Passados aproximadamente dois anos da sua aprovação, enfim a Lei Geral de Proteção de Dados entrou em vigor, pegando de surpresa boa parte da comunidade jurídica e empresariado. Isto porque, como bem sinalizava a decisão da Câmara dos Deputados, tudo indicava que o início da sua vigência seria prorrogado para 31 de dezembro de 2020. No entanto, por conta de questões regimentais, o Senado Federal houve por bem derrubar o artigo da MP nº. 959/2020 que abordava a prorrogação, encaminhando-a para sanção presidencial, que se deu em 18 de setembro de 2020.
Muito embora a aplicação das sanções previstas na Lei tenham sido postergadas para 1 de agosto de 2021, as organizações – empresas, entidades e órgãos públicos – já precisam estar prontas para o atendimento das demandas de titulares de dados e para a atuação imediata diante de eventuais incidentes de segurança, sob pena de estarem sujeitas a ações judiciais e autuações de outros órgãos de fiscalização, como, por exemplo, o Procon.
Se até então algumas organizações vinham tratando o tema como questão de segunda ordem, agora o assunto é prioritário, pois é bem sabido que a jornada de adequação é longa, não existindo receita pronta vez que a adequação deve ser um trabalho customizada para cada organização de forma a atender suas necessidades e viabilizar seus negócios.
Diante deste cenário, que em um primeiro momento pode parecer até mesmo caótico, a pergunta que fica é: “Por onde começar o processo de adequação à Lei Geral de Proteção de Dados?”.
Antes de mais nada, como já informado anteriormente, o intuito destes breves comentários não é criar qualquer espécie de manual, mas apenas sugerir um cronograma mínimo de execução, cumprindo a cada organização estruturar a implementação à sua maneira.
Neste sentido, é altamente recomendável que se inicie este processo já com a nomeação de um Encarregado – Data Protection Officer/DPO –, que, nos termos da Lei, será o responsável por aceitar reclamações e comunicações dos titulares de dados, prestar esclarecimentos e adotar providências, receber comunicações da futura autoridade nacional, orientar os funcionários e os contratados da entidade a respeito das práticas a serem tomadas em relação à proteção de dados pessoais, bem como executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares.
Buscando auxiliar o Encarregado no exercício de suas funções, aconselha-se a criação de um comitê interno voltado ao tema, composto não apenas por representantes do departamento jurídico e da tecnologia da informação, mas sim por todas as áreas que porventura lidem com dados, como, por exemplo, marketing, comercial, vendas, SACs, recursos humanos, dentre outras.
Encarregado e membros deste comitê devem ficar responsáveis pelo próximo passo desta jornada, que é o mapeamento do fluxo de dados da organização – data mapping –, cujo objetivo é criar uma trilha auditável dos dados capturados, desde o primeiro contato até seu descarte definitivo, identificando em que momento e por onde eles dão entrada, sua natureza, finalidade da captura, local de armazenamento, em que momento serão descartados e de que maneira este descarte se dará, detectando, assim, seu ciclo de vida dentro da organização.
Embora não exista obrigatoriedade expressa da Lei para elaboração deste mapeamento, isso acaba ocorrendo indiretamente, pois é praticamente impossível de se iniciar qualquer projeto de adequação sem saber que dados a organização possui e que uso vem fazendo deles.
Nomeado o Encarregado e criado o comitê e mapeado o fluxo dos dados, então é possível o início da análise dos “gaps” da empresa com relação à privacidade dos dados que trata, por meio da elaboração de políticas de privacidade externas e internas, assegurando a efetiva implementação de tais políticas, analisando contratos e revisando-os quando necessário, revendo processos internos e os adequando a esta nova realidade.
Tal qual o cargo de Encarregado, é altamente recomendável que se atribua caráter permanente ao comitê criado, uma vez que, como pode-se imaginar, superada a jornada de implementação da Lei, o processo de adequação se torna constante, exigindo monitoramento contínuo.
Finalmente, cumpre ressaltar a importância do constante aprimoramento dos sistemas de segurança digital da organização, visto que a adequação à Lei visa assegurar, dentre outras coisas, que os dados dos titulares estejam protegidos, minimizando os deletérios efeitos de eventuais incidentes a estes relacionados, sem substituir os habituais cuidados já há muito recomendados.
Como se pode constatar, é possível estruturar as inúmeras etapas a serem superadas antes que as organizações possam estar efetivamente adequadas à Lei, mas apenas a análise minuciosa das práticas internas de cada uma delas é que vai permitir identificar quais serão as medidas a serem adotadas caso a caso.
Contudo, sendo as políticas de segurança da informação, proteção e transparência no tratamento de dados um direcionamento mundial, não há dúvidas de que sua implementação pode ser encarada como diferencial nas organizações que o fizerem de maneira efetiva, não apenas pela minimização dos riscos relacionados aos prejuízos decorrentes de eventuais incidentes, mas principalmente como vantagem frente aos concorrentes que não se atualizarem adequadamente neste sentido.
