Implantando um programa de governança em privacidade que se sustente
Conformidade que existe apenas em política publicada não sobrevive à primeira pergunta da autoridade: como você demonstra isso? A diferença entre uma empresa adequada e uma empresa que parece adequada está na evidência — registros datados de que os processos rodam. É exatamente isso que a lei descreve quando trata de boas práticas e governança, e ela chega a listar o conteúdo mínimo do programa.
O conteúdo mínimo escrito na lei
O art. 50 da LGPD prevê que controladores e operadores, individualmente ou por meio de associações, formulem regras de boas práticas e de governança estabelecendo condições de organização, regime de funcionamento, procedimentos — inclusive reclamações e petições de titulares —, normas de segurança, padrões técnicos, obrigações dos envolvidos, ações educativas, mecanismos internos de supervisão e de mitigação de riscos.
O §2º, I é a régua concreta. O programa de governança em privacidade deve, no mínimo: demonstrar o comprometimento do controlador em adotar processos e políticas internas que assegurem cumprimento abrangente das normas; ser aplicável a todo o conjunto de dados sob seu controle, independentemente do modo de coleta; ser adaptado à estrutura, escala e volume das operações e à sensibilidade dos dados; estabelecer políticas e salvaguardas com base em avaliação sistemática de impactos e riscos; ter o objetivo de estabelecer relação de confiança com o titular, com atuação transparente e mecanismos de participação; estar integrado à governança geral, com supervisão interna e externa; contar com planos de resposta a incidentes e remediação; e ser atualizado constantemente a partir de monitoramento contínuo e avaliações periódicas.
O inciso II acrescenta o dever de demonstrar a efetividade do programa quando apropriado e, em especial, a pedido da autoridade nacional.
Os princípios que o programa precisa operacionalizar
Todo o desenho serve para tornar exigíveis os princípios do art. 6º: finalidade, com propósitos legítimos, específicos, explícitos e informados ao titular; adequação; necessidade, com limitação ao mínimo; livre acesso; qualidade dos dados; transparência; segurança; prevenção; não discriminação; e responsabilização, que é a demonstração da adoção de medidas eficazes.
Traduzir princípio em processo é o trabalho real. Necessidade vira revisão de formulários que pedem dados sem uso. Transparência vira aviso de privacidade legível. Responsabilização vira registro datado do que foi feito.
Um teste útil: para cada princípio, existe um artefato que prova a aplicação? Se a resposta for "está na política", o princípio ainda não foi operacionalizado.
Sequência de implantação que evita o projeto eterno
Comece pelo inventário de tratamentos, com finalidade, base legal, categorias de dados e de titulares, compartilhamentos e retenção. Sem ele, nenhuma outra etapa tem chão.
Em seguida: revisão dos avisos de privacidade; canal de atendimento a titulares com prazo e registro; indicação e divulgação do encarregado; revisão contratual com fornecedores que tratam dados; controles mínimos de segurança e política de acesso; plano de resposta a incidentes; e treinamento por perfil, não genérico.
O §2º manda adaptar o programa à estrutura, escala e volume das operações, e essa proporcionalidade não é permissão para fazer menos: é orientação para fazer o que importa. Uma empresa com trinta funcionários precisa de um inventário simples que exista, não de um manual de trezentas páginas que ninguém lê.
Evidência: o que a autoridade pede quando pergunta
Prepare o acervo antes de precisar dele. Inventário atualizado com data; atas ou registros de decisões sobre tratamentos; comprovante de divulgação do encarregado; relatório de atendimentos a titulares com tempo de resposta; registros de treinamento com lista de participantes; contratos com anexo de proteção de dados; evidência dos controles de segurança; e histórico de incidentes com providências.
O §3º do art. 50 determina que as regras de boas práticas e de governança sejam publicadas e atualizadas periodicamente, podendo ser reconhecidas e divulgadas pela autoridade nacional. Publicação e atualização com data são, portanto, parte da própria exigência.
Exemplo: duas empresas do mesmo setor sofrem incidente semelhante. A primeira apresenta inventário, política de acesso, registros de treinamento e plano testado; a segunda apresenta uma política de privacidade genérica publicada há três anos. O fato é parecido, o desfecho administrativo não costuma ser.
O que faz o programa morrer
Três causas se repetem. A primeira é o programa sem dono: sem responsável com tempo e mandato, ele vira projeto de consultoria arquivado. A segunda é a desconexão com o negócio — política que impede o time comercial de trabalhar é contornada, não cumprida. A terceira é a ausência de ciclo: sem revisão periódica agendada, o inventário desatualiza em meses.
Há também o excesso: controles desproporcionais ao risco consomem energia e geram descrédito interno.
Desenhar esse programa com proporção, integrando exigência legal e realidade operacional, e produzindo a evidência que sustenta a demonstração de conformidade, é trabalho jurídico contínuo, conduzido de forma remota junto às áreas envolvidas.
Perguntas frequentes
Programa de governança dispensa a empresa de sanção em caso de incidente?
Não dispensa, mas pesa. A aplicação das sanções é gradativa e considera as peculiaridades do caso, e a demonstração de política, controles e resposta estruturada influencia esse juízo.
Operador também precisa de programa de governança?
O art. 50 menciona controladores e operadores na formulação de regras de boas práticas e governança. O conteúdo mínimo do programa é descrito para o controlador, mas o operador precisa de estrutura compatível com o que executa.
Proveniência
Conteúdo informativo; não substitui a análise individual de um advogado sobre o seu caso.
Conteúdos relacionados
Links internos
Conteúdo informativo. Não substitui a análise individual de um advogado ou da Defensoria Pública sobre o seu caso.