Governança de dados e programa de integridade compartilham estrutura, instâncias e evidências. Tratá-los separadamente duplica custo e cria contradição.
A LGPD, no art. 50, prevê o programa de governança em privacidade e lista seus elementos: comprometimento da alta direção, políticas aplicáveis, treinamento, mecanismos de supervisão interna, planos de resposta a incidentes e revisão contínua. A leitura ao lado do art. 57 do Decreto 11.129/2022 revela sobreposição quase integral de arquitetura.
A convergência aparece em cinco componentes. O canal de denúncias serve tanto para relato de assédio e fraude quanto para comunicação de incidente de segurança. O treinamento pode ser um só, com módulos. A gestão de terceiros exige diligência em ambos os regimes, com questionários complementares e não paralelos. A matriz de risco pode incorporar risco de privacidade como categoria. E a instância de governança — comitê — pode ser única, com pauta segmentada.
Manter os programas separados produz três efeitos indesejados: retrabalho na coleta de evidência, políticas que se contradizem sobre acesso e monitoramento, e diluição de responsabilidade quando o incidente tem as duas naturezas — como o vazamento causado por fraude interna.
A integração exige, contudo, respeitar as especificidades. O encarregado de dados tem função definida em lei, com atribuições próprias, e não se confunde com o compliance officer, ainda que possam se reportar ao mesmo comitê.
Na prática, um programa integrado com trilhas específicas custa menos, produz evidência mais consistente e responde melhor quando o incidente chega.
Referências
- Lei 13.709/2018, arts. 41 e 50
- Decreto 11.129/2022, art. 57
- ANPD, Guia Orientativo sobre Programa de Governança em Privacidade
Conteúdo informativo. Não constitui parecer nem substitui análise do caso concreto.
