A proteção dos dados pessoais dos colaboradores no ambiente de recursos humanos se tornou uma questão de extrema importância no cenário corporativo atual. Com o aumento exponencial da coleta e processamento de informações sensíveis, a segurança desses dados é vital para evitar vazamentos, acessos não autorizados e possíveis crimes cibernéticos. Neste artigo, mergulharemos profundamente nas responsabilidades dos Profissionais de Proteção de Dados (DPOs), Gestores de Recursos Humanos e Chefes de Segurança da Informação (CISOs) em relação à proteção de dados pessoais. Além disso, examinaremos as sanções que podem ser aplicadas em casos de não conformidade, embasando nossas análises em regulamentações como a Lei Geral de Proteção de Dados (LGPD), a Consolidação das Leis do Trabalho (CLT) e outras legislações pertinentes.
A Realidade das Estatísticas: Riscos e Ameaças
As estatísticas são inegáveis: mais de 70% das empresas enfrentaram incidentes relacionados à segurança de dados nos últimos anos. Nesse cenário, a área de recursos humanos, que lida com diversas informações como históricos médicos, planos de saúde, números de CPF etc., assume um papel crucial na mitigação dos riscos. Não surpreendentemente, mais de 60% dos vazamentos de dados são originados internamente. Isso destaca a necessidade de sistemas de segurança cibernética robustos, mas também a importância de uma cultura organizacional sólida que internalize os princípios de privacidade e proteção de dados. Incidentes desse tipo podem não apenas comprometer a segurança da informação, mas também gerar prejuízos financeiros significativos e minar a confiança dos colaboradores e clientes.
A Lei Geral de Proteção de Dados (LGPD) é a pedra angular da regulamentação de proteção de dados no Brasil. Ela estabelece diretrizes claras para o tratamento adequado de dados pessoais e requer a nomeação de um DPO para supervisionar as práticas de privacidade. A Consolidação das Leis do Trabalho (CLT) complementa a proteção dos dados dos trabalhadores, definindo obrigações quanto à manutenção do sigilo de informações sensíveis.
DPOs, Gestores de RH e CISOs: Responsabilidades e Riscos
Dentro deste contexto, os gestores possuem responsabilidades operacionais e legais em suas ações, tendo riscos diferenciados, mas que, no todo, podem prejudicar os colaboradores, ou o titular de dados, de acordo com a LGPD.
O papel, a responsabilidade e o risco de cada gestor, se compreende:
- DPO (Profissional de Proteção de Dados): O DPO desempenha um papel crítico na engrenagem da conformidade. Responsável por assegurar o cumprimento da LGPD, ele atua como elo entre a organização, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD). O DPO deve supervisionar as operações de tratamento de dados, conduzir avaliações de impacto à privacidade e garantir que a proteção de dados seja incorporada às atividades da organização. Em caso de falhas na supervisão adequada das atividades de tratamento de dados pessoais, o DPO poderá enfrentar sanções administrativas, assim que a ANPD regularizar sua atuação, aos moldes europeus, incluindo advertências e multas, conforme previsto na LGPD. Já, no cenário civil, ele pode ser responsabilizado civilmente e ser obrigado a indenizar os prejudicados.
- Gestores de Recursos Humanos: Os gestores de RH desempenham um papel vital na garantia da conformidade com a legislação. Eles devem assegurar que a coleta, uso e armazenamento de dados pessoais dos colaboradores ocorram em estrita conformidade com as regulamentações, garantindo o tratamento legal e ético, conforme estabelecido na CLT, e em casos de divulgação indevida de informações, os gestores de RH podem enfrentar medidas disciplinares internas, como a responsabilização civil e até mesmo criminalmente por violação da privacidade e sigilo das informações.
- CISOs (Chefes de Segurança da Informação): CISOs têm a tarefa de proteger a organização contra ameaças cibernéticas. No contexto dos recursos humanos, sua responsabilidade se estende à salvaguarda dos dados pessoais dos colaboradores. A implementação de medidas de segurança da informação adequadas, como criptografia, firewalls, autenticação de dois fatores e auditorias regulares de segurança, é crucial. Os CISOs têm a responsabilidade de implementar medidas de segurança tecnológica para proteger os dados pessoais, e em caso de falhas na implementação ou manutenção dessas medidas, eles podem enfrentar sanções administrativas, bem como, se resultar em violações de dados e danos financeiros ou reputacionais à organização, podem ser considerados civilmente responsáveis e, em casos graves, até mesmo enfrentar acusações criminais por negligência ou falta de diligência.
Outro fator importante é a responsabilização corporativa, ou seja, a responsabilidade da empresa frente a proteção dos dados pessoais e outras legislações. A falta de conformidade com a LGPD e outras regulamentações pode acarretar sérias consequências, visto que a legislação prevê multas que variam de 2% do faturamento até R$ 50 milhões por infração. Além disso, ações judiciais individuais podem ser intentadas por colaboradores prejudicados, buscando reparação por danos materiais e morais.
O caso de maior divulgação foi de uma empresa varejista penalizada em R$ 1,5 milhão em 2021 por coletar dados biométricos de funcionários sem consentimento, refletindo a seriedade das sanções. Em outro caso, um banco enfrentou uma ação de R$ 70 milhões devido a um vazamento de dados que impactou colaboradores. Ambos os exemplos enfatizam a determinação das autoridades em garantir conformidade e a importância crítica da proteção de dados.
Medidas de Mitigação e Boas Práticas
Para mitigar riscos, é crucial seguir as diretrizes de renomadas normas de segurança da informação, como a ISO 27001, ISO 27701, NIST e CIS. Implementar uma abordagem de privacidade por design é recomendado, integrando princípios de proteção de dados desde a concepção de sistemas e processos. A nomeação de um DPO qualificado, obrigatório pela LGPD, e a criação de um comitê interno de privacidade podem fortalecer a governança dos dados.
Além disso, medidas técnicas são essenciais. A ISO 27001 traz um conjunto abrangente de controles para garantir a segurança da informação. A ISO 27701 complementa a ISO 27001, fornecendo diretrizes para estender o sistema de gerenciamento de segurança da informação à privacidade. As diretrizes do NIST e do CIS também oferecem uma rica base de boas práticas de segurança.
A proteção de dados nos recursos humanos não é uma escolha, mas uma obrigação legal e ética. A interseção da LGPD, da CLT e de outras regulamentações estabelece um ambiente onde DPOs, Gestores de RH e CISOs têm papéis fundamentais. O não cumprimento dessas responsabilidades pode resultar em multas substanciais e ações judiciais. A busca incessante pela conformidade e segurança deve ser uma prioridade para preservar a confiança dos colaboradores e clientes. Adotar práticas sólidas de segurança da informação e promover conscientização são passos fundamentais na jornada para proteger os dados pessoais no ambiente corporativo.
Conteúdo disponibilizado pela Okai.
