Sem governança não há proteção de dados pessoais: os alertas da ANPD para empresas
Um colaborador utiliza inteligência artificial para agilizar uma tarefa e insere dados de clientes na ferramenta.
Um fornecedor comunica um incidente de segurança e a empresa precisa definir, naquele momento, quem deve ser acionado e como conduzir a resposta.
A empresa contrata um novo sistema, compartilha informações com terceiros ou lança um serviço acessível a adolescentes sem avaliar previamente os riscos envolvidos.
Situações como essas fazem parte da rotina de empresas de diferentes portes.
E possuem algo em comum: quando a governança não está estruturada, a proteção de dados pessoais tende a começar tarde demais.
Foi justamente essa relação entre governança e proteção que atravessou o 3º Encontro de Encarregados promovido pela Agência Nacional de Proteção de Dados, sob o tema “Proteção e governança em ação”.
Inteligência artificial, incidentes de segurança e os novos desafios do ECA Digital estiveram entre os principais assuntos discutidos.
Para as empresas, a mensagem merece atenção: proteger dados pessoais depende de organização, responsabilidades definidas e capacidade de avaliar riscos antes que eles se transformem em problemas.
Governança não é assunto apenas de grandes empresas
A palavra governança costuma lembrar conselhos, comitês, diretorias e estruturas corporativas complexas.
Mas, para uma pequena ou média empresa, ela pode começar com perguntas muito mais simples:
- Quem avalia uma nova ferramenta antes da contratação?
- Quem verifica um fornecedor que receberá dados de clientes?
- Quem deve ser acionado diante de um incidente?
- Em quais situações o encarregado precisa participar?
- Quem autoriza usos de inteligência artificial?
- Como decisões relevantes ficam registradas?
Em uma PME, essas responsabilidades podem estar distribuídas entre poucas pessoas.
O proprietário pode administrar diretamente o negócio. O RH pode ter um único profissional. A contabilidade e a tecnologia podem ser terceirizadas.
Ainda assim, alguém precisa saber quem decide, quem avalia e quem acompanha.
Governança não significa reproduzir a estrutura de uma grande corporação.
Significa organizar a tomada de decisão de acordo com o porte, a atividade e os riscos da empresa.
No encontro, a própria Agência destacou que a proteção de dados não é responsabilidade exclusiva do encarregado. Para desempenhar adequadamente sua função, ele precisa ter acesso às informações, às áreas técnicas e às instâncias responsáveis pelas decisões.
Por isso, existe uma diferença importante:
nomear um encarregado é uma providência formal. Integrá-lo à governança da empresa é uma decisão organizacional.
Um incidente revela a governança que já existia
Poucas situações demonstram tão rapidamente o nível de organização de uma empresa quanto um incidente de segurança.
Quando algo acontece, as perguntas surgem imediatamente:
- O que ocorreu?
- Quais sistemas foram afetados?
- Quais dados estavam envolvidos?
- O incidente foi contido?
- Existem fornecedores envolvidos?
- Há risco para clientes, colaboradores ou outros titulares?
- Será necessário comunicar alguém?
Essas respostas raramente estão concentradas em uma única pessoa.
Tecnologia pode precisar investigar o ambiente.
Segurança da informação pode atuar na contenção e na preservação de evidências.
As áreas responsáveis pelos processos precisam identificar quais informações foram afetadas.
A gestão pode precisar tomar decisões.
O encarregado contribui com a avaliação relacionada à conformidade da proteção de dados pessoais e com a coordenação das obrigações aplicáveis.
No encontro, a Agência ressaltou que a boa governança começa antes do incidente, por meio de prevenção, avaliação de riscos, definição de responsabilidades e preparação para uma resposta coordenada.
Essa talvez seja uma das mensagens mais importantes para empresas.
O incidente não cria a falta de governança. Ele revela a falta de governança que já existia.
Uma empresa que começa a decidir responsabilidades somente depois do problema tende a perder tempo justamente quando precisa agir com maior rapidez.
Se um incidente relevante acontecesse hoje, as pessoas envolvidas saberiam quem deve fazer o quê?
Uma avaliação preventiva pode identificar falhas de responsabilidade, comunicação, documentação e resposta antes que a empresa precise testar esses processos durante uma situação real.
A inteligência artificial trouxe um novo risco para a governança
A inteligência artificial entrou na rotina de muitas empresas antes mesmo da criação de regras internas para o seu uso.
Funcionários utilizam ferramentas para resumir documentos, analisar informações, revisar textos, preparar respostas, organizar planilhas ou aumentar a produtividade.
O problema não está apenas na tecnologia.
Está no que pode ser enviado para ela.
Um contrato.
Uma planilha de clientes.
Um currículo.
Um prontuário.
Um processo interno.
Informações financeiras.
Dados de colaboradores.
Durante o encontro, a discussão chamou atenção para uma realidade importante: muitas organizações podem acreditar que ainda não utilizam inteligência artificial quando seus profissionais já incorporaram essas ferramentas às atividades cotidianas.
Por isso, a pergunta para a gestão não deveria ser apenas:
“A empresa autorizou o uso de inteligência artificial?”
Uma pergunta anterior pode ser mais importante:
“Como a inteligência artificial já está sendo utilizada dentro da empresa?”
Usar IA exige mais do que escolher uma ferramenta
No painel sobre inteligência artificial, uma das experiências apresentadas foi justamente a tentativa de retirar o uso dessas tecnologias do campo da experimentação individual e inseri-lo na governança institucional.
Para uma empresa, isso pode significar estabelecer critérios como:
- ferramentas permitidas;
- atividades em que podem ser utilizadas;
- informações que não devem ser inseridas;
- responsabilidades dos usuários;
- avaliação dos fornecedores;
- análise de riscos;
- revisão de decisões mais sensíveis.
Esse cuidado é especialmente relevante quando a inteligência artificial participa de processos relacionados a pessoas.
Imagine um sistema utilizado para selecionar candidatos, analisar comportamento de clientes, identificar possíveis fraudes ou apoiar uma decisão que afete diretamente alguém.
Quanto maior o impacto da decisão, maior deve ser a preocupação com critérios, qualidade dos dados, possibilidade de erro e supervisão.
O encontro também trouxe uma crítica importante à avaliação realizada somente no final da implementação.
Governança precisa acompanhar a tecnologia desde a decisão sobre seu uso.
Identificar o risco antes costuma ser mais eficiente do que tentar corrigir o processo depois que a ferramenta já foi incorporada à operação.
O contrato com o fornecedor não encerra a análise
Esse ponto merece atenção especial para pequenas e médias empresas.
Grande parte da tecnologia utilizada por uma PME é contratada de terceiros.
CRM, armazenamento em nuvem, folha de pagamento, recrutamento, atendimento ao cliente, marketing, sistemas financeiros e ferramentas de inteligência artificial podem envolver fornecedores externos.
Ter um contrato é importante.
Mas o contrato, sozinho, não responde a todas as perguntas.
Antes de enviar dados pessoais para uma nova solução, a empresa precisa compreender aspectos como:
- quais informações serão tratadas;
- para qual finalidade;
- onde os dados ficarão armazenados;
- se haverá compartilhamento;
- se existe transferência internacional;
- por quanto tempo as informações serão mantidas;
- como ocorre a exclusão;
- o que acontece em caso de incidente.
No debate sobre inteligência artificial, foi destacado justamente que a existência de um instrumento contratual não resolve, por si só, questões relacionadas à finalidade do tratamento, aos dados envolvidos ou às salvaguardas necessárias.
Governança, nesse contexto, significa conhecer o risco antes de incorporá-lo à operação.
O ECA Digital leva a governança para dentro do produto
O terceiro grande eixo do encontro tratou dos desafios relacionados à proteção de crianças e adolescentes no ambiente digital.
Esse tema merece atenção especial de empresas que oferecem produtos ou serviços digitais destinados ou acessíveis ao público infantojuvenil.
Não se trata apenas de grandes plataformas.
A discussão pode alcançar, conforme o modelo de negócio, empresas de:
- educação;
- tecnologia educacional;
- entretenimento;
- jogos;
- aplicativos;
- saúde;
- comércio eletrônico;
- cursos e serviços digitais.
Nesse contexto, a discussão sobre proteção de dados pessoais não pode começar depois que o produto já está funcionando.
O encontro relacionou o ECA Digital a questões como proteção por padrão, aferição de idade, avaliação de riscos e impactos e adoção de salvaguardas específicas para crianças e adolescentes.
Isso leva a análise para o desenho do próprio serviço.
A empresa precisa avaliar, por exemplo:
- Que dados são realmente necessários?
- Quem terá acesso a eles?
- Há compartilhamento com terceiros?
- A interface estimula determinados comportamentos?
- Existe publicidade envolvida?
- Há inteligência artificial no serviço?
- Como a organização considera a vulnerabilidade de crianças e adolescentes?
Essas decisões podem envolver produto, tecnologia, marketing, jurídico, gestão e proteção de dados pessoais ao mesmo tempo.
É justamente por isso que governança importa.
Três riscos diferentes, o mesmo problema de gestão
Incidentes de segurança, inteligência artificial e ECA Digital parecem assuntos independentes.
Mas todos expõem a mesma necessidade.
A empresa precisa conseguir identificar riscos antes de simplesmente executar uma decisão.
No incidente, isso significa preparação.
Na inteligência artificial, significa conhecer e controlar os usos da tecnologia.
Nos produtos e serviços acessíveis a crianças e adolescentes, significa incorporar proteção desde o desenho.
O ponto comum é a governança.
Uma empresa pode possuir política de privacidade, contratos revisados e procedimentos escritos.
Ainda assim, se nenhuma dessas regras participa das decisões cotidianas, existe uma distância entre documentação e proteção efetiva.
O próprio tema escolhido para o encontro, “Proteção e governança em ação”, sintetiza essa necessidade de transformar normas, princípios e orientações em práticas reais dentro das organizações.
A gestão não precisa decidir tudo
Governança não significa levar qualquer questão relacionada a dados pessoais para o proprietário, diretor ou sócio da empresa.
O objetivo é justamente criar critérios para que isso não seja necessário.
Uma empresa organizada consegue estabelecer:
- quais situações seguem procedimentos rotineiros;
- quais precisam de análise especializada;
- quando o encarregado deve ser consultado;
- quais riscos precisam ser levados aos responsáveis pelo negócio.
Em uma PME, isso pode signific estabelecer um fluxo simples para novas ferramentas, fornecedores, compartilhamentos de dados e incidentes.
O importante é que essas decisões não dependam apenas da memória ou da iniciativa individual de alguém.
Governança transforma uma preocupação pontual em um processo empresarial.
E onde entra o encarregado?
O 3º Encontro promovido pela Agência foi dirigido aos encarregados.
Mas talvez uma das mensagens mais relevantes para os gestores seja justamente esta: o encarregado não consegue proteger dados sozinho.
Seu papel ganha efetividade quando existe acesso às informações, diálogo com as áreas e participação nos processos relevantes.
Ele pode orientar.
Pode auxiliar na identificar riscos.
Pode apoiar avaliações.
Pode acompanhar mudanças regulatórias.
Pode apoiar a gestão e a resposta a incidentes de dados pessoais.
Pode aproximar jurídico, tecnologia, segurança, negócio e gestão.
Mas precisa saber o que está acontecendo na empresa.
Se toma conhecimento de uma nova ferramenta depois da contratação, recebe informações sobre um incidente quando a crise já está avançada ou não participa dos projetos que envolvem maior risco, sua atuação necessariamente será mais reativa.
O desafio, portanto, não é apenas ter um encarregado.
É criar condições para que essa função participe de uma estrutura contínua de governança.
Quem acompanha novas tecnologias, fornecedores, incidentes, mudanças regulatórias e decisões que envolvem dados pessoais ao longo do ano?
O Encarregado Externo permite incorporar acompanhamento técnico contínuo à rotina da empresa, especialmente quando não existe uma equipe interna especializada em privacidade e proteção de dados pessoais.
Proteção começa antes do problema
A principal reflexão deixada pelo 3º Encontro de Encarregados pode ser traduzida para empresas de qualquer porte.
Proteção de dados pessoais não começa no vazamento.
Não começa na fiscalização.
Não começa quando um cliente exige conformidade.
Também não começa quando alguém lembra de consultar o encarregado.
Ela começa na forma como a empresa organiza suas decisões.
- Quem participa?
- Quem avalia?
- Quem registra?
- Quem acompanha?
- Quando um risco precisa ser escalado?
Empresas maiores e menores responderão a essas perguntas de formas diferentes.
A estrutura pode mudar.
O princípio não.
Sem governança, a proteção tende a ser tardia, reativa e dependente de improvisação.
Com responsabilidades definidas, critérios proporcionais e acompanhamento contínuo, a empresa consegue incorporar proteção de dados pessoais à operação real do negócio.
Em um cenário marcado por incidentes de segurança, adoção acelerada de inteligência artificial e novas responsabilidades relacionadas a produtos e serviços acessíveis a crianças e adolescentes, essa capacidade se torna cada vez mais relevante.
Não apenas para cumprir a Lei Geral de Proteção de Dados Pessoais.
Mas para tomar decisões empresariais com maior controle sobre os riscos que envolvem dados, pessoas e o próprio negócio.
Deseja compreender a Lei Geral de Proteção de Dados Pessoais (LGPD)? Então, clique aqui para acessar nossas publicações sobre o tema. Além disso, não se esqueça de seguir nosso perfil no Instagram clicando aqui. Ao clicar abrirá outra janela do seu navegador ou seu aplicativo do Instagram.
