Fase 1
Mapeamento
- Que dados entram, por qual porta e de quem
- Onde ficam guardados e por quanto tempo
- Quem tem acesso, dentro e fora da empresa
- Que sistemas e fornecedores tocam nesses dados
- Entregável: registro das operações do art. 37
Programa de adequação à LGPD
Adequação não é comprar um documento.
A política de privacidade copiada da internet não protege ninguém, e numa fiscalização ela prova exatamente o contrário do que pretendia provar: prova que a empresa sabia da obrigação e escolheu simular o cumprimento. Adequação é descobrir que dados entram, por onde passam, com que fundamento são usados e quando são apagados. O documento vem depois, e vem verdadeiro.
- Art. 37
- Registro das operações
de tratamento - Art. 7º e 11
- Bases legais do dado comum
e do dado sensível - Art. 15 e 16
- Término do tratamento
e eliminação - Art. 39
- Vínculo do operador
à instrução do controlador
Por onde tudo começa errado
O erro de origem é começar pelo texto.
A sequência que dá errado é sempre a mesma. Alguém procura um modelo de política de privacidade, adapta o nome da empresa, publica no site e considera o assunto encerrado. O texto passa a afirmar coisas que a operação não faz. Diz que os dados são eliminados ao fim da finalidade, quando o sistema nunca apagou nada. Diz que há controle de acesso, quando a senha do computador do balcão é conhecida por sete pessoas.
Numa reclamação de titular ou num pedido de esclarecimento da ANPD, esse documento vira prova contra a própria empresa. Ele demonstra que a obrigação era conhecida e que a empresa declarou publicamente um padrão que não pratica.
LGPD, art. 6º, III As atividades de tratamento deverão observar a boa-fé e o princípio da necessidade, entendido como a limitação do tratamento ao mínimo necessário para a realização de suas finalidades.
A pergunta que abre um trabalho sério de adequação não é qual texto publicar. É outra, bem mais desconfortável: por que a empresa guarda o que guarda. Boa parte do risco desaparece quando se descobre que metade dos dados armazenados não serve a finalidade nenhuma, e a resposta correta é simplesmente parar de coletar e apagar o que sobrou.
As cinco fases
Cada fase termina em alguma coisa que existe.
Adequação sem entregável definido vira consultoria eterna. Aqui cada fase acaba num documento ou numa decisão registrada, e a empresa pode parar entre uma e outra sem perder o que já foi feito.
Fase 2
Bases legais
- Fundamento do art. 7º para cada finalidade
- Fundamento do art. 11 para todo dado sensível
- Regra própria do art. 14 para dado de criança
- Revisão do que é coletado sem finalidade
- Entregável: matriz de finalidade e base legal
Fase 3
Retenção e eliminação
- Prazo de guarda de cada categoria de dado
- Obrigações legais de conservação que se impõem
- Rotina de descarte, do papel e do digital
- Tratamento do backup, que quase sempre foi esquecido
- Entregável: política de retenção com prazos
Fase 4
Terceiros
- Identificação de quem é operador e quem é controlador
- Cláusulas de proteção de dados nos contratos
- Regra de transferência internacional, quando houver
- Instrução escrita ao operador, na forma do art. 39
- Entregável: aditivos contratuais assináveis
Fase 5
Publicação e plano
- Política de privacidade escrita a partir do que foi apurado
- Aviso de coleta nos pontos em que o dado entra
- Canal do titular no ar e testado
- Plano de resposta a incidente, com quem liga para quem
- Entregável: documentos publicados e plano em vigor
Contratar um sistema não transfere a responsabilidade.
LGPD, art. 39
O operador trata dados em nome do controlador e deve seguir as instruções que recebe. Quando o sistema do fornecedor vaza, quem responde perante o titular e perante a ANPD é, antes de tudo, a empresa que decidiu contratá-lo. É por isso que a fase dos contratos com terceiros não é burocracia.
O que fica na sua mão ao final
O que a empresa passa a ter.
| Documento | Para que serve na prática | Fundamento |
|---|---|---|
| Registro das operações | Responder de imediato o que a empresa trata, com que finalidade e por quanto tempo. É a primeira coisa pedida numa fiscalização. | Art. 37 |
| Matriz de base legal | Demonstrar o fundamento de cada uso, e não depender de consentimento genérico que não se sustenta. | Art. 7º e 11 |
| Política de retenção | Saber quando apagar, e poder provar que apagou. Reduz o volume exposto num vazamento futuro. | Art. 15 e 16 |
| Aditivos de fornecedores | Vincular quem trata dados em seu nome e distribuir contratualmente o risco. | Art. 39 |
| Política de privacidade | Informar o titular com base no que a empresa realmente faz, e não no que o modelo dizia. | Art. 9º |
| Canal do titular | Receber e responder pedidos com registro datado, dentro do prazo do art. 19. | Art. 18 e 41, §2º, I |
| Plano de incidente | Saber quem liga para quem, o que preservar e em quanto tempo, antes de precisar. | Art. 48 |
Sem surpresa no meio do caminho
O que depende da empresa.
Nenhum programa de adequação anda sem participação de quem conhece a operação. Estes pontos ficam do lado de lá, e é melhor saber disso antes de começar.
Acesso a quem opera
Precisamos conversar com quem atende no balcão, com quem faz o cadastro e com quem cuida do sistema. O mapeamento feito só com a direção descreve a empresa que se imagina ter, não a que existe.
Decisões de negócio
Parar de coletar um dado, trocar um fornecedor que não aceita cláusula de proteção, investir em controle de acesso. Apontamos o risco e a alternativa. A decisão é da empresa, e fica registrada.
Execução técnica
Senha individual, retirada de acesso de quem saiu, backup com criptografia. Dizemos o que a lei exige e conferimos se existe. Quem executa é o setor ou o prestador de tecnologia.
Manutenção depois
Adequação não é estado permanente. Sistema novo, fornecedor novo ou serviço novo mudam o mapa. Por isso o acompanhamento como encarregado costuma vir depois do programa, e não antes.
Conteúdo informativo. Não constitui consulta jurídica nem substitui análise do caso concreto. Honorários fixados caso a caso, conforme o Código de Ética e Disciplina da OAB.