Toda empresa que tem empregados, clientes e fornecedores trata dados pessoais, e a lei exige que ela saiba responder, em relação a cada tratamento, com que finalidade o realiza, em qual hipótese legal se apoia, por quanto tempo conserva a informação e quais controles adota para protegê-la.
A adequação consiste em converter uma prática que já existe, e que em geral ocorre sem registro, em uma atividade documentada, com responsáveis definidos e prazos de guarda estabelecidos. Para a empresa de pequeno porte, o trabalho observa o regime simplificado da Resolução CD/ANPD nº 2/2022, sem deixar de atender às obrigações que esse regime mantém.
Etapas da adequação
Levantamento dos dados tratados
Identificação dos dados que a empresa coleta, das pessoas a que se referem, dos meios pelos quais ingressam, dos locais em que ficam armazenados, de quem tem acesso a eles e dos destinos para os quais são enviados, o que constitui a base das etapas seguintes.
Definição da hipótese legal de cada tratamento
Enquadramento de cada utilização de dado pessoal em uma das hipóteses do artigo 7º da lei ou, quando se tratar de dado sensível, do artigo 11, com a indicação do que a empresa pode fazer com a informação e do que precisa comunicar ao titular.
Registro das operações de tratamento
Elaboração do registro exigido pelo artigo 37 da lei, em formato completo ou simplificado, conforme o porte da empresa.
Documentos dirigidos ao público externo
Aviso de privacidade do site, informação ao candidato em processo seletivo, informação ao empregado no momento da admissão e, quando houver cookies não essenciais, a respectiva política. Esses textos são redigidos em linguagem acessível, sem remissões técnicas que o titular não tenha condições de compreender.
Documentos de uso interno
Política de proteção de dados, regras de utilização de e-mail e de sistemas, procedimento de atendimento a pedidos de titulares e plano de resposta a incidentes de segurança.
Contratos com fornecedores
Revisão ou elaboração dos instrumentos com os prestadores de serviço que tratam dados por conta da empresa e, quando o fornecedor estiver no exterior, do instrumento que ampara a transferência internacional.
Segurança e controle de acesso
Definição, por escrito, de quem acessa cada conjunto de dados, de como se autentica e do que fica registrado, em conjunto com a área de tecnologia da empresa.
Capacitação das equipes
Orientação às pessoas que lidam com dados no dia a dia, para que os procedimentos definidos no projeto sejam efetivamente praticados.
A relação acima é ilustrativa. O escopo de cada contratação é definido na proposta, de acordo com o porte e a atividade da empresa.
Ao final do projeto, a empresa costuma receber, conforme o escopo contratado, o registro das operações de tratamento; os documentos externos e internos redigidos e revisados; os contratos com fornecedores ajustados; o procedimento de atendimento a titulares e o plano de resposta a incidentes; e um relatório final que descreve o que foi feito, o que ficou a cargo da empresa e o que precisa ser revisto periodicamente. As entregas de cada contratação são definidas na proposta.
Quando o serviço é procurado
As situações abaixo são as que mais frequentemente levam ao contato. Elas não esgotam os casos em que o serviço se aplica, e a conveniência da contratação é avaliada a partir da realidade de cada empresa.
- Um cliente de maior porte envia questionário de proteção de dados como condição para a contratação.
- Um edital de licitação ou de credenciamento exige demonstração de conformidade.
- A empresa pretende lançar aplicativo, site ou base de clientes em ferramenta nova.
- Um ex-empregado solicita cópia dos dados que a empresa mantém a seu respeito.
- A empresa recebe comunicação da Agência Nacional de Proteção de Dados.
Dúvidas sobre o serviço
Antes de contratar.
Quanto tempo leva uma adequação?
O prazo depende do porte da empresa, do número de áreas envolvidas e da quantidade de sistemas em uso. A estimativa consta da proposta, e o cronograma é revisto sempre que o levantamento revela algo que não estava previsto.
Concluída a adequação, o que permanece a cargo da empresa?
A manutenção do que foi organizado. A adoção de sistema novo, o lançamento de campanha, a contratação de fornecedor e a admissão de empregados alteram o que foi documentado. Por isso o projeto se encerra com um plano de manutenção, que indica o que deve ser revisto e com que periodicidade.
É necessário adquirir algum software?
Não como ponto de partida. A maior parte do que a lei exige consiste em decisões, registros e procedimentos. Ferramentas resolvem problemas de escala, mas não substituem a organização do tratamento.
Outros serviços
Também dentro da proteção de dados.
Artigos relacionados
- A aplicação da LGPD às empresas de pequeno porteA LGPD não estabelece porte mínimo. Para microempresas, empresas de pequeno porte e startups, a Resolução CD/ANPD nº 2/2022 simplifica a forma de cumprimento, sem afastar as obrigações essenciais.
- Política de privacidade não é adequaçãoA política de privacidade atende ao dever de informar. A lei exige também fundamento legal para cada tratamento, registro das operações, segurança e atendimento aos titulares, e cobra a coerência entre o texto e a prática.
Contato
Atendimento remoto em todo o Brasil, direto com o advogado. A primeira mensagem informa de qual página você veio.
Conversar pelo WhatsApp- (81) 99825-3469
- benick@benicksantana.com
- Sede
- Recife, Pernambuco