Neste dia 28 de janeiro, data em que se celebra o Dia Internacional da Prote\u00e7\u00e3o de Dados, trago \u00e0 reflex\u00e3o alguns pontos pr\u00e1ticos de uma jornada pelo mundo dos projetos de adequa\u00e7\u00e3o ao RGPD (Regulamento Geral sobre Prote\u00e7\u00e3o de Dados\u00a0\u2014\u00a0Europa) e \u00e0 LGPD (Lei Geral de Prote\u00e7\u00e3o de Prote\u00e7\u00e3o de dados\u00a0\u2014\u00a0Brasil).<\/p>\n\n\n\n
Embora em contextos sociais um pouco diversos, o RGPD e a LGPD representam avan\u00e7os significativos no reconhecimento da crescente import\u00e2ncia do tratamento de dados pessoais, bem como da necessidade de prote\u00e7\u00e3o desses dados e correspondentes direitos de seus titulares, enquadrados como direitos fundamentais. Mas, quando tratamos da adequa\u00e7\u00e3o de neg\u00f3cios \u00e0s regras de tratamento de dados pessoais, trabalhamos com projetos similares em sua estrutura\u00e7\u00e3o e execu\u00e7\u00e3o nos dois lados do Atl\u00e2ntico. O que tamb\u00e9m repercute em dificuldades comuns ao longo do percurso. E, a participa\u00e7\u00e3o em diversos programas de privacidade e prote\u00e7\u00e3o de dados, em diferentes setores econ\u00f4micos, traz consigo o privil\u00e9gio de identificar essas similaridades e pontos de aten\u00e7\u00e3o.<\/p>\n\n\n\n
Um primeiro ponto diz respeito ao aculturamento das pessoas sobre o tema. \u00c9 fato que toda a popula\u00e7\u00e3o deve estar ciente dos seus direitos enquanto titular de dados, mas aqueles que manipulam dados pessoais nas organiza\u00e7\u00f5es, al\u00e9m dos direitos, precisam entender todo o contexto de tratamento desses dados. Faz-se primordial um esfor\u00e7o cont\u00ednuo (reitero cont\u00ednuo) de forma\u00e7\u00e3o e conscientiza\u00e7\u00e3o dos times internos em rela\u00e7\u00e3o \u00e0 forma e aos limites de tratamento dos dados pessoais, ao exerc\u00edcio das medidas de seguran\u00e7a e \u00e0s suas responsabilidades individuais, para que o caminho planejado, seja de fato o caminho seguido.<\/p>\n\n\n\n
Tamb\u00e9m merece aten\u00e7\u00e3o o fato dos programas de privacidade e prote\u00e7\u00e3o de dados n\u00e3o serem projetos est\u00e1ticos. Ou seja, a adequa\u00e7\u00e3o de uma organiza\u00e7\u00e3o \u00e0s regras legais de prote\u00e7\u00e3o de dados \u00e9 apenas o primeiro passo de um programa cont\u00ednuo. Pelo menos anualmente, e sempre que necess\u00e1rio, seus registros e documentos devem ser revisitados. Estamos diante de uma rota circular, em que o ponto de partida precisa ser retroalimentado. E, para retroaliment\u00e1-lo voltamos \u00e0 import\u00e2ncia do aculturamento, pois \u00e9 fundamental o engajamento de toda a estrutura.<\/p>\n\n\n\n
Destaca-se, no mesmo contexto, a figura do encarregado de dados, que para al\u00e9m do seu contato na pol\u00edtica de privacidade, deve entender do neg\u00f3cio e de suas implica\u00e7\u00f5es para a privacidade e prote\u00e7\u00e3o de dados dos indiv\u00edduos. Isso n\u00e3o quer dizer que o encarregado de dados \u00e9 dono e respons\u00e1vel por todos os processos, mas sim que deve ter conhecimento t\u00e9cnico multidisciplinar e ser um bom regente e aconselhador. Deve ter a capacidade de reagir r\u00e1pido e orquestrar o que for necess\u00e1rio em situa\u00e7\u00f5es adversas. Um encarregado de dados ausente gera um programa de privacidade e prote\u00e7\u00e3o de dados sem dire\u00e7\u00e3o.<\/p>\n\n\n\n
E, os sistemas de gest\u00e3o de prote\u00e7\u00e3o de dados?<\/p>\n\n\n\n
Em poucas palavras, por traz de todo o sistema existem pessoas. N\u00e3o h\u00e1 sistema milagroso que consiga mapear todas as atividades de tratamento de dados pessoais, quem os trata, como s\u00e3o tratados, se s\u00e3o compartilhados, as suas bases legais, ocorr\u00eancia de incidentes… N\u00e3o se justifica a aquisi\u00e7\u00e3o de um sistema sem que a organiza\u00e7\u00e3o estruture e pratique um bom programa de privacidade de prote\u00e7\u00e3o de dados. Sim. Os sistemas s\u00e3o \u00fateis e importantes, mas s\u00e3o apenas um componente do ve\u00edculo que percorre essa estrada.<\/p>\n\n\n\n
Temos ainda o papel das autoridades nacionais de prote\u00e7\u00e3o de dados. Em alguns pa\u00edses mais ativas, em outros ainda dando os primeiros passos, a exemplo da ANPD no Brasil ou com s\u00e9rios desafios estruturais, como a CNPD em Portugal. Lembro aqui que as autoridades, al\u00e9m de suas fun\u00e7\u00f5es sancionadoras, t\u00eam responsabilidade como educadoras, seja dos titulares dos dados, seja das organiza\u00e7\u00f5es. Devem ser facilitadoras na interpreta\u00e7\u00e3o e compreens\u00e3o das regras, bem como \u00e1geis e claras na sua regulamenta\u00e7\u00e3o. Enfim, s\u00e3o fundamentais na constru\u00e7\u00e3o dos caminhos e na consolida\u00e7\u00e3o da cultura de prote\u00e7\u00e3o de dados pessoais. A efetividade das leis somente se dar\u00e1 com a atua\u00e7\u00e3o forte e diligente das autoridades nacionais.<\/p>\n\n\n\n
A viv\u00eancia dos projetos nos traz a certeza de que vivemos um per\u00edodo de constru\u00e7\u00e3o. H\u00e1 muito por vir, especialmente no que se refere \u00e0 aplica\u00e7\u00e3o de san\u00e7\u00f5es (incluindo as pesadas multas) previstas tanto na LGPD quanto no RGPD.<\/p>\n\n\n\n
Por fim, o aculturamento, a continuidade dos programas de privacidade e prote\u00e7\u00e3o de dados, o exerc\u00edcio pleno das atividades do encarregado de dados, a adequa\u00e7\u00e3o de sistemas, a a\u00e7\u00e3o efetiva das autoridades nacionais s\u00e3o apenas alguns pontos de reflex\u00e3o para o prosseguimento desta jornada que se iniciou em um passado recente. Contudo, \u00e9 uma reflex\u00e3o necess\u00e1ria para a condu\u00e7\u00e3o consciente de programas de privacidade e prote\u00e7\u00e3o de dados nas organiza\u00e7\u00f5es. Afinal, como se prova com a inser\u00e7\u00e3o da prote\u00e7\u00e3o de dados na esfera dos direitos fundamentais, essa \u00e9 uma jornada sem ponto de retorno.<\/p>\n\n\n\n