5 dicas para adequação à LGPD

Olá! Seja bem-vindo à minissérie A Jornada da Privacidade.

Esse conteúdo foi idealizado e produzido junto com o time da HSBS Soluções em Tecnologia, uma empresa do grupo Nagem.

O objetivo dessa minissérie de seis episódios é explorar, trazer dicas práticas e valiosas que vão lhe ajudar a avaliar como anda a sua jornada para a adequação à Lei Geral de Proteção de Dados, além de responder as principais duvidas sobre o tema no âmbito jurídico e tecnológico.

No site do Papo Cloud, você vai encontrar a transcrição completa de cada episódio, proporcionando mais facilidade e comodidade para você, ouvinte da minissérie A Jornada da Privacidade. É exatamente isso. Você poderá ouvir, ler e reler quantas vezes quiser.

Além da transcrição, disponibilizamos um guia prático para você conhecer mais sobre a LGPD. O download do guia prático pode ser feito através do link que está na descrição desse episódio, no seu agregador de podcast favorito ou lá no site do Papo Cloud.

Eu sou Vinicius Perrott e neste episódio eu bato um papo com Antônio Barros, Diretor de TI & Compliance.

Junte-se a nós nessa Jornada da Privacidade.

Vinicius Perrott: Olá, Antônio. Tudo bom? Seja bem-vindo aqui à nossa minissérie A Jornada da Privacidade.

Antônio Barros: Olá, Perrott, boa tarde. Primeiro de tudo, queria agradecer por estar participando do programa de vocês. Com grande prazer a gente participar do Papo Cloud. Quer dizer, é uma referência que nós temos aqui na HSBS e em toda a comunidade de TI, esse programa que nos traz tantas informações.

Vinicius Perrott: Eu que agradeço, Mestre, pela confiança e por trazer um conteúdo tão importante que a gente vai discorrer aqui em relação ao nosso bate-papo. Mas antes, Mestre, de você começar a falar sobre o nosso tema central, das cinco dicas, eu queria que você pudesse apresentar um pouquinho para o ouvinte do nosso PodCast lhe conhecer, saber qual é o seu papel à frente da HSBS.

Antônio: Sou sócio-fundador da HSBS. Há 24 anos, fundamos a HSBS. E hoje estou cuidando da Área de Compliance. Então nós trabalhamos com duas frentes. Uma que é a parte de gerenciamento de ativo e de software, ajudando as empresas a se adequarem, que seus softwares estejam todos legalizados. E outro pilar é com relação a LGPD que é um evento mais novo, mais recente, mas também de grande importância para as empresas ajudarem nessa jornada da adequação.

Perrott: Maravilha, mestre Antônio. Mestre, você vai nos ajudar a entender cinco dias importantes para a adequação a LGPD. E eu queria que a gente começasse com a primeira dica que eu acho que é uma dica que acaba criando toda uma estrutura para entendimento que seria justamente definir. A sua dica de definir vai nos ajudar a elucidar bastante esse contexto. Explique um pouquinho para a gente que dica é essa.

Antônio: Bom, vamos lá, começar com essa parte de definir. Eu não vou entrar aqui no que é LGPD, a história, a finalidade, por que a lei existe. Isso aí a gente já viu nos episódios anteriores. Agora vamos pensar que eu preciso adequar a minha empresa LGPD. Então como tudo na vida, a gente precisa de um planejamento, a gente precisa de uma definição. Hoje os cursos de informática, tem uma cadeia que se chama de software. E eu sempre me perguntei: por que o nome engenharia de software? Não, porque a gente vai buscar lá na engenharia aquele projeto que a gente faz no início. Então você precisa ter os requisitos para fazer o projeto, os recursos, as fases, o caso, as obrigações legais. Então temos… como vamos fazer o projeto de software, a gente chamou de engenharia de software. Na engenharia, ensinou entrou as outras ciências que, quando a gente vai construir uma casa, o que a gente faz? A gente delimita o tamanho, vê o que precisa, tudinho. E eu estudei engenharia também, mas era engenharia eletrônica. E descobri, há pouco tempo, uma coisa que eu não sabia. Sabia da onde vem o nome engenharia?

Perrott: Não faço a ideia.

Antônio: Vem de gênio, da palavra gênio. Só que a turma pensa: “É gênio”. Não. Ele tem um método de como fazer isso. Então, quando nós vamos fazer LGPD, a gente primeiro define o que eu preciso, quais são os recursos que a gente vai fazer, que vai precisar. Quanto tempo eu vou levar, porque tudo, quando a gente faz planejado, é tudo mais fácil. As coisas funcionam. Ocorrem os imprevistos, mas são bem menos e estamos aptos a sobressair a isso.

Perrott: Maravilha.

Antônio: Essa fase de definição de planejamento é a mais importante, está entendendo? Então por isso que eu digo que a primeira dica: defina direitinho o que você quer fazer, até que ponto vai ser, quais os recursos, quais os requisitos.

Perrott: Mestre Antônio, não estava no nosso roteiro, mas me veio na sua explicação da primeira dica, como é que você tem visto o mercado justamente na parte de preparação? Você vê que o gestor, tanto técnico quanto de negócio, investe mais um tempinho na preparação ou ele gosta de ver a coisa mais em ação ou trocar a roda do carro em movimento? O que você tem visto mais no mercado?

Antônio: Eu acho que boa parte das empresas, principalmente da alta gestão das empresas… ao por parte da TI. A TI sempre solicita, mas a alta gestão tenta dar uma freada. Ela deixou pro último momento. Agora quer fazer apressado demais. Então ele quer partir já para quanto tempo vai ficar pronto. Ele quer correr. E, quando ele sabre que quando planejar melhor, são mudanças profundas que a empresa tem que passar. Então não adianta… é preciso correr, mas não atropelar.

Perrott: Então vamos acelerar.

Antônio: Vamos acelerar, mas com planejamento, com definições.

Perrott: Mestre, a nossa segunda dica é superimportante é educar. Que dica é essa?

Antônio: Quando nós vamos fazer uma jornada da adequação, o caminho, a gente faz questão. A primeira ação que a gente faz na empresa é a reunião com a alta diretoria. A gente chama de reunião da conscientização. É uma reunião com a alta direção que vai conscientizar aquelas pessoas que são, vamos dizer, as pessoas-chave dentro da empresa que vão fazer o projeto fluir. Isso não vem da nossa cabeça. Isso vem da ISSO, quem implantou ISSO 9000 há vinte, trinta anos, já tinha esse método, já tinha esse framework. Então se a alta gestão não patrocinar, não cobrar, não exigir, não acompanhar, o projeto não vai ter sucesso. Então a primeira coisa é educar a alta direção. Depois que essa alta direção está educada, então a gente vai criar um grupo que vai disseminar, que vai propagar aquilo dentro da empresa que a gente chama, na maior parte das vezes, de Comitê de Privacidade. Então a gente pega essas pessoas, elege um Comitê de Privacidade. Dependendo do tamanho da empresa, a gente vai ter de cinco a sete pessoas. E esse Comitê de Privacidade vai… a gente vai fazer um workshop. Um workshop é um seminário junto com oficinas e trabalhos práticos para ele pegar bem o conceito do que a Lei Geral de Proteção de Dados e disseminar isso dentro da empresa. Nessa palavra disseminar tem… vai espalhar dentro da empresa, vai levar aquilo para discussão dentro da empresa. Existe uma palavra em inglês muito bonita que é broadcasting. Então vai dar um broadcasting daquilo dentro da empresa para que a empresa passe a discutir. E isso esteja a boca do povo, todo mundo falando sobre privacidade. Eu vi uma vez um artigo que ele não chamava de Comitê de Privacidade e sim de Embaixadores da Privacidade. Quer dizer, aqueles que são embaixadores, aquelas pessoas que são os defensores, os mensageiros da privacidade. Então seria esse grupo. Por isso educar é tão importante. E é um negócio que mexe na cabeça da gente porque todos nós somos, vamos dizer, atores e público. Todos nós somos titulares de dados dentro de uma empresa, dentro de uma sociedade. E dentro da empresa, nós somos também controladores e operadores. Então nós estamos dos dois lados. Então você se identifica com aquilo, mexe com a gente, apaixona a gente, vamos dizer. Essa jornada da privacidade. Por isso que esses embaixadores, quando começa… encontram um campo fértil de disseminar. Veja, todo mundo é titular de dado e operador de dado. Assim ele se sente dos dois lados. É o ator e o público.

Perrott: Ele se sente responsável, de fato.

Antônio: Nesse espetáculo da vida, vamos dizer assim.

Perrott: Verdade. Mestre, uma coisa que você comentou na sua dica, que eu achei bem interessante, que é o comitê e o embaixador. Para deixar claro, eu tenho que ter… esse comitê, obrigatoriamente, tem que ser formado pelo mesmo tipo de pessoa? Por exemplo, só gente da área jurídica ou gente da área técnica? Quem compõe esse comitê? É algo mais homogêneo ou misto?

Antônio: Ele é misto. São as pessoas que operam os dados pessoais dentro da empresa. São as pessoas que conhecem os processos dentro da empresa. Não adianta chegar, botar um diretor se ele não sabe o processo lá. É importante que a gente vá e conheça esse processo, que é justamente a próxima fase do projeto, porque eu tenho que levantar o que realmente ocorre lá dentro. Eu não chego para definir. Eu primeiro olho o que está ocorrendo.

Perrott: Mestre, vamos para a nossa terceira dica que é identificar.

Antônio: Identificar. Você chama… bater uma foto;

Perrott: Legal. Gostei.

Antônio: Como dizia na época da menina, tirar uma chapa. Uma radiografia. Esse termo radiografia é melhor do que a foto. Na foto, você vê o que está aparente, o que está por fora, sua camisa, se está com barba, sem barba. Quando você tira uma radiografia, você vai olhar lá dentro do pulmão. Lembrando em época de pandemia, a primeira coisa que faz: “Tira uma radiografia para ver o pulmão dele como está”. Então a gente vai bater uma radiografia dentro da empresa. E o principal ajudante nosso é este, o Comitê de Privacidade. São essas pessoas que compõem esse comitê. Então eles devem conhecer o processo e vão relatando o processo e já sofrer um treinamento para entender o que é privacidade de dados, o que são dados privados e o que é um tratamento de dados. E aí a gente começa a entrevistar os setores dentro dessa empresa que são representados por essas pessoas. E aí vão descrevendo e a gente vai anotando e tentando identificar ontem tem dado pessoal e como esse dado é tratado. O que eu chamo de tratamento de dados? Tratamento de dado é qualquer operação com dados, seja coleta, armazenagem, até mesmo processo de destruir, de descarte. Tudo isso é tratamento para a lei. E essas pessoas vão nos descrever como isso é feito. E a gente tenta registrar isso no papel para daí analisar e lhe dizer: “Arrisco alguma coisa que não está adequada com a lei”. Então por isso que eu chamo de bater uma foto ou tirar uma chapa. Ou tirar uma chapa, porque daí você vê por dentro da pessoa como está o pulmão dela ou o que está lá dentro.

Perrott: Sem dúvida. E você falando de identificar, ou no caso, tirando a radiografia, a chapa para ver o que tem dentro, uma vez que a gente consegue ver o que está dentro, a gente vai para outra dica que é proteger, eu conseguir olhar o que tem dentro e agora eu tenho que proteger. Que dica é essa?

Antônio: A partir desse processo de identificação, e está registrado, a gente faz uma análise de risco. Nós chamamos de gap. Gap são aqueles pontos que não estão em acordo com o que a lei pede. Então daí é gerado um plano de ação. Um plano de ação são diversas ações que devem ser executadas para corrigir o que não está de acordo com a lei. Ou implantar um processo. Então, para isso, volta novamente em planejamento da proteção. Lembre-se lá do primeiro item que é a definição. Então aqui eu já tenho o que eu preciso fazer, mas preciso também planejar. E tudo isso ai precisar de custo, tempo, disponibilidade, projeto, tecnologia, que nível de proteção eu preciso para cada empresa. E o mais importante, eu preciso alterar a cultura da empresa. Esse é o ponto mais difícil, viu, Pierrot, porque a solução da LGPD não vai passar pelo técnico, só pelo jurídico. O principal elo são as pessoas, as pessoas que fazem o processo. E aí a gente… esse plano de ação é a implantação dessas mudanças da empresa, ou seja, dos equipamentos, dos processos e dos termos jurídicos, dos acordos, para que ele fique adequado com a lei e tratem os dados das pessoas com responsabilidade, com segurança. Então isso é muito importante. É apaixonante o tema.

Perrott: Sem dúvida.

Antônio: Está entendendo?

Perrott: Você falou de um ponto crucial. Pessoas e cultura. Então a gente poderia dizer que a LGPD para realmente validar ou revalidar esse elo entre as pessoas e a cultura da empresa?

Antônio: Ela veio… eu não digo revalidar. Ela veio para dar direito às pessoas, para dizer: “Você é o titular de um dado e as empresas têm responsabilidade de coleta seu”. Ela pode coletar, ela precisa dos seus dados para fazer uma ação. Se eu tenho um funcionário, eu preciso dos dados dele para fazer a folha do pagamento, para mandar para o INSS, para o FGTS, o seguro saúde. Eu preciso daquilo. Mas eu tenho que tratar esses dados com responsabilidade. Quando eu pego aquele dado de um funcionário para mandar para o plano de saúde, eu só posso mandar para o plano de saúde para dar saúde a ele. Eu não posso pegar aquele dado e mandar para a empresa de vendas para poder vender para ele um carro novo, sei lá, um kit de maquiagem ou seja lá o que for. Então ela vem e logo a gente vai aprender a conviver com isso como a gente aprendeu a conviver com outras leis que vieram para mudar. Antigamente, a gente tomava uma cerveja e dirigia, andava de moto sem capacete. Hoje você não encontra. Não usava cinto de segurança, o supermercado não mantinham os frigoríficos refrigerados de noite, desligava para economizar energia. Hoje ele é controlado e não pode fazer coisa assim. A sociedade está mudando e mudando para melhor. A gente está evoluindo.

Perrott: É uma evolução mútua.

Antônio: A gente vai ter um futuro muito melhor do que o atual. Pense nisso.

Perrott: E daí pegando justamente esse gancho, você falando da evolução. A LGPD, em todas essas dicas que você já passou até agora, ela chega a ter um ponto importante que é, ok, eu tenho tudo isso anterior, Antônio, mas e agora? O que eu faço mais? O que eu tenho que evoluir?

Antônio: Nessa jornada de adequação, aquele primeiro treinamento que a gente faz para a autogestão da empresa, a gente sempre começa dizendo que a LGPD é uma jornada com começo e sem fim. Ela não termina, está sempre melhorando. E quando a gente fala em sempre melhorar, a gente se lembra do PDCA. O Deming (William Edwards Deming) que traz aqueles conceitos de qualidade total e a gente tem que rodar. A gente criou, identificou, criou plano de ação, agiu e volta a verificar o que eu posso melhorar. Então a gente está sempre rodando. E a própria lei é muito importante porque ela nos traz dois conceitos novos que hoje estão sendo muito usados que são Privacy by design. Então significa que, a partir de agora, todos os projetos novos, todos os processos, todas as ações novas devem ter a privacidade como padrão e já no seu projeto. A gente está entrando em uma empresa, está modificando os processos internos para se adequarem. Os novos processos já vão vir adequados a Lei Geral de Proteção de Dados. Já entra no projeto e no default. Isso é um conceito que está sendo muito usado. E a gente sabe que esses novos conceitos, esses novos métodos são introduzidos em todos os produtos, sistemas, por onde vai passando.

Perrott: Você falou uma coisa que eu pensei aqui agora da privacidade como dafault. Então a gente pode dizer que o novo mercado é a privacidade? Está surgindo esse mercado novo de quem está a solução, que está mais aderente, que garanta mais a privacidade, ele está criando um novo mercado não tão explorado alguns anos atrás?

Antônio: Sim. Eu diria que não é um mercado novo, mas é um requisito para quem quer se manter no mercado. Se você tem um produto e esse produto não garante privacidade, esse produto não vai existir mais, porque vai estar fora do mercado. Se eu tenho software que não garanta a privacidade, ele está fora do mercado. Se eu tenho um portal de vendas que não garanta privacidade, ele está fora do mercado. A LGPD pegou mais rápido, se espalhou mais rápido do que a própria pandemia. Hoje todo mundo está discutindo isso, está analisando isso. A doutora Júlia sempre fala que, para cada um real investido em privacidade, você tem um retorno de 2.7.

Perrott: Olha, que interessante.

Antônio: Então existe privacidade…

Perrott: Que é um bom negócio.

Antônio: É um bom negócio e que a sua empresa vai continuar existindo no mercado. E, se não investir, está fora.

Perrott: Maravilha. Mestre, qual a sua palavra que define o seu episódio aqui com a gente?

Antônio: Eu acho que seria consistência. A empresa tem que ter uma consistência em tudo que faz. E, quando você aplica essa privacidade, você dorme tranquilo. O gestor tem que dormir tranquilo, sabendo que pode vir qualquer fiscalização e ele está adequado. Você está tranquilo, você está conseguindo atender às necessidades dos titulares de dados, os seus funcionários, os seus clientes, os seus fornecedores. E você está contribuindo para uma sociedade melhor. Você está transformando a sociedade visando melhorar o futuro como a gente falou anteriormente.

Perrott: Uma pergunta que eu sempre faço aqui aos meus convidados do PodCast, mas nunca com cunho nem de certo nem de errado. Então vamos lá. Para o Antônio Barros, o que é computação em nuvem?

Antônio: O que é computação em nuvem? É uma pergunta de boa. Eu acho que é uma evolução. É o que eu diria.

Perrott: Bacana. E só lembrando ao ouvinte do episódio da transcrição. Está lá no site do Papo Cloud para você acompanhar, copiar dicas e levar todo o material complementar do nosso episodio. Fica aqui o meu agradecimento mais uma vez, mestre Antônio. Até a próxima oportunidade.

Antônio: Nós que agradecemos tanto a você como a todos os ouvintes.

Perrott: O que achou do bate-papo? Tem alguma pergunta ou comentário? Mande lá no Instagram do time da HSBS Soluções. É @hsbssolucoes. Aproveite e faça o download do guia prático para você conhecer mais sobre a LGPD. O link você encontra na descrição desse episódio no seu agregador de podcast favorito ou no site do Papo Cloud.

Se você gostou desse episódio, compartilhe com os seus amigos nas suas redes sociais.

E aí?
Tá Na Nuvem?

Convido você a comentar lá no nosso grupo do Telegram: .

Podcast: Tocar em nova janela | Download

Subscribe: RSS

Tagueado como: A Jornada da Privacidade.