Desde sua implementação em 2020, a Lei Geral de Proteção de Dados (LGPD) impôs uma série de obrigações e responsabilidades tanto para empresas quanto para órgãos públicos. Não apenas essas entidades devem estar em conformidade com a lei, mas também os terceiros que tratam dados em seu nome. A gestão eficaz desses parceiros terceirizados é, portanto, essencial para garantir a conformidade com a LGPD e minimizar riscos associados ao tratamento de dados pessoais.
Caminho para a Conformidade
Para garantir a conformidade com a LGPD, é indispensável que todos os terceiros envolvidos no tratamento de dados estejam plenamente alinhados com os requisitos legais. Isso começa com uma seleção rigorosa e criteriosa desses parceiros, baseada em sua capacidade de cumprir as exigências da LGPD. O processo de contratação deve ser robusto, assegurando que qualquer terceiro comprometido com o tratamento de dados pessoais adote os mais elevados padrões de segurança e conformidade.
Segurança da Informação e Políticas de Privacidade
Um passo crucial na gestão de terceiros é a verificação das práticas de segurança da informação. Políticas de segurança bem definidas, que incluam controle de acesso, criptografia, gestão de vulnerabilidades e resposta a incidentes, são fundamentais. A obtenção de certificações reconhecidas, como a ISO/IEC 27001, pode ser um indicador da maturidade das práticas de segurança adotadas pelo terceiro. Além disso, o histórico de incidentes de segurança deve ser analisado para avaliar a eficácia das medidas corretivas aplicadas.
As políticas de privacidade dos terceiros também devem ser claras e transparentes, além de estarem em total conformidade com a LGPD. É necessário verificar como esses parceiros coletam, utilizam e gerenciam os dados, bem como os mecanismos de obtenção e gestão de consentimento dos titulares, sempre em conformidade com as disposições da LGPD. O compartilhamento de dados e a transferência internacional de informações também devem ser rigorosamente avaliados.
Contratos e Cláusulas Específicas
Os contratos firmados com terceiros desempenham um papel crítico na formalização das obrigações de proteção de dados. Esses documentos devem conter cláusulas específicas que assegurem a conformidade com a LGPD e protejam os dados pessoais envolvidos. Cláusulas de confidencialidade precisam ser detalhadas, definindo claramente o escopo e as obrigações do terceiro. Além disso, devem incluir requisitos de segurança, como criptografia e autenticação multifator.
Também é fundamental que os contratos estabeleçam procedimentos claros para a notificação de incidentes de segurança, incluindo prazos para notificação e informações que devem ser reportadas. A realização de Avaliações de Impacto sobre a Proteção de Dados (DPIAs) por parte dos terceiros deve ser uma exigência contratual quando necessário, para identificar e mitigar riscos associados ao tratamento de dados.
Revisões regulares de contratos e SLAs são necessárias para manter a conformidade contínua, incorporando mudanças legislativas e feedback de auditorias e avaliações de risco.
A Importância das Auditorias
Auditorias periódicas são essenciais para verificar a adequação contínua dos terceiros. Essas auditorias devem incluir a revisão das políticas de segurança, testes de vulnerabilidade e análise de incidentes, assegurando uma abordagem proativa na gestão de riscos.
Consultoria Especializada
Dada a complexidade da gestão de terceiros e a importância de garantir a conformidade com a LGPD, a contratação de consultores especializados pode ser uma estratégia eficaz. Esses profissionais possuem o conhecimento técnico e jurídico necessário para realizar avaliações criteriosas, elaborar contratos detalhados e garantir que as práticas de segurança estejam em vigor, protegendo os direitos dos titulares de dados e mitigando riscos.
Conformidade em Órgãos Públicos
Assim como as empresas privadas, os órgãos públicos também precisam assegurar a conformidade com a LGPD na gestão de terceiros. A inclusão de requisitos de conformidade com a LGPD em editais de licitação é crucial, especialmente para fornecedores que tratam dados sensíveis, como na área de educação e saúde.
Além disso, processos de auditoria e verificação contínua devem ser implementados para garantir que os padrões de proteção de dados sejam mantidos, protegendo assim a privacidade dos cidadãos e evitando sanções pelo descumprimento da LGPD.
A gestão eficaz de terceiros é um componente vital para a conformidade com a LGPD. Desde a avaliação rigorosa na seleção de parceiros até a elaboração de contratos detalhados e a realização de auditorias periódicas, cada etapa é fundamental. A contratação de consultores especializados pode ser determinante na proteção dos dados pessoais e na garantia da conformidade legal.
