O que costuma estar em jogo
Dado sensível muda o patamar de cuidado. Informação de saúde, dado biométrico, convicção religiosa e filiação sindical têm regra própria: as situações que autorizam o tratamento são mais estreitas que as dos dados comuns, e quando o fundamento é o consentimento, ele precisa ser específico e destacado, não uma linha perdida em termo de uso. Dado de criança e de adolescente tem exigência adicional. Há ainda restrição específica ao compartilhamento de dado de saúde com a finalidade de obter vantagem econômica, com exceções previstas em lei que precisam ser analisadas caso a caso. Para a clínica, para a academia e para o RH, isso não é detalhe: é a maior parte do que essas empresas tratam no dia a dia.
A escolha da base legal vem antes do tratamento, não depois dele. Consentimento não é a única possível e nem sempre é a mais adequada, e apoiar tudo nele costuma criar mais problema do que resolve.
Fornecedor também trata o seu dado. Sistema de gestão, contabilidade, agência e prestador de tecnologia acessam base de cliente, e essa relação precisa estar contratada com cláusula própria.
Mais cedo ou mais tarde algum incidente acontece. O que separa o problema administrável do problema grave é existir procedimento definido antes: quem é avisado, o que é registrado e em que ordem.
Como o trabalho é conduzido
- 01
Mapeamento
Levantamento do dado que entra, de onde vem, onde fica armazenado, quem acessa e para onde vai.
- 02
Base legal e documentos
Definição da base para cada tratamento e redação da política de privacidade, dos avisos e dos termos de coleta que a operação usa.
- 03
Contratos com terceiros
Cláusula de proteção de dados nos contratos com fornecedor e prestador, com a divisão de responsabilidade escrita.
- 04
Rotina e incidente
Procedimento de atendimento a quem pede informação sobre os próprios dados e plano de resposta a incidente, no tamanho da empresa.
Perguntas frequentes desta demanda
Preciso mesmo indicar um encarregado?
Depende. A indicação de encarregado é a regra para quem controla dados, mas a Autoridade Nacional de Proteção de Dados, a ANPD, dispensou dessa obrigação os agentes de tratamento de pequeno porte, que ainda assim precisam manter um canal de comunicação disponível para o titular dos dados e para a própria ANPD. A dispensa não vale para todo mundo que se considera pequeno: depende de critérios definidos em norma e do tipo de tratamento que a empresa realiza. É uma das primeiras coisas a verificar, porque define o tamanho de tudo o que vem depois.
Política de privacidade no site resolve?
Resolve uma parte. A política é a vitrine da adequação, não a adequação. Sem mapeamento e sem contrato com fornecedor, ela documenta uma prática que não existe.
Quanto tempo leva uma adequação?
Depende do volume de dado e da quantidade de sistemas envolvidos. Operação enxuta com poucos fornecedores costuma resolver em poucas frentes, e ambiente com muitos sistemas leva mais.
As situações descritas são exemplos frequentes e não substituem a análise do caso concreto, que depende da documentação e das circunstâncias específicas.