Pular para o conteúdo principal

Procedimento de Privacy by Design

📥Download deste documento em formato editávelDOCX
Obrigatório

Código: PROC-PBD-001 Versão: 1.0 Vigência: 01 de dezembro de 2025

1. Objetivo​

Estabelecer o processo para incorporar princípios de privacidade e proteção de dados desde a concepção (Privacy by Design) e por padrão (Privacy by Default) em novos produtos, funcionalidades, sistemas e processos, conforme Art. 46, §2º da LGPD.

2. Princípios de Privacy by Design​

2.1 Os 7 Princípios Fundamentais​

#PrincípioDescriçãoAplicação Prática
1Proativo, não reativoPrevenir problemas antes que ocorramAvaliar privacidade no início do projeto
2Privacidade como padrãoProteção automática sem ação do usuárioConfigurações mais restritivas por default
3Privacidade incorporadaParte integral, não complementoRequisitos de privacidade no backlog
4Funcionalidade totalSem trade-offs falsosPrivacidade E funcionalidade
5Segurança de ponta a pontaProteção em todo o cicloCriptografia, controle de acesso
6Visibilidade e transparênciaOperações verificáveisLogs, auditorias, documentação
7Respeito pelo usuárioInteresses do titular em primeiro lugarControles de privacidade acessíveis

3. Quando Aplicar​

3.1 Aplicação Obrigatória​

SituaçãoExemplo
Novos produtos/serviçosNova plataforma, novo módulo
Novas funcionalidadesNova feature que trata dados pessoais
Novos tratamentos de dadosNova finalidade, nova coleta
Mudanças significativasAlteração de arquitetura, novo fornecedor
Novas integraçõesAPIs, compartilhamentos
Novos processosProcessos internos com dados pessoais

3.2 Exemplos de Gatilhos​

  • Novo campo de coleta de dados pessoais
  • Nova categoria de titular (ex: responsáveis financeiros)
  • Novo compartilhamento com terceiros
  • Mudança de infraestrutura (novo provedor cloud)
  • Nova funcionalidade de analytics/relatórios
  • Implementação de IA/ML com dados pessoais

4. Integração com Ciclo de Desenvolvimento​

4.1 Visão Geral​

┌─────────────┐    ┌─────────────┐    ┌─────────────┐    ┌─────────────┐    ┌─────────────┐
│   IDEAÇÃO   │───►│  DESIGN     │───►│DESENVOLVIMENTO│──►│   TESTES    │───►│  PRODUÇÃO   │
│             │    │             │    │             │    │             │    │             │
└─────────────┘    └─────────────┘    └─────────────┘    └─────────────┘    └─────────────┘
      │                  │                  │                  │                  │
      ▼                  ▼                  ▼                  ▼                  ▼
┌─────────────┐    ┌─────────────┐    ┌─────────────┐    ┌─────────────┐    ┌─────────────┐
│  Avaliação  │    │  Privacy    │    │  Revisão    │    │  Testes de  │    │ Monitoramento│
│  Inicial    │    │  Review     │    │  de Código  │    │  Privacidade│    │  Contínuo   │
│  (PIA)      │    │             │    │             │    │             │    │             │
└─────────────┘    └─────────────┘    └─────────────┘    └─────────────┘    └─────────────┘

4.2 Responsabilidades por Fase​

FaseResponsávelAtividade de Privacidade
IdeaçãoProduct OwnerAvaliação inicial, consulta DPO
DesignTech Lead + DPOPrivacy Review, definir controles
DesenvolvimentoDesenvolvedoresImplementar controles, code review
TestesQA + DPOValidar requisitos de privacidade
ProduçãoDevOps + DPOAprovação final, monitoramento

5. Checklist de Privacy by Design​

5.1 Minimização de Dados​

  • Coletamos apenas dados estritamente necessários?
  • Cada campo de dado tem finalidade documentada?
  • Dados sensíveis são realmente necessários?
  • Podemos usar dados anonimizados/pseudonimizados?
  • Existe prazo de retenção definido para cada dado?
  • Qual a base legal para este tratamento?
  • Se consentimento, é livre, informado e específico?
  • Se legítimo interesse, há LIA documentado?
  • A base legal está documentada no ROPA?

5.3 Transparência​

  • O titular será informado sobre a coleta?
  • A finalidade está clara e compreensível?
  • A política de privacidade será atualizada?
  • Há avisos de privacidade no ponto de coleta?

5.4 Direitos dos Titulares​

  • Como o titular poderá acessar seus dados?
  • Como será possível corrigir dados?
  • Como será implementada a exclusão/anonimização?
  • Como será tratada a portabilidade?
  • Como registrar revogação de consentimento?

5.5 Segurança​

  • Dados sensíveis serão criptografados em repouso?
  • Haverá criptografia em trânsito (TLS)?
  • Controle de acesso está definido (RBAC)?
  • Logs de acesso serão implementados?
  • Há proteção contra ataques comuns (OWASP)?

5.6 Retenção e Descarte​

  • Prazo de retenção está definido?
  • Processo de eliminação está implementado?
  • Backups seguem política de retenção?
  • Dados podem ser anonimizados ao invés de excluídos?

5.7 Compartilhamento​

  • Dados serão compartilhados com terceiros?
  • Há DPA com todos os terceiros?
  • Há transferência internacional?
  • Mecanismos de proteção estão implementados?

5.8 Dados de Menores​

  • A funcionalidade envolve dados de menores?
  • Há verificação de idade implementada?
  • Consentimento parental é necessário?
  • Proteções adicionais foram implementadas?

6. Avaliação de Impacto à Privacidade (PIA)​

6.1 Quando é Necessário​

NívelCritérioAção
BásicoNovo campo/funcionalidade simplesChecklist PbD
IntermediárioNova funcionalidade com dados pessoaisPIA Simplificado
AvançadoDados sensíveis, menores, alto riscoRIPD Completo

6.2 Formulário de Avaliação Inicial​

Identificação:

  • Nome do projeto/funcionalidade:
  • Responsável:
  • Data:

Dados Pessoais:

  • Coleta novos dados pessoais?
  • Quais categorias? ____________
  • Envolve dados sensíveis?
  • Envolve dados de menores?

Tratamento:

  • Nova finalidade de tratamento?
  • Novo compartilhamento?
  • Transferência internacional?
  • Uso de IA/decisões automatizadas?

Avaliação de Risco:

  • Volume de titulares: [ ] Menos de 1000 [ ] 1000-10000 [ ] Mais de 10000
  • Impacto potencial: [ ] Baixo [ ] Médio [ ] Alto

Resultado:

  • Prosseguir com checklist PbD
  • Realizar PIA Simplificado
  • Realizar RIPD Completo

7. Privacy Review​

7.1 Quando Realizar​

  • Antes de iniciar desenvolvimento
  • Antes de deploy em produção
  • Após mudanças significativas

7.2 Participantes​

  • Product Owner / Solicitante
  • Tech Lead
  • DPO ou representante
  • Desenvolvedor responsável

7.3 Conteúdo da Revisão​

  1. Contexto

    • Descrição da funcionalidade
    • Necessidade de negócio
    • Impacto esperado

  2. Dados Pessoais

    • Dados coletados/tratados
    • Fluxo de dados
    • Armazenamento

  3. Análise de Riscos

    • Riscos identificados
    • Probabilidade e impacto
    • Medidas de mitigação

  4. Decisão

    • Aprovado
    • Aprovado com condições
    • Reprovado (requer alterações)

7.4 Documentação​

Registrar para cada revisão:

  • Data da revisão
  • Participantes
  • Decisão tomada
  • Condições/pendências
  • Responsável pelo acompanhamento

8. Privacy by Default​

8.1 Configurações Padrão​

AspectoConfiguração Padrão
Visibilidade de perfilPrivado
Compartilhamento de dadosDesativado
Cookies não essenciaisDesativados
Notificações/marketingOpt-in
Retenção de dadosMínimo necessário
Coleta de localizaçãoDesativada
Analytics detalhadoDesativado

8.2 Implementação​

  • Padrões restritivos em todo novo cadastro
  • Usuário deve ativamente optar por menos privacidade
  • Controles de privacidade acessíveis e compreensíveis
  • Não usar dark patterns

9. Requisitos por Tipo de Projeto​

9.1 Nova Coleta de Dados​

Obrigatório:

  • Justificativa de necessidade
  • Base legal definida
  • Prazo de retenção
  • Atualização do ROPA
  • Aviso de privacidade no ponto de coleta

9.2 Nova Integração/API​

Obrigatório:

  • DPA com o terceiro
  • Minimização de dados compartilhados
  • Criptografia em trânsito
  • Autenticação segura
  • Logs de compartilhamento

9.3 Nova Funcionalidade de Relatórios​

Obrigatório:

  • Anonimização quando possível
  • Controle de acesso granular
  • Logs de acesso a relatórios
  • Não expor dados desnecessários

9.4 Funcionalidades com IA/ML​

Obrigatório:

  • Transparência sobre uso de IA
  • Revisão humana de decisões automatizadas
  • Documentação do algoritmo
  • Avaliação de viés
  • RIPD obrigatório

10. Aprovação do DPO​

10.1 Quando é Necessária​

SituaçãoAprovação
Checklist PbD básico atendidoNão obrigatória
PIA Simplificado realizadoRecomendada
RIPD elaboradoObrigatória
Dados sensíveis envolvidosObrigatória
Dados de menores envolvidosObrigatória
Nova transferência internacionalObrigatória

10.2 Processo de Aprovação​

  1. Solicitante envia documentação ao DPO
  2. DPO analisa em até 5 dias úteis
  3. DPO solicita esclarecimentos se necessário
  4. DPO emite parecer: Aprovado / Aprovado com condições / Não aprovado
  5. Solicitante implementa condições (se aplicável)
  6. DPO confirma implementação

10.3 Registro​

Manter registro de todas as aprovações:

  • Projeto/funcionalidade
  • Data da solicitação
  • Data da aprovação
  • Condições impostas
  • Status de implementação

11. Documentação​

11.1 Documentos a Manter​

DocumentoResponsávelRetenção
Avaliação Inicial (PIA)Product Owner5 anos
Checklist PbD preenchidoTech Lead5 anos
Ata de Privacy ReviewDPO5 anos
Parecer do DPODPO5 anos
RIPD (quando aplicável)DPO5 anos

11.2 Armazenamento​

12. Responsabilidades​

FunçãoResponsabilidades
Product OwnerIdentificar necessidade de PbD, documentar requisitos
Tech LeadGarantir implementação dos controles, code review
DesenvolvedoresImplementar controles, seguir padrões
QAValidar requisitos de privacidade
DPOOrientar, revisar, aprovar, monitorar
ArquitetoDesenhar soluções privacy-friendly

13. Treinamento​

13.1 Público-Alvo​

  • Desenvolvedores
  • Product Owners
  • Tech Leads
  • Arquitetos
  • QA

13.2 Conteúdo​

  • Princípios de Privacy by Design
  • LGPD aplicada ao desenvolvimento
  • Uso do checklist
  • Casos práticos e exemplos
  • Ferramentas e recursos

13.3 Frequência​

  • Onboarding de novos colaboradores
  • Reciclagem anual
  • Atualizações quando houver mudanças

14. Ferramentas​

FerramentaUso
ClickUpGestão de projetos (user stories de privacidade)
https://lgpd.ischolar.appDocumentação de PIAs e aprovações
Google Docs / ClickUp DocsTemplates de checklist

Aprovação​

FunçãoNomeData
DPO / Diretor de TecnologiaPedro Henrique Rosa Barbosa15/12/2025

Histórico​

VersãoDataAlteração
1.015/12/2025Versão inicial

Anexos​

  • Anexo A: Checklist de Privacy by Design Completo
  • Anexo B: Formulário de Avaliação Inicial (PIA)
  • Anexo C: Template de Privacy Review
  • Anexo D: Guia de Implementação para Desenvolvedores
  • Anexo E: Exemplos de Privacy by Default