Atendimento ao titular na LGPD: sua empresa sabe o que fazer quando uma solicitação chega?
Um cliente pede pelo WhatsApp para corrigir o telefone cadastrado.
Um empregado procura o RH para atualizar seu endereço. Um ex-empregado envia uma solicitação por e-mail. O SAC recebe uma pergunta sobre informações pessoais mantidas pela empresa.
Em outra situação, alguém quer saber quais dados a empresa possui a seu respeito ou solicita a exclusão de determinadas informações.
Nada disso é estranho à rotina empresarial.
Clientes, empregados, candidatos, fornecedores e outras pessoas já procuravam diferentes áreas da empresa para entregar documentos, atualizar informações, fazer solicitações ou esclarecer dúvidas muito antes da Lei Geral de Proteção de Dados Pessoais.
O que muda é que algumas dessas situações podem envolver direitos relacionados aos dados pessoais.
E então surge uma pergunta importante:
sua empresa sabe reconhecer quando uma solicitação cotidiana precisa ser tratada como uma demanda relacionada à proteção de dados pessoais?
SAC, RH, administrativo e WhatsApp continuam fazendo parte da rotina de atendimento ao titular na LGPD?
As pessoas procuram os canais que conhecem.
O cliente fala com o SAC, com o atendimento ou até com o vendedor.
O empregado procura o RH ou o conhecido “escritório”.
O fornecedor conversa com o administrativo.
E existem diferentes meios para isso: balcão, telefone, e-mail, formulário, aplicativo e WhatsApp.
A Lei Geral de Proteção de Dados Pessoais não exige que essas relações sejam substituídas por uma estrutura paralela.
O problema aparece quando uma solicitação relacionada aos dados pessoais chega a um desses pontos e a empresa não definiu o que deve acontecer a partir dali.
- Quem recebeu pode responder?
- Precisa encaminhar?
- Para quem?
- Quem acompanha a solicitação?
- Como saber se ela foi efetivamente atendida?
É nesse momento que uma situação cotidiana passa a revelar um problema de governança.
Nem toda atualização de dados precisa chegar ao Encarregado
Também não seria adequado transformar qualquer alteração cadastral em um complexo atendimento de privacidade.
Se um empregado informa ao RH que mudou de endereço, a atualização pode continuar seguindo o procedimento normal da empresa.
Se um cliente possui um canal para corrigir determinado dado cadastral, ele pode continuar utilizando esse caminho.
Manter os dados corretos e atualizados, inclusive, faz parte da qualidade das informações tratadas pela organização.
A situação exige outra atenção quando a solicitação envolve o exercício de direitos relacionados aos dados pessoais ou demanda uma análise específica sobre o tratamento realizado.
É o que pode acontecer quando alguém solicita informações sobre seus dados, questiona determinado tratamento, pede informações sobre compartilhamentos ou requer a eliminação de informações.
Nesses casos, uma resposta aparentemente simples pode exigir análise e participação de diferentes áreas.
O risco também está em responder sem um processo definido
Considere um pedido de exclusão de dados.
Quem recebe a solicitação pode imaginar que atender significa simplesmente apagar as informações.
Mas determinados dados podem precisar ser mantidos pela empresa por razões legítimas, inclusive para cumprimento de obrigações ou exercício de direitos.
Em outro caso, o titular pode querer saber quais informações são mantidas sobre ele.
Talvez parte esteja no sistema comercial, outra no financeiro e outra em documentos relacionados ao contrato.
O problema deixa de ser apenas encontrar os dados.
É necessário compreender a solicitação, envolver as áreas adequadas, definir a providência e apresentar uma resposta coerente.
Sem responsabilidades previamente estabelecidas, cada situação tende a depender da interpretação de quem recebeu a demanda.
Quando ninguém sabe para onde encaminhar, a solicitação começa a circular
O SAC encaminha para o administrativo.
O administrativo pergunta ao jurídico.
O jurídico precisa consultar outra área.
O RH recebe uma mensagem que deveria ter seguido outro caminho.
Em determinados casos, a solicitação pode nem sair do primeiro ponto de contato porque quem a recebeu não identificou a necessidade de encaminhamento.
Além do risco de atraso ou de uma resposta inadequada, existe outro efeito: mais pessoas passam a ter contato com uma demanda que poderia ter seguido diretamente para o fluxo apropriado.
Por isso, atendimento ao titular não depende apenas da existência de um endereço eletrônico.
A empresa precisa definir responsabilidades e preparar suas áreas para reconhecer essas situações.
Uma política de privacidade e um endereço eletrônico não substituem a estrutura necessária para que as demandas sejam efetivamente atendidas.
A Adequação à LGPD deve estruturar a governança de proteção de dados pessoais de acordo com a realidade da organização, incluindo responsabilidades, procedimentos e controles necessários para incorporar a conformidade à rotina empresarial.
Transparência também organiza o caminho da informação
Existe uma forma de reduzir parte desses encaminhamentos: facilitar para que o próprio titular encontre o canal adequado.
Quando uma pessoa não sabe a quem recorrer para tratar dos seus dados pessoais, é natural que procure o contato que já conhece.
O cliente fala com o SAC.
O empregado procura o RH.
O candidato responde ao recrutador.
O fornecedor escreve para o administrativo.
Portanto, transparência não serve apenas para informar.
Quanto mais fácil for identificar a quem recorrer e qual canal utilizar, maior tende a ser a possibilidade de a demanda chegar diretamente ao ponto adequado.
Isso reduz encaminhamentos internos e contribui para um atendimento mais organizado.
O titular consegue encontrar o Encarregado da sua empresa?
É comum que empresas publiquem uma política de privacidade e coloquem as informações do Encarregado somente nos últimos tópicos do documento.
Em outros casos, existe apenas um endereço eletrônico genérico.
Mas existe uma diferença entre a informação simplesmente estar publicada e estar efetivamente acessível.
Quando houver Encarregado pelo tratamento de dados pessoais, sua identidade e suas informações de contato devem ser divulgadas publicamente, de maneira clara, objetiva, destacada e de fácil acesso.
Isso faz sentido quando pensamos na finalidade dessa divulgação.
O titular precisa conseguir identificar a quem recorrer quando tiver uma questão relacionada aos seus dados pessoais.
Se o rodapé do site já reúne atendimento, SAC, ouvidoria e outros contatos institucionais, por exemplo, a organização pode avaliar a disponibilização de um acesso claro para privacidade ou proteção de dados pessoais naquele mesmo ambiente.
A política de privacidade continua cumprindo sua função informativa.
Mas não precisa ser o único caminho para encontrar o canal relacionado à proteção de dados.
A transparência também precisa considerar empregados e outros titulares
O site não é necessariamente o principal ponto de relacionamento com todas as pessoas cujos dados são tratados pela empresa.
Pense em uma indústria com centenas de empregados.
Quantos deles consultariam o site institucional para descobrir como entrar em contato sobre uma questão relacionada aos seus próprios dados?
A empresa normalmente já possui ambientes para comunicar informações relevantes aos trabalhadores: intranet, portal do empregado, RH, escritório administrativo, aplicativo corporativo ou quadro de comunicações.
Esses meios podem complementar a divulgação e aproximar a informação de quem efetivamente precisa utilizá-la.
O mesmo raciocínio vale para clientes atendidos presencialmente e para outros públicos.
A questão prática é simples:
se uma pessoa quiser tratar de seus dados pessoais, ela consegue descobrir facilmente qual é o canal apropriado?
E quando a empresa estiver dispensada de indicar Encarregado?
Determinados agentes de tratamento de pequeno porte podem estar dispensados da indicação do Encarregado, desde que atendidos os requisitos aplicáveis.
Essa dispensa não significa deixar o titular sem atendimento.
A empresa continua precisando disponibilizar um canal de comunicação e estar preparada para receber e tratar as solicitações relacionadas aos direitos dos titulares.
Por isso, a ausência de Encarregado não elimina a necessidade de organização interna.
Na realidade, surge uma pergunta ainda mais importante:
se não existe Encarregado, quem acompanha o canal e garante que essas demandas sejam tratadas adequadamente?
Ter o canal é apenas o começo
Agora imagine que a empresa tenha feito tudo corretamente na parte visível.
O titular encontra facilmente a identificação do Encarregado.
Localiza o contato.
Envia sua solicitação.
A mensagem chega.
O que acontece dentro da empresa a partir desse momento?
É essa pergunta que diferencia a existência de um canal da existência de um processo.
Se as responsabilidades não estiverem definidas, o atendimento continuará dependendo de decisões tomadas caso a caso.
É nesse ponto que procedimentos internos ganham importância.
Um POP pode transformar a obrigação em rotina empresarial
A empresa precisa definir como as solicitações relacionadas aos dados pessoais serão reconhecidas, encaminhadas, analisadas, respondidas e registradas.
Dependendo da estrutura da organização, essa rotina pode ser formalizada em um Procedimento Operacional Padronizado (POP), acompanhado das responsabilidades e controles necessários.
Isso não significa criar burocracia.
Significa evitar que o atendimento dependa exclusivamente da memória, da interpretação ou da disponibilidade de quem recebeu a solicitação.
O procedimento também ajuda as diferentes áreas a compreenderem seu papel.
SAC, RH, comercial, administrativo e demais setores não precisam se transformar em especialistas em proteção de dados.
Precisam saber reconhecer uma situação que exige atenção e conhecer o caminho institucional definido pela empresa.
A solicitação foi atendida. A empresa consegue demonstrar?
Existe ainda uma etapa que pode ser esquecida quando o atendimento termina.
Imagine que um titular faça uma solicitação e receba sua resposta.
Meses depois, ele questiona o atendimento realizado.
A empresa consegue recuperar o histórico?
Consegue demonstrar a solicitação recebida, as comunicações posteriores e a resposta apresentada?
Ou parte das informações ficou em uma conversa de WhatsApp, outra parte em uma caixa de e-mail e outra apenas no conhecimento do empregado que tratou do assunto?
A organização é responsável pela conformidade de suas atividades de tratamento. Por isso, não basta depender da afirmação de que determinada providência foi adotada.
No atendimento ao titular, fazer e conseguir demonstrar o que foi feito são partes da mesma governança.
As evidências relacionadas às solicitações e às comunicações realizadas precisam ser preservadas de maneira organizada e compatível com a necessidade de demonstrar as providências adotadas.
Sem registros adequados, a empresa pode encontrar dificuldade até mesmo para comprovar um atendimento que efetivamente realizou.
Isso se torna especialmente relevante quando uma solicitação é retomada pelo titular, questionada posteriormente ou precisa ser demonstrada perante a Agência Nacional de Proteção de Dados ou outra autoridade competente.
O Encarregado conecta o atendimento à governança
O atendimento ao titular pode exigir informações e providências de diferentes áreas.
O Encarregado não substitui o RH.
Não substitui o SAC.
Não administra necessariamente os sistemas.
Também não executa pessoalmente todas as alterações solicitadas.
Sua atuação funciona como referência institucional para as questões relacionadas à proteção de dados pessoais.
Cabe ao Encarregado receber reclamações e comunicações dos titulares, prestar esclarecimentos e adotar as providências cabíveis, além de orientar funcionários e contratados sobre as práticas relacionadas à proteção de dados.
Também pode prestar assistência e orientação à empresa na estruturação de processos, políticas internas, mecanismos de supervisão e práticas de governança.
É justamente essa atuação que ajuda a integrar aquilo que, sem governança, tende a permanecer separado.
A área responsável pelo cadastro pode executar uma alteração.
O RH pode fornecer informações necessárias.
A tecnologia pode apoiar a localização de determinados dados.
Outras áreas podem participar conforme a situação.
O Encarregado atua como referência institucional e auxilia a organização para que essas questões sejam tratadas de forma coerente.
A atuação do Encarregado não termina na publicação de um nome e de um endereço eletrônico.
Nosso serviço de Encarregado Externo oferece atuação contínua no atendimento aos titulares, orientação das áreas e sustentação da governança de proteção de dados pessoais.
O atendimento precisa funcionar na empresa real
O cliente continuará procurando o SAC.
O empregado continuará conversando com o RH.
O administrativo continuará recebendo documentos.
Cadastros continuarão sendo corrigidos.
E solicitações continuarão chegando por telefone, e-mail, balcão, formulários e WhatsApp.
A conformidade não depende de eliminar essas rotinas.
Depende de fazer com que a organização consiga reconhecer quando uma situação envolve direitos relacionados aos dados pessoais e saiba como tratá-la.
A transparência ajuda o titular a encontrar o caminho adequado.
O canal permite que a solicitação chegue à organização.
Os procedimentos transformam a obrigação em rotina.
O Encarregado atua como referência institucional e orienta a organização.
E os registros permitem demonstrar as providências efetivamente adotadas.
É quando esses elementos funcionam de maneira integrada que o atendimento ao titular deixa de depender de soluções improvisadas e passa a fazer parte da governança de proteção de dados da empresa.
Para saber mais sobre a Lei Geral de Proteção de Dados Pessoais (LGPD) acesse:
> Nossos artigos sobre a LGPD clicando aqui;
> O perfil da Dra. Kariny Antunes Farina no Instagram;
> A Lei Geral de Proteção de Dados Pessoais na íntegra no site gov.br;
> A Agência Nacional de Proteção de Dados Pessoais.
Ao clicar no link do Instagram e no link do site gov.br abrirá uma nova janela em seu navegador.
