Quem responde quando o dado pessoal vaza pelo cadastro

Quando um dado pessoal escapa por um cadastro — planilha compartilhada com fornecedor, campo de observação com informação de saúde, base exportada por quem já saiu — a primeira pergunta é sempre "de quem é a culpa". É a pergunta errada. A certa é: quem responde, por qual parte, e o que cada um deveria ter feito antes.

Controlador é a empresa, não uma pessoa

Controlador é quem decide sobre a finalidade e os meios do tratamento. Na prática quase sempre é a própria empresa, como pessoa jurídica. Não é o gerente da área nem o time de TI.

Isso tem consequência direta: a responsabilidade não se transfere para o funcionário que operou. Ela pode gerar consequência trabalhista interna, mas perante o titular e a autoridade responde o controlador.

Operador executa por conta do controlador

Operador é quem trata dado pessoal em nome do controlador — o fornecedor de folha, o serviço de e-mail marketing, a consultoria que recebeu um extrato para analisar.

O operador tem obrigações próprias e responde solidariamente quando descumpre a instrução recebida ou a lei. Mas note a inversão que costuma pegar as empresas: se o controlador não deu instrução escrita, fica difícil sustentar que o operador a descumpriu.

Daí a importância do contrato com cláusula de tratamento, finalidade limitada, proibição de subcontratar sem aviso e obrigação de comunicar incidente em prazo curto. Sem isso, o vazamento no fornecedor vira problema integralmente seu.

Encarregado não é o culpado de plantão

O encarregado — o DPO — é canal de comunicação com titulares e com a autoridade, e orienta a empresa. Não é ele que responde pelo incidente, e não deveria ser ele que decide sobre finalidade: quem decide é o negócio.

Encarregado sem acesso à decisão e sem orçamento é figura decorativa. E encarregado que acumula a operação do que deveria fiscalizar tem conflito de interesse evidente.

O que muda no cadastro

Três controles resolvem a maior parte dos incidentes que nascem ali.

Campo livre é onde entra dado sensível não previsto. "Observações" recebe informação de saúde, de origem racial, de processo judicial. Restringir, orientar e revisar periodicamente vale mais que qualquer política.

Exportação sem rastro é o segundo. Quem consegue baixar a base inteira, com que justificativa, e onde isso fica registrado.

Acesso que sobrevive à saída da pessoa é o terceiro. Revisão de acesso por evento de RH, não por calendário.

Quando o incidente acontece

Contenha primeiro, documente durante. Registre horário, o que se sabia em cada momento e quem decidiu o quê — essa linha do tempo é o que sustenta a comunicação à autoridade e ao titular.

Avaliar risco relevante ao titular é decisão jurídica e de negócio, e o critério não é a vontade de evitar exposição. Comunicar tarde, tendo sabido cedo, agrava.

O que fazer antes

Contrato com operador. Inventário que diga onde há dado sensível. Prazo de retenção com rotina de expurgo que funcione. Registro de decisão sobre base legal.

Nenhum desses quatro é técnico, e é por isso que costumam faltar.