LGPD & Governança de Dados

Papéis e responsabilidades

Em projeto unipessoal, o acúmulo de funções é inevitável e permitido. O que não pode faltar é separação de registro: pedidos, decisões e incidentes ficam documentados para que a função de DPO não dependa apenas da memória.

Obrigatório vs. boa prática

Nem tudo que aparece em uma página de transparência é exigência legal. Esta tabela separa o que a LGPD impõe do que o laboratório adota por escolha.

Resumo do ROPA

O registro completo é interno. O resumo abaixo cobre as operações em escopo nesta versão, com titulares, dados, finalidade, base legal, retenção e destinatários.

O ROPA interno registra ainda: descrição do fluxo de dados, medidas de segurança por operação, responsável interno, contratos aplicáveis, avaliação de fornecedores e data da última revisão. Ele é atualizado quando uma operação muda de finalidade, base legal, retenção ou destinatário.

RIPD: avaliação de impacto

O RIPD (Relatório de Impacto à Proteção de Dados Pessoais) é exigido quando o tratamento pode gerar alto risco aos titulares ou quando a ANPD determina (art. 38). O laboratório adota a seguinte regra interna:

• RIPD obrigatório para tratamento de dados sensíveis, perfilamento sistemático, decisões automatizadas com efeito relevante, uso de dados de crianças ou tecnologia nova com risco elevado.
• Triagem documentada para pilotos com IA que recebam dados de terceiros, mesmo sem dados sensíveis.
• Dispensa registrada quando a triagem conclui que não há alto risco, com justificativa.

Quando um RIPD for concluído, o resumo público indicará a operação, os riscos identificados e as medidas adotadas, sem expor informações de segurança que facilitem ataques.

Solicitações de titulares (DSAR)

O fluxo abaixo é usado para qualquer pedido do art. 18 da LGPD. Ele é simples de propósito: em um projeto pequeno, processo excessivo vira processo não cumprido.

1. Recebimento. O pedido chega ao e-mail do encarregado e recebe confirmação de leitura.
2. Verificação de identidade. Confere-se que quem pede é o titular ou representante legal. Pede-se o mínimo necessário, nunca cópia de documento inteiro sem justificativa.
3. Classificação. O pedido é enquadrado em um dos direitos do art. 18 e registrado com data, canal e prazo.
4. Busca. Os dados são localizados nas fontes aplicáveis: caixa de e-mail, traces de IA, registros de pilotos, backups recentes.
5. Decisão. Atende-se integralmente, parcialmente ou nega-se com fundamento legal. A resposta é clara, em linguagem acessível.
6. Resposta e registro. Envio em até 15 dias (art. 19), com registro do que foi feito e do prazo.

Pedidos que exijam esforço desproporcional podem ser prorrogados com justificativa expressa ao titular, sem ultrapassar o razoável. Negativas sempre indicam a base legal.

Para abrir um pedido: gabrielvjatoba@gmail.com, assunto “LGPD: [pedido]”.

Incidentes de segurança

O procedimento é intencionalmente curto e acionável:

1. Detecção e contenção: interromper o vetor, revogar credenciais, isolar sistemas.
2. Registro: data, hora, sistemas, dados possivelmente afetados, evidências.
3. Avaliação de risco: natureza dos dados, volume, titulares, possibilidade de dano, medidas de proteção existentes.
4. Comunicação: se houver risco relevante, comunicar ANPD e titulares afetados no prazo regulamentar (3 dias úteis, Resolução CD/ANPD nº 15/2024), com as informações do art. 48, §1º.
5. Remediação: corrigir a causa, reforçar controles, atualizar documentação.
6. Revisão pós-incidente: registrar lições e, se necessário, revisar esta página.

A comunicação à ANPD inclui, quando disponível: descrição do incidente, dados afetados, titulares, medidas técnicas de proteção, riscos e providências. Se algum dado ainda não for conhecido no prazo, a comunicação é feita com o que se sabe e complementada depois.

Suboperadores

Fornecedores são avaliados antes do uso e reavaliados quando há mudança relevante. A coluna “due diligence” indica o estágio atual, sem fingir contrato assinado onde ainda existe apenas aceite de termos padrão.

Critérios de avaliação: existência de termos de tratamento publicados, política de retenção, opção de ZDR, localização da infraestrutura, histórico de incidentes, possibilidade de exportação e exclusão, e clareza sobre subcontratação.

Transparência de IA

O laboratório mantém um inventário interno de sistemas de IA. A versão pública indica finalidade, dados e supervisão.

Compromissos de transparência:

• informar quando um conteúdo é gerado por IA, se houver risco de confusão;
• não usar dados de titulares para treinar modelos próprios sem base legal e informação clara;
• não tomar decisões de alto impacto sem revisão humana (art. 20);
• registrar os modelos e provedores usados em cada piloto;
• permitir que o titular peça explicação sobre o uso de seus dados em IA.

O gateway está configurado para negar coleta e exigir retenção zero. Isso vale para provedores que suportam a política; modelos sem suporte não devem ser usados com dados pessoais. A lista de modelos permitidos é interna e revisada antes de cada piloto.

Lacunas e próximos passos

O que ainda não está pronto, com prioridade e critério de conclusão. Esta lista é atualizada a cada versão.

Contato

Encarregado (DPO)

Gabriel Jatobá

E-mail

gabrielvjatoba@gmail.com

Assunto

“LGPD: [pedido / incidente / dúvida]”

Documentos relacionados

Política de Privacidade · Termos de Uso · security.txt

Autoridade

ANPD