Diante de um número crescente de ofertas surge a necessidade de definir a estratégia mais adequada para terceirizar o seu Encarregado de Dados.

Por Rodolpho Barbosa*

Há pelo menos dois anos, de forma mais intensa, novas siglas tomaram a agenda de governança de dados das organizações. A primeira sigla foi a LGPD, da Lei Geral de Proteção de Dados Pessoais, é a legislação brasileira que regula as atividades de tratamento de dados pessoais. Como já conhecida, veio para dar novas diretrizes de como os dados dos cidadãos podem ser coletados e tratados – além de tirar o sono de muitos gestores em todos os níveis da hierarquia.

Associada a um novo glossário repleto de termos novos (dados sensíveis, dados anonimizados, titular, controlador, operador, ciclo de vida da informação, etc) uma nova função corporativa também surgiu com os impactos da nova lei, abrindo caminho para especializações e processos. Trata-se do Encarregado de Dados, ou, ta aí uma outra siglado, o DPO (Data Privacy Officer); um profissional com atuação híbrida entre processos, compliance/jurídico, tecnologia, projetos e pessoas.

Não são poucas as organizações que ainda não conseguiram avançar no endereçamento desta função. Talvez, por falta de uma visão multidisciplinar para organizar uma estrutura de Segurança da Informação e Proteção de Dados atuando consorciada à área de TI ou talvez pela evidente escassez de profissionais qualificados para serem DPOs, esta demanda levou à oferta desta função como uma camada de serviço: o DPO as a Service (DPOaaS).

Além dos advogados que já atuavam com Compliance e Direito Digital, empresas especializadas em cibersegurança ou provedores de serviços gerenciados de segurança (MSSP) pivotaram seus negócios para atender a essa nova demanda da governança de dados adicionando o DPOaaS aos seus portfólios.

Os benefícios ofertados neste tipo de serviço vão desde a imediata velocidade na adequação à análise macro de infraestrutura do ambiente de TI, passando por serviços de assessment padronizado, visão de processos e de tecnologia, aliados às melhores práticas de Governança, Risco e Compliance (GRC).

Isto tudo sob a abordagem de redução de custos e otimização de recursos e profissionais.

Porém, de modo prático, visto que o regramento não impede haver a terceirização do Encarregado, qual o maior benefício a ser percebido pela empresa contratante ao adotar a estratégia de ter um DPOaaS? Qual a estratégia ideal nesta contratação?

Objetivamente, o que precisa ser avaliado é o grau de maturidade adquirido pela empresa durante o seu processo de adequação à LGPD e o quanto o DPOaaS irá agregar neste contexto. Recorrer à terceirização não pode ser apenas objetivando de redução de custos.

Precisa haver entendimento das tarefas e do nível de envolvimento e sinergia que serão demandados por todas as áreas da organização neste tipo de serviço. Não é questão de custo e nem de aliviar o time de recrutamento de pessoas, mas, sim, de ter uma nova cultura na formatação, manutenção do tratamento dos dados.

Agora, o que a empresa controladora precisa entender da importância na escolha e da responsabilidade do DPOaaS nesta função é que, uma vez escolhido o fornecedor, caberá a ele fazer a condução de uma série de atividades assertivas para que a política de confidencialidade seja de fato eficaz.

Dentre as principais atividades, podemos listar:

• Gestão do Programa de Privacidade;
• Atualização periódica do mapeamento de todos os dados da empresa e dos profissionais;
• Monitorar relatórios de impacto e de proteção de dados pessoais;
• Atender e responder a todos os titulares dos dados (funcionários, fornecedores e clientes);
• Apoiar no desenvolvimento dos projetos da empresa e monitorar e fiscalizar sua conformidade, observando sempre o Privacy by Design;
• Treinar os colaboradores e promover constantes campanhas de conscientização;
• Acompanhar todas as mudanças que a LGPD irá trazer à organização, as atualizações da lei, mantendo as posições atualizadas da Autoridade Nacional de Proteção de Dados (ANPD).

Ao observar esse consistente rol de tarefas, é importante ter a consciência de que o DPOaaS pode contribuir com essa demanda por ser uma empresa que agregará outras experiências e vivências, de segmentos diversos, aumentando o nível de segurança da estratégia e da manutenção da LGPD pós-implantação.

Escolher um parceiro de confiança neste ponto é um passo importante, portanto, busque as referências certas e veja se o contrato com seu fornecedor de DPOaaS está claro e detalhado sobre todas as atividades a serem exercidas.

A estratégia correta na contratação deve priorizar o fornecedor que aliar solidez técnica e consultiva sobre a LGPD a um conhecimento consistente e prático da melhores políticas e recursos de cibersegurança e missão crítica.

Fale com um especialista Brasiline e veja como podemos ajudar a sua empresa a se adequar da nova Lei.

*Rodolpho Barbosa é gerente de Desenvolvimento de Negócios e Expansão da Brasiline Tecnologia, empresa especializada em serviços gerenciados de Segurança da Informação.

Veja também:

• LGPD: Sai a primeira decisão judicial contra uso indevido de dados pessoais - Acessar
• 07 considerações sobre a LGPD - Acessar