Em pouco mais de um ano, a nova Lei Geral de Prote??o de Dados (LGPD) entrará em vigor no Brasil com efeitos imediatos nos bolsos de quem n?o estiver em conformidade. As conversas, de forma geral, bem como os preparativos, porém, ainda est?o muito superficiais, n?o identificando os reflexos profundos e difusos que a nova legisla??o trará para as empresas.
Setores como financeiro e, em níveis de prontid?o, mesmo o de varejo, caminham bem, mas áreas como a da saúde, por exemplo, ainda engatinham. Imagine que você vá fazer um simples exame e daí o médico da clínica pede para que você encaminhe os resultados para um e-mail genérico como “atendimento@”. Quantas pessoas n?o ter?o acesso ao mesmo? Onde e de que forma esses dados ser?o armazenados e usados?
A situa??o descrita acima deixa claro que uma análise simples de “conforme / n?o conforme” n?o é suficiente ou pelo menos n?o resolve todas as implica??es envolvidas. Para ir mais a fundo, é preciso reconhecer que o atendimento integral à nova Lei tem um caráter multidisciplinar que abrange estratégias de negócios, processos, tecnologias, políticas de relacionamento e atendimento ao consumidor, práticas de RH, postura dos colaboradores e até quest?es de cultura corporativa.
Com este cenário, uma op??o consistente de prepara??o é, à semelhan?a da área de Administra??o e Contábil, realizar um Assessment LGPD na empresa para compreender suas práticas atuais de prote??o de dados, o que a nova legisla??o está requerendo e qual é este “gap” entre as duas dimens?es. Nesta análise, focamos em três aspectos principais: negócios, jurídico e TI, levando-se em considera??o n?o somente a própria LGPD, como também os códigos internacionalmente reconhecidos para a seguran?a da informa??o e o gerenciamento de riscos.
Neste trabalho, o primeiro passo é identificar claramente quais dados de pessoas físicas a empresa armazena, ou tem contato. A natureza deles também é algo a ser estudado, pois quanto mais sensível a informa??o, maior o potencial de dano e nível de seguran?a exigido. Passamos ent?o à análise do lugar ou maneira como estes dados s?o armazenados, ou seja, em sistemas, e-mails, planilhas, contratos, notas, recibos etc.
Chegamos ent?o a uma das principais novidades da LGPD, a avalia??o ou mesmo desenho dos procedimentos de obten??o de consentimento das pessoas para utiliza??o de dados. Aqui, a situa??o come?a a complicar mais, pois n?o basta ter o procedimento para permitir a utiliza??o, a lei exige que a empresa possa rastrear posteriormente como os dados das pessoas s?o utilizados, quem os utiliza, para qual propósito e por quanto tempo. Logo, algo complexo que demanda tanto sistemas de TI, como processos, treinamento de equipe e até a cria??o de métodos de auditoria.
Há também uma situa??o inteiramente nova que precisa ser endere?ada: procedimentos efetivos para garantir o direito de remo??o dos dados pessoais quando assim solicitado. Em um olhar superficial, pode parecer algo simples. Mas n?o é! Imagine o desafio de remover um dado de empresas de porte nacional, com vários canais de venda, bancos de dados, integra??o com fornecedores e subsidiárias de um mesmo grupo. Sem contar os itens mais práticos: quem vai receber este pedido? De que forma? Qual é o prazo de exclus?o? Como o cliente ‘proprietário’ é avisado? Ou seja, é toda uma nova atividade dentro da empresa que precisa ser desenvolvida.
A empresa precisa se preparar para um eventual vazamento de informa??es. Além das multas, a Lei prevê que este fato deve ser comunicado publicamente. Logo, as empresas devem ter bem claro: quem cuida das informa??es, como s?o monitorados vazamentos, quem comp?e o time de crise para tomar as decis?es de forma rápida, dentre outros. Em paralelo a tudo isso, as empresas devem reavaliar contratos, tanto com fornecedores quanto para o time interno, engajar a equipe e comunicar adequadamente as mudan?as aos públicos envolvidos, definindo quais pontos devem ser tratados, por quem e em qual prazo.
Todas essas quest?es demandam tempo, n?o somente para as adequa??es, mas para que as partes envolvidas concordem acerca das mudan?as necessárias. Essa é a principal raz?o para que se estabele?a um senso de urgência para as a??es rumo à LGPD. Quanto mais tempo a empresa demorar para come?ar, menos tempo terá para ajustar o que for preciso e ter confian?a nessa curva de aprendizado, necessária e inevitável.
As san??es administrativas e multas s?o pesadas e passam a valer a partir de agosto de 2020. Dependendo da maturidade da empresa e do ramo de atua??o, as mudan?as e a transforma??o podem ser gigantescas. A LGPD pode enterrar estratégias/a??es de capta??o de clientes para venda de produtos e servi?os e até mesmo inviabilizar negócios inteiros. Por isso, recomendo que este assunto esteja o quanto antes na pauta principal das lideran?as e n?o perca seu senso de urgência.
Artigo originalmente publicado em: