LGPD – Lei Geral de Proteção dos Dados

Sempre que atendemos um novo cliente alertamos para a necessidade de atender a LGPD. Basicamente, trata-se da mesma diretriz utilizada para a Europa e USA. A seguir, relacionamos o que é necessário para atender a LGPD e compartilhamos a lista dos procedimentos recomendados para que a empresa se adeque à LGPD.

Avaliação do atendimento dos requisitos

1. A empresa já está em conformidade com a Lei Geral de Proteção de Dados (LGPD)?

2. A empresa já possui um Encarregado de Dados (Data Protection Officer - DPO) nomeado?

3. A empresa já realizou treinamento de Privacidade de Dados para 100% dos profissionais que possuem interface com os dados pessoais tratados pela empresa?

4. A empresa já realizou e/ou está realizando atualizações contratuais com terceiros que processam seus dados pessoais com o objetivo de abordar responsabilizações relacionadas à LGPD?

5. A empresa já realizou e/ou está realizando Avaliação de Impacto na Proteção de Dados (DPIA) para os processos com tratamento de dados com risco elevado?

6. A empresa possui um processo formal para registro de incidentes relacionados à Segurança da Informação?

7. Existe atualmente um Plano de Reporte aos Titulares e à Autoridade competente no caso de vazamento de dados?

8. Todo o histórico de registros de incidentes relacionados à Segurança da Informação está formalmente documentado e arquivado?

9. A empresa possui implementado um ambiente de controles internos para assegurar o correto tratamento de dados pessoais?

10. No armazenamento destes dados pessoais, são observados políticas de arquivamento que identifique apenas dados necessários para atender às necessidades comerciais e legais?

11. A organização empresarial possui o mapeamento, em seus processos, de todos os pontos de coleta de dados pessoais? (inventário de dados - ponto de coleta)

12. A organização possui mapeamento formal de todas as suas áreas e/ou departamentos que tratam dados pessoais? (inventário de dados - fluxo do setor)

13. A empresa adota a utilização de termo de consentimento para coletar dados pessoais?

14. A organização empresarial possui procedimento formal de gestão da finalidade dos dados pessoais capturados?

15. Os dados, quando armazenados em papel, possuem cópia em meio digital?

16. A empresa possui mecanismos formais de mascaramento e anonimização de informações para utilização no desenvolvimento de seus processos?

17. A empresa adota algum Framework de boas práticas de gestão de TI (Ex: ITIL, COBIT)

18. A empresa possui mecanismo de gestão de solicitações do titular de dados pessoais, conforme determinação do artigo 18 da LGPD?

19. A empresa realizou a análise e ajustes de todos os contratos, seja como contratante e/ou contratada, para a revisão de cláusulas que tratem da proteção de dados pessoais e/ou sigilo de informações?

20. A empresa possui mecanismos que permitam a elaboração de um Relatório de Impacto à Proteção de Dados Pessoais, em especial para atendimento da Autoridade Nacional de Proteção de Dados?

Checklist de documentação recomendada

• Política de descarte de dados

• Política de Proteção e Privacidade de Dados

• Política de Segurança da Informação

• Política de Tratamento de Dados Pessoais e Dados Pessoais Sensíveis

• Política de Acesso ao Banco de Dados

• Política de Transferência/Compartilhamento de Dados Pessoais

• Política de Cookies

• Política de Gestão de Acesso Físico

• Política de Bloqueio e Exclusão de Usuários

• Política de Backup

• Política de Contratos

• Política para Arquivamento, Retenção e Exclusão de históricos

• Política de Segurança da Informação (Resolução BACEN NO 4.658)

• Política de Confidencialidade

• Política de Notificação de Violação de Dados

• Política de Direitos dos Titulares