Privacidade não é responsabilidade do TI: por que a LGPD precisa fazer parte de toda a organização

Uma empresa pode ter firewall de última geração, servidores bem configurados, políticas de segurança documentadas e uma equipe de TI altamente qualificada. Ainda assim, pode estar exposta a riscos relevantes relacionados à proteção de dados pessoais.

O motivo é simples: nem todo risco de privacidade está dentro da infraestrutura de tecnologia.

No dia a dia, dados pessoais circulam pelo RH, Comercial, Marketing, Financeiro, Jurídico, Atendimento e Operações. São nessas atividades que muitas vezes surgem práticas que não passam pelo radar da área de TI, mas que podem gerar riscos de segurança, privacidade e conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD).

Quando a realidade operacional contradiz as políticas

Imagine uma organização com uma infraestrutura tecnológica bem estruturada. Os controles de acesso estão documentados, os sistemas são monitorados e existem políticas internas de segurança.

Ao realizar um mapeamento dos fluxos reais de dados pessoais, porém, começam a aparecer situações inesperadas:

• O RH compartilha planilhas contendo dados pessoais ou sensíveis por e-mail pessoal porque considera o procedimento mais prático.

• O Comercial coleta informações de clientes em formulários físicos que ficam armazenados em gavetas sem controle adequado de acesso.

• O Jurídico assina contratos contendo cláusulas relacionadas ao tratamento de dados sem que o DPO tenha participado da definição dos requisitos de privacidade.

• O Marketing utiliza bases de dados fornecidas por terceiros sem verificar adequadamente a origem das informações, a finalidade do tratamento ou a respectiva base legal.

  
  

Em muitos desses casos, o time de TI sequer tinha conhecimento das práticas.

E isso não significa necessariamente que o TI falhou.

O problema está em outro lugar: na forma como a organização estruturou sua governança de privacidade.

O erro de transformar a privacidade em responsabilidade de uma única área

Um dos equívocos mais comuns nas empresas é tratar a proteção de dados como um assunto exclusivamente relacionado à tecnologia.

Outro é concentrar toda a responsabilidade no DPO.

O Encarregado pelo Tratamento de Dados Pessoais pode exercer um papel fundamental na estrutura de governança, mas isso não significa que ele deva ser o único responsável por identificar, prevenir e solucionar todos os riscos relacionados aos dados pessoais.

O DPO não deve ser acionado apenas quando existe um incidente, uma reclamação de titular ou uma auditoria.

Quando isso acontece, o profissional acaba assumindo uma posição reativa: atua como "bombeiro", tentando resolver problemas que poderiam ter sido evitados anteriormente.

A privacidade, entretanto, precisa estar incorporada às decisões que acontecem diariamente.

• Uma contratação envolve dados pessoais.

• Uma campanha de marketing envolve dados pessoais.

• Um novo fornecedor pode ter acesso a dados pessoais.

• Um contrato pode estabelecer responsabilidades sobre tratamento de informações.

• Um novo formulário pode passar a coletar informações que antes não eram solicitadas.

• Uma alteração em um sistema pode mudar completamente a forma como os dados são armazenados ou compartilhados.

  
  

Nenhuma dessas decisões pertence exclusivamente ao TI ou ao DPO.

O risco aparece onde o dado é utilizado

A infraestrutura tecnológica é uma camada importante da proteção de dados, mas ela representa apenas uma parte do problema.

O risco também pode surgir de um processo inadequado, de um contrato mal elaborado, de uma planilha compartilhada indevidamente, de um formulário que coleta informações excessivas ou de um colaborador que não sabe qual procedimento seguir.

Por isso, uma estratégia madura de privacidade precisa responder a uma pergunta diferente:

Como os dados pessoais são tratados na prática por toda a organização?

É essa visão que permite identificar a diferença entre aquilo que está previsto nas políticas e aquilo que realmente acontece no cotidiano.

Privacy by Design: privacidade antes do problema

Uma das mudanças necessárias é deixar de envolver o DPO somente no final dos projetos.

A lógica de Privacy by Design propõe que os requisitos de privacidade sejam considerados desde a concepção de novos produtos, processos, sistemas e serviços.

Na prática, isso significa que perguntas como estas devem ser feitas antes da implementação:

• Quais dados pessoais serão coletados?

• Por que esses dados são necessários?

• Qual é a finalidade do tratamento?

• Qual é a base legal aplicável?

• Quem terá acesso às informações?

• Por quanto tempo os dados serão armazenados?

• Haverá compartilhamento com terceiros?

• Existe transferência internacional?

• Quais riscos o tratamento pode gerar aos titulares?

• Quais medidas de segurança precisam ser implementadas?

  
  

Quando essas perguntas aparecem somente depois que o projeto está pronto, corrigir o problema tende a ser mais caro, demorado e complexo.

Embaixadores de Privacidade aproximam a governança da operação

Outra estratégia importante é criar uma rede de pontos focais ou embaixadores de privacidade dentro das áreas da organização.

Essas pessoas não substituem o DPO e não precisam se tornar especialistas em legislação.

O objetivo é criar uma ponte entre a operação e a governança.

Um profissional do RH, por exemplo, pode ser treinado para reconhecer situações como:

"Posso enviar essa planilha para esse destinatário?"

"Precisamos realmente coletar essa informação?"

"Esse fornecedor pode receber esses dados?"

Da mesma forma, o Marketing pode identificar quando uma nova base de contatos precisa ser avaliada antes de ser utilizada em uma campanha.

O Comercial pode reconhecer riscos relacionados ao armazenamento e compartilhamento de informações de clientes.

O Jurídico pode envolver o DPO quando um contrato apresentar tratamento relevante de dados pessoais.

Essa estrutura permite que a privacidade esteja mais próxima de onde as decisões realmente acontecem.

Canais claros reduzem o risco

Não basta dizer aos colaboradores que o DPO está disponível.

É necessário estabelecer processos simples para que as pessoas saibam:

• quando devem acionar o DPO;

• por qual canal devem fazer isso;

• quais informações precisam fornecer;

• quais situações devem ser tratadas como prioridade;

• quem deve ser envolvido em cada tipo de ocorrência.

  
  

Quanto mais complexo for o processo, maior a possibilidade de o colaborador simplesmente ignorá-lo.

Um canal de privacidade eficiente precisa fazer parte da rotina operacional da empresa, e não ser percebido como um procedimento burocrático adicional.

Treinamento precisa falar a língua de cada área

Outro ponto crítico é o treinamento.

Uma capacitação anual e genérica sobre LGPD pode cumprir uma etapa formal de conscientização, mas dificilmente será suficiente para mudar comportamentos.

O colaborador precisa entender como a proteção de dados se aplica ao trabalho que ele realiza.

Para o RH, os exemplos devem envolver recrutamento, dados de colaboradores, documentos trabalhistas e compartilhamento de informações.

Para o Marketing, o treinamento pode abordar bases de contatos, campanhas, cookies, parceiros e comunicação com clientes.

Para o Comercial, podem ser discutidos formulários, CRM, dados de clientes e compartilhamento de informações.

Para o Financeiro, o foco pode estar em documentos, pagamentos, dados bancários e controles de acesso.

Quanto mais contextualizado o treinamento, maior a possibilidade de o conhecimento ser transformado em comportamento.

Da auditoria temida para uma cultura de privacidade

Quando a organização consegue descentralizar a responsabilidade pela privacidade, algo importante começa a acontecer.

Os próprios colaboradores passam a identificar situações de risco antes que elas se transformem em incidentes.

Em vez de o DPO descobrir um problema durante uma auditoria, o próprio departamento procura orientação antes de implementar um novo processo.

Em vez de o Marketing utilizar uma base sem validação, a equipe pergunta antecipadamente se a utilização é adequada.

Em vez de o RH compartilhar uma planilha por um canal inadequado, o colaborador busca uma alternativa segura.

Esse é um dos sinais de maturidade em proteção de dados:

quando a organização deixa de depender exclusivamente do DPO para perceber que existe um risco.

LGPD é governança, não apenas documentação

Políticas, registros de tratamento, contratos, avaliações de risco, treinamentos e procedimentos são componentes importantes de um programa de privacidade.

Mas documentação, por si só, não cria conformidade.

Uma empresa pode ter uma política de privacidade impecável e, ao mesmo tempo, manter processos cotidianos incompatíveis com aquilo que está previsto no documento.

A verdadeira maturidade aparece quando governança, processos, tecnologia e comportamento das pessoas trabalham na mesma direção.

Isso exige participação da liderança, responsabilidades bem definidas, acompanhamento contínuo e integração entre áreas.

Proteção de dados começa na cultura

Concentrar a privacidade no TI ou lembrar do DPO somente quando um problema explode é uma estratégia essencialmente reativa.

A proteção de dados precisa estar presente antes da decisão, antes do projeto, antes do compartilhamento e antes da coleta.

O TI continua tendo um papel fundamental na segurança da informação. O DPO continua sendo uma peça importante na governança de privacidade. Jurídico, RH, Marketing, Comercial, Financeiro e demais áreas também possuem responsabilidades específicas.

Privacidade é uma responsabilidade organizacional.

E cultura não se constrói com um treinamento obrigatório de 20 minutos uma vez por ano.

Ela é construída com consistência, liderança engajada, processos claros, capacitação contínua e participação das áreas que realmente tratam os dados no dia a dia.