{"id":4902,"date":"2021-12-16T15:31:05","date_gmt":"2021-12-16T18:31:05","guid":{"rendered":"https:\/\/netdeep.com.br\/novo\/?p=4902"},"modified":"2026-02-25T10:09:02","modified_gmt":"2026-02-25T13:09:02","slug":"avaliacao-de-riscos-para-a-lgpd","status":"publish","type":"post","link":"https:\/\/netdeep.com.br\/novo\/avaliacao-de-riscos-para-a-lgpd\/","title":{"rendered":"Avalia\u00e7\u00e3o de Riscos para a LGPD"},"content":{"rendered":"

A LGPD \u2013 Lei Geral de Prote\u00e7\u00e3o de Dados, foi sancionada em agosto de 2018, entrou em vigor em agosto de 2020, e em Agosto de 2021 come\u00e7aram a suas san\u00e7\u00f5es.<\/p>\n

A LGPD tem como principal finalidade garantir a transpar\u00eancia no \u201ctratamento\u201d de dados pessoais ou dados pessoais sens\u00edveis (de pessoas f\u00edsicas). O Tratamento \u00e9 toda opera\u00e7\u00e3o realizada com dados pessoais, como as que se referem a coleta, produ\u00e7\u00e3o, recep\u00e7\u00e3o, classifica\u00e7\u00e3o, utiliza\u00e7\u00e3o, acesso, reprodu\u00e7\u00e3o, transmiss\u00e3o, descarte, dentre outras.<\/p>\n

Se olharmos a LGPD com um pouco mais de calma, podemos dizer que ela se apresenta com regras em rela\u00e7\u00e3o a quest\u00f5es jur\u00eddicas, processuais e tecnol\u00f3gicas. Em nossa rela\u00e7\u00e3o com o tema deste artigo, vamos considerar apenas o aspecto tecnol\u00f3gico.<\/p>\n

Em seu cap\u00edtulo VII, Se\u00e7\u00e3o I, Art. 46, temos como disposto: \u201cOs agentes de tratamento devem adotar medidas de seguran\u00e7a, t\u00e9cnicas e administrativas aptas a proteger os dados pessoais de acessos n\u00e3o autorizados e de situa\u00e7\u00f5es acidentais ou il\u00edcitas de destrui\u00e7\u00e3o, perda, altera\u00e7\u00e3o, comunica\u00e7\u00e3o ou qualquer forma de tratamento inadequado ou il\u00edcito\u201d.<\/em><\/p>\n

Diante do cen\u00e1rio atual de ciberseguran\u00e7a, podemos afirmar que as empresas que armazenam dados pessoais, possuem um grande desafio para implementar medidas de seguran\u00e7a, que garantam prote\u00e7\u00e3o ou mitiguem os riscos existentes em rela\u00e7\u00e3o aos dados pessoais.<\/p>\n

No cen\u00e1rio de ciberseguran\u00e7a, uma das principais atividades realizadas para determinar onde devemos intensificar nossos esfor\u00e7os em prote\u00e7\u00e3o das informa\u00e7\u00f5es, \u00e9 a Avalia\u00e7\u00e3o de Riscos.<\/p>\n

A import\u00e2ncia de uma Avalia\u00e7\u00e3o de Riscos no ambiente de TI<\/h2>\n

Uma avalia\u00e7\u00e3o de riscos realizada de forma correta, com uma metodologia adequada (conforme prega a ISO 31000 \u2013 Gest\u00e3o de Riscos), pode nos dizer onde est\u00e3o os principais riscos e impactos, e consequentemente nos mostrando onde devemos colocar nossos esfor\u00e7os num primeiro momento.<\/p>\n

Quando falamos de medidas de prote\u00e7\u00e3o relacionadas ao tema seguran\u00e7a das informa\u00e7\u00f5es, \u00e9 fundamental a ado\u00e7\u00e3o de uma avalia\u00e7\u00e3o de riscos. Onde investir os esfor\u00e7os em prote\u00e7\u00e3o para as informa\u00e7\u00f5es cr\u00edticas da empresa e dos dados pessoais?<\/p>\n

O resultado da avalia\u00e7\u00e3o de riscos responde essa pergunta.<\/p>\n

Especificamente a matriz de riscos ou matriz de probabilidade e impacto \u00e9 uma ferramenta de gerenciamento de riscos que permite de forma visual identificar quais s\u00e3o os riscos que devem receber mais aten\u00e7\u00e3o. A avalia\u00e7\u00e3o de riscos tamb\u00e9m permitir\u00e1 identificar, analisar e avaliar as amea\u00e7as e vulnerabilidades que exp\u00f5em os dados pessoais que est\u00e3o sendo tratados.<\/p>\n

Avalia\u00e7\u00e3o de Riscos aos Dados Pessoais<\/h2>\n

Para falarmos especificamente da prote\u00e7\u00e3o de dados pessoais e dados pessoais sens\u00edveis, a LGPD trouxe alguns conceitos \u201cnovos\u201d relacionado a avalia\u00e7\u00e3o de riscos. A LGPD diz em seu \u201cArt. 5\u00ba, XVII \u2013 relat\u00f3rio de impacto \u00e0 prote\u00e7\u00e3o de dados pessoais: documenta\u00e7\u00e3o do controlador que cont\u00e9m a descri\u00e7\u00e3o dos processos de tratamento de dados pessoais que podem gerar riscos \u00e0s liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitiga\u00e7\u00e3o de risco\u201d<\/em>. Este relat\u00f3rio tamb\u00e9m chamado de DPIA, consiste na an\u00e1lise dos impactos dos dados pessoais. Tanto a LGPD quanto a GDPR n\u00e3o definem uma estrutura de relat\u00f3rio de impacto; as empresas podem fazer uso de modelos e pr\u00e1ticas de mercado.<\/p>\n

O primeiro passo para elabora\u00e7\u00e3o do DPIA \u00e9\u00a0realizar a avalia\u00e7\u00e3o de riscos dos processos que envolvem dados pessoais<\/strong>. Tamb\u00e9m no Art. 50, \u00a7 1\u00ba a LGPD estabelece que\u00a0\u201cAo estabelecer regras de boas pr\u00e1ticas, o controlador e o operador levar\u00e3o em considera\u00e7\u00e3o, em rela\u00e7\u00e3o ao tratamento e aos dados, a natureza, o escopo, a finalidade e a\u00a0probabilidade e a gravidade<\/strong>\u00a0dos riscos e dos benef\u00edcios decorrentes de tratamento de dados do titular\u201d.<\/em><\/p>\n

Com a realiza\u00e7\u00e3o da avalia\u00e7\u00e3o de riscos, a empresa pode garantir que sejam implementados n\u00edveis apropriados de medidas t\u00e9cnicas e organizacionais para prote\u00e7\u00e3o dos dados pessoais e evitar que riscos ocorram.<\/p>\n

\u00c9 fundamental que a avalia\u00e7\u00e3o de riscos seja realizada apenas depois que os processos foram mapeados atrav\u00e9s do Data Mapping (tema para um outro artigo a ser publicado), onde \u00e9 poss\u00edvel identificar as caracter\u00edsticas do processo em rela\u00e7\u00e3o aos dados pessoais envolvidos (quais dados est\u00e3o sendo tratados, fluxo de vida dos dados, respons\u00e1veis, armazenamento, destino, descarte).<\/p>\n

Somente assim ser\u00e1 poss\u00edvel analisar os principais riscos que envolvem os processos. Cada processo que envolva dados pessoais, deve ser avaliado de forma individualizada, mesmo que alguns riscos sejam inerentes a v\u00e1rios processos.<\/p>\n

\n

\"\"<\/a><\/p>\n

Exemplo de Matriz de Riscos<\/p>\n<\/div>\n

A norma ABNT NBR ISO\/IEC 27701:2019 \u2013 T\u00e9cnicas de seguran\u00e7a para gest\u00e3o da privacidade da informa\u00e7\u00e3o \u2014 Extens\u00e3o da ABNT NBR ISO\/IEC 27001 e ABNT NBR ISO\/IEC 27002, tamb\u00e9m estabelece controles em rela\u00e7\u00e3o a prote\u00e7\u00e3o de dados pessoais.<\/p>\n

Um de seus controles \u00e9 a exig\u00eancia de documenta\u00e7\u00e3o de todo o processo de avalia\u00e7\u00e3o de risco (cl\u00e1usulas 5.4.1.2 ISO 27701 e 6.1.2 ISO 27001), chamado de metodologia de avalia\u00e7\u00e3o de risco.<\/p>\n

Derrubando alguns mitos<\/h2>\n

Existem muitos mitos sobre como deve ser a avalia\u00e7\u00e3o de riscos de dados pessoais, mas na realidade os requisitos das ISOs e da LGPD n\u00e3o s\u00e3o muito dif\u00edceis.<\/p>\n

\u00c9 importante come\u00e7ar de forma correta, mas simples, a fim de n\u00e3o inserir uma complexidade desnecess\u00e1ria ao processo.<\/p>\n

A avalia\u00e7\u00e3o de riscos n\u00e3o deve ser focada apenas em tecnologia, mas tamb\u00e9m em processos e pessoas.<\/p>\n

Os requisitos necess\u00e1rios s\u00e3o basicamente:<\/p>\n