/CHECKLIST DA LGPD

Medidas de Segurança
para Uso de Dados no RH
Proteja informações pessoais de clientes,
funcionários e fornecedores na sua empresa

A adequação das empresas à Lei Geral de Proteção de

Dados é um processo constante que envolve toda a
organização. Na maioria dos casos, é necessária uma
mudança cultural para que todos os colaboradores,
fornecedores e sócios sintam-se (e sejam) responsáveis
pelo uso correto dos dados pessoais.
Neste sentido, o papel do profissional de RH vai além de
identificar e se certificar sobre o tratamento de dados que
estão sob sua supervisão. Abaixo, listamos ações
necessárias para você acompanhar e garantir a
conformidade da empresa em relação à LGPD.
Preparação e Mapeamento
(__) Criar um Comitê de Privacidade para auxiliar no mapeamento de dados e
processos em todas as áreas da empresa.

(__) Identificar todas as portas de entrada de dados pessoais na empresa, em

meios físicos e digitais.

(__) Identificar a forma de tratamento dos dados pessoais, onde os dados são
armazenados e quais os dispositivos de segurança (como senhas e
criptografia).

(__) Identificar a vida útil das informações dentro da empresa e situações de

risco em relação aos dados.

(__) Definir quem é o encarregado, ou seja, a pessoa da empresa que deve

atuar como canal de comunicação entre o controlador, os titulares dos dados e
a Autoridade Nacional de Proteção de Dados (ANPD). Também é conhecido
como DPO (Data Protection Officer).

(__) Verificar se o tratamento de dados pessoais respeita os 10 princípios

previstos na LGPD.

(__) Verificar se o tratamento de dados pessoais dentro da empresa se

enquadra em uma das 10 hipóteses previstas no Artigo 7º da LGPD.

Atenção: se o uso dos dados de clientes, funcionários, fornecedores ou qualquer

outra pessoa não se enquadra em nenhuma das hipóteses, a empresa não cumpre
a LGPD.
No caso da hipótese do consentimento, é importante garantir que:

(__) O consentimento foi fornecido por escrito ou por outro meio que
demonstre a manifestação de vontade do titular dados, com as finalidades
determinadas e explícitas, sem autorizações genéricas.

(__) O titular seja informado em caso de alteração na finalidade, com a

possibilidade de revogar o consentimento.

(__) O consentimento possa ser revogado a qualquer momento mediante

manifestação expressa do titular, por procedimento gratuito e facilitado.

Em qualquer hipótese a empresa deve garantir que o titular tenha acesso

facilitado às informações sobre o tratamento de seus dados para atender o
princípio do livre acesso. Essas informações são:

(__) Finalidade específica do tratamento;

(__) Forma e duração do tratamento, observados os segredos comercial e

industrial;

(__) Identificação do controlador;

(__) Informações de contato do controlador;

(__) Informações acerca do uso compartilhado de dados pelo controlador e a

finalidade;

(__) Responsabilidades dos agentes que realizarão o tratamento; e

(__) Direitos do titular.

Conscientização
e Treinamento
(__) Realizar a conscientização dos funcionários, via treinamentos e
campanhas sobre as suas obrigações e responsabilidades relacionadas ao
tratamento de dados pessoais conforme disposto na LGPD e normas da ANPD.

Informar os funcionários sobre:

(__) como utilizar controles de segurança dos sistemas de TI relacionados ao

trabalho diário;

(__) como evitar incidentes de segurança, como contaminação por vírus ou

ataques de phishing, que podem ocorrer, por exemplo, ao clicar em links
recebidos na forma de pop-up de ofertas promocionais ou em links
desconhecidos que chegam por e-mail;

(__) manter documentos físicos que contenham dados pessoais dentro de

gavetas, e não sobre as mesas;

(__) não compartilhar logins e senhas de acesso das estações de trabalho;

(__) bloquear os computadores quando se afastar das estações de trabalho,

para evitar o acesso indevido de terceiros;

(__) seguir as orientações da política de segurança da informação.

Implementação
e Gerenciamento
(__) Estabelecer uma política de segurança da informação simplificada, que
estabeleça controles relacionados ao tratamento de dados pessoais, como
cópias de segurança, uso de senhas, acesso à informação, compartilhamento
de dados, atualização de softwares, uso de correio eletrônico e uso de
antivírus.

(__) Criar Políticas de Privacidade respeitando as diferentes necessidades de

tratamento de dados pessoais, sejam de clientes, colaboradores, candidatos,
fornecedores ou terceirizados.

(__) Gerenciar contratos e aquisições com observância ao tratamento

adequado dos dados pessoais. Em caso de contratos vigentes, como os dos
funcionários, é possível criar aditivos.

(__) No processo seletivo, colher o consentimento expresso do candidato à

vaga para a utilização e armazenamento dos dados pessoais presentes no
currículo e colhidos durante as entrevistas e etapas do processo seletivo.

(__) Caso os dados do candidato sejam mantidos em um banco de talentos,

garantir o consentimento do titular para essa finalidade.

(__) Garantir a exclusão dos dados do candidato que não foi contratado ao fim
do processo seletivo, se assim ele manifestar preferência.

(__) Para os casos em que o candidato seja contratado, colher novamente o

consentimento, dessa vez para envios de comunicados internos, análises de
bem-estar laboral, entre outras ações.

(__) Implementar um sistema de controle de acesso aplicável a todos os

usuários, com níveis de permissão na proporção da necessidade de trabalhar
com o sistema e de acessar dados pessoais.

(__) Configurar funcionalidades no sistema de controle de acesso que possam

detectar e não permitir o uso de senhas que não respeitem um certo nível de
complexidade.
Implementar um gerenciamento de senhas adequado, estabelecendo
controles como:

(__) evitar o uso de senhas padrão disponibilizadas pelos fornecedores de

software ou hardware adquiridos;

(__) utilizar apenas senhas complexas para acessar aplicativos e outros

sistemas informáticos;

(__) não reutilizar senhas.

(__) Proibir o compartilhamento de contas ou de senhas entre funcionários.

(__) Utilizar a autenticação multi-fator para acessar sistemas ou base de dados

que contenham dados pessoais.

(__) Implementar um sistema de controle de acesso aplicável a todos os

usuários que acessam o sistema de TI (caso o agente de tratamento possua
rede interna de computadores).

(__) Implementar funcionalidades que permitam apagar remotamente os

dados pessoais armazenados em dispositivos móveis.

Para saber mais sobre a

GOSTOU DO CONTEÚDO?
Acompanhe todas novidades nas redes
responsabilidade do RH em
sociais e no Blog do RH Metadados. relação à LGPD e entender
as nomenclaturas previstas
na lei, acesse agora o
nosso eBook!
www.metadados.com.br
BAIXAR AGORA