'Na contabilidade, não se adequar à LGPD gera um risco reputacional'

Especialista em proteção de dados, o advogado Rodrigo Berthier avalia a chegada e o percurso da Lei de Proteção de Dados (LGPD) no País. Sancionada em 2018, com implantação em etapas, a legislação tenta trazer uma nova cultura dentro das organizações, que, segundo ele, ainda não conseguiram dimensionar a importância de se adequarem. A LGPD é uma lei mais importante do que o Código de Defesa do Consumidor, disse ele ao Jornal do Comércio.

Berthier, que é habilitado pela EXIN, empresa holandesa referência em certificação na área, classifica a LGPD como uma ferramenta de enorme importância em função dos riscos que previne, tanto para o cidadão, quanto para empresas. De acordo com o advogado, membro da Comissão Especial de Proteção de Dados do Conselho Federal da OAB, a LGPD não impede o desenvolvimento econômico, mas garante os direitos do cidadão à sua autodeterminação informativa.

Rodrigo Berthier - Ela é a principal lei de privacidade de dados do Brasil. Temos um ordenamento internacional, com leis que chamamos de transacionais. Estamos lidando com uma norma sobre o tratamento de dados que é feito fora do país. Nossos dados estão trafegando pelo mundo. Por isso, a LGPD é mais importante do que o Código do Consumidor, quando ele foi lançado lá nos anos 1990. São leis que tratam de relações muito vivas no nosso dia a dia e que foram amadurecendo conforme a conscientização do cidadão sobre esse direito. Existe uma diferença de proteção de dados e de privacidade. Privacidade é um gênero e proteção de dados, uma espécie. Quando se fala em LGPD, as pessoas pensam que é "como vão tratar meus dados cadastrais", mas é muito mais que isso. Conforme a tecnologia foi evoluindo, foi evoluindo também a necessidade de controle.

Berthier - Para garantir a sua privacidade, você tem que conseguir proteger seus dados. E proteger não é só impedir o acesso, é obrigar as pessoas a usarem os dados e garantir consciência sobre o que vai ser feito, como vai ser feito, como serão protegidos para não serem usados de forma equivocada ou para fins ilícitos. A lei não está aí para impedir o desenvolvimento econômico, está para garantir os direitos do cidadão à sua autodeterminação informativa. Dentro do contexto de cada empresa, é preciso saber como você usa os dados dos clientes, dos funcionários, dos sócios e dos parceiros nos processos internos.

Berthier - Existem alguns mitos, como "eu só atendo empresa", "eu tenho poucos dados de clientes". Não quer dizer que não precise se adequar. Por exemplo: a empresa de software vende um programa de gestão interna, mas o banco de dados dos clientes fica no seu próprio banco. A empresa pode não analisar, não usar, mas está armazenando, ou seja, está tratando. Não importa se você é uma empresa pública, empresa privada ou uma entidade sem fins lucrativos, tem que se adequar.

Berthier - A primeira coisa é: leiam a lei. A segunda: se o escritório não tem uma equipe de compliance, contrate uma consultoria o quanto antes. A contabilidade tem que começar um processo de conformidade, fazer um mapeamento de todos os fluxos e processos de tratamento de dados, ou seja, desde a seleção do funcionário até o cadastro de clientes, passando pelo compartilhamento dos dados dos clientes com o poder público, seja por força de lei ou não. Existem dez hipóteses de tratamento para dados comuns e oito hipóteses de tratamento para dados sensíveis. Se lidar com dados de crianças e adolescentes, há outros requisitos. A primeira dica: conheça a si mesmo.

Berthier - Já atuei em pequenas e grandes empresas, com equipes gigantescas de segurança. Os princípios são os mesmos, mas para quem é microempresa, é pequeno, a empresa terá algumas facilidades. A Resolução número 2 da ANPD libera de certos controles. Por exemplo, a empresa não precisa nomear um DPO (profissional que, dentro de uma empresa, é encarregado de cuidar das questões referentes à proteção), mas precisa ter um canal de privacidade, vedando o atendimento automatizado.

Berthier - Esses escritórios devem ter muito cuidado com as ferramentas porque são operadores. A contabilidade lida com muitos dados financeiros que, apesar de não serem dados sensíveis, são dados críticos. Um grande investimento deve ser feito sempre na segurança da informação. Não adianta colocar antivírus, adotar duplo fator de autenticação, medidas técnicas e tecnológicas, se você não faz o treinamento dos funcionários. Se você não tem uma equipe de treinada, não funciona. Cerca de 90% dos incidentes decorrem de conduta interna. Quem não treina seus funcionários e colaboradores está fadado a sofrer com a segurança da informação e acabar gerando não só o dano reputacional ou estratégico aos ativos. Está sujeito não só à LGPD. A contabilidade ainda tem a legislação setorial. A lei de sigilo fiscal que tem que ser observada. Não adianta tomar medidas internas e não gerar evidências. Essas políticas têm que ser formalizadas.

Berthier - As pessoas já estão muito preocupadas com o fato de estarem sofrendo golpes. O golpista tem os seus dados porque alguém vazou e vendeu na dark web. As sanções que parecem ser baixas, talvez não sejam motivadoras o suficiente. Na contabilidade, não pode usar um software de gestão financeira, de gestão tributária, que não tem a certificação ISO 27001 e todas as certificações de segurança da informação. Nele é possível determinar que não se peça nada além das informações necessárias.