06 out LGPD: Conheça as novas práticas para a gestão de dados

Com a LGPD em vigor, já está mais do que na hora de se adequar aos requisitos da nova legislação. O não seguimento da lei pode acarretar não só no bloqueio de dados como até multas no valor R$50 milhões de reais.

As metodologias de captação de dados tiveram mudanças em seus processos. Hoje a utilização de informações para melhorar a experiência de seus clientes deve ser amplamente comunicada ao público, agregando transparência ao processo e comprovando a segurança do compartilhamento destes dados. Para que este processo seja aplicado em sua companhia, existem alguns passos:

O primeiro passo, segundo os especialistas da SAP, empresa desenvolvedora de soluções de CX (Customer Experience), é estudar os processos internos de tratamento dos dados pessoais, identificando como, o quê, quem, onde, por que e quando:

·        Como você coleta os dados pessoais?

·        Quais dados pessoais você coleta?

·        Quem tem acesso à sua visualização ou alteração?

·        Onde você os armazena e os usa?

·        Por que você os coleta?

·        Quando você os exclui?

Por isso, é fundamental gerenciar os processos de coleta, consentimento e tratamento dos dados pessoais dos clientes, criando uma experiência do consumidor única, de alto padrão e fácil de usar com a implantação, por exemplo, do Customer Data Cloud, uma nuvem de ferramentas desenvolvida pela SAP que centraliza a gestão de dados dos clientes.

Sem essa centralização, as empresas enfrentam desafios como fraca visibilidade de exposição ao risco; processos reativos, ineficientes, onerosos ou manuais; enormes exigências de tempo e pessoal para gerenciar de modo eficaz risco e conformidade, e falta de alinhamento por não ter os processos de risco e conformidade incorporados ao negócio.

Afinal, agora é preciso oferecer autonomia para os clientes gerenciarem as próprias experiências por meio de centros de preferências self-service personalizáveis, no qual eles podem exercer seus direitos de proprietários de dados de acordo com a LGDP.

É fundamental assegurar que as preferências, identidades, consentimentos, autenticações e autorizações digitais sejam aplicadas de modo consistente ao longo de todo o ciclo de vida do cliente, em todos os canais, marcas e regiões por meio de orquestração e governança de dados centralizadas, simples e seguras.

As cinco melhores práticas para enfrentar os desafios da gestão de dados com a LGPD

Para evitar sanções regulamentares, perda de dados e criar estratégias para melhorar a experiência do cliente e impulsionar seu crescimento, segundo os analistas do Gartner, os líderes de segurança e gerenciamento de riscos devem adotar melhores práticas para desenvolver e manter um programa eficaz de gestão de dados e de privacidade. São elas:

1 – Escolha de um DPO

A escolha envolve a designação de um profissional da própria empresa ou de terceirizada para gerenciar o programa de gestão de dados e de privacidade. Esse profissional é o Data Protection Officer, ou DPO, e será o seu principal contato.

Em uma recente pesquisa realizada com 40 empresas no Brasil, a maioria dos entrevistados declarou que ainda não tinha escolhido um DPO (73%) e ainda tinha dificuldades para determinar a quem essa posição deveria se reportar.

2 – Avaliação de gaps

Desenvolver um Diagnóstico do Estado Atual de Privacidade: uma avaliação de impacto de privacidade após ações exaustivas relativas à descoberta de dados não é apenas uma tarefa necessária por meio da LGPD, mas um dever imperativo no sentido de permitir que a seleção de atividades e recursos baseada em risco esteja de acordo com o regulamento. Os componentes mais importantes de uma avaliação de impacto de privacidade incluem:

·        Um inventário de dados pessoais processados

·        Identificação dos proprietários responsáveis (obrigatórios) pelo processo de negócios

·        Informações quanto à finalidade da coleta de dados

3 – Prazos para retenção de dados

Após uma avaliação inicial de gaps, os esquemas de retenção se conectam aos propósitos do processamento, comparando o esquema com o resultado do exercício de descoberta e mapeamento. Esse processo definirá os dados que podem ser considerados como “dados em excesso” e que, portanto, estão qualificados para exclusão.

Organize os resultados, apresente-as aos stakeholders do negócio responsáveis por esses dados e deixo-os verificar, no âmbito jurídico, se há uma razão para continuar processando os dados ou se eles devem ser excluídos assim que possível para eliminar, de forma proativa, o risco. Afinal, os dados sem uma devida finalidade não contribuem nada para a empresa; apenas ficam armazenados e acumulam riscos, já que o tempo representa um fator crítico de sucesso para uma violação de dados.

4 – Governança da privacidade

Os requisitos de responsabilidade e transparência levam à ampliação da documentação (interna) e ao registro dos riscos. O mapeamento de processos e dados pessoais de subsidiárias em holdings deve seguir as regras de privacidade estabelecidas pela empresa controladora (matriz).

Lembre-se de que o objetivo do processamento de dados, da qualidade dos dados e da relevância dos dados deve ser definido ao se iniciar uma nova atividade de processamento. Também é uma atitude sensata incorporar um mecanismo interno que ajude a manter a conformidade nas futuras atividades de processamento de dados pessoais.

5 – Desenvolver uma resposta à violação de dados

A Autoridade Nacional responsável pela proteção de dados precisa ser notificada quanto às violações de dados no Brasil da mesma forma que as instituições financeiras precisam notificar o Banco Central sobre incidentes de segurança. Adapte-se e aprenda com os fluxos de trabalho de resposta a incidentes de segurança, mas garanta que haja uma resposta à violação de dados específica (privacidade). Isso será necessário quando ficar claro que os dados pessoais:

·        Não estão disponíveis onde deveriam estar

·        Estão (mesmo que eventualmente) disponíveis onde não deveriam estar