Privacidade e sigilo no armazenamento de dados são princípios fundamentais da Lei Geral de Proteção de Dados (#LGPD). Mesmo sem conhecer a lei em detalhes, é importante avaliar a privacidade e o sigilo dos dados que você coleta de seus colaboradores e/ou clientes.
Privacidade e Sigilo no Armazenamento de Dados!
Privacidade e sigilo são conceitos comuns e populares no nosso dia a dia, mas ainda assim, merecem um complemento de valor. Possuir ou ter acesso aos dados das pessoas (titulares de dados) não significa que você pode utilizá-los conforme seus interesses, especialmente sem o consentimento explícito dos donos dos dados.
Portanto, utilizar os dados sem a devida autorização pode ser um complicador e uma infração à lei.
Então o que significa PERMISSÃO de uso:
- Obrigações fiscais
- Qualificação com objetivo de identificação em prestação de serviço
- Interesse do próprio usuário por um produto ou prestação de serviço
- Aceite Qualificado com entendimento do propósito
- Atenda um ou mais propósito; desde que esteja claro e transparente as partes do que seja este propósito
Obrigações Fiscais e Trabalhistas geram Tratamento de Dados
Por questões de emissão de nota fiscal e faturamento, bem como para a qualificação para entrega, os dados precisam ser armazenados e registrados nos documentos fiscais. Isso é necessário para comprovar direitos e obrigações com o fisco e com o consumidor. Portanto, é essencial seguir as regras que visam proteger o cliente e garantir a conformidade com o ambiente fiscal.
Talvez ainda mais relevante, a questão trabalhista. De fato os dados dos COLABORADORES são TRATADOS na empresa com muito mais intensidade. Em outras palavras, o tratamento de dados relacionado aos colaboradores, clientes internos, próximos, geram grande preocupação com a privacidade e sigilo. Avalie que precisam de ser qualificados em detalhes, haja visto que existe conexão com a Medicina do Trabalho e para pais eventualmente com pagamento e alimentos, identificação dos dados dos filhos.
Qualificação com objetivo de identificação em prestação e serviço
Um bom exemplo desta prestação de serviço é o exame médico, que, sem a devida identificação do paciente, deixa de ter credibilidade. Portanto, serviços que precisam identificar o destinatário justificam a qualificação e, assim, a coleta dos dados.
Interesse do próprio usuário por um produto ou prestação de serviço
Os exemplos nesta condição estão relacionados à saúde, pois o cliente, ao pedir um exame, qualquer que seja, quer precisão no resultado. A precisão deve iniciar com a identificação qualificada do paciente, autor do pedido e interessado no exame. A necessidade, neste caso, de tutela da saúde, representa um direito do paciente pela precisão do processo. Assim, a necessidade da coleta dos dados, armazenamento e até tratamento destes é natural e obrigatória neste tipo de processo.
Aceite Qualificado com entendimento do propósito
Em alguns casos, de interesse estatístico da empresa, questionar o usuário, cliente ou colaborador sobre a coleta e tratamento de dados é necessário. Se assim acontecer, tudo certo, garantindo que os dados sejam utilizados para o propósito informado no aceite do usuário.
O interesse pode ser na prestação de serviço agregada e na previsibilidade na gestão e logística para manutenção do estoque. Entender o consumo pode justificar alertas de fim do medicamento e, assim, notificações sobre a hora de comprar novamente. Este tipo de serviço é especialmente útil para consumidores com tratamento contínuo. Além disso, a previsibilidade de ter o medicamento disponível quando necessário para o cliente ou paciente é crucial. A estatística é, com toda certeza, um serviço adicional para a satisfação do consumidor.
A estatística e o acompanhamento do cliente não podem justificar outro propósito. Portanto, ciente da condição de consumo, negociar esta informação com outros interesses é vedado. Se comprovado, pode haver questionamento jurídico com prejuízo para quem utilizou os dados para outra finalidade.
Atenda um ou mais propósito; desde que esteja claro e transparente as partes do que seja este propósito
Em outros casos, justifica-se um formulário com aceite específico do usuário. São ações de marketing ou até prova social para gerar autoridade de marca. Neste caso, além do aceite, deve-se garantir que o uso será único, eventualmente utilizado em campanhas, ou publicado de forma perene em mídia especificada. O que estamos dizendo é que retratar detalhes é uma obrigação e significará transparência com quem aceitar tal propósito.
Inovação pode significar conectar com a SIPAT
De fato, a SIPAT, assim como a CIPA, tem o propósito de promover a segurança física das pessoas, criando um ambiente de treinamento, equipamentos (EPI) e protocolos que reduzam as condições de acidentes.
A LGPD, a CIPA e a Semana de Prevenção SIPAT podem convergir nesse contexto. Além disso, é importante adicionar temas como assédio e gestão da informação. Portanto, conteúdos relacionados à informação devem ser incorporados a esses protocolos já bem estabelecidos nas empresas.
#FicaDica: Inclua nos treinamentos da CIPA e da SIPAT conteúdos relacionados à segurança da informação, considerando a privacidade e o sigilo como itens relevantes. Para tornar os treinamentos ainda mais completos, considere incluir módulos sobre saúde mental e bem-estar no trabalho. A promoção de um ambiente de trabalho saudável não se limita apenas à segurança física, mas também ao bem-estar emocional e psicológico dos colaboradores. Abordar temas como gestão do estresse, prevenção ao burnout e técnicas de mindfulness pode contribuir significativamente para a qualidade de vida no ambiente de trabalho.
Obrigações de quem tem a Guarda dos Dados
Os dados coletados e armazenados precisam estar seguros. Assim, a segurança das informações é de responsabilidade da empresa, que, nesta condição, é classificada como Controladora de Dados.
Como registrado, o armazenamento de dados acontece por vários propósitos e até qualificamos as condições. Independentemente de ser por obrigação ou por prestação de serviço, os dados precisam estar com garantia de privacidade e sigilo.
Algumas empresas ainda não passaram pela transformação digital. Embora, para atender o fisco com a Nota Fiscal Eletrônica, haja, mesmo sem estar 100% digitalizado, responsabilidade compartilhada com o estado. Certamente, se houver um aplicativo de gestão envolvido, a responsabilidade compartilhada será também agregada a este sistema.
As empresas que já estão operando com desenvoltura na transformação digital precisam ajustar a TI para esta adequação às condições de segurança da informação: controle de acesso; garantia de exposição dos dados com rastreabilidade deste acesso; contingenciamento dos dados; treinamento dos usuários para as boas práticas.
Se desejar saber como fazer um BACKUP na NUVEM, deixe seu OI no Formulário.
Boas práticas significam
Operar sob condições de segurança da informação requer ativar várias camadas de proteção: criar login e senha para todos os usuários; utilizar sistemas operacionais que produzam correções de códigos e melhorias de forma recorrente; manter um ambiente com antivírus corporativo, facilitando o monitoramento centralizado e aumentando a eficiência no tratamento de possíveis ataques; utilizar sistemas adaptados às regras de segurança da informação de forma documental; ter contingência de dados através de backup e teste de restore.
Faça backup e teste o restore de forma rotineira para garantir que tudo está sendo feito corretamente. Promova capacitação para garantir que os usuários que tenham acesso aos dados estejam devidamente qualificados sobre questões como sigilo e privacidade.
Não esqueça de ter uma brigada de gestão de crise. Afinal, quando ocorre uma falha, o improviso pode aumentar o tamanho do problema. Esta brigada precisa ser treinada e testada sempre que possível, inclusive pensando na prevenção. Melhor prevenir do que ter que lidar com um incidente e parar a produção ou a gestão.
Existe TERCEIROS conectados e com responsabilidades compartilhadas
Nenhuma empresa opera de forma isolada. Assim, para uma operação completa, é necessária a conexão com outras empresas. Desta forma, o compartilhamento de dados é essencial para que a entrega final seja perfeita.
Com isso, de forma terceirizada, a contabilidade compartilha os dados fiscais e, eventualmente, o setor de RH, com conhecimento da folha de pagamento. Neste sentido, são informações detalhadas de cada colaborador e sua história de vida. Uma responsabilidade compartilhada que precisa estar devidamente registrada e documentada em um contrato.
Neste mesmo sentido, a medicina do trabalho é uma atividade complementar ao RH, certamente lidando com muitos dados sensíveis sobre a condição física e aptidão do colaborador. Uma área que sugere ainda mais preocupação. Afinal, existem exames cujas informações podem ser repassadas, mas os detalhes eventualmente não podem ser utilizados.
Por consequência, em uma empresa, talvez outras conexões sejam necessárias. Cada uma precisa de avaliação sob o ponto de vista do compartilhamento dos dados e da responsabilidade compartilhada.
Gestão de Contrato é essencial neste processo
Uma empresa não funciona sozinha. Neste sentido como definir a responsabilidade e o papel de cada um dos integrantes ou parceiros. Até mesmo para documentar e garantir aos interessados uma garantia de Privacidade e Sigilo! Desta forma o Contrato é uma forma de desenhar os por quês? Com isso criando limites, obrigações, responsabilidades e propósitos de acontecer. Novamente reportamos que diante deste, justifica avaliar o Backup, pois estes documentos desenham o funcionamento da empresa.
Assim se tiver dúvidas sobre a Gestão de Contrato, registre um OI e entraremos em contato!
Gestão de Crise – Recuperação de Desastre!
Gestão de Crise é também chamada de focos de incêndio que precisam ser tratados. Eventualmente, há alguém que está sempre apagando incêndios. Entretanto, de forma preventiva, é possível trabalhar para mitigar essas condições tão ruins para o dia a dia do negócio.
O planejamento inicia com os questionamentos sobre como os problemas serão solucionados. Essa reflexão possibilitará um exame das causas, efeitos e necessidades de mudanças ou controles.
Pense em como poderia resolver e se preparar para:
- Como resolver se a chave da entrada se perder?
- Acabou a luz, como garantir que o negócio continue funcionando?
- Um funcionário não chegou a tempo, como substituí-lo?
- O equipamento, um computador, não ligar, qual o procedimento?
- A rede de computadores parou de funcionar, qual o procedimento?
- Ocorreu uma uma falha nos dados e perdeu-se um ou mais arquivos, como recuperar e qual será o procedimento?
- Quem são as pessoas preparadas e capacitadas para identificar o problema e dar encaminhamento de acordo com o planejado?
O procedimento é a atividade que fará a diferença entre o improviso e uma solução pensada e estruturada para mitigar mais perdas. Neste caso, estamos falando de situações em que o nervosismo pode comprometer ainda mais e piorar o caos. O planejamento pressupõe avaliar previamente, determinar soluções que minimizem os impactos e recuperem, em tempo aceitável, as condições de produção.
Para implementar um Grupo de Gestão de Crise, pode-se trabalhar com uma comissão já existente, como a CIPA +A. Afinal de contas, é um grupo com procedimentos, reuniões, documentação e monitoramento das políticas e valores de proteção às pessoas. Desta forma, justifica-se capacitar para o propósito da tecnologia, do uso e de como resolver problemas.
Descarte de Dados – Reflexão sobre o Lixo
De fato os dados de forma digital ou papel tem vida útil dentro da empresa. Então como estamos descartando? Neste sentido a LATA DE LIXO é um recurso no dia a dia de qualquer empresa. Muitas das vezes, um erro de grafia, justifica descartar a impressão de forma direta. Neste sentido vale a reflexão, como este material chega na RUA e EXPÕE os dados que estão sobre a GUARDA da EMPRESA.
Tem um post específico no Blog sobre Descarte de Dados e a Lata de Lixo, veja aqui se tem interesse neste tema (LINK de ACESSO ao Conteúdo – Descarte de Dados)
Entretanto outras formas de descarte, quando falamos de deterioração tecnológica, promovendo a reciclagem de equipamentos como computadores. Justifica uma política específica de APAGAR os dados.
Conclusão
Em um ambiente corporativo cada vez mais interconectado e digitalizado, a segurança da informação e a proteção de dados pessoais são fundamentais. As empresas devem adotar práticas rigorosas de coleta, armazenamento e tratamento de dados, garantindo a privacidade e o sigilo das informações de seus colaboradores e clientes.
A implementação de contratos claros e detalhados, a capacitação contínua dos funcionários e a utilização de tecnologias adequadas são passos essenciais para assegurar a conformidade com as regulamentações e a confiança dos stakeholders. Além disso, a responsabilidade compartilhada entre diferentes setores e parceiros deve ser bem definida e documentada, promovendo um ambiente de transparência e segurança.
Por fim, a prevenção e a preparação para possíveis incidentes, através de backups regulares e uma brigada de gestão de crise bem treinada, são cruciais para minimizar riscos e garantir a continuidade dos negócios. Com essas medidas, as empresas estarão mais bem equipadas para enfrentar os desafios da era digital, protegendo tanto seus interesses quanto os de seus clientes.
