Registro de atividades de tratamento (RAT): por que fazer se não é obrigatório?
Vamos começar reconhecendo que, embora a Lei 21.719 do Chile seja inspirada no GDPR europeu, ela não é igual. E uma das diferenças é esta: lá é obrigatório ter um registro de tratamentos de dados pessoais, enquanto no Chile isso é opcional. A não ser que se queira adotar um modelo de prevenção de infrações (que é completamente opcional), fazer um RAT também é opcional.
Então, por que tantas empresas dedicam muito tempo e equipes especializadas para fazer esse levantamento? Deixamos aqui os principais motivos que identificamos:
1. É impossível cumprir aquilo que não se conhece
A lei é muito clara quanto aos princípios e às condições que devem ser cumpridos quando se realiza um tratamento de dados, mas é quase impossível cumpri-los se não sabemos quais tratamentos uma organização realiza. Se fizermos um esquema (não exaustivo, apenas orientativo), as áreas que precisam ser cobertas em um tratamento de dados poderiam ficar assim:
É uma simplificação, mas ajuda a ter uma ideia de como é importante ter um mapa dos tratamentos para conseguir cumprir a nova norma.
2. A realidade é muito diferente dos documentos
Há empresas que levantam os registros de tratamento a partir dos documentos de processos e procedimentos, mas a realidade é que as pessoas adaptam suas funções, e isso pode mudar a forma como tratam os dados. Por exemplo: quando um cliente vai retirar um produto na loja, o procedimento indica que se deve fotografar a carteira de identidade, mas, quando aquela máquina quebrou, os atendentes passaram a tirar foto do documento com o celular para não atrasar as entregas. Esse último tratamento tem riscos diferentes daquele indicado no procedimento original.
3. É o ponto de partida da gestão de riscos (essa sim, obrigatória)
Além das exigências indicadas no primeiro ponto, outra delas tem a ver com a gestão de riscos e a mitigação dos riscos que eles representam para o titular dos dados. Lembremos que a proteção de dados tem a ver com proteger as pessoas que estão por trás desses dados. E, diante de tratamentos invasivos, a lei exige demonstrar que eles foram avaliados e minimizados. Por exemplo, se estou usando dados de saúde de alguém, isso tem mais risco do que se estou usando dados como nome e sobrenome. Imagine que eu envie por engano uma lista de dados para a pessoa errada: qual terá maior impacto, a de dados de saúde ou a que tem o nome? Esse tipo de risco só poderá ser avaliado se formos exaustivos no registro de tratamentos.
Mas quem já passou por um processo de levantamento de RAT sabe que é uma atividade cheia de atritos. Por isso, deixamos aqui:
5 dicas práticas para tornar essa atividade mais estruturada:
1. Documente todas as atividades de tratamento, não só as óbvias
Muitas vezes os riscos estão ocultos, porque são ações tão normalizadas que nem percebemos. Por exemplo: tirar fotocópia de uma carteira de identidade ou, na versão mais recente e mais arriscada, tirar uma foto dela. Esse simples gesto pode deixar uma porta aberta para golpes contra a pessoa, já que, com o número de série do documento, é possível se passar por ela.
Por isso, é necessário documentar todas as atividades que realizamos no dia a dia ou de forma esporádica. Vamos nos perguntar:
Que atividades eu faço no meu dia a dia de trabalho que envolvem dados pessoais (de qualquer pessoa, por exemplo de clientes, colaboradores, visitantes, filhos de colaboradores, etc.)
Que atividades eu faço de forma mais esporádica, mas que também envolvem dados pessoais (por exemplo: envio um relatório semanal de todas as pessoas que entraram em um prédio)
Lembre-se de que a análise posterior não é pela frequência com que você realiza uma atividade, e sim pelo risco dela.
Uma ação pode ser muito normalizada e ainda assim ser arriscada, então é preciso documentá-la do mesmo jeito. O risco é avaliado depois.
2. Pense primeiro no alcance e depois na profundidade
A recomendação é listar primeiro todas as atividades de tratamento que são realizadas, para ter o alcance mais completo possível. Reserve alguns minutos para abranger tudo o que fazemos, sem deixar nada de fora.
Como ajudar os colaboradores a pensar nisso?
Explique o contexto: o que se busca identificar e por quê. Além disso, dê exemplos próximos da realidade deles ou da função que exercem. O que buscamos é que, por um momento, deixem de enxergar o próprio trabalho como algo automático e passem a observá-lo e analisá-lo.
Depois, com essa lista, vamos documentar cada uma das atividades com a profundidade exigida no registro de tratamento. Por exemplo, identificando de onde vem a informação, para que ela é usada, com quais sistemas se trabalha, etc.
3. Você tem fornecedores? Precisa incluir as atividades que eles realizam em seu nome
Um erro frequente é supor que, se o tratamento é feito por um fornecedor, a responsabilidade foi transferida. A lei é muito clara quanto a isso: se um fornecedor atua em nosso nome, a responsabilidade de que ele cumpra a norma continua sendo nossa.
Por isso mesmo, também devemos documentar as atividades realizadas pelos fornecedores. Por exemplo: tenho um fornecedor que faz campanhas por telefone. Esse tratamento pode ser feito de muitas maneiras e exige análise, já que pode envolver riscos diferentes. Se o fornecedor trabalha com uma pasta compartilhada para repassar a base de clientes a quem ligar, não é a mesma coisa que dar a ele acesso restrito a um sistema de chamadas em que não tem acesso à base completa.
4. Inclua os processos automáticos
Exatamente como diz o título: processos automáticos que envolvem dados pessoais também são tratamentos. Por exemplo, os clientes recebem um e-mail de boas-vindas automático? Isso é um tratamento que precisa ser considerado.
5. Como saber o que documentar?
Com todas essas considerações, é fácil se perder e não saber o que documentar. Surgem dúvidas o tempo todo sobre quais campos são realmente necessários e com que nível de detalhe cada atividade deve ser descrita.
Infelizmente, não existe uma resposta única para isso. E a resposta sempre será que se deve documentar as informações necessárias para depois conseguir analisá-las em função do risco.
Se ficar geral demais, será impossível identificar os riscos dos tratamentos; mas, se os registros ficarem detalhados demais, esse nível de granularidade tornará a gestão muito complexa depois.
Mas, nesse ponto, a tecnologia ajuda. O Prisma IA da Soyio permite gerenciar de forma mais eficiente as informações coletadas em entrevistas com quem usa dados pessoais no dia a dia. Assim, é possível pedir informações a um grande número de colaboradores de maneira automatizada, por meio de uma conversa natural com um chatbot, e depois ter essas informações estruturadas e análises automáticas. Tudo isso sem tirar a revisão humana da equação, que é necessária para calibrar se estamos registrando a informação adequada e relevante sobre como operamos com os dados em uma organização.
