Poucas empresas partem do zero em proteção de dados. É comum encontrar um contrato com cláusula específica, uma política de privacidade publicada a partir de um modelo, um controle de acesso implantado pela área de tecnologia e um treinamento realizado uma única vez. São medidas isoladas, adotadas em momentos diferentes, sem que alguém tenha verificado se elas se articulam e se cobrem o que precisa ser coberto.
O diagnóstico responde a três perguntas: o que já está resolvido, o que está parcialmente atendido e o que ainda não foi iniciado. O resultado é um plano de providências ordenado pelo risco de cada situação.
O que é examinado no diagnóstico
Entrevistas por área
Conversa com as pessoas que lidam com dados no dia a dia, nas áreas de recursos humanos, comercial, atendimento, financeiro e tecnologia, na qual costuma aparecer a distância entre o que está escrito e o que efetivamente ocorre.
Inventário dos tratamentos
Identificação dos dados tratados, das pessoas a que se referem, dos meios de coleta e da finalidade declarada para cada tratamento.
Exame dos documentos existentes
Análise dos avisos, políticas, contratos com fornecedores, termos de consentimento e registros, verificando não apenas a existência de cada documento, mas o seu conteúdo e as omissões relevantes em relação ao que a lei exige.
Verificação das hipóteses legais
Confirmação de que cada tratamento identificado se apoia em uma hipótese da lei e de que a hipótese adotada é sustentável.
Segurança e controle de acesso
Verificação de quem acessa cada conjunto de dados, de como se autentica, do que fica registrado e do procedimento adotado quando alguém deixa a empresa.
Rotinas de resposta
Avaliação do que a empresa faz hoje quando um titular solicita acesso ou eliminação de dados e do que faria diante de um incidente de segurança.
Relatório com classificação de risco
Descrição de cada constatação, com o dispositivo legal envolvido, o efeito prático e a classificação do risco correspondente.
Plano de providências
Indicação do que deve ser feito em primeiro lugar, do que pode aguardar e do que a empresa tem condições de resolver internamente.
A relação acima é ilustrativa. O escopo de cada contratação é definido na proposta.
Ao final do diagnóstico, a empresa costuma receber, conforme o escopo contratado, o relatório de diagnóstico, com as constatações, o fundamento e a classificação de risco de cada uma; o inventário dos tratamentos levantados; o plano de providências ordenado por prioridade; e uma reunião de apresentação dos resultados, na qual a ordem das prioridades é discutida com a empresa. As entregas de cada contratação são definidas na proposta.
O que o diagnóstico não é
Não existe selo ou certificado oficial de conformidade à LGPD emitido por autoridade pública. O relatório descreve o que a empresa praticava na data em que foi examinada, e é dessa forma que deve ser apresentado.
O diagnóstico também não se confunde com a adequação. Ele identifica a situação atual e define a ordem das providências; a execução dessas providências é o trabalho seguinte, que a empresa pode contratar, realizar internamente ou dividir entre as duas vias. A indicação do que a própria empresa tem condições de resolver integra o serviço.
Quando o serviço é procurado
As situações abaixo são as que mais frequentemente levam ao contato. Elas não esgotam os casos em que o serviço se aplica, e a conveniência da contratação é avaliada a partir da realidade de cada empresa.
- A empresa realizou uma adequação há alguns anos e não sabe o que dela permanece válido.
- Houve mudança de sistema, de fornecedor ou de equipe, sem que o tema fosse revisitado.
- Um cliente de maior porte agendou auditoria de fornecedores.
- A diretoria precisa dimensionar o problema antes de aprovar orçamento.
- A empresa cresceu, e as medidas adotadas para uma equipe pequena não atendem mais à estrutura atual.
Dúvidas sobre o serviço
Antes de contratar.
Qual é a diferença entre diagnóstico e adequação?
O diagnóstico identifica a situação atual e define a ordem das providências. A adequação é a execução dessas providências. A empresa que já tem clareza sobre o que precisa fazer pode contratar diretamente a adequação.
O relatório pode ser apresentado a clientes ou investidores?
Pode ser utilizado na decisão interna e no diálogo com quem solicita informações, desde que fique claro o que ele é: uma avaliação técnica, realizada em determinada data, sobre o que a empresa praticava naquele momento. Não se trata de atestado de conformidade.
Quanto tempo leva?
O prazo depende do número de áreas a serem ouvidas e do volume de documentos existentes. A estimativa consta da proposta.
Outros serviços
Também dentro da proteção de dados.
Contato
Atendimento remoto em todo o Brasil, direto com o advogado. A primeira mensagem informa de qual página você veio.
Conversar pelo WhatsApp- (81) 99825-3469
- benick@benicksantana.com
- Sede
- Recife, Pernambuco