O titular não vem do encarregado, vem do marketing

O encarregado de dados olha para o cadastro de clientes e acha que está tudo em ordem. O problema está no outro lado: no formulário de marketing que pede CPF para um brinde, no cadastro de lead que fica num e-mail da agência, no formulário que armazena telefone de terceiro.

Dado pessoal sai da empresa por uma janela que ninguém chama de sistema. E cada uma dessas janelas tem uma base legal, um prazo de retenção e um responsável que ninguém definiu.

O trabalho de adequação começa pelo mapa de coleta, não pelo cadastro. É de onde o dado vem, para que vai e por quanto tempo fica. Sem esse mapa, qualquer política de segurança da informação é decorativa.