Para proteger dados, Aeroporto de Maringá revisou fluxos, criou cartilhas e elaborou termos de consentimento, conta o diretor Felipe Ferro
Desde a entrada em vigor da Lei Geral de Proteção de Dados (LGPD), a Lei nº 13.709, em setembro de 2020, empresas públicas e privadas passaram a ser obrigadas a adotar critérios rigorosos para coleta, armazenamento, compartilhamento e descarte de informações pessoais. Criada para proteger a privacidade dos cidadãos e regulamentar o tratamento de dados pessoais, a legislação alterou a forma como as organizações lidam com informações que se tornaram ativos para os negócios.
A mudança, porém, foi além da atualização de políticas de privacidade ou da instalação de avisos sobre cookies em páginas da internet. Na prática, as empresas precisaram rever processos internos, criar mecanismos de controle, investir em tecnologia e desenvolver uma cultura organizacional voltada à proteção de dados. No Aeroporto Regional de Maringá, administrado pela SBMG S/A, a adaptação exigiu mudanças em diferentes áreas.
Segundo o diretor administrativo Felipe Ferro, o principal desafio foi adequar os processos às exigências da legislação. “O maior trabalho foi adaptar os procedimentos internos à lógica da proteção de dados. Isso exigiu revisão de fluxos, criação de cartilhas, elaboração de termos de consentimento e análise constante dos riscos jurídicos envolvidos.”
A adaptação envolveu aspectos tecnológicos e comportamentais. “Existe preocupação permanente com riscos de interceptação de dados e com a necessidade de garantir que todos os colaboradores compreendam e apliquem as diretrizes de proteção de dados no dia a dia”, afirma.
A rotina aeroportuária envolve o tratamento de dados cadastrais, documentos de identificação, registros de acesso à internet, imagens de sistemas de monitoramento e outras informações necessárias ao cumprimento de normas de segurança. O aeroporto estruturou um inventário de dados para mapear as informações coletadas e a finalidade de cada uma. “No caso dos passageiros e visitantes, trabalhamos com dados exigidos por normas legais e operacionais, como nome, documentos de identificação, registros de conexão à rede Wi-Fi e imagens captadas pelos sistemas de segurança.”
A empresa adotou diferentes mecanismos de controle. O acesso aos sistemas é limitado conforme o perfil do usuário, há rotinas automatizadas de backup e prestadores de serviços são obrigados contratualmente a seguir regras de confidencialidade e proteção de dados.
A adequação também exigiu investimentos em tecnologia e capacitação. Além da modernização dos sistemas utilizados na operação aeroportuária, foram desenvolvidas cartilhas destinadas aos colaboradores e usuários dos serviços. “Proteção de dados não depende apenas de tecnologia. É necessário que as pessoas compreendam a importância dos procedimentos e saibam como agir diante das situações do cotidiano.”
Dentro da estrutura administrativa, a responsabilidade pela governança dos dados é compartilhada entre áreas como Governança, Riscos, Controles, Ouvidoria e Jurídico. Casos que possam envolver possíveis violações seguem protocolos definidos, com encaminhamento para análise do Comitê de Compliance, da diretoria ou do Conselho de Administração.
Onde as empresas ainda erram
Thomaz Jefferson Carvalho, advogado: fornecer referências profissionais, dados para marketing e divulgar informações entre parceiros podem representar violações da LGPD
Outro problema é a falta de mapeamento dos dados que circulam nas organizações. Segundo ele, há empresas que armazenam informações sem saber exatamente porque estão coletando, onde esses dados ficam armazenados, quem tem acesso a eles ou com quais terceiros são compartilhados.
Também é comum o compartilhamento indevido de informações de clientes e colaboradores em situações aparentemente simples. “Ligações para fornecer referências profissionais, compartilhamento de dados para ações de marketing ou divulgação de informações entre parceiros comerciais podem representar violações da LGPD quando não existe fundamento legal para isso”, alerta. “O impacto de um incidente de dados não está apenas na multa. Muitas vezes, o prejuízo reputacional é muito maior”, acrescenta.
Graus de proteção
A advogada Noroara Moreira explica que dados sensíveis, como filiação partidária e biometria, têm proteção reforçada pela legislação
Existem diferença entre dados pessoais e dados pessoais sensíveis. Noroara explica que informações como nome, CPF, RG, telefone e endereço são consideradas dados pessoais e possuem um nível de proteção. Já os dados sensíveis recebem proteção reforçada pela legislação. “Se falarmos de filiação partidária e de dados biométricos, eles identificam a pessoa de uma maneira subjetiva e mais profunda. Por isso, são considerados sensíveis e a lei os trata de maneira diferente também. Dados de crianças e adolescentes são considerados dados sensíveis, então são tratados numa especificidade diferente também.”
A especialista observa ainda que muitas organizações coletam mais informações do que realmente precisam. “Uma das perguntas mais importantes é: estes dados são realmente necessários para a atividade que estou realizando? Se sim, é importante que o titular saiba o porquê estão sendo coletados.”
Vazamentos e uso de imagens exigem cautela
Ele lembra que a legislação determina a comunicação à Autoridade Nacional de Proteção de Dados (ANPD) e aos afetados quando houver possibilidade de dano relevante.
“Organizações que possuem programas de conformidade conseguem responder de forma mais rápida e eficiente, reduzindo impactos financeiros e reputacionais. Hoje, os consumidores estão mais atentos. Quando uma empresa demonstra falhas graves na proteção das informações, a confiança pode ser afetada por muito tempo”, afirma.
Outra situação que gera dúvidas envolve a divulgação de imagens captadas por câmeras de segurança. De acordo com Carvalho, o fato de uma gravação existir não significa que ela possa ser compartilhada livremente em redes sociais, especialmente quando há exposição de suspeitos ou terceiros. “A divulgação da imagem de suspeitos é arriscada e pode acarretar danos morais. Nas redes sociais, não é recomendada, pois pode estimular perseguições, fomentar ações de justiceiros e desencadear episódios de violência. Para o ambiente empresarial, isso pode trazer repercussões desfavoráveis”, exemplifica. “Para a imprensa, a conotação muda, pois o ato está relacionado ao direito à informação”, pondera.
A advogada Noroara Moreira destaca que imagens também podem ser consideradas dados pessoais e, por isso, o tratamento deve observar os princípios da LGPD.
“Nesses casos, a orientação é preservar os registros e encaminhá-los às autoridades competentes quando necessário. Pensar em divulgação exige análise individual para equilibrar o direito à informação com a proteção da privacidade e dos direitos de imagem.”