Mídia & Notícias

Será que, de fato, essas tecnologias automatizadas através de softwares são realmente eficazes para adequação à LGPD?

Considerando que aspectos relacionados à privacidade são necessários ao surgimento de leis e regulamentações, empresas estão buscando se adequar às exigências, visando proteger dados pessoais de terceiros contra perda de confidencialidade, integridade e disponibilidade.
 
O objetivo destas empresas começa com a necessidade de identificação de GAPs, ou seja, a constatação de deficiências em controles em segurança da informação, que podem propiciar a ocorrência de incidentes significativos que podem levar à prejuízos que vão muito além do potencial aplicação de multas e sansões.
 
Tudo se inicia pela necessidade em se identificar os ativos de informação, que consistem em realização de levantamento dos dados de titulares nos mais diversos ambientes e mídias.
 
A busca por ferramentas como Data Discovery e Data Mapping, nesses tempos de adequação à Lei Geral de Proteção de Dados (LGPD), têm crescido vertiginosamente, porém, será que, de fato, essa tecnologia automatizada através de Software é realmente eficaz?
 
Ao levarmos em consideração que o termo “Dado Pessoal” (todo aquele que identifica alguém ou o torna identificável) agora se torna legalmente previsto na LGPD, vê-se que há dois diferentes contextos.
 
No primeiro, o Dado torna a pessoa diretamente identificável, no sentido de que a informação é clara quanto a informação, por exemplo, nome, RG, CPF, ou outros dados que “identificam a pessoa” de modo inequívoco. No segundo, seria o cruzamento de dados que “tornaria a pessoa identificável”. Dados estes que, isoladamente, não se podem considerar pessoais, pois não se referem de maneira direta à pessoa.
 
Observando tais ferramentas, é perceptível que se utilizam de busca de dados indexados aos indivíduos, o que não tornaria a pesquisa viável, pois até a pouco não havia a LGPD regulando a captação dessas informações. A única maneira seria se utilizando de padrões, como o RG e CPF, por exemplo. A busca pelos dados se limitariam apenas ao primeiro contexto acima citado, através de informações diretamente identificadoras. Não há esta possibilidade quando se há diversas variáveis de dados que “tornam a pessoa identificável”, dados indiretos.
 
Devemos ainda considerar que o enfoque principal das ferramentas como Data Discovery e Data Mapping, visam principalmente a realização de mapeamento sobre banco e bases de dados. Neste contexto devemos ainda ampliar esta análise em outros ambientes que possam vir a manter dados como sistemas de arquivos, conteúdos mantidos em sistemas de correio eletrônico que nem sempre são abrangidos por estas soluções.
 
No segundo contexto acima referido seria necessário o fator humano.
 
Uma ferramenta como esta não teria capacidade de fazer tal pesquisa, senão através de um ambiente de inteligência artificial extremamente desenvolvido capaz de cruzar cenários distintos para então perceber se a pessoa seria “identificável”. Esta tecnologia ainda não existe. Sem informações que indexem o dado à pessoa, não é possível se fazer a identificação, como propõem esses softwares e exige a LGPD.
 
Devemos ainda considerar que uma série de ativos de informação são mantidos em mídias removíveis, sejam estes meios magnéticos, óticos ou mesmo em papel.
 
Dado que a abrangência quanto à realização de inventário destes ativos estão muito além à capacidade principal das ferramentas como Data Discovery e Data Mapping, pode-se constatar que estas atendem às necessidades das empresas até a um certo limite, sendo que além deste ponto, ações específicas devem ser determinadas, visando o devido mapeamento adequado destas informações. Atenção especial devem ser dados aos dados mantidos em áreas como Recursos Humanos, onde o uso de papel ainda é bem vasto.
 
Entende-se ainda que dentro dos próprios meios informáticos, há o que se comentar sobre o uso de dispositivos pessoais ao potencial armazenamento de dados pessoais corporativos, principalmente quando estes fazem uso de aplicativos ou programas de computador que podem vir a digitalizar documentos ou até mesmo transferi-los através de sistemas não homologados pela empresa, dentre estes, pode-se mencionar as soluções de armazenamento em nuvem (como Dropbox), àqueles destinados à transferência de arquivos em ambiente em nuvem como o WeTransfer, assim como a preocupação quanto ao uso massivo de comunicadores instantâneos como o WhatsApp.
 
É razoável, porém, que estas ferramentas de Data Discovery e Data Mapping têm uma certa valia, pois, mesmo que minimamente, elas podem ajudar na identificação destes dados, diminuindo parte do trabalho. Entretanto, no tocante a qualidade da informação, ela sempre será uma ferramenta auxiliar para as entrevistas e questionários, a fim de apurar e organizar os Bancos de Dados.
 
Desta forma, entendemos que, a depender do tamanho e dos componentes da empresa, o melhor mapeamento de dados é feito por meio de entrevistas e questionários específicos, conduzidos por um advogado especialista que compreende todas as possibilidades de identificação de uma pessoa, o que uma ferramenta como estas citadas seria incapaz de fazer.
 
E ter a certeza que estas soluções podem ainda exigir esforços extras em termos de mapeamento de dados de titulares, recomenda-se que o executivo de uma empresa esteja atento à estas preocupações e considerações quanto à identificação de ativos.

Publicação no LinkedIn: https://bit.ly/2nTMTGD