A atuação integrada das empresas na proteção de dados

Quando ocorre um incidente de segurança envolvendo dados pessoais dentro de uma empresa, uma das primeiras providências costuma ser acionar o setor de TI - tecnologia da informação, para que possa identificar a origem do problema, verificar se os sistemas foram afetados e adotar medidas para impedir que a situação se agrave.

A apuração técnica é indispensável, mas representa apenas uma parte da resposta. Um incidente envolvendo dados pessoais pode gerar obrigações perante os titulares e a ANPD - Autoridade Nacional de Proteção de Dados, além de repercussões em contratos mantidos com clientes e fornecedores, danos reputacionais e, eventualmente, discussões sobre responsabilidade civil.

Por isso, a segurança da informação não pode ser compreendida exclusivamente como uma atribuição do setor de TI. A proteção de dados pessoais também depende de medidas jurídicas, administrativas e organizacionais e, principalmente, da capacidade de fazer com que essas diferentes frentes funcionem de maneira coordenada na realidade da empresa.

A LGPD (lei 13.709/18) parte de uma lógica essencialmente preventiva. Entre os princípios previstos no art. 6º estão a segurança, a prevenção e a responsabilização e prestação de contas. Este último é particularmente relevante porque envolve não só a adoção de medidas eficazes para o cumprimento das normas de proteção de dados, mas também a demonstração de sua eficácia.

Da mesma forma, o art. 46 da LGPD determina que os agentes de tratamento adotem medidas de segurança, técnicas e administrativas, que sejam aptas a proteger os dados pessoais contra acessos não autorizados e situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito.

Essa obrigação ajuda a compreender por que a proteção de dados não pode ficar restrita à instalação de ferramentas de segurança ou à elaboração de documentos pelo departamento jurídico. A prevenção depende da compreensão de como os dados circulam dentro da organização, como, por exemplo, quais informações são coletadas, onde são armazenadas, quem possui acesso a elas e quais fornecedores participam dessas operações.

É justamente nesse ponto que se percebe a diferença entre ter políticas formalmente estabelecidas e possuir uma governança efetivamente integrada à operação.

Uma empresa pode elaborar políticas internas detalhadas, estabelecer regras de segurança e definir formalmente procedimentos de resposta a incidentes. Entretanto, se os colaboradores não conhecem essas regras, se os departamentos atuam de maneira isolada ou se os procedimentos descritos não correspondem aos sistemas e aos fluxos realmente utilizados, a estrutura formal pode apresentar pouca efetividade quando surgir um problema concreto.

A gestão preventiva da proteção de dados exige, portanto, que aspectos técnicos, jurídicos e organizacionais sejam implementados de maneira coordenada. A doutrina sobre gestão jurídica preventiva destaca justamente a necessidade de combinar políticas internas, treinamento de colaboradores, mapeamento de riscos e uma cultura organizacional voltada à proteção de dados, integrando a conformidade aos próprios processos da empresa.

Na prática, essa integração envolve diferentes atribuições: o setor de TI atua nos controles técnicos e acessos aos sistemas; o jurídico avalia obrigações legais e contratuais relacionadas ao tratamento de dados; e o RH participa diretamente do ciclo de acessos de empregados e prestadores, especialmente em admissões, alterações de função e desligamentos. À gestão, cabe garantir que existam fluxos internos para que as informações relevantes cheguem aos responsáveis pela tomada de decisões.

A utilidade dessa estrutura se torna mais evidente quando o incidente efetivamente acontece. Nesse momento, a empresa precisa simultaneamente conter o problema e reunir informações suficientes para compreender sua extensão: quais sistemas foram atingidos, quais dados estavam envolvidos, quantos titulares podem ter sido afetados, quando a ocorrência foi identificada e quais medidas foram adotadas.

A resolução CD/ANPD 15/24, que regulamenta a comunicação de incidentes de segurança, determina que o controlador comunique à ANPD e aos titulares os incidentes que possam acarretar risco ou dano relevante, conforme os critérios estabelecidos pelo próprio regulamento. A norma exige, ainda, que sejam fornecidas informações sobre as medidas técnicas e de segurança utilizadas antes e depois do incidente, além dos riscos e possíveis impactos aos titulares.

Esse ponto demonstra como prevenção e a resposta estão diretamente relacionadas. Quando um incidente ocorre, não basta saber que a empresa possuía determinada política ou ferramenta de segurança. É necessário identificar quais mecanismos estavam efetivamente implementados e quais providências foram tomadas a partir da constatação do problema.

As informações auxiliam a equipe técnica na investigação do incidente, mas também podem adquirir relevância jurídica. A prova digital compreende dados produzidos originalmente em ambientes digitais, entre eles registros de sistemas, logs de acesso, metadados e trilhas de auditoria, cuja preservação adequada pode ser determinante para a posterior reconstrução dos fatos ocorridos no ambiente digital.

Nesse contexto, a tentativa de solucionar rapidamente o incidente deve ser acompanhada do cuidado de preservar as informações relevantes para a posterior reconstrução dos fatos. 

Bloquear um acesso, alterar credenciais ou realizar intervenções nos sistemas pode ser indispensável para impedir a continuidade do problema. Mas, ao mesmo tempo, as equipes envolvidas precisam considerar quais registros devem ser preservados antes ou durante essas intervenções, especialmente porque determinadas informações podem ser posteriormente alteradas ou simplesmente deixar de estar disponíveis.

Isso não significa exigir que toda empresa possua uma estrutura complexa de investigação forense, mas estabelecer previamente procedimentos compatíveis com a sua realidade, que indiquem quais informações são relevantes, onde ficam armazenadas, por quanto tempo são mantidas e quais pessoas deverão ser acionadas para preservá-las quando necessário.

Também é recomendável a existência de um plano de resposta a incidentes que estabeleça os procedimentos a serem adotados e as responsabilidades das áreas envolvidas. Para que seja eficiente, entretanto, esse planejamento deve estar conectado à estrutura efetivamente utilizada pela organização.

A importância da documentação também aparece de maneira expressa na regulamentação. O art. 10 da resolução CD/ANPD 15/24 determina que o controlador mantenha registro dos incidentes de segurança envolvendo dados pessoais, inclusive daqueles que não tenham sido comunicados à ANPD e aos titulares, pelo prazo mínimo de cinco anos. Entre as informações que devem constar desse registro estão as circunstâncias do incidente, os dados afetados, a avaliação dos riscos e as medidas adotadas para correção e mitigação dos seus efeitos.

Há, portanto, uma diferença importante entre adotar uma medida e conseguir demonstrar posteriormente que ela foi adotada. Em eventual procedimento administrativo ou discussão judicial, pode ser necessário reconstruir não apenas a ocorrência do incidente, mas também a atuação da própria empresa. 

Políticas internas, registros de treinamento, controles de acesso, contratos com fornecedores, logs e documentação das providências tomadas podem contribuir para identificar quais mecanismos existiam antes do evento e como a organização respondeu a ele.

A existência desses elementos não afasta automaticamente a responsabilidade da empresa. A eventual responsabilização deverá ser examinada à luz do regime previsto nos arts. 42 a 45 da LGPD e, conforme a natureza da relação e do dano discutido, das normas gerais de responsabilidade civil.

Os registros, contudo, permitem que esses fatos sejam examinados com maior precisão, evitando que a avaliação posterior dependa exclusivamente da memória dos envolvidos ou de documentos produzidos somente depois do problema.

Por essa razão, uma política eficiente de proteção de dados não é necessariamente aquela que possui o maior número de páginas, procedimentos ou termos técnicos, mas aquela que corresponde aos processos que possam ser efetivamente utilizados pela empresa e ser executada pelas pessoas responsáveis quando necessário. 

A segurança da informação exige recursos tecnológicos, mas a prevenção jurídica dos riscos relacionados aos dados pessoais depende também de contratos, treinamento, definição de responsabilidades, comunicação entre departamentos e adequada produção e conservação de registros.

A proteção de dados, portanto, deve estar integrada à realidade operacional da organização. Mais do que possuir políticas formais de conformidade, é preciso garantir que as diferentes áreas saibam como agir diante de um problema, que os procedimentos previstos possam ser efetivamente aplicados e que as medidas adotadas possam, quando necessário, ser demonstradas.