Muitas empresas iniciam sua jornada de adequação à LGPD pela produção de documentos.
Essa abordagem é compreensível.
Os documentos são visíveis, tangíveis e normalmente representam uma das primeiras entregas de qualquer projeto relacionado à proteção de dados pessoais.
O problema surge quando a organização passa a acreditar que a existência desses documentos, por si só, demonstra conformidade.
Na prática, essa é uma das percepções mais equivocadas sobre a LGPD.
No artigo anterior, mostramos que a governança em privacidade depende de processos, responsabilidades, acompanhamento contínuo e participação da liderança. Os documentos fazem parte dessa estrutura, mas não substituem os elementos que sustentam a conformidade no dia a dia.
A questão é simples:
Se uma política afirma que determinado controle existe, a empresa consegue demonstrar que ele realmente funciona?
Documentos isolados não demonstram conformidade à LGPD
Muitas organizações acreditam que a documentação produzida durante a adequação é suficiente para demonstrar conformidade.
Na prática, políticas, contratos e termos representam apenas uma parte da estrutura necessária para sustentar a governança em privacidade.
O problema não está na documentação.
O problema surge quando a organização passa a acreditar que esses documentos, por si só, são suficientes para demonstrar conformidade à LGPD.
É justamente nesse momento que começa a surgir uma diferença entre aquilo que está formalizado e aquilo que realmente acontece na operação.
Quando a documentação deixa de refletir a realidade
Esse cenário é mais comum do que parece.
A empresa contrata uma consultoria e recebe um conjunto de documentos relacionados à adequação à LGPD, incluindo:
Meses depois, porém, a operação muda:
Os documentos continuam existindo.
O problema é que eles já não representam integralmente a realidade operacional da organização.
Quanto maior essa distância entre documentação e operação, maior tende a ser a dificuldade para demonstrar conformidade à LGPD.
O que normalmente não aparece nos documentos
Quando uma empresa acredita que a conformidade está resolvida porque possui políticas, contratos e termos atualizados, alguns elementos fundamentais costumam ficar em segundo plano.
Entre os mais comuns estão:
Esses elementos raramente aparecem de forma visível para clientes, parceiros ou titulares de dados.
Ainda assim, são eles que sustentam a capacidade da organização de demonstrar conformidade na prática.
É justamente por isso que documentos isolados não demonstram conformidade à LGPD.
O desafio é que a existência desses elementos precisa ser demonstrada. E é justamente nesse ponto que entram as evidências.
O desafio das evidências
Um dos conceitos mais importantes da governança em privacidade é a capacidade de produzir evidências.
Quando uma organização afirma que possui determinado controle, ela precisa conseguir demonstrar:
Sem evidências, a conformidade passa a depender exclusivamente de declarações.
E declarações isoladas possuem valor limitado.
É justamente por isso que registros, rastreabilidade e governança aparecem com frequência quando o tema é conformidade demonstrável.
Muitas empresas possuem documentação adequada, mas enfrentam dificuldades para organizar evidências, registros e informações relacionadas às operações de tratamento.
O 🔴 FRAMEWORK LGPD auxilia na organização dessas informações, permitindo maior controle, rastreabilidade e padronização da gestão da conformidade.
O que existe por trás de uma política de privacidade
Uma política de privacidade pode informar que a empresa protege os dados pessoais.
Mas essa proteção depende de diversos elementos que normalmente não aparecem no documento.
Por exemplo:
A política comunica.
A operação executa.
Sem operação estruturada, a política se torna apenas uma declaração.
O mesmo acontece com contratos e termos
Muitas organizações acreditam que a assinatura de contratos ou termos resolve questões relacionadas à LGPD.
Na prática, esses instrumentos são importantes.
Mas eles não eliminam a necessidade de gestão.
Um contrato pode prever obrigações.
A governança é que permite verificar se essas obrigações estão sendo cumpridas.
Um termo pode registrar determinada manifestação do titular.
Mas a organização ainda precisa controlar o ciclo de vida das informações relacionadas àquele tratamento.
A conformidade não nasce da assinatura.
Ela depende da gestão contínua daquilo que foi formalizado.
Sinais de que a empresa depende excessivamente de documentos
Alguns comportamentos costumam indicar essa situação:
Quando esses sinais aparecem, normalmente existe uma diferença relevante entre a documentação e a realidade da organização.
A construção da conformidade exige mais do que documentos.
Exige entendimento dos processos, acompanhamento contínuo e desenvolvimento de governança compatível com a realidade da empresa.
Participe dos encontros e conteúdos do Centro Avançado em LGPD e acompanhe discussões práticas sobre proteção de dados e conformidade organizacional.
Conformidade é resultado de uma estrutura e não apenas de documentação
Documentos continuam sendo importantes.
Eles são parte da conformidade.
Mas não representam a conformidade inteira.
Empresas que conseguem demonstrar adequação normalmente possuem algo em comum:
Os documentos ajudam a formalizar essa estrutura.
Mas não conseguem substituí-la.
É justamente por isso que organizações com documentação semelhante podem apresentar níveis completamente diferentes de maturidade em privacidade.
Mesmo empresas que possuem documentos atualizados e governança estruturada ainda dependem de pessoas para coordenar processos, acompanhar controles e conectar as diferentes áreas envolvidas no tratamento de dados pessoais.
No próximo artigo, veremos o papel do encarregado pelo tratamento de dados pessoais e por que sua atuação se tornou um dos elementos mais importantes para a construção da conformidade demonstrável.