Mapeamento de Dados: O Que É e Qual A Sua Importância na LGPD
Com a entrada em vigor da Lei Geral de Proteção de Dados (LGPD), a necessidade de adequação tornou-se uma urgência para todas as organizações. O primeiro passo para estar em conformidade com a LGPD é o mapeamento de dados pessoais. Este processo é essencial para apoiar a gestão de riscos de privacidade e segurança da informação, envolvendo a identificação dos dados de alunos, professores, colaboradores e fornecedores. O mapeamento fornece as informações iniciais necessárias para que a organização alcance e mantenha sua conformidade com a lei.
O que é mapeamento de dados?
O mapeamento de dados, também conhecido como Data Mapping ou Inventário de Dados, é um processo que rastreia o percurso dos dados pessoais desde sua coleta até seu descarte ou armazenamento contínuo. Este processo permite entender como os dados pessoais são coletados, manuseados e armazenados pela instituição, abrangendo dados de alunos, professores, colaboradores, parceiros, entre outros.
O objetivo principal do mapeamento de dados é identificar a origem dos dados, os canais de coleta, os dados tratados, os fluxos internos e externos, os compartilhamentos e os formatos de armazenamento. Além disso, permite categorizar os dados, definir a finalidade da coleta, justificar o tratamento legal e avaliar os riscos envolvidos.
Objetivos do Mapeamento de Dados
Um dos principais objetivos do mapeamento de dados é diagnosticar como a instituição de ensino lida com a privacidade e a segurança da informação de seus alunos, professores, colaboradores e parceiros, cumprindo a exigência constante no artigo 37 da LGPD. Este artigo estipula que o controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem.
O mapeamento de dados deve refletir o caminho percorrido pelo dado pessoal dentro da instituição, incluindo processos e procedimentos pelos quais o dado transita. Isso inclui a origem, a base legal que respalda o tratamento, o nível de segurança da base de dados, entre outras informações necessárias para a análise de vulnerabilidades técnicas e jurídicas.
Etapas do Mapeamento de Dados
O processo de mapeamento de dados compreende sete etapas:
1. Coleta: Identificação e coleta apenas dos dados necessários.
2. Processamento: Definição do propósito claro de utilização dos dados.
3. Análise: Avaliação da real necessidade dos dados coletados.
4. Compartilhamento: Obtenção de autorização formal do titular para o uso e compartilhamento dos dados.
5. Armazenamento: Determinação da forma e do período de armazenamento, garantindo privacidade e segurança até a eliminação dos dados.
6. Reutilização: Obtenção de consentimento para a reutilização dos dados para fins além do originalmente previsto.
7. Eliminação: Estabelecimento de métodos seguros para a eliminação dos dados quando não forem mais necessários.
Como Realizar o Mapeamento de Dados?
Para realizar o mapeamento de dados, é necessário organizar uma planilha clara e bem descrita com todos os processos internos da instituição, identificando os responsáveis por cada área e seus respectivos dados sensíveis.
O diagnóstico do mapeamento de dados informa como a instituição lida com a privacidade de dados. Uma boa prática inclui os seguintes pontos a seguir:
Classificação dos titulares dos dados (alunos, professores, colaboradores, fornecedores);
Identificação dos dados coletados, como nomes, endereços, formas de contato e documentos;
Local de armazenamento;
Formas de coleta;
Finalidade da informação;
Definição dos colaboradores autorizados a acessar os dados;
Apuração da base legal para a utilização de cada uma das informações Indicação da base jurídica para o processamento de dados;
Determinação do motivo pelo qual os dados estão sendo coletados;
Especificação dos dados sensíveis;
Especificação das pessoas que têm dados coletados e quem possui acesso a estes;
Identificação do formato de armazenamento dos dados;
Destinação em caso de compartilhamento;
Delimitação temporal do armazenamento dos dados;
Identificação das condições sob as quais os dados são armazenados;
Especificação do método de transferência de dados, ou seja, como os dados são coletados e compartilhados;
Entendimento dos protocolos adotados internamente para proteção de dados;
Procedimentos de exclusão.
Como Fazer o Mapeamento de Dados na Prática?
Para realizar esse processo de maneira eficaz, é fundamental seguir um plano estruturado. As etapas a seguir são essenciais para garantir um mapeamento de dados completo e conforme a LGPD:
1. Equipe Multidisciplinar: o mapeamento de dados deve ser um esforço conjunto de diversos setores da instituição, com apoio técnico e jurídico para analisar possíveis vulnerabilidades. Esse trabalho integrado é essencial para uma análise completa e eficaz;
2. Abordagem por Departamento: a coleta de informações deve ser feita por departamentos, identificando os fluxos de dados específicos de cada setor. Cada departamento possui particularidades no tratamento de dados, que precisam ser consideradas para um plano de ação abrangente e eficaz;
3. Diagnóstico de Dados: com o plano de ação estabelecido, a equipe responsável deve aplicar questionários/planilhas e realizar entrevistas para mapear todo o ciclo de vida dos dados pessoais na instituição. É essencial entender como os dados são compartilhados com terceiros, organizar e classificar as informações, identificar as bases legais da LGPD e avaliar os documentos existentes;
4. Avaliação de Riscos: a partir do diagnóstico, é possível identificar riscos e eliminar a coleta de dados desnecessários ou em desacordo com a lei. A avaliação de vulnerabilidades em Segurança da Informação é crucial para garantir a proteção dos dados, minimizando riscos de vazamentos, perdas e roubos. Um ponto importante é restringir o acesso aos dados pessoais dentro da instituição, garantindo que apenas aqueles que realmente necessitam tenham acesso. Isso reduz significativamente o risco de vazamentos.
O mapeamento de dados é um processo fundamental para qualquer instituição de ensino pública que deseja estar em conformidade com a LGPD. Ele não só identifica e mitiga riscos, mas também melhora a gestão de dados, garantindo a proteção das informações e a segurança das operações.
Fonte: https://getprivacy.com.br/mapeamento-de-dados-lgpd/