Cadeias de negócio e a LGPD: vulnerabilidades dos prestadores de serviços e sua empresa
Por regular o tratamento de dados pessoais, muitas empresas se questionam sobre a efetiva necessidade de implementação da Lei Geral de Proteção de Dados ao seu negócio, quando suas atividades estão limitadas às relações conhecidas como B2B (business to business), quando não existe relação direta com o consumidor final.
Existe dificuldade de vislumbrar quais seriam os dados pessoais implicados, se as tratativas comerciais se dão entre empresas ou grupos econômicos.
Também se verifica que muitos empresários parecem considerar o risco de violação de dados, por atos de terceiros (invasão de sistemas) ou por falha humana interna, como hipótese distante e que não irá atingir o seu negócio. Quando indagados sobre os procedimentos de segurança da informação, afirmam que possuem ferramentas de proteção e consideram suficiente a sua implementação.
Nas empresas em que existe pequeno número de empregados, esse questionamento também se faz presente: será necessário buscar as adequações à Lei Geral de Proteção de Dados, quando minha empresa trata poucos dados pessoais?
A lei está em vigor desde agosto de 2020. Ainda existe um grande número de empresas que não buscaram a sua adequação e outras tantas que somente implementaram como estratégia a redação de políticas de privacidade em suas plataformas digitais ou termos firmados por seus profissionais, para documentar a sua estratégia de compliance e proteção de dados.
Embora sejam documentos que fazem parte do processo de implementação, eles se mostram insuficientes quando a empresa é confrontada diante da necessidade de prestar contas a algum titular ou parceiro comercial.
Hoje as cadeias de negócio estão cada vez mais complexas e interligadas: grupos econômicos possuem fluxo de informações, indústrias que mantêm várias atividades terceirizadas, sistemas de controle de processos, entre tantas outras faces do negócio obrigatoriamente compartilham informações e dados pessoais.
Nas entrevistas diagnósticas – em que são apuradas informações detalhadas sobre o trânsito de informações e acesso a sistemas –, fica cada vez mais evidente que a transformação digital foi sendo incorporada como uma urgência; no entanto, alguns rigores com a segurança da informação têm sido mantidos à margem e podem trazer surpresas desagradáveis às empresas.
Quando se faz referência à cadeia de negócios, há que se ter em mente uma série de atividades implicadas, tais como serviços terceirizados de limpeza, contabilidade, jurídico, planos de saúde, bancos, medicina e segurança do trabalho, auditorias, softwares e estrutura de hardware (relação que deve ser analisada em cada empresa).
Para avaliar se a sua empresa está com o processo de adequação bem-alinhado, cada gestor deve fazer os seguintes questionamentos:
- Quantas empresas integram a minha cadeia de negócio?
- Para cada uma das empresas que integram essa cadeia de negócio, todos os processos foram mapeados para que possam ser corrigidas eventuais inconformidades?
- Para cada um dos contratos existentes, foram analisados os aspectos operacionais de proteção de dados, para além da adequação jurídica?
- A empresa tem segurança que estão mapeados (e sabe) quem e para qual finalidade os dados dos seus profissionais são acessados?
- A empresa acessa dados pessoais de profissionais vinculados às terceirizadas que contrata?
Esses são alguns questionamentos importantes, na medida em que muitas empresas começam a perceber que a implementação já realizada foi apenas formal (só foram apresentados documentos genéricos, sem efetiva vinculação com o negócio), além de evidenciar uma série de riscos que são fruto da ausência efetiva de controle sobre o acesso de dados pessoais realizado pela própria empresa ou por terceiros contratados.
A Lei Geral de Proteção de Dados envolve ações necessárias, sendo que algumas são bastante simples e imediatas, enquanto outras envolvem a reflexão sobre medidas adicionais que precisam ser planejadas.
O questionamento que deve acompanhar os responsáveis por pensar o processo de proteção de dados é o seguinte: se houver o vazamento de dados decorrente de algum processo vinculado às minhas cadeias de negócio, eu tenho como afirmar (e comprovar) que essa vulnerabilidade não ocorreu a partir da minha organização?
Cláudia Bressler - Advogada
Integrante do Comitê Jurídico da ACI-NH/CB/EV/DI
Cláudia Bressler Advocacia
