Treinamento de compliance de GDPR: requisitos e melhores práticas

O que é o treinamento de compliance de GDPR?

Ele ensina os funcionários a como tratar dados pessoais de acordo com o Regulamento Geral de Proteção de Dados (GDPR), uma lei da União Europeia que rege como empresas podem coletar, armazenar e processar dados pessoais.

Um bom treinamento faz mais do que explicar a legislação. Ele mostra no que ela implica para o cargo específico ocupado pelo funcionário: como reconhecer dados pessoais, como responder a uma solicitação de um cliente, o que fazer quando algo não sai como o planejado e como evitar erros comuns que levam a violações de dados.

Em resumo, é a diferença entre uma equipe que ouviu falar do GDPR e uma equipe que sabe como agir conforme a lei.

O treinamento de compliance de GDPR é obrigatório?

O regulamento não tem em nenhum lugar a frase “você precisa realizar um treinamento anual”. Mas treinamentos são necessários na prática por dois motivos.

Primeiramente, o regulamento espera que isso ocorra. O princípio de responsabilização implica que o compliance deve ser demonstrável, não somente alegado, e a conscientização da equipe faz parte disso. Quando uma empresa nomeia um Encarregado pelo Tratamento de Dados, o artigo 39 explicitamente aloca a eles a tarefa de conscientizar e treinar a equipe envolvida no processo.

Em segundo lugar, e um ponto mais prático, é o que acontece quando você não treina o seu pessoal. O erro humano é o que causa uma grande parcela das violações de dados, e as consequências podem ser graves. Para além da multa, há o custo da violação em si: a investigação regulatória e o dano reputacional duradouro com os clientes cujos dados você não protegeu.

Sendo assim, por mais que não seja tecnicamente “obrigatório”, é uma questão prática simples: caso processe dados pessoais, precisa treinar o pessoal que vai lidar com eles.

Quem precisa de treinamento de compliance de GDPR?

Qualquer pessoa que lide com dados pessoais precisa de treinamento, mas a intensidade e foco dele mudam de acordo com o cargo contemplado. Um módulo universal é o motivo mais comum que leva o treinamento a não ser bem-sucedido.

Treinamento de compliance de GDPR para funcionários

Todos os funcionários que têm contato com dados pessoais, desde registros de clientes a informações de colegas, precisam de um treinamento de compliance de GDPR para funcionários de base. Deve contemplar princípios essenciais, como identificar dados pessoais, hábitos de tratamento seguro e como reconhecer e reportar um problema. É o que faz mais diferença nessa etapa, porque ações rotineiras, como um e-mail inserido incorretamente, uma senha fraca ou um link de phishing, são o que levam à maioria das violações de dados. Estes princípios devem servir de base para o restante do seu programa.

Treinamento de compliance de GDPR para gestores

Os gestores são responsáveis pela forma como suas equipes lidam com dados e muitas vezes decidem quais dados serão coletados e o porquê. O treinamento para eles deve ser mais avançado: as justificativas legais para o processamento, o supervisionamento das práticas da equipe, definindo o nível de seriedade conferido à proteção de dados e o entendimento de quando escalar um problema com o Encarregado da Proteção de Dados.

Treinamento de compliance de GDPR para equipes de RH e T&D

As equipes de RH processam alguns dos dados pessoais mais sensíveis em qualquer empresa, desde candidaturas a informações de saúde e de folha de pagamento. O RH e o T&D necessitam de treinamento focado na retenção (incluindo quanto tempo os dados dos candidatos serão armazenados após o recrutamento), consentimento, dados de categorias especiais e as normas relacionadas ao monitoramento de funcionários. O T&D também controla um aspecto reservado a poucos: a implementação de treinamentos na empresa como um todo e a manutenção de históricos de conclusão.

Treinamento de compliance de GDPR para prestadores de serviços e terceiros

As suas obrigações não se limitam à sua equipe. Prestadores de serviços, freelancers e fornecedores que processam dados pessoais por você também estão sob os mesmos padrões e é de sua responsabilidade certificar-se de que estejam cumprindo com o esperado. Amplie o treinamento ou exija uma comprovação de todos que tratam dados por você. 

Depois de identificar quem precisa de treinamento e em que nível, o próximo ponto é saber o que a regulamentação exige do treinamento.

Requisitos de treinamentos de GDPR

O GDPR não define uma ementa fixa, mas cria expectativas claras do que o treinamento precisa alcançar e da base que você deve estabelecer. Três perguntas aparecem com maior frequência: o que a regulamentação exige, com qual frequência o treinamento precisa ser realizado e se uma certificação é necessária.

O que o GDPR exige?

O GDPR não determina uma ementa, mas várias de suas obrigações somente funcionam se a sua equipe for treinada. É necessário demonstrar o compliance. Não basta alegar que você está em conformidade. Você é obrigado a proteger dados pessoais de forma adequada e garantir que todos trabalhando sob sua responsabilidade tratem dados somente como você os direcionou, o que, na prática, significa que deve ensiná-los como fazer isso. Empresas com um Encarregado pela Proteção de Dados incluem a conscientização e o treinamento da equipe como responsabilidades explícitas do cargo. E multinacionais que operam sob regras corporativas devem treinar a todos com acesso a dados pessoais.

Na prática, isso significa que o treinamento deve ser documentado, mantido atualizado, respaldado por um registro que demonstra quem completou o quê e quando e, idealmente, deve ser personalizado aos riscos de cada cargo.

Com que frequência os funcionários precisam ser treinados?

O GDPR não define um intervalo fixo. A melhor prática é treinar novos funcionários durante o onboarding, fazer a reciclagem com a empresa como um todo ao menos uma vez ao ano e realizar treinamentos adicionais sempre que os processos mudarem, as leis forem alteradas ou quando um incidente revelar uma falha.

É necessário ter uma certificação GDPR?

Não há nenhuma certificação obrigatória de GDPR que faça com que sua empresa esteja em “conformidade”. O artigo 42 abre a possibilidade de mecanismos aprovados de certificação e selos, mas são voluntários. Indivíduos podem adquirir qualificações e emitir certificados de conclusão para seus próprios treinamentos, uma comprovação útil, mas sem obrigatoriedade jurídica.

O que o treinamento de compliance de GDPR deve conter?

Um programa eficaz abrange cinco pontos essenciais.

1. Princípios de GDPR

Comece pelos sete princípios no cerne do regulamento. De forma simplificada:

• Ter um motivo válido para usar os dados de alguém e ser transparente sobre o uso (legalidade, equidade e transparência).

• Usá-los somente pelo motivo que levou à coleta (limitação de propósito).

• Coletar somente o necessário (minimização de dados)

• Mantê-los corretos e atualizados (precisão).

• Não mantê-los por mais tempo do que o necessário (limitação de armazenamento).

• Mantê-los seguros (integridade e confidencialidade).

• Ter a capacidade de comprovar que tudo o acima foi feito (responsabilização).

Os funcionários não precisam saber recitar essa lista. Precisa saber reconhecer quando uma solicitação ou tarefa vai de encontro com os princípios, como, por exemplo, ser solicitado que use novamente uma lista de clientes para uma campanha para a qual aqueles dados não foram coletados. O restante do treinamento deve ter estes princípios como base.

2. Dados pessoais e direitos dos titulares dos dados

Primeiramente, a categoria de dados pessoais é mais ampla do que a maioria imagina. Não são somente nomes e informações de contato. Contempla tudo que possa identificar alguém de forma direta ou indireta: um endereço IP, a ID de um cliente, uma foto e até mesmo o título do cargo da pessoa, se a equipe for pequena. Um subconjunto, intitulado de dados de categoria especial, contempla informações sensíveis, como relacionadas à saúde, etnia, religião, biometria, e conta com normas mais rígidas. Os funcionários que não conseguem identificar dados pessoais não poderão protegê-los.

Em segundo lugar, as pessoas têm direitos sobre seus dados: a vê-los (acesso), a corrigi-los (retificação), a deletá-los (eliminação), a pausar seu uso (restrição), a transferi-los (portabilidade) e a recusar seu uso. A equipe não precisa lidar com essas solicitações, mas precisa reconhecê-las e repassá-las de imediato, porque o tempo começa a contar assim que são recebidas.

3. Segurança de dados e riscos comuns

É aqui que a maioria das violações começa. Os riscos rotineiros são os mais importantes: enviar dados pessoais ao destinatário errado, incluir em cópia carbono uma lista de e-mails em vez de cópia carbono oculta, clicar em um link de phishing, copiar dados de clientes em uma planilha pessoal ou em uma ferramenta não autorizada, ou deixar um notebook desbloqueado fora do escritório.

Apresente os hábitos que os previnem: senhas fortes e autenticação multifator; acesso somente aos dados necessários ao cargo, compartilhamento de arquivos por meio de canais autorizados, proteção de dispositivos durante deslocamentos e eliminação adequada de dados, digitais e em papel, quando não são mais necessários.

Vincule cada risco a um cenário que sua equipe irá reconhecer em suas rotinas.

4. Notificando uma violação de dados

Todos devem saber como identificar uma violação em potencial e notificá-la imediatamente, porque o tempo é curto. Sob o artigo 33, uma violação notificável deve ser relatada à autoridade fiscalizadora dentro de 72 horas. O seu treinamento deve fazer com que as notificações internas sejam rápidas e livres de culpa.

5. Políticas e procedimentos corporativos

Tudo o acima são questões legais. Aqui mostramos no que o regulamento implica internamente para sua empresa, sendo o elemento que um curso avulso não contempla.

Os funcionários devem finalizar o treinamento sabendo quais sistemas e ferramentas são aprovados para dados pessoais (e que adicionar um novo não é somente uma decisão de TI); por quanto tempo sua empresa mantém os diferentes tipos de dados e como não criar cópias avulsas que saiam dessa regra; o que sua política de proteção de dados pede dos funcionários na rotina de trabalho e, acima de tudo, exatamente a quem recorrer com dúvidas e preocupações. Nomeie a pessoa ou cargo específico. Se a equipe lembrar somente de uma coisa do treinamento, deve ser isso.

É o que transforma o conhecimento geral em ações dentro da empresa.

Ao todo, esses cinco pontos levam alguém de entender as regras a aplicá-las no seu trabalho. O próximo passo é transformar o conteúdo em um programa que pode ser finalizado e cuja conclusão possa ser comprovada.

Como criar um programa de treinamento de compliance de GDPR

Saber o que incluir é um ponto. Criar um programa que as pessoas concluam, com comprovação, é outra. Confira uma sequência prática.

Faça a auditoria de lacunas de conhecimento e defina o que cada pessoa precisa

Comece identificando onde o risco real se encontra. Quais equipes lidam com os dados mais sensíveis? Onde erros ocorreram antes? Utilize essas informações para mapear quem precisa de um treinamento básico e quem necessita de um aprofundamento específico ao seu cargo, em vez de atribuir o mesmo módulo para todos.

Crie ou comissione seu conteúdo de treinamento

Transforme os cinco tópicos essenciais mencionados acima em lições focadas e digeríveis. Mantenha os módulos curtos, use cenários reais da sua própria empresa e inclua questões para que as pessoas possam aplicar o que aprenderam, e não somente clicar em “próximo”.

Atribua, monitore e documente a conclusão

Atribua o treinamento correto para os grupos certos, defina prazos e mantenha um registro de quem completou o quê, quando e com qual nota. Estes documentos não são meras tarefas administrativas: são comprovação do compliance, caso necessite demonstrá-lo.

Mantenha todos atualizados com treinamentos de reciclagem

O treinamento de GDPR não é um evento isolado. Agende momentos de revisão, atualize o conteúdo quando os regulamentos ou processos internos mudarem e realize treinamentos novamente após qualquer incidente. Um programa contínuo é muito mais fácil de defender do que um certificado de três anos atrás.

Assim, você tem um programa que funciona. Mas o que separa um programa que simplesmente funciona de um que altera comportamentos é simplesmente uma questão de alguns princípios que vale a pena implementar desde o início.

Melhores práticas para treinamento de compliance de GDPR

Abordar os temas certos dá a você um programa teoricamente em conformidade com o regulamento. Essas práticas são o que fazem o programa funcionar, para que as pessoas retenham o que aprenderam e mudem a forma como tratam os dados.

Adapte o treinamento a cargos diferentes

Um treinamento genérico é facilmente esquecido. Quando são apresentados cenários do trabalho em si, o engajamento e a retenção aumentam, assim como a probabilidade de que irão se comportar de forma diferente.

Use métodos interativos de aprendizagem

Apresentações de slides passivas não alteram comportamentos. Quizzes, cenários e verificações curtas de conhecimento forçam as pessoas a se engajarem mais, dando a você dados sobre onde o entendimento está falho.

Forneça um treinamento de reciclagem regular

As pessoas se esquecem de informações. Os regulamentos e processos mudam. Treinamentos de reciclagem curtos e frequentes mantêm o GDPR fresco na memória e os registros da empresa atualizados, ao contrário do que ocorre com uma única sessão anual corrida.

Todos são mais difíceis de sustentar manualmente com o aumento da sua equipe, com a personalização do conteúdo, mantendo interações e monitorando revisões. É aqui que a ferramenta certa faz a diferença.

Como um LMS ajuda no treinamento de compliance de GDPR online

Fazer tudo isso manualmente para uma empresa inteira rapidamente se torna insustentável. Um sistema de gestão de aprendizagem (LMS) faz do treinamento de compliance de GDPR prático e escalável.

Com um LMS, você pode criar cursos para cargos específicos apenas uma vez e alocá-los aos grupos certos, adicionar quizzes e certificados, e automatizar lembretes para que não tenha de ficar relembrando ninguém.

O mais importante para o compliance é que você tenha os relatórios: históricos claros e exportáveis de quem completou quais treinamentos, quando e qual foi a pontuação, sendo exatamente esta a documentação necessária para a responsabilização.

Crie um treinamento de compliance de GDPR com o Easy LMS 

O Easy LMS dá a você tudo o necessário para criar, fornecer e monitorar o treinamento de compliance de GDPR em um único lugar. Crie cursos e provas, coloque seus participantes em grupos, emita certificados após a conclusão e gere relatórios por participantes sempre que precisar de uma comprovação sobre quem foi treinado.

Caso você forneça treinamentos a clientes ou para diferentes unidades, você pode manter os grupos separados com seus respectivos conteúdos e relatórios, além de personalizar a experiência da sua marca. É uma maneira simples de implementar um programa de compliance que seja fácil para administradores gerenciarem e descomplicado para os participantes concluírem.

Inicie seu teste grátis e crie seu primeiro curso de compliance de GDPR hoje.

Recursos úteis

1. Regulamento Geral de Proteção de Dados (GDPR)