Muitas empresas trataram a LGPD como um projeto de documentos: política de privacidade no site, termo de consentimento, um encarregado nomeado. Tudo isso importa. Mas a lei também pede algo que não se resolve no papel.
O que diz o artigo 46
O artigo 46 da Lei Geral de Proteção de Dados determina que os agentes de tratamento adotem “medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito”.
Em outras palavras: se a sua empresa guarda dados de clientes, funcionários ou pacientes, ela precisa protegê-los de verdade, e conseguir mostrar como faz isso.
Na prática, o que entra nessa conta
- Controle de acesso. Cada pessoa vê só o que precisa para trabalhar, e quem sai da empresa perde o acesso no mesmo dia.
- Verificação em duas etapas. Principalmente no e-mail e nos sistemas com dados de clientes.
- Registros. Saber quem acessou o quê, e quando, é o que permite investigar um incidente.
- Cópias de segurança. Separadas da rede principal, para sobreviver a um ataque de sequestro de dados.
- Atualizações. Sistemas sem atualização são a porta de entrada mais comum.
E quando algo dá errado
O artigo 48 obriga o controlador a comunicar à ANPD e aos titulares os incidentes que possam acarretar risco ou dano relevante. O regulamento da ANPD sobre comunicação de incidentes prevê prazo de três dias úteis a partir do conhecimento do incidente. Sem registros e sem um plano, cumprir esse prazo com informação confiável é muito difícil.
Por onde começar
O primeiro passo é saber onde a empresa está hoje. Um Raio-X de Segurança mostra o que está exposto e o que corrigir primeiro. Depois, o Sentinela PME acompanha esses controles todo mês, com relatório que serve também como evidência.
Conformidade completa com a LGPD também envolve questões jurídicas. A parte técnica, porém, é a mais esquecida, e é a que impede o incidente de acontecer.