Uma abordagem para cumprir a Lei de Proteção de Dados Pessoais
Quanto falamos de risco? GDPR vs. lei chilena
Como advogado, ouço bastante a pergunta sobre como cumprir a futura lei de Proteção de Dados Pessoais. A resposta típica é que há uma série de requisitos difíceis de avaliar sem depender unicamente de advogados e de sua interpretação da norma.
Por isso, uma estratégia sólida é aprender com a experiência europeia e entender como essa regulamentação pode nos oferecer ferramentas específicas para avaliar adequadamente nossa conformidade.
As reformas do projeto de lei (Boletín 11144-07) são inspiradas no Regulamento Geral de Proteção de Dados da União Europeia (conhecido como GDPR, na sigla em inglês). Esse regulamento define os padrões de proteção que as organizações devem seguir em sua relação com os consumidores dentro da UE.
Além da proteção da informação, a redução de riscos é um foco central. De fato, a palavra “risco” é mencionada 75 vezes no GDPR, enquanto no projeto de lei chileno aparece apenas 18 vezes. Embora haja um avanço significativo, parece que o risco não ocupará um lugar central na discussão.
A redução de riscos é o resultado de um processo bem conhecido pelas organizações, com maior desenvolvimento em áreas como risco operacional, financeiro, de mercado e tecnológico. E tudo indica que, com a nova regulamentação, a proteção de dados pessoais gerará mais risco em diversas áreas que já tratam esses dados. Assim, uma eventual multa afetaria o risco financeiro, a perda de clientes e as violações de segurança.
Portanto, um excelente ponto de partida é definir adequadamente os riscos da organização. Se, entre todos os riscos identificados, não estiverem os associados à proteção de dados, há um problema fundamental na identificação e na avaliação de riscos. Será difícil determinar quais medidas de mitigação adotar se os riscos não forem compreendidos.
Uma política de gestão de dados não basta
As organizações tendem a minimizar os riscos. A primeira fase para mapeá-los adequadamente é entender quais dados temos (em sentido geral), para que os usamos e onde os armazenamos. Responder a essas perguntas nos permitirá avançar na adequação de nossos processos, políticas e sistemas de controle ao GDPR e ao projeto de lei.
No entanto, tentar responder à pergunta "quais dados temos?" pode gerar mais dúvidas. A falta de conhecimento sobre o que possuímos pode gerar a mesma incerteza que a falta de dados.
A incapacidade de gerar mudanças de forma efetiva e ativa é uma preocupação central. Não basta ter uma política de gestão de dados: ela precisa estar respaldada por um uso adequado da tecnologia e por um armazenamento correto (data at rest), entre outros aspectos. Por isso, cumprir adequadamente o projeto de lei (ou o GDPR) exige um passo inicial fundamental ligado à transparência e à gestão. Auditar o que já existe e definir o que é realmente essencial para a organização e o que não é são passos indispensáveis.
Em seguida, caberá aos especialistas em dados e aos tomadores de decisão definir um plano de adequação e conformidade viável. Até esse ponto, as decisões de governança corporativa e de dados devem ser o foco principal.
Cumprir ou não cumprir, eis a questão
Existe uma obrigação aparente de cumprir para evitar sanções. Parte da exigência normativa está em fazer cumprir as leis para prevenir abusos ou usos contrários a elas.
No entanto, quando se trata de proteção de dados pessoais, é preciso ampliar a perspectiva.
Um usuário não é simplesmente um usuário, mas uma pessoa que precisa das melhores condições para se desenvolver. Além da conformidade normativa, as organizações devem buscar o uso adequado dos dados. O caminho rumo à conformidade também pode ser um caminho para gerar riqueza nas organizações? A realidade é que sim. A gestão adequada dos dados reduz os custos operacionais e o risco organizacional.
Nesse caminho, portanto, não basta entender e confirmar que temos o consentimento dos usuários para tratar seus dados, o legítimo interesse para tratá-los, que a informação está disponível de forma simples e acessível para as pessoas, a quais terceiros transferiremos essa informação e de que formas os usuários podem exigir seus direitos. Há também um trabalho interno necessário, muito mais ligado à gestão e ao manejo adequado dos dados do que à sua visualização.
Portanto, uma parte dos requisitos está estreitamente ligada à gestão dos dados por parte dos usuários e ao consentimento. No entanto, outra parte crucial desse processo é as equipes técnicas conseguirem tratar os dados de maneira adequada, sem se desviar da finalidade comercial e, ao mesmo tempo, gerando um alto nível de confiança no uso dessa informação para as diversas áreas da empresa.
Voltando à pergunta inicial sobre como cumprir a futura lei de proteção de dados pessoais, a resposta dependerá do contexto de cada organização. A conformidade exigirá coordenação entre os líderes da empresa e a organização, além da correta adoção de medidas legais e técnicas concretas para garantir sua implementação efetiva.
Se você quiser ler sobre os desafios técnicos e as dúvidas que eles levantam, recomendo este post sobre como proteger a privacidade dos dados ao usar e treinar modelos de linguagem.
