Como a S2 Consultoria se Adaptou à Lei Geral de Proteção de Dados? Confira - s2 Consultoria
Navegue por tópicos
A Lei Geral de Proteção de Dados, de número 13.709/2018, conhecida como LGPD, vigora no Brasil desde 15 de agosto de 2020, exigindo adequação de empresas de todos os portes para o cumprimento das novas regras.
Muitos negócios, porém, já começaram a se preparar bem antes da aplicação da lei, investindo em cibersegurança e implementando sistemas de compliance efetivos para prevenir, detectar e remediar violações de dados pessoais.
É esse o nosso caso aqui na S2 Consultoria, em que os trabalho de preparação e adequação começaram ainda em 2019, virando tema de Trabalho de Conclusão de Mestrado na Escola Superior de Negócios Atlântico, de Portugal. Quer saber como fizemos?
Para ajudar quem está começando a implementar um processo de adequação à LGPD, separamos alguns dos principais pontos da
nossa experiência com base no trabalho de Eduardo Almeida dos Santos e Solange da Cruz Almeida dos Santos, com a supervisão do Dr. João Paulo Peixoto. Confira a seguir!
Por que se adequar à LGPD?
A Lei Geral de Proteção de Dados é um conjunto de normas que regulamentam como os dados pessoais dos indivíduos devem ser tratados, armazenados e transferidos pelas empresas.
O objetivo é garantir mais transparência e segurança no uso e na proteção das informações pessoais por parte dos negócios.
Portanto, os responsáveis pela captação e armazenamento dos dados digitais devem adotar medidas e, assim, evitar punições rigorosas como estabelece o artigo 52 da Lei, tais como:
- Multa de até 2% do faturamento, podendo chegar a até R$ 50 milhões por infração;
- Obrigação de divulgação em caso de infração;
- Bloqueio dos dados pessoais a que se refere a infração.
Além do risco de punição, tomar medidas para cumprir as regras da nova lei também é importante para melhorar o relacionamento com clientes, garantindo mais transparência e segurança nas operações da empresa.
Como foi a adaptação da S2 Consultoria para cumprir a LGPD
Por meio de práticas de gestão de projetos baseados no “PMBoK Standards”, o processo de implementação das adequações à LGPD na S2 contou com a adoção de um programa de segurança da informação e pode ser dividido em 3 etapas:
- Revisão dos controles e processos existentes;
- Mapeamento das fragilidades e níveis de riscos em relação a proteção dos dados em poder da Empresa;
- Definição das medidas de implementação;
Vamos detalhar um pouco melhor de cada etapa a seguir.
Guia PMBoK
Como já citado acima, para a adequada aplicação do plano de ação nos apoiamos no conjunto de práticas de gestão de projetos organizado pelo Instituto PMI, o “PMBoK Standards”.
Em sua 5ª edição, o guia PMBoK reconhece 47 processos, divididos em 10 áreas de conhecimento em 5 grupos, sendo:
- Iniciação
- Planejamento
- Execução
- Monitoramento e Controle
- Encerramento
Veja na imagem abaixo como foi feita a organização para revisão dos controles e processos:
Mapeamento das fragilidades e riscos
Para investigar quais dados privativos estão em posse da S2, bem como nossas políticas e procedimentos internos, elaboramos alguns questionamentos com base na referida Lei.
O resumo das fragilidades e riscos encontrados, podem ser visualizados na tabela a seguir:
Com o levantamento acima, identificamos risco alto no uso de dados pessoais, além de possibilidades de melhorias nas políticas internas. Com isso, elaboramos um plano de ação, que explicaremos a seguir.
Plano de ação para adaptação à LGPD:
Baseado nas fragilidades e riscos mapeados, definimos um plano de ação para mitigar o alto risco corrente, seguindo 30 medidas, que resumimos aqui em:
- Discussão da LGPD para esclarecer todos os requerimentos;
- Indicação de um Encarregado da Proteção de Dados (EPD) que será responsável internamente;
- Mapeamento da operação e análises dos fluxos dos processos;
- Aprovação do Termo de Abertura do Projeto;
- Mapeamento dos dados de terceiros em poder da Empresa;
- Identificação de GAPs com base no banco de dados e templates utilizados;
- Definição de cronogramas, orçamentos e ferramentas necessárias para planejar e atender ao prazo da implementação;
- Aprovação do Relatório de Identificação de GAPs;
- Aprimoramento do banco de dados de terceiros em poder da Empresa;
- Elaboração de política geral de proteção de dados detalhando medidas e controles;
- Criação de texto sobre proteção de dados para ser divulgado no website da Empresa;
- Elaboração de cláusula adicional para o contrato padrão de prestação de serviços para adequação aos padrões de proteção de dados;
- Criação de comunicado para envio aos titulares dos dados;
- Ajuste/redação de termo de autorização de utilização de dados;
- Ajuste/redação de política de segurança da informação;
- Ajuste/redação de política de gestão de acesso e sistemas;
- Verificação da adequacidade das políticas e controles dos prestadores de serviços em relação ao termo de confidencialidade;
- Aquisição de uma fragmentadora de papel para auxiliar no momento da necessidade do descarte da informação de forma segura;
- Criação de um canal de comunicação para reportar incidentes e violações;
- Elaboração de uma apresentação para conscientização interna;
- Criação de consciência dentro da Empresa a respeito dos novos processos, políticas, documentos e contratos;
- Aprovação de todos os novos procedimentos desenvolvidos;
- Introdução de materiais de treinamento e treino aos operadores;
- Atualização dos fluxos com base nas implementações efetuadas ou novos negócios/atividades;
- Aprovação do Relatório Final de Implementação do Plano de Ação;
- Monitoramento de que todos os templates desenvolvidos têm sido utilizados, assinados e arquivados;
- Revisão independente e periódica a respeito da efetividade dos controles internos e externos;
- Realização de treinamentos internos periódicos com funcionários internos e terceiros;
- Obtenção de confirmação anual formal de todos os funcionários;
- Aprovação do Relatório de Revisão dos Controles e Termo de Encerramento do Projeto.
Com a aplicação e manutenção dessas 30 medidas, acreditamos que a S2 garante a adequação completa das exigências da Lei e a consequente mitigação dos riscos de sanções administrativas por descumprimento daquela.
O trabalho é constante e deve ser acompanhando de melhorias contínuas, mas o processo de adaptação já trouxe vantagens como a geração de conhecimento e valor a todos os envolvidos, nos auxiliando ainda a estruturar os controles internos de forma mais robusta.
E aí, já começou a implementar as adaptações para a LGPD na sua empresa? Esperamos ter contribuído para os seus trabalhos. Deixe suas dúvidas nos comentários que teremos prazer em respondê-las!
