LGDP Implantada
Como pode-se considerar a LGPD implantada em uma organização?
Atingindo os objetivos abaixo descritos:
Nomeação do time da empresa
A LGPD prevê os agentes de tratamento de dados pessoais:
Controlador, que é a quem compete as decisões relativas ao tratamento;
Operador, que é quem realiza o tratamento, em nome do controlador.
Encarregado (DPO) que, com autonomia e estabilidade, é o responsável por atender as demandas dos titulares, interagir com a autoridade nacional (ANPD) e orientar funcionários e contratados quanto às práticas de proteção de dados pessoais – e ele poderá ou não ser exigido, a depender da natureza ou porte da empresa e do volume de dados tratados por ela.
Gestão dos dados, respeitando a privacidade
Identificar, entre as informações que gerencia, quais são dados pessoais (cheque também se há aqueles que exigem um tratamento ainda mais específico, como os dados sensíveis, e sobre crianças e adolescentes). Verifique os meios em que se encontram (físico ou digital).
Consentimento e suas evidências
O titular deve consentir, de forma explícita e inequívoca, que seus dados sejam tratados. E o empresário deve fazer esse tratamento levando em conta princípios da LGPD (finalidade, adequação, livre acesso, qualidade dos dados, transparência, prevenção, não discriminação, responsabilização).
Gestão adequada das exceções consideradas
O consentimento é a palavra-chave da LGPD. De modo geral, você não poderá enviar ofertas se o consumidor não permitir isso explicitamente. As exceções em que não é preciso o consentir é quando tratar dados for indispensável em situações relacionadas: a uma obrigação legal; a políticas públicas; a estudos via órgão de pesquisa; a um direito, em contrato ou processo; à preservação da vida e da integridade física de uma pessoa; à tutela de procedimentos feitos por profissionais das áreas da saúde ou sanitária; à prevenção de fraudes contra o titular; à proteção do crédito; a interesses legítimos da empresa, desde que esses interesses não firam direitos fundamentais do titular.
Apoio da alta liderança e dos colaboradores da empresa
A LGPD envolve mudanças profundas na forma de lidar com dados pessoais e, para que sejam aceitos na empresa, é preciso engajamento da diretoria e dos colaboradores. Para isso, é importante que gestores de dados e corpo funcional como um todo busquem conhecer boas práticas, participem de cursos de formação, entre outras ações.
Prevenção para sua infraestrutura
Elabore e adote procedimentos de governança para tratamento de dados pessoais, medidas preventivas de segurança. Replique boas práticas (por exemplo algumas das práticas do ITIL 4) e certificações aplicadas no mercado. As práticas de Gestão de Incidentes, Manutenção, Riscos, Medição, Relatórios e Disponibilidade atingem a maioria das necessidades para a qualidade e confiabilidade do sistema.
Gestão de algum imprevisto, inclusive com erros que causam algum problema para o titular
Construir planos de contingência para tratar incidentes de segurança e tratar os problemas com agilidade. Fazer auditorias de tempos em tempos é uma necessidade.
Transparência e proatividade
Ser ágil no atendimento aos pedidos do titular dos dados, segundo os critérios definidos pela LGPD e pela autoridade nacional será um diferencial. Se causou, comprovadamente, algum dano patrimonial, moral, individual ou coletivo, trate de forma conveniente. Defina medidas preventivas para que isso não mais volte a ocorrer. Tenha atenção, ainda, às questões sobre quando deve encerrar um tratamento e informe sobre o término ao titular. Utilize as práticas do ITIL 4 e do COBIT 5.
Âmbito Internacional, Extraterritorial
A LGPD se aplica a empresas que ou têm estabelecimento no Brasil, e/ou oferecem produtos e serviços ao mercado brasileiro, e/ou coletam e tratam dados de pessoas que estejam no país. Vale lembrar que não interessa: se o titular dos dados é brasileiro ou não; qual o meio de operação de tratamento dos dados (físico ou digital); qual o país sede da empresa; se os dados estão hospedados em datacenters no país ou não. Vale reforçar que a LGPD permite a transferência de dados além-fronteira, desde que seja: com o consentimento específico do titular; a pedido do titular para que esse possa executar pré-contrato ou contrato; para proteção da vida e da integridade física do titular ou de terceiros; para ajudar na execução de política pública; para país ou organismo internacional que projeta dados pessoais de forma compatível com o Brasil; para cooperar juridicamente com órgãos públicos de inteligência, investigação, ou por conta de compromisso assumido via acordo internacional; para cumprir obrigação legal; com a autorização da ANPD; comprovado que o controlador segue a LGPD na forma de normas globais, selos, certificados e códigos de conduta.
10. A LGPD pode ser uma solução para organizar a empresa
Hoje cada vez mais, as pessoas se preocupam com o que está sendo feito com seus dados, ou como eles estão sendo cuidados, gerenciados. Muitas empresas fingem que a Lei Geral de Proteção de Dados Pessoais não existe, mas ela, com suas exigências é hoje uma solução para organizar a organização. Prevenir e eliminar potenciais vazamentos de dados, suas multas decorrentes, as insatisfações de clientes e se manter vivo no mercado, vai depender de uma postura proativa.
O próximo desafio é o de manter sistematicamente a LGPD ativa na empresa, considerando todas dificuldades com flutuação de pessoas, processos e negócios.