Brasil e União Europeia formalizaram nesta terça-feira (27), no Palácio do Planalto, em Brasília, um acordo de reconhecimento mútuo dos padrões de proteção de dados entre os dois territórios. A cerimônia contou com a presença do presidente em exercício, Geraldo Alckmin, e do comissário da União Europeia para Democracia, Justiça, Estado de Direito e Proteção ao Consumidor, Michael McGrath.

A medida estabelece que as normas brasileiras e europeias sobre o tratamento de dados pessoais e empresariais passam a ser consideradas equivalentes, criando um ambiente comum para transferências internacionais de informações. O objetivo é ampliar a segurança jurídica, reduzir custos operacionais e facilitar relações comerciais e institucionais entre Brasil e União Europeia.

Reconhecimento de padrões e impacto nas transferências de dados

Durante o evento, Alckmin destacou que a União Europeia é o segundo maior parceiro comercial do Brasil, atrás apenas da China, e um dos principais investidores diretos no país. Segundo ele, o acordo pode estimular investimentos recíprocos e impulsionar o comércio digital. O vice-presidente também lembrou que este é o primeiro acordo bilateral do Brasil sobre proteção de dados, e representou o presidente Luiz Inácio Lula da Silva, que cumpre agenda oficial no Panamá.

A decisão indica que a Comissão Europeia reconhece o Brasil como um país com nível adequado de proteção de dados pessoais. Em sentido equivalente, a Agência Nacional de Proteção de Dados (ANPD) atesta que a União Europeia mantém padrões compatíveis com a Lei Geral de Proteção de Dados Pessoais (LGPD).

Michael McGrath afirmou que o reconhecimento cria uma área comum de confiança para mais de 670 milhões de pessoas, ao somar as populações dos dois territórios. Segundo o comissário, a decisão cobre tanto os setores públicos quanto privados e abre caminho para o fluxo mais livre de dados entre governos, empresas e cidadãos.

Leia mais:

• LGPD: qual a diferença entre dados pessoais, sensíveis e anonimizados?
• Descubra se suas senhas já vazaram na internet
• Quais documentos oficiais possuem versões digitais e como usá-los

A ANPD classificou a medida como um marco para a economia digital e para a consolidação de direitos fundamentais em um cenário cada vez mais orientado por dados. O presidente da agência, Waldemar Gonçalves Ortunho Júnior, explicou que o reconhecimento recíproco permite que as transferências internacionais de dados pessoais ocorram de forma direta e simplificada, sem a necessidade de mecanismos adicionais previstos para outros países.

De acordo com ele, a chamada decisão de adequação garante que os dados de brasileiros transferidos para a União Europeia recebam proteção equivalente à assegurada aos cidadãos europeus. A ANPD também informou que a medida não se aplica a transferências realizadas exclusivamente para fins de segurança pública, defesa nacional, segurança do Estado ou investigações criminais.

O post Brasil e UE reconhecem equivalência em proteção de dados apareceu primeiro em Olhar Digital.

Na era digital, com a quantidade cada vez maior de dados e informações que compartilhamos online, fica mais e mais difícil mantê-los seguros, pois os hackers fazem de tudo para encontrar uma brecha nos sistemas de internet.

Praticamente todos os dias vemos notícias de vazamento de dados, como senhas, nomes completos, endereços, etc. Um dos mais recentes, por exemplo, envolveu o Gmail, com milhões de senhas vazadas. E isso ocorre no mundo todo, em maior ou menor escala, como o caso que o Olhar Digital vai contar abaixo.

Vazamento de dados via CPF estava acontecendo sutilmente

Na semana passada, o Olhar Digital recebeu uma denúncia do ethical hacker Luiz Le Fort, na qual o portal de venda e compra de ingressos BuyTicket estava vazando dados apenas com a inserção de seu CPF. Contudo, a forma como isso estava acontecendo era “invisível” a quem pouco ou não conhece informática. Funcionava assim:

• Você abria o site da BuyTicket, entrava na área de login e, então, em “Cadastrar“;
• A seguir, ao digitar seu CPF e clicar fora da caixa de inserção do número do documento, a caixa de baixo, na qual deveria ser digitado seu nome, o trazia automaticamente — ou seja, seu nome era exibido apenas com a inserção de seu CPF;
• Mas demais dados também estavam vazando. No caso, era necessário acionar a opção “Inspecionar” do navegador para ver o que estava acontecendo. Nesta página, desenvolvedores podem analisar informações da página HTML do site;
• Uma vez nessa página, ao acessar uma categoria específica, um código apresentava várias outras informações da pessoa, como endereço, nome da mãe, telefone e, até, o signo chinês;
• O time de tecnologia do Olhar Digital foi acionado e confirmou o vazamento.
• Detalhe: fizemos alguns testes e ninguém tinha cadastro prévio no site.

Entramos em contato com a BuyTicket para informar o que estava acontecendo. Em resposta, a empresa afirmou que o sistema utilizado é legal.

“Esclarecemos que o processo mencionado faz parte do nosso fluxo de Know Your Customer (KYC), etapa essencial para a validação e segurança de novos cadastros em nossa plataforma. O KYC é um procedimento amplamente utilizado por empresas que realizam transações financeiras — como bancos, e-commerces e serviços digitais — tendo como principal objetivo verificar a identidade dos usuários e prevenir fraudes“, explicou, em nota.

Ainda, a empresa salientou que seu website utiliza APIs responsáveis por consultar dados públicos e privados, incluindo a Receita Federal. “A ferramenta citada é de uso aberto e pode ser contratada por qualquer companhia“, prosseguiu.

Porém, a BuyTicket admitiu a vulnerabilidade e informou que corrigiria o problema. Após este contato, realizamos um novo teste e, de fato, as informações vazadas não estão mais aparecendo.

“Reforçamos que, diante da situação apontada, removemos consultas desnecessárias e mantivemos apenas o mínimo estritamente necessário para assegurar a proteção de nossos clientes e de toda a operação”, afirmou, garantindo que, “apesar do uso do KYC, nenhum dado de usuário cadastrado em nossa base foi exposto“.

Leia mais:

• 8 dicas práticas e simples para melhorar a sua segurança online
• Como proteger suas redes sociais de golpistas
• Foi hackeado? Confira 8 dicas para aprender a se prevenir contra cibercriminosos

Parte jurídica

Leandro Alvarenga, consultor de privacidade e segurança e colunista do Olhar Digital, afirmou que o incidente demonstra “indícios claros” de violação à Lei Geral de Proteção de Dados (LGPD), “em especial aos princípios da segurança, da prevenção e da confidencialidade”.

O especialista disse que isso está comprovado pela resposta dada pela empresa ao Olhar Digital. “A própria manifestação da empresa confirma que o incidente decorreu de falha de programação em sua integração via API”, continuou.

Ele explicou ainda que, apesar de parte das informações serem de bases públicas, é de responsabilidade da companhia como vai tratar tais dados, “devendo observar os deveres de sigilo e de adoção de medidas técnicas e administrativas aptas a proteger os dados de acessos não autorizados”.

Alvarenga também questiona a justificativa dada pela BuyTicket de que a ferramenta utilizada no website é aberta e que qualquer outra empresa pode utilizá-la, indicando que isso “não exime o controlador de responsabilidade”.

“O fato de utilizar um provedor de dados público ou privado não autoriza a exposição desses dados em ambiente acessível ao público, tampouco o tratamento sem base legal ou sem medidas adequadas de segurança”, detalhou.

O consultor de segurança também indicou os passos que a BuyTicket deveria realizar após constatar a vulnerabilidade:

• Comunicar imediatamente o incidente à Autoridade Nacional de Proteção de Dados (ANPD), indicando a natureza dos dados afetados, medidas técnicas e de segurança utilizadas, riscos envolvidos e medidas adotadas;
• Notificar os donos dos dados vazados, caso o ocorrido possa trazer riscos ou danos relevantes, permitindo que tomem providências para se protegerem de cibercriminosos;
• Documentar internamente o fato e revisar seus fluxos de segurança, de modo que evite que isso se repita;
• Revisar as integrações de APIs e o uso de serviços de terceiros, “assegurando que contratos e protocolos de comunicação prevejam medidas adequadas de segurança e de confidencialidade”.

Alvarenga ainda ressaltou a necessidade do cumprimento de boas práticas de KYC e trabalhar as boas maneiras em conjunto com a LGPD. “O uso de tais procedimentos deve sempre estar condicionado aos princípios da necessidade, minimização e finalidade, de modo que apenas os dados estritamente necessários sejam tratados, e jamais expostos de forma inadvertida”, afirmou.

O Olhar Digital entrou novamente em contato com a BuyTicket para questionar se entraria (ou se já entrou) em contato com a ANPD para informar a situação e se informou as pessoas afetadas pela vulnerabilidade. Estamos aguardando o retorno e, assim que o tivermos, atualizaremos esta reportagem.

O post De CPF a signo chinês: site de venda de ingressos vazava seus dados apareceu primeiro em Olhar Digital.

A suspensão dos serviços da World no Brasil pegou muita gente de surpresa. A empresa foi obrigada a interromper a coleta de íris de cidadãos após uma decisão da Autoridade Nacional de Proteção de Dados (ANPD). O processo era feito mediante a promessa de pagamento em criptomoeda, o que, segundo relatos obtidos pelo g1, não se concretizou para muitos brasileiros.

Com valor aproximado de R$ 600, o chamado “Worldcoin” era transferido para um aplicativo da empresa em até 24 horas após a coleta da biometria. No total, cada brasileiro receberia 48 moedas, sendo 20 enviadas no primeiro dia e outras 28 ao longo de um ano.

De acordo com a reportagem, os participantes não estão conseguindo acessar o aplicativo criado para armazenar o dinheiro. Além disso, esse é o principal meio de comunicação oficial com a empresa.

“Tentei entrar em contato pelo chat do app várias vezes e o problema não foi resolvido. Então, decidi vir aqui na loja. Aí me disseram que talvez eu tenha sido banida por alguma atividade suspeita. Mas que atividade? Não sei, e não deixei ninguém mexer no celular. Perdi a conta e o dinheiro”, contou ao site Vivian Caramaschi, de 48 anos.

Quem também não conseguiu entrar na plataforma para sacar a primeira parcela do pagamento foi Marilis Casco Morales, de 24 anos, que escaneou a íris em dezembro do ano passado. “Desinstalei o aplicativo e baixei novamente. Na hora de digitar a senha, o app diz que está errada”, relatou ao g1.

Durante uma visita a um dos 55 endereços da World em São Paulo, a reportagem do g1 conversou com Elaine Oliveira, de 40 anos, que perdeu a conta no aplicativo e não conseguiu resgatar a segunda parcela prometida pela empresa.

“Eu perdi a minha senha e não consegui mais entrar e sacar. Tentei falar no suporte e não consegui porque não tem opção para recuperar a conta. A atendente aqui informou que não tem como eu resgatar e nem fazer novamente a verificação”, afirmou.

A Associação Brasileira de Defesa do Consumidor (Proteste) informou que está acompanhando a situação e ponderou que o tema exige uma análise mais profunda por se tratar de um “assunto novo”.

Leia Mais:

• “Pague com o rosto”: pagamentos com biometria facial podem ser o futuro das transações
• Tecnologia brasileira: cartão com biometria promete mais segurança
• Conheça o primeiro aeroporto do mundo a exigir embarque 100% biométrico

Empresa de Sam Altman na mira das autoridades

Na última terça-feira (11), como relatado pelo Olhar Digital, a ANDP negou um pedido feito pela World — idealizada pelo CEO do ChatGPT, Sam Altman — de ampliação do prazo para alterar a política de compensação financeira em troca da coleta da biometria. 

“A decisão reforça o compromisso da ANPD com a defesa dos direitos fundamentais de privacidade e a proteção dos dados pessoais, garantindo que essas prerrogativas sejam respeitadas nas atividades de tratamento de dados pessoais no país”, escreveu o órgão.

O objetivo do projeto World ID é criar um código de validação impossível de ser reproduzido por inteligência artificial. A empresa lidera o desenvolvimento de uma câmera chamada “Orb” que vai diferenciar humanos de robôs e IAs.

O post Brasileiros não são pagos após escanear íris para projeto World ID apareceu primeiro em Olhar Digital.

A Autoridade Nacional de Proteção de Dados (ANPD) comunicou, neste fim de semana, que representantes do X (ex-Twitter) serão convocados para prestar esclarecimentos sobre a nova política de privacidade envolvendo IA.

A medida vem depois que a rede social mudou as regras e deixou claro que usa dados de usuários para treinamento da inteligência artificial (IA). No entanto, para alguns casos, não há como optar por não participar.

Relembre mudança polêmica na política de IA do X

O anúncio da mudança nas políticas de privacidade do X foi reportado pelo Olhar Digital aqui. Relembre:

• A nova regra deixa claro que a plataforma está coletando os dados de usuários para treinamento da IA interna e de terceiros;
• No entanto, ao contrário do que acontece com o compartilhamento de dados para terceiros, em que é possível optar por não participar, o X não permite “desligar” essa opção para o treinamento de seus próprios modelos internos;
• Ou seja, se quiserem usar a rede social, os usuários terão seus dados utilizados para alimentar a IA da empresa, independentemente de suas preferências. Caso não queiram ceder, terão que parar de usá-la;
• A medida está marcada para entrar em vigor em 15 de novembro, mas logo chamou a atenção de órgãos de fiscalização de privacidade, como a ANPD.

X terá que explicar treinamento de IA

Em comunicado, a ANPD escreveu que o X terá que se justificar quanto aos impactos da alteração na proteção dos dados pessoais dos usuários. Caso constate risco grave de proteção, a autoridade pode tomar medidas cabíveis. Veja:

Acerca do recente anúncio de alteração dos termos de uso, a fiscalização convocará a empresa para prestar esclarecimentos especificamente quanto aos impactos da alteração na proteção dos dados pessoais dos usuários da plataforma. Caso seja percebido risco de grave dano à proteção de dados ou à privacidade dos titulares, outras medidas poderão ser tomadas.

Autoridade Nacional de Proteção de Dados (ANDP), em nota

Leia mais:

• Como bloquear publicações de política no X (antigo Twitter)
• Polêmico? X vai permitir que contas bloqueadas vejam suas publicações
• Como monetizar uma conta no Twitter/X

ANPD já fiscalizou rede social antes

Essa não é a primeira vez que a ANPD fiscaliza a rede social de Elon Musk. Em julho, a autoridade avaliou a conformidade do uso de dados pessoais de usuários para treinamento da IA Generativa Grok em relação à Lei Geral de Proteção de Dados (LGPD). Relembre o caso aqui.

Em caso semelhante, a agência brasileira emitiu medida cautelar contra a Meta, empresa dona de Instagram, Facebook e WhatsApp, devido ao uso de publicações de usuários para alimentar seus modelos de linguagem. Na época, a ANPD argumentou que esse tipo de prática representa “risco iminente de dano grave e irreparável” aos direitos dos usuários.

No comunicado, a autoridade esclareceu que focará nas alterações anunciadas na política de privacidade e que o X tem respondido às solicitações de informação até agora.

O post ANPD: X (ex-Twitter) terá que se explicar por nova política de privacidade polêmica de IA apareceu primeiro em Olhar Digital.