#bomdialgpd

Aproveito esta primeira semana "cheia" do ano para comentar algumas atitudes importantes que podem ajudar na melhoria da conformidade com a LGPD. São frutos da observação da implementação da conformidade em diversas organizações de diferentes portes e segmentos. Nos artigos levantarei uma questão e apontarei um "call to action". No futuro nossos concorrentes também vão falar sobre isso :).

Vamos começar pela responsabilidade da conformidade com a LGPD. Pergunte a você mesmo: "quem é o responsável pela conformidade com a LGPD?"; depois pergunte a áreas pares como TI, segurança, auditoria, controles internos e outras; logo após faça a mesma perguntas para áreas que tratem com grande volume de dados pessoais como RH, marketing e SAC; por fim pergunte a alguém da alta gestão. Se as respostas não forem iguais, já começamos a ter um problema - e também o caminho para a solução.

Meu palpite é que a maior parte das respostas apontarão para o encarregado, o que é o contrário do que diz o artigo 17 a resolução 18 da ANPD que "Aprova o Regulamento sobre a atuação do encarregado pelo tratamento de dados pessoais.":

Art. 17. O desempenho das atividades e das atribuições dispostas nos arts. 15 e 16 não confere ao encarregado a responsabilidade, perante a ANPD, pela conformidade do tratamento dos dados pessoais realizado pelo controlador.

Mas se a responsabilidade não é do encarregado, de quem seria? A resposta está no artigo 10 do mesmo documento:

Art. 11. O agente de tratamento é o responsável pela conformidade do tratamento dos dados pessoais, nos termos da Lei nº 13.709, de 14 de agosto de 2018.

Mas se o responsável é o agente de tratamento, e este é uma pessoa jurídica, a responsabilidade recairia sob os gestores, o que operacionalmente e tecnicamente é praticamente impossível. Assim, uma forma eficaz de implementar a conformidade com a LGPD é atribuir a responsabilidade às áreas pois elas conhecem o negócio e determinam a finalidade do uso dos dados pessoais, por exemplo: se o RH coleta curriculuns para um processo de seleção, faz pesquisas de diversidade e inclusão, ou armazena atestados médicos para justificar ausências, a responsabilidade destes tratamento de dados pessoais é do próprio RH. Isso não significa que o time de RH por exemplo precise ser expert em LGPD (assim como não é expert em TI, direito, compliance e outros temas horizontais), mas sim, precisa estar instrumentado para exercer esta responsabilidade.

Call to Action

Reúna o comitê de proteção de dados / privacidade, explique a situação e proponha que haja uma mudança e um processo de educação / conscientização / comunicação para alinhar a organização de que a responsabilidade da conformidade é das áreas (para começar é essencial que haja entendimento comum);

Faça uma avaliação de conformidade para identificar os pontos mais importantes para atuar;

Prepare um treinamento que em primeiro lugar posicione as áreas como responsáveis pela conformidade com a LGPD, ensine a elas o que é uma "operação de tratamento de dados pessoais", e depois descreva as atitudes e entregas esperadas;

Muitas organizações têm tido ótima experiência ao destacar "pontos focais" (campeões, privacy champions, interlocutores, ou outro título) em cada área para interagirem com a equipe de conformidade com a LGPD;

Destaque o apoio e retaguarda técnica que a equipe de conformidade com a LGPD pode dar;

Facilite a vida das áreas, adote aceleradores para ROpA, RIPD, Avaliação de Riscos, Teste de Balanceamento, Atendimento ao Direito do Titular, e Registro de Incidentes, por exemplo.

Importante

Comunicação e alinhamento são essenciais: enquanto as áreas acharem que a responsabilidade da conformidade com a LGPD é centralizada (encarregado, TI, compliance, auditoria, ...), o processo de conformidade com a LGPD terá dificuldades em avançar;

Crie indicadores de conformidade para as áreas e acompanhe a evolução;

Conquistar a descentralização fará com que os processos de conformidade sejam mais rápidos e com melhor uso dos recursos.

Temos tido diversas experiências nesta transformação, podemos fazer uma apresentação sem custos para sua organização, me mande uma mensagem e nossa equipe organiza a agenda.

Ilustração gerada por IA. Prompt GPT4o. Favor desenhar uma imagem de uma equipe com roupas informais de trabalho, em um workshop, discutindo sobre um grande organograma apresentado em uma tela.

Boa semana,

Obrigado,

Aquele abraço,

FNery.