Cuidados no levantamento de informações pessoais eficiente da LGPD - Pactum
Percebe-se de forma recorrente nas empresas onde iniciamos a adequação da LGPD que os "Assessments" ou a análise de riscos feitas por terceiros, tem um foco demasiado nos ativos de informação, lembrando mais uma implantação de ISO 27001 do que da LGPD.
Ativos de informação, para normativas como a ISO 27001 são: Servidores, Notebooks, contratos, infraestrutura de TI e etc..
Já a LGPD foca em "informações pessoais" ou seja, dados cadastrais, CPF, informações médicas e outras, em qualquer meio ou formato (digital, papel, vídeo etc..).
Então, em algumas dessas analises o foco é tão grande em ativos de informação, que mal chegam a citar os dados pessoais que a empresa deve proteger, focando completamente em Servidores, base de dados, mídias etc.
Como último apontamento:
Daremos um exemplo bem prático para vocês.
Rasgaria a informação e colocaria no lixo para ninguém ter acesso;
Entregaria para o seu supervisor imediato;
Não mexeria na informação, deixando-a onde está;
Iria ler para saber para quem levar o documento;
Conforme treinamento seria entregar para o supervisor imediato (Caso você também esteja com dúvida).
Isso é cultura pura, as pessoas precisam entender que rasgar uma informação confidencial pode ser tão crítico quando ler ela!
Então amigos, treinem, treinem e treinem e quando sua equipe estiver boa e entendendo bem os conceitos de segurança e dados, treine novamente!