CUIDADO COM O SEU FIREWALL: ELE NÃO LÊ CONTRATOS E NÃO ENTENDE DE LGPD

Existe uma frase que costuma trazer uma paz quase terapêutica para algumas empresas: “Segurança da Informação cuida da LGPD.”

Pronto. Resolvido. Ufa!

O servidor está protegido, os acessos são controlados, existe antivírus, backup, autenticação em dois fatores e alguém que sabe explicar o que é um ransomware sem precisar pesquisar no Google. Logo, a empresa está adequada à LGPD?

Segurança da Informação e Proteção de Dados são departamentos próximos, trabalham juntos, mas são disciplinas diferentes.

A equipe de Segurança da Informação pode fazer um excelente trabalho protegendo uma base de dados.

O problema é que alguém precisa avaliar se a empresa poderia tratar aquela base de dados pessoais.

E aí o antivírus, por mais dedicado que seja, não conseguirá responder.

Quem definiu a finalidade daquele tratamento? Existe base legal? Os dados são realmente necessários? Podem ser compartilhados com aquele fornecedor? Por quanto tempo devem ser armazenados? O titular pode solicitar sua eliminação? Existe alguma obrigação que justifique mantê-los?

Essas são questões jurídicas de proteção de dados. Uma empresa pode, portanto, ter uma fortaleza tecnológica protegendo um tratamento irregular.

Seria uma espécie de Fort Knox da LGPD: ninguém entra, ninguém sai, só não sabemos exatamente como e com qual justificativa legal aqueles dados estão lá.

E essa confusão pode custar caro…

A LGPD exige muito mais do que impedir vazamentos. Ela acompanha o dado durante todo o seu ciclo de vida: da coleta ao descarte, passando pelo uso, compartilhamento, armazenamento e todas aquelas planilhas que “ninguém sabe muito bem quem criou, mas é melhor não apagar”.

É por isso que deixar toda a gestão da LGPD exclusivamente com Segurança da Informação cria um ponto cego. Tecnologia protege o dado. Governança de Privacidade questiona o que a empresa está fazendo com ele.

Uma área não substitui a outra.

É nessa integração que o DPO assume um papel relevante: acompanhar os tratamentos realizados pela empresa, orientar sobre a aplicação da LGPD, avaliar riscos, contratos e fornecedores, apoiar o atendimento aos titulares e atuar como canal de comunicação com a ANPD.

Na Data Protection Brasil, atuamos como DPO terceirizado, garantindo que a LGPD não seja tratada apenas como uma questão de segurança tecnológica. Nossa atuação leva para a rotina da empresa a análise jurídica e regulatória necessária para avaliar tratamentos de dados, riscos, contratos, fornecedores e obrigações perante titulares e a ANPD.

Fernanda Gonçalves

Advogada | Data Protection Brasil