Capítulo 37 — Privacidade e proteção de dados: operações
Mapa da aula
Aula 37 publicada. Mapa, exemplo, EX109.
flowchart TD
N0["37.1 Uma função de operações de privacidade"]
N1["37.2 Direitos em volume"]
N2["37.3 Monitoramento"]
N3["37.4 Melhoria contínua"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX109"]
Desenho lógico
flowchart LR
N0["37.1 Uma função de operações de privacidade"]
N1["37.2 Direitos em volume"]
N2["37.3 Monitoramento"]
N3["37.4 Melhoria contínua"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX109"]
[37.1 Uma função de operações de privacidade]
|
v
[37.2 Direitos em volume]
|
v
[37.3 Monitoramento]
|
v
[37.4 Melhoria contínua]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX109]
Objetivos de aprendizagem
Você vai (1) conduzir as operações de privacidade no dia a dia; (2) atender pedidos de direitos em volume; (3) operar o monitoramento e a resposta.
37.1 Uma função de operações de privacidade
A esta altura, os controles de privacidade da Pellmore precisam de operação diária. Zara ajuda a montar uma pequena função de operações de privacidade na equipe do encarregado. Ela atende pedidos de direitos, revisa anomalias de acesso, monitora a retenção e a conciliação do consentimento e se coordena com a segurança nos incidentes. Zara escreve runbooks para cada tarefa, com etapas, ferramentas e caminhos de escalonamento. A função presta contas mensalmente com o conjunto de métricas do Capítulo 29. É nas operações, observa ela, que os projetos funcionam como previsto ou se deterioram em silêncio com o tempo. A equipe é dona de cada runbook.
37.2 Direitos em volume
A Pellmore agora recebe cerca de duzentos pedidos de direitos por mês. Zara automatiza a verificação de identidade pelo login na conta, a coleta dos dados pela plataforma de privacidade e o acompanhamento dos prazos, com alertas aos vinte e aos vinte e cinco dias. Os pedidos complexos, como os que envolvem vários membros de uma família, vão para um especialista. Ela mede o cumprimento no prazo e constata que 97% dos pedidos são respondidos em até trinta dias. As Diretrizes 01/2022 do EDPB sobre o direito de acesso orientam o processo, inclusive o tratamento de pedidos de terceiros que agem em nome de um paciente; no Brasil, o art. 19, II, da LGPD fixa quinze dias para a declaração completa.
37.3 Monitoramento
Os sinais de anomalia de acesso são revisados diariamente. No primeiro mês, a equipe revisa trinta alertas; vinte e seis são legítimos, como a cobertura de colegas, e quatro levam a conversas sobre a necessidade de acesso. Um dos casos é o de um médico que consultou o prontuário de um parente, tratado pela política disciplinar da Pellmore e registrado como possível violação para avaliação. Zara ajusta os limiares para reduzir os alarmes falsos sem deixar escapar casos assim. Ela aprende que o monitoramento só funciona quando as revisões são rápidas e justas com os funcionários. As revisões acontecem em poucos dias.
37.4 Melhoria contínua
A cada trimestre, a equipe de operações de privacidade revisa incidentes, métricas e reclamações e propõe melhorias. Zara conduz a primeira revisão. A equipe constata que os pedidos de direitos enviados pelo correio ainda são lentos e que um aviso confuso gera muitas perguntas. Propõe um fluxo de digitalização e a reescrita de uma seção do aviso. A ISO/IEC 27701:2025, estruturada como norma de sistema de gestão, espera esses ciclos de monitoramento, análise crítica e melhoria. Ela observa que o ciclo mantém a privacidade viva como disciplina operacional, e não como um projeto que termina. A ISO/IEC 27701 se apoia nesse ciclo.
Exemplo resolvido
Zara monta as operações de privacidade com runbooks, automatiza os pedidos de direitos até 97% no prazo, revisa trinta alertas de acesso, incluindo um caso de bisbilhotice no prontuário de um parente, e conduz uma revisão trimestral de melhoria.
Caso sintético. Os volumes e os casos são sintéticos; as Diretrizes 01/2022 do EDPB, o art. 19 da LGPD e a ISO/IEC 27701:2025 são reais.
Erros e limites
A automação pode identificar mal quem faz o pedido; mantenha um caminho manual para os casos extremos.
Exercícios
- EX109 — Taxa no prazo. Que parcela dos pedidos de direitos foi respondida no prazo? Rubrica: 3 = 97%;; 2 = quase todos;; 1 = errado;; 0 = nenhuma.
- EX110 — Prontuário de um parente. Como é tratado o caso de um médico que consultou o prontuário de um parente? Rubrica: 3 = processo disciplinar e avaliação como possível violação;; 2 = uma parte;; 1 = ignorado;; 0 = nenhuma.
- EX111 — Ciclo de gestão. O que a revisão trimestral proporciona? Rubrica: 3 = um ciclo de monitorar, analisar e melhorar, esperado de um sistema de gestão;; 2 = menciona melhoria;; 1 = vago;; 0 = nenhuma.
Síntese
O capítulo 37 opera a privacidade. O capítulo 38 valida que o sistema atende a necessidades reais.
Continue estudando — aula 37 (capítulo 37 de 50)
← Capítulo 36 · Índice das aulas · Capítulo 38 →
Continue para a próxima aula já escrita.