Desenvolvimento de normativos e documentos na Proteção de Dados

O desenvolvimento de um conjunto robusto de normativos e documentos é a espinha dorsal de qualquer programa de adequação à LGPD. Esses documentos formalizam as regras de privacidade e segurança dentro da instituição, traduzindo os requisitos legais em ações e responsabilidades internas.

Eles não apenas orientam o comportamento dos colaboradores, mas também servem como prova de conformidade (accountability) para a Autoridade Nacional de Proteção de Dados (ANPD) e para os titulares dos dados.

O desenvolvimento desses documentos são escritos em linguagem simples, clara, acessível e devem ser personalizados para refletir a realidade e o fluxo de dados específicos da sua instituição.

Abaixo, detalhamos os principais tipos de documentos e normativos:

1- Política de privacidade de dados pessoais

É o documento essencial que a instituição torna público, informando de forma clara e transparente aos titulares quais dados pessoais são coletados, como são tratados (usados, armazenados e compartilhados), e por que são necessários (finalidade e base legal). Ela estabelece o compromisso da organização com a LGPD e detalha os direitos dos titulares (como acesso e exclusão) e os canais para exercê-los, construindo a confiança e garantindo a conformidade legal nas interações com o público.

1. Política de privacidade de dados

2. Política de Classificação da Informação e Dados

É o regulamento que categoriza os ativos informacionais da organização com base em seu grau de sensibilidade e valor estratégico (ex: Público, Interno, Confidencial). Ela define os níveis de proteção exigidos e as permissões de acesso para cada categoria, garantindo que os esforços de segurança sejam concentrados onde há maior risco.

Ao rotular a informação, essa política previne vazamentos de segredos industriais ou dados pessoais, assegurando conformidade com a LGPD e normas ISO. Essencialmente, ela dita as regras de quem pode acessar, alterar ou visualizar cada tipo de documento.

1. Política de classificação da informação e dos dados

3- Portaria do Comitê Gestor de Proteção de dados

É o documento que institui formalmente um grupo multidisciplinar dentro de uma organização (geralmente órgãos públicos). Sua função primordial é coordenar e monitorar o processo de adequação e implementação contínua da LGPD.

O Comitê atua na tomada de decisões estratégicas, elaboração de propostas de regulamentação interna e supervisão das ações que garantam a segurança e a conformidade no tratamento de dados. Ele trabalha em conjunto com o DPO para desenvolver a cultura de privacidade na instituição.

1. Portaria do Comitê Gestor de Proteção de dados

4- Portaria do Encarregado de dados (DPO)

É o ato formal que nomeia oficialmente a pessoa ou o setor responsável por essa função na instituição. Este documento define a identidade do DPO (nome, cargo e dados de contato), garante a sua autonomia e autoridade dentro da estrutura organizacional, e formaliza suas atribuições perante a ANPD, os titulares e os colaboradores. É essencial para cumprir o requisito legal de nomeação e estabelecer o canal de comunicação para assuntos de proteção de dados.

1. Portaria de Institucionalização do Encarregado de dados (DPO)

5- Relatório de Impacto à Proteção de dados (RIPD)

É um documento que detalha processos de tratamento de dados pessoais considerados de alto risco para as liberdades civis dos titulares. Ele descreve o tipo de tratamento realizado, identifica os riscos que tal operação pode gerar, e apresenta todas as medidas e salvaguardas adotadas para mitigá-los.

O RIPD é uma ferramenta chave para o princípio da prestação de contas (accountability), demonstrando proatividade na gestão de riscos à privacidade.

1. Relatório de Impacto à Proteção de dados (RIPD)

6- Política de Retenção e Descarte de dados

É uma política que estabelece as regras e os prazos que definem por quanto tempo os dados pessoais devem ser mantidos e quando devem ser eliminados pela instituição.

Ela garante que os dados sejam retidos apenas pelo tempo estritamente necessário para cumprir a finalidade da coleta ou uma obrigação legal/regulatória.

O documento também detalha os métodos de eliminação segura (físico ou digital) para evitar o acesso indevido após o término do ciclo de vida, cumprindo o Princípio da Minimização.

1. Política de Retenção e Descarte de dados

7- Plano de Gestão de incidentes de Segurança da Informação (ANPD e titulares)

Define o fluxo de ações e responsabilidades a serem seguidas pela instituição em caso de violação ou acesso não autorizado a dados pessoais.

Seu objetivo é responder de forma rápida e organizada para conter o incidente, avaliar os danos e determinar se o risco é relevante. O plano estabelece o protocolo e o prazo para a comunicação obrigatória tanto à ANPD quanto aos titulares dos dados afetados, garantindo a transparência e minimizando os prejuízos.

1. Plano de Gestão de incidentes de Segurança da Informação (ANPD e titulares)

8- Relatório de estruturação na LGPD para o Site institucional

É o relatório que documenta todas as ações implementadas no ambiente digital da empresa para garantir a conformidade com a lei e que prova a diligência na transparência e no tratamento de dados coletados via web.

Ele abrange a implementação de aba no site, avisos e banners de cookies para gestão de consentimento e rastreamento, a atualização da Política de Privacidade com linguagem clara e acessível, e a garantia de canais fáceis para o titular exercer seus direitos (como o formulário Fale Conosco/DPO).

1. Relatório de estruturação na LGPD para o Site institucional