Proteção de dados pessoais: a dicotomia entre conhecer o negócio e cumprir a norma
Um dos grandes desafios da implementação da legislação de dados pessoais no Chile é avançar de uma conformidade meramente teórica para uma conformidade conectada às operações do negócio.
Sim, é exatamente isso. Sei que soa complexo e provavelmente é. É muito difícil que uma organização tenha um sistema de conformidade formal e aprovado (como um Modelo de Prevenção de Infrações) e que isso signifique, na prática, que a conformidade realmente permeou a cultura da organização. Esse é hoje o grande desafio para todos os profissionais que acompanhamos a implementação dessa legislação e precisamos percorrer a última milha.
A lacuna prática: por que é importante identificar os processos que envolvem dados pessoais
Olhando mais de perto, muitos de nós que trabalhamos com privacidade provavelmente já percebemos que uma Política de Proteção de Dados Pessoais (ou Privacy Policy) pode conter uma série de declarações que tranquilizam terceiros e, sobretudo, os titulares dos dados: seus dados são obtidos de forma leal e lícita e usados conforme a norma. No entanto, quando se entra a fundo em uma organização, percebe-se que os problemas não surgem no cumprimento teórico da norma, e sim nos processos internos, que às vezes nem estão definidos. Neles costuma faltar clareza sobre quem são os donos dos dados (pessoais) e sobre quais processos os utilizam, ou seja, quais são as atividades de tratamento envolvidas.
Esse ponto me parece central. Uma boa governança de privacidade, por si só, não vai reduzir o risco de não governar os dados, mas pode ser um bom começo. Níveis maduros de governança de dados também não garantem a redução do risco de descumprimento da norma, mas permitem avançar rumo a uma visão sistêmica da organização e, sobretudo, identificar quais áreas são críticas (e arriscadas) nessa matéria.
Por que entender o negócio importa para cumprir a Lei
O que vai importar é a diferença entre dois tipos de organização. Umas entendem suas operações, conectam-nas ao negócio e as ajustam para cumprir esta lei. Outras partem de um “check list” da Lei e apenas impõem políticas rígidas sem relação com seus processos. Esse segundo caminho, sem dúvida, gerará um risco enorme diante de futuras fiscalizações, pela desconexão entre a teoria e a realidade que uma Autoridade de Controle poderá enxergar.
Para concluir, um conselho que vem da minha experiência profissional e da experiência europeia, e que as organizações devem ter em mente diante desse desafio: construa uma conexão profunda entre conhecer o negócio, conhecer os dados (pessoais) que ele possui e conhecer as operações em que esses dados são usados. Essa conexão responde de forma realista às exigências da Lei e evita o trabalho em silos entre as áreas. Além disso, permite demonstrar uma abordagem proativa na gestão dos riscos que surgem naturalmente das atividades realizadas na organização.
