Uma pessoa agenda uma consulta na rede de Saúde. Atualiza o cadastro do filho na Educação. Possui um imóvel registrado, abre um protocolo digital e solicita algum serviço pela internet.
Em cada uma dessas situações, informações são coletadas, consultadas, armazenadas ou compartilhadas.
Nome e CPF representam apenas uma pequena parte desse universo.
Endereço, telefone, documentos, dados financeiros, registros funcionais, informações de saúde, biometria, históricos de atendimento e dados de crianças e adolescentes também circulam pela administração.
Por isso, a LGPD precisa ser observada considerando a cidade inteira.
A primeira pergunta é bastante objetiva: a administração sabe quais dados possui, por onde eles passam, quem consegue acessá-los e por qual motivo estão sendo utilizados?
A LGPD já está dentro da rotina dos serviços públicos
A Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018, também se aplica ao Poder Público.
A legislação determina que o tratamento realizado pela administração atenda à finalidade pública e à execução das competências ou atribuições legais do serviço público.
Princípios como finalidade, necessidade, transparência, segurança, prevenção e responsabilização também orientam a utilização dessas informações.
Isso aparece diariamente em serviços muito diferentes.
Na Saúde, há prontuários, exames, prescrições e históricos de atendimento.
A Educação possui matrículas, registros escolares e informações de alunos e responsáveis.
No RH estão documentos funcionais, dados bancários, afastamentos e registros relacionados aos servidores.
Assistência Social, Tributos, Ouvidoria, protocolos, compras, contratos e canais digitais ampliam ainda mais esse fluxo.
Quanto mais serviços passam para meios eletrônicos, maior é a quantidade de informações tratadas.
Um dado pode nascer em uma área e percorrer várias outras
Imagine uma informação coletada em um formulário.
Ela entra em um sistema, é consultada por servidores, pode participar de uma integração e, em determinados processos, segue para outro órgão ou prestador de serviço.
Também podem existir versões em documentos físicos, arquivos locais e planilhas.
Olhar apenas para o sistema principal deixa parte desse percurso de fora.
O que a cidade precisa conseguir identificar?
Algumas perguntas ajudam a visualizar o fluxo:
- qual informação está sendo coletada;
- quem é a pessoa relacionada ao registro;
- por que aquele dado é necessário;
- onde ele fica armazenado;
- quais perfis possuem acesso;
- se existe compartilhamento;
- por quanto tempo o registro precisa permanecer;
- como acontece o descarte quando sua manutenção deixa de ser necessária.
Esse levantamento permite encontrar pontos de atenção que normalmente não aparecem quando cada área observa apenas sua própria rotina.
Consentimento não resolve todos os tratamentos da administração
Um erro comum em projetos de adequação é relacionar LGPD diretamente ao consentimento.
A lei prevê diferentes hipóteses legais para o tratamento de informações pessoais.
No Poder Público, diversas atividades decorrem de obrigação legal, execução de políticas públicas ou outros fundamentos previstos na legislação.
Portanto, acrescentar uma caixa de autorização em todos os formulários não resolve a questão.
A ANPD possui um guia específico sobre o tratamento de dados pelo Poder Público, abordando bases legais, princípios, compartilhamento e divulgação de informações pessoais.
Consultar o Guia Orientativo da ANPD sobre Tratamento de Dados Pessoais pelo Poder Público
A análise precisa responder a uma questão anterior:
qual fundamento permite utilizar esses dados para essa finalidade?
Alguns sinais mostram quando a organização ainda está fragmentada
Uma cidade pode ter iniciado sua adequação e, mesmo assim, encontrar dificuldades para manter o programa atualizado.
Isso costuma aparecer em situações simples.
Cada área mantém seu próprio levantamento
Existem planilhas e documentos, mas ninguém consegue visualizar o conjunto com facilidade.
Os registros representam processos antigos
O mapeamento foi realizado, porém novas ferramentas, integrações ou rotinas não foram incorporadas.
Sistemas entram em operação sem passar pela análise de privacidade
Quando a LGPD aparece somente depois da implantação, decisões relevantes já foram tomadas.
O cidadão não sabe onde procurar informações
Solicitações sobre dados pessoais chegam por diferentes canais e precisam ser redirecionadas internamente.
Falta histórico das ações realizadas
Treinamentos, diagnósticos, riscos encontrados e providências adotadas não ficam organizados em um mesmo ambiente.
Esses sinais mostram que a adequação precisa continuar depois da primeira etapa documental.
Toda nova tecnologia pode alterar o caminho das informações
Um formulário eletrônico cria outra entrada de dados.
Uma integração amplia a circulação.
Um aplicativo pode permitir acesso fora do ambiente interno.
Recursos de inteligência artificial podem começar a analisar registros antes utilizados apenas para consulta.
Por isso, a proteção de dados precisa acompanhar a evolução tecnológica da cidade.
A avaliação durante a definição do projeto permite identificar questões relacionadas a finalidade, necessidade, acesso e segurança antes que a nova rotina esteja consolidada.
A administração consegue enxergar sua governança de privacidade?
Conforme o programa cresce, acompanhar tudo somente por arquivos separados começa a ficar difícil.
Novos tratamentos precisam ser registrados.
Diagnósticos são atualizados.
Treinamentos acontecem.
Riscos são identificados.
Relatórios precisam acompanhar essas mudanças.
A tecnologia pode ajudar justamente nessa organização.
A solução de LGPD do Grupo Assessor reúne Painel da Privacidade, Mapeamento de Processos e Diagnósticos, relatórios como ROPA e RIPD, trilhas de treinamento, canal de denúncia e suporte especializado.
Conheça a solução de LGPD do Grupo Assessor
A proposta é oferecer uma visão centralizada, preservando as particularidades dos tratamentos realizados pelas diferentes áreas.
Sua cidade conseguiria demonstrar hoje como protege os dados pessoais?
Mais do que responder se existe um projeto de LGPD, vale verificar se a administração consegue apresentar evidências do trabalho realizado.
Os processos estão identificados?
Existe um encarregado formalmente indicado?
As áreas sabem quando precisam acioná-lo?
Os treinamentos são registrados?
Há histórico dos riscos encontrados?
Os documentos continuam atualizados?
A LGPD acompanha as transformações da própria cidade.
Sempre que um serviço muda, o uso das informações também pode mudar.
Quem acompanha esse trabalho dentro da administração?
Uma das figuras centrais dessa estrutura é o encarregado pelo tratamento de dados pessoais.
A função possui atribuições definidas pela LGPD e ganhou regulamentação específica da ANPD.
Só que indicar uma pessoa não significa que ela conseguirá acompanhar sozinha tudo o que acontece na cidade.
Leia: Encarregado de dados: qual é o papel dele na LGPD da cidade?
Fontes oficiais
Lei Geral de Proteção de Dados Pessoais, Lei nº 13.709/2018
Guia Orientativo da ANPD sobre Tratamento de Dados Pessoais pelo Poder Público
