Privacidade desde a concepção e por padrão

O que isso quer dizer na prática?

A LGPD exige que a proteção de dados não seja um "remendo" depois que um sistema ou processo já está pronto. Tem que nascer já blindado: desde o primeiro rascunho de um projeto, a privacidade deve ser considerada como parte essencial — igual a segurança de um carro, que não é colocada depois de pronto. E, por padrão, as configurações mais seguras devem vir ativadas automaticamente (ex.: não exibir dados de clientes para todos os funcionários sem necessidade).

Como atender (passo a passo)

1. Incluir privacidade no briefing inicial Antes de desenvolver qualquer coisa (um app, um formulário de RH, uma planilha de vendas), perguntar: "Quais dados pessoais vamos coletar? Por quê? Quem vai acessar? Como vamos proteger?". Anotar as respostas num documento simples (ex.: checklist ou campo obrigatório no template de projeto).
2. Limitar acesso e coleta ao mínimo necessário
   • Coletar só o essencial: Se o comercial precisa só de nome e e-mail do cliente para enviar uma proposta, não pedir RG ou endereço.
   • Bloquear por padrão: Sistemas novos devem vir com permissões restritas (ex.: só o RH vê dados de salário; o estagiário não acessa a base completa de clientes).
3. Testar riscos antes de lançar Fazer uma simulação de vazamento: "Se um funcionário errar e enviar essa planilha para fora, o que acontece?". Corrigir as falhas antes de colocar em produção. Usar ferramentas simples como revisão em dupla ou testes com dados fictícios.
4. Treinar quem vai usar Antes de liberar um novo sistema ou processo, explicar para a equipe:
   • Quais dados são sensíveis ali.
   • O que não podem fazer (ex.: baixar a lista de clientes no Excel e mandar por e-mail pessoal).
5. Documentar as decisões Guardar registros de por que cada medida foi tomada (ex.: "Escolhemos não armazenar CPF porque o processo de vendas não precisa desse dado").

O que auditor procura como evidência

• Checklists preenchidos nos projetos (ex.: template com perguntas sobre privacidade respondidas pela equipe).
• Prints ou logs mostrando configurações padrão seguras (ex.: sistema que esconde dados sensíveis automaticamente).
• Atas de reunião ou e-mails comprovando que a privacidade foi discutida antes do lançamento (mesmo que seja um recado no Teams: "Galera, lembrete: esse formulário só pede telefone se for realmente necessário").
• Registros de treinamento (ex.: lista de presença ou confirmação de leitura de um manual rápido).

Erros comuns

• Deixar para "arrumar depois": Achar que privacidade é "fase 2" do projeto. Auditores reprovam isso na hora.
• Copiar processos antigos: Reutilizar planilhas ou sistemas antigos sem revisar se eles coletam dados demais (ex.: formulário de 2015 que pede "estado civil" sem motivo).
• Esquecer dos terceiros: Contratar uma empresa para desenvolver um sistema e não exigir dela as mesmas regras de privacidade (ex.: o app do parceiro armazena dados no exterior sem aviso).