Afinal, MSP’s e empresas de TI devem se preocupar com a LGPD (Lei Geral de Proteção de Dados)?

Afinal, MSP’s e empresas de TI devem se preocupar com a LGPD (Lei Geral de Proteção de Dados)?

A Lei para proteção de dados se aplica para todas as empresas que coletam dados de pessoas físicas.

Para MSP’s e empresas de TI que possuem em sua rotina o tratamento de dados de pessoas cadastradas através do CPF (Cadastro de Pessoa Física) deve se atentar às normas.

A Lei traz em seu texto 10 princípios que devem ser considerados e observados nas atividades de tratamento de dados pessoais. São eles:

Finalidade: o tratamento dos dados deve ser realizado para propósitos legítimos, específicos, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades;

Adequação: o tratamento dos dados deve ser compatível com as finalidades informadas ao titular;

Necessidade: o tratamento dos dados deve ser limitado ao mínimo necessário para a realização das finalidades;

Livre Acesso: deve ser garantida aos titulares a consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como o acesso à integralidade dos seus dados;

Qualidade dos Dados: deve ser garantida a exatidão, clareza, relevância e atualização dos dados;

Transparência: deve ser garantida a prestação de informações claras e facilmente acessíveis pelos titulares;

Segurança: deverão ser adotadas medidas técnicas e administrativas aptas a proteger os dados de acessos não autorizados;

Prevenção: deverão ser adotadas medidas para prevenir a ocorrência de danos em virtude do tratamento de dados pessoais;

Não Discriminação: impossibilidade de tratamento para fins discriminatórios;

Responsabilização e Prestação de Contas: demonstração de medidas eficazes para observar e comprovar o cumprimento das normas de proteção de dados pessoais.

Como se preparar?

Antes de embarcar em um projeto para atingir a conformidade com a LGDP é muito importante garantir o compromisso da alta administração. Este é, provavelmente, o fator mais significativo que poderá conduzir as entidades a um projeto de operação (e posterior implementação) bem-sucedido.

As primeiras questões que a alta gerência fará sobre o projeto provavelmente serão: (i) quais requisitos deverão ser cumpridos, (ii) quanto irá custar; e (iii) quando deverá estar pronto?

O ponto mais importante é que a conformidade à LGPD não é opcional e as multas previstas em caso de descumprimento são altas. Os requisitos a serem observados e os custos de adequação irão depender da avaliação de cada negócio, mas todos deverão estar em conformidade com a norma até meados de fevereiro de 2020.

Sumarizamos abaixo, em 8 tópicos, alguns insights destinados a fornecer um ponto de partida razoável para iniciar um projeto de conformidade à LGPD:

1. Estabelecer as necessidades e o contexto
Reunir as equipes e mapear a situação interna no que se refere às operações de processamento de dados, a fim de compreender em que medida a LGPD se aplica a seu negócio.

2. Identificar os riscos
Realizar um gap assessment (parte legal e técnica) para identificar as providências a serem adotadas e mitigar todos os gaps.

3. Analisar e avaliar os riscos
Analisar e definir as bases legais para tratamento; bem como avaliar os mecanismos de segurança das bases de dados.

4. Definir o projeto de acordo com os riscos
Definir responsabilidades; nomear um EPD (Encarregado de Proteção de Dados); readequar e documentar os processos internos de tratamento de dados.

5. Educar
Incentivar a adoção de boas práticas e a mudança na cultura interna (através de treinamentos periódicos, por exemplo) e externa.

6. Implementar o projeto desenvolvido
Elaborar ou revisar (i) políticas de privacidade (internas e externas) e (ii) contratos com colaboradores e terceiros que impliquem no processamento de dados (operadores), assegurando-se dos meios para garantir sua execução.

7. Registrar o processo
Documentar as análises e procedimentos e implementar o Registro de Processamento de Dados.

8. Monitorar e notificar
Organizar uma política de tratamento dos incidentes para garantir o cumprimento de requisitos de comunicação às autoridades em caso de vazamentos ou uso indevido de dados pessoais.

Fonte: Legalcloud