O 3º Encontro ANPD de Encarregados, realizado em Brasília no dia 19 de agosto, deixou uma mensagem bastante clara: a proteção de dados está entrando em uma fase mais madura.

A discussão já não gira apenas em torno de políticas, termos, documentos e adequação formal à LGPD. O foco está cada vez mais em governança, riscos, tecnologia e na capacidade das organizações de entender como os dados pessoais circulam em suas operações.

E isso muda bastante o papel do encarregado.

O DPO está ficando mais próximo do negócio

Um dos pontos que mais chamou atenção no encontro foi a visão de um encarregado menos isolado e mais conectado com as áreas da organização.

O DPO precisa conversar com Tecnologia, Segurança da Informação, Jurídico, Compliance, Recursos Humanos, Marketing e com as próprias áreas de negócio.

Não significa que ele passe a decidir tudo sobre proteção de dados. A responsabilidade continua sendo da organização. Mas fica cada vez mais difícil imaginar uma boa governança sem que o encarregado participe das discussões que envolvem dados pessoais.

Na prática, o DPO precisa conhecer a operação para conseguir orientar bem.

Inteligência Artificial entrou de vez na agenda

A Inteligência Artificial Generativa foi um dos grandes temas do encontro, e não poderia ser diferente.

Ferramentas de IA já fazem parte do cotidiano das empresas e dos órgãos públicos. Muitas vezes, elas entram na organização antes mesmo de existir uma regra clara sobre seu uso.

E aí surgem perguntas importantes.

Que tipo de informação está sendo enviada para uma ferramenta de IA? Existem dados pessoais? Dados sensíveis? Informações de clientes? Funcionários? O fornecedor utiliza esses dados de alguma forma? Onde eles são processados?

A discussão sobre IA mostrou que não basta decidir se uma tecnologia pode ou não ser usada.

É preciso entender como ela está sendo usada e quais dados estão envolvidos.

Incidentes: descobrir onde estão os dados depois do problema é tarde

Outro tema importante foi o papel do encarregado diante dos incidentes de segurança.

Quando acontece um vazamento ou outro incidente envolvendo dados pessoais, uma das primeiras dificuldades é entender o tamanho do problema.

Quais dados foram afetados? De quais titulares? Em qual processo? Qual sistema estava envolvido? Havia fornecedor ou operador participando daquele tratamento?

Essas respostas não deveriam começar a ser procuradas somente quando o incidente acontece.

Uma organização preparada precisa conhecer seus tratamentos antes do problema.

Esse talvez seja um dos pontos que melhor mostra a aproximação entre privacidade, segurança da informação e gestão de riscos.

Crianças e adolescentes exigem ainda mais cuidado

O encontro também trouxe para o debate os novos desafios relacionados à proteção de crianças e adolescentes no ambiente digital. É um tema que exige atenção especial porque não envolve apenas cumprir uma obrigação legal.

É preciso pensar no próprio desenho dos serviços, na necessidade real da coleta de determinados dados, nos riscos envolvidos e na proteção desses titulares desde o início.

Mais uma vez, a palavra que aparece é governança. Não é apenas criar um documento. É incorporar a proteção de dados às decisões do dia a dia.

E o ROPA aparece naturalmente nessa discussão

Em praticamente todos esses assuntos existe uma pergunta em comum: A organização sabe realmente como trata dados pessoais?

É aqui que o ROPA deixa de ser apenas uma obrigação ou uma planilha preenchida durante um projeto de adequação.

Um bom inventário de operações de tratamento ajuda a organização a entender suas atividades, os dados envolvidos, as finalidades, os titulares, os sistemas utilizados, os compartilhamentos, os fornecedores, a retenção e os controles existentes.

É uma base importante para lidar com IA, incidentes, riscos e direitos dos titulares.

Essa é justamente a visão que defendemos na Engenharia do ROPA, método encapsulado no LGPDLITE.com: o ROPA não deve ser tratado apenas como um formulário ou uma lista de informações, mas como uma forma estruturada de compreender a operação da organização e construir governança sobre os dados pessoais.

A LGPD entrou em uma nova fase

Talvez essa seja a principal conclusão do 3º Encontro ANPD de Encarregados. A primeira fase da LGPD foi marcada pela preocupação com adequação. Agora, a discussão está se deslocando para outra pergunta: como manter a proteção de dados funcionando de forma contínua dentro da organização?

Isso envolve pessoas, processos, tecnologia, riscos, segurança, fornecedores e decisões de negócio.

Nesse novo cenário, o DPO ganha importância não porque passa a ser responsável por tudo, mas porque se torna uma peça importante na conexão entre essas diferentes áreas.

E, quanto mais complexos ficam os tratamentos de dados, mais importante se torna conhecer a operação.

No fim, governança começa por algo bastante simples de dizer, mas nem sempre simples de fazer:

Saber onde estão os dados, por que estão sendo tratados, como são utilizados e quem participa desse tratamento.