Por Giovana Poleza e Beatriz Kohlenberger

A cultura do Compliance tem ganhado cada vez mais importância nas organizações. Nos últimos anos tem se desenvolvido uma tendência de iniciativas que visam tratar a necessidade das empresas e organizações em implantar uma gestão de compliance, para adequação principalmente da LGPD (Lei Geral de Proteção de Dados).

O termo “compliance” significa estar em conformidade com as leis, padrões éticos e regulamentos externos e internos que precisam combater, prevenir e reduzir riscos regulatórios, por meio de programas e políticas que regularizam processos.

Ao minimizar riscos e guiar o comportamento de empresas diante do mercado em que atuam, cria-se um sistema complexo de políticas e procedimentos de controle que asseguram com eficácia um estado de conformidade determinado.

Foi através da GDPR (General Data Protection Regulation da União Europeia), marco paradigmático para a gestão de dados, que se criou a base da LGPD (Lei Geral de Proteção de Dados) no contexto nacional. As duas legislações possuem pontos fundamentais que podem ser usados de forma complementar, visando a implementação de práticas de Compliance que estejam harmonizadas em um sistema abrangente.

Ambas as normativas tratam de diferentes tipos de data assessments (avaliação de dados). São as principais:

1. Risk Assesment (Análise de riscos) – elemento fundamental para o desenvolvimento do sistema de gestão de compliance. Através de metodologias com determinadas etapas: 1. Conhecer a empresa. 2. Conhecer seu ambiente legal e suas obrigações de compliance. 3. Realizar entrevistas e análise de documentos. 4. Fazer testes e checagem dos dados levantados. 5. Identificar riscos e fatores de riscos. 6. Realizar avaliação de probabilidade. 7. Desenvolver matriz de riscos. 8. Realizar monitoramento.
2. Data Mapping: inventário e registro de dados – mapa de dados que identifica os dados que transpassam por vários sistemas, organiza os dados de forma que sejam identificados e categorizados.
3. Privacy Impact Assesment (PIA) – análise de riscos de privacidade e proteção de dados associado ao processamento dessas informações, onde reconhece ou prove medidas mitigatórias necessárias.
4. Data Protection Impact Assesment (DPIA) – um processo designado para identificar os riscos ao máximo e mais rápido possível durante o processamento de dados. Etapas: descrição do escopo, avaliação da necessidade e proporcionalidade, medidas existentes, avaliação e riscos, medidas mitigatórias, documentação, monitoramento e revisão.

Todos esses elementos formam um sistema de informações suficiente e eficaz, para que seja possível um projeto de implementação de Compliance de Dados.

Uma vez implementado o Compliance de Dados, é necessário abordar as boas práticas na governança, que busca incentivar os agentes a efetivamente adotar boas medidas no tratamento dos dados pessoais, estendendo-se a relevância destes mecanismos, inclusive, ao âmbito público.  

Os princípios essenciais das boas práticas e governança segundo a LGPD são:

1. Accountability principle: inaugurado em 1980, sob a dicção da GDPR (lei europeia para proteção de dados), segundo o qual os operadores e controladores devem adotar mecanismos que concretizem a accountability, como a redação de códigos de conduta e adequação de práticas segundo guias e normativas internacionais.
2. Privacy by design: implica na adequação de sistemas, processos e procedimentos internos, a fim da redução dos riscos pontuados e implementação de medidas para tanto.

Ou seja, identificados os riscos referentes a cada categoria de dados tratados, passa-se a implementar os procedimentos de adequação. Isso significa promover a adequação de sistemas, processos e procedimentos internos, a fim da redução dos riscos pontuados e implementação de medidas para tanto.

Diante disso, observa-se a necessidade de compromisso da alta direção da empresa na implementação do programa de compliance, administrando e dando especial atenção às suas medidas, favorecendo a criação de uma cultura na empresa que vá de encontro com as políticas de proteção de dados.

Por fim, tendo sido mapeados os fluxos de tratamento de dados e adotadas as medidas de adequação, com a redação dos documentos regulatórios internos, é necessária a transmissão destas políticas e termos ao corpo interno da empresa, através de treinamentos.

Ainda, destaca-se a necessidade de constante revisão dos programas e medidas, através de um automonitoramento e implementação contínua.

É em vista do crescimento das atividades econômicas e sua fluidez que se busca, cada vez mais, incentivar o compliance entre as corporações, a fim da instauração de medidas que busquem a garantia do cumprimento dos termos dispostos na legislação dentro do âmbito privado.

Estes são os pilares basilares às boas práticas e governança, que visam incentivar o compliance entre as corporações, para garantir o efetivo cumprimento dos termos dispostos na legislação.