Recursos

Foro Nacional de Normalização responsável pela elaboração das Normas Brasileiras (NBR), incluindo as adoções das normas ISO/IEC relativas à segurança da informação e proteção de dados (NBR ISO/IEC 27001, 27002, 27701, 27555, 29100, entre outras). As normas ABNT são voluntárias e não substituem leis ou regulamentos, mas podem ser citadas em regulamentos técnicos e constituem referência técnica para demonstração de conformidade.

Autoridade de proteção de dados da Espanha, com competência para supervisionar a aplicação do GDPR e da legislação espanhola de proteção de dados (LOPDGDD). Reconhecida por sua atuação proativa em sancionamento e pela publicação de ferramentas práticas como o FACILITA RGPD e guias sobre análise de risco e avaliação de impacto.

Órgão da administração pública federal, dotado de autonomia técnica e decisória, responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional (art. 55-A, LGPD). Possui competência para editar regulamentos, aplicar sanções administrativas, promover estudos e realizar auditorias sobre o tratamento de dados pessoais.

Sistema de certificação voluntário de privacidade transfronteiriça da APEC, que estabelece regras para a proteção de dados pessoais em transferências internacionais entre economias-membro. Funciona como mecanismo de adequação alternativo aos BCRs europeus para o fluxo de dados na região Ásia-Pacífico.

Princípio segundo o qual o agente de tratamento deve demonstrar a adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais, incluindo a eficácia dessas medidas (art. 6º, X, LGPD). Implica inversão do ônus probatório: não basta alegar conformidade — é preciso demonstrá-la objetivamente por meio de registros, relatórios e evidências auditáveis. No contexto ISO, relaciona-se aos requisitos de documentação e melhoria contínua da ISO/IEC 27001.

Princípio da LGPD (art. 6º, II) que impõe a compatibilidade do tratamento com as finalidades informadas ao titular. Veda o desvio de finalidade: dado coletado para fim específico não pode ser reutilizado para propósito incompatível sem nova base legal.

Denominação conjunta do controlador e do operador de dados pessoais (art. 5º, IX, LGPD). Podem ser pessoas naturais ou jurídicas, de direito público ou privado. Na terminologia da ISO/IEC 27701, correspondem ao PII Controller e ao PII Processor.

Causa potencial de um incidente indesejado, que pode resultar em dano a um sistema, organização ou indivíduo (ISO/IEC 27000:2018, 3.74). No contexto de proteção de dados, inclui ameaças à confidencialidade, integridade e disponibilidade dos dados pessoais. A análise de ameaças é componente essencial da avaliação de riscos prevista na ISO/IEC 27001 e na ISO 31000.

Utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde, de forma irreversível, a possibilidade de associação, direta ou indireta, a um indivíduo (art. 5º, XI, LGPD). Dado anonimizado não é considerado dado pessoal (art. 12). Técnicas incluem generalização, supressão, randomização, k-anonimato e privacidade diferencial. V. também ISO/IEC 20889.

Avaliação formal pela alta direção da adequação, suficiência e eficácia do Sistema de Gestão de Segurança da Informação (SGSI) e do Sistema de Gestão de Informações de Privacidade (SGIP) em intervalos planejados (ISO/IEC 27001:2022, cláusula 9.3). Deve considerar resultados de auditorias, status de ações corretivas, mudanças em questões externas e internas, não conformidades e oportunidades de melhoria contínua.

Processo de compreender a natureza do risco e determinar o nível de risco (ISO 31000:2018, 6.4.3). Envolve a consideração detalhada de incertezas, fontes de risco, consequências, probabilidades, eventos, cenários, controles e sua eficácia. Pode ser qualitativa, semiquantitativa ou quantitativa.

Quantidade e tipo de risco que uma organização está preparada para buscar, reter ou assumir em relação aos seus objetivos. Difere da tolerância ao risco, que é o grau de variação aceitável em relação ao nível de risco definido. No contexto da proteção de dados, define o limiar de exposição que a organização aceita no tratamento de dados pessoais.

Qualquer coisa que tenha valor para a organização (ISO/IEC 27000:2018, 3.2). No contexto de segurança da informação e proteção de dados, inclui informações, dados pessoais, software, hardware, serviços, pessoas, imagem e reputação. A identificação e classificação de ativos é requisito fundamental da ISO/IEC 27001 (Anexo A, controle A.5.9).

Processo sistemático, independente e documentado para obter evidências objetivas e avaliá-las objetivamente para determinar em que medida os critérios de auditoria são atendidos (ISO 19011:2018, 3.1; ISO/IEC 27001:2022, 9.2). Pode ser interna (de primeira parte), externa de segunda parte (por clientes ou partes interessadas) ou externa de terceira parte (por organismos de certificação independentes).

Auditoria conduzida pela própria organização, ou em seu nome, para fins internos, podendo constituir a base para a autodeclaração de conformidade (ISO/IEC 27001:2022, 9.2). Deve ser realizada em intervalos planejados e cobrir todos os requisitos do SGSI/SGIP. Requisito mandatório das normas ISO de sistemas de gestão.

Auditoria realizada por organismo de certificação acreditado para verificar a conformidade do SGSI com os requisitos da ISO/IEC 27001 ou do SGIP com a ISO/IEC 27701. Compreende duas etapas: Estágio 1 (análise documental e avaliação de prontidão) e Estágio 2 (auditoria de implementação e eficácia dos controles).

Direito fundamental que assegura ao indivíduo o poder de decidir sobre a coleta, uso e divulgação de seus dados pessoais. Reconhecido pelo STF como direito autônomo (ADI 6387/DF) e fundamento da LGPD (art. 2º, II).

Documentação do controlador que descreve processos de tratamento que podem gerar riscos às liberdades civis e direitos fundamentais, bem como medidas de mitigação (art. 5º, XVII, LGPD). Equivalente ao DPIA do GDPR (art. 35). Na ISO/IEC 27701, integra-se ao processo de avaliação de riscos de privacidade (cláusula 5.4).

Processo global de identificação, análise e avaliação de riscos (ISO 31000:2018, 6.4). Na ISO/IEC 27001, constitui requisito obrigatório (cláusula 6.1.2) e deve considerar a confidencialidade, integridade e disponibilidade da informação, bem como os riscos ao tratamento de dados pessoais.

Conjunto estruturado de dados pessoais, em suporte eletrônico ou físico (art. 5º, IV, LGPD). Definição tecnologicamente neutra.

Fundamento jurídico que autoriza o tratamento de dados pessoais. A LGPD prevê dez hipóteses no art. 7º para dados comuns e oito no art. 11 para dados sensíveis.

Comissário Federal Alemão para Proteção de Dados e Liberdade de Informação. Autoridade federal de proteção de dados da Alemanha, com jurisdição sobre órgãos federais e empresas de telecomunicações e correios. A Alemanha possui também autoridades estaduais (Landesdatenschutzbehörden), refletindo sua estrutura federativa. Historicamente, uma das autoridades mais influentes na formação da doutrina europeia de proteção de dados.

Normas corporativas globais vinculantes para transferências internacionais de dados dentro de grupos econômicos (art. 33, II, b, LGPD; art. 47, GDPR).

Suspensão temporária de qualquer operação de tratamento, mediante guarda do dado pessoal ou banco de dados (art. 5º, XIII, LGPD).

Obrigação do controlador de comunicar à ANPD e ao titular incidente de segurança que possa acarretar risco ou dano relevante (art. 48, LGPD).

Legislação de privacidade do estado da Califórnia (EUA). A CCPA (2018) foi a primeira lei abrangente de privacidade dos EUA, e o CPRA (2020, em vigor desde 2023) a expandiu significativamente, criando a California Privacy Protection Agency (CPPA) como autoridade de fiscalização dedicada. Referência para o desenvolvimento de legislação federal de privacidade nos EUA.

Grupo mantido pelo NIC.br que é responsável por tratar incidentes de segurança em computadores envolvendo redes conectadas à internet brasileira. Atua na coordenação de resposta a incidentes, análise de tendências de ameaças e capacitação em segurança cibernética no Brasil.

Órgão multissetorial responsável por coordenar e integrar iniciativas de serviços de internet no Brasil, bem como estabelecer diretrizes estratégicas relacionadas ao uso e desenvolvimento da internet no país. Criado pelo Decreto nº 4.829/2003, é composto por representantes do governo, setor empresarial, terceiro setor e comunidade acadêmica.

Tribunal de Justiça da União Europeia, com competência para interpretação do direito da UE, incluindo o GDPR. Decisões paradigmáticas em proteção de dados incluem Schrems I (2015, que invalidou o Safe Harbor), Schrems II (2020, que invalidou o Privacy Shield), Google Spain (2014, direito ao esquecimento) e La Quadrature du Net (2020, retenção de dados).

Autoridade de proteção de dados da França, uma das mais antigas e influentes do mundo, criada pela Lei nº 78-17 de 6 de janeiro de 1978. Reconhecida por sua atuação firme em sancionamento (incluindo multas recordes contra grandes empresas de tecnologia), publicação extensiva de guidelines e pareceres técnicos, e protagonismo no debate regulatório europeu.

Órgão consultivo previsto no art. 58-A da LGPD, integrante da estrutura da ANPD, composto por 23 representantes de órgãos públicos, sociedade civil, instituições científicas e setor empresarial. Tem como atribuições propor diretrizes estratégicas, subsidiar a elaboração da Política Nacional de Proteção de Dados Pessoais e realizar estudos e debates sobre proteção de dados.

Metodologia iterativa de gestão em quatro etapas — Planejar, Fazer, Verificar e Agir — que fundamenta a estrutura dos sistemas de gestão ISO, incluindo a ISO/IEC 27001 e a ISO/IEC 27701. Assegura a melhoria contínua do SGSI e do SGIP por meio de monitoramento, medição, análise crítica e ações corretivas sistemáticas.

Na ISO/IEC 27555, combinação de um período de remoção padrão e um ponto de partida abstrato para o período de execução da eliminação de dados pessoais. Todos os clusters de DP sujeitos ao mesmo período e ponto de partida são agrupados na mesma classe.

Na ISO/IEC 27555, agrupamento lógico de dados pessoais que compartilham as mesmas regras de remoção e período de retenção. Facilita a gestão do ciclo de vida dos dados e a implementação de políticas de eliminação.

Capacidade de aplicar conhecimento e habilidades para alcançar resultados pretendidos (ISO/IEC 27001:2022, 7.2). A organização deve determinar a competência necessária das pessoas que realizam trabalho sob seu controle que afete o desempenho da segurança da informação e da privacidade, e assegurar que essas pessoas sejam competentes.

Propriedade de que a informação não seja disponibilizada ou divulgada a indivíduos, entidades ou processos não autorizados (ISO/IEC 27000:2018, 3.10). Um dos três pilares da segurança da informação (CIA Triad), juntamente com integridade e disponibilidade. Princípio basilar da proteção de dados pessoais.

Atendimento a um requisito (ISO 9000:2015, 3.6.11). No contexto de proteção de dados e segurança da informação, refere-se ao cumprimento integral de requisitos legais, regulatórios, contratuais e normativos aplicáveis, incluindo LGPD, GDPR, normas ISO e regulamentações setoriais.

Manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para finalidade determinada (art. 5º, XII, LGPD). Para dados sensíveis, deve ser específico e destacado (art. 11, I). Revogável a qualquer momento (art. 8º, §5º). Na ISO/IEC 29184, são estabelecidos requisitos para avisos de privacidade online e gestão de consentimento.

Resultado de um evento que afeta os objetivos (ISO 31000:2018, 3.6). Pode ser certa ou incerta, positiva ou negativa, direta ou indireta. No contexto da proteção de dados, inclui danos materiais e imateriais aos titulares, sanções regulatórias, danos reputacionais e perdas financeiras.

Combinação de questões internas e externas que podem ter efeito na abordagem da organização para desenvolver e alcançar seus objetivos de segurança da informação e privacidade (ISO/IEC 27001:2022, cláusula 4). Inclui ambiente regulatório, partes interessadas, requisitos legais e contratuais, e fatores culturais e sociais.

Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais (art. 5º, VI, LGPD). Na ISO/IEC 27701, denominado PII Controller.

Medida que mantém e/ou modifica o risco (ISO 31000:2018, 3.8). Na ISO/IEC 27001, os controles são especificados no Anexo A e detalhados na ISO/IEC 27002. Na ISO/IEC 27701, controles adicionais específicos para privacidade são definidos nos Anexos A (controladores) e B (operadores). Inclui políticas, processos, dispositivos, práticas e ações organizacionais.

Convenção para a Proteção das Pessoas relativamente ao Tratamento Automatizado de Dados de Caráter Pessoal, adotada pelo Conselho da Europa em 28 de janeiro de 1981. Primeiro instrumento internacional juridicamente vinculante em matéria de proteção de dados pessoais. Modernizada pelo Protocolo 108+ (CETS nº 223) em 2018 para adaptação ao ambiente digital contemporâneo.

Pequenos arquivos de texto armazenados no dispositivo do usuário por servidores web. Classificam-se quanto à finalidade (necessários, analíticos, funcionalidade, publicidade), duração (sessão, persistentes) e origem (primários, terceiros). Sujeitos à LGPD conforme Guia Orientativo da ANPD. Na ISO/IEC 29184, integram os requisitos de aviso de privacidade online.

Técnicas matemáticas que transformam informações em formato codificado acessível somente a quem possua a chave de decifragem. Controle essencial da ISO/IEC 27002 (controle 8.24). Inclui modalidades simétricas (AES) e assimétricas (RSA, ECC), hashing (SHA-256) e assinatura digital.

Conjunto de requisitos usados como referência contra a qual evidências objetivas são comparadas durante uma auditoria (ISO 19011:2018, 3.7). Podem incluir políticas, procedimentos, normas, requisitos legais, requisitos de sistemas de gestão, requisitos contratuais, códigos de conduta setoriais ou outros arranjos planejados.

Termos de referência contra os quais a significância de um risco é avaliada (ISO 31000:2018, 6.3.4). Devem refletir valores, objetivos e recursos da organização e ser consistentes com as políticas de gestão de riscos. No contexto da LGPD, incluem gravidade do dano ao titular, volume de dados afetados e categorias de dados envolvidos.

Denominação genérica para os órgãos independentes encarregados de supervisionar a aplicação da legislação de proteção de dados pessoais em suas respectivas jurisdições. No Brasil, a ANPD; na UE, cada Estado-membro possui sua própria DPA nacional (CNIL na França, BfDI na Alemanha, ICO no Reino Unido, Garante na Itália, AEPD na Espanha etc.), coordenadas pelo EDPB.

Dado relativo a titular que não possa ser identificado, considerando meios técnicos razoáveis (art. 5º, III, LGPD). Não é dado pessoal, salvo quando a anonimização puder ser revertida com esforços razoáveis (art. 12, §1º). V. ISO/IEC 20889 para técnicas de desidentificação.

Informação relacionada a pessoa natural identificada ou identificável (art. 5º, I, LGPD). Na ISO/IEC 29100 e ISO/IEC 27701, denominado PII (Personally Identifiable Information). Conceito expansivo e contextual.

Categoria qualificada referente a origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, dado de saúde, vida sexual, dado genético ou biométrico (art. 5º, II, LGPD). Na ISO/IEC 27701, denominado PII sensível, sujeito a controles adicionais (Anexo A, A.7.4.5).

Dados de titulares menores de 18 anos, cujo tratamento deve ser realizado em seu melhor interesse, com consentimento específico de pelo menos um dos pais ou responsável legal (art. 14, LGPD).

Evento adverso que comprometa confidencialidade, integridade ou disponibilidade de dados pessoais. Gera obrigação de comunicação à ANPD e aos titulares (art. 48, LGPD). Na ISO/IEC 27701, tratado como violação de dados pessoais (PII breach) com requisitos específicos de notificação (cláusula 6.13.1.1).

Processo de identificação e documentação de todas as operações de tratamento. Na ISO/IEC 27701, corresponde ao inventário de operações de tratamento de DP (cláusula 7.2.8 para controladores e 8.2.6 para operadores).

Princípio que limita o tratamento ao mínimo necessário (art. 6º, III, LGPD). Na ISO/IEC 27701, o controle A.7.4.1 determina que o controlador limite a coleta de DP ao que é adequado e necessário para as finalidades identificadas.

Pessoa indicada pelo controlador e operador como canal de comunicação com titulares e ANPD (art. 5º, VIII, LGPD). Na ISO/IEC 27701, sua designação integra os requisitos de governança (cláusula 6.3.1.1).

Tratamento realizado exclusivamente por meios automatizados, capaz de produzir efeitos jurídicos ou afetar significativamente o titular. A LGPD assegura o direito de revisão (art. 20).

Documento obrigatório do SGSI que contém os controles necessários selecionados pela organização, a justificativa para sua inclusão, o status de implementação e a justificativa para exclusão de qualquer controle do Anexo A da ISO/IEC 27001:2022 (cláusula 6.1.3, d). Para organizações que implementam a ISO/IEC 27701, a SoA deve ser expandida para incluir os controles de privacidade dos Anexos A e B.

Propriedade de ser acessível e utilizável sob demanda por uma entidade autorizada (ISO/IEC 27000:2018, 3.7). Terceiro pilar da tríade CIA de segurança da informação. No contexto de proteção de dados, garante que o titular possa exercer seus direitos de acesso e portabilidade.

Órgão independente da União Europeia, dotado de personalidade jurídica própria, integrado por representantes das autoridades de proteção de dados dos Estados-membros e pela EDPS. Sucessor do Grupo de Trabalho do Artigo 29 (WP29), tem como finalidade garantir a aplicação consistente do GDPR, promover a cooperação entre autoridades nacionais e emitir guidelines, recomendações e decisões vinculantes. Suas diretrizes sobre consentimento, legítimo interesse, transferências internacionais e dark patterns são referências obrigatórias.

Autoridade independente de proteção de dados da UE, responsável por supervisionar o tratamento de dados pessoais pelas instituições, órgãos e organismos da União Europeia. Atua também como consultor sobre propostas legislativas e políticas que afetem a proteção de dados, e é membro nato do EDPB.

Agência da União Europeia para a Cibersegurança, criada em 2004 e reforçada pelo Regulamento de Cibersegurança (Regulation 2019/881). Desenvolve e implementa a política de cibersegurança da UE, emite pareceres técnicos, apoia Estados-membros em resposta a incidentes e gerencia esquemas de certificação de cibersegurança europeus.

Grau em que atividades planejadas são realizadas e resultados planejados são alcançados (ISO 9000:2015, 3.7.11). No contexto da ISO/IEC 27001, a organização deve avaliar o desempenho de segurança da informação e a eficácia do SGSI (cláusula 9.1). Indicador fundamental em auditorias de certificação.

Exclusão de dado ou conjunto de dados armazenados em banco de dados (art. 5º, XIV, LGPD). Na ISO/IEC 27555, denominada remoção (deletion), com diretrizes detalhadas sobre políticas, períodos, classes e mecanismos de remoção.

Pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre controlador, titulares e ANPD (art. 5º, VIII, LGPD). Identidade e contato devem ser divulgados publicamente (art. 41, §1º). Na ISO/IEC 27701, integra os requisitos de liderança e governança.

Limites e aplicabilidade do Sistema de Gestão de Segurança da Informação e/ou do Sistema de Gestão de Informações de Privacidade. A organização deve determinar questões internas e externas, requisitos de partes interessadas e interfaces e dependências com atividades realizadas por outras organizações (ISO/IEC 27001:2022, cláusula 4.3).

Ocorrência ou mudança em um conjunto específico de circunstâncias (ISO 31000:2018, 3.5). Um evento pode ter várias causas e consequências, ser esperado mas não acontecer, ou não ser esperado e acontecer. Pode ser uma fonte de risco.

Dados que apoiam a existência ou verdade de algo (ISO 9000:2015, 3.8.3). Pode ser obtida por observação, medição, ensaio ou outros meios. No contexto de auditorias de SGSI e SGIP, constitui a base para demonstração de conformidade com os requisitos das normas ISO e da LGPD.

Registros, declarações de fatos ou outras informações que são pertinentes aos critérios de auditoria e verificáveis (ISO 19011:2018, 3.9). Podem ser quantitativas ou qualitativas. A avaliação da evidência contra os critérios gera as constatações de auditoria.

Agência federal dos Estados Unidos com competência para proteção do consumidor e regulação da concorrência. Na ausência de uma lei federal abrangente de privacidade nos EUA, a FTC tem exercido papel central na fiscalização de práticas de dados por meio de sua autoridade sobre práticas comerciais desleais ou enganosas (Section 5 do FTC Act). Suas ações de enforcement e consent orders constituem jurisprudência de facto em privacidade nos EUA.

Princípio da LGPD (art. 6º, I) que exige tratamento para propósitos legítimos, específicos, explícitos e informados ao titular. Na ISO/IEC 27701, o controle A.7.2.1 requer que o controlador identifique e documente as finalidades específicas do tratamento.

Técnica de rastreamento que identifica dispositivos sem cookies, por combinação de atributos técnicos. Configura tratamento de dado pessoal sujeito à LGPD.

Transferência de dados pessoais para país estrangeiro ou organismo internacional (art. 5º, XV, LGPD). Na ISO/IEC 27701, o controle A.7.5.2 estabelece requisitos para identificação de bases para transferência de DP entre jurisdições.

Elemento que, individualmente ou combinado, tem o potencial para dar origem ao risco (ISO 31000:2018, 3.4). No contexto de proteção de dados, inclui fatores como volume de dados tratados, categorias de dados sensíveis, tecnologias utilizadas, perfil dos titulares e contexto do tratamento.

Regulamento Geral sobre a Proteção de Dados da UE (2016/679), em vigor desde 25/05/2018. Principal referência normativa global em proteção de dados. Influência determinante na LGPD e na ISO/IEC 27701.

Rede global de autoridades de proteção de dados e privacidade que facilita a cooperação transfronteiriça na aplicação da legislação de privacidade. Estabelecida em 2010 por recomendação da OCDE, promove compartilhamento de informações, assistência mútua em investigações e ações coordenadas de enforcement (Privacy Sweep). A ANPD é membro participante.

Autoridade de proteção de dados da Itália, uma das mais ativas na Europa, com atuação destacada em temas de inteligência artificial (foi a primeira autoridade a suspender temporariamente o ChatGPT em 2023), marketing digital e proteção de dados no setor público. Membro do EDPB.

Conjunto de processos e controles para coletar, registrar, armazenar, renovar e revogar o consentimento dos titulares. Na ISO/IEC 29184, são estabelecidos requisitos técnicos para avisos de privacidade online e mecanismos de consentimento.

Atividades coordenadas para dirigir e controlar uma organização no que se refere a riscos (ISO 31000:2018, 3.2). Compreende estabelecimento de contexto, identificação, análise, avaliação, tratamento, monitoramento, análise crítica, registro e relato de riscos. Na proteção de dados, integra-se ao SGSI (ISO/IEC 27001) e ao SGIP (ISO/IEC 27701).

Estrutura organizacional que define papéis, responsabilidades, políticas e procedimentos para gestão eficaz dos dados pessoais ao longo de seu ciclo de vida.

Principal associação global de profissionais de privacidade e proteção de dados, com mais de 80.000 membros em mais de 70 países. Oferece certificações profissionais reconhecidas internacionalmente: CIPP (Certified Information Privacy Professional), CIPM (Certified Information Privacy Manager) e CIPT (Certified Information Privacy Technologist), com variantes regionais (CIPP/E para Europa, CIPP/US para EUA, CIPP/BR para Brasil).

Autoridade independente de proteção de dados e informação do Reino Unido. Supervisiona a aplicação do UK GDPR e do Data Protection Act 2018. Reconhecida por sua extensa produção de guias práticos, ferramentas de autoavaliação e abordagem regulatória baseada em risco. Publicou o Data Sharing Code of Practice como referência para compartilhamento de dados.

Norma internacional que fornece diretrizes para auditoria de sistemas de gestão, incluindo princípios de auditoria, gestão de programas de auditoria, condução de auditorias e avaliação de competência de auditores. Aplicável a auditorias de SGSI (ISO/IEC 27001) e SGIP (ISO/IEC 27701).

Norma internacional que fornece diretrizes para gestão de riscos, aplicáveis a qualquer tipo de risco, independentemente de sua natureza e setor. Define princípios, estrutura e processo de gestão de riscos. Referência fundamental para a avaliação de riscos de segurança da informação e privacidade.

Norma internacional que especifica requisitos para estabelecer, implementar, manter e melhorar continuamente um Sistema de Gestão de Segurança da Informação (SGSI). Base para certificação e referência fundamental para demonstração de conformidade com requisitos de segurança da LGPD (art. 46).

Norma internacional que fornece diretrizes para controles de segurança da informação organizacionais, com base na ISO/IEC 27001. A edição 2022 organiza 93 controles em quatro temas: organizacionais, pessoais, físicos e tecnológicos.

Norma que contém diretrizes para desenvolvimento e estabelecimento de políticas e procedimentos para remoção (eliminação) de dados pessoais nas organizações. Define terminologia harmonizada, abordagem para regras de remoção, documentação requerida e papéis e responsabilidades.

Extensão da ISO/IEC 27001 e ISO/IEC 27002 para gestão da privacidade da informação. Especifica requisitos adicionais e fornece diretrizes para estabelecer, implementar, manter e melhorar um Sistema de Gestão de Informações de Privacidade (SGIP). Mapeia controles específicos para conformidade com LGPD e GDPR. Inclui controles para PII Controllers (Anexo A) e PII Processors (Anexo B), bem como mapeamento para GDPR (Anexo D) e ISO/IEC 29100 (Anexo F).

Norma que estabelece uma estrutura de privacidade (privacy framework) de alto nível para proteção de dados pessoais (PII) em sistemas de tecnologia da informação e comunicação. Define conceitos fundamentais, princípios de privacidade e papéis e responsabilidades no tratamento de PII.

Norma que fornece diretrizes para condução de avaliações de impacto de privacidade (privacy impact assessments — PIA). Estabelece metodologia para identificação, análise e avaliação de riscos de privacidade e definição de medidas de tratamento.

Norma que estabelece controles e diretrizes para avisos de privacidade online e consentimento. Define requisitos para conteúdo, apresentação e gestão do ciclo de vida de avisos de privacidade e mecanismos de consentimento em ambientes digitais.

Processo de busca, reconhecimento e descrição de riscos (ISO 31000:2018, 6.4.2). Envolve identificação de fontes de risco, eventos, causas e consequências potenciais. No contexto da ISO/IEC 27001, deve considerar riscos à confidencialidade, integridade e disponibilidade da informação.

Evento adverso que comprometa confidencialidade, integridade ou disponibilidade de dados pessoais. Na ISO/IEC 27000, definido como um ou uma série de eventos de segurança da informação indesejados ou inesperados, que tenham grande probabilidade de comprometer as operações do negócio e ameaçar a segurança da informação.

Informação que deve ser controlada e mantida por uma organização e o meio no qual ela está contida (ISO/IEC 27001:2022, 7.5). Requisito transversal dos sistemas de gestão ISO, abrange políticas, procedimentos, registros, evidências, planos e relatórios.

Propriedade de exatidão e completeza da informação (ISO/IEC 27000:2018, 3.36). Segundo pilar da tríade CIA. No contexto de proteção de dados, garante que os dados pessoais não sejam alterados, corrompidos ou destruídos de forma não autorizada.

Capacidade de sistemas de trocar e utilizar dados de forma mutuamente compreensível. No contexto da proteção de dados, refere-se à portabilidade entre controladores (art. 18, V, LGPD).

Lei nº 13.709/2018, que dispõe sobre o tratamento de dados pessoais no Brasil. Aplica-se a qualquer operação de tratamento realizada no território nacional ou que envolva dados coletados no Brasil.

Base legal que autoriza o tratamento quando necessário para interesses legítimos do controlador ou terceiro, exceto quando prevalecerem direitos do titular (art. 7º, IX, LGPD). Requer teste de proporcionalidade (LIA). Na ISO/IEC 27701, integra os requisitos de identificação de bases legais (controle A.7.2.2).

Requisito da ISO/IEC 27001 (cláusula 5.1) que exige da alta direção a demonstração de liderança e comprometimento com o SGSI, incluindo assegurar a integração do sistema de gestão nos processos da organização, assegurar recursos necessários, comunicar a importância da gestão de segurança da informação e dirigir e apoiar pessoas que contribuam para a eficácia do SGSI.

Princípio da LGPD (art. 6º, IV) que garante consulta facilitada e gratuita sobre forma, duração e integralidade do tratamento.

Registro sistemático de operações de tratamento pelo controlador e operador (art. 37, LGPD). Na ISO/IEC 27701, o controle 7.2.8 especifica requisitos detalhados para o inventário de operações de tratamento de PII.

Lei nº 12.965/2014 que estabelece princípios e direitos para uso da internet no Brasil. Regime complementar à LGPD.

Medidas técnicas e administrativas para proteger dados pessoais (art. 46, LGPD). Na ISO/IEC 27001, correspondem aos controles de segurança especificados no Anexo A e detalhados na ISO/IEC 27002.

Atividade recorrente para aumentar o desempenho (ISO 9000:2015, 3.3.2). Requisito obrigatório da ISO/IEC 27001 (cláusula 10.2), pelo qual a organização deve melhorar continuamente a adequação, suficiência e eficácia do SGSI. Operacionaliza-se por meio do ciclo PDCA, não conformidades e ações corretivas, análise crítica pela direção e auditorias internas.

Determinação contínua do status de um risco, sistema ou processo, e verificação se o nível de desempenho requerido ou esperado está sendo atingido (ISO 31000:2018, 6.6). Na ISO/IEC 27001, inclui monitoramento, medição, análise e avaliação do desempenho de segurança da informação (cláusula 9.1).

Entidade civil sem fins lucrativos que implementa as decisões e projetos do CGI.br, sendo responsável pelo registro de nomes de domínio .br, pela distribuição de endereços IP e pela produção de indicadores e estudos sobre internet no Brasil. O CERT.br e o CETIC.br são departamentos do NIC.br.

Framework voluntário do National Institute of Standards and Technology para gestão de riscos de privacidade. Cinco funções: Identify, Govern, Control, Communicate e Protect.

Princípio da LGPD (art. 6º, III) que limita o tratamento ao mínimo necessário. Os dados devem ser pertinentes, proporcionais e não excessivos.

Não atendimento a um requisito (ISO 9000:2015, 3.6.9). Na ISO/IEC 27001 (cláusula 10.1), quando ocorre uma não conformidade, a organização deve reagir, avaliar a necessidade de ação corretiva, implementar ações, analisar a eficácia dessas ações e fazer alterações no SGSI, se necessário. As não conformidades identificadas em auditorias podem ser classificadas como maiores (que afetam a capacidade do sistema de gestão de alcançar seus resultados pretendidos) ou menores.

Princípio da LGPD (art. 6º, IX) que veda tratamento para fins discriminatórios ilícitos ou abusivos.

Organização internacional que em 1980 publicou as Guidelines on the Protection of Privacy and Transborder Flows of Personal Data, um dos documentos fundacionais da proteção de dados em nível global. Os oito princípios das Guidelines da OCDE (limitação da coleta, qualidade dos dados, especificação da finalidade, limitação de uso, segurança, transparência, participação do indivíduo e accountability) influenciaram diretamente a Convenção 108, o GDPR e a LGPD.

Resultado a ser alcançado pela organização em relação à segurança da informação (ISO/IEC 27001:2022, 6.2). Devem ser consistentes com a política de segurança da informação, mensuráveis (quando praticável), considerar requisitos aplicáveis e resultados da avaliação e tratamento de riscos, e ser monitorados, comunicados e atualizados conforme apropriado.

Pessoa natural ou jurídica que realiza o tratamento em nome do controlador (art. 5º, VII, LGPD). Na ISO/IEC 27701, denominado PII Processor, com controles específicos no Anexo B.

Opt-in: modelo de consentimento ativo e prévio, regra geral da LGPD. Opt-out: mecanismo de oposição ao tratamento já em curso (art. 18, §2º, LGPD).

Entidade independente acreditada que realiza auditorias de terceira parte para verificar a conformidade de sistemas de gestão com normas como ISO/IEC 27001 e ISO/IEC 27701 e emitir certificações. Deve ser acreditada por organismo de acreditação reconhecido (no Brasil, o INMETRO).

Na terminologia ISO (ISO/IEC 29100), qualquer informação que (a) pode ser usada para estabelecer uma conexão entre a informação e a pessoa natural a quem se refere, ou (b) é ou pode estar direta ou indiretamente vinculada a uma pessoa natural. Equivalente funcional do conceito de dado pessoal na LGPD.

Terminologia da ISO/IEC 27701 e ISO/IEC 29100 para os agentes de tratamento. O PII Controller (parte interessada na privacidade que determina finalidades e meios do tratamento de PII) corresponde ao controlador da LGPD. O PII Processor (parte interessada que trata PII em nome e segundo instruções do controller) corresponde ao operador.

Pessoa ou organização que pode afetar, ser afetada ou perceber-se afetada por uma decisão ou atividade (ISO 31000:2018, 3.3). Na ISO/IEC 27001, a organização deve determinar as partes interessadas pertinentes ao SGSI e seus requisitos relevantes (cláusula 4.2). Incluem titulares de dados, reguladores, clientes, colaboradores e acionistas.

Intervalo de tempo durante o qual dados pessoais são mantidos antes de sua remoção ou anonimização. Na ISO/IEC 27555, o período de retenção é composto pelo período de uso ativo somado ao período de remoção regular. Deve ser definido com base em requisitos legais, contratuais e de negócio.

Intenção e direção globais de uma organização, relacionadas à segurança da informação, formalmente expressas pela alta direção (ISO/IEC 27001:2022, 5.2). Deve ser adequada ao propósito da organização, incluir objetivos ou fornecer estrutura para estabelecimento dos objetivos, incluir comprometimento em atender requisitos aplicáveis e em melhoria contínua do SGSI.

Direito do titular de obter dados em formato estruturado e interoperável para transmissão a outro fornecedor (art. 18, V, LGPD). Na ISO/IEC 27701, o controle A.7.3.6 estabelece requisitos para atendimento de solicitações de portabilidade.

Princípio da LGPD (art. 6º, VIII) que determina adoção de medidas preventivas contra danos. Alinha-se ao conceito de controles preventivos das normas ISO.

Privacy by Design: abordagem que incorpora proteção de dados desde a concepção (art. 46, §2º, LGPD). Privacy by Default: configuração padrão com nível máximo de proteção. Na ISO/IEC 27701, materializam-se nos controles de proteção por padrão (A.7.4.7) e integração da privacidade nos processos de desenvolvimento.

Chance de algo acontecer (ISO 31000:2018, 3.7). Na gestão de riscos, utilizada para referir-se à chance de algo ocorrer, definida, medida ou determinada objetiva ou subjetivamente, qualitativa ou quantitativamente.

Processo global que compreende identificação de riscos, análise de riscos e avaliação de riscos (ISO 31000:2018, 6.4). Na ISO/IEC 27001, requisito obrigatório documentado (cláusula 6.1.2) que deve ser aplicado para identificar riscos associados à perda de confidencialidade, integridade e disponibilidade da informação.

Tratamento automatizado para avaliar aspectos pessoais de pessoa natural. Sujeito ao direito de revisão (art. 20, LGPD).

Conjunto de uma ou mais auditorias planejadas para um período de tempo determinado e direcionadas a um propósito específico (ISO 19011:2018, 3.4). Deve considerar riscos e oportunidades, importância dos processos, mudanças que afetam a organização e resultados de auditorias anteriores. No SGSI/SGIP, deve assegurar cobertura de todos os requisitos da ISO/IEC 27001 e ISO/IEC 27701.

Tratamento pelo qual um dado perde a associação direta a um indivíduo, senão pelo uso de informação adicional mantida separadamente (art. 13, §4º, LGPD). Dado pseudonimizado continua sendo dado pessoal. Na ISO/IEC 27701, controle recomendado para redução de riscos de privacidade.

Princípio da LGPD (art. 6º, V) que garante exatidão, clareza, relevância e atualização dos dados. Na ISO/IEC 27701, o controle A.7.4.3 estabelece a obrigação do controlador de assegurar a exatidão e completeza dos dados pessoais.

Documentação obrigatória das operações de tratamento (art. 37, LGPD). Equivalente ao Records of Processing Activities do GDPR (art. 30). Na ISO/IEC 27701, detalhado nos controles 7.2.8 (controladores) e 8.2.6 (operadores).

Documento que apresenta os resultados de uma auditoria de forma completa, precisa, concisa e clara (ISO 19011:2018, 6.6). Deve conter objetivos, escopo, critérios, constatações, conclusões, recomendações de melhoria e plano de ações corretivas para não conformidades identificadas.

Documentação do controlador sobre processos de tratamento que podem gerar riscos, com medidas de mitigação (art. 5º, XVII, LGPD). Na ISO/IEC 29134, são fornecidas diretrizes detalhadas para condução de Privacy Impact Assessments.

Na ISO/IEC 27555, processo de eliminação irreversível de dados pessoais, de modo que não possam ser acessados ou recuperados. Difere do bloqueio, que é suspensão temporária do acesso. As regras de remoção definem condições, prazos e mecanismos para eliminação.

Direito do titular de retirar consentimento a qualquer momento, por procedimento gratuito e facilitado (art. 8º, §5º, LGPD). Não afeta a licitude do tratamento anterior.

Efeito da incerteza nos objetivos (ISO 31000:2018, 3.1). Pode ser positivo, negativo ou ambos, e pode abordar, criar ou resultar em oportunidades e ameaças. Normalmente expresso em termos de fontes de risco, eventos potenciais, suas consequências e suas probabilidades. No contexto de proteção de dados, inclui riscos aos direitos e liberdades dos titulares.

Risco remanescente após o tratamento de riscos (ISO 31000:2018). Na ISO/IEC 27001, a organização deve aceitar formalmente os riscos residuais de segurança da informação que não podem ser mitigados a níveis aceitáveis. Deve ser documentado e aprovado pela alta direção.

Órgão do Ministério da Justiça e Segurança Pública com competência para formulação, promoção, supervisão e coordenação da política nacional de proteção e defesa do consumidor. Interface relevante com a proteção de dados na medida em que violações de dados pessoais frequentemente configuram também violação de direitos do consumidor. Atua de forma coordenada com a ANPD.

Extensão do SGSI que incorpora requisitos adicionais de privacidade conforme a ISO/IEC 27701. Permite às organizações demonstrar conformidade com legislações de proteção de dados (LGPD, GDPR) por meio de uma estrutura certificável e auditável.

Parte do sistema de gestão global, baseada na abordagem de riscos do negócio, para estabelecer, implementar, operar, monitorar, analisar criticamente, manter e melhorar a segurança da informação (ISO/IEC 27001). Inclui estrutura organizacional, políticas, atividades de planejamento, responsabilidades, práticas, procedimentos, processos e recursos.

Penalidades aplicáveis pela ANPD (art. 52, LGPD). Incluem advertência, multa de até 2% do faturamento (limitada a R$ 50 milhões), multa diária, publicização, bloqueio, eliminação, suspensão e proibição de atividades de tratamento.

Abordagem que integra segurança em todas as fases de desenvolvimento de sistemas e processos.

Preservação da confidencialidade, integridade e disponibilidade da informação (ISO/IEC 27000:2018, 3.28). Pode envolver outras propriedades como autenticidade, responsabilização, não repúdio e confiabilidade. Princípio da LGPD (art. 6º, VII).

Cláusulas contratuais padronizadas para transferências internacionais de dados (art. 33, II, c, LGPD; art. 46, GDPR).

Pessoa contratada pelo operador para auxiliar no tratamento em nome do controlador. Na ISO/IEC 27701, tratada como subcontratada de PII Processor (controle B.8.5), com requisitos de contrato, controle e auditoria.

Pessoa natural a quem se referem os dados pessoais (art. 5º, V, LGPD). Na ISO/IEC 29100 e ISO/IEC 27701, denominado PII Principal. Titular de direitos previstos nos arts. 17 e 18 da LGPD.

Grau de variação que a organização está disposta a aceitar em relação ao nível de risco definido pelo apetite ao risco. Difere do apetite ao risco por ser mais específica e operacional. Define faixas aceitáveis de desvio na implementação de controles e tratamento de riscos.

Transferência de dados pessoais para país estrangeiro ou organismo internacional (art. 5º, XV, LGPD). Na ISO/IEC 27701, o controle A.7.5.2 estabelece requisitos para identificação e documentação das bases para transferências transfronteiriças de PII.

Princípio da LGPD (art. 6º, VI) que garante informações claras, precisas e acessíveis sobre o tratamento. Na ISO/IEC 29184, materializa-se nos requisitos de avisos de privacidade online.

Toda operação realizada com dados pessoais, incluindo coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração (art. 5º, X, LGPD). Na ISO/IEC 29100, denominado PII processing.

Processo para modificar o risco (ISO 31000:2018, 6.5). As opções incluem: evitar o risco, assumir ou aumentar o risco para perseguir uma oportunidade, remover a fonte de risco, alterar a probabilidade, alterar as consequências, compartilhar o risco ou reter o risco. Na ISO/IEC 27001 (cláusula 6.1.3), deve resultar em um plano de tratamento de riscos e na Declaração de Aplicabilidade (SoA).

Modelo fundamental de segurança da informação que compreende três propriedades essenciais: confidencialidade (proteção contra acesso não autorizado), integridade (proteção contra alteração não autorizada) e disponibilidade (garantia de acesso quando necessário). Base conceitual da ISO/IEC 27001 e da disciplina de segurança da informação como um todo.

Hipóteses do art. 15 da LGPD: finalidade alcançada, fim do período, revogação do consentimento ou determinação da ANPD. Após o término, dados devem ser eliminados, salvo exceções do art. 16.

Comunicação, difusão, transferência internacional, interconexão de dados ou tratamento compartilhado de bancos de dados por órgãos públicos ou entre estes e entes privados (art. 5º, XVI, LGPD).

Exposição não autorizada de dados pessoais. Quando envolver risco ou dano relevante, gera obrigação de comunicação à ANPD e aos titulares (art. 48, LGPD). Na ISO/IEC 27701, sujeito aos requisitos de gestão de incidentes de segurança (cláusula 6.13).

Fraqueza de um ativo ou controle que pode ser explorada por uma ou mais ameaças (ISO/IEC 27000:2018, 3.77). No contexto de proteção de dados, pode ser técnica (software desatualizado, configurações inseguras), organizacional (falta de políticas, treinamento insuficiente) ou humana (engenharia social, erro humano). A gestão de vulnerabilidades é controle obrigatório da ISO/IEC 27002 (controle 8.8).

Órgão consultivo independente criado pelo art. 29 da Diretiva 95/46/CE, composto por representantes das autoridades de proteção de dados dos Estados-membros da UE. Foi substituído pelo EDPB com a entrada em vigor do GDPR em 2018. Suas opiniões e pareceres (Opinions e Working Documents), embora formalmente superados, continuam sendo referência doutrinária fundamental em temas como consentimento, legítimo interesse, decisões automatizadas e transferências internacionais de dados.

Modelo de arquitetura de segurança baseado no princípio de que nenhum usuário, dispositivo ou sistema deve ser automaticamente confiável. Requer verificação contínua de identidade, contexto e conformidade. Alinha-se aos princípios da LGPD de segurança (art. 6º, VII) e prevenção (art. 6º, VIII), e ao conceito de controles de acesso da ISO/IEC 27002 (controle 5.15).