Tratar a Lei Geral de Proteção de Dados como responsabilidade exclusiva do departamento jurídico é um dos erros mais recorrentes que Rolando Bonaccorsi, executivo de operações e entrega em tecnologia, observa em empresas que ainda não amadureceram sua relação com a legislação. Os dados deixaram de ser apenas ativos técnicos armazenados em algum banco de dados; assumem-se responsabilidades legais com implicações operacionais concretas para quem projeta e mantém sistemas.
A LGPD trouxe conceitos que excluem a tradução direta para decisões técnicas: minimização de dados obtidos, especificidade de uso, direito de exclusão e portabilidade, exigindo capacidades para as quais todos os sistemas legados simplesmente não foram construídos.
O desafio de excluir dados que nunca foram pensados para sumir
Muitos sistemas corporativos foram construídos ao longo de anos sem qualquer previsão de que um usuário pudesse, um dia, solicitar a exclusão completa de seus dados pessoais. Implementar esse direito em arquiteturas legadas, com dados replicados em múltiplos sistemas e backups históricos, revela dependências técnicas que ninguém havia mapeado completamente antes da exigência legal se tornar concreta.
Tal como expressa Rolando Bonaccorsi, a conformidade com a LGPD funciona como um raio-x solicitado da arquitetura de dados de uma empresa, revelando o quanto os processos internos realmente sabem sobre onde residem as informações de cada cliente que efetivamente residem.
Minimização de dados como princípio de arquitetura
Coletar o máximo de dados possíveis, apenas porque pode ser útil algum dia, deixou de ser uma prática neutra de engenharia para se tomar uma decisão de risco legal, já que cada dado adicional coletado representa responsabilidade adicional de proteção e justificativa ocorrida em caso de auditoria ou incidente de vazamento.
Rolando Bonaccorsi resume essa forma: coleta menos, com propósito claro e documentado, reduz simultaneamente risco legal e superfície de ataque em caso de violação de segurança, um cálculo que deveria orientar decisões de arquitetura desde a concepção de qualquer novo sistema.
Consentimento como fluxo técnico, não apenas texto jurídico
Um termo de consentimento bem redigido juridicamente não tem valor prático se o sistema por trás dele não consegue rastrear e respeitar as escolhas específicas que cada usuário fez sobre o uso de seus dados, incluindo revogações posteriores de consentimento anteriormente concedido.
Ao ser questionado sobre isso, Rolando Bonaccorsi pondera que o consentimento precisa ser tratado como estado de dados, versionado e auditável tecnicamente, e não apenas como documento assinado uma única vez e arquivado sem qualquer conexão real com o comportamento efetivo do sistema em produção.
Incidentes de dados desativados, resposta operacional cronometrada
A legislação estabelece prazos específicos para comunicação de incidentes envolvendo dados pessoais, o que exige que as operações de tecnologia tenham processos já planejados para identificar rapidamente o escopo de um vazamento, quais dados foram afetados e quais titulares precisam ser notificados dentro do prazo legal.
Rolando Bonaccorsi vai direto ao ponto: descobrir, no meio de uma crise real, que a empresa não sabe exatamente quais dados um sistema específico armazena é o pior momento possível para esse tipo de lacuna se manifestar, reforçando por que o mapeamento de dados deveria ser exercício contínuo, não tarefa reativa.
A conformidade com a proteção de dados deixou de ser uma exigência jurídica para se tornar uma decisão de arquitetura que atravessa toda a operação de tecnologia. Empresas que tratam o tema apenas como formalidade legal tendem a descobrir, tarde demais, o quanto sua infraestrutura real está distante do que a legislação exige na prática.
Investir em mapeamento contínuo de dados, minimização deliberada de coleta e processos técnicos capazes de honrar direitos de titulares construídos, ao mesmo tempo, conformidade legal e uma arquitetura de dados mais simples e segura, benefício que ultrapassa em muito as meras obrigações regulatórias.