A LGPD chegou. Você sabe onde estão os dados dos seus clientes?

Os consumidores hiperconectados e multicanal do Século 21 trazem para as corporações dois novos desafios: estar presentes em todos os pontos onde eles estão, e cuidar com segurança de todas as informações captadas e geradas por essas interações. Com as legislações de proteção aos dados pessoais – GDPR e LGPD – entrando em vigor no mundo todo, cumprir o segundo desafio é mandatório, porque falhar pode causar perdas financeiras consideráveis.

Para o cumprimento das novas regras de proteção de dados, os líderes corporativos devem se perguntar se estão usando os dados corretamente, diz Katia Ortiz, country manager da ServiceNow no Brasil.  “Devem avaliar se precisam criar novas políticas, se é possível implementar medidas corretivas com base em uma abordagem de risco e se os planos de treinamento com os quais conta sua equipe são suficientes. Com o uso de tecnologias de automatização e soluções baseadas em nuvem, as empresas podem identificar aplicativos que lidam com dados pessoais, fornecer meios para coletar evidências e rastrear a conformidade com todas as regulamentações de maneira simples e eficaz”, diz Ortiz.

O risco de não compliance

Imagine, por exemplo, uma empresa de varejo que, além de lojas físicas, inicia suas operações também no e-commerce. Em seguida, ela decide lançar um cartão de crédito co-branded para os clientes, fazendo para isso parceria com um banco e uma bandeira de cartão. Na continuidade da jornada do seu consumidor, a empresa cria também um programa de fidelidade com pontos e prêmios com diferentes parceiros. E lança um aplicativo móvel.

Agora, imagine um cliente dessa empresa que decide fazer uso da da Lei Geral de Proteção de Dados (LGPD) brasileira, que entra em atividade em agosto de 2020 , ou do Regulamento Geral de Proteção de Dados (GDPR), que protege cidadãos da União Europeia, e solicitar que a empresa de varejo lhe envie todos os dados, interações e informações que armazena sobre ele. Ambas as leis exigem que as organizações demonstrem possuir processos adequados para gerenciar e proteger informações pessoais e que respondam, no prazo máximo de 72 horas, ao pedido de qualquer cidadão. Sob pena de multas pesadas.

“São muitos pontos de contato corporativo e muitos canais recebendo informações de diferentes teores e pesos sobre cada cliente. Para cumprir a lei, a empresa solicitada vai precisar acionar todos os parceiros, que usam diferentes plataformas e várias tecnologias, para recuperar, de cada um, o que existe sobre o cliente, e aí consolidar o relatório”, lembra Willians Medeiros, especialista da divisão Risk e Compliance da ServiceNow.

As novas legislações sobre proteção de dados pessoais e privacidade lançam as empresas em uma jornada com múltiplas tarefas urgentes:

• Elas precisam criar processos para tratar essas solicitações, que incluem procedimentos corretos de como reportar os pedidos à entidade controladora e de como documentar que foram entregues ao solicitante no prazo;
• Elas precisam mapear seu ecossistema para saber onde estão as informações dos clientes, dentro de casa e em parceiros, identificar o que é capturado ou processado em cada ponto e classificar esses dados de acordo com as especificações das novas leis;
• E, finalmente, precisam garantir que seus sistemas, e dos parceiros, lidam com os dados da forma correta. Por exemplo, que tipo de informação precisa ficar anônima, que tipo de informação pode ser distribuída por e-mail, que tipo de informação pode ser armazenada etc.

A solução ServiceNow Governance, Risk and Compliance combina recursos de segurança, TI e risco em um programa de risco unificado criado na Now Platform®. A solução é reconhecida como Líder no Quadrante Mágico Gartner 2018 para Gerenciamento Integrado de Riscos. Ela permite que os clientes possam responder aos riscos do negócio em tempo real por meio de monitoramento contínuo, priorização e automação. A plataforma pode identificar os aplicativos que acessam dados pessoais e fornecem meios para coletar evidências, avaliando a conformidade desses aplicativos em grupos funcionais.

Entre as principais possibilidades da solução, estão:

• Importar requisitos, descrição e gerenciamento de políticas de GDPR e LGPD
• Gerenciar conformidade com o GDPR e LGPD de terceiros
• Avaliações de impacto de proteção de dados (DPIAs)
• Avaliação de riscos e requisitos de gestão
• Requisitos de auditoria e de tópicos de dados
• Mapeamento de Informações Pessoais Identificáveis (PII)
• Notificação de violação de 72 horas
• Painel de controle de proteção de dados (DPO)

Os primeiros passos para as empresas se adaptarem a leis como a GDPR e a Lei de Proteção de Dados, segundo Willians, é entender como elas usam os dados para definir se precisam fortalecer e projetar novas políticas e sistemas para conformidade com a regulamentação. “Ela consegue priorizar e implementar as principais medidas corretivas usando uma abordagem baseada no risco sozinha? Seus planos de treinamento da equipe sobre proteção de dados são suficientes? Sem a resposta para essas dúvidas, não é possível prosseguir para o plano tático e se adaptar à nova realidade”, lembra Willians.