Ter governança de dados garante a proteção dos dados pessoais?
Parece uma pergunta capciosa. E, em parte, é.
Nos últimos anos, a proteção de dados pessoais deixou de ser um tema exclusivamente jurídico. Hoje é uma preocupação que atravessa toda a organização. Ainda assim, muitas empresas continuam enfrentando um problema bem mais básico: não sabem com clareza quais dados têm, onde estão, quem os usa nem para quê.
É aí que aparece o conceito de governança de dados. Mas, antes de chegar nele, vale entender algo mais simples.
Vamos começar por algo mais conhecido: gerenciar dados
Os dados sempre existiram nas organizações. Durante muito tempo foram vistos como um subproduto da operação:
Se uma empresa vendia, apareciam dados de clientes.
Se cobrava, apareciam dados de pagamentos.
Se fazia marketing, apareciam dados de contato.
O problema é que esses dados não eram tratados como algo valioso. Ficavam dispersos, duplicados, sem controle claro. Em outras palavras, estavam ali, mas ninguém os gerenciava.
Com o crescimento da tecnologia e da capacidade de armazenamento e computação, os dados passaram a ser vistos como um ativo. E assim a gestão de dados foi se massificando.
Gerenciar dados significa, em termos simples, decidir (já não acontece por acaso) o que coletar, o que processar e como utilizar os dados de forma segura e eficiente para obter melhores resultados. Não é um fim em si mesmo. É uma ferramenta para alcançar outros objetivos.
Se uma empresa quer crescer em um produto, precisará de dados de qualidade para entender seus clientes, tomar decisões e medir resultados. Se quer melhorar a experiência, precisará de dados de feedback dos clientes, taxas de resolução, interações nos canais etc. A gestão de dados existe para apoiar o objetivo da empresa e sua estratégia.
Então, o que é governança de dados?
Se a gestão de dados é a execução do dia a dia, a governança de dados é a estrutura que organiza essa execução.
A governança de dados define as regras do jogo. Estabelece quem é responsável pelos dados, quais padrões eles devem cumprir, como são acessados, sob quais condições são usados e quais controles devem existir.
Na prática, permite que a gestão de dados aconteça de maneira consistente, segura e alinhada aos objetivos da organização. Sem essa estrutura, cada área acaba lidando com os dados à sua maneira, e o resultado costuma ser desordem, duplicidade e falta de controle.
E onde entra a proteção de dados pessoais?
As leis de proteção de dados pessoais exigem que esse tipo de informação seja tratado e resguardado de determinada maneira. Para cumprir isso, uma organização precisa saber, entre outras coisas, quais dados pessoais tem, para que os usa, com que fundamento os trata, quem os acessa e como os protege.
Isso parece óbvio, mas na prática nem sempre acontece. Muitas vezes o problema não é falta de intenção de cumprir a lei. O problema é mais básico: a empresa opera sobre dados desorganizados e, por isso mesmo, não tem ferramentas reais para aplicar adequadamente as exigências legais.
Aí a governança de dados cumpre um papel fundamental. Ajuda a identificar responsáveis, classificar os dados, definir regras de uso, armazenamento e retenção, estabelecer controles e organizar tudo isso de forma sistemática.
É tão visível quanto se perguntar em qual cenário é mais fácil proteger os dados.
No cenário 2 há responsáveis e políticas que mantêm a gestão correta ao longo do tempo:
Ter governança de dados não garante, por si só, a proteção dos dados pessoais. Pode ajudar muito, mas não basta.
Se a privacidade não faz parte da estratégia da organização, a governança de dados pode acabar focada apenas em organizar, explorar ou extrair valor da informação, sem necessariamente priorizar a sua proteção (lembremos que a gestão e a governança de dados buscam alavancar os objetivos de negócio).
Já quando a privacidade é incorporada como um princípio da organização, a governança de dados se transforma em um veículo natural para torná-la operacional.
Vamos ao concreto: quais práticas de governança de dados ajudam a proteger a privacidade
A resposta curta é: praticamente todas. Mas algumas são especialmente úteis para começar.
Catálogo de dados. Não é o mesmo que um registro de atividades de tratamento (RAT), embora os dois se complementem. O catálogo de dados reúne informações-chave sobre cada dado relevante para a organização. Permite entender o que aquele dado significa, quão crítico ele é, quem o administra, quais regras de qualidade deve cumprir, como é classificado (por exemplo, se corresponde ou não a um dado pessoal ou sensível) e outros metadados que a organização considere relevantes.
Um exemplo simples (pode haver catálogos de dados tão complexos quanto você quiser):
Definir responsáveis pelos dados: os dados são tão diversos e específicos que é impossível que uma única pessoa conheça em profundidade todos os conjuntos de informação de uma organização. Por isso, atribuem-se papéis.
O Data Owner costuma ter um papel de decisão. É responsável por um conjunto determinado de dados, como os dados de clientes. Define critérios de qualidade, uso e segurança, e precisa entender se esses dados exigem medidas especiais de resguardo, por exemplo por se tratar de dados pessoais ou sensíveis.
O Data Steward tem um papel mais operacional. Apoia o Data Owner na aplicação diária das políticas e dos padrões definidos. Cuida, por exemplo, de que os dados estejam bem classificados, documentados e gerenciados.
O Data Custodian, por outro lado, tem um foco mais técnico. É quem implementa os controles necessários para assegurar a disponibilidade, a segurança e o backup dos dados.
Definir políticas de dados. Sua função é deixar claro quais são as regras da organização para usar dados. Essas políticas deveriam incorporar expressamente critérios de proteção de dados pessoais e de segurança da informação, para que não exista ambiguidade sobre o que se pode fazer, o que não se pode fazer e quais são as consequências do descumprimento.
No fundo, incorporar uma governança de dados é criar condições, práticas e uma estrutura de papéis que favorecem a proteção dos dados pessoais.
