Por Lúcia Correia
O advento da Lei Geral de Proteção de Dados (LGPD) definitivamente marcou e transformou muitas empresas nacionais, especialmente as do setor de tecnologia que desenvolvem a base para um segmento da economia que é movido por informação: o varejo. Muitos termos e práticas, até antes desconhecidos por algumas pequenas e médias companhias, ganharam destaque no processo: Proteção e Privacidade, Governança e Diferencial Competitivo.
Mas, afinal, o que a LGPD trouxe de positivo para elas e como se tornou um elemento impulsionador de governança e destaque sobre os concorrentes?
Desde a sua publicação temos visto muitas empresas iniciarem seus processos de adequação, como também algumas outras esperando para ver o que irá acontecer com o mercado. Mas, uma coisa é comum: a maioria do mercado enxergava essa adequação como um custo.
Dentre aquelas que iniciaram o processo de adequação, pudemos observar que um dos principais fatores que as impulsionaram foram as sanções administrativas dispostas nesta lei, tal como a multa de R$50 milhões (limitado a 2% do faturamento) por infração, assim como a suspenção ou bloqueio do tratamento e até mesmo a publicidade da infração. No universo das empresas de tecnologia, a suspensão ou bloqueio de tratamento é o equivalente a interrupção do próprio negócio!
Porém, apesar da vulnerabilidade sentida por conta das possíveis aplicações de sanções ter sido o elemento inicial, considerado tão somente um custo para “fugir da multa”, a busca da implantação resultou, na prática, em uma construção de processos de governança como elemento chave primordial para o verdadeiro sucesso de ajuste a essa nova legislação e, via de consequência, aumento de fidelização dos clientes.
Inúmeras empresas perceberam as principais dificuldades quando iniciaram o processo de mapeamento de dados – ou seja, ao realizar a identificação sobre o ciclo de vida de um dado pessoal dentro da companhia, quem e quais eram os departamentos e colaboradores que possuíam acesso a eles, o motivo, a finalidade e o propósito desse determinado dado. Elas chegaram a rápida conclusão de que sequer havia processos de governança e organização de seus fluxos internos. Então, foi preciso que dessem “alguns passos para trás” antes de pensar na adequação à LGPD em si. Foi preciso “organizar a casa”, mapear processos e definir diretrizes, políticas, papéis e responsabilidades dentro da organização.
Neste sentido, a construção de programas de governança para ordenar os processos internos trouxe um nível maior de maturidade. Acompanhamos que essas empresas não esperaram a solicitação dos clientes quanto às informações sobre as medidas de proteção e privacidade advindas pela LGPD. Elas tomaram frente sobre o processo e passaram a ser àquelas que enviaram as solicitações para os ajustes que os clientes deveriam, também, observar para que a cadeia como um todo estivesse adequada.
Para se ter uma ideia, no início muitas empresas de tecnologia de menor porte também pensavam que uma adequação contratual com seu cliente era o suficiente para se adequar ao pedido pela Lei Geral de Proteção de Dados. Afinal, o cliente solicitava ou enviava um contrato atualizado com regras sobre a proteção de dados e esperava que a assinatura do documento fosse suficiente para trazer a noção de estar em conformidade com a nova lei.
No entanto, após uma análise/diagnóstico da empresa e o seu negócio, houve a constatação de que o contrato, em muitas vezes, era um dos últimos pontos a serem adequados.
Com isso, a principal lição e entendimento dessas empresas é que não podemos colocar no papel aquilo que não podemos cumprir. O ajuste dos processos da organização trouxe, efetivamente, quais eram as suas reais responsabilidades, a identificação dos riscos do negócio e, assim, a clareza quanto ao que deveria ser alterado para cumprir a LGPD.
Devemos lembrar que um contrato de tratamento de dados, uma das últimas etapas da adequação, traz as principais obrigações entre um controlador e um operador quanto ao tratamento de dados, esses considerados os agentes de tratamento. O objetivo do contrato é trazer segurança e clareza sobre o que cada parte realiza e, assim, alocar e mitigar responsabilidades. Porém, antes de colocar em um documento o que cada um faz, é necessário a reflexão do seu efetivo papel em um tratamento de dados.
Lembre-se: a definição de papéis e responsabilidades de cada empresa quanto ao tratamento de dados não é algo que vale o que está simplesmente escrito em um contrato. A LGPD atua com a primazia da realidade, o que efetivamente na prática o agente de tratamento realiza com os dados e, por isso, é extremamente importante ter a definição concreta sobre seus processos e atividades.
É neste sentido que, com a aplicação da governança nessas empresas, especialmente as de pequeno e médio porte, notou-se um substancial aumento de desempenho e maturidade, o que resultou em maior credibilidade dos clientes.
Quando a empresa realmente se propõe a mapear e definir seus processos, entender a relevância quanto a privacidade dos dados, buscar o aprimoramento das suas medidas de segurança, compreender a relevância de treinamento dos seus colaboradores para a construção da cultura organizacional de privacidade de dados e, por fim, compreender que a proteção de dados vai muito além de sanções administrativas, ela deixa de ser aquela que “espera para ver” e assume o papel do “fazer para acontecer” e deixa de ser conduzida para conduzir.
*Lúcia Correia é advogada especialista em Direito Constitucional e Administrativo e diretora jurídica na Associação Brasileira de Tecnologia para o Comércio e Serviços (AFRAC)
