Dados Pessoais: Passou da hora de sua empresa ter um responsável legal

Ao instituir 28 de janeiro como o Dia Internacional da Privacidade e Proteção de Dados – Data Privacy & Protection Day –, em 2006, o Conselho da Europa teve como objetivo enfatizar a importância do tema e conscientizar a população para a proteção de seus dados pessoais. Após o início da aplicação da General Data Protection Regulation (GDPR) na Europa, em maio do ano passado, e da criação da Lei Geral de Proteção de Dados (LGPD) no Brasil, que entrará em vigor a partir de agosto de 2020, o assunto entrou definitivamente na pauta de empresas de todos os portes e setores e, mais do que isto, de todos os cidadãos.

Tanto a GPDR como a LGPD têm o intuito principal de aumentar a privacidade dos dados pessoais e permitir ao proprietário destes dados maior controle sobre os mesmos ou, em outras palavras, deixar mais equilibrado o arbítrio sobre estes dados entre o proprietário e a empresa que trata seu dado pessoal em seus processos de negócio. E, para nortear as mudanças que as empresas precisam começar a realizar desde já, são indispensáveis o comprometimento da alta administração e das áreas de negócio e a revisão do ciclo de vida destas informações, minimizando a presença de dados pessoais e implementando controles de proteção adequados aos mesmos.

“Apesar de frequentemente realçarmos a complexidade da adequação às definições da lei, a realidade é que a LGPD é uma boa notícia para o nosso ambiente de negócios. A GDPR e a nova lei de privacidade da Califórnia, por exemplo, só permitem o compartilhamento dos dados pessoais, para atividades como uma prestação de serviços ou parceria, com empresas localizadas em países que possuam legislação similar. Desta forma, se a LGPD não fosse aprovada aqui, as empresas brasileiras teriam problemas em suas relações comerciais com diversos países”, comenta Dani Dilkin, Associate Managing Director da Kroll e responsável pela área de Cyber para a América Latina.

Dilkin aponta algumas medidas iniciais que podem ser adotadas pelos mais diversos perfis de empresas.

1- Entender como a sua empresa será afetada pela Lei Geral de Proteção de Dados. Dependendo do seu tamanho, o ambiente pode variar em sua complexidade. No caso de uma empresa de grande porte, com bastante relevância no mercado, um ano e meio para fazer as adequações é, na verdade, um espaço de tempo bastante curto. Um trimestre perdido no processo de adaptação, por exemplo, pode fazer falta quando a lei entrar em vigor. Desta forma, o período de adaptação precisa ser iniciado imediatamente. O desafio para se adequar é, em alguns aspectos, menor para empresas de pequeno porte, porém, é necessário ressaltar que a LGPD se aplica de maneira igual para empresas pequenas e grandes.

2- Nomear o DPO (Data Protection Officer). Definir quem será o responsável legal pelos dados é crucial. A função do DPO é responder pela proteção de dados pessoais de uma empresa, principalmente caso ocorra vazamento de dados. Idealmente esta figura precisa estar integrada ao processo desde o princípio do mapeamento de dados de maneira a acompanhar e a influenciar todo este processo.

3- Buscar apoio externo. É muito difícil perceber todas as mudanças necessárias na estrutura da empresa apenas com o olhar interno. Por isso, o ajuste se torna mais efetivo com o acompanhamento de assessorias jurídicas e de proteção de dados, pois ambas se complementam.

4- Criar alianças entre as diversas áreas. Buscar conformidade não é só ofício das áreas de segurança, jurídica e de TI. O esforço não se restringe a estes segmentos, mas também depende da decisão da empresa em adequar o seu processo de negócio e integrar, por exemplo, a participação da alta administração e da área comercial. A criação de um olhar múltiplo para estas mudanças melhora projetos de proteção de dados.

5- Fazer o mapeamento dos dados que a empresa detém. Com a análise de seus processos de dados, distinção da relevância dos dados e localização do banco onde eles se concentram, é possível esquematizar como se dará a otimização. A partir deste mapeamento, se torna possível entender, na especificidade de cada processo de negócio, quais informações precisarão ser tratadas. E, assim, trabalhar com a menor quantidade de dados possível, utilizando apenas o necessário.

6- Avaliar o impacto e o risco à privacidade associados aos dados. Juntamente ao mapeamento, dar prioridade para determinados bancos de dados devido a seu impacto é uma opção para preservar informações importantes, que possuem maior urgência para serem analisadas e protegidas.

7- Planejar os ajustes necessários. Ajustes de contratos e de sistemas, mudanças nos processos, eliminação de dados, revisão de quem pode acessar ou não, capacidade de monitoração e de resposta são algumas das principais medidas.

8- Utilizar referências do que tem sido feito na Europa. Como a GDPR foi criada em 2016 e já está em vigor desde maio de 2018, nos países europeus há uma maior maturidade para lidar com os requisitos da lei e, portanto, um conjunto de documentos que clarificam objetivos e controles associados à lei.

9- Documentar adequadamente o tratamento de dados pessoais. Documentar e manter atualizada a lista dos processos de negócio que tratam dados pessoais, a justificativa para o tratamento destas informações e o inventário de ativos e fluxo de dados, entre outros. Documentação e processos maduros são primordiais para cumprir a lei de maneira sustentável.

*Com informações da Kroll