Gestão de Riscos de Privacidade

O que é Gestão de Riscos de Privacidade?

A gestão de riscos de privacidade consiste em identificar, analisar, avaliar e tratar os riscos relacionados ao tratamento de dados pessoais, garantindo conformidade com a LGPD e protegendo os direitos dos titulares.

Risco é o efeito da incerteza nos objetivos.

ISO 31000

A ISO 31000, norma internacional para gestão de riscos, oferece uma abordagem estruturada que pode ser adaptada a qualquer organização, independentemente do porte ou setor. Outra ferramenta muito útil é o Manual de Gestão de Riscos do TCU complementa essa visão com diretrizes práticas para o setor público e privado no Brasil.

No contexto da LGPD, os riscos de privacidade incluem vazamentos de dados, uso indevido de informações pessoais, multas regulatórias e danos à reputação. Um processo bem implementado não apenas mitiga esses riscos, mas também fortalece a governança corporativa.

Fundamentos do Processo de Gestão de Riscos de Privacidade

A gestão de riscos de privacidade representa um componente estratégico para organizações que buscam conformidade regulatória e proteção efetiva de dados pessoais. Quando estruturada segundo a ISO 31000, o processo de gestão de riscos segue uma estrutura cíclica e contínua, com etapas bem definidas:

1. Comunicação e consulta;
2. Estabelecimento do contexto organizacional;
3. Processo de avaliação de riscos, incluindo:
   • Identificação de riscos;
   • Análise de riscos;
   • Avaliação de riscos;
4. Tratamento dos riscos identificados;
5. Monitoramento e análise crítica;
6. Documentação do processo.

Vamos explorar cada etapa adaptada ao contexto específico da privacidade de dados.

Comunicação e Consulta: Diálogo e Consulta Colaborativa

O primeiro pilar de uma gestão de riscos eficaz é a comunicação transparente. Esta etapa permeia todo o processo e envolve o diálogo contínuo com todos os interessados, incluindo:

• Equipes internas (TI, jurídico, operações);
• Liderança organizacional;
• Parceiros de negócios.

Uma comunicação e consulta eficaz permite capturar perspectivas diversas sobre riscos de privacidade, garantindo que diferentes preocupações sejam consideradas. Recomenda-se desenvolver um plano estruturado de comunicação que defina canais, frequência e responsáveis pelo compartilhamento de informações relevantes, que deve permear todo o processo de gestão de riscos.

A comunicação busca promover a conscientização e o entendimento do risco, enquanto a consulta envolve obter retorno e informação para auxiliar na tomada de decisão.

ISO 31000

Contextualização Organizacional

Antes de identificar riscos específicos, é essencial compreender o ambiente interno e externo em que a organização opera. Esta etapa envolve:

• Mapear quais objetivos ou resultados devem ser alcançados relacionados à privacidade;
• Levantamento dos processos relevantes para o alcance dos objetivos e resultados;
• Identificar os atores envolvidos;
• Análise do ambiente regulatório (LGPD e outras normas aplicáveis);
• Identificação das expectativas dos stakeholders e titulares de dados;
• Levantamento de restrições operacionais e tecnológicas;
• Compreensão da cultura organizacional em relação à privacidade.

A contextualização permite estabelecer parâmetros para as próximas etapas e deve ser documentada de forma clara.

Nesta etapa, importante também que sejam definidos os critérios de risco, como a probabilidade de um vazamento e o impacto financeiro ou reputacional.

A documentação dessa etapa geralmente inclui:

• Uma descrição objetiva e concisa dos propósitos organizacionais, dos elementos cruciais para alcançar o sucesso e uma avaliação detalhada das condições internas e externas do ambiente (como na análise SWOT);
• Uma análise dos grupos de interesse, considerando seus objetivos e preocupações (utilizando ferramentas como a análise de stakeholders, RECI ou matriz de responsabilidades);
• A definição dos principais parâmetros para análise e avaliação dos níveis de risco, englobando escalas de probabilidade e impacto, além de diretrizes para determinar a aceitabilidade ou tolerância ao risco, bem como para priorização e tratamento (ou respostas) relacionados aos riscos identificados.

Processo Tripartite de Avaliação de Riscos

Identificação de Riscos: Mapeando Vulnerabilidades de Privacidade

A identificação de riscos busca descobrir e registrar eventos potenciais que possam comprometer a privacidade dos dados de forma ampla. O objetivo é produzir uma lista abrangente de riscos, incluindo causas, fontes e eventos, que
possam ter um impacto no alcance dos objetivos identificados na etapa anterior.

Métodos eficazes incluem:

• Workshops colaborativos com equipes multidisciplinares;
• Análise de fluxos de dados pessoais na organização;
• Revisão de incidentes anteriores (próprios ou do setor);
• Consulta a especialistas em privacidade;
• Técnicas de brainstorming estruturado.

O resultado deve ser uma lista abrangente de riscos específicos, cada um contendo os seguintes componentes:

1. Descrição do evento de risco;
2. Causas potenciais;
3. Consequências possíveis para a organização e titulares de dados.

A documentação dessa etapa geralmente inclui pelo menos:

1. o escopo do processo, projeto ou atividade coberto pela identificação;
2. os participantes do processo de identificação;
3. a abordagem ou o método utiliza do para identificação dos riscos e as fontes de informação consultadas;
4. o registro dos riscos identificados com seus componentes como acima listado.

Análise de Riscos: Quantificando o Risco de Privacidade

Após identificar os riscos, é necessário analisá-los para determinar seu nível, isto é, sua magnitude.

A análise dos riscos segue os seguintes passos:

1. Avaliar o impacto do risco sobre o objetivo;
2. Avaliar a probabilidade de ocorrência do risco;
3. Definir o nível do risco com base na matriz probabilidade x impacto.

Risco = Probabilidade x Impacto

Uma metodologia possível é utilizar escalas para probabilidade (1-15) e impacto (1-5), multiplicando-as para obter um nível de risco inerente. Por exemplo:

Escala de Probabilidade:

PROBABILIDADE	DESCRIÇÃO DA PROBABILIDADE
Muito baixa	Improvável. Em situações excepcionais, o evento poderá até ocorrer, mas nada nas circunstâncias indica essa possibilidade.
Baixa	Rara. De forma inesperada ou casual, o evento poderá ocorrer, pois as circunstâncias pouco indicam essa possibilidade.
Média	Possível. De alguma forma, o evento poderá ocorrer, pois as circunstâncias indicam moderadamente essa possibilidade.
Alta	Provável. De forma até esperada, o evento poderá ocorrer, pois as circunstâncias indicam fortemente essa possibilidade.
Muito alta	Praticamente certa. De forma inequívoca, o evento ocorrerá, as circunstâncias indicam claramente essa possibilidade.

Escala de Impacto:

PROBABILIDADE	DESCRIÇÃO DA PROBABILIDADE
Muito baixo	Mínimo impacto nos objetivos (estratégicos, operacionais, de informação/comunicação/divulgação ou de conformidade)
Baixo	Pequeno impacto nos objetivos.
Médio	Moderado impacto nos objetivos.
Alto	Significativo impacto nos objetivos, de difícil reversão.
Muito alto	Catastrófico impacto nos objetivos (idem), de forma irreversível.

Para cada risco, também se deve avaliar os controles existentes, determinando um nível de confiança que reflita sua eficácia. O risco residual pode então ser calculado, considerando o efeito mitigador destes controles. “Os controles incluem qual quer processo, política, dispositivo, prática ou outras ações e medidas que a gestão adota com o objetivo de modificar o nível de risco” (ISO 31000). Se um controle tem nível de confiança (NC) de 60%, o risco residual será:

NRR = NRI x (1 – NC)
NRR = 40 x (1 – 0,6) = 16 (baixo)

A etapa de análise de riscos é registrada no documento chamado registro de riscos, que normalmente abrange os seguintes itens:

1. O método ou abordagem adotado para a análise, as fontes de informação utilizadas e os participantes envolvidos no processo;
2. Os critérios aplicados para classificar a probabilidade e o impacto dos riscos;
3. A probabilidade de ocorrência de cada evento identificado, a magnitude ou gravidade dos impactos nos objetivos e suas descrições, além de considerações sobre a análise desses aspectos e o resultado de sua combinação, denominado risco inerente;
4. A descrição dos controles existentes, incluindo uma avaliação de sua eficácia, gerando assim o risco de controle;
5. O nível de risco residual, que surge da combinação dos riscos inerente e de controle.

Avaliação de Riscos: Priorizando Ações de Privacidade

A etapa de avaliação compara os níveis de risco obtidos com os critérios estabelecidos durante a contextualização., ou seja, utiliza os níveis de risco calculados para avaliar se eles estão dentro do apetite a risco da organização. Riscos altos exigem ação imediata, enquanto riscos baixos podem ser monitorados.

Esta comparação permite:

• Classificar riscos em categorias (baixo, médio, alto, extremo);
• Determinar quais riscos exigem tratamento imediato;
• Estabelecer prioridades de ação;
• Identificar riscos que podem ser aceitos sem ação adicional.

Uma possível classificação seria:

• Risco Baixo (0-9): Monitoramento periódico, sem ações imediatas;
• Risco Médio (10-39): Atenção gerencial, controles regulares;
• Risco Alto (40-79): Ação necessária, comunicação à alta gestão;
• Risco Extremo (80-100): Resposta imediata, escalação urgente.

Tratamento de Riscos

Com base na avaliação, a organização deve selecionar estratégias apropriadas para modificar o nível de risco, especialmente daqueles com risco significativo. Estas estratégias incluem:

• Evitar: Eliminar a atividade que gera o risco (ex: descontinuar coleta de dados sensíveis desnecessários);
• Mitigar: Implementar controles para reduzir probabilidade ou impacto (ex: anonimização, criptografia);
• Transferir: Compartilhar o risco com terceiros (ex: seguro cibernético, termos contratuais);
• Aceitar: Reconhecer e tolerar o risco sem ação adicional (para riscos baixos ou com mitigação muito custosa).

Escolher a alternativa mais apropriada requer balancear, por um lado, os custos e esforços necessários para sua implementação, e, por outro, os benefícios que ela pode proporcionar. Para cada risco que requer tratamento, deve-se desenvolver um plano que especifique:

1. Ação proposta e os recursos necessários;
2. As razões para sua escolha e o resultado esperado;
3. Responsáveis pela aprovação e implementação
4. Prazo para conclusão;
5. Métrica para medir eficácia;
6. Formas de monitoramento.

Monitoramento e Análise Crítica

O ambiente de privacidade evolui constantemente, com novas ameaças, regulamentações e tecnologias surgindo regularmente. Por isso, a gestão de riscos é um processo contínuo, da mesma forma que seu monitoramento. Monitore os controles, revise os planos e ajuste as estratégias conforme o contexto muda.

O monitoramento contínuo é essencial e deve:

• Verificar a implementação das medidas de tratamento;
• Avaliar a eficácia dos controles existentes;
• Identificar mudanças no contexto que afetam o perfil de risco;
• Detectar novos riscos emergentes;
• Capturar lições aprendidas com incidentes.

Mecanismos eficazes de monitoramento podem incluir:

• Auditorias periódicas de privacidade;
• Indicadores-chave de risco (KRIs);
• Revisões pós-incidente;
• Testes de controles;
• Feedback de titulares de dados.

Documentação e Registro

Por fim, todo o processo de gestão de riscos deve ser adequadamente documentado para:

• Demonstrar conformidade regulatória (accountability);
• Facilitar a revisão e melhoria do processo;
• Permitir a aprendizagem organizacional;
• Apoiar a tomada de decisão;
• Fornecer evidências em caso de questionamentos.

A documentação deve ser clara, concisa e acessível aos responsáveis, incluindo um registro centralizado de riscos que capture todas as informações relevantes sobre cada risco identificado.

Conclusão

Uma abordagem estruturada para gestão de riscos de privacidade, inspirada na ISO 31000, fornece às organizações um método sistemático para proteger dados pessoais e assegurar conformidade regulatória. Mais que uma obrigação legal, esta prática representa uma oportunidade para construir confiança com os titulares de dados e diferenciar-se no mercado.

Ao implementar este processo, as organizações não apenas reduzem o risco de sanções e danos reputacionais, mas também demonstram compromisso genuíno com a privacidade como valor fundamental do negócio.

---

Este artigo foi elaborado com base nos princípios da norma ISO 31000 e nas melhores práticas de gestão de riscos, adaptados especificamente para o contexto da privacidade de dados e conformidade com a LGPD.