LGPD: um balanço honesto de maturidade

A primeira onda de adequação à Lei Geral de Proteção de Dados, entre 2020 e 2022, produziu em praticamente todas as organizações de médio e grande porte um conjunto padrão de artefatos documentais: política de privacidade publicada no sítio eletrônico, aviso de cookies, registro de operações de tratamento e nomeação formal de encarregado de proteção de dados. Esses documentos são necessários e exigidos pela lei, mas não protegem, por si só, um único dado pessoal — são a superfície visível de um sistema de governança que, em muitas organizações, ainda não existe em profundidade.

A pergunta relevante de maturidade não é se a organização possui política de privacidade — quase todas possuem — mas se ela sabe, com precisão operacional e em tempo real, onde estão os dados pessoais que trata, por qual base legal, quem tem acesso a eles, por quanto tempo são retidos e o que aconteceria concretamente em caso de incidente de segurança identificado às três da manhã de um domingo. A distância entre a resposta formal e a resposta operacional a essas perguntas é o melhor indicador de maturidade real de um programa de privacidade.

A Autoridade Nacional de Proteção de Dados, em seus processos de fiscalização e nas orientações técnicas já publicadas, tem progressivamente sinalizado que a existência de documentação formal, sem evidência de implementação prática e de rotina de manutenção, não afasta a responsabilização em caso de incidente — pelo contrário, pode evidenciar o que a lei trata como negligência na adoção de medidas de segurança adequadas ao risco.

O primeiro gargalo recorrente identificado em avaliações de maturidade é o inventário de dados pessoais desatualizado. Mapeamentos realizados em 2021 ou 2022, no auge da corrida por adequação, frequentemente não acompanharam a implantação de novos sistemas, a contratação de novos fornecedores de tecnologia, a criação de novos produtos digitais e as integrações via interface de programação de aplicações que se tornaram rotina na operação de qualquer empresa de médio porte. O inventário de dados não é um projeto com data de conclusão — é um processo contínuo que precisa de rotina formal de atualização, tipicamente vinculada ao processo de aprovação de novos sistemas e fornecedores.

Organizações mais maduras integraram o inventário de dados pessoais ao processo de governança de tecnologia da informação, de modo que nenhum novo sistema entra em produção sem que a área de privacidade avalie previamente quais dados pessoais serão tratados, sob qual base legal e com qual medida de segurança associada. Essa integração, conhecida internacionalmente como privacidade desde a concepção, ainda é exceção e não regra na maioria das organizações brasileiras, que continuam tratando a avaliação de privacidade como etapa posterior à implantação do sistema, quando as opções de correção já são mais custosas e limitadas.

A ausência de inventário atualizado tem consequência direta sobre a capacidade de resposta a requisições de titulares de dados e a incidentes de segurança. Sem saber onde um determinado dado pessoal está armazenado e replicado, a organização não consegue atender, dentro do prazo legal, a uma solicitação de exclusão ou de portabilidade, nem consegue delimitar com precisão o escopo de um incidente para fins de notificação à Autoridade Nacional de Proteção de Dados e aos titulares afetados.

O segundo gargalo estrutural é a fragilidade da gestão de terceiros no tratamento de dados pessoais. A maior parte dos incidentes de segurança relevantes reportados publicamente no Brasil e internacionalmente tem origem, direta ou indireta, na cadeia de fornecedores e prestadores de serviço com acesso a dados pessoais da organização contratante. A prática comum de incluir cláusula contratual padrão de proteção de dados, sem due diligence prévia da maturidade de segurança do fornecedor e sem mecanismo de auditoria periódica, transfere responsabilidade contratual, mas não transfere risco operacional — em caso de incidente, a organização contratante permanece corresponsável perante titulares e perante a Autoridade Nacional de Proteção de Dados.

A avaliação de fornecedores críticos de tratamento de dados deveria seguir metodologia equivalente à aplicada a fornecedores de risco financeiro relevante: questionário de avaliação de maturidade de segurança da informação, evidência de certificação ou de controles equivalentes, cláusula contratual específica de notificação de incidente em prazo compatível com as obrigações legais do contratante, e direito de auditoria periódica exercido de fato e não apenas previsto contratualmente. Organizações que terceirizam funções críticas de processamento de dados — folha de pagamento, atendimento ao cliente, marketing digital — sem esse nível de diligência acumulam passivo silencioso que se manifesta, tipicamente, no pior momento possível.

A qualificação de operadores no sentido técnico da lei — aqueles que tratam dados pessoais em nome do controlador, seguindo suas instruções — exige ainda instrumento contratual específico que delimite com precisão o escopo do tratamento autorizado, vedando expressamente qualquer uso secundário dos dados pelo operador fora das instruções recebidas, cláusula frequentemente ausente ou genérica demais nos contratos de prestação de serviço firmados antes da vigência plena da lei.

O terceiro gargalo recorrente é o atendimento improvisado às requisições de titulares de dados pessoais — direito de acesso, de correção, de exclusão, de portabilidade e de informação sobre compartilhamento com terceiros. Os prazos legais para resposta a essas requisições exigem processo definido, com fluxo de trabalho documentado, responsáveis nomeados em cada área que detém dados pessoais e sistema de acompanhamento de prazos, e não o esforço heroico e não escalável de uma única pessoa da área jurídica ou de privacidade que centraliza manualmente todas as solicitações recebidas.

A maturidade nesse aspecto se manifesta na existência de um canal único e claramente divulgado para exercício de direitos de titulares, com formulário estruturado que já captura as informações mínimas necessárias para autenticação da identidade do solicitante e triagem inicial do pedido, integrado a um sistema de gestão de casos que permite monitorar o cumprimento dos prazos legais e produzir relatório periódico de desempenho para a alta administração e para o encarregado de proteção de dados.

Organizações que ainda tratam cada requisição de titular como evento excepcional, resolvido caso a caso sem processo padronizado, tendem a apresentar taxa de descumprimento de prazo crescente à medida que o volume de solicitações aumenta — tendência natural em um ambiente de crescente conscientização de titulares sobre seus direitos, estimulada inclusive por decisões e orientações da própria Autoridade Nacional de Proteção de Dados.

A maturidade real de um programa de proteção de dados se mede por teste, não por documentação. Uma simulação de incidente de segurança, conduzida de forma realista e sem aviso prévio amplo, revela em poucos dias aspectos que uma auditoria documental de política e procedimento não revelaria em meses: se a equipe de tecnologia sabe a quem reportar, se o prazo interno de escalonamento é compatível com o prazo legal de comunicação à autoridade, se existe modelo de comunicação já preparado para titulares afetados, e se a alta administração está de fato preparada para tomar decisões sob pressão de tempo e incerteza informacional.

Da mesma forma, um exercício estruturado de resposta a uma requisição complexa de titular — por exemplo, uma solicitação de exclusão de dados que envolva múltiplos sistemas legados e backups históricos — expõe rapidamente as limitações técnicas reais da infraestrutura de dados da organização, limitações que frequentemente não são conhecidas nem pela própria área de tecnologia até que o teste as force à superfície.

A revisão independente periódica do inventário de dados, conduzida por auditoria interna ou por terceiro especializado, complementa esse conjunto de verificações práticas, contrastando o que está documentado com o que efetivamente existe nos sistemas de produção da organização — exercício que rotineiramente identifica bases de dados esquecidas, planilhas paralelas com dados pessoais fora de qualquer controle formal e integrações não documentadas entre sistemas.

A Autoridade Nacional de Proteção de Dados, desde a estruturação de sua capacidade fiscalizatória, tem construído progressivamente um corpo de decisões e orientações técnicas que funciona como precedente interpretativo para o mercado, ainda que o Brasil não opere sob lógica de precedente vinculante no sentido do common law. As sanções já aplicadas e os termos de ajustamento de conduta celebrados sinalizam critérios de avaliação de gravidade que consideram, de forma recorrente, a existência ou ausência de medidas técnicas e organizacionais proporcionais ao volume e à sensibilidade dos dados tratados, e não apenas a ocorrência do incidente em si.

Esse padrão de atuação regulatória aproxima gradualmente o Brasil da experiência europeia sob o Regulamento Geral de Proteção de Dados, em que a proporcionalidade da sanção considera explicitamente o grau de cooperação da organização com a autoridade, a existência de programa de conformidade preexistente e as medidas de mitigação adotadas após o incidente — o que reforça o valor prático, e não apenas ético, de um programa de proteção de dados genuinamente implementado.

A comparação internacional também evidencia que jurisdições com maior tempo de maturidade regulatória, como a União Europeia, avançaram para exigências mais específicas de avaliação de impacto à proteção de dados para tratamentos de alto risco e para certificações setoriais de conformidade, movimento que a regulamentação brasileira tende a seguir à medida que a Autoridade Nacional de Proteção de Dados consolida sua estrutura técnica e amplia sua capacidade de fiscalização proativa, hoje ainda limitada pelo tamanho de seu quadro técnico em relação ao volume de organizações sujeitas à lei.

O horizonte mais provável para os próximos ciclos regulatórios é a intensificação da fiscalização proativa por parte da Autoridade Nacional de Proteção de Dados, à medida que sua estrutura técnica se consolida, e a ampliação da exigência de evidência de implementação efetiva, e não apenas de documentação formal, em processos de fiscalização e em due diligence de fusões e aquisições, em que a maturidade de proteção de dados já figura como item relevante de avaliação de risco pelo comprador.

Organizações que tratam a proteção de dados como componente estrutural de sua relação de confiança com clientes, colaboradores e parceiros de negócio — e não como exigência regulatória a ser cumprida com o menor investimento possível — tendem a apresentar maior resiliência em caso de incidente, menor exposição a sanção administrativa e maior credibilidade em processos de due diligence, características que se tornam progressivamente mais relevantes à medida que dados pessoais se consolidam como ativo estratégico e como fonte de risco material para qualquer organização baseada em relacionamento digital com seus públicos de interesse.