Laudo
Dívida regulatória
As coisas travam na revisão porque privacidade ficou para depois da construção.
O padrão é sempre o mesmo: constrói-se algo, mostra-se ao jurídico, reconstrói-se. Ninguém envolvido fez nada errado. A trilha de auditoria, o modelo de acesso e a minimização de dados simplesmente não estavam na especificação, e não dá para adicioná-los no fim sem mexer em tudo.
Parece jurídico lento. Não é. Um revisor que não consegue ver quem tocou o quê, quando e sob que autoridade não tem como dizer sim, e dizer não é a única resposta responsável disponível.
Esta é a condição em que ler sobre a solução e ter a solução estão mais distantes, porque a solução é uma arquitetura e não um checklist.
Medida em meses de uma função esperando, não em multas.
Como isso aparece
- Uma data de lançamento escorrega porque a revisão tem perguntas para as quais ninguém se preparou.
- Dados de cliente são colados numa janela de chat para conseguir uma resposta rápida.
- Ninguém sabe dizer em que país um fornecedor guarda os dados.
- O acordo de tratamento foi assinado e nunca lido.
- Não existe uma lista única de quem vê o quê.
Como colocar um número nisso
Liste todo lugar onde dados de cliente saem dos seus sistemas: cada fornecedor, cada integração, cada modelo atrás de uma API. Para cada um, escreva a jurisdição, se existe acordo de tratamento, por quanto tempo os dados ficam, e como um pedido de exclusão é de fato executado. As linhas que você não consegue completar são a exposição.
Depois olhe os dois últimos lançamentos e conte as semanas que passaram esperando na revisão. Esse número é o custo de hoje, e ele é pago independentemente de alguém ser multado.
O que fazer esta semana
Pegue os quatro fornecedores que tocam dados pessoais e escreva uma linha para cada: jurisdição, acordo, retenção, caminho de exclusão. Quatro linhas é uma tarde, e é o documento que a revisão pede primeiro.
Depois decida, por escrito, o que nunca pode ser colado numa janela de chat. A regra vale mais que a ferramenta, porque o vazamento que acontece quase nunca é aquele em volta do qual alguém desenhou um sistema.
O próximo passo
Uma chamada, sempre. A resposta depende do regime em que você está e do que o revisor já recusou, e nada disso está num artigo.
Descobrir como isso se chama →