Este documento discute a abordagem do SERPRO para atender os direitos dos titulares de dados pessoais de acordo com a LGPD. Apresenta o problema complexo de haver múltiplos controladores e domínios e propõe uma solução com funcionalidades integradas e uma rede de profissionais capacitados em privacidade e proteção de dados.

1. Como o SERPRO
Atende os Direitos
dos Titulares
24 de Março de 2021

2. 2
Sobre Esta Apresentação
—
Tema: Abordagem do SERPRO para
atendimento dos direitos do titular
de dados pessoais
Agenda:
1. O Problema
2. Organizando o Problema
3. A Solução
4. Pessoas como Parte da Solução
Analista de sistemas com especialização em
engenharia de software pela Universidade Federal
do Rio Grande do Sul.
Atua com desenvolvimento há mais de 20 anos e é
arquiteto de software do SERPRO desde 2005.
Nos últimos anos atua especialmente com
arquitetura, qualidade de software, segurança e
proteção de dados (LGPD), sendo um dos criadores
do "guia de desenvolvimento confiável" do SERPRO.

3. O Problema

4. 4
Direitos na LGPD
—
Artigo 18
1 I - Confirmação
2 II - Acesso
3 III - Correção
4 IV - Adequação
5 V - Portabilidade
6 VI - Eliminação
7 VII - Compartilhamento
8 VIII - Regovação Cons.
9 Peticionar (p. 1o)
10 Opor-se (p. 2o)
A LGPD defina no artigo 18
uma série de direitos que
o titular de dados pode
exigir do controlador de
dados

5. 5
Os Direitos do Titular de Dados Pessoais
—

6. 6
Cenário Complexo: Muitos Controladores
—
Titular
Solução de
Resposta
SERPRO
Zona de Controlador A
(e.g. SERPRO como Controlador)
Zona de Controlador B
(e.g. RFB)
Zona de Controlador C
(e.g. DENATRAN, PGFN)
Zona de Controlador X
Zona de Controlador Y
Confirmação Acesso Correção Eliminação
Adequação Portabilidade
Informação sobre
Compartilhamento
Informação sobre
Não Consentimento Revogação
Reclamação
Oposição

7. 7
O Problema: Multiplicidade
—
Titular
Solução de
Resposta
SERPRO
Zona de Controlador A
(e.g. SERPRO como Controlador)
Zona de Controlador B
(e.g. RFB)
Zona de Controlador C
(e.g. DENATRAN, PGFN)
Zona de
Domínio 1
Zona de
Domínio 3
Zona de
Domínio 2
Zona de
Domínio 4
Zona de
Domínio 5
Solução 1.1
Solução 2.1
Solução 1.2
Solução 2.2 Solução 3.3
Solução 5.3
Solução 5.1
Solução 3.1
Solução 5.2
Solução 4.1 Solução 4.2
Solução 2.2

8. Organizando
o Problema

9. 9
Funcionalidades da Solução de Resposta
—
Confirmação Acesso
Correção Eliminação Adequação
Portabilidade
Informação sobre
Compartilhamento
Informação sobre
Não Consentimento
Revogação Reclamação
Oposição
1 Metainformação 2 Leitura 3 Escrita 4 Exclusão 5 Adequação
6 Consentimento 7 Solicitação 8 Governança P&PD
Acompanhamento
Dashboards
Workflow
de Resposta
9 Identificação do Titular

10. 10
Esquema de Resposta ao Titular
—
Titular
Solução de
Resposta
Solicitação
Resposta
Insumos
Meios
Manual
Automatizados
Manual
x
Automatizada

11. 11
Tipos de Insumos
—
Dado de Negócio
(Banco de Dados)
Solução
Digital
(Software, DW,
Lago etc)
Insumo
Estruturado
(Metadados, MCS,
Arquimedes etc)
Insumo
Documental
Requisitos
Regras de Negócio
RAT, DMP, RIPD
Dado de
Controle
(Logs)
Insumo Operacional
Manual
Automatizados
Digitalização

12. 12
Funcionalidades x Insumos
—
Dado de Negócio
(Banco de Dados)
Solução
Digital
(Software, DW,
Lago etc)
Insumo
Estruturado
(Metadados, MCS,
Arquimedes etc)
Insumo
Documental
Requisitos
Regras de Negócio
DMP, RIPD, DPIA
Dado de
Controle
(Logs)
Insumo Operacional
1 Metainformação
2 Leitura
3 Escrita
4 Exclusão
5 Adequação
6 Consentimento
1
7 Solicitação
8
Governança
P&PD

13. A Solução

14. 14
Proposta Inicial de Solução
—
Titular
Solução de
Resposta
SERPRO
Solução 1.1
Solução 2.1
Solução 1.2
Solução 2.2 Solução 3.3
Solução 5.3
Solução 5.1
Solução 3.1
Solução 5.2
Solução 4.1 Solução 4.2
Solução 2.2
Front Hub
Meta
URC
SUPPD
DEV
OPS
DIRCL
DIDES
DIOPE
A
M
A
Automatizado
M
Manual
Fluxos
Outros
DPO

15. 15
Funcionalidades na Solução
—
Titular
Solução de
Resposta
SERPRO
Solução 1.1
Solução 2.1
Solução 1.2
Solução 2.2 Solução 3.3
Solução 5.3
Solução 5.1
Solução 3.1
Solução 5.2
Solução 4.1 Solução 4.2
Solução 2.2
PDC AR
MCS
URC
SUPPD
DEV
OPS
DIRCL
DIDES
DIOPE
6 7
1
2
3
4
5
8
5
2
3
4
1
A
M
A
Automatizado
M
Manual
Fluxos
9
Outros

16. Solução de
Resposta
SERPRO
PDC AR
MCS
URC
SUPPD
DEV
OPS
DIRCL
DIDES
DIOPE
Produtos Integrados
—
A
M
Outros
Privacidade
Digital do
Cidadão
● Datavalid
● Biovalid
● NeoID
● Consentimento
● Solicitações
Arquitetura de
Resposta
● Core LGPD
● Arquimedes
● MeuDominio
Metadados
Centralizados
do SERPRO
DPO

17. Primeira Versão (Maio/2021)
— Direito LGPD art. 18 NEC Fluxo
Previsto
Elementos Custo e
Recursos
Insumos
Necessários
1 I - Confirmação + Info 1 Automático PDC + AR Computacional Estrutural: MCS
2 II - Acesso 2 Manual PDC + FM Áreas Fim Operacional BD
3 III - Correção 3 Manual PDC + FM Áreas Fim Operacional BD
4 IV - Adequação 5 Manual PDC + FM Ar. Fim ALTO Ope. BD+Sw
5 V - Portabilidade 2 Manual PDC + FM Áreas Fim Operacional BD
6 VI - Eliminação 5 Manual PDC + FM Áreas Fim Operacional BD
7 VII - Compartilhamento 1 Automático PDC + AR Áreas LGPD Doc/Estrut
8 VIII - Regovação Cons. 6 Automático PDC Computacional Estrutural: PDC
9 Peticionar (p. 1o) 7 Manual PDC + FM Áreas LGPD Depende
10 Opor-se (p. 2o) 7 Manual PDC + FM Áreas LGPD Depende

18. Pessoas são
Parte da
Solução

19. 19
Adequação em Escala (e.g. SERPRO)
—
Negócio
DIRCL (interno e externo)
ADM, RH
(interno)
Operação
DIOPE
Desenvolvimento
DIDES
Segurança
&
Privacidade
SUPSI / SUPPD
Contexto do Controlador
Empresa / CNPJ base
Subcontexto
Área, depto., divisão etc
Escopo de Negócio
Sistema, Processo, Serviço etc
Granularidade Áreas de Atuação
Contexto do Operador
Medidas Técnicas

20. SUN02
20
DPO
local
DPO
local
DPO
local
Subencarregado
DPO
Serpro
Equipe
SUPPD
SUP01
REDE
PPD
ponto
focal
ponto
focal
DPO
local
DPO
local
DPO
local
Subencarregado
Rede SERPRO de Privacidade
e Proteção de Dados - RSPPD
—

21. 21
Abordagem SERPRO de Organização
—
COMO?
Contexto do Controlador
Empresa / CNPJ base
Subcontexto
Área, depto., divisão etc
Escopo de Negócio
Sistema, Processo, Serviço etc
Granularidade
Encarregado
DPO do SERPRO
Subencarregado
Um por cada unidade (superint. +-30)
DPO Local
Especialista no Negócio e em P&PD
Rede SERPRO de Privacidade e
Proteção de Dados

22. 22
Lições Aprendidas
—
- Não dá pra “comprar” adequação à LGPD
A empresa, processos e negócios devem se adequar
“Top/Down” é mais eficiente em larga escala
- A automatização tem limite e não é barato (A)
A ação de pessoas capacitadas é fundamental (M)
Primeiro pessoas, depois ferramentas

23. Obrigado
Douglas Siviotti
Superintendência de Privacidade e Proteção de Dados
SUPPD - Escritório do Encarregado