Porque o mapeamento de dados é tão importante quando tratamos da adequação à LGPD?
Quando uma empresa encontra-se em processo de adaptação às normas de proteção de dados (LGPD, GDPR, CCPA), o mapeamento de dados, data mapping ou inventário de dados é um documento fundamental.
Com a entrada em vigor das legislações sobre a proteção de dados, o mapeamento de dados torna-se mais evidente e mais popular. Para atender às exigências necessárias para adequação à LGPD no Brasil, é inevitável realizar o mapeamento de dados, visto que, com este documento, tem-se o panorama geral dos procedimentos que a empresa está adotando e como a empresa está lidando para alcançar o exigido em privacidade e segurança das informações.
Dentre as informações e dados que são verificados na realização do mapeamento de dados estão:
• Dados pessoais tratados;
• Fluxos;
• Análise de processos;
• Volumetria;
• Transferências para terceiros;
• Transferências internacionais;
• Ciclo de vida dos dados;
• Tipos de medidas de segurança existentes nos fluxos e processos;
• entre outros.
Deve-se ter em mente que, caso algum dado seja esquecido de ser mapeado ou, ocorra a indicação de uma base legal que não reflete o tratamento esperado pela empresa, a empresa terá resultados inadequados e possíveis prejuízos financeiros.
Existem questões que são de primordial importância ao realizar um mapeamento de dados:
• Como elaborar políticas e procedimentos, sem entender as formas e períodos de armazenamento?
• Como recomendar medidas de adequação sem entender os fluxos e os processos que abrangem os dados pessoais?
• Como organizar documentos, sem saber quais dados verdadeiramente são tratados?
• Como é realizada a governança dos dados?
• Como saber quais tipos de transferências são realizadas?
Quando tratamos da Lei nº. 13.709/18 (LGPD), o mapeamento de dados é ideal para entender o ciclo de vida dos dados dentro da empresa/ambiente. Nele, podemos identificar e definir os dados pessoais comuns dos dados pessoais sensíveis, bem como descobrir e entender como os dados são coletados, como se movimentam dentro da referida empresa/ambiente, quais são os canais de entrada, a finalidade, locais de armazenamento, os fluxos existentes dentro e fora e se são eliminados ou anonimizados.
O mapeamento também facilita a elaboração do ROPA – Reports os Processing Activities, documento obrigatório, conforme artigo 37 da LGPD e artigo 30 da GDPR. Entende-se ROPA, como o registro, realizado por controladores e operadores, de todas as operações que compreendem os dados pessoais, principalmente quando a base legal do tratamento for de legítimo interesse.
Resumindo, o mapeamento de dados é um levantamento de riscos, sendo um dos pilares de um programa de compliance.