LGPD – Lei Geral de Proteção de Dados – Gestão de Riscos Empresariais – Enterprise Risk Management – ERM – Risk Veritas
A Lei Geral de Proteção de Dados, Lei 13.709/2.018 (LGPD) determina que qualquer informação relacionada a pessoa natural identificada ou identificável é considerada dado pessoal, e que toda operação com dados pessoais é considerada "tratamento de dados"; e ainda estabelece regras sobre coleta, armazenamento, tratamento e compartilhamento de dados pessoais, impondo mais proteção e penalidades.
Um de seus pilares é o princípio da necessidade – dados coletados por empresas e órgãos públicos e privados devem ser utilizados no estrito sentido das finalidades indicadas aos proprietários dos dados. São considerados dados, por exemplo, nome, endereço, CPF, número de RG, e-mail, idade, estado civil e situação patrimonial.
De maneira mais simples, a partir do momento que uma pessoa acessa um website, preenche um formulário ou um contrato, a empresa precisa notificar o usuário de que os seus dados pessoais estão sendo coletados para determinados fins de forma responsável e segura.
Ao previsto na LGPD e para entender as responsabilidades dos intervenientes no tratamento de dados são denominados controlador e operador – em muitos casos agentes envolvidos podem se enquadrar em ambas situações.
Afinal, o controlador é quem toma as decisões referentes ao tratamento de dados e o operador é quem efetivamente trata os dados, ainda que não tenha ingerência sobre seu tratamento.
Mapeamento e Avaliação dos Riscos e exposições relativas às operações, a fim de identificar exposições, riscos intrínsecos; avaliar a adequação dos procedimentos para atender aos requisitos da LGPD. Preparar e implementar a gestão de privacidade de dados. Consolidação e manutenção contínua das rotinas.
1# Implementar o plano de ação para adequação à LGPD: Modelo estrutural e funcional interno de privacidade e proteção de dados; Treinamentos específicos e por áreas de atuação; Mapa de dados e processos de negócio; Avaliação de riscos à privacidade; Avaliação de riscos à segurança da informação; Análise de brechas e identificação de lacunas e vulnerabilidades nos controles dos dados. Análises de Impacto na Privacidade (PIAs).
2# Desenvolver a estrutura sobre políticas de privacidade e segurança: Políticas de privacidade de dados pessoais; Políticas de segurança da informação;
3# Suporte na definição de atribuição da responsabilidade pela LGPD a uma pessoa da Diretoria; Incorporar o risco de proteção de dados na estrutura de gerenciamento de riscos corporativos e controles internos. Suporte para definição do Encarregado de Dados (na sigla em inglês DPO), Controlador de Dados e Operador de Dados;
4# Monitorar a conformidade relativas ao tratamento dos dados nas transações da empresa. Avaliação de impacto; Plano de ação de segurança da informação; Privacy by design e o security by design;
5# Manter conformidade com a LGPD/GDPR depende muito de a equipe entender corretamente o que deve fazer e por quê. Realizar treinamento para todos os envolvidos no processamento de dados para seguir processos e procedimentos definidos.
6# Monitorar e auditar a conformidade: Definir agenda e responsabilidade pelas auditorias regulares de atividades de processamento de dados e controles de segurança relativas à proteção dos dados pessoais.