A Lei Geral de Proteção de Dados (Lei Federal nº 13709/18 LGDP) foi, sem dúvidas, um dos maiores avanços legislativos nacional e internacional desta Era da Informação. No cenário atual, deixamos de estar apenas sujeitos à força da intervenção do Estado para nos colocar voluntariamente, também, suscetíveis a códigos de programação criados por empresas privadas, como Facebook (Meta) e Google, que interferem no nosso cotidiano como o Estado nunca conseguiu fazer.

Como o bem e o mal não estão sob análise neste artigo, por ora, somente importa constatar que a LGPD e as demais leis de proteção de dados individuais vieram colocar um freio sobre a crescente vulnerabilidade dos direitos e garantias individuais, e funcionam como um bálsamo sobre as feridas abertas pelos compartilhamentos e tratamentos indiscriminados dos dados pessoais.

A LGPD, no Brasil, criou uma série de limitações sobre a coleta e o uso de dados pessoais, assim como, por consequência, responsabilidades severas aos controladores (a quem competem as decisões referentes ao tratamento de dados pessoais) e operadores (quem realiza o tratamento de dados pessoais em nome do controlador), que devem se comprometer com a segurança e a confidencialidade dos dados, prevendo sérias sansões por vazamentos e pelo tratamento dos dados em desacordo com a lei, o contrato ou o consentimento do titular, principalmente, ao prever a responsabilidade solidária sobre o que acontece com os dados, tanto na guarda quanto no compartilhamento, a todo o momento.

Como as penas resultantes do descumprimento dos deveres impostos pela LGPD são graves de advertência até multa de 2% sobre o faturamento da empresa (grupo empresarial) no último exercício e proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados os controladores e operadores devem se comprometer e exigir de toda a cadeia de pessoas físicas e jurídicas com quem compartilhem os dados pessoais, que tenham níveis de proteção e segurança, ao menos, tão bons quanto o do controlador original.

Sendo assim, antes de se compartilhar dados, eles devem realizar uma Due Diligence nos terceiros uma espécie de auditoria prévia com escopo reduzido para validar os seus níveis de controles, processos, segurança e proteção dos dados. Esta Due Diligence serve tanto para subsidiar a decisão de aprovar a escolha do controlador, quanto para descobrir se o nível de proteção e segurança é adequado e se, independentemente, o compartilhamento é fundamental, de modo a se definir medidas mitigatórias, como a anonimização (meio pelo qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo) ou pseudoanonimização ( tratamento por meio do qual um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo, senão pelo uso de informação adicional mantida separadamente pelo controlador em ambiente controlado e seguro) dos dados pessoais.

Uma das ferramentas mais utilizadas na Due Diligence de terceiros é o questionário de LGPD, o qual é elaborado pelo controlador com questões que procuram entender:

• quem é e qual o objeto social do terceiro;

• se está adequado à LGPD;

• a forma e local de armazenamento (inclusive se no Brasil ou no exterior);

• o controle e os níveis de acesso à informação;

• a segurança aplicada;

• a conscientização dos colaboradores sobre a LGPD;

• o plano de continuidade e de contingência;

• o prazo de armazenagem;

• a política de tratamento;

• o mecanismos de prevenção contra vazamento de dados;

O questionário é enviado para ser respondido pelo operador ou pelo seu encarregado de proteção de dados também conhecido pelo termo em inglês Data Protecion Officer ou simplesmente DPO.

Acontece que os operadores ou DPOs costumam desprezar estes questionários e, muitas das vezes, os respondem de formas evasivas e genéricas. Por pior que isto possa parecer, suas percepções de que tais questionários são sem sentido e de baixo valor costumam estar razoavelmente corretas, na medida em que os questionários são normalmente cópias de modelos amplamente utilizados por escritórios de advocacia ou outros implementadores de políticas de LGPD, portanto, não adequados ou personalizados para entender o negócio e as ferramentas que buscam avaliar, acabando por meramente subsidiar o processo de instalação do programa de LGPD das empresas como uma tarefa cumprida, mas sem objetividade.

Tais questionários apresentam perguntas abrangentes que permitem elevado nível de subjetividade para as respostas, como:

1. as que levam a respostas potencialmente insatisfatórias ex: A empresa está se adequando ou está adequada à LGPD?. Ainda que o fornecedor responda Sim e até fundamente, o nível de adequação à LGPD de um birô de crédito é diferente do nível de um escritório de marketing e a adequação costuma estar mais relacionada com o negócio área de atuação e porte da empresa do que com o nível de risco atraído pela informação compartilhada, neste aspecto, dependendo do crime, as informações sobre os colaboradores da empresa de um segmento que paga altos salários pode ser mais valiosa para os criminosos do que as dos clientes de outra empresa;

2. não atendem ao propósito pretendido ex: Onde os dados coletados são armazenados? De que forma?. Saber que os dados são armazenados na Alemanha e em nuvem não necessariamente responde sobre o nível de segurança a que está sujeita, pois, ainda que se verifique que a empresa de armazenamento possui bom sistema de segurança, pode não valer muito se os sistemas de backup e sobre o tráfego da informação do Brasil até a Alemanha forem vulneráveis; e

   Assine a nossa newsletter! Seja o primeiro a receber nossas novidades exclusivas e recentes diretamente em sua caixa de entrada.

   Inscrever

   

3. não levam a uma decisão mais segura sobre compartilhar ou não os dados com o terceiro ou sobre quais medidas mitigadoras tomar ex: A empresa possui normas e ferramentas para evitar incidentes de segurança como, por exemplo, vazamento de informações e dados?. Considerando que normas e ferramentas podem não ser de prateleira (e se forem podem se tornar ainda mais vulneráveis a ataques), mesmo que o fornecedor te conte quais são, poderá não te levar à conclusão se são ou não suficientes.

Veja, nenhuma destas perguntas é ruim por si mesma, contudo, sem propósito elas podem não levar à conclusão desejada. A área de Segurança da Informação é um universo em expansão. A quantidade e variedade de ferramentas, normas e procedimentos diversos que podem ser aplicados na segurança dos dados é enorme e crescente; e é necessariamente grande para reduzir a vulnerabilidade a ataques. Portanto, perguntas genéricas não levam a compreender o nível de preparo do sistema de segurança aplicado e tampouco deveriam. Isto porque suas respostas completas exporiam as barreiras de segurança usadas pelas empresas, de modo a facilitar invasões e vazamentos dos dados tão preciosamente guardados.

Trazendo para uma situação mais concreta: se um criminoso atacante tem conhecimento dos mecanismos de notificação e das pessoas que serão comunicadas para combater e noticiar um vazamento de dados, ele facilmente pode neutralizar as medidas e ocultar suas ações indefinidamente ou, ao menos, ganhar mais tempo.

Portanto, a elaboração do questionário deve ser alinhada com o negócio que se está tentando proteger, com o nível de risco carreado pelas informações compartilhadas e as respostas devem gerar consequências. As perguntas devem provocar respostas que realmente levem a uma conclusão sobre o nível de proteção e segurança das informações, bem como a uma ação ela afasta ou aproxima da contratação de compartilhar os dados com este fornecedor e quais as medidas mitigatórias necessárias para aumentar a proteção e a segurança. Tudo isto, sem comprometer a segurança do fornecedor, ou seja, que ele não tenha que revelar os seus segredos e aumentar sua vulnerabilidade para satisfazer o questionário.

Em outras palavras, ao se elaborar um questionário é preciso que se avalie onde se quer chegar com as perguntas e quais as consequências das respostas. Ou seja, caso o fornecedor responda que armazena dados no exterior e em nuvem, qual a repercussão da resposta? Vai compartilhar mesmo assim? Se não sabe o que fazer, ou deveria se autoavaliar para saber (se os dados, pela sua natureza, podem ser enviados para o exterior, se o envio é para país que garante proteção, se tenho alternativas, se há medidas mitigatórias) ou a pergunta não deveria estar ali. Para ficar mais claro, qual a consequência da resposta? Não contrataremos com o fornecedor, mitigaremos o risco de alguma forma, compartilharemos de forma parcial. Enfim, as alternativas de consequências devem estar mapeadas e avaliadas de acordo com as condições do caso concreto.

É surpreendente as respostas que se obtém de um questionário bem ajustado, inclusive, por vezes se verifica que há dados que sequer precisariam ser compartilhados, bem como diferenciar os compartilhamentos atuais, daqueles que são legados.

Para isso, nem se precisa dizer que o profissional que aplicará o questionário, portanto, que implantará o programa de LGPD, deve imergir no negócio do controlador para conhecê-lo, entendendo suas vulnerabilidades, forças, riscos e alcances das decisões.

Tá, mas como podemos fazer isso, na prática?

A resposta não é simples, pois exige uma adaptação do questionário ao caso real. Mas a reflexão sobre os pontos acima serve para entender onde está e para onde vai com o programa de LGPD. Assim, se faz necessário implantar um sistema de graduação no qual seja possível analisar todos os envolvidos na cadeia de compartilhamento e tratamento, de acordo com o seu perfil e envolvimento, entendendo sobre cada um deles:

1. quais dados são compartilhados e quais os níveis de sensibilidade;

2. de quem são os dados compartilhados;

3. em que estado eles são compartilhados;

4. a legislação do país e a empresa responsável pela guarda possuem níveis satisfatórios de proteção e segurança;

5. como se aplica a limitação de acesso aos dados pessoais;

6. com objetividade, descobrir as ferramentas que o fornecedor usa para se adequar à LGPD;

7. quais as ferramentas de proteção e segurança são impostas aos dados pelo controlador e pelo terceiro;

8. em caso de vazamento ou uso indevido, quais os mecanismos de mitigação de danos; etc.

Todas as questões formuladas sobre estes e outros temas, necessários para atender o nível de atenção exigida pela LGPD sobre os dados pessoais compartilhados, devem ser redigidas de maneira que, ao final, sirvam para embasar as decisões que serão tomadas de acordo com as graduações de cada controlador ou operador da cadeia.