Voltar ao Hub
COMPLIANCE E LGPD (ETAPA 3)

Dossiê de Estudo: Governança e Agentes

Entenda a distribuição de responsabilidades no tratamento de dados e o pilar da governança: o mapeamento do fluxo de informações (Data Mapping)[cite: 20].

Controlador x Operador DPO (Encarregado) Data Mapping RIPD
Unidade 3

O Xadrez da Responsabilidade

Para implementar compliance em proteção de dados, é preciso definir com clareza quem manda nos dados, quem apenas executa as ordens e quem fiscaliza tudo isso internamente[cite: 20].

OS PAPEIS Fls. 01
01

Controlador vs Operador

Agentes de Tratamento

A lei classifica os agentes que lidam com os dados em duas figuras jurídicas, cada uma com níveis diferentes de responsabilidade civil e administrativa[cite: 20]:

Controlador É a quem competem as decisões referentes ao tratamento de dados pessoais[cite: 20]. É o "dono" da regra do negócio[cite: 20]. Ele define por que e como os dados serão coletados[cite: 20].
Operador É quem realiza o tratamento de dados pessoais em nome do controlador[cite: 20]. Ele apenas segue instruções (ex: provedor de nuvem, agência de marketing terceirizada)[cite: 20]. Não toma decisões sobre a finalidade dos dados[cite: 20].
O COMUNICADOR Fls. 02
02

O Encarregado de Dados (DPO)

Art. 41, LGPD

O Encarregado (conhecido mundialmente como Data Protection Officer - DPO) é a pessoa indicada pelo controlador para atuar como o canal de comunicação oficial[cite: 20].

Ele tem a função vital de fazer a ponte entre três partes[cite: 20]:

  • A Empresa (Controlador)[cite: 20].
  • Os Titulares dos Dados (clientes, funcionários)[cite: 20].
  • A Autoridade Nacional de Proteção de Dados (ANPD)[cite: 20].

Ele orienta os funcionários e recebe as reclamações dos titulares[cite: 20]. A sua identidade e informações de contato devem ser públicas e claras (normalmente no rodapé do site ou na Política de Privacidade)[cite: 20].

O RAIO-X DA EMPRESA Fls. 03
03

Data Mapping (Mapeamento de Dados)

O Início do Compliance

Não se gerencia o que não se conhece[cite: 20]. O Mapeamento de Dados (Data Mapping) ou Registro das Operações de Tratamento (RoPA) é o inventário detalhado do fluxo de informações dentro da organização[cite: 20].

Ele responde a perguntas críticas: Quais dados coletamos? Por onde entram? Onde são armazenados? Quem tem acesso? Qual a base legal para retê-los? Quando são descartados?[cite: 20]

O mapeamento é a fundação para a criação de políticas de segurança e para responder prontamente a auditorias da ANPD[cite: 20].

DOCUMENTAÇÃO DE RISCO Fls. 04
04

Relatório de Impacto (RIPD)

Art. 38, LGPD

O Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é um documento de governança profundo[cite: 20]. Ele descreve os processos de tratamento que podem gerar altos riscos às liberdades civis e direitos fundamentais (ex: uso de IA, biometria em massa)[cite: 20].

Além de detalhar o processo, o RIPD deve, obrigatoriamente, documentar as medidas, salvaguardas e mecanismos de mitigação de risco adotados pela empresa para proteger a privacidade dos titulares[cite: 20].

Fixação Cognitiva (Active Recall)

Revisão Relâmpago

Quem toma as decisões sobre qual dado coletar e a sua finalidade?
O Controlador[cite: 20]. O Operador apenas realiza o tratamento em nome do controlador[cite: 20].
Qual a função principal do Encarregado (DPO)?
Atuar como canal de comunicação entre a empresa, os titulares dos dados e a Autoridade Nacional (ANPD), além de orientar internamente as equipes[cite: 20].
O que é o "Data Mapping"?
É o inventário/mapeamento do fluxo e ciclo de vida dos dados dentro da organização (onde entram, onde ficam, base legal e descarte)[cite: 20]. É a base do programa de conformidade[cite: 20].