LGPD e compliance: interseção forte, responsabilidades diferentes

Compliance trata dados pessoais o tempo inteiro: denúncias, investigações, diligências, conflitos, treinamentos, sanções, registros de acesso e informações de terceiros. A LGPD não impede essas atividades, mas exige que o tratamento tenha finalidade, fundamento, necessidade, segurança e governança compatíveis com o contexto.

O risco de privacidade aparece dentro do próprio controle

Uma empresa pode criar canal para proteger pessoas e, ao mesmo tempo, expor relatos em planilha aberta. Pode investigar fraude e manter cópias de mensagens indefinidamente. Pode fazer due diligence e coletar informação íntima sem relação com o risco. A integração começa tratando cada processo de compliance como uma operação de dados.

O mapeamento de dados deve incluir plataforma de denúncias, pastas de investigação, consultorias, sistemas de RH e repositórios usados para diligência. Isso mostra titulares, fontes, destinatários, acessos e retenção.

Acesso precisa seguir necessidade de conhecimento

Hierarquia não é justificativa automática. Diretores, gestores e integrantes de comitê devem receber apenas o que é necessário para sua decisão. Essa restrição protege denunciante, investigado e terceiros, além de reduzir contaminação da apuração.

O guia da ANPD sobre legítimo interesse ajuda a estruturar finalidade, necessidade, balanceamento e salvaguardas quando essa hipótese legal for pertinente. Não existe, porém, uma base única para “compliance”: cada operação precisa ser analisada conforme finalidade e contexto.

Fornecedores aumentam a cadeia

Plataforma de canal, empresa de background check, escritório e consultoria podem tratar dados em papéis diferentes. Contrato deve refletir instruções, segurança, uso próprio de informações, subcontratação e resposta a incidentes. A classificação como controlador ou operador depende da atividade real, não apenas da cláusula.

Retenção precisa ser decidida antes do arquivo crescer

Relato improcedente, evidência de investigação e medida disciplinar podem ter necessidades de guarda distintas. “Guardar tudo por segurança” cria exposição desnecessária; “apagar rápido” pode comprometer defesa ou obrigação. Critérios documentados e legal hold quando necessário permitem equilíbrio.

Se ocorrer incidente em ferramenta de integridade, o fluxo de incidente de segurança precisa incluir quem avalia impacto, quem contata fornecedor e quem decide eventuais comunicações. Privacidade e compliance funcionam melhor quando os dois programas compartilham processo, sem confundir responsabilidades.

Pedidos de titulares exigem triagem própria

Uma solicitação de acesso pode envolver dados do próprio titular misturados a informação de denunciante, testemunha, terceiro ou estratégia de investigação. Responder automaticamente com cópia integral pode violar direitos alheios; negar tudo em nome de “sigilo” também pode ser inadequado. O fluxo deve identificar o direito exercido, localizar dados pertinentes e avaliar limites aplicáveis com registro da decisão.

A equipe de privacidade precisa conhecer a existência dos repositórios de compliance sem necessariamente ter acesso irrestrito ao conteúdo. Catálogo, responsáveis e regras de consulta permitem atender solicitações e incidentes mantendo compartimentação.

Segurança deve considerar sensibilidade contextual

Um relato pode revelar saúde, filiação sindical, vida sexual, opinião ou outros dados sensíveis, além de informação reputacional de pessoas. Criptografia, autenticação, perfis de acesso e registro de consulta precisam refletir esse potencial. Exportar dados para e-mail ou planilha pode quebrar controles existentes na plataforma original.

Quando consultoria externa participa, a transferência deve usar canal seguro e escopo definido. Encerrar o contrato também precisa revogar contas e decidir destino de cópias mantidas pelo prestador.

Governança de direitos e de prova não deve se contradizer

Uma investigação pode precisar preservar documento que, em outro contexto, seria eliminado por rotina de retenção. Isso não significa congelar todos os dados da pessoa. A organização deve delimitar o material sujeito a preservação, registrar motivo e revisar quando a necessidade deixa de existir. Essa disciplina evita tanto destruição prematura de evidência quanto retenção infinita sob a etiqueta genérica de “compliance”.

Métricas também exigem cuidado. Relatórios para direção podem agregar quantidade de denúncias, temas, tempo de apuração e reincidência sem expor nomes. Quando o caso individual precisa ser escalado, o conteúdo compartilhado deve estar ligado à decisão que aquela instância precisa tomar.

A integração melhora quando privacidade participa do desenho dos fluxos, não apenas da resposta a incidente. Novas ferramentas de canal, monitoramento ou background check deveriam passar por avaliação antes da contratação, incluindo papéis dos agentes, transferências, segurança e descarte.

A revisão periódica desses fluxos deve acompanhar mudanças de ferramenta, fornecedor e finalidade, porque o risco de acesso indevido costuma surgir justamente quando a operação muda sem atualizar a governança.