Certificação BR Data Protection (ABNT NBR 17000): A Conformidade da LGPD no Brasil

Certificação BR Data Protection (ABNT NBR 17000): A Conformidade da LGPD no Brasil

A Certificação BR Data Protection, formalmente conhecida como ABNT NBR 17000, é uma norma técnica desenvolvida pela ABNT (Associação Brasileira de Normas Técnicas) com o objetivo de auxiliar as organizações na adequação e demonstração de conformidade com a Lei Geral de Proteção de Dados Pessoais (LGPD). Diferente das ISOs, que possuem um escopo global, a NBR 17000 é especificamente brasileira e focada nas particularidades da legislação de proteção de dados no país.

Seu principal foco é avaliar os processos de tratamento de dados pessoais dentro de uma organização, garantindo que eles estejam em conformidade com os princípios e requisitos da LGPD. Ela serve como um guia prático para as empresas brasileiras implementarem um sistema de gestão de privacidade eficaz e demonstrarem sua responsabilidade e governança em relação aos dados pessoais.

Por que a ABNT NBR 17000 é importante?

• Conformidade Direta com a LGPD: É a única norma brasileira que aborda especificamente os requisitos da LGPD, oferecendo um framework detalhado para a conformidade.

• Reconhecimento Nacional: Por ser desenvolvida pela ABNT, principal órgão de normalização técnica do Brasil, a certificação confere um reconhecimento forte no mercado nacional.

• Diferencial Competitivo: Ajuda a construir confiança com clientes, parceiros e reguladores, mostrando o compromisso da organização com a proteção de dados pessoais, o que pode ser um grande diferencial no mercado.

• Redução de Riscos e Multas: Ao seguir as diretrizes da norma, a organização minimiza o risco de incidentes de segurança de dados e as consequentes sanções e multas da Autoridade Nacional de Proteção de Dados (ANPD).

• Melhora da Governança de Dados: Fornece uma estrutura para organizar e gerenciar os processos de tratamento de dados de forma mais eficiente e transparente.

Como se Adequar à ABNT NBR 17000?

A adequação à ABNT NBR 17000, e consequentemente à LGPD, envolve um processo que pode ser dividido nas seguintes etapas:

1. Diagnóstico e Entendimento da LGPD/NBR 17000:

   • Familiarize-se com os princípios e requisitos da LGPD e as diretrizes da ABNT NBR 17000.

   • Realize um diagnóstico inicial (gap analysis) para identificar as lacunas entre as práticas atuais da sua organização e os requisitos da norma e da lei. Isso envolve mapear os dados pessoais coletados, como são tratados, onde são armazenados, quem tem acesso, etc.

2. Planejamento e Desenvolvimento do Programa de Privacidade:

   • Defina a estrutura de governança de privacidade na organização, incluindo papéis e responsabilidades (como o DPO – Encarregado de Dados).

   • Crie um plano de ação detalhado para cobrir as lacunas identificadas, priorizando as ações com base no risco e impacto.

3. Implementação das Medidas de Conformidade:

   • Mapeamento de Dados e Registros de Operações de Tratamento: Documente todo o ciclo de vida dos dados pessoais na organização.

   • Revisão e Adaptação de Contratos: Adeque contratos com fornecedores, clientes e parceiros para incluir cláusulas de proteção de dados.

   • Desenvolvimento de Políticas e Procedimentos: Crie ou revise políticas de privacidade, termos de uso, políticas de segurança da informação, procedimentos para resposta a incidentes, gestão de consentimentos, e atendimento aos direitos dos titulares.

   • Medidas de Segurança: Implemente medidas técnicas e organizacionais de segurança da informação para proteger os dados pessoais contra acessos não autorizados, perdas ou vazamentos.

   • Gestão de Riscos: Realize Avaliações de Impacto à Proteção de Dados (DPIA/RIPD) para operações de tratamento de alto risco.

   • Treinamento e Conscientização: Eduque todos os colaboradores sobre a LGPD, as políticas de privacidade da empresa e suas responsabilidades no tratamento de dados.

4. Monitoramento, Auditoria e Melhoria Contínua:

   • Auditorias Internas: Conduza auditorias periódicas para verificar a eficácia do programa de privacidade e identificar não conformidades.

   • Revisão pela Alta Direção: A liderança da organização deve revisar periodicamente o programa de privacidade para garantir sua adequação e promover a melhoria contínua.

   • Gestão de Incidentes: Estabeleça um plano de resposta a incidentes de segurança e violação de dados.

5. Solicitação de Certificação (Auditoria Externa):

   • Após a implementação e verificação interna da conformidade, a organização pode contratar um organismo certificador credenciado para realizar a auditoria de certificação.

Quem Pode Certificar a Empresa?

A certificação ABNT NBR 17000 é concedida por organismos de certificação independentes e acreditados. No Brasil, esses organismos devem ser acreditados pelo INMETRO (Instituto Nacional de Metrologia, Qualidade e Tecnologia) para garantir a validade e a credibilidade do certificado.

A ABNT, além de desenvolver a norma, também possui seu próprio braço de certificação, a ABNT Certificadora, que é uma das entidades que podem realizar a auditoria e conceder o selo BR Data Protection. Outros organismos de certificação, desde que devidamente acreditados pelo INMETRO para a NBR 17000, também podem oferecer este serviço.

Ao escolher o organismo certificador, é fundamental verificar se ele possui a acreditação específica para a ABNT NBR 17000 e se tem experiência e reconhecimento no mercado brasileiro de privacidade de dados.

A Certificação BR Data Protection é uma ferramenta poderosa para as empresas que buscam não apenas se adequar à LGPD, mas também demonstrar proativamente seu compromisso com a proteção de dados.