Para que servem e como sair da rota comum do que é “dado pessoal”
Em nosso artigo anterior, mergulhamos na construção de um plano robusto de resposta a incidentes de segurança com dados pessoais. Hoje, avançamos um passo essencial para a sua aplicação: a implementação de treinamentos de governança em privacidade.
Não é novidade que vivemos em uma era de uma economia digital, dependente cada vez mais de um alto fluxo de dados entre os integrantes deste jogo. Consequentemente, passamos a conviver com duras realidades deste novo cenário: um colapso de dados e um consequente aumento das ameaças tecnológicas advindas disto. Como forma de frear a situação, regulamentações com regras rígidas sobre privacidade e proteção de dados passaram a ser elaboradas: legislações como a Lei Geral de Proteção de Dados e o General Data Protection Regulation, com requisitos de adequação e rígidas punições às empresas que não prezam pela conformidade, passaram a ser a tônica nos últimos anos.
Na área empresarial, teve quem preferiu “não pagar para ver”; nesses casos, o mercado vem se encarregando de deixá-los de lado no momento da escolha com quem firmar suas parcerias. Por outra banda, quem optou pela conformidade não quer ver seus investimentos irem por água abaixo.
Assim, uma pergunta costuma ser comum às empresas: como manter o engajamento dos colaboradores nas regras trazidas pelos programas de governança em privacidade? Como não deixar os documentos e procedimentos ajustados engavetados durante um ano inteiro? A resposta parece estar nos treinamentos e na conscientização frequente!
Direto ao ponto: treinamentos em LGPD são obrigatórios?
Apesar de não constarem expressamente na lei, de certa forma, é possível entender que sim. Os treinamentos e outras medidas de conscientização costumam ser as ferramentas mais eficazes para o atendimento ao princípio da responsabilização e prestação de contas (disposto no art. 6º, X, da LGPD) pela empresa. Além disso, utilizar-se de ações educativas (no plural, ou seja, a formação não deve ser um evento único, mas um processo contínuo) é recomendado expressamente pelo art. 50 da LGPD.
4 razões essenciais para a realização de treinamentos
1. Mitigação de Riscos
Ao equipar os colaboradores com conhecimentos específicos e práticas recomendadas, a empresa reduz significativamente a probabilidade de ocorrência de irregularidades no tratamento, prevenindo, inclusive, vazamentos de dados e outros incidentes de segurança. Colaboradores bem-informados estão mais aptos a identificar e a reagir de maneira adequada a possíveis ameaças, contribuindo para um ambiente corporativo mais seguro e resiliente.
2. Accountability
A responsabilização e a prestação de contas (accountability) são mais que exigências legais: são princípios operacionais que asseguram a credibilidade e a confiança na gestão de dados pessoais na empresa. Na prática, um histórico de treinamentos e um calendário periódico garante a demonstração às autoridades reguladoras e aos titulares dos dados que medidas proativas estão sendo tomadas para assegurar a conformidade com a LGPD e com outras normativas pertinentes.
3. Padronização das noções corporativas de privacidade
As sessões de treinamento atuam como uma ferramenta fundamental para uniformizar o entendimento de conceitos que, por vezes, são intrinsecamente subjetivos - por diversos fatores, como a idade, a formação cultural e as experiências individuais dos colaboradores. Estabelecer um senso comum faz todos ficarem na mesma página.
4. Engajamento dos colaboradores
Treinamentos eficazes fomentam o engajamento dos colaboradores, incentivando-os a se tornarem participantes ativos na proteção da privacidade e na segurança de dados. Através de programas interativos e que reflitam os valores da empresa, os colaboradores se sentem mais conectados aos objetivos do programa e mais motivados a adotar comportamentos que promovam os ideais da empresa.
Quem deve ministrar esses treinamentos?
Os treinamentos de proteção de dados e privacidade podem ser realizados por qualquer profissional que esteja capacitado para tal, não havendo – até o momento em que escrevemos este artigo – nenhuma certificação que o qualifique para tal. Contudo, para que o “barato não saia caro”, é recomendável que os treinamentos sejam conduzidos por profissionais qualificados que possuam expertise na área. Consultorias especializadas em privacidade e proteção de dados são frequentemente escolhidas por terem um conhecimento aprofundado sobre a LGPD e outras legislações pertinentes, bem como experiência prática no manejo de questões complexas de privacidade.
Além disso, espera-se que os Encarregados – ou Data Protection Officers (DPOs), sejam eles internos ou externos à empresa, estejam aptos a realizar esses treinamentos, dada a sua função crítica na supervisão da conformidade com as leis de proteção de dados e na implementação das melhores práticas de privacidade dentro das organizações.
Quais os tipos possíveis de treinamentos e conscientizações em LGPD?
Conscientização em LGPD não precisa significar somente a realização de treinamentos gerais que tratam sobre o conceito de dado pessoal. Pelo contrário, para sair da rotina, trazemos alguns tipos e temas que podem ser pensados:
Além disso, conforme já visto em empresas fora do cenário nacional, o tema privacidade e proteção de dados pode ser interseccionado com outros que façam parte da esfera segurança e informações, tais como segurança da informação, propriedade intelectual e confidencialidade das informações.
Os aliados de um treinamento efetivo
Os comitês de privacidade
Estes grupos funcionam como catalisadores e agentes multiplicadores na promoção de uma cultura de proteção de dados sólida dentro da empresa. Eles não apenas facilitam e coordenam os esforços de treinamento, mas também podem liderar sessões educativas, garantindo que as melhores práticas de segurança sejam compreendidas e aplicadas em consonância com as políticas internas e as regulamentações.
A gamificação dos treinamentos
Ao incorporar elementos de jogos em programas de treinamento de proteção de dados, como competições, sistemas de pontuação, e reconhecimento, as organizações podem aumentar significativamente o envolvimento e a retenção de conhecimento dos colaboradores. Este método torna o aprendizado mais interativo e pode transformar conceitos complexos em experiências mais palpáveis e agradáveis.
A mensuração e o aprimoramento contínuos
A efetividade dos treinamentos deve ser aferida periodicamente. Indicadores de desempenho, testes de penetração e simulações de incidentes são instrumentos valiosos que ajudam a calibrar e refinar os treinamentos, garantindo que eles estejam cumprindo seu papel preventivo.
A frequência deve ser adaptada ao ambiente de risco da organização, mas é recomendável realizar sessões de atualização gerais ao menos uma vez a cada 6 (seis) meses, e as específicas com maior frequência, com exercícios práticos ocorrendo de forma mais regular.
Os treinamentos são um elo crítico na cadeia de segurança da informação. Investir na capacitação é investir na resiliência e na sustentabilidade do negócio.
Caso tenha dúvidas em como construir um programa de treinamento personalizado que não só eduque, mas que também empodere seus colaboradores e equipe de privacidade no cumprimento efetivo da LGPD, conte conosco!
Comments