Rafael Capitão — #privacy-rocks

Nada a esconder, tudo a proteger

2026-06-01T13:46:00Z

Já arrancou a etiqueta da caixa da Amazon e jogou direto no lixo?

Quando falamos em privacidade, a conversa quase sempre corre para apps, senhas e ferramentas online. Mas a privacidade física é tão importante quanto... pensa naquela etiqueta de entrega da encomenda do Mercado Livre, Amazon ou Shopee que você arranca da caixa e joga fora inteira, ali está seu nome completo, endereço, telefone e às vezes até o que você comprou. Um prato cheio para quem souber procurar.

Mesmo em 2026, ainda lidamos com uma quantidade surpreendente de papel, como recibos, faturas, documentos médicos, contratos, etiquetas de correspondências. Juntos, eles formam um retrato detalhado da sua vida, ou seja, um prato cheio para golpistas e para o roubo de identidade.

A solução é simples e velha de guerra: uma boa trituradora, que transforma o documento em confete impossível de remontar. As de corte em tiras? Esquece. Quem tem tempo e paciência remonta com fita adesiva.

Não tem uma trituradora? Existem outras opções:

Um carimbo de segurança (aquele que borra os dados) resolve para o dia a dia.
Sem nenhum dos dois? Respira fundo, tenha paciência e pique BASTANTE o papel (confete, não tirinha).
Ou queime! Funciona muito bem. (Mas, por favor, com responsabilidade e longe da cortina) Ah... lembre-se papel picado costuma ser reciclável = Privacidade + meio ambiente. ♻️

A regra é destruir tudo com dados pessoais, mesmo o que parece insignificante. Fique atento! CPF, endereço, dados bancários e outros. Em uma vida cada vez mais digital, é fácil esquecer os riscos do papel. Não esqueça do mundo físico.

Talvez não tenhamos nada a esconder, mas temos tudo a proteger.

LinkedIn realiza varreduras secretas no Chrome

2026-05-07T16:55:00Z

O LinkedIn está lendo seu navegador e o Google Chrome permite isso. O LinkedIn faz uma leitura silenciosa das extensões instaladas no Chrome dos seus usuários sem qualquer menção na política de privacidade. O caso ficou conhecido como BrowserGate, uma investigação detalhada publicada na semana passada pela Fairlinked eV, uma associação europeia de usuários comerciais do LinkedIn. O BleepingComputer confirmou de forma independente o comportamento de varredura por meio de seus próprios testes.

O script verifica primeiro se você está no Chrome antes de executar qualquer varredura. Os navegadores como Firefox e Safari não são afetados e o Brave bloqueia o envio dos dados antes que saiam do navegador.

E qual a correção para isso? Simples, troque de navegador. Se privacidade importa para você, fuja do Chrome.

Resistência cultural é o maior desafio da privacidade

2026-04-24T01:26:00Z

Depois de anos trabalhando na implementação e na gestão de programas de privacidade em setores como saúde, telecomunicações e varejo, aprendi uma lição que nenhum framework técnico ensina: o desafio jurídico e tecnológico é, em muitos casos, mais simples de resolver do que o desafio cultural.

Frases como "sempre fizemos assim", "nunca tivemos problemas antes" ou "essas regras só vão atrapalhar o trabalho" são muito mais comuns do que se imagina e não aparecem apenas nos níveis operacionais. Elas surgem em reuniões de liderança, em revisões de contratos e até nos bastidores de projetos de transformação digital. E representam um risco para o programa de privacidade, não tanto porque alguém age de má-fé, mas porque a privacidade, quando não compreendida, vira sinônimo de obstáculo.

A resistência cultural se alimenta principalmente da falta de contexto. Quando as pessoas não entendem por que a privacidade importa (por exemplo, os riscos de um incidente, as obrigações que a LGPD impõe e o impacto reputacional de uma notificação à ANPD) o programa de privacidade se transforma em mais um processo burocrático a ser tolerado, não em uma prática integrada à rotina.

Na prática, a estratégia para superar essa resistência passa por três caminhos que aprendi a combinar.

Primeiro, engajar a liderança, não com apresentações genéricas sobre compliance, mas mostrando os riscos reais (incidentes, sanções, perda de confiança do titular) e o valor estratégico de um programa maduro. Segundo, investir em comunicação e capacitação contínua, com linguagem acessível e exemplos do próprio negócio, não de cartilha. Terceiro, identificar e desenvolver embaixadores do programa dentro das áreas de negócio, com pessoas que entendem o tema e mantêm a cultura viva no cotidiano, entre um treinamento e o próximo.

Aproveitando esse gancho, escrevi um artigo "A Difícil Missão de Conscientizar a Organização em Privacidade e Proteção de Dados" que integrará um livro coletivo com outros especialistas da área. A publicação está prevista para julho, e assim que tiver mais detalhes trago aqui para vocês.

Novas capas para a newsletter Privacy Rocks

2026-04-19T13:20:00Z

Eu já estava ficando enjoado da mesma capa na minha newsletter Privacy Rocks. Mudar só o número a cada edição funcionava, mas começou a parecer mais um carimbo. Estava repetitivo e sem vida. A partir de agora, cada edição da Privacy Rocks vai ter uma capa própria, criada para refletir o tema daquela edição, não apenas identificá-lo. Olha como ficou a versão da próxima newsletter, que será publicada amanhã.

Auditoria de privacidade não é ameaça

2026-04-16T13:43:00Z

Implementar um programa de privacidade é o ponto de partida. Saber se ele está funcionando de verdade é o que separa a conformidade verdadeira de conformidade de papel.

Já vi organizações com políticas impecavelmente redigidas, processos mapeados, controles formalizados, e que, diante de um incidente, não conseguiram demonstrar uma evidência sequer de que aqueles controles eram aplicados no dia a dia. O programa existia no papel, mas a auditoria não havia sido feita.

É exatamente isso que a auditoria de privacidade vem revelar, se o que está documentado também acontece na prática. Se o risco mapeado no RIPD foi de fato mitigado. Se os processos acompanharam mudanças regulatórias e operacionais. Se os indicadores refletem o estado real do programa e não apenas o que gostaríamos que fosse verdade.

Ela pode assumir formatos diferentes, como uma autoavaliação conduzida pela própria equipe, auditoria interna com critérios formalizados, ou avaliação independente por terceiros. Em organizações com programas mais maduros, os três coexistem e se complementam. Na prática de compliance, essa camada de verificação é frequentemente o que transforma intenção em evidência.

A ISO 27701 incorpora o ciclo de melhoria contínua ao sistema de gestão de privacidade, e auditorias regulares fazem parte estrutural desse modelo. A ANPD, por sua vez, já sinalizou que a capacidade de demonstrar conformidade por meio de evidências documentadas é um fator relevante na dosimetria das sanções, conforme a Resolução CD/ANPD nº 4/2023.

Auditoria não é punição nem sinal de fraqueza. Precisamos considerar ela como oportunidade de identificar falhas antes que elas se tornem um problema verdadeiro. Tratar a auditoria como parte natural do ciclo de gestão, e não como evento extraordinário, é o que define um programa que realmente funciona.

O truque do infravermelho para achar câmeras ocultas

2026-04-12T20:53:00Z

Você não precisa comprar nenhum aplicativo para detectar câmeras escondidas.

Basta garantir que o ambiente esteja escuro, abrir o aplicativo da câmera do seu celular e girá-lo lentamente em 360 graus pelo cômodo. As câmeras infravermelhas, como as usadas em dispositivos de vigilância oculta, aparecem como pequenos pontos brancos ou azulados na tela. Isso acontece porque o sensor da câmera capta luz infravermelha, que é invisível a olho nu.

Essa é uma técnica usada por cinemas para detectar dispositivos de gravação não autorizada. E funciona mesmo! Aprendi isso há alguns anos para verificar quartos de hotel. Hoje faz parte da minha rotina de check-in.

Salva esse post! Da próxima vez que você entrar em um quarto de hotel/Airbnb, vai lembrar o que precisa fazer.

Sharenting: o risco de expor seus filhos online

2026-04-10T00:12:00Z

O hábito de compartilhar fotos e histórias dos filhos online parece inofensivo. Antes de postar uma foto do seu filho, pergunte-se: ele aprovaria isso daqui a dez anos? O sharenting (sharing + parenting) pode afetar privacidade, autoestima e segurança da criança no futuro.

Vejam esse vídeo, reflete muito bem essa realidade e nos provoca um certo desconforto e desespero.

Segurança e Privacidade se complementam mas não se confundem

2026-04-09T11:15:00Z

Segurança da informação e privacidade são áreas que se complementam, mas não são sinônimas. Confundir as duas ou tratar uma como subconjunto da outra cria lacunas de conformidade e de proteção.

O que cada uma faz?

A segurança da informação protege sistemas, redes e dados contra acessos não autorizados, vazamentos e ataques. Seus instrumentos são técnicos: criptografia, controle de acesso, DLP, SIEM, operações de SOC. A pergunta central é "quem pode acessar o quê e como impedimos acessos indevidos".

A privacidade faz perguntas diferentes. Esses dados deveriam existir em primeiro lugar? A coleta é proporcional à finalidade declarada? O uso atual é compatível com o que foi informado ao titular? A privacidade não protege apenas o dado, ela protege a pessoa por trás dele.

Um sistema pode ser tecnicamente seguro e ainda assim violar a privacidade se os dados estiverem sendo usados para outros fins.

Onde isso aparece na prática?

Implementação de DLP - A ferramenta monitora e bloqueia saída de dados. Mas sem uma análise de privacidade prévia, a configuração pode criar monitoramento desproporcional de colaboradores, sem base legal clara e sem que os titulares tenham sido informados.

Resposta a incidentes - A equipe de segurança identifica um vazamento e quer preservar logs para investigação forense. A equipe de privacidade precisa avaliar: quais dados foram expostos, quem precisa ser notificado, em qual prazo e com qual conteúdo. Sem processos integrados, a organização chega atrasada na notificação à ANPD.

Projetos com ferramentas de IA - A segurança quer restringir o uso de ferramentas não aprovadas. A privacidade precisa mapear quais dados pessoais estão sendo inseridos, por quem e com qual finalidade. Sem essa conversa, o bloqueio técnico existe, mas o mapeamento de risco não.

Onboarding de fornecedores - O time de segurança faz assessment técnico do fornecedor. O time de privacidade avalia o DPA, as bases legais, a cadeia de suboperadores e os mecanismos de transferência internacional. Sem integração, a organização aprova um fornecedor tecnicamente seguro mas juridicamente exposto.

O que acontece quando não há essa integração?

Já vi casos em que a segurança implementou controles de monitoramento de endpoints sem qualquer envolvimento de privacidade. E o resultado? Colaboradores monitorados sem aviso adequado, dados coletados além do necessário, e a organização exposta a reclamações trabalhistas e questionamentos regulatórios.

O caminho oposto também acontece com programas de privacidade bem estruturados no papel, mas sem qualquer controle técnico por trás.

A maturidade está na integração entre as duas áreas, com processos conectados e boa comunicação. Isso exige decisão, estrutura e clareza sobre onde cada área começa e onde termina.

Pequenas e médias empresas também precisam se adequar à LGPD

2026-04-07T11:30:00Z

Existe um mito persistente no mercado de que a LGPD é coisa de empresa grande. Que PMEs (Pequenas e Médias Empresas) ficam de fora ou têm obrigações reduzidas. Isso não é verdade e continua custando caro para quem acredita nisso.

A LGPD se aplica a qualquer empresa que realize tratamento de dados pessoais no Brasil, independentemente do porte, desde que as atividades se enquadrem nas hipóteses da lei. A Resolução CD/ANPD nº 2/2022 criou um regime diferenciado para agentes de pequeno porte, com algumas flexibilizações procedimentais, como a dispensa de indicação formal de encarregado e prazos diferenciados para atendimento de solicitações de titulares, mas as obrigações centrais da LGPD continuam se aplicando integralmente.

O que muda para as PMEs é principalmente a forma e a profundidade da implementação. Uma empresa com 20 colaboradores não precisa de um escritório de privacidade com equipe dedicada. Mas precisa saber quais dados trata, ter uma base legal para cada tratamento, informar seus clientes e colaboradores sobre o uso dos dados e ter um processo mínimo para responder a solicitações de titulares. Isso é o básico e o básico ainda falta em boa parte das empresas.

Na prática, os pontos mais críticos para PMEs costumam ser três: o compartilhamento de dados com fornecedores sem qualquer cláusula contratual de proteção; o uso de ferramentas de terceiros (CRMs, plataformas de marketing, armazenamento em nuvem) sem avaliar minimamente quem está atuando como operador; e a ausência de qualquer canal ou procedimento para atender um titular que queira saber o que a empresa faz com seus dados.

Esses não são problemas caros de resolver. São problemas de organização e de cultura de privacidade.

A boa notícia é que a implementação para empresas menores pode ser mais ágil e menos custosa do que parece. Com um bom mapeamento dos dados tratados, cláusulas contratuais adequadas com fornecedores-chave, políticas compatíveis com o contexto da empresa e um fluxo básico de resposta a incidentes e solicitações de titulares, já é possível alcançar um nível razoável de conformidade. Não estou falando aqui de perfeição, mas de proporcionalidade.

A ANPD já demonstrou que o porte é um fator de dosimetria de sanções, não uma imunidade. A Resolução CD/ANPD nº 4/2023, que trata da dosimetria das penalidades, prevê o porte da empresa como critério de graduação, mas não como condição de isenção. Portante, a empresa pode pagar menos, mas ainda pode ser autuada e responsabilizada.

O programa de privacidade não termina na implementação

2026-04-01T11:46:00Z

Um dos equívocos mais recorrentes que observo nas organizações é tratar a implementação do programa de privacidade como um projeto com escopo fechado e data de entrega.

O ambiente regulatório não para. A ANPD publica novas resoluções, orientações técnicas e notas de esclarecimento com frequência crescente. Basta acompanhar o histórico recente, com as Resoluções CD/ANPD nº 4/2023 e nº 15/2024 alterando de forma significativa o que se espera dos controladores. A jurisprudência também evolui, e decisões administrativas da própria ANPD começam a delinear como a autoridade interpreta conceitos que a lei deixou em aberto.

Os negócios também mudam, talvez mais rápido do que a regulação. Novos produtos, novos sistemas, novas parcerias, novas operações em outros países. Cada mudança relevante nos processos de negócio pode impactar o mapeamento de dados, as bases legais utilizadas, a cadeia de operadores envolvidos e os controles de segurança aplicáveis. Ignorar esse movimento é assumir um risco silencioso que se acumula ao longo do tempo.

Por isso, o monitoramento contínuo não é acessório. É estrutural. Na prática, isso se traduz em autoavaliações periódicas de conformidade, auditorias internas com critérios definidos, testes de efetividade dos controles técnicos e organizacionais, revisão dos indicadores de desempenho do programa e, nas organizações com maior maturidade, avaliações independentes conduzidas por terceiros qualificados.

A ISO 27701 é direta sobre esse ponto. O Sistema de Gestão de Privacidade da Informação exige ciclos regulares de revisão e melhoria contínua. O modelo PDCA, que orienta as etapas de Planejar, Executar, Verificar e Agir, é o mecanismo que mantém o programa calibrado à realidade do negócio e do ambiente regulatório. Não por acaso, a mesma lógica estrutura a ISO 27001 e, mais recentemente, a ISO 42001, voltada à gestão de sistemas de inteligência artificial.

Não podemos pensar que monitoramento é desconfiança da organização, mas simplesmente maturidade institucional. É o mecanismo que transforma um programa de privacidade implementado em um programa de privacidade efetivo, e que mantém o DPO (Data Protection Officer) em condições de responder com segurança quando a ANPD, um cliente ou um parceiro de negócios perguntar como a organização garante que o programa realmente funciona.

Quando o dado pessoal vaza

2026-03-30T12:02:00Z

Nenhuma organização quer passar por um incidente de privacidade. Mas as que estão melhor preparadas são as que conseguem mitigar os danos com mais eficiência quando ele acontece e a diferença entre uma resposta eficaz e uma crise devastadora costuma estar nos processos construídos antes do incidente, não durante.

A LGPD, no artigo 48, obriga o controlador a comunicar à ANPD e ao titular qualquer incidente de segurança que possa acarretar risco ou dano relevante. A Resolução CD/ANPD nº 15/2024 trouxe critérios mais claros sobre o que constitui esse risco, os prazos de notificação e o conteúdo mínimo da comunicação, tornando o plano de resposta não apenas uma boa prática, mas uma exigência regulatória concreta.

Na prática, um plano de resposta a incidentes precisa responder a perguntas básicas antes que o incidente ocorra: quem fica responsável pela coordenação? Quais são os critérios para avaliar a gravidade e a relevância do risco ao titular? Qual é o prazo interno de análise antes da notificação à ANPD? Quem deve ser comunicado internamente?

Atuando diariamente com o tema, vejo de perto como essa integração entre privacidade e segurança da informação é indispensável e muitas vezes subestimada. Um incidente de segurança pode ou não gerar um incidente de privacidade, e essa avaliação precisa ser feita com critério técnico e jurídico.

Registrar e analisar os incidentes ao longo do tempo também é fundamental, e não apenas para fins de conformidade. Os padrões que emergem nesses registros revelam vulnerabilidades sistêmicas, falhas de processo, gaps de treinamento, terceiros com controles insuficientes, que precisam ser endereçadas de forma estruturada.

Preparação não é burocracia. É o que diferencia uma resposta controlada de uma exposição desnecessária.

Treinamento de privacidade que funciona

2026-03-27T03:05:00Z

Uma organização pode ter toda a documentação em dia, políticas aprovadas, sistemas implementados, e ainda assim ter um problema sério de privacidade. O motivo, na maioria das vezes, é simples: as pessoas não sabem o que fazer, ou pior, sabem e não consideram relevante.

Treinamento e conscientização são pilares fundamentais de qualquer programa de privacidade maduro. Não basta que a liderança esteja alinhada. Cada colaborador que lida com dados pessoais no dia a dia, seja no RH, no atendimento, na área comercial ou na TI, precisa entender suas responsabilidades concretas, não apenas assinar um termo de ciência.

O programa de treinamento precisa ser modular e adaptado ao contexto de cada área. Isso vale para qualquer setor. Por exemplo, em Telecom, o atendente que consulta dados cadastrais de milhões de clientes tem uma exposição completamente diferente do engenheiro de rede que configura a infraestrutura. Dar o mesmo treinamento para perfis tão distintos é desperdiçar a única oportunidade de criar consciência mais assertiva.

Na prática, o formato também importa. Pílulas de privacidade, conteúdos curtos, objetivos e conectados a situações do cotidiano, têm uma taxa de absorção muito superior a treinamentos longos e genéricos. O colaborador não precisa virar especialista, mas precisa saber identificar uma situação de risco e saber a quem recorrer.

Um elemento que potencializa o programa é a figura dos Privacy Champions, que são colaboradores de diferentes áreas que se tornam pontos focais de privacidade nos seus times. Eles reforçam a cultura no dia a dia, respondem dúvidas simples e ajudam a identificar situações de risco antes que se tornem incidentes. É governança distribuída e que funciona.

Privacidade e gestão de fornecedores

2026-03-24T19:19:00Z

Quando uma empresa contrata um fornecedor que vai ter acesso a dados pessoais de clientes ou colaboradores, as obrigações da LGPD não ficam para trás. Elas acompanham o dado para onde ele for.

A lei distingue controlador e operador: o controlador é quem define a finalidade e a forma do tratamento; o operador é quem realiza o tratamento seguindo as orientações do controlador. O artigo 39 da LGPD obriga o operador a tratar os dados apenas conforme as instruções do controlador. E o artigo 48 torna ambos responsáveis, em determinadas situações, por incidentes que envolvam dados pessoais.

Isso tem implicações contratuais diretas. Todo contrato com fornecedores que processam dados pessoais precisa conter cláusulas específicas: finalidade do tratamento, medidas técnicas e organizacionais de segurança, vedação de uso para outros fins, obrigações em caso de incidente e critérios de auditoria.

Mas formalizar o contrato não é suficiente. É necessário fazer due diligence antes de contratar. Verificar se o fornecedor tem um ambiente de controles adequado, políticas de privacidade e segurança, e se está em conformidade com as regulamentações aplicáveis. Na minha atuação esse processo também passa pelo alinhamento com a área de Segurança da Informação. Não adianta o jurídico aprovar um contrato se a TI não avaliou os controles técnicos do fornecedor.

O inventário de dados pessoais é a ferramenta que permite identificar quais fornecedores têm acesso a quais dados e, portanto, precisam passar por esse processo. Sem o inventário, a gestão de terceiros fica cega e a empresa não sabe nem por onde começar.

A gestão de fornecedores não é só uma exigência legal. É uma decisão estratégica de risco. Pense que um incidente causado por um operador despreparado gera responsabilidade compartilhada, dano reputacional e exposição regulatória direta para o controlador, independentemente de quem falhou.

Quem assina o contrato sem fazer a devida diligência está terceirizando o serviço, mas não o risco.

Privacidade desde a concepção

2026-03-23T22:59:00Z

O conceito de Privacy by Design surgiu há décadas, mas ganhou força regulatória com o GDPR (General Data Protection Regulation ) e, no Brasil, com a LGPD (Lei Geral de Proteção de Dados). O artigo 46, parágrafo 2º, da nossa lei já prevê a adoção de medidas de segurança "desde a concepção" dos produtos e serviços.

Na prática, isso significa que privacidade não pode ser um ajuste de último momento. Quando uma empresa desenvolve um novo produto digital, uma nova funcionalidade ou um novo processo que envolva dados pessoais, as proteções precisam estar planejadas desde o início, e não adicionadas depois que tudo já está pronto.

A ISO 31700 foi desenvolvida justamente para orientar a implementação do Privacy by Design em produtos e sistemas, oferecendo requisitos e diretrizes práticas para diferentes contextos.

O benefício vai além da conformidade. Sistemas construídos com privacidade em mente tendem a ser mais seguros, mais eficientes no uso de dados e menos propensos a gerar incidentes. O custo de corrigir um problema de privacidade depois que o produto está no ar é sempre maior do que o de preveni-lo no projeto.

Privacidade desde a concepção não é luxo de empresa grande. É uma prática que qualquer organização pode e deve incorporar ao seu processo de desenvolvimento.

Política x Aviso de Privacidade

2026-03-19T21:46:00Z

Uma dúvida que aparece com frequência durante a implementação de programas de privacidade é "Qual a diferença entre política de privacidade e aviso de privacidade?" A distinção prática é importante.

A política de privacidade é um documento interno, voltado para os colaboradores da organização. Ela orienta como os funcionários devem lidar com dados pessoais no dia a dia, quais são as práticas permitidas, quais são as restrições e quais são os canais para reportar dúvidas ou incidentes.

O aviso de privacidade é o documento público, voltado para os titulares de dados: clientes, usuários, candidatos a vagas. Ele deve informar, de forma clara e acessível, quais dados são coletados, para qual finalidade, com base em qual hipótese legal, por quanto tempo serão retidos, se são compartilhados com terceiros e como o titular pode exercer seus direitos. O artigo 9º da LGPD detalha os requisitos de transparência que devem estar presentes nesse documento.

Ambos precisam ser revisados periodicamente e estar alinhados às práticas reais da empresa. Um aviso de privacidade que não reflete o que a empresa de fato faz com os dados não serve de proteção jurídica. Pelo contrário, pode agravar a situação em caso de questionamento.

A transparência não é só uma obrigação legal. É a forma mais concreta de demonstrar respeito pelos titulares de dados.

Bases legais na LGPD

2026-03-17T22:15:00Z

Toda vez que uma empresa trata dados pessoais, precisa ter uma razão jurídica para isso. A LGPD chama isso de base legal, e o artigo 7º da lei lista as hipóteses válidas para dados comuns. Para dados sensíveis, as hipóteses estão no artigo 11, e são mais restritas.

O consentimento é a base mais conhecida, mas está longe de ser a mais utilizada no dia a dia empresarial. Nas relações de trabalho, por exemplo, o tratamento de dados de colaboradores normalmente se fundamenta no cumprimento de obrigação legal ou no contrato. Nas relações com clientes, pode ser o legítimo interesse ou a execução contratual, dependendo do contexto.

Escolher a base legal errada ou não documentar a escolha são erros que aparecem com frequência nos programas de privacidade mal estruturados. E isso tem consequência, como por exemplo, a ANPD questionar a licitude do tratamento, o que pode levar a sanções e à obrigação de cessar o tratamento dos dados.

Um detalhe prático importante é que a base legal precisa ser definida antes do início do tratamento, e não depois. E deve estar refletida no aviso de privacidade que a empresa disponibiliza aos titulares.

Entender bases legais não é detalhe técnico-jurídico, mas um fundamento para operar com segurança.

Mitos sobre a LGPD no Brasil

2026-03-12T22:04:00Z

A noyb.eu publicou um artigo desmistificando 5 equívocos sobre proteção de dados no contexto europeu. Inspirado nesse texto, fiz o exercício de trazer o foco para o Brasil e a LGPD.

Os equívocos por aqui são parecidos.

Equívoco 1: "A LGPD obriga os sites a usar banners de cookies."

Não. A LGPD exige base legal para tratar dados. Se a empresa escolhe o consentimento, ela precisa coletá-lo de forma válida: livre, informada e inequívoca (art. 8º). O banner é uma escolha da empresa, não uma imposição da lei. E, na prática, muitos são projetados para maximizar aceite, não para garantir escolha real. O Guia de Cookies da ANPD é claro sobre isso.

Equívoco 2: "As empresas precisam temer a ANPD."

Ainda não, infelizmente. A ANPD construiu uma estrutura regulatória relevante, mas seu enforcement efetivo ainda é incipiente. A primeira sanção veio só em 2023. Casos envolvendo grandes empresas seguem sem desfecho sancionatório expressivo.

Equívoco 3: "Sem publicidade personalizada, o modelo digital quebra."

A indústria diz que precisa rastrear você para sobreviver. Essa alegação é, no mínimo, controversa.

Publicidade contextual, conteúdo pago, merchandising, freemium, os modelos alternativos existem, funcionam e não dependem do seu histórico de navegação.

A questão não é sobrevivência. É preferência por um modelo que monetiza comportamento alheio sem transparência.

Equívoco 4: "A LGPD atrapalha os negócios."

A proteção de dados pessoais é direito fundamental no Brasil desde a EC nº 115/2022 (art. 5º, LXXIX, CF). Legislação tributária, trabalhista e ambiental também "atrapalham" e ninguém questiona sua legitimidade. Conformidade com a LGPD é governança, não custo.

Equívoco 5: "Os titulares estão abusando do direito de acesso."

No Brasil, o problema é o oposto. A maioria das pessoas não sabe que pode exercer os direitos do art. 18 da LGPD. E quando tenta, frequentemente recebe silêncio ou resposta incompleta. A ANPD já sinalizou isso como uma das principais causas de reclamações.

Mapeie os dados da sua empresa

2026-03-11T21:36:00Z

Parece uma pergunta simples. Mas a maioria das empresas, quando confrontada com ela de forma honesta, não consegue respondê-la com precisão.

O mapeamento e inventário de dados é um dos pilares de qualquer programa de privacidade. Ele permite que a organização tenha uma visão clara de quais dados pessoais processa, em quais sistemas, por quais processos de negócio, por quanto tempo e com quais terceiros esses dados são compartilhados.

Sem esse mapa, fica impossível gerenciar riscos, responder às solicitações de titulares dentro dos prazos legais ou tomar decisões informadas sobre como tratar os dados. A LGPD impõe obrigações que dependem diretamente desse conhecimento, como as bases legais para cada tratamento (art. 7º), a retenção adequada e o descarte seguro.

O inventário também é a porta de entrada para identificar quais fornecedores e parceiros têm acesso a dados pessoais, o que gera obrigações contratuais específicas que muitas empresas ainda ignoram.
A boa prática recomenda revisar esse inventário ao menos uma vez por ano e sempre que houver mudanças relevantes nos processos de negócio.

Não precisa ser perfeito para começar. Precisa começar!

Conhecer os dados que você trata é o primeiro passo para protegê-los de verdade.

Governança de privacidade

2026-03-10T21:08:00Z

Quando falamos em implementar um programa de privacidade, governança é o ponto de partida. Sem uma estrutura clara de papéis, responsabilidades e processos, qualquer iniciativa corre o risco de se tornar superficial.

O que significa ter governança de privacidade na prática?

Significa que a organização sabe quem é responsável pelo quê. Que existe um Encarregado de Proteção de Dados, o famoso DPO, com acesso direto à alta liderança. Que há um time ou escritório de privacidade funcionando com processos definidos. E que KPIs são monitorados para que a gestão acompanhe os resultados.

A LGPD, em seu artigo 50, já trata da importância de um programa de governança em privacidade, elencando critérios que as organizações devem observar. A ANPD, por sua vez, publicou guias específicos sobre o tema, reforçando a necessidade de documentação e demonstração de conformidade.

Um detalhe que é muito importante e faz diferença: a governança precisa ser comunicada! Não basta criar estruturas internas se as pessoas da organização não sabem que elas existem e como se conectam a elas.

A governança de privacidade que funciona não é burocracia. É o que permite que a proteção de dados seja tratada com a seriedade que ela merece, em todos os níveis da empresa.

Privacidade sem travar projetos

2026-03-10T16:06:00Z

O sistema já estava em produção quando me avisaram!

Nenhuma avaliação de privacidade, nenhum mapeamento de dados, nenhum DPA com o fornecedor. Fui chamado depois, para "resolver". E a resposta que recebi quando perguntei por que não tinham me acionado antes foi direta: "achamos que você ia travar o projeto."

Ali ficou claro que eu tinha um problema de posicionamento, não de compliance.

A área de negócio não estava agindo de má-fé. Estava desviando de um processo que, na visão dela, só servia para atrasar. E parte da culpa era minha: eu aparecia nas reuniões falando em base legal, RIPD obrigatório e risco regulatório, sem nenhuma conexão com o que eles estavam tentando entregar.

Mudei a abordagem. Comecei a entrar nas conversas mais cedo, antes do projeto ganhar tração. Parei de falar em artigos da LGPD e passei a falar em prazo, reputação e custo de correção tardia. Troquei "isso está irregular" por "aqui está como a gente resolve isso sem parar o projeto".

A avaliação de privacidade deixou de ser obstáculo e virou parte natural do fluxo. Não porque a lei mudou, mas porque a conversa mudou.

Se você trabalha com privacidade, já passou por algo parecido?

Frameworks de privacidade

2026-03-09T16:02:00Z

Quando uma empresa decide estruturar um programa de privacidade, uma das primeiras perguntas é: por onde começar? A resposta depende do contexto, e isso não é um problema, é uma vantagem.

O NIST Privacy Framework é um dos referenciais mais conhecidos, desenvolvido de forma colaborativa nos EUA para ajudar organizações a identificar e gerenciar riscos de privacidade de forma prática e adaptável. A ISO 27701, por sua vez, estabelece os requisitos para um Sistema de Gestão de Privacidade da Informação, funcionando como extensão da ISO 27001 e se alinhando diretamente à LGPD e ao GDPR, inclusive na separação de responsabilidades entre controladores e operadores.

Para organizações públicas brasileiras, o Framework de Privacidade e Segurança da Informação do Gov.br é referência obrigatória. Empresas privadas também podem usá-lo como ponto de diagnóstico.

Há ainda um framework menos citado no Brasil, mas bastante relevante para programas maduros: o GAPP, desenvolvido pelo AICPA/CICA. Ele organiza a privacidade em dez princípios geralmente aceitos, como gestão, aviso, consentimento, coleta, uso, retenção, acesso, segurança e monitoramento. É especialmente útil em auditorias e avaliações de maturidade, porque oferece critérios objetivos para medir conformidade.

A escolha do framework ideal depende do setor, do porte e do estágio da organização. Mas adotar qualquer um deles já representa um avanço real em relação a operar sem nenhuma estrutura.

Privacidade sem fronteiras

2026-03-05T21:27:00Z

Até o final de 2024, mais de 80% dos países já tinham alguma legislação relacionada à proteção de dados pessoais. Esse número, apontado pela Conferência das Nações Unidas sobre Comércio e Desenvolvimento, diz muito sobre a direção que o mundo tomou.

O Brasil, com a LGPD em vigor desde 2020, está alinhado a essa tendência global. A nossa lei foi fortemente inspirada no GDPR europeu, o regulamento que se tornou referência mundial no tema e que prevê multas de até 4% do faturamento global anual para infrações graves.

No contexto brasileiro, a LGPD estabelece penalidades de até 2% do faturamento anual, limitadas a R$ 50 milhões por infração. Não são valores simbólicos.

O que esse cenário internacional nos mostra é que a conformidade com leis de privacidade deixou de ser um diferencial e passou a ser uma exigência de mercado. Empresas que operam em múltiplos países, ou que têm fornecedores e clientes no exterior, precisam entender que as obrigações não param nas fronteiras.

Mais do que isso: clientes e parceiros de negócios já observam se as empresas com quem se relacionam têm práticas sérias de proteção de dados. Esse critério está cada vez mais presente em processos de due diligence e contratação.

O cenário mudou. Quem se adapta agora, sai na frente.

Privacidade como negócio

2026-03-04T22:58:00Z

Existe uma percepção bastante comum nas empresas, especialmente nas menores, de que adequar-se à LGPD é só uma obrigação legal, algo que se faz para não levar multa. Essa visão, além de limitada, pode custar caro.

A Lei Geral de Proteção de Dados está em vigor desde 2020 e a ANPD vem amadurecendo seu processo sancionatório de forma consistente. Em 2023, com a Resolução CD/ANPD nº 4, ficaram definidos os critérios de dosimetria das sanções, o que deixou o cenário ainda mais concreto para as empresas que ainda adiam o tema.

Mas o ponto que mais me interessa não é a multa. É a reputação.

Uma empresa que sofre um incidente de dados e não tem um programa de governança estruturado perde algo muito mais difícil de recuperar do que dinheiro: a confiança de clientes, parceiros e colaboradores. E no mercado atual, isso tem peso nos negócios.

Implementar um sistema de gestão de privacidade não é só sobre estar em conformidade. É sobre demonstrar que a organização trata dados pessoais com seriedade, responsabilidade e respeito. Isso vira diferencial competitivo.

A boa notícia é que existem caminhos práticos para começar, independentemente do tamanho da empresa.

Nas próximas publicações, vou compartilhar os fundamentos desse processo, com base na minha experiência prática de implementação.

Quando a privacidade não é só sua

2026-02-03T15:45:00Z

Quando comecei a trabalhar com privacidade e proteção de dados, virei aquela pessoa mais cuidadosa, talvez até um pouco “chatinha”, com meus próprios dados. Passei a prestar atenção em onde guardo arquivos, fotos, informações pessoais. Fiquei mais seletivo, mais consciente dos riscos e das exposições que escolho assumir. Exagero? Talvez. Mas é um cuidado que faço questão de ter.

O curioso é perceber como esse cuidado é frágil quando não depende só de você.

Eu, por exemplo, evito usar ferramentas de IA que transformam fotos em quadrinhos, personagens, versões “melhoradas” ou estilizadas. Nunca usei com minhas imagens e, principalmente, nunca com as fotos dos meus filhos. Até o dia em que recebi uma mensagem de um pai, amigo do meu filho, com a legenda: “Super-heróis em ação”.

Antes mesmo de abrir a imagem, pensei: “Não acredito”. E era exatamente isso. Ele havia enviado a foto das crianças para um sistema de IA transformar em personagens de desenho. A intenção era boa, a brincadeira era inocente, mas o incômodo veio na hora.

A situação até tem um lado engraçado, mas ilustra bem um ponto importante: não adianta você ter cuidado, entender riscos e fazer escolhas conscientes se as pessoas ao seu redor não têm a mesma percepção ou sequer sabem que há riscos envolvidos.

É aí que a privacidade deixa de ser um tema individual e passa a ser coletivo. Conscientização importa. Conversas simples importam. Porque, no fim, não se trata de paranoia, mas de escolhas informadas sobre algo que diz respeito a todos nós.

Quando filhos viram conteúdo

2025-11-27T03:00:00Z

Aquela foto fofa do aniversário, o vídeo engraçado no parquinho, a rotina escolar nos stories. Tudo isso parece inofensivo, mas o sharenting vai muito além de registros afetivos. Estamos falando de exposição massiva, criação de uma identidade digital sem consentimento e, em muitos casos, de lucro direto com a imagem de crianças.

O cenário se complica quando influenciadores transformam seus filhos em produtos. Cada post, parceria ou clique vira parte de uma engrenagem comercial, onde a criança se torna conteúdo e a linha entre afeto e exploração simplesmente desaparece. Não por acaso, cresce o entendimento de que essa prática deveria ser tratada como trabalho infantil, já que pais lucram enquanto os filhos vivem com consequências que podem durar anos, como privacidade violada, dados expostos e impactos emocionais que só aparecem mais tarde.

Um caso recente na Vara de Família de Rio Branco (AC) reforça esse alerta. A juíza proibiu os pais de superexpor o filho nas redes sociais, destacando que a proteção da criança deve prevalecer sobre qualquer interesse dos adultos, inclusive o de manter presença online. A decisão sinaliza um movimento jurídico importante sobre os limites da exposição digital na infância.

O documentário “The Dangers of Sharenting” aprofunda esse debate e mostra como a exposição precoce pode afetar autonomia, segurança e o futuro dessas crianças. O documentário traz ainda elatos que incomodam e e nos fazem pensar...

Até onde vai o direito dos pais de decidir pela exposição dos filhos?

IA: produto ou serviço?

2025-11-25T03:00:00Z

A discussão sobre classificar a Inteligência Artificial como produto ou serviço vem ganhando espaço na Europa. Esse tema já influencia diretamente a estrutura regulatória, mas o reflexo chega também ao Brasil, mesmo sem um marco específico como o AI Act. Aqui, a LGPD, o Código de Defesa do Consumidor e as normas setoriais ajudam a construir as primeiras interpretações, que se tornam essenciais à medida que a IA passa a compor processos críticos em setores como saúde, varejo, finanças e gestão pública.

No campo conceitual, a discussão sobre IA como produto ou serviço se torna mais clara quando observamos como essas tecnologias são entregues e operadas. Em muitos casos, a IA chega ao mercado como um produto, algo fechado e padronizado, semelhante a um software tradicional. Exemplos incluem um modelo de visão computacional embarcado em uma câmera de segurança, um app que usa IA para reconhecer documentos ou um assistente digital integrado a um smartphone. Aqui, o desempenho é relativamente previsível e a responsabilidade tende a recair sobre quem desenvolve e disponibiliza o sistema.

Em outros contextos, a IA funciona como serviço. O valor não está apenas no modelo, mas no trabalho contínuo de quem treina, ajusta, integra, monitora e interpreta os resultados. Plataformas de IA generativa usadas para criar conteúdos sob demanda, soluções de detecção de fraude ajustadas para cada cliente, ou modelos que dependem de dados e pipelines específicos são bons exemplos. Nessas situações, a qualidade depende da execução técnica e da experiência profissional, o que aproxima a responsabilidade de um regime típico de prestação de serviços.

A fronteira entre produto e serviço é cada vez mais tênue, e muitos modelos operam de forma híbrida. Entender essa distinção ajuda empresas a definir obrigações, estabelecer controles e reduzir riscos em todo o ciclo de vida da IA.

Sua IA usa seus dados

2025-11-16T02:20:00Z

Toda vez que você usa uma ferramenta de IA generativa, pode estar alimentando o próximo modelo de linguagem com suas informações. Parece exagero, mas não é. A maioria das plataformas coleta seus prompts, conversas e dados por padrão, e muita gente nem desconfia disso.

A boa notícia é que dá para mudar esse cenário com alguns ajustes simples. O primeiro passo, e o mais importante, é desativar a opção de compartilhamento de dados para treinamento. Isso geralmente está escondido nas configurações de privacidade, com nomes como “Melhore o modelo para todos” ou “Use meus dados para treinamento”. Desligar essa chave já reduz drasticamente sua exposição.

Outra alternativa é usar os modos temporários ou incógnitos que algumas plataformas oferecem. Eles não salvam o histórico e evitam que suas conversas alimentem futuros treinamentos, embora ainda fiquem registradas por um período para fins de segurança. Não é perfeito, mas ajuda.

Mas o hábito mais eficaz mesmo é adotar a minimização de dados: trate essas ferramentas como ambientes públicos. Antes de colar qualquer texto, revise e remova dados pessoais como nomes, endereços, dados da empresa. Lembre-se, quanto menos você compartilha, menor o rastro que deixa.

Se você usa IA no ambiente corporativo, provavelmente já está mais protegido. Os planos empresariais costumam garantir contratualmente que seus dados não serão usados para treinar modelos. Ainda assim, vale conferir.

Golpe silencioso de IA

2025-11-09T10:44:00Z

Você atende uma ligação. Do outro lado, apenas silêncio.

Parece inofensivo, mas pode ser o primeiro passo de uma fraude sofisticada.

Criminosos utilizam esses segundos de ligação para capturar sua voz e, com ferramentas de inteligência artificial, conseguem reproduzi-la com fidelidade impressionante. A partir daí, podem se passar por você em pedidos de transferência de dinheiro, mensagens a familiares ou até contatos de trabalho.

O risco não está apenas no prejuízo financeiro, mas no uso indevido de um dado extremamente sensível: a sua própria voz. Quando explorada de forma indevida, pode comprometer sua identidade digital, abrir brechas para golpes em diferentes canais e até ser reutilizada em fraudes de autenticação que dependem de reconhecimento por voz.

Vivemos um momento em que dados pessoais são coletados e manipulados de formas cada vez mais sofisticadas e o "golpe silencioso" mostra como pequenas interações, como atender uma ligação, podem se transformar em grandes riscos quando combinadas ao avanço da tecnologia e ao uso malicioso da inteligência artificial.

Como se proteger:

Desconfie de chamadas mudas;
Não diga “sim” de imediato;
Bloqueie e denuncie números suspeitos;
Nunca compartilhe dados pessoais em ligações não solicitadas;
Combine palavras de segurança com familiares;
Confirme pedidos de ajuda por outro canal (vídeo, mensagem, pessoalmente).

Conscientizar-se sobre esse tipo de ameaça é essencial. Estar atento a detalhes e desconfiar de contatos inesperados podem fazer diferença para evitar que sua própria voz seja transformada em uma arma contra você.

Onde a privacidade deve ficar?

2025-11-08T23:46:00Z

Nos últimos anos, tenho visto uma discussão recorrente nas empresas, principalmente naquelas que ainda estão iniciando o seu programa de privacidade, afinal, onde a função de privacidade deve ficar? Em segurança, TI, jurídico, compliance?

A definição sobre onde posicionar a área de privacidade continua sendo um dos pontos mais estratégicos dentro das empresas. Segurança, TI, Jurídico e Compliance são atores fundamentais, mas nenhum deles abrange sozinho toda a complexidade da privacidade.

A experiência tem mostrado que, embora execução e suporte sejam distribuídos entre várias áreas, a liderança e a responsabilidade pela governança de privacidade devem estar sob Jurídico ou Compliance.

Esse modelo garante independência, consistência e alinhamento entre exigências regulatórias, riscos e operações.

Mais do que um tema técnico, a privacidade é um assunto de governança corporativa. Onde ela está na estrutura diz muito sobre como a empresa enxerga o tema, como requisito de segurança ou como valor estratégico que sustenta confiança e reputação.

O teatro dos banners de cookies

2025-10-23T23:51:00Z

Seja honesto comigo, quantas vezes você leu uma política de cookies antes de clicar em "aceitar tudo"? Eu chuto que a resposta é próxima de zero. E olha, eu não te julgo. Faço a mesma coisa.

Na verdade, vou confessar algo pior: eu nem vejo mais esses banners. Uso bloqueador de anúncios que também bloqueia avisos de cookies. Simplesmente não aparecem na minha tela. Navego tranquilo, sem pop-ups, sem interrupções, sem aquela sensação de estar sendo perseguido por uma caixa pedindo permissão a cada site que visito.

Mas isso levanta uma questão importante, se tanta gente ignora ou simplesmente bloqueia esses avisos, qual é o real propósito deles? A ideia original era boa. Dar controle ao usuário sobre quais dados podem ser coletados durante a navegação (cookies de desempenho, de marketing, de análise). Teoricamente, você escolhe o que aceita.

Na prática, porém, virou teatro. Os banners são desenhados para cansar. Botões enormes para "aceitar tudo" e links microscópicos para personalizar. A maioria das pessoas clica no caminho mais fácil só para continuar lendo o que estava lendo. E quem usa bloqueador? Bem, simplesmente pula essa etapa toda.

Então, é necessário ler políticas de cookies? Tecnicamente, sim. Principalmente se você se importa com rastreamento, publicidade direcionada e compartilhamento de dados com terceiros. Mas a verdade é que o formato atual não convida ninguém a ler. E enquanto isso não mudar, vamos continuar clicando em "aceitar" ou, no meu caso, nem vendo o aviso aparecer.

Políticas feitas para não ler

2025-10-21T23:53:00Z

Vamos combinar uma coisa: ninguém lê política de privacidade. Eu sei, você sabe, as empresas sabem. E o pior é que elas contam com isso.

A maioria dessas políticas é escrita para ser complicada. Parágrafos intermináveis, termos jurídicos e letras miúdas que cansam os olhos antes mesmo de você entender o que está em jogo. Às vezes, tenho a impressão de que a complexidade é proposital. Afinal, quanto menos você entende, menos você questiona.

O problema não está só na dificuldade de leitura. Está na falta de clareza sobre o que realmente importa: como seus dados serão usados, com quem serão compartilhados e, principalmente, como serão protegidos.

E sabe o que é mais frustrante? As empresas só costumam ser responsabilizadas quando algo dá errado. Quando acontece uma violação de dados ou quando o manuseio irresponsável de informações vira escândalo público. Lembra do caso Cambridge Analytica? Pois é. Só quando a bomba explode é que vemos movimentação. Até lá, boa parte das práticas de coleta e uso de dados passa despercebida.

Existem dois sites que podem facilitar a sua vida, o PrivacySpy e o Terms of Service; Didn’t Read analisam políticas de privacidade e termos de uso, destacando o que é preocupante e o que é positivo em cada empresa.

Vale a pena consultar antes de criar uma conta ou baixar um app. Ler ou ao menos entender uma política de privacidade é o primeiro passo para proteger seus dados e exercer o controle que, na prática, é seu por direito.

Anonimizar não resolve tudo

2025-09-11T17:06:00Z

Um ponto que muitas vezes passa despercebido quando falamos de privacidade e proteção de dados: o que acontece com o dado antes da anonimização?

Muitos acreditam que basta anonimizar depois e o problema está resolvido. Mas não é bem assim.

Até que os dados sejam efetivamente anonimizados, eles continuam sendo considerados dados pessoais e, portanto, sujeitos à LGPD.

Isso significa que o controlador precisa aplicar uma base legal (art. 7º ou 11 da LGPD) para a coleta e qualquer tratamento inicial antes da anonimização.

A própria ANPD reforça isso em seu "estudo técnico sobre anonimização de dados na LGPD: análise jurídica".

O ato inicial do processo de anonimização é tratamento de dado pessoal, logo, exige base legal.
A anonimização, por si só, não legitima um tratamento irregular. Se a coleta foi feita sem fundamento, a posterior anonimização não “conserta” a irregularidade.
A anonimização deve ser vista como um processo contínuo, iniciado sobre dados pessoais identificáveis, e enquanto não concluído, o risco de reidentificação mantém a aplicação integral da LGPD.

Portanto, sempre que houver coleta para posterior anonimização, é obrigatório aplicar uma base legal.

E você, já se deparou com situações em que a coleta foi feita sem pensar nesse detalhe?

Pay or OK: escolha forçada

2025-05-07T01:59:00Z

Você aceitaria pagar para manter sua privacidade?

Esse é o dilema central do modelo conhecido como “Pay or OK”, também chamado de consent paywall.

Nesse formato, o usuário precisa escolher entre:

Pagar uma assinatura para acessar um site ou serviço, ou
Aceitar o tratamento de seus dados pessoais, geralmente para publicidade comportamental, perfilamento e compartilhamento com terceiros.

Sem escolher uma das opções, o acesso é bloqueado.

Exemplos reais desse modelo:

O grupo Meta (Facebook e Instagram) passou a oferecer aos usuários na Europa a opção de pagar uma assinatura para usar suas plataformas sem anúncios personalizados.

Diversos portais de notícias também vêm adotando esse modelo, condicionando o acesso gratuito à aceitação de cookies para fins publicitários.

Mas qual é o problema?

Embora a proposta pareça “justa” à primeira vista, existem sérios conflitos com os princípios da privacidade:

Consentimento pode deixar de ser livre, pois o usuário sente-se coagido a aceitar o uso de seus dados para evitar o pagamento.
Cria-se um mercado de dados pessoais, onde a privacidade se torna um luxo acessível apenas a quem pode pagar.
Desalinhamento com o GDPR e a LGPD, que exigem que o consentimento seja livre, informado e inequívoco e não resultado de uma escolha forçada.
Desigualdade digital, ao colocar em desvantagem quem não tem recursos para preservar sua própria privacidade.

Privacidade em linguagem clara

2025-04-04T02:08:00Z

Em muitos projetos de privacidade, vejo um ponto sendo negligenciado: a linguagem.

Criamos documentos, políticas e treinamentos impecáveis do ponto de vista jurídico e técnico — mas esquecemos de torná-los compreensíveis para quem realmente importa: as pessoas que precisam entender e aplicar essas informações no dia a dia (colaboradores, parceiros e até os próprios titulares de dados).

A Privacidade não é um tema exclusivo do jurídico ou do time de segurança da informação.
É um compromisso coletivo. E, como todo compromisso coletivo, precisa ser comunicado de forma clara, simples e acessível.

Veja alguns exemplos práticos:

Linguagem técnica:

"Os dados pessoais serão tratados em conformidade com os princípios da finalidade, adequação e necessidade, observando os direitos dos titulares."

"Consentimento é a manifestação livre, informada e inequívoca do titular concordando com o tratamento de seus dados."

Linguagem simples:

"Vamos usar seus dados apenas quando for necessário, de forma adequada e para um motivo claro. E você pode sempre saber como usamos essas informações."

"Consentimento é quando você concorda de forma clara e consciente que seus dados sejam usados."

Quando tornamos os conceitos de privacidade acessíveis, aumentamos o engajamento, diminuímos erros e promovemos uma cultura de proteção de dados de verdade.

Entendendo os metadados

2025-03-28T02:25:00Z

Você já ouviu falar em metadados? Mesmo que o nome pareça técnico demais, eles fazem parte do seu dia a dia — e dizem muito sobre você.

Metadados são, basicamente, informações sobre outras informações.

Por exemplo, no e-mail:

O conteúdo do seu e-mail ("Vamos almoçar amanhã?") não é um metadado.
Já quem enviou, para quem foi enviado, quando foi enviado, qual o assunto e o tamanho do e-mail... tudo isso é metadado.

No celular:

Tirou uma foto? Além da imagem em si, seu celular registra data, hora, localização, modelo da câmera — tudo isso são metadados.
Fez uma ligação? O sistema registra para quem você ligou, quanto tempo durou a ligação, de onde você ligou.

E no ambiente de trabalho, um clássico:

Você usa um template de PowerPoint ou Word, mas esquece de alterar os metadados. O nome do autor ainda é do colega que criou o modelo. Às vezes, consta o nome de um cliente anterior, data antiga, título interno confidencial.

Isso é mais comum do que parece e pode gerar exposição indevida de informações sensíveis, constrangimentos ou até violação de contratos.

Sozinhos, esses dados podem parecer inofensivos, mas quando cruzados com outros, os metadados podem contar histórias completas, revelando padrões e intenções.

E o que isso tem a ver com privacidade?

Do ponto de vista de quem atua com proteção de dados, os metadados são um ponto crítico. Embora muitas leis, como a LGPD, foquem nos dados pessoais identificáveis, os metadados — quando combinados — podem ser altamente identificáveis e sensíveis.

O problema?

Muitos sistemas coletam e armazenam metadados sem transparência. E o usuário sequer imagina que esses dados existem — ou que podem ser usados para rastrear seus hábitos, preferências, saúde, rotina, localização, etc.

Como lidar com isso?

Use navegadores e ferramentas que priorizam a privacidade
Desative geolocalização em fotos, quando possível.
Evite compartilhamentos desnecessários, especialmente com apps e dispositivos que monitoram mais do que deveriam (como algumas smart TVs, por exemplo).
Questione: ao adotar uma nova tecnologia, pergunte-se “Que metadados estou gerando? Para onde eles vão?”

Você já tinha parado para pensar nos metadados do seu dia a dia? Já teve alguma experiência em que percebeu como esses dados revelam mais do que deveriam?

Transferência internacional e TIA

2025-03-28T02:22:00Z

Transferência internacional de dados: como avaliar riscos com base em uma metodologia prática?

A CNIL (França) publicou em janeiro desse ano um guia prático e robusto para a realização do Transfer Impact Assessment (TIA) — uma exigência para empresas que transferem dados pessoais para fora do Espaço Econômico Europeu com base em cláusulas contratuais padrão (SCCs), regras corporativas vinculantes (BCRs), entre outros mecanismos do Art. 46 do GDPR.

Por que isso é importante?

A metodologia propõe uma abordagem estruturada em 6 etapas, baseada nas recomendações do EDPB, para garantir que os dados transferidos continuem sob um nível de proteção essencialmente equivalente ao exigido na União Europeia. Entre os destaques:

Mapeamento detalhado da transferência;
Identificação do instrumento jurídico utilizado;
Análise da legislação e práticas do país de destino;
Adoção de medidas complementares técnicas, contratuais e organizacionais, se necessário;
Implementação das medidas;
Reavaliações periódicas e monitoramento de mudanças.

E como isso se conecta com a LGPD?

Enquanto ainda aguardamos avanços por parte da ANPD na regulamentação de transferências internacionais de dados — como decisões de adequação, regras complementares e mecanismos alternativos ao modelo europeu — o uso da metodologia de TIA pode ser um instrumento estratégico e de boa prática para organizações brasileiras que operam internacionalmente.

Além disso, o TIA pode ser adaptado como uma forma de demonstrar boa-fé, diligência e responsabilidade no cumprimento do princípio da prestação de contas da LGPD, especialmente em situações de transferência com países sem decisões de adequação da União Europeia ou do Brasil.

Conformidade global em privacidade

2025-03-21T02:30:00Z

A seguir 10 recomendações para conformidade global com leis de Privacidade e Proteção de Dados:

1. Avalie a escala da conformidade

Determine quantos mercados estão no escopo para definir se a abordagem de conformidade será global, país a país ou híbrida.

2. Identifique fontes confiáveis

Consulte colegas da área de privacidade e equipes internas locais. Envolva especialistas regionais e órgãos reguladores. Sempre que necessário, busque recomendações de consultorias jurídicas locais.

3. Acompanhe os desenvolvimentos contínuos

Utilize recursos como a IAPP, LinkedIn, escritórios de advocacia, sites de reguladores, newsletters, listas de e-mails, seminários e conferências. Reserve um tempo diário para se manter atualizado.

4. Mensure o risco

Adote uma abordagem baseada em risco, considerando o tipo, a sensibilidade e a localização dos dados, bem como o impacto sobre os titulares e reguladores da jurisdição. Avalie também a reputação da empresa e sua tolerância e exposição ao risco.

5. Defina o foco

Priorize países com base na presença jurisdicional, na probabilidade de aplicação das normas e nas necessidades imediatas dos clientes e setores específicos.

6. Desenvolva uma estratégia

Estabeleça objetivos claros, indicadores-chave de desempenho (KPIs) e padrões baseados no inventário das operações da empresa, seus recursos, tolerância ao risco e capacidades. Revise e atualize a estratégia regularmente.

7. Audite de forma abrangente

Realize auditorias periódicas para identificar possíveis áreas de não conformidade. Não presuma que uma regulamentação de privacidade não se aplicará a uma organização apenas porque não tem um impacto imediato.

8. Evite silos jurídicos

Saia do isolamento jurídico dominado por documentação e solicitações legais, interagindo com as áreas de tecnologia , negócios, relações públicas, políticas públicas e outras equipes.

9. Diferencie privacidade e segurança cibernética

Embora interligadas, essas áreas possuem abordagens distintas de conformidade. Identifique quais jurisdições enfatizam mais a segurança dos dados e alinhe-se a estratégias globais ou específicas de cada país.

10. Pratique a humildade cultural

Nenhuma equipe de privacidade pode ser especialista em todas as culturas jurídicas, mas deve reconhecer que diferentes contextos legais exigem abordagens distintas para a conformidade.

Privacy Washing

2025-03-15T02:50:00Z

Nos últimos anos, a privacidade tornou-se uma prioridade para os consumidores, que estão cada vez mais atentos às marcas que realmente protegem seus dados pessoais. Mas o que acontece quando as empresas divulgam promessas de privacidade que não se refletem na prática?

É aí que entra o Privacy Washing. O termo, inspirado no “Greenwashing” (quando empresas dizem ser sustentáveis, mas não são), se refere a práticas onde empresas afirmam proteger a privacidade dos usuários, mas fazem o contrário. Em outras palavras, é uma forma de marketing contraditório, onde a organização foca em parecer que está comprometida com a privacidade, sem, de fato, adotar as medidas necessárias para garantir que os dados dos usuários sejam tratados de maneira segura e ética.

Como isso acontece?

Empresas que promovem recursos de privacidade enquanto continuam coletando dados de forma oculta.
Discurso de proteção aos usuários, mas sem mudanças reais nos processos internos.
Promessas de controle sobre os dados que não são verdadeiramente cumpridas.

Caso da Apple

Recentemente, a Meta acusou a Apple de Privacy Washing e levou o caso ao CADE (Conselho Administrativo de Defesa Econômica). A alegação? A Apple introduziu regras mais rígidas para a coleta de dados por terceiros no iOS, mas continua coletando informações para seus próprios serviços sem restrições. Na prática, a Meta argumenta que a Apple se promove como defensora da privacidade enquanto impõe limitações a concorrentes—o que pode ser visto como uma estratégia para reforçar seu próprio domínio de mercado.

Caso da Google

Em 2023, o Google lançou um recurso no Chrome denominado "Enhanced Ad Privacy". Embora o nome sugira maior privacidade, a funcionalidade permitia que o Google continuasse coletando dados dos usuários, enquanto limitava o acesso de outras empresas a essas informações, centralizando o controle dos dados e mantendo sua capacidade de direcionar anúncios.

Caso da Meta

A Meta lançou o Threads, um aplicativo semelhante ao Twitter. No entanto, ao se inscrever, os usuários estavam sujeitos a uma ampla coleta de dados, levantando preocupações significativas sobre privacidade.

O Privacy Washing não apenas engana os consumidores, mas também mina a confiança nas empresas e dificulta a identificação de serviços que realmente priorizam a privacidade. É essencial que as organizações sejam transparentes e alinhem suas práticas às promessas feitas ao público.

E você, já percebeu exemplos de Privacy Washing no seu dia a dia? Compartilhe comigo!

Barreiras à privacidade nas empresas

2025-03-12T02:38:00Z

A implementação de um programa de governança de privacidade pode parecer uma maratona cheia de obstáculos – e, de fato, é! Mas quais são as principais barreiras e como superá-las?

O desafio organizacional e cultural

“Por que mudar agora se sempre fizemos assim?”
“Isso só vai burocratizar nosso trabalho.”
“Nunca tivemos problemas antes.”

Se alguma dessas frases soa familiar, bem-vindo ao mundo da resistência cultural à privacidade! A mudança exige conscientização, liderança engajada e uma cultura que veja a privacidade como um diferencial estratégico, não apenas um requisito legal.

O desafio do orçamento

Privacidade muitas vezes não é vista como um investimento essencial – até que ocorra uma violação de dados. O desafio aqui é demonstrar que a implementação de um programa estruturado reduz riscos financeiros e protege a reputação da empresa.

Estratégias para virar o jogo

Escolha do framework certo: ISO 27701, NIST Privacy Framework e outros ajudam a criar uma base sólida.
Engajamento da alta liderança: A privacidade deve ser uma pauta estratégica, não apenas uma responsabilidade do jurídico ou da TI.
Privacy Champions: Criar um time de embaixadores internos pode acelerar a adoção da cultura de privacidade.
Investimento contínuo: Capacitação e tecnologia são essenciais para mitigar riscos e garantir conformidade.

Monitoramento e Auditoria

2025-03-11T02:48:00Z

Privacidade e proteção de dados vão muito além da implementação inicial de controles. O que garante que tudo continua funcionando conforme planejado? Como saber se sua organização realmente está em conformidade e não apenas “parece estar”?

Aqui entra o monitoramento e auditoria, ferramentas essenciais para transformar um programa de privacidade em algo vivo, eficaz e resiliente. Sem essas práticas, o risco de falhas, sanções e perda de confiança cresce exponencialmente.

Erros comuns das empresas:

Criar políticas robustas, mas nunca testá-las na prática.
Confiar cegamente que fornecedores e terceiros estão cumprindo os requisitos.
Tratar auditorias apenas como um evento pontual e não como um processo contínuo.
Não revisar e atualizar controles conforme mudanças no negócio e na legislação.

O que fazer para não cair nessa armadilha?

Monitoramento contínuo: Relatórios de painel, revisões e métricas claras sobre privacidade e segurança.
Auditorias internas e externas: Validação independente para identificar lacunas antes que se tornem problemas reais.
Testes e simulações: A eficácia dos controles só pode ser garantida se forem constantemente testados.
Planos de ação estruturados: Detectar falhas é importante, mas corrigir e acompanhar melhorias é o que realmente faz a diferença.

E a Alta Gestão?

Sem o apoio estratégico da liderança, um programa de monitoramento pode se tornar apenas um “checklist burocrático”. Para ser efetivo, precisa estar alinhado à governança corporativa e ser tratado como prioridade estratégica.

Vazamento de dados e o STJ

2025-03-08T02:43:00Z

Seguradora é responsável por vazamento de dados sensíveis de cliente

A 3ª Turma do Superior Tribunal de Justiça (STJ) consolidou um importante precedente sobre a responsabilidade dos fornecedores pelo vazamento de dados pessoais.

No julgamento do REsp 2.121.904/SP, o STJ decidiu que a responsabilidade objetiva se aplica quando há falha na proteção de dados do consumidor, independentemente da comprovação de culpa da empresa. O caso envolveu uma seguradora que expôs informações sensíveis de um segurado, levando à condenação por danos morais presumidos.

Pontos-chave da decisão:

A proteção de dados pessoais deve seguir tanto a LGPD quanto o Código de Defesa do Consumidor (CDC).
Empresas devem garantir a segurança das informações de clientes, sob pena de responsabilização.
Vazamento de dados sensíveis presume dano moral, sem necessidade de comprovação adicional.
A decisão amplia o entendimento de que dados não sensíveis também não podem ser compartilhados sem consentimento.

O que isso significa para empresas e consumidores?

Para empresas, reforça a necessidade de investimentos robustos em segurança da informação e governança de dados. Para consumidores, reafirma o direito à proteção de seus dados e à indenização em caso de falhas.

Privacidade e proteção de dados são temas estratégicos e jurídicos de alta relevância. Esse precedente pode impactar diretamente práticas empresariais e futuras ações judiciais envolvendo dados pessoais.

Como estruturar um Programa de Privacidade

2025-02-17T23:08:00Z

Implementar um programa de governança de privacidade não é apenas uma questão de conformidade regulatória—é um diferencial estratégico para qualquer organização que lida com dados pessoais. Mas como estruturar um programa robusto que vá além da conformidade e gere valor para o negócio?

A resposta está na integração de 12 domínios essenciais, que garantem uma abordagem abrangente para mitigar riscos, garantir conformidade e fortalecer a confiança dos clientes.

Governança de Privacidade
A base de tudo! Estruturas, responsabilidades e papéis bem definidos são essenciais para garantir que a privacidade seja um pilar da organização.
Mapeamento e Inventário de Dados
Você sabe onde estão os dados pessoais tratados pela sua empresa? Sem um inventário preciso, não há como proteger o que não se conhece.
Gestão de Riscos e Controles de Privacidade
Identificar, avaliar e mitigar riscos é essencial para evitar incidentes e manter a conformidade regulatória.
Gerenciamento Regulatório
Acompanhar mudanças em leis como LGPD e GDPR é um desafio constante. Processos estruturados garantem que a empresa esteja sempre em conformidade.
Gerenciamento do Ciclo de Vida dos Dados
Desde a coleta até o descarte, cada etapa do tratamento de dados deve ser planejada para minimizar riscos e atender às regulamentações.
Políticas, Avisos de Privacidade e Consentimento
Transparência com titulares de dados não é só um requisito legal, mas um fator essencial para a confiança do consumidor.
Processos e Procedimentos de Privacidade
Privacidade não pode ser apenas um conceito – deve ser operacionalizada através de fluxos de trabalho bem definidos.
Segurança da Informação aplicada à Privacidade
Não existe privacidade sem segurança! Controles como criptografia, gestão de acessos e monitoramento contínuo são indispensáveis.
Gerenciamento de Privacidade em Terceiros e Fornecedores
Seu parceiro de negócios também protege dados pessoais? Monitoramento contínuo e contratos bem estruturados evitam surpresas desagradáveis.
Treinamentos e Conscientização em Privacidade
A cultura de privacidade começa com pessoas bem treinadas. Sua empresa capacita regularmente seus colaboradores sobre proteção de dados?
Gerenciamento de Incidentes de Privacidade
Quando um incidente acontece, a resposta rápida pode determinar o impacto. Processos estruturados garantem reação eficiente e comunicação adequada.
Monitoramento e Auditoria
A privacidade não pode ser um projeto com data para acabar. O monitoramento contínuo garante melhoria constante e alinhamento com as melhores práticas. Privacidade é um processo contínuo!

Esses são os pilares essenciais para uma governança de privacidade eficaz. Mas cada empresa tem desafios específicos e precisa adaptar essas práticas à sua realidade.

Estruture seu programa de privacidade

2025-02-14T23:11:00Z

Atualmente, gerenciar riscos de privacidade não é uma opção, mas uma necessidade. Empresas de todos os tamanhos precisam estruturar suas práticas para garantir conformidade com regulamentos como a LGPD e o GDPR, além de mitigar riscos. Mas como fazer isso de forma eficiente?

Os frameworks de privacidade surgem como guias estratégicos, oferecendo diretrizes estruturadas para implementação de boas práticas. Alguns dos mais reconhecidos incluem:

NIST Privacy Framework – Foco na gestão de riscos de privacidade de forma integrada ao negócio.

ISO 27701 - ajuda empresas a estruturar um Sistema de Gestão de Privacidade.

CIS Controls Privacy Guide – Alinha segurança da informação e privacidade, integrando proteções essenciais.

ICO Data Protection Audit Framework – Criado pelo órgão regulador do Reino Unido, ótimo para auditorias e conformidade.

Framework Gov.br – Voltado para instituições públicas, mas também útil para empresas privadas no Brasil.

Mas qual framework é o ideal para sua organização?

A resposta depende de fatores como maturidade da empresa, exigências regulatórias e recursos disponíveis. Algumas empresas adotam um modelo híbrido, combinando elementos de diferentes frameworks para atender suas necessidades específicas.

Certificações de Privacidade

2025-01-22T03:00:00Z

Ontem, participei de uma conversa no meu trabalho sobre certificações de privacidade e proteção de dados, um tema que gera muitas dúvidas. As perguntas mais frequentes são: Quais são as melhores e mais reconhecidas no mercado? Qual é o nível de dificuldade dos exames? Qual a melhor estratégia para obtê-las? Essas questões são recorrentes, e há algum tempo eu queria compartilhar minha visão sobre o assunto, principalmente para quem está começando a trilhar o caminho nessa área.

Primeiro ponto importante: Não, você não precisa de uma certificação para começar a trabalhar com privacidade e proteção de dados.

Entretanto, possuir uma certificação pode ser um diferencial significativo. Ela demonstra e comprova seu conhecimento técnico e teórico, posicionando você de maneira mais competitiva no mercado. Atualmente, as certificações mais reconhecidas nacional e internacionalmente são as oferecidas pela IAPP (International Association of Privacy Professionals) e pela EXIN. Existem outras certificações, mas, na minha opinião, não possuem a mesma relevância.

Nível de Dificuldade

Na minha experiência, os exames da IAPP são mais desafiadores do que os da EXIN. Eles exigem uma dedicação maior, com horas intensas de estudo e um planejamento robusto. Para quem está começando, o exame da EXIN pode ser mais acessível. Se você já trabalha com privacidade, terá mais facilidade com os exames da EXIN, bastando focar na legislação, whitepapers da certificadora e realizar simulados.

Por outro lado, se você ainda não tem experiência na área, será necessário se dedicar mais, mas o nível de dificuldade continua acessível. Já as certificações da IAPP exigem um aprofundamento maior em conceitos teóricos e práticos, além de um estudo consistente e organizado.

Qual a melhor estratégia: começar pela IAPP ou pela EXIN?

A resposta depende do seu objetivo profissional e do seu orçamento.

Se você busca oportunidades no mercado internacional, as certificações da IAPP são a melhor escolha. Elas têm reconhecimento global e são muito valorizadas fora do Brasil.
Se o seu foco é o mercado nacional e você possui um orçamento mais limitado, começar pelas certificações da EXIN pode ser uma excelente estratégia. Elas têm bom custo-benefício e são bem reconhecidas no Brasil.

Lembre-se de que os exames são cotados em dólar e podem representar um investimento significativo, então planeje-se com cuidado.

Outras certificações para expandir seu conhecimento

Além da IAPP e da EXIN, existem outras certificações, como a ITCerts, que podem agregar valor ao seu currículo ao atestar conhecimentos específicos:

ISO 27557 (Gestão de Riscos de Privacidade)
ISO 29134 (Avaliação de Impacto sobre a Privacidade)
ISO 29100 (Estrutura de Privacidade)
Privacy by Design e outros.

Essas certificações são ideais para quem deseja aprofundar-se em áreas específicas da privacidade e diversificar suas qualificações.

Se você está em dúvida sobre qual certificação buscar ou como se preparar para os exames, me envie uma mensagem. Ficarei feliz em ajudar!

Padrões Obscuros de Privacidade

2024-11-01T03:06:00Z

Já parou para pensar como empresas manipulam sua experiência online?

Entre reuniões, tarefas e compromissos, navegamos pela internet em ritmo frenético, clicando, comprando e aceitando termos em um piscar de olhos. O nosso dia é corrido e não lemos cada palavra, mas fazemos suposições rápidas. As empresas aproveitam essa característica humana para criar interfaces que parecem dizer uma coisa, mas na verdade significam outra. O resultado? Você acaba realizando ações que nunca pretendeu, seja uma compra não desejada, uma assinatura não solicitada ou cessão involuntária dos seus dados pessoais.

Agora você conhece o lado obscuro do design digital: Dark Patterns ou Padrões Obscuros.

5 Mitos sobre Privacidade

2024-09-11T03:20:00Z

A privacidade e a proteção de dados são frequentemente mal interpretadas, o que dá origem a diversos mitos que levam muitas pessoas a negligenciar a importância de proteger os seus dados pessoais. A seguir, esclareço 5 mitos comuns sobre privacidade, conforme a minha percepção.

1. Quem está na internet não precisa se preocupar com privacidade

Estar na internet não significa abrir mão da privacidade. Seus dados pessoais, hábitos de navegação e interações são valiosos e podem ser usados para diversos fins, como publicidade direcionada ou até mesmo para influenciar decisões. A privacidade online é essencial para proteger sua identidade e evitar abusos.

2. Eu não sou um criminoso, então não preciso me preocupar com privacidade

Privacidade não é uma questão de estar certo ou errado, mas sim de controlar quem tem acesso aos seus dados. Mesmo pessoas que não cometem crimes podem ser alvo de roubo de identidade, espionagem ou manipulação de informações. Proteger seus dados é proteger sua liberdade e segurança.

3. Por que eu deveria me importar com privacidade? Não me incomoda receber anúncios

O problema não é só receber anúncios, mas o que as empresas sabem sobre você para personalizá-los. Elas coletam informações detalhadas sobre seus interesses, comportamentos e localização. Isso pode ser utilizado para influenciar decisões e até criar perfis psicológicos. Respeitar sua privacidade é limitar o quanto terceiros sabem sobre sua vida.

4. Desativar o GPS garante que ninguém saiba onde eu estou

Desativar o GPS ajuda a proteger sua localização em tempo real, mas não garante que outros rastreamentos não estejam ocorrendo. Aplicativos e sites podem usar outros meios, como o endereço IP e conexões de Wi-Fi, para rastrear sua localização aproximada. A privacidade vai além de simplesmente desativar o GPS.

5. Se o serviço é de graça, você é o produto

Essa frase é parcialmente verdadeira, pois muitas plataformas gratuitas monetizam os dados dos usuários por meio de publicidade e outros serviços. É importante estar ciente de quais dados estão sendo coletados e como são usados, para que você possa tomar decisões informadas sobre sua privacidade.

A privacidade é um direito fundamental que todos devem valorizar, independentemente de seu perfil ou comportamento online. Proteger seus dados vai muito além de evitar anúncios indesejados; é uma questão de garantir sua segurança, liberdade e evitar abusos.

Fadiga da biometria

2024-09-03T03:17:00Z

Você já ouviu o termo "fadiga da biometria"?

Em um mundo cada vez mais digitalizado, a biometria se tornou parte integrante de nossa rotina, trazendo praticidade e segurança. No entanto, o uso constante e repetitivo dessa tecnologia tem gerado um efeito colateral preocupante: a chamada "fadiga da biometria".

Este termo tenta traduzir a exaustão mental que experimentamos devido às constantes solicitações de nossos dados biométricos. A cada desbloqueio de smartphone, login bancário ou acesso a aplicativos, somos bombardeados com pedidos de impressões digitais, reconhecimento facial ou leitura de íris. Essa demanda incessante pode nos levar a um estado de automatismo perigoso.

A coleta constante dessas informações pode tornar a ação tão automática a ponto de nos desvincularmos da tomada de decisões conscientes sobre nossa privacidade, levando-nos a compartilhar nossos dados biométricos sem compreender as finalidades da coleta e os riscos associados.

A fadiga da biometria não é apenas um incômodo pessoal, mas um problema sistêmico com implicações de longo alcance. À medida que nos tornamos dessensibilizados para o valor de nossos dados biométricos, corremos o risco de normalizar práticas de coleta de dados cada vez mais invasivas. Isso pode criar um cenário preocupante em que a privacidade individual é sacrificada em nome da conveniência e da eficiência tecnológica.

Este cenário se torna ainda mais alarmante quando consideramos as questões éticas e legais associadas à coleta indiscriminada de dados biométricos. Com o avanço da inteligência artificial e da análise de big data, esses dados podem ser usados para finalidades que vão além do seu propósito original, como vigilância em massa, perfilamento comportamental ou discriminação algorítmica. É fundamental que empresas e governos sejam transparentes sobre o uso desses dados e que os cidadãos tenham o direito de questionar, limitar ou revogar o consentimento para o uso de suas informações biométricas.

Como profissionais e usuários, devemos nos perguntar: estamos realmente cientes do valor e da sensibilidade de nossos dados biométricos?