1. Mapear os dados utilizados pela empresa
O primeiro passo é identificar:
- quais dados são coletados;
- de quem são esses dados;
- por qual motivo são utilizados;
- onde ficam armazenados;
- quem possui acesso;
- com quem são compartilhados;
- por quanto tempo são mantidos;
- como são eliminados.
Esse mapeamento ajuda a empresa a compreender o fluxo das informações.
2. Identificar as finalidades e bases legais
A empresa deve entender por que utiliza cada categoria de dado pessoal e qual fundamento jurídico autoriza o tratamento.
Nem todo tratamento depende de consentimento. A legislação prevê diferentes bases legais, que devem ser analisadas conforme a finalidade e o contexto.
Utilizar consentimento de maneira automática, sem avaliar outras possibilidades, pode criar problemas de gestão e documentação.
3. Definir responsabilidades
É importante estabelecer quais áreas, gestores e fornecedores participam das decisões sobre dados pessoais.
Também deve ser avaliado o papel da empresa em cada operação, inclusive quando atua como controladora ou operadora.
A definição de responsabilidades facilita o atendimento aos titulares e a tomada de decisões em situações de risco.
4. Revisar avisos e políticas de privacidade
As informações fornecidas aos titulares devem ser claras e compatíveis com o que realmente acontece na operação.
Uma política copiada de outra empresa pode mencionar ferramentas, finalidades ou processos inexistentes.
Também devem ser avaliados formulários, páginas do site, sistemas internos e documentos utilizados com colaboradores e clientes.
5. Revisar contratos com fornecedores
Empresas de tecnologia, contabilidade, marketing, armazenamento, recrutamento e gestão de pessoas podem ter acesso a dados pessoais.
Os contratos devem estabelecer responsabilidades, finalidade do acesso, medidas de segurança, confidencialidade e procedimentos em caso de incidente.
6. Implementar medidas de segurança
A segurança da informação deve considerar o porte da empresa e os riscos existentes.
Algumas medidas iniciais incluem:
- controle de acessos;
- senhas fortes;
- autenticação em dois fatores;
- atualização de sistemas;
- cópias de segurança;
- orientação aos colaboradores;
- restrição de permissões;
- procedimentos para desligamento de funcionários;
- cuidados com o envio de documentos.
7. Preparar procedimentos para solicitações e incidentes
A empresa deve saber como responder quando um titular solicita informações sobre seus dados.
Também precisa estabelecer procedimentos para situações como perda de dispositivos, acesso indevido, envio de informações ao destinatário errado ou ataque a sistemas.
Empresas pequenas também precisam observar a LGPD?
A legislação e as normas da ANPD preveem algumas flexibilizações para agentes de tratamento de pequeno porte.
Isso não significa uma dispensa geral. A empresa continua responsável por respeitar os direitos dos titulares e adotar medidas compatíveis com seus riscos.
A adequação à LGPD deve ser encarada como um processo contínuo.
Começar pelo mapeamento dos dados e pela definição de responsabilidades permite que a empresa estabeleça prioridades e implemente medidas proporcionais à sua realidade.
A MFA Advogadas auxilia empresas na estruturação de políticas, contratos e procedimentos relacionados à proteção de dados. Entre em contato para conhecer nossa atuação.
