Capítulo 2 — Privacidade e proteção de dados: prática atual

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX006.

flowchart TD
  N0["2.1 Mapear a prática"]
  N1["2.2 Comparar as leis"]
  N2["2.3 Estruturas de referência"]
  N3["2.4 Lacunas"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX006"]

Desenho lógico

flowchart LR
  N0["2.1 Mapear a prática"]
  N1["2.2 Comparar as leis"]
  N2["2.3 Estruturas de referência"]
  N3["2.4 Lacunas"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX006"]

[2.1 Mapear a prática]
    |
    v
[2.2 Comparar as leis]
    |
    v
[2.3 Estruturas de referência]
    |
    v
[2.4 Lacunas]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX006]

Objetivos de aprendizagem

Você vai (1) mapear a prática atual de privacidade numa empresa de pagamentos; (2) comparar as obrigações do GDPR e da LGPD; (3) identificar lacunas em relação às boas práticas.

2.1 Mapear a prática

Priscila mapeia o programa de privacidade da Corvina: um encarregado pelo tratamento de dados (o DPO, na terminologia do GDPR), um registro das operações de tratamento, um processo de DPIA, uma equipe de atendimento aos titulares, contratos com fornecedores e treinamento. Ela entrevista os líderes de equipe para ver como cada peça funciona na prática. Descobre que o registro das operações existe, mas não é atualizado há um ano, que dois fornecedores nem constam dele e que as DPIAs só são feitas para produtos novos, e não para mudanças em produtos existentes, como o modelo antifraude.

2.2 Comparar as leis

Priscila monta uma comparação das obrigações do GDPR e da LGPD. Ambas exigem bases legais, transparência, segurança e atendimento aos direitos. A LGPD lista dez bases legais no art. 7º, entre elas a proteção do crédito, relevante para a Corvina; o GDPR usa seis bases no artigo 6. Para violações, o GDPR fixa a notificação à autoridade em até 72 horas; no Brasil, o art. 48 da LGPD remete o prazo à ANPD, e a Resolução CD/ANPD nº 15/2024 o fixou em três dias úteis, em seu art. 6º, contados do conhecimento de que dados pessoais foram afetados. Ela desenha processos que atendam à exigência mais rigorosa em cada ponto, e essa passa a ser o padrão do grupo.

2.3 Estruturas de referência

Priscila compara o programa da Corvina com o NIST Privacy Framework 1.0 e com a ISO/IEC 27701:2025. As funções do framework do NIST mostram que a Corvina é forte em Protect-P, mas mais fraca em Identify-P, porque o inventário está desatualizado. A ISO/IEC 27701 espera processos documentados de sistema de gestão, que a Corvina tem em parte. Por ora, ela usa as estruturas como listas de verificação organizadas, e não como metas de certificação. O NIST Privacy Framework a ajuda a descrever ao conselho os resultados desejados, e os controles da ISO/IEC 27701 a ajudam a conferir se a gestão de fornecedores e o treinamento funcionam na prática.

2.4 Lacunas

Priscila lista as lacunas: um registro das operações desatualizado, DPIAs que não são acionadas por mudanças, contratos com fornecedores sem cláusulas claras de exclusão e um treinamento genérico. Ela as classifica por risco. O inventário desatualizado vem em primeiro lugar, porque os outros processos dependem dele. Ela apresenta a lista ao comitê executivo da Corvina com um plano de doze meses, e cada lacuna recebe um responsável, como o diretor de produto para as mudanças não revisadas. A Dra. Ward comenta que uma lista de lacunas crível é específica, priorizada e com donos, e não um rol de tudo o que poderia melhorar.

Exemplo resolvido

Priscila mapeia o programa da Corvina, compara as obrigações do GDPR e da LGPD, usa o NIST Privacy Framework e a ISO/IEC 27701 como listas de verificação e prioriza quatro lacunas num plano de doze meses.

Caso sintético. O programa da Corvina é sintético; o artigo 6 do GDPR, os arts. 7º e 48 da LGPD, a Resolução CD/ANPD nº 15/2024, o NIST Privacy Framework 1.0 e a ISO/IEC 27701:2025 são reais.

Erros e limites

Comparações entre leis simplificam; os regulamentos das autoridades nacionais acrescentam detalhes.

Exercícios

• EX006 — Lacuna no acionamento da DPIA. Que lacuna Priscila encontrou na prática de DPIA?
  Mostrar critérios de avaliação

  Rubrica: 3 = DPIAs só para produtos novos, não para mudanças;; 2 = menciona mudanças;; 1 = vago;; 0 = nenhuma.
• EX007 — Bases da LGPD. Quantas bases legais o art. 7º da LGPD lista, e qual serve a pagamentos?
  Mostrar critérios de avaliação

  Rubrica: 3 = dez; a proteção do crédito é relevante;; 2 = só o número;; 1 = errado;; 0 = nenhuma.
• EX008 — Exigência mais rigorosa. Como Priscila trata as diferenças entre as leis?
  Mostrar critérios de avaliação

  Rubrica: 3 = desenha processos que atendem à exigência mais rigorosa;; 2 = menciona a mais rigorosa;; 1 = escolhe uma;; 0 = nenhuma.
• EX009 — Papel das estruturas. Como Priscila usa as estruturas de referência?
  Mostrar critérios de avaliação

  Rubrica: 3 = como listas de verificação organizadas, não metas de certificação;; 2 = menciona lista;; 1 = certificar;; 0 = nenhuma.
• EX010 — Primeira lacuna. Por que o inventário desatualizado vem em primeiro lugar?
  Mostrar critérios de avaliação

  Rubrica: 3 = os outros processos dependem dele;; 2 = menciona dependência;; 1 = aleatório;; 0 = nenhuma.

Síntese

O capítulo 2 mapeia a prática. O capítulo 3 reúne evidências especializadas.