Entre a prática e os diplomas
Já agora, no momento em que a Lei Geral de Proteção de Dados Pessoais — LGPD (Lei n. 13.709/18) deixou de ser novidade e quase todo o universo corporativo (ao menos) ouviu falar da lei, é ainda comum encontrar certos equívocos entre as definições estabelecidas pela norma e outros processos comuns ao ambiente tecnológico.
Uma confusão corriqueira, por exemplo, é qualificar como sensíveis dados de CPF e relacionados a informações bancárias. O engano neste caso se dá porque, acostumados com as definições da norma ISO/IEC 27000 — Sistema de Gestão de Segurança da Informação (bem de outras que fazem parte da mesma família, como ISO 27001 e ISO 27002) os profissionais equiparam a forma de tratamento desta norma técnica com a LGPD.
Contudo, há um outro equívoco, que não reside especificamente em uma norma ou conjunto delas, mas na falta de informação e certo desespero que a novidade da proteção de dados (enquanto lei) trouxe ao mercado. Falo da “febre” das certificações, sendo igualmente muito corriqueiro sermos abordados por pessoas temerosas sobre “qual certificação” deve tirar.
A LGPD, assim como ocorreu no GDPR, não traz qualquer obrigação sobre a necessidade de se estabelecerem certificações para profissionais ou empresas que atuem com a proteção de dados pessoais. nem o poderia, pois mesmo se ponderarmos o que acontece com as normas ISO, os processos de auditoria e a consequente certificação não garantem a conformidade, mas sim forçam a adoção de um modelo de cultura sobre o tema, algo esperado também para a proteção de dados pessoais.
Do texto do artigo 50 da LGPD há amparo à possibilidade de que controladores e operadores, no âmbito de suas competências, de forma individual ou por meio de associações, possam formular regras de boas práticas e de governança que estabeleçam condições de organização, regime de funcionamento, procedimentos, entre outras ações que incluem normas de segurança, relacionados ao tratamento de dados pessoais.
Perceba que o diferencial é que todo o escopo delineado pelo referido artigo está embasado na adoção de ações que configurem “regras de boas práticas e governança” quanto a proteção de dados pessoais, não estando prejudicada em razão da ausência, ao menos por enquanto, de regulamentação pela ANPD. Assim, mesmo que não existam ainda regras para este fim, todo e qualquer ato realizado com tais intenções pode ser significativamente positivo no momento de analisar a maturidade das empresas e mesmo de profissionais.
Nesse contexto, o ideal é que neste momento as inúmeras trilhas de certificação para DPO, teste de conformidade, entre outros, sejam compreendidos como ações de aprendizado, denotando mais uma prática válida de gestão, que culminará no estabelecimento de uma cultura mais efetiva para o tema da proteção de dados pessoais.
Nossa indicação é de que busquem conhecimento, mas não esperem que uma ou mais certificações resolvam o status de conformidade para profissionais e empresas. Para estas, a atenção na adoção de medidas, o apoio de profissionais de tecnologia, processos e jurídico, e a adoção de um plano de continuidade, são bem mais importantes; para aqueles, a prática e o estudo contínuo trarão especialidade.
Sem empenho, não restarão milagres.
Para mais informações sobre este e outros assuntos, a equipe do Assis e Mendes Advogados segue – em home office – à disposição para esclarecimentos.
Genival Souza Filho
LGPD2021@assisemendes.com.br