Empresas precisam escolher DPOs que atendam requisitos da LGPD. Mas na hora de contratar, precisam saber se o profissional tem as habilidades necessárias.
Empresas de todos os setores e portes precisam do apoio de um gestor de proteção de dados (DPO) para garantirem conformidade com a lei.
O encarregado da proteção de dados, ou DPO (Data Protection Officer), é um cargo relativamente novo para muitas empresas, pois sua função e responsabilidades surgiram devido à entrada em vigor da Lei Geral de Proteção de Dados (LGPD), em agosto de 2020.
A LGPD exige que algumas empresas nomeiem um DPO para fazer cumprir a nova regulação, o que acabou criando no mercado uma demanda por indivíduos com conhecimento e experiência comprovadas para atuarem na função. “Para pequenas empresas, as responsabilidades de um encarregado de proteção de dados podem ser adicionadas às de um funcionário já existente. Para organizações maiores, muitas vezes é criado um cargo em tempo integral para desempenhar esse papel essencial”, explica Marcelo Barsotti, CRO (Chief Revenue Officer) da Pryor Global.
De maneira geral, o DPO é um especialista em proteção de dados, responsável por aconselhar uma empresa sobre como cumprir as exigências legais relativas ao tratamento de dados, além de investigar violações e responder quando as pessoas têm dúvidas ou reclamações. De acordo com o parágrafo 2º da LGPD, as atividades do encarregado consistem em:
I – Aceitar reclamações e comunicações dos titulares, prestar esclarecimentos e adotar providências;
II – Receber comunicações da autoridade nacional e adotar providências;
III – Orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais; e
IV – Executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
“Não há qualificação específica para que um indivíduo se torne um encarregado de proteção de dados, mas ele deve ter conhecimento especializado sobre a regulação e experiência prática na função. Além disso, o DPO não deve ter quaisquer deveres e responsabilidades atuais que possam entrar em conflito com suas responsabilidades de proteção de dados”, explica Barsotti.
Segundo o executivo da Pryor Global, para se tornar um encarregado de proteção de dados, é indicado passar por um treinamento apropriado e adquirir um certificado de DPO. “Os cursos o ajudarão a compreender todas as exigências técnicas da LGPD e lhe darão experiência para encarar as tarefas da profissão. Destacam-se duas certificações a nível internacional: EXIN e IAPP”, informa Barsotti.
Além de um forte entendimento da Lei Geral de Proteção de Dados, o DPO precisa ter boas habilidades de comunicação, pois trabalhará orientando a equipe de uma empresa, assim como responderá a dúvidas de outras pessoas e intermediará as conversas com a ANPD (Autoridade Nacional de Proteção de Dados).
A LGPD não especifica se o encarregado da proteção de dados deve ser pessoa física ou jurídica. “É possível, portanto, contratar o serviço de DPO as a service e a Pryor Global, conta com profissionais qualificados e certificados para ajudar as companhias que optarem pela terceirização de DPO, que é uma excelente opção para aquelas que não têm como designar um colaborador especificamente para função ou simplesmente, por uma questão de compliance, preferem que seja alguém externo”, conclui Barsotti.
Algumas empresas que não querem ou que no momento não possuem condições de investimento na contratação deste profissional ou na capacitação de alguém interno (qo que demoraria tempo considerável), estão optando por contração de empresas especializadas que desde a promulgação da lei atuaram em projeto de adequação e buscaram capacitação certificada em seu quadro de colaboradores. Este é o caso da MindSec, uqe atua no mercado de Segurança da Infromação há 10 anos, tem atuado em diversos projetos de adequação nos últimos anos e que possui em seu qadro de colaboradores profissionais experientes e certificados em segurança e privacidade. “Acreditamos que a nossa experiência de 10 anos no mercado de Segurança da Informação e os diversos projetos que temos atuado, nos mais diversos segmentos de mercado, aliado a profissionais certificações nacional e internacionalmente, tanto em SI como Privacidade, nos permit a prestar um ótimo serviço a nossos clientes onde atuamos como CISO e DPO, alguns a mais de 3 anos“, comenta Kleber Melo sócio proprietário da MindSec e redator chefe do Blog Minuto da Segurança.
CISO & DPO
Um CISO ou CSO pode assumir a função de um DPO na LGPD? A LGPD – Lei Geral de Proteção de Dados brasileira, é a lei 13.709 de 14 de agosto de 2018 sancionada pelo então presidente Michel Temer. A lei que define regras para a proteção de dados pessoais espelhando-se na Regulamento Geral de Proteção de Dados (GDPR) da União Europeia que foi instituído em 25 de maio de 2018 para decidir sobre como as empresas e entidades devem abordar e garantir a proteção de dados pessoais.
Mais especificamente, a LGPD, assim como GDPR, é um conjunto de diretrizes sobre como as empresas devem gerenciar seus cenários de TI, equipe, parceiros e processos operacionais, a fim de garantir a segurança, confidencialidade, integridade e privacidade de qualquer dados que possua (por si só ou quando cruzado) referenciado como dados privados, pessoais ou pessoais sensíveis.
Quando analisamos o papel do DPO podemos dizer que é muito similar ao papel de uso CISO ou CSO, sendo um ponto essencial para a conformidade corporativa com a LGPD e, em alguns casos, um requisito legal. Em uma analise de pareto, sem exagero, poderíamos dizer que 80% dos requisitos da lei seria relativo a controles e processos que envolvem de segurança, e por isso requerem experiencia na área, e os outros 20% relativos a adequações jurídicas.
A LGPD não afirma especificamente se a pessoa que desempenha a função de DPO pode ou não ter outras responsabilidades dentro da empresa. No entanto, precisamos analisar se a função de DPO e CISO ou CSO não constituem conflito de interesses para garantir que o LGPD seja observado.
Uma diferença significativa em comparação com o papel do CISO ou CSO é que o DPO deve se reportar exclusivamente à posição hierárquica mais alta da organização e nunca à gerência intermediária ou sênior, isso pode implicar em conflito de interesses.
Para entender se um CISO pode assumir o papel de DPO na mesma empresa, precisamos entender as tarefas e deveres de ambos os perfis e avaliar se há conflitos de interesse que possam comprometer a garantia exigida da Proteção de Dados Pessoais.
Ambos os papéis parecem semelhantes e complementares, o que sugere que o CISO ou CSO pode, com algum treinamento e educação adicional, assumir o papel de DPO.
“Privacidade é um subset de Dados Confidenciais, um dos tripés base de Segurança da Informação, desta forma, juntar as funções de CSO e DPO, ou mesmo utilizar profissionais de SI na função de DPO, faz todo sentido para mim”, menciona Kleber Melo. “Outra situação que complementa este pensamento é que o CSO sempre teve que lidar com Leis e Compliance em sua função, mesmo porque este é um dos domínios de SI definidos pela ISO27001″, complementa.
Embora na GDPR seja estabelecido o nível hierarquico ao qual o DPO deve se reportar, a LGPD não determina o nível hierárquico e deixa aberto para as empresas a definição de onde está posição deverá estar localizada na estrutura organizacional.
O CISO , em sua função operacional deve atuar como uma função de suporte ao DPO, ao CIO, ao departamento jurídico e o gerente de cada departamento. Atuando de forma operacional na segurança, o CISO não deve desempenhar simultaneamente a função de DPO.
No entanto, o CSO na função de Segurança Informação, sem as atribuições operacionais de segurança, poderia acumular a função de DPO naturalmente, devido a seus conhecimentos.
Em sua trajetória funcional o CSO acostumou-se a tratar temas de compliance, privacidade e regulamentações em sua função cotidiana, por isto outra possibilidade é o que possamos considerar a migração de um CSO para a função de DPO de forma natural.
Por isto, considero mais natural um CSO migrar para DPO do que um advogado ou qualquer outra função, que em sua trajetória não teve nenhum contato ou necessidade de atuar com as decisões que envolvem diversas tecnologias, possibilidades de controles ou mesmo investigações forenses, o que certamente é algo bastante complexo para ser absorvido rapidamente por pessoas que nunca tiveram contato com isto.
Lei mais sobre o CISO na função de DPO em nosso artigo Um CISO ou CSO pode assumir a função de um DPO na LGPD?
Fonte: ComputerWeekly & Blog Minuto da Segurança
Veja também:
Um CISO ou CSO pode assumir a função de um DPO na LGPD?
Prilex é um agente de ameaças brasileiro que evoluiu de ATM para POS
Microsoft Exchange comprometidos por aplicativos OAuth
Novo malware Chaos infecta dispositivos Windows e Linux para ataques DDoS
Hacker que violou a Optus pede desculpas e retira pedido de resgate
Domain Shadowing – Técnica avançada de comprometimento de sites na internet
Muitas empresas não confiam na segurança em ambientes de nuvem híbrida
Diferença entre análise de vulnerabilidades e gerenciamento de vulnerabilidades
TCE-RS fica fora do ar e suspende sessões por tempo indeterminado
Fortinet lança novo serviço de treinamento e conscientização sobre segurança cibernética
A importância da segurança da informação para o desenvolvimento dos negócios
5 dicas para CISOs sobre o futuro do TPCRM
Quais desafios de segurança cibernética os programadores enfrentam?
Compartilhe isso:
E-mail
Imprimir
Facebook
LinkedIn
Twitter
Telegram
WhatsApp
Skype
Curtir isso:
Curtir Carregando...
Related
ciso
cso
cybersecurity
DPO
GDPR
information protection
information security
informationprotection
informationsecurity
LGPD
mindsec
privacidade
privacy
segurança da informação
segurancadainformacao
www.mindsec.com.br
Sobre mindsecblog 1881 Artigos
Blog patrocinado por MindSec Segurança e Tecnologia da Informação Ltda.
Website Facebook Twitter YouTube Linkedin
Anterior
Microsoft confirma 2 Zero Days do Exchange Blindsiding
Próximo
Apple lança atualização para iOS 12 para corrigir vulnerabilidade crítica
Artigos Relacionados
Notícias
TeamTNT sequestra servidores para tentar quebrar criptografia Bitcoin
21/09/2022 mindsecblog 1
TeamTNT sequestra servidores para tentar quebrar criptografia Bitcoin. Conhecido grupo hacker parece etsra de volta à ativa. Os analistas de ameaças da AquaSec identificaram sinais de atividade do TeamTNT em seus honeypots desde o início […]
Compartilhe isso:
E-mail
Imprimir
Facebook
LinkedIn
Twitter
Telegram
WhatsApp
Skype
Curtir isso:
Curtir Carregando...
Notícias
Microsoft confirma 2 Zero Days do Exchange Blindsiding
04/10/2022 mindsecblog 0
Microsoft confirma 2 Zero Days do Exchange Blindsiding, ainda sem patch. As vulnerabilidades de segurança “ProxyNotShell” podem ser encadeadas para execução remota de código e controle total de plataformas de e-mail corporativas. A Microsoft está […]
Compartilhe isso:
E-mail
Imprimir
Facebook
LinkedIn
Twitter
Telegram
WhatsApp
Skype
Curtir isso:
Curtir Carregando...
Artigos
O que é um firewall virtual e quando usar?
29/11/2021 mindsecblog 1
O que é um firewall virtual e quando usar? Os firewalls virtuais também podem ser mais baratos do que os firewalls físicos e serem administrados centralizadamente. Um firewall virtual é um dispositivo ou serviço de […]
Compartilhe isso:
E-mail
Imprimir
Facebook
LinkedIn
Twitter
Telegram
WhatsApp
Skype
Curtir isso:
Curtir Carregando...
Seja o primeiro a comentar
Deixe sua opinião! Cancelar resposta
Pesquisar por:
RSS FEED
Receba novos posts por email:
Coloque nosso domínio na Whitelist @minutodaseguranca.blog.br
Assinando este RSS Feed você aceita os termos de privacidade do Blog
Acesse a página de Privacidade e veja nossos termos de uso.
Siga-nos Facebook
Arquivos
Arquivos Selecionar o mês dezembro 2022 novembro 2022 outubro 2022 setembro 2022 agosto 2022 julho 2022 junho 2022 maio 2022 abril 2022 março 2022 fevereiro 2022 janeiro 2022 dezembro 2021 novembro 2021 outubro 2021 setembro 2021 agosto 2021 julho 2021 junho 2021 maio 2021 abril 2021 março 2021 fevereiro 2021 janeiro 2021 dezembro 2020 novembro 2020 outubro 2020 setembro 2020 agosto 2020 julho 2020 junho 2020 maio 2020 abril 2020 março 2020 fevereiro 2020 janeiro 2020 dezembro 2019 novembro 2019 outubro 2019 setembro 2019 agosto 2019 julho 2019 junho 2019 maio 2019 abril 2019 março 2019 fevereiro 2019 janeiro 2019 dezembro 2018 novembro 2018 outubro 2018 setembro 2018 agosto 2018 julho 2018 junho 2018 maio 2018 abril 2018 março 2018 fevereiro 2018 janeiro 2018 dezembro 2017 novembro 2017 outubro 2017 setembro 2017 agosto 2017 julho 2017 junho 2017 maio 2017
Webinars
Como garantir a recuperação das operações em um ataque virtual
27/05/2022 0
Webinar Warning: Avoid GDPR Sanctions on Your Business
20/05/2022 0
Webinar “Como construir um plano de governança e segurança adequado a LGPD”
06/07/2021 4
Assista a gravação do Webinar: Business, Security e Legal no bloco da LGPD
24/02/2021 2
Não viu? Assista o Cyber Talk “61 minutos da segurança: os desafios de SI de hoje e amanhã.”
22/10/2020 1
Artigos & Estudos
Android 13: o que é preciso saber para ter mais segurança dos seus dados
08/12/2022 0
Influencer sofre golpe digital e tem prejuízo
08/12/2022 0
Google e Turma da Mônica lançam revista especial sobre dados pessoais
07/12/2022 0
O que faz o profissional de pentest
07/12/2022 0
Cinco fatores sobre documentação digital que impactam empresas em 2023.
06/12/2022 0
Advogado alerta sobre o perigo mascarado por trás dos aplicativos de avatares.
06/12/2022 0
Por que os bancos devem considerar a visibilidade de TI na sua estratégia de segurança cibernética?
05/12/2022 0
Ensino superior é virtual e requer soluções de segurança cibernética integradas e robustas
02/12/2022 1
Realização
Direitos Reservados
“Minuto da Segurança é marca registrada e propriedade da MindSec Segurança e Tecnologia da Informação Ltda. Por isto nos reservamos ao direito de apontar alguns links de mídias sociais e outros para as páginas da MindSec já existentes.”
“O uso da Logo Marca e o nome Minuto da Segurança, bem como Logo Marca e Nome MindSec são registrados e reservados nos termos da lei, não podendo ser copiado ou reproduzido.”
Categorias
Artigos
Download
HotSpot
Leadership
LGPD & PRIVACY
Notícias
Produtos
Próximos Webinars
SUSPENSO
Webinar
Comentários Recentes
Anderson em Lista completa de ferramentas de teste de penetração e hacking
Lidiane Miranda Dos Santos em Senac libera 90 cursos de formação online GRATUITOS incluindo Cisco, Microsoft e Red Hat
Luan Barros em A colisão de mercado de SIEM, EDR, MDR, XDR e MSSP
Wolverine. em Pesquisador ucraniano vaza dados da gangue Conti Ransomware
wernz em Crime cibernético – seus funcionários são uma ameaça à segurança operacional?
“Os comentários exibidos acima foram publicados por terceiros e não refletem de qualquer modo a opinião do Blog Minuto da Segurança ou de seus patrocinadores, os quais não serão responsáveis de qualquer forma pelas informações contidas nos mesmos”