本周五（14日），《通用数据保护法》（LGPD）颁布已满八年，巩固了其作为提升个人信息使用意识以及采纳透明度、必要性、安全性和问责制等原则的里程碑地位。该立法推动的主要变革之一是将数据保护确认为一项基本权利，这一进展强化了该主题的重要性，并将其置于公司治理讨论的核心位置。然而，尽管取得了进展，组织仍面临将合规要求转化为有效实践的挑战。
合规落地仍是核心挑战
据Failla Lima Riva律师事务所合伙人卡洛斯·利马表示，《通用数据保护法》（LGPD）扩大了数据保护的范围，使其在企业治理中占据了战略地位。
“目前的挑战在于让合规工作真正落地。许多组织虽然制定了隐私政策和通知，但并未维护最新的清单、充分的供应商控制措施、明确的保留期限、高效的服务现任人员程序，或经过有效测试的事件响应计划。”利马表示。
监管与司法实践趋于成熟
尽管企业仍需加强数据保护文化，但由《通用数据保护法》（LGPD）确立并由国家数据保护局（ANPD）监督的法律正经历成熟过程。例如，该机构的职能已从以教育和监管为主的阶段，演变为更侧重于监控、监督以及实施纠正和制裁措施的结构性方法。
这种演变也反映在司法领域。“判例法也在不断成熟。法院以更语境化的方式分析案件，考虑数据的性质、事件的严重程度、采取的安全措施、组织的响应以及持有人是否遭受损害”。
在这种情况下，仅仅声称组织是黑客攻击的受害者已不足以排除任何法律责任。企业逐渐认识到，保留和维护其数据保护实践证据的重要性，包括处理活动记录、风险评估、供应商尽职调查、适当的合同、培训、安全控制、对数据主体的出席记录以及事件响应程序。
未来趋势：AI治理与数据保护深度融合
在接下来的几年里，利马指出，数据治理、网络安全和人工智能治理之间的整合将是优先事项。尽管这些问题在组织中通常仍被单独处理，但与之相关的风险正日益相互关联。
“趋势要求更高的问责制，即解释和证明涉及数据和算法的决策是如何做出的。人工智能并未创造一个无法无天的领域：当系统使用个人数据时，LGPD（《通用数据保护法》）将贯穿其整个生命周期进行监管。”他指出。