Adequação à LGPD: como saber o que você realmente precisa contratar

Por Vanderlei Mendes Antão

Você não precisa se tornar especialista em proteção de dados para administrar seu negócio, seja uma empresa, clínica, escritório, associação, igreja ou outra entidade.

É natural delegar assuntos técnicos. O empresário contrata um contador porque não pretende dominar todas as obrigações contábeis e tributárias. Procura especialistas em tecnologia, medicina do trabalho, segurança, contratos e outras áreas porque precisa administrar sua atividade principal.

Com a Lei Geral de Proteção de Dados Pessoais ocorre algo semelhante.

O problema começa quando delegar o assunto é confundido com ter o problema resolvido.

Muitos gestores contratam uma adequação à LGPD, recebem documentos, realizam um treinamento, indicam alguém como responsável e seguem administrando a organização com a percepção de que aquela questão foi solucionada.

Mas o que exatamente foi contratado?

E, principalmente: o que acontecerá quando a organização realmente precisar utilizar aquilo que contratou?

Essa diferença pode permanecer invisível durante muito tempo.

“Já deixei alguém cuidando da LGPD”

Delegar é normal. O gestor não precisa executar pessoalmente todas as atividades especializadas da organização.

O problema está em não saber o que foi efetivamente delegado.

Dizer que “o jurídico cuida da LGPD”, “o TI vê essa parte”, “o contador resolve” ou “contratamos uma adequação” não responde a algumas questões práticas:

• Quem acompanha as mudanças na forma como os dados pessoais são utilizados?
• Quem avalia os impactos da contratação de um novo sistema?
• Quem orienta o RH?
• Quem verifica o compartilhamento de dados com um fornecedor?
• Quem atende uma solicitação de um titular?
• Quem mantém os documentos atualizados?
• Quem orienta a organização diante de um incidente?

Se essas respostas não estão claras, pode existir uma diferença entre ter alguém associado ao assunto e possuir uma estrutura efetivamente funcionando.

A organização muda, mas a adequação à LGPD pode permanecer parada

Imagine que sua organização tenha realizado um projeto de adequação há dois anos.

Naquele momento, foram mapeados sistemas, fornecedores, contratos e atividades.

Depois disso, a organização adotou outro sistema de gestão, começou a utilizar uma nova ferramenta de marketing, contratou armazenamento em nuvem, modificou processos do RH, passou a utilizar inteligência artificial e substituiu alguns fornecedores.

Os documentos continuam exatamente como estavam.

Essa é uma das razões pelas quais conformidade não pode ser compreendida apenas como documentação.

A operação é dinâmica.

Consequentemente, a governança sobre o tratamento de dados pessoais também precisa acompanhar essas mudanças.

Uma política pode estar juridicamente bem redigida e, ainda assim, deixar de representar aquilo que acontece na rotina.

É por isso que a documentação precisa ser viva: revisável, atualizável e conectada às decisões reais da organização.

O problema pode aparecer quando alguém pede uma resposta

Durante meses ou anos, talvez ninguém questione sua estrutura.

Então um cliente importante envia um questionário de privacidade.

Um contrato exige determinadas evidências.

Um titular solicita informações sobre seus dados pessoais.

Um parceiro questiona os procedimentos adotados.

A Agência Nacional de Proteção de Dados solicita esclarecimentos.

Ou ocorre um incidente de segurança.

Nesse momento, a pergunta deixa de ser:

“Temos documentos de LGPD?”

E passa a ser:

“Conseguimos demonstrar como tratamos dados pessoais na prática?”

Essa diferença é importante porque determinadas evidências não são produzidas adequadamente apenas quando alguém resolve solicitá-las.

Elas resultam de processos que já deveriam estar funcionando.

Pagar por uma adequação sem saber exatamente o que está comprando

Esse problema é particularmente relevante para pequenas empresas, profissionais liberais, autônomos e microempreendedores.

Quem não trabalha diariamente com proteção de dados dificilmente conhece a diferença entre:

• elaborar documentos;
• realizar um projeto de adequação;
• implementar processos;
• manter a conformidade;
• atualizar o mapeamento das atividades;
• orientar decisões cotidianas;
• atuar como Encarregado pelo tratamento de dados pessoais;
• preparar uma organização para responder a incidentes.

Para o comprador, tudo isso pode estar resumido em uma expressão:

“Preciso adequar LGPD.”

É justamente aí que existe risco de uma contratação incompatível com a necessidade real.

Isso não significa necessariamente que o serviço oferecido esteja errado.

Uma proposta pode entregar exatamente aquilo que promete.

O problema ocorre quando o gestor acredita estar comprando uma solução mais ampla do que o escopo efetivamente contratado.

Uma adequação documental pode produzir bons documentos.

Mas quem os atualizará?

Um treinamento pode orientar a equipe.

Mas quem orientará um novo colaborador contratado seis meses depois?

Um mapeamento pode representar corretamente a organização hoje.

Mas quem o atualizará quando um novo sistema for contratado?

O gestor precisa saber fazer essas atividades?

Não.

Mas precisa saber que elas existem para conseguir contratar quem as fará.

Antes de comparar preços, compare o que está sendo oferecido

Duas propostas denominadas “adequação à LGPD” podem oferecer serviços muito diferentes.

Por isso, antes de comparar somente valores, é importante encontrar respostas claras para algumas questões:

• O projeto termina com a entrega dos documentos?
• Quem implementará os processos definidos?
• Quem atualizará os documentos quando a operação mudar?
• Existe acompanhamento depois da adequação?
• Quem atenderá solicitações de titulares?
• Quem orientará a contratação de novos sistemas e fornecedores?
• Existe suporte em caso de incidente?
• Quem avaliará se um incidente precisa ser comunicado?
• Quem auxiliará no relacionamento com a Agência Nacional de Proteção de Dados?
• A resposta a incidentes faz parte do serviço ou será uma contratação adicional?
• Existe uma estrutura previamente definida para situações de crise?

Essas perguntas não transformam o empresário em especialista.

Elas permitem que ele compre conscientemente.

Empresa pequena não significa necessariamente risco pequeno na LGPD

Outro erro é avaliar a necessidade de proteção de dados somente pelo número de empregados, pelo faturamento ou pelo tamanho físico da organização.

Considere uma pequena clínica com quatro profissionais que atende crianças ou idosos e trata dados de saúde, prontuários, exames e outras informações sensíveis.

Agora pense na padaria da esquina, com uma equipe muito maior, que, em determinada atividade, trata apenas dados cadastrais básicos de seus clientes.

O tamanho da equipe, sozinho, não permite dizer qual delas está mais exposta aos riscos relacionados ao tratamento de dados pessoais.

O mesmo raciocínio vale para atividades que, à primeira vista, parecem semelhantes.

Imagine uma pequena empresa especializada na entrega de medicamentos, exames ou materiais relacionados à saúde. Dependendo de como o serviço é organizado, as informações utilizadas na entrega podem revelar dados sobre a saúde do destinatário ou outras informações sensíveis.

Compare essa situação com a de um entregador de aplicativo que recebe, para determinada entrega de refeição, informações como nome, endereço e os dados necessários para localizar o destinatário e concluir a entrega.

Nos dois casos existe uma entrega. Nos dois casos existem dados pessoais. Nos dois casos existe a necessidade de adequação à LGPD.

Mas os dados envolvidos, o contexto em que são utilizados e as possíveis consequências para o titular podem ser muito diferentes.

Por isso, uma organização não deveria definir sua necessidade de adequação à LGPD apenas pelo faturamento, número de funcionários ou tamanho da estrutura.

Pequena estrutura não significa necessariamente pequeno risco.

Isso é particularmente importante para clínicas, consultórios, profissionais de saúde, escolas, entidades, associações e profissionais liberais.

Uma solução simplificada pode ser adequada para determinada pequena organização.

Para outra, com o mesmo número de pessoas, pode ser insuficiente.

O ponto de partida deve ser o tratamento realizado e seus riscos, não apenas o porte.

E se um incidente com dados pessoais acontecesse hoje?

Essa talvez seja uma das perguntas mais úteis para avaliar a preparação da organização:

Se algo envolvendo dados pessoais acontecesse hoje, você saberia quem chamar?

Um incidente pode exigir decisões em pouco tempo.

Quando um incidente de segurança puder acarretar risco ou dano relevante aos titulares, a regulamentação estabelece, como regra, que o controlador realize a comunicação à Agência Nacional de Proteção de Dados em três dias úteis, contados do conhecimento de que o incidente afetou dados pessoais.

Essa comunicação exige informações relevantes.

É necessário informar, entre outros aspectos, a natureza e as categorias dos dados afetados, o número de titulares, possíveis impactos, medidas de segurança utilizadas antes e depois do incidente, providências adotadas ou planejadas, operadores envolvidos e, quando possível, sua causa.

Algumas informações podem ser complementadas posteriormente, de maneira fundamentada.

O ponto relevante para o gestor não é decorar esses requisitos.

É compreender que o prazo para responder não começa quando a organização termina de se preparar.

Ele começa diante de uma situação concreta.

Não é durante a crise que a organização deveria descobrir como responder

Uma organização preparada precisa investigar o incidente.

Uma organização despreparada precisa investigar o incidente e, simultaneamente, descobrir:

• quem decide;
• quem possui as informações;
• quem conhece as exigências aplicáveis;
• quem avalia os riscos;
• quem contata fornecedores;
• quem orienta a comunicação;
• quem pode contratar especialistas;
• quem autoriza despesas emergenciais;
• quais documentos e registros existem.

A diferença é relevante.

Conhecimento especializado pode ser contratado depois do incidente.

Novos controles podem ser implementados.

Documentos podem ser atualizados.

Mas o tempo anterior ao incidente não pode ser recuperado.

Também pode ser difícil demonstrar posteriormente que determinado procedimento funcionava antes do problema quando ele somente foi criado depois.

Sua organização possui uma estrutura de crise?

A expressão “comitê de crise” pode parecer algo destinado apenas a grandes empresas.

Não é essa a ideia.

Uma organização com centenas de empregados pode reunir jurídico, tecnologia, segurança da informação, comunicação, direção e o Encarregado pelo tratamento de dados pessoais.

Um profissional liberal pode ter uma estrutura muito menor.

Talvez seja ele próprio, seu Encarregado externo, seu suporte de tecnologia e uma assessoria jurídica especializada.

O importante não é o tamanho do comitê.

É saber antes do problema quem será acionado, quem fará o quê e quem poderá tomar decisões.

Isso também envolve recursos financeiros.

Dependendo do incidente, pode ser necessário contratar rapidamente segurança da informação, perícia técnica, suporte jurídico ou outros profissionais especializados.

Descobrir durante uma crise que não existe orçamento previsto ou ninguém possui autorização para determinada contratação pode consumir um recurso que, naquele momento, é escasso: tempo.

Um comunicado de incidente pode ser apenas o início da análise

Comunicar um incidente à Agência Nacional de Proteção de Dados não significa automaticamente receber uma sanção.

Essa distinção é importante.

A regulamentação prevê um processo próprio para comunicação de incidentes. Durante sua análise, a Agência pode solicitar informações adicionais e, conforme o caso, registros das operações de tratamento, Relatório de Impacto à Proteção de Dados Pessoais e relatório de tratamento do incidente.

Também pode realizar auditorias ou inspeções para complementar ou validar as informações recebidas.

Dependendo das circunstâncias e dos descumprimentos constatados, a atuação regulatória pode evoluir.

Por isso, a organização não deveria compreender a comunicação simplesmente como uma “defesa do incidente”.

Ela pode precisar demonstrar o que fazia antes, como respondeu e o que fará depois.

E é nesse momento que documentos produzidos no passado, mas desconectados da operação, podem mostrar suas limitações.

Governança anterior ao problema pode fazer diferença

O Regulamento de Dosimetria e Aplicação de Sanções Administrativas considera diversos elementos na definição de eventual sanção.

Entre eles estão a cooperação, a boa-fé, a pronta adoção de medidas corretivas, políticas de boas práticas e governança e a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar danos.

A regulamentação também estabelece circunstâncias que podem atenuar uma eventual multa quando os respectivos requisitos estiverem presentes e forem comprovados.

Isso traz uma informação prática mais relevante para a gestão do que simplesmente repetir o valor máximo das multas previstas na legislação:

quando chega o momento de demonstrar conformidade, aquilo que a organização vinha fazendo pode importar.

Ter documentos é diferente de conseguir demonstrar que processos efetivamente funcionavam.

O dinheiro investido em LGPD também precisa produzir capacidade de resposta

Aqui aparece uma dor que muitos gestores somente percebem tarde.

A organização pode ter pago pela adequação.

Pode ter recebido documentos.

Pode ter realizado treinamento.

Pode até possuir algum certificado ou selo relacionado ao projeto contratado.

Mas, diante de uma situação concreta, descobre que precisa contratar novamente profissionais para entender o que aconteceu, organizar informações, atualizar documentos, avaliar riscos e construir uma estrutura que acreditava já possuir.

O problema não está necessariamente no valor que foi pago.

Está em não saber qual resultado aquele investimento deveria produzir.

Uma adequação não deve ser avaliada apenas pela quantidade de documentos entregues.

O gestor precisa compreender como aquela estrutura continuará funcionando depois da entrega.

Adequação, governança e capacidade de resposta não são a mesma coisa

Não existe uma solução única para todas as organizações.

Mas existem três necessidades que o gestor deveria saber distinguir.

1. Adequação à LGPD

É o trabalho de identificar como a organização trata dados pessoais, avaliar problemas e riscos, estruturar processos, identificar as hipóteses de tratamento aplicáveis, revisar contratos e implementar os documentos e controles necessários.

2. Governança contínua

É aquilo que mantém a adequação conectada à realidade depois do projeto inicial.

Novos sistemas, fornecedores, empregados, serviços, campanhas, contratos e atividades podem alterar a forma como dados pessoais são tratados.

Alguém precisa acompanhar essas mudanças e orientar as decisões necessárias.

3. Capacidade de resposta

É possuir previamente conhecimento, responsáveis, procedimentos, informações atualizadas, contatos e recursos para atuar quando surgir uma solicitação, uma exigência de mercado, uma atuação regulatória ou um incidente.

Essas três necessidades podem ser atendidas por estruturas internas, externas ou híbridas.

O importante é saber quais delas estão incluídas naquilo que está sendo contratado.

O Encarregado não deve aparecer apenas quando surge um problema

A atuação do Encarregado pelo tratamento de dados pessoais precisa ser compreendida dentro dessa lógica de continuidade.

Seu papel não se limita a receber mensagens de titulares ou aparecer formalmente em uma política de privacidade.

Uma atuação efetiva contribui para orientar a organização, acompanhar questões relacionadas ao tratamento de dados pessoais, apoiar a manutenção da governança e participar da preparação e da resposta a situações que exijam conhecimento especializado.

Para organizações que não possuem estrutura interna de privacidade, o Encarregado externo permite manter acesso contínuo a essa competência sem a necessidade de formar internamente toda uma área especializada.

Isso é particularmente relevante para pequenas empresas e profissionais que concentram várias funções em poucas pessoas.

Conhecimento suficiente para não comprar a solução errada

Se você chegou até aqui, não espero que saiba avaliar sozinho os riscos de cada tratamento de dados pessoais, decidir tecnicamente como responder a um incidente ou dominar os regulamentos da Agência Nacional de Proteção de Dados.

Esse não é o seu papel.

O que espero é que, a partir de agora, você saiba que essas necessidades existem e que elas podem fazer parte da realidade da sua organização, independentemente de ela ser uma pequena empresa, uma clínica, um escritório, uma associação, uma estrutura formada por poucos profissionais ou mesmo uma atividade em que você trabalha sozinho.

Espero também que algumas perguntas que talvez não existissem antes desta leitura passem a fazer parte da sua próxima contratação:

• O que exatamente estão me entregando?
• Vou receber apenas documentos ou os processos necessários também serão colocados em prática?
• A solução considera os dados pessoais que realmente trato e os riscos da minha atividade?
• Quem manterá processos e documentos atualizados quando minha atividade mudar?
• Quem estará disponível para orientar decisões envolvendo dados pessoais?
• Se um titular, cliente ou a Agência Nacional de Proteção de Dados solicitar informações, teremos condições de responder?
• Se ocorrer um incidente amanhã, quem será acionado, quem tomará as decisões e quais recursos estarão disponíveis?
• O suporte para essas situações está incluído no que estou contratando ou dependerá de uma nova contratação?

Você não precisa saber executar cada uma dessas atividades.

Precisa saber que elas existem para não ficar limitado àquilo que alguém decidiu oferecer como “adequação à LGPD”.

Essa é uma diferença importante.

Quando você conhece minimamente sua necessidade, consegue comparar propostas pelo que elas realmente entregam, questionar o que ficou fora do escopo e avaliar se a solução é compatível com a realidade e com os riscos da sua organização.

Também consegue compreender que uma estrutura pequena não significa necessariamente um risco pequeno e que receber documentos não significa, por si só, estar preparado para utilizá-los quando uma situação concreta exigir resposta.

É esse conhecimento que eu gostaria que você levasse deste artigo.

Não para assumir o trabalho de um especialista, mas para continuar delegando aquilo que não precisa executar pessoalmente sem abrir mão de compreender o que está delegando.

A conformidade precisa continuar funcionando depois da entrega.

E, na próxima vez que alguém lhe oferecer uma “adequação à LGPD”, você terá melhores condições de decidir se está comprando aquilo que sua organização realmente precisa.

Para saber mais sobre a Lei Geral de Proteção de Dados Pessoais (LGPD) acesse:
> Nossos artigos sobre a LGPD clicando aqui;
> O perfil da Dra. Kariny Antunes Farina no Instagram;
> A Lei Geral de Proteção de Dados Pessoais na íntegra no site gov.br;
> A Agência Nacional de Proteção de Dados Pessoais.
Ao clicar no link do Instagram e no link do site gov.br abrirá uma nova janela em seu navegador.