Obecný zákon o ochraně osobních údajů (LGPD) byl zlomovým okamžikem v tom, jak brazilské společnosti všech velikostí nakládají s osobními údaji. Přestože je legislativa jednotná, cesty k jejímu dodržování jsou nerovnoměrné. Malé a střední podniky (MSP), které představují většinu podniků v zemi, čelí specifickým výzvám, které jdou nad rámec pouhého nedostatku rozpočtu. Zahrnují kulturu správy a řízení, nedostatek technických a právních znalostí a nedostatek strategického stanovení priorit.
Nedávný průzkum provedený společností Sebrae ukázal, že malé a střední podniky jsou stále daleko od dodržování LGPD (brazilský obecný zákon o ochraně osobních údajů). Ačkoli 80 % podnikatelů uvádí, že o legislativě slyšelo, pouze 5 % uvádí, že ji zná podrobně. Ještě znepokojivější je skutečnost, že 77 % malých podniků nepřijalo žádná konkrétní opatření k dosažení souladu s předpisy, a to ani téměř pět let po vstupu zákona v platnost. Navíc 52 % majitelů podniků nedokáže měřit dopad kybernetických incidentů a prokazuje nízkou znalost nakládání s citlivými údaji.
První velkou výzvou je pochopit, že LGPD (brazilský obecný zákon o ochraně osobních údajů) není volitelný. V prostředí malých a středních podniků je stále běžné vnímat tento zákon tak, že se vztahuje pouze na velké korporace nebo technologické společnosti. Toto přesvědčení je mylné a nebezpečné. LGPD nerozlišuje podle velikosti společnosti, ale spíše podle zpracování osobních údajů. Jinými slovy, zákonu podléhá jakákoli organizace, která shromažďuje, ukládá nebo používá identifikovatelné údaje od zákazníků, zaměstnanců nebo dodavatelů.
Za druhé, existuje skutečný problém s převodem právních požadavků LGPD (brazilského obecného zákona o ochraně osobních údajů) do jasných interních procesů. Absence specializovaných právních nebo compliance týmů v rámci firemní struktury vyžaduje kreativní a dostupná řešení. Často se však setkáváme se snahou „kopírovat a vkládat“ hotové šablony z internetu nebo přijímat formální opatření bez odpovídající praktické změny v každodenním provozu. Tento přístup je nejen neúčinný, ale představuje také právní riziko: může se zdát, že je v souladu s předpisy, aniž by byl skutečně implementován.
Dalším kritickým bodem je křehkost informační bezpečnosti. LGPD (brazilský obecný zákon o ochraně osobních údajů) vyžaduje odpovídající technická a administrativní opatření k ochraně dat. Velká část malých a středních podniků však pracuje s omezenou infrastrukturou, bez kontroly přístupu, bez pravidelných záloh a s nízkou úrovní vyspělosti v řízení kybernetických rizik. V této souvislosti je vystavení únikům nebo incidentům vysoké a často neviditelné i pro samotné manažery. Představa, že ochrana dat je pouze právní otázkou, je zastaralá; je pilířem bezpečnosti a kontinuity podnikání.
Jednou z výzev, kterou považuji za klíčovou, je odpovědnost správce údajů. LGPD (brazilský obecný zákon o ochraně osobních údajů) ukládá správcům údajů jasné povinnosti, které nelze zcela outsourcovat. I když zpracování provádějí třetí strany, povinnost správy a dodržování předpisů zůstává na správci. V malých a středních podnicích je touto osobou obvykle partner nebo generální ředitel, což zvyšuje osobní vystavení právním a reputačním rizikům. Je nezbytné, aby tento odborník chápal dopad zákona nikoli jako překážku, ale jako příležitost ke zvýšení standardů řízení a budování důvěry se svými zainteresovanými stranami.
Trhu navíc stále chybí podpůrné mechanismy přizpůsobené realitě malých a středních podniků. Samotný Národní úřad pro ochranu osobních údajů (ANPD) to již uznal vydáním předpisů zaměřených na malé subjekty. Tyto nástroje je však třeba šířit ve větší míře, diskutovat o nich a inteligentně je uplatňovat. Právní sektor hraje klíčovou roli v převodu těchto předpisů do životaschopných řešení, a to vzdělávacím a praktickým způsobem, aniž by to vyvolávalo paniku nebo nadměrnou byrokracii.
Je důležité si uvědomit, že adaptace na LGPD (brazilský obecný zákon o ochraně osobních údajů) není projekt s datem zahájení a ukončení. Jde o nepřetržitý proces institucionálního zrání, který musí být začleněn do strategie společnosti. Neexistuje žádný magický vzorec, ale existuje základní výchozí bod: uznání, že zpracování osobních údajů s sebou nese právní závazky, skutečná rizika a vztahy založené na důvěře, které jsou základem obchodní činnosti v 21. století.
LGPD (brazilský obecný zákon o ochraně osobních údajů) tu zůstane. Malé a střední podniky, které tomuto hluboce a strategicky rozumí, budou o krok napřed, a to nejen v dodržování zákona, ale také v budování etičtější, bezpečnější a udržitelnější organizační kultury.
