O Xadrez da Responsabilidade
Para implementar compliance em proteção de dados, é preciso definir com clareza quem manda nos dados, quem apenas executa as ordens e quem fiscaliza tudo isso internamente.
Controlador vs Operador
Agentes de TratamentoA lei classifica os agentes que lidam com os dados em duas figuras jurídicas, cada uma com níveis diferentes de responsabilidade civil e administrativa:
O Encarregado de Dados (DPO)
Art. 41, LGPDO Encarregado (conhecido mundialmente como Data Protection Officer - DPO) é a pessoa indicada pelo controlador para atuar como o canal de comunicação oficial.
Ele tem a função vital de fazer a ponte entre três partes:
- A Empresa (Controlador).
- Os Titulares dos Dados (clientes, funcionários).
- A Autoridade Nacional de Proteção de Dados (ANPD).
Ele orienta os funcionários e recebe as reclamações dos titulares. A sua identidade e informações de contato devem ser públicas e claras (normalmente no rodapé do site ou na Política de Privacidade).
Data Mapping (Mapeamento de Dados)
O Início do ComplianceNão se gerencia o que não se conhece. O Mapeamento de Dados (Data Mapping) ou Registro das Operações de Tratamento (RoPA) é o inventário detalhado do fluxo de informações dentro da organização.
Ele responde a perguntas críticas: Quais dados coletamos? Por onde entram? Onde são armazenados? Quem tem acesso? Qual a base legal para retê-los? Quando são descartados?
O mapeamento é a fundação para a criação de políticas de segurança e para responder prontamente a auditorias da ANPD.
Relatório de Impacto (RIPD)
Art. 38, LGPDO Relatório de Impacto à Proteção de Dados Pessoais (RIPD) é um documento de governança profundo. Ele descreve os processos de tratamento que podem gerar altos riscos às liberdades civis e direitos fundamentais (ex: uso de IA, biometria em massa).
Além de detalhar o processo, o RIPD deve, obrigatoriamente, documentar as medidas, salvaguardas e mecanismos de mitigação de risco adotados pela empresa para proteger a privacidade dos titulares.