A maior parte dos programas de privacidade é construída para impedir problemas: controlar acesso, reduzir incidentes, organizar bases legais e demonstrar conformidade. Essa continua sendo a abordagem correta, mas não esgota a governança. A empresa também precisa saber como se comportará quando, apesar dos controles, uma infração for identificada. Em 15 de outubro, a ANPD abriu consulta pública para revisar o Regulamento de Dosimetria e Aplicação de Sanções Administrativas. A proposta ainda não é definitiva e permanece em discussão.
A dosimetria é justamente o ponto em que uma irregularidade começa a ser convertida em consequência. Circunstâncias do caso, reincidência, comportamento da organização, medidas corretivas e cooperação podem ganhar importância na forma como a autoridade avaliará a situação. Por isso, governança não serve apenas para tentar evitar a infração. Serve também para demonstrar como a empresa respondeu quando descobriu o problema.
Imagine duas organizações diante de falha semelhante. A primeira detecta rapidamente, interrompe o tratamento, corrige o processo, preserva evidências e registra cada decisão. A segunda demora a reagir, não possui responsáveis definidos e não consegue reconstruir o que fez. A infração de origem pode ser parecida; a postura regulatória é completamente diferente.
Esse é o motivo pelo qual gestão de incidentes e não conformidades deve produzir documentação. Quando o problema foi identificado? Quem decidiu? Quais medidas foram tomadas? Quanto tempo levou? O risco foi eliminado? A empresa cooperou? Sem esse histórico, mesmo uma boa resposta operacional pode ser difícil de provar.
Evitar a infração continuará sendo sempre a melhor estratégia. Mas, quando algo dá errado, a qualidade e a rastreabilidade da reação da empresa também passam a fazer parte do risco.