A Superintendência Estadual de Tecnologia da Informação e Comunicação (Setic) conclui o treinamento para a realização do Inventário de Dados Pessoais (IPD) que constam em processos diversos que estão em andamento. O objetivo principal do inventário de dados é registrar as informações de todos os usuários dos sistemas informatizados cumprindo o que prevê o art. 37 da Lei Geral de Proteção de Dados (Lgpd) de nº 13.709, de 14 de agosto de 2018, atualmente em vigor no país.
De acordo com o encarregado pelo Tratamento de Dados Pessoais, Tiago Lopes Aguiar, que também integra a Comissão Tática e Operacional (CTO) e o Comitê Gestor de Privacidade e Proteção de Dados Pessoais (CGPD), a metodologia vem sendo adotada desde a conclusão da oficina realizada na primeira quinzena de abril. “Durante o treinamento os participantes fizeram um inventário de dados pessoais a partir de um estudo de caso, passando a entender melhor o uso da ferramenta disponibilizada pela Secretaria de Governo Digital (SGD), do Governo Federal, e adaptada à realidade da Setic. O inventário deve ser utilizado por todas as organizações que realizam o tratamento de dados pessoais.” explicou o encarregado.
INVENTÁRIO DE DADOS PESSOAIS
Quanto à metodologia, a Setic adotou a top-down (de cima para baixo), iniciando-se a análise pelos serviços/processos de negócio, e não pelo dado propriamente dito, registrando-se, por exemplo, o ciclo de tratamento, o fluxo, hipótese legal, finalidade, previsão legal, identificação dos dados, compartilhamento e medidas de segurança.
O tratamento dos dados envolve as fases de coleta, processamento, análise, compartilhamento, armazenamento e eliminação dos dados pessoais, ficando visíveis apenas para pessoas com acesso autorizado, como medida de segurança. O IDP vai identificar quais dados pessoais são coletados dos usuários que utilizam os serviços oferecidos pela Setic e “com essas informações poderemos tratar e proteger esses dados da melhor forma possível quanto a privacidade do usuário. Com o tratamento adequado dos dados será elaborado o Relatório de Impacto de Proteção de Dados Pessoais (Ripd) e outras ações necessárias, como a identificação de lacunas relacionadas às exigências da Lgpd ou de outras normas”, enfatiza.
Sob a coordenação da Setic cada setor, entre eles o de Infraestrutura, Desenvolvimento, Operações e demais órgãos que coletam dados, elegeu um responsável para atuar no levantamento dos processos e serviços que coletam dados pessoais e dados pessoais sensíveis do usuário.
O analista em Tecnologia da Informação e Comunicação, Daltro Barbosa Filho já concluiu o inventário de dados pessoais relacionado ao departamento de infraestrutura e avaliou como importante a iniciativa. “A nossa prioridade inicial é levantar dados pessoais, por enquanto estamos fazendo esse relatório em planilha eletrônica, mas posteriormente, junto com a equipe de desenvolvimento, será feito um estudo para que se possa criar uma aplicação web para gerenciamento desses dados”, ressalta.
Com todos os relatórios de impacto de proteção de dados concluídos, a Setic poderá aperfeiçoar a política de gestão de crises e atualizar o manual de procedimentos e controles internos em proteção de dados.
