Conformidade e responsabilidades
O tratamento de informações pessoais deve observar a Lei Geral de Proteção de Dados (LGPD), as finalidades legítimas, os contratos e as responsabilidades dos agentes envolvidos.
Medidas de segurança
As diretrizes abrangem criptografia, comunicação segura, autenticação, segurança de dispositivos, proteção de aplicações e rotinas de cópias de segurança, conforme o risco e a infraestrutura em uso.
Gestão de identidade
A concessão, revisão e revogação de permissões devem seguir os princípios de necessidade e menor privilégio. O acesso é condicionado ao papel de cada profissional e pode ser monitorado para identificação de anomalias.
Classificação e minimização
Dados são tratados de acordo com sua sensibilidade. Devem ser adotadas práticas para limitar exposição, evitar coleta excessiva e, quando apropriado, utilizar anonimização ou pseudonimização.
Bases legais e consentimento
Consentimento deve ser obtido nas hipóteses em que é a base legal aplicável. Outras hipóteses previstas na legislação podem fundamentar tratamentos específicos, considerando a finalidade e a proteção dos titulares.
Gestão de incidentes
A política remete ao plano de gestão de incidentes para comunicação, resposta e mitigação de eventos que possam comprometer informações.
Formação das equipes
Treinamentos e ações de conscientização orientam o manuseio de dados, a proteção de dispositivos, o reconhecimento de riscos e a comunicação de incidentes.
Acesso, alteração e exclusão
Solicitações de titulares sobre acesso, atualização, correção ou exclusão devem ser tratadas conforme a LGPD, a natureza do dado e as responsabilidades do controlador e do operador.
Revisão e melhoria contínua
As diretrizes devem ser revisadas periodicamente para considerar mudanças tecnológicas, riscos, obrigações legais e resultados de avaliações internas.