Muita gente tem me perguntado como se adequar à nova lei geral de proteção de dados. Em geral as empresas não estão fazendo os esforços adequados para se preparar para a nova legislação e estarão vulneráveis às penalidades, que não são pequenas.
Segundo pesquisa da Anbima em 2018, 85% das organizações financeiras e do mercado de capitais possuia um programa de prevenção a ameaças cibernéticas. Como a LGPD é aplicável a todas as empresas, outros setores menos sensíveis podem não estar adequadamente preparados.
Na minha opinião são necessários dois caminhos, que deverão ser cobertos simultaneamente.
- Adequação processual
- Cybersecurity
A adequação processual envolve uma série de atividades para reduzir o risco no uso de informações pessoais, assim como estabelecer boas práticas para a gestão destas informações.
- Indicação de um responsável pela gestão de informações pessoais
- Mapeamento das bases de dados que são mantidas com estas informações, inclusive quais são, quais os usuos que estão sendo dados, tempo de manutenção destes registros, qum tem acesso a eles e com que finalidade, etc…
- Mapeamento dos usos que estão sendo dados a estes registros, e se as autorizações apropriadas estão sendo coletadas
- Verificação da interface com outras organizações que utilizem, processem ou manipulem estes dados pessoais
- Estabelecimento de regras e protocolos para coleta das informações pessoais
- Estabelecimento de uma cadeia de aprovação para novas coletas, manutenção e manipulação destes dados, especialmente se envolver informações sensíveis, como dados de saúde.
A parte de cybersecurity é mais técnica e restrita às áreas de tecnologia da informação e visam garantir a segurança dos dados contra vazamentos ou acessos indevidos. Inclui entre outros:
- Identificar ameaças internas e externas
- Segurança contra hackers, virus e malware
- Segurança contra acessos indevidos (políticas de senhas, responsabilidades e autorizações)
- Estabelecimentos de firewalls
- Monitoramentos e testes, inclusive testes de penetração
- Controle de acesso a ativos e equipamentos
- Cybersecurity em geral, inclusive monitoramento dos acessos e comportamento das bases de dados, ações de desligamento ou isolamento em caso de comprometimento, identificação de ameaças, entre outros
- Estabelecimento de um plano de prevenção e de segurança de dados, envolvendo todos os itens acima
A nova legislação exige que todas as empresas prestem atenção ao tema, que envolve diversas áreas diferentes, tais como marketing, vendas, RH, entre outras que usam dados pessoais.
Quando antes as empresas começarem a se adequar, menores os riscos.
