A FASE DE PROGRAMA DE PRIVACIDADE “PARA INGLÊS VER” ACABOU

Logo no início da LGPD, muitas empresas trataram a adequação como aquelas placas de “sorria, você está sendo filmado”: a regra estava ali, todos sabiam que existia, mas ainda havia quem apostasse que ninguém estivesse realmente olhando.

Em 9 de setembro, a ANPD abriu consulta pública para revisar o Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador. A discussão acontece em um momento de fortalecimento da atuação regulatória da Agência e deixa um recado importante para as empresas: a fiscalização já não pode ser tratada como uma hipótese.

Isso porque uma fiscalização não se limita pela política de privacidade publicada no site. A ANPD pode solicitar documentos, informações sobre atividades de tratamento, registros, explicações sobre sistemas utilizados e evidências das medidas adotadas pela empresa.

É aí que projetos estruturados sem uma estrutura de privacidade começam a cobrar seu preço.

Uma empresa pode implementar reconhecimento facial, contratar uma nova plataforma de RH, adotar ferramentas de inteligência artificial, criar novos cadastros comerciais ou compartilhar informações com fornecedores sem que essas decisões tenham passado por uma avaliação adequada de proteção de dados.

Tudo pode funcionar perfeitamente do ponto de vista operacional e, ainda assim, existir um problema importante quando for necessário justificar por que determinados dados foram coletados, se eram realmente necessários, quem avaliou os riscos envolvidos, por que foram compartilhados e quais critérios sustentaram essas decisões.

É nesse cenário que o privacy by design deixa de ser uma expressão internacional utilizada em apresentações corporativas e passa a ter valor concreto diante de uma fiscalização.

A lógica é incorporar a proteção de dados desde a concepção de um produto, serviço, processo ou projeto. A própria LGPD estabelece que medidas de proteção sejam consideradas desde a fase de concepção até a execução e exige que as empresas sejam capazes de demonstrar a adoção de medidas eficazes de conformidade.

O privacy by design não impede que uma empresa seja fiscalizada e tampouco funciona como uma espécie de imunidade perante a ANPD. O que ele faz é ter registros das análises realizadas, critérios de necessidade, avaliação dos riscos, decisões sobre compartilhamento e medidas de proteção adotadas antes mesmo de o tratamento começar.

Em uma fiscalização, essa capacidade de mostrar coerência entre aquilo que a empresa diz fazer e aquilo que realmente faz pode se tornar um dos elementos mais relevantes da sua defesa.

Na Data Protection Brasil, atuamos como DPO terceirizado para inserir essa análise na rotina da empresa antes que novos tratamentos se transformem em riscos regulatórios. Avaliamos projetos, fornecedores, processos e decisões considerando as particularidades de cada negócio, criando uma estrutura de proteção de dados que não exista apenas para cumprir uma formalidade, mas que também seja capaz de demonstrar sua efetividade quando necessário.

Fernanda Gonçalves

Advogada | Data Protection Brasil