é um Zero Day?

Em termos simples, uma vulnerabilidade Zero Day é uma falha de segurança desconhecida pelo fabricante do software ou sistema. Isso significa que não há correção disponível, tornando-se uma oportunidade de ouro para atacantes explorarem a falha antes que possa ser corrigida. Hackers, governos e cibercriminosos frequentemente buscam essas vulnerabilidades para realizar ataques sofisticados.

Principais lições da série

O ataque cibernético na série foi projetado para prejudicar o país, no caso EUA, explorando várias vulnerabilidades de zero day simultaneamente em diferentes plataformas, incluindo iOS, Android, Windows e sistemas críticos de infraestrutura, como grades de energia e controle de tráfego aéreo. Essa greve sincronizada leva a interrupções generalizadas, pânico e perda de vidas. Além do suspense, Zero Day levanta questões relevantes para o mundo real:

• A guerra cibernética já é uma realidade – Ataques digitais podem desestabilizar governos, empresas e a sociedade.
• A desinformação amplifica os riscos – Em um mundo onde fake news se espalham rapidamente, ataques cibernéticos podem ser usados para manipular percepções e influenciar decisões estratégicas.
• Privacidade e segurança caminham juntas – O vazamento de dados pode ser a porta de entrada para ataques, reforçando a necessidade de boas práticas de proteção.

🎭 Uma ótima dica para a semana do Carnaval! 🎭

Se você prefere um programa mais tranquilo ou quer alternar entre a folia e um bom suspense, Zero Day é uma excelente escolha! A série não só prende a atenção, mas também nos faz refletir sobre os desafios da cibersegurança no mundo atual.

A resposta está na integração de 12 domínios essenciais, que garantem uma abordagem abrangente para mitigar riscos, garantir conformidade e fortalecer a confiança dos clientes.

1. Governança de Privacidade
   A base de tudo! Estruturas, responsabilidades e papéis bem definidos são essenciais para garantir que a privacidade seja um pilar da organização.

2. Mapeamento e Inventário de Dados
   Você sabe onde estão os dados pessoais tratados pela sua empresa? Sem um inventário preciso, não há como proteger o que não se conhece.

3. Gestão de Riscos e Controles de Privacidade
   Identificar, avaliar e mitigar riscos é essencial para evitar incidentes e manter a conformidade regulatória.

4. Gerenciamento Regulatório
   Acompanhar mudanças em leis como LGPD e GDPR é um desafio constante. Processos estruturados garantem que a empresa esteja sempre em conformidade.

5. Gerenciamento do Ciclo de Vida dos Dados
   Desde a coleta até o descarte, cada etapa do tratamento de dados deve ser planejada para minimizar riscos e atender às regulamentações.

6. Políticas, Avisos de Privacidade e Consentimento
   Transparência com titulares de dados não é só um requisito legal, mas um fator essencial para a confiança do consumidor.

7. Processos e Procedimentos de Privacidade
   Privacidade não pode ser apenas um conceito – deve ser operacionalizada através de fluxos de trabalho bem definidos.

8. Segurança da Informação aplicada à Privacidade
   Não existe privacidade sem segurança! Controles como criptografia, gestão de acessos e monitoramento contínuo são indispensáveis.

9. Gerenciamento de Privacidade em Terceiros e Fornecedores
   Seu parceiro de negócios também protege dados pessoais? Monitoramento contínuo e contratos bem estruturados evitam surpresas desagradáveis.

10. Treinamentos e Conscientização em Privacidade
    A cultura de privacidade começa com pessoas bem treinadas. Sua empresa capacita regularmente seus colaboradores sobre proteção de dados?

11. Gerenciamento de Incidentes de Privacidade
    Quando um incidente acontece, a resposta rápida pode determinar o impacto. Processos estruturados garantem reação eficiente e comunicação adequada.

12. Monitoramento e Auditoria
    A privacidade não pode ser um projeto com data para acabar. O monitoramento contínuo garante melhoria constante e alinhamento com as melhores práticas. Privacidade é um processo contínuo!

Esses são os pilares essenciais para uma governança de privacidade eficaz. Mas cada empresa tem desafios específicos e precisa adaptar essas práticas à sua realidade.

Os frameworks de privacidade surgem como guias estratégicos, oferecendo diretrizes estruturadas para implementação de boas práticas. Alguns dos mais reconhecidos incluem:

NIST Privacy Framework – Foco na gestão de riscos de privacidade de forma integrada ao negócio.

ISO 27701 - ajuda empresas a estruturar um Sistema de Gestão de Privacidade.

CIS Controls Privacy Guide – Alinha segurança da informação e privacidade, integrando proteções essenciais.

ICO Data Protection Audit Framework – Criado pelo órgão regulador do Reino Unido, ótimo para auditorias e conformidade.

Framework Gov.br – Voltado para instituições públicas, mas também útil para empresas privadas no Brasil.

Mas qual framework é o ideal para sua organização?

A resposta depende de fatores como maturidade da empresa, exigências regulatórias e recursos disponíveis. Algumas empresas adotam um modelo híbrido, combinando elementos de diferentes frameworks para atender suas necessidades específicas.

Primeiro ponto importante: Não, você não precisa de uma certificação para começar a trabalhar com privacidade e proteção de dados.

Entretanto, possuir uma certificação pode ser um diferencial significativo. Ela demonstra e comprova seu conhecimento técnico e teórico, posicionando você de maneira mais competitiva no mercado. Atualmente, as certificações mais reconhecidas nacional e internacionalmente são as oferecidas pela IAPP (International Association of Privacy Professionals) e pela EXIN. Existem outras certificações, mas, na minha opinião, não possuem a mesma relevância.

Nível de Dificuldade

Na minha experiência, os exames da IAPP são mais desafiadores do que os da EXIN. Eles exigem uma dedicação maior, com horas intensas de estudo e um planejamento robusto. Para quem está começando, o exame da EXIN pode ser mais acessível. Se você já trabalha com privacidade, terá mais facilidade com os exames da EXIN, bastando focar na legislação, whitepapers da certificadora e realizar simulados.

Por outro lado, se você ainda não tem experiência na área, será necessário se dedicar mais, mas o nível de dificuldade continua acessível. Já as certificações da IAPP exigem um aprofundamento maior em conceitos teóricos e práticos, além de um estudo consistente e organizado.

Qual a melhor estratégia: começar pela IAPP ou pela EXIN?

A resposta depende do seu objetivo profissional e do seu orçamento.

• Se você busca oportunidades no mercado internacional, as certificações da IAPP são a melhor escolha. Elas têm reconhecimento global e são muito valorizadas fora do Brasil.
• Se o seu foco é o mercado nacional e você possui um orçamento mais limitado, começar pelas certificações da EXIN pode ser uma excelente estratégia. Elas têm bom custo-benefício e são bem reconhecidas no Brasil.

Lembre-se de que os exames são cotados em dólar e podem representar um investimento significativo, então planeje-se com cuidado.

Outras certificações para expandir seu conhecimento

Além da IAPP e da EXIN, existem outras certificações, como a ITCerts, que podem agregar valor ao seu currículo ao atestar conhecimentos específicos:

• ISO 27557 (Gestão de Riscos de Privacidade)
• ISO 29134 (Avaliação de Impacto sobre a Privacidade)
• ISO 29100 (Estrutura de Privacidade)
• Privacy by Design e outros.

Essas certificações são ideais para quem deseja aprofundar-se em áreas específicas da privacidade e diversificar suas qualificações.

Se você está em dúvida sobre qual certificação buscar ou como se preparar para os exames, me envie uma mensagem. Ficarei feliz em ajudar!

Eu entendo o ponto deles, porque muitas vezes fico pensando na melhor forma de responder quando me fazem a mesma pergunta. Se percebo que a pessoa não está familiarizada com a área, geralmente digo algo mais genérico, como: “Sou advogado especializado em privacidade e proteção de dados, e atuo com gerenciamento de projetos nessa área.” Mas, frequentemente, isso leva à pergunta seguinte: “O que exatamente isso significa?”

A profissão de especialista em privacidade e proteção de dados ganhou destaque especialmente após o advento de regulamentações como o GDPR e, mais recentemente no Brasil, com a LGPD. Foram com essas legislações que as empresas passaram a adotar práticas mais robustas e proativas em relação à privacidade, criando uma demanda crescente por profissionais qualificados nessa área.

Para quem não está familiarizado, o trabalho em privacidade e proteção de dados, especialmente no contexto de gerenciamento de projetos, envolve desenvolver e implementar estratégias, políticas e ferramentas que garantam que os dados pessoais sejam tratados com segurança, transparência e conformidade com a legislação. Isso inclui desde mapear fluxos de dados em uma organização até realizar avaliações de impacto à privacidade. Também é comum atuar como ponto de contato entre diferentes equipes, como jurídico, tecnologia e negócios, para alinhar processos e práticas de forma que respeitem os requisitos regulatórios. Outro aspecto central é planejar e supervisionar iniciativas de adequação, além de monitorar continuamente a maturidade do programa de privacidade da empresa. Meu trabalho exige tanto habilidades jurídicas quanto de gerenciamento de projetos, e é muito gratificante ver os resultados tangíveis dessas iniciativas na forma de maior confiança dos clientes e mitigação de riscos organizacionais.

E você, que também trabalha com privacidade ou proteção de dados, como responde quando perguntam: “O que você faz?”

Entre reuniões, tarefas e compromissos, navegamos pela internet em ritmo frenético, clicando, comprando e aceitando termos em um piscar de olhos. O nosso dia é corrido e não lemos cada palavra, mas fazemos suposições rápidas. As empresas aproveitam essa característica humana para criar interfaces que parecem dizer uma coisa, mas na verdade significam outra. O resultado? Você acaba realizando ações que nunca pretendeu, seja uma compra não desejada, uma assinatura não solicitada ou cessão involuntária dos seus dados pessoais.

Agora você conhece o lado obscuro do design digital: Dark Patterns ou Padrões Obscuros.

• Conheça os truques usados em sites e aplicativos que fazem você fazer coisas que não queria

• Centenas de exemplos de padrões enganosos usados por empresas em todo o mundo

1. Quem está na internet não precisa se preocupar com privacidade

Estar na internet não significa abrir mão da privacidade. Seus dados pessoais, hábitos de navegação e interações são valiosos e podem ser usados para diversos fins, como publicidade direcionada ou até mesmo para influenciar decisões. A privacidade online é essencial para proteger sua identidade e evitar abusos.

2. Eu não sou um criminoso, então não preciso me preocupar com privacidade

Privacidade não é uma questão de estar certo ou errado, mas sim de controlar quem tem acesso aos seus dados. Mesmo pessoas que não cometem crimes podem ser alvo de roubo de identidade, espionagem ou manipulação de informações. Proteger seus dados é proteger sua liberdade e segurança.

3. Por que eu deveria me importar com privacidade? Não me incomoda receber anúncios

O problema não é só receber anúncios, mas o que as empresas sabem sobre você para personalizá-los. Elas coletam informações detalhadas sobre seus interesses, comportamentos e localização. Isso pode ser utilizado para influenciar decisões e até criar perfis psicológicos. Respeitar sua privacidade é limitar o quanto terceiros sabem sobre sua vida.

4. Desativar o GPS garante que ninguém saiba onde eu estou

Desativar o GPS ajuda a proteger sua localização em tempo real, mas não garante que outros rastreamentos não estejam ocorrendo. Aplicativos e sites podem usar outros meios, como o endereço IP e conexões de Wi-Fi, para rastrear sua localização aproximada. A privacidade vai além de simplesmente desativar o GPS.

5. Se o serviço é de graça, você é o produto

Essa frase é parcialmente verdadeira, pois muitas plataformas gratuitas monetizam os dados dos usuários por meio de publicidade e outros serviços. É importante estar ciente de quais dados estão sendo coletados e como são usados, para que você possa tomar decisões informadas sobre sua privacidade.

A privacidade é um direito fundamental que todos devem valorizar, independentemente de seu perfil ou comportamento online. Proteger seus dados vai muito além de evitar anúncios indesejados; é uma questão de garantir sua segurança, liberdade e evitar abusos.

Em um mundo cada vez mais digitalizado, a biometria se tornou parte integrante de nossa rotina, trazendo praticidade e segurança. No entanto, o uso constante e repetitivo dessa tecnologia tem gerado um efeito colateral preocupante: a chamada “fadiga da biometria”.

Este termo tenta traduzir a exaustão mental que experimentamos devido às constantes solicitações de nossos dados biométricos. A cada desbloqueio de smartphone, login bancário ou acesso a aplicativos, somos bombardeados com pedidos de impressões digitais, reconhecimento facial ou leitura de íris. Essa demanda incessante pode nos levar a um estado de automatismo perigoso.

A coleta constante dessas informações pode tornar a ação tão automática a ponto de nos desvincularmos da tomada de decisões conscientes sobre nossa privacidade, levando-nos a compartilhar nossos dados biométricos sem compreender as finalidades da coleta e os riscos associados.

A fadiga da biometria não é apenas um incômodo pessoal, mas um problema sistêmico com implicações de longo alcance. À medida que nos tornamos dessensibilizados para o valor de nossos dados biométricos, corremos o risco de normalizar práticas de coleta de dados cada vez mais invasivas. Isso pode criar um cenário preocupante em que a privacidade individual é sacrificada em nome da conveniência e da eficiência tecnológica.

Este cenário se torna ainda mais alarmante quando consideramos as questões éticas e legais associadas à coleta indiscriminada de dados biométricos. Com o avanço da inteligência artificial e da análise de big data, esses dados podem ser usados para finalidades que vão além do seu propósito original, como vigilância em massa, perfilamento comportamental ou discriminação algorítmica. É fundamental que empresas e governos sejam transparentes sobre o uso desses dados e que os cidadãos tenham o direito de questionar, limitar ou revogar o consentimento para o uso de suas informações biométricas.

Como profissionais e usuários, devemos nos perguntar: estamos realmente cientes do valor e da sensibilidade de nossos dados biométricos?

Se você se preocupa com a privacidade, saiba que existe um guia fantástico para manter seus dados seguros e privados: Privacy Guides. O site oferece recomendações detalhadas sobre os melhores aplicativos, navegadores e configurações para garantir que sua privacidade seja sempre uma prioridade.

Escolha de Aplicativos: Orientações sobre quais aplicativos respeitam a privacidade dos usuários. Encontre recomendações confiáveis para substituir aqueles apps que podem comprometer seus dados.

Configurações Otimizadas: Dicas detalhadas sobre como configurar seus aplicativos e navegadores para maximizar a segurança e a privacidade.

Boas Práticas de Segurança: Informação atualizada sobre as melhores práticas para proteger sua privacidade online, desde o uso de senhas fortes até a implementação de criptografia.

Faça da privacidade uma prioridade em sua vida digital!