Capítulo 8 — Privacidade e proteção de dados: análise supervisionada de caso
Mapa da aula
Aula 08 publicada. Mapa, exemplo, EX036.
flowchart TD
N0["8.1 O caso"]
N1["8.2 Avaliação de risco"]
N2["8.3 Comunicar os candidatos"]
N3["8.4 Ações proporcionais"]
N0 --> N1 --> N2 --> N3
N3 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX036"]
Desenho lógico
flowchart LR
N0["8.1 O caso"]
N1["8.2 Avaliação de risco"]
N2["8.3 Comunicar os candidatos"]
N3["8.4 Ações proporcionais"]
N0 --> N1 --> N2 --> N3 --> Q["EX036"]
[8.1 O caso]
|
v
[8.2 Avaliação de risco]
|
v
[8.3 Comunicar os candidatos]
|
v
[8.4 Ações proporcionais]
|
v
[Exemplo resolvido] --> [Exercício EX036]
Objetivos de aprendizagem
Você vai (1) analisar, sob supervisão, um incidente de privacidade realista; (2) avaliar o risco aos candidatos; (3) recomendar ações proporcionais.
8.1 O caso
A bolsa de notebook de uma consultora é furtada de dentro de um carro. O notebook é criptografado, mas a bolsa também tem anotações impressas de entrevistas de seis candidatos, incluindo o pedido de uma candidata por adaptações na entrevista por causa de uma deficiência. Marta analisa o caso com a Sra. Lin e a responsável pela proteção de dados. Lista os fatos: o que foi perdido, quando, onde, que proteções existiam, quem foi afetado e o que já foi feito. O furto é registrado na polícia naquela mesma noite. Ela observa que o papel costuma escapar dos controles desenhados para os sistemas.
8.2 Avaliação de risco
Marta avalia o risco com as Diretrizes 9/2022 do EDPB. O notebook criptografado apresenta risco baixo, porque os dados são ininteligíveis sem a chave. As anotações impressas apresentam risco maior: trazem nomes, empregadores atuais, pretensões salariais e, para uma candidata, informação de saúde. A divulgação poderia prejudicar candidatos ainda empregados e revelar uma deficiência. Ela conclui que a violação é suscetível de gerar risco aos candidatos, então a autoridade de controle precisa ser notificada em até 72 horas, pelo artigo 33 do GDPR; se a Halden operasse no Brasil, a Resolução CD/ANPD nº 15/2024 daria três dias úteis. A decisão é registrada com as razões.
8.3 Comunicar os candidatos
Como a informação sobre a deficiência cria um risco elevado para aquela candidata, o artigo 34 exige informá-la diretamente. Marta redige comunicações para os seis candidatos explicando o que aconteceu, que informações estavam envolvidas, o que a Halden está fazendo e com quem falar. O rascunho evita jargão técnico e não minimiza o ocorrido. A Sra. Lin revisa a redação e sugere oferecer um telefonema direto à candidata com informação de saúde, porque uma conversa pessoal é mais respeitosa para uma notícia sensível. As cartas saem em até dois dias depois do furto, e o telefonema acontece no mesmo dia.
8.4 Ações proporcionais
Marta recomenda ações proporcionais às causas: nenhuma anotação impressa de entrevista sai do escritório, as anotações são registradas diretamente no sistema de recrutamento, os pedidos de adaptação ficam só num campo restrito e a equipe recebe uma orientação curta sobre o transporte de documentos. Ela evita recomendar medida disciplinar, porque a consultora seguia a prática que todos usavam. A responsável pela proteção de dados registra a violação, a notificação e as decisões. A Sra. Lin observa que a análise é útil porque mudou a prática, e não porque atribuiu culpa: o foco são as causas, e não as pessoas.
Exemplo resolvido
Marta analisa o furto de uma bolsa com um notebook criptografado e anotações impressas, avalia o risco maior vindo do papel, apoia a notificação em até 72 horas, redige as comunicações aos candidatos e recomenda o fim das anotações impressas.
Caso sintético. O caso é sintético; os artigos 33 e 34 do GDPR, a Resolução CD/ANPD nº 15/2024 e as Diretrizes 9/2022 do EDPB são reais.
Erros e limites
A avaliação de risco depende de fatos que podem mudar; atualize-a à medida que a informação chega.
Exercícios
- EX036 — Item de baixo risco. Por que o notebook era de baixo risco? Rubrica: 3 = criptografado, dados ininteligíveis sem a chave;; 2 = menciona criptografia;; 1 = vago;; 0 = nenhuma.
- EX037 — Conteúdo de alto risco. O que tornava as anotações impressas de maior risco? Rubrica: 3 = nomes, empregadores, salários e informação de saúde;; 2 = a maioria;; 1 = um;; 0 = nenhuma.
- EX038 — Notificação. Em que prazo a autoridade precisa ser notificada? Rubrica: 3 = 72 horas;; 2 = parcialmente correta;; 1 = errada;; 0 = nenhuma.
- EX039 — Artigo 34. Por que uma candidata precisa ser informada diretamente? Rubrica: 3 = risco elevado pela informação sobre deficiência;; 2 = menciona saúde;; 1 = vago;; 0 = nenhuma.
- EX040 — Sem culpa. Por que não se recomendou medida disciplinar? Rubrica: 3 = a consultora seguia a prática comum;; 2 = parcialmente correta;; 1 = vago;; 0 = nenhuma.
Continue estudando — aula 08 (capítulo 08 de 12)
← Capítulo 07 · Índice das aulas · Capítulo 09 →
Continue para a próxima aula já escrita.