Contudo, os cenários em que o dado sensível se apresenta como essencial para o esclarecimento dos fatos devem ser submetidos a outros parâmetros de avaliação para a garantia da conformidade à Lei Geral de Proteção de Dados (LGPD) , como o da anonimização, o que não permite a associação, direta ou indiretamente, a um titular, pois é ocultado alguma parte do dado sensível.

De acordo com a consultora de investigação Lílian Fonseca e a consultora de data privacy Larissa Roedel, no caso de entrevistas investigativas sobre assédio, por exemplo, as informações coletadas são compiladas da maneira mais generalizada possível, sem distinções quanto ao que foi dito por este ou aquele participante.

“Já em casos de fraude envolvendo o parceiro do investigado, podem ser usadas outras informações que conectem as duas pessoas ao invés do relacionamento afetivo. Um endereço comum a ambos ou a conexão identificada em mídias sociais podem ser suficientes para comprovar um vínculo relevante na investigação.” esclarecem.

As consultoras explicam que inevitavelmente ocorrerão situações em que um dado sensível é essencial e não pode ser desvinculado do titular para que os resultados da investigação façam sentido em seu contexto. “No caso dos titulares serem funcionários, fornecedores ou clientes, é de suma importância que a empresa tenha estabelecido contratualmente e em sua Política de Privacidade, a possibilidade de eventuais consultas de suas bases de dados ou equipamentos corporativos para apuração de quebra do código de conduta”, explicam.

Nesses casos, a consultoria responsável pela investigação deve se comprometer com o compartilhamento interno consciente e descarte seguro das informações coletadas, além de firmar com a empresa contratante um acordo de confidencialidade eficiente que restrinja o acesso ao conteúdo obtido pela investigação. Isso irá garantir o caráter de sigilo do trabalho e evitar futuras exposições indevidas.

Para esses casos em que a utilização de dados sensíveis é essencial à condução da investigação, é necessária a confecção, pelas empresas, do Relatório de Impacto à Proteção de Dados Pessoais (RIPD), visto que esse tratamento apresenta um risco ao proprietário dos dados. Esse documento tem como objetivo identificar e mitigar os riscos existentes em tratamentos que arrisquem as liberdades civis e os direitos fundamentais do titular.

Por fim, é válido recordar o objetivo proposto pela LGPD, que é “proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural”. Não é finalidade da Lei representar obstáculos para a atuação do compliance nas empresas, muito pelo contrário, as organizações, comprometidas com a segurança dos titulares dos dados sensíveis, passam a ser referência de cultura ética no mercado, especialmente em cenários de investigações corporativas.

Fonte: Lílian Fonseca e Larissa Roedel da ICTS Protiviti