O dado começa
no convite
A conversa sobre LGPD costuma acontecer quando alguém pergunta sobre biometria. A essa altura, o evento já coletou dado em seis pontos diferentes.
Mapeie onde o dado aparece
Um evento coleta dado pessoal em muito mais pontos do que a lista de inscritos: formulário de inscrição, credenciamento, controle de acesso a áreas, app do participante, ativações com coleta de lead, fotografia, transmissão que capta a plateia e pesquisa de satisfação.
O primeiro passo não é jurídico, é operacional: listar cada ponto, o que é coletado ali e para que serve. Sem esse mapa, qualquer política vira texto genérico que a operação não segue.
Os papéis precisam estar definidos em contrato
- Organizador
- Normalmente define finalidade e meios: é quem responde pela decisão.
- Fornecedor
- Trata dados em nome do organizador, dentro do que foi contratado.
- Patrocinador
- Recebe apenas o que o participante autorizou, e isso precisa ser explícito.
- Plataforma
- Onde o dado fica hospedado, sob quais condições e por quanto tempo.
- Local do evento
- Câmeras e controle de acesso do espaço, que também coletam.
O que definir antes de abrir inscrições
- Quais campos são realmente necessários, cada campo extra é um risco extra
- Finalidade específica de cada coleta, escrita em linguagem clara
- Base legal de cada tratamento, com atenção especial a dado sensível
- O que será compartilhado com patrocinadores e expositores, e com qual consentimento
- Prazo de retenção por tipo de dado e quem executa o descarte
- Canal para o participante exercer seus direitos, com responsável e prazo
- Cláusulas de tratamento de dados nos contratos com fornecedores
Os pontos que mais escapam
Três situações costumam passar despercebidas. A primeira é a lista de leads coletada em estande de patrocinador: o participante autorizou o evento, não necessariamente cada marca. A segunda é a fotografia e a transmissão que capta a plateia, que exige aviso visível na entrada. A terceira é o backup, a base foi apagada do sistema, mas continua no backup de alguém.
Nenhuma delas é complexa de resolver. Todas são difíceis de resolver depois.
O descarte é a etapa que ninguém agenda
Retenção definida sem data agendada não acontece. A prática que funciona é tratar o descarte como tarefa de cronograma, com responsável e prazo, junto com as outras entregas do D+1.
E registrar que foi feito: em caso de questionamento, a diferença entre uma operação defensável e uma exposta é a existência desse registro.
Relacionado
Quer revisar o tratamento de dados do seu evento?
Conte quais sistemas coletam dado hoje e a gente ajuda a mapear pontos, papéis e prazos.