Software para fazer o RAT em uma empresa com muitas áreas e sistemas

Para fazer o Registro de Atividades de Tratamento em uma organização com muitas áreas e sistemas, o que mais ajuda é uma ferramenta que levante as informações com as pessoas que operam cada processo e que permita atualizá-las quando algo muda. Uma planilha dá conta em uma organização pequena. Com dezenas de áreas, fornecedores e sistemas, ela fica desatualizada antes de ser concluída.

Na Soyio construímos o Prisma IA para esse problema: um agente de inteligência artificial entrevista cada colaborador, identifica as atividades que ele realiza com dados pessoais e redige o registro, que depois é revisado e aprovado pela equipe de proteção de dados.

O que é o registro de atividades de tratamento?

É o mapa dos dados pessoais que uma organização trata: quais dados cada área usa, para quê, de onde vêm, com quais sistemas são trabalhados e com quem são compartilhados. Sobre esse mapa se avaliam os riscos e se definem os controles.

É obrigatório no Chile?

A Lei 21.719 se inspirou no regulamento europeu, mas não é igual. Na Europa o registro é obrigatório. No Chile ele passa a ser exigível quando a organização adota um modelo de prevenção de infrações, que é voluntário.

Ainda assim, muitas organizações grandes estão levantando o registro. A razão é prática: é difícil cumprir os princípios da lei sobre tratamentos que não se conhecem. E diante de tratamentos invasivos, a lei pede poder demonstrar que o risco foi avaliado e minimizado. Essa análise parte do registro.

Por que a planilha não funciona em uma organização grande

Em uma organização desse tamanho, o conhecimento sobre os dados não está em um só lugar. Ele está com as pessoas que operam cada processo todos os dias: marketing, recursos humanos, atendimento a clientes, administração e finanças, cada uma com propósitos distintos.

A isso se somam três coisas que a planilha não resolve bem.

A realidade muda mais rápido que os documentos. Um procedimento diz que a cédula é fotografada com uma máquina na loja. A máquina quebra e os atendentes começam a tirar foto com o celular para não atrasar as entregas. Esse novo tratamento tem outros riscos, e não aparece em nenhum documento.

Os fornecedores também contam. Se um fornecedor trata dados por encargo da organização, a responsabilidade de que ele cumpra continua sendo da organização. As atividades dele também entram no registro.

Os processos automáticos são tratamentos. O e-mail de boas-vindas que é enviado sozinho, a sincronização com um CRM ou o relatório semanal que alguém programou há anos.

Levantar tudo isso com entrevistas manuais e planilhas leva meses. Quando termina, os primeiros registros já mudaram.

O que um software para fazer o RAT deve ter

Estas são as capacidades que convém revisar ao avaliar qualquer ferramenta:

1. Levantamento com quem opera os processos, não só com a área jurídica ou de compliance.

2. Cobertura de fornecedores e processos automáticos.

3. Base de licitude e nível de risco por atividade, para saber onde focar o trabalho de adequação.

4. Rastreabilidade: quem descreveu cada atividade e quem a validou.

5. Atualização sem refazer o levantamento cada vez que chega um processo novo.

6. Consulta do registro sem exportar tudo para Excel.

Quais opções existem

Há três caminhos frequentes.

O primeiro é uma consultoria com planilhas. Funciona para uma foto inicial, mas o registro fica em um arquivo que alguém precisa manter.

O segundo é uma plataforma global de privacidade. A OneTrust, por exemplo, digitaliza o processo: oferece inventário e mapeamento de dados que a equipe da organização preenche. É útil para coordenar um programa de privacidade em muitos países.

O terceiro é automatizar o levantamento. É o que o Prisma IA faz: em vez de a equipe de privacidade preencher formulários, o agente conversa com cada área e estrutura o registro.

Como funciona o Prisma IA

1. Cada colaborador conversa com um agente de IA em uma entrevista guiada.

2. O agente identifica as atividades que essa pessoa realiza com dados pessoais e redige o registro de cada uma.

3. A equipe de proteção de dados revisa e aprova cada registro.

4. O registro fica em uma biblioteca centralizada, com base de licitude, nível de risco e o rastro de quem descreveu e quem validou cada atividade.

5. A partir de cada atividade, a plataforma ajuda a identificar riscos e os controles que convém implementar.

A equipe de proteção de dados também pode fazer perguntas ao registro em linguagem natural, como quais tratamentos se baseiam no consentimento ou quais concentram mais risco.

Dois casos: um grupo automotivo e um grupo financeiro

Um grupo automotivo chileno decidiu levantar seu registro com a própria equipe, sem contratar uma consultoria externa. Em 16 semanas, incluindo um piloto, completou 272 atividades em 48 áreas. Somou um novo grupo de áreas a cada três semanas e auditou o que o agente ia descrevendo.

Um grupo financeiro chileno documentou mais de 800 tratamentos em 26 gerências. Cada tratamento levou em média entre 10 e 15 minutos.

Foto anual ou processo vivo?

Chegam marcas novas, abrem-se canais, somam-se fornecedores. Um registro que se atualiza uma vez por ano descreve como a organização trabalhava meses atrás.

Com o Prisma IA, atualizar o registro segue o mesmo caminho de construí-lo: quando aparece uma atividade nova, o colaborador a registra conversando com o agente.

Um RAT serve enquanto reflete como se trabalha hoje.

Perguntas frequentes

Qual software serve para fazer o RAT no Chile?

Há plataformas globais que digitalizam o inventário de dados e ferramentas que automatizam o levantamento. O Prisma IA, da Soyio, é feito no Chile para a Lei 21.719 e levanta o registro com entrevistas conversacionais a cada área.

Quanto tempo demora fazer o RAT em uma organização grande?

Depende do tamanho e do ritmo que se defina. Um grupo automotivo completou 272 atividades em 48 áreas em 16 semanas, incluindo um piloto. Em um grupo financeiro, cada tratamento levou em média entre 10 e 15 minutos.

É possível fazer o RAT sem uma consultoria?

Sim. Um grupo automotivo chileno o fez com a própria equipe e o Prisma IA. A equipe de proteção de dados revisa e aprova o que o agente redige.

Quem precisa participar?

As pessoas que operam os processos com dados pessoais em cada área. Elas sabem como se trabalha na prática, o que muitas vezes é diferente do que diz o procedimento.

É preciso incluir os fornecedores?

Sim. Se um fornecedor trata dados por encargo da organização, a responsabilidade continua sendo da organização.

Com que frequência o registro é atualizado?

Cada vez que um processo muda. Por isso convém que atualizá-lo seja tão simples quanto registrar uma atividade nova.