Depois de aprovada em 2018 e prevista para entrar em vigor no dia 14 de agosto deste ano, a Lei Geral de Proteção de Dados (LGPD) passou, de fato, a vigorar no Brasil em setembro. ao site da Abranet, o coordenador da área de compliance e contencioso estratégico de São Paulo no GVM Advogados, Diego Martinez, respondeu algumas questões, explicando principalmente como as PMEs devem se adequar. Confira abaixo as respostas.
A LGPD entrou em vigor no Brasil em setembro, mas as punições e multas previstas serão aplicadas a partir de agosto de 2021. As multas poderão ser retroativas? O que isto significa efetivamente para as empresas?
Diego Martinez — As multas não podem retroagir e somente deverão ser aplicadas a partir de agosto de 2021 pela ANPD, todavia, existem outros órgãos, como por exemplo, Ministério Público e Procon, que estão atentos às determinações e às diretrizes da LGPD e que podem atuar defendendo os interesses dos titulares e consumidores.
Como as empresas de menor porte, as PMEs, devem se adequar? A maioria não tem um departamento focado em compliance e nem os recursos para fazer as adaptações. O que elas têm de fazer primeiro e como traçar um plano para estar em conformidade?
A primeira etapa é assessment: a identificação, o mapeamento, avaliação, diagnóstico e o plano de ação e mitigação dos riscos do tratamento dos dados pessoais. Depois, deve-se entender e avaliar todo o caminho percorrido pelos dados pessoais desde a entrada na empresa, o caminho percorrido, o ciclo de vida dos dados até o descarte ou eliminação.
Deve-se verificar se todas as informações recolhidas são necessárias, se todos os dados têm finalidade clara e verificar onde estão sendo armazenados e se estão seguros e protegidos por um sistema de segurança da informação. Fazer um levantamento de como os dados são obtidos, se tem consentimento explícito e se compreendem com o que estão consentindo, por quem os dados são acessados, se a confidencialidade está garantida e se os dados estão em uso, bem como verificar se as políticas de privacidade estão de acordo com a LGPD.
Na segunda etapa, entra a implementação, a execução do plano de ação de mitigação dos riscos, o acompanhamento, a melhoria contínua e os resultados auferidos. E, a terceira etapa, é de gestão: deve-se contratar um responsável (DPO), que fica encarregado pela comunicação entre a empresa e a ANPD e o titular dos dados; pela criação e gestão do canal de comunicação – Hotline; pela gestão do tratamento dos dados pelo controlador e operador; pelo treinamento de conscientização sobre a importância dos dados pessoais e o programa de privacidade; pelo monitoramento e melhoria contínua da adequação da LGPD à empresa; e pela elaboração periódica de relatórios de impacto.
Fonte: convergenciadigital Por Roberta Prescott