Gestão de riscos de privacidade

O que isso quer dizer na prática?

A LGPD exige que a empresa mapeie e controle os riscos que podem vazar, perder ou expor dados de clientes, funcionários ou parceiros — como um CPF em um e-mail errado, um notebook roubado com planilhas de salários ou um sistema hackeado. Não adianta só "tomar cuidado": precisa ter um processo estruturado para (1) descobrir onde esses riscos estão, (2) avaliar o tamanho do problema, (3) agir para reduzir ou eliminar, e (4) provar que fez tudo isso. É como um "check-up" constante da segurança dos dados, com receita e exames guardados.

Como atender (passo a passo)

1. Listar onde os dados pessoais circulam Faça um inventário simples: anote todos os lugares onde a empresa guarda ou usa dados de pessoas (ex.: planilha de clientes no Google Drive, contratos em pasta física no RH, sistema de folha de pagamento, gravações de ligações do SAC). Inclua quem acessa (ex.: só o financeiro? Todo mundo?) e como é protegido (senha? Criptografia? Trancado em armário?).
2. Identificar riscos reais (e não teorias) Para cada item da lista, pergunte:
   • O que pode dar errado? (Ex.: "O estagiário pode enviar a planilha de salários para o grupo da família no WhatsApp").
   • Qual o dano? (Ex.: multa, processo, cliente insatisfeito, vazamento na imprensa).
   • Qual a chance de acontecer? (Baixa/Média/Alta).
   Dica: Foque nos riscos que combinam alto dano + alta chance (ex.: notebook sem senha com dados de 10 mil clientes).
3. Agir para reduzir os riscos (do mais urgente ao menos crítico) Defina ações práticas para cada risco priorizado. Exemplos:
   • Trocar planilhas desprotegidas por sistemas com login e senha.
   • Bloquear download de dados sensíveis em celulares pessoais.
   • Treinar equipes que lidam com dados (ex.: RH, comercial) sobre golpes de phishing.
   • Comprar antivírus para todos os computadores.
   Regra: Se o risco é alto, a solução deve ser rápida e robusta (ex.: criptografar backups). Se é baixo, pode ser uma medida simples (ex.: lembrete por e-mail).
4. Monitorar e ajustar
   • Todo mês: Verifique se as ações estão funcionando (ex.: checar logs de acesso ao sistema, fazer teste de phishing fake com a equipe).
   • Sempre que mudar algo: Atualizar a análise de risco se:
   • A empresa adotar um novo sistema (ex.: CRM, ERP).
   • Ocorrer um incidente (ex.: funcionário clicou em link suspeito).
   • A lei ou o negócio mudar (ex.: passar a vender para a Europa, onde as regras são mais rígidas).
5. Documentar tudo (sim, isso é obrigatório) Guarde registros de:
   • A lista de riscos e como foram classificados.
   • As ações tomadas (com prazos e responsáveis).
   • Os testes ou auditorias feitas para verificar se está funcionando.
   Formato: Pode ser planilha, documento no Notion ou até foto de post-it colado no quadro — desde que esteja organizado e acessível.

O que o auditor procura como evidência

• Mapa de riscos atualizado (mesmo que seja uma tabela simples com colunas: Processo | Dado envolvido | Risco | Ação | Responsável).
• Registros de treinamentos (ex.: lista de presença de uma palestra sobre LGPD ou print de um quiz respondido pela equipe).
• Provas de ações corretivas (ex.: e-mail do TI confirmando que instalou antivírus em todos os PCs, ou print da configuração de permissão no Google Drive).
• Relatórios de monitoramento (ex.: log de acessos ao sistema de RH nos últimos 3 meses, ou ata de reunião revisando incidentes).

Erros comuns

• Fazer análise de risco "no achômetro": Não adianta chutar riscos sem mapear onde os dados realmente estão (ex.: esquecer que o comercial guarda contratos assinados no e-mail pessoal).
• Deixar tudo na cabeça do TI: LGPD é responsabilidade de todas as áreas (ex.: o RH que deixa currículos em pasta aberta ou o marketing que compra lista de leads sem checar a origem).
• Esquecer de revisar depois de um incidente: Se um funcionário vazou dados por engano, não basta demiti-lo — é preciso atualizar os controles (ex.: bloquear envio de e-mails com anexos para domínios externos).