Capítulo 7 — Privacidade e proteção de dados: integração organizacional

Mapa da aula

Aula 07 publicada. Mapa, exemplo, EX031.

flowchart TD
  N0["7.1 Processo de produto"]
  N1["7.2 Compras"]
  N2["7.3 Alinhamento"]
  N3["7.4 Multiplicadores"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX031"]

Desenho lógico

flowchart LR
  N0["7.1 Processo de produto"]
  N1["7.2 Compras"]
  N2["7.3 Alinhamento"]
  N3["7.4 Multiplicadores"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX031"]

[7.1 Processo de produto]
    |
    v
[7.2 Compras]
    |
    v
[7.3 Alinhamento]
    |
    v
[7.4 Multiplicadores]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX031]

Objetivos de aprendizagem

Você vai (1) incorporar a privacidade aos processos de produto e de compras; (2) alinhar a privacidade às funções de segurança e de riscos; (3) construir uma rede de multiplicadores de privacidade.

7.1 Processo de produto

Priscila integra a privacidade ao processo de produto da Corvina. Cada mudança de produto passa por uma triagem curta de perguntas de sim ou não: ela coleta dados novos, usa dados para uma nova finalidade, envolve um novo fornecedor ou destinatário, automatiza decisões ou afeta muitos clientes? Um sim aciona uma DPIA completa. Isso fecha a lacuna encontrada no capítulo 2, em que mudanças em produtos existentes escapavam da revisão. No primeiro trimestre, a triagem aciona três DPIAs, uma delas para as mudanças no modelo antifraude, que antes teriam passado sem qualquer análise de privacidade.

7.2 Compras

Os fornecedores recebem dados pessoais. Priscila acrescenta critérios de privacidade às compras: contratos de tratamento de dados que atendam ao artigo 28 do GDPR e às exigências da LGPD, cláusulas de exclusão, listas de suboperadores e prazos de notificação de incidentes. As Diretrizes 07/2020 do EDPB a ajudam a definir quando um fornecedor é operador ou controlador. Agora, compras não pode assinar contratos que envolvam dados pessoais sem revisão de privacidade, feita em no máximo cinco dias úteis com um questionário padrão sobre segurança, suboperadores, transferências, retenção e apoio aos direitos dos titulares.

7.3 Alinhamento

Priscila se reúne mensalmente com as equipes de segurança, de riscos corporativos e de compliance. Elas compartilham dados de incidentes, alinham as classificações de risco, coordenam as revisões de fornecedores e mantêm um único registro de ações em aberto. A equipe de segurança adota a coluna de dano às pessoas em suas avaliações de incidentes. Priscila observa que as funções de privacidade, segurança e riscos costumam duplicar trabalho ou deixar lacunas entre si, e que a coordenação regular torna a proteção da organização mais coerente e menos pesada para as equipes que precisam responder às três.

7.4 Multiplicadores

Priscila constrói uma rede de multiplicadores de privacidade, um em cada departamento, treinados para responder a dúvidas básicas e identificar problemas. Eles recebem duas horas de treinamento por trimestre, se reúnem trimestralmente para trocar exemplos e têm o nome publicado na página de privacidade da intranet. Ela descobre que os multiplicadores pegam problemas cedo, como uma equipe de atendimento que compartilhava no chat interno capturas de tela com números de cartão. A Dra. Ward observa que uma equipe de privacidade pequena amplia seu alcance com multiplicadores, desde que eles recebam treinamento, tempo e reconhecimento.

Exemplo resolvido

Priscila acrescenta uma triagem de mudanças que aciona três DPIAs num trimestre, incorpora a privacidade às compras, coordena-se mensalmente com segurança e riscos e constrói uma rede de multiplicadores que identifica o compartilhamento de capturas de tela.

Caso sintético. Os processos são sintéticos; o artigo 28 do GDPR, a LGPD e as Diretrizes 07/2020 do EDPB são reais.

Erros e limites

As perguntas da triagem podem ser respondidas sem cuidado; confira as respostas por amostragem.

Exercícios

• EX031 — Gatilhos da triagem. Cite duas perguntas da triagem que acionam uma DPIA.
  Mostrar critérios de avaliação

  Rubrica: 3 = dados novos, nova finalidade, novo fornecedor ou muitos clientes afetados;; 2 = uma;; 1 = vago;; 0 = nenhuma.
• EX032 — Critérios de compras. Que critérios de privacidade foram acrescentados às compras?
  Mostrar critérios de avaliação

  Rubrica: 3 = contratos conformes ao artigo 28, cláusulas de exclusão, listas de suboperadores e prazos de notificação;; 2 = dois;; 1 = vago;; 0 = nenhuma.
• EX033 — O que os multiplicadores pegaram. O que os multiplicadores identificaram cedo?
  Mostrar critérios de avaliação

  Rubrica: 3 = capturas de tela com números de cartão no chat interno;; 2 = menciona capturas de tela;; 1 = vago;; 0 = nenhuma.
• EX034 — Valor da coordenação. Por que coordenar privacidade, segurança e riscos todo mês?
  Mostrar critérios de avaliação

  Rubrica: 3 = evita duplicação e lacunas, tornando a proteção coerente;; 2 = menciona alinhamento;; 1 = desnecessário;; 0 = nenhuma.
• EX035 — DPIA antifraude. Que mudança em produto existente acionou uma DPIA?
  Mostrar critérios de avaliação

  Rubrica: 3 = as mudanças no modelo antifraude;; 2 = menciona fraude;; 1 = vago;; 0 = nenhuma.

Síntese

O capítulo 7 integra a privacidade. O capítulo 8 trata de casos difíceis.