Em Incheon, distrito de Yeonsu, Songdo, sou um agente administrativo. Gostaria de compartilhar um incidente que encontrei enquanto trabalhava.
A terceira pergunta do examinador foi esta: Por quanto tempo vocês mantêm os registros de acesso?
O cliente não conseguiu responder. Porque não havia sido definido. E a pergunta não tinha nada a ver com o conteúdo relatado.
## O relato começou com outra história
Primeiro, recebemos uma ligação telefônica. A voz estava apressada e a primeira frase foi: Recebi uma notificação de violação de informações pessoais.
Ele fez um agendamento e veio no dia seguinte à tarde. Era um homem na casa dos trinta e poucos anos, que operava duas study cafés autônomos 24 horas por dia em Yeonsu-gu, Incheon. Ele trabalha em outro emprego durante o dia e gerencia a loja remotamente. Ele estava no terceiro ano de operação e ainda tinha dívidas de empréstimo para pagar na primavera do ano seguinte.
O conteúdo do relato era simples. Um usuário alegou que seus registros de horário de acesso haviam sido transmitidos a outra pessoa.
Havia uma questão pessoal por trás disso. Um conhecido que discutia com o usuário foi à loja e perguntou a um funcionário de meio período que estava trabalhando temporariamente à noite qual horário específico a pessoa havia ido e ido, e o funcionário havia fornecido uma hora aproximada olhando para a tela.
O cliente só soube disso ao receber a ligação de notificação. O funcionário de meio período já havia desistido.
Até aqui é o incidente relatado. Mas este incidente é apenas metade deste artigo.
## Depois de enviar duas respostas
Ele já havia tomado duas medidas.
A primeira foi ligar para a agência de denúncias. Ele explicou que foi o funcionário quem fez isso e que ele não havia dado instruções. O atendente orientou a preparar os documentos, pois havia um procedimento para verificar os fatos. Foi uma orientação precisa.
A segunda foi entrar em contato diretamente com o usuário. A intenção era pedir desculpas e esclarecer o mal-entendido. A ligação não terminou bem.
Esta segunda parte é a que exige mais cuidado na prática. Entrar em contato diretamente com as partes envolvidas em um caso em andamento, mesmo com boas intenções, pode deixar espaço para interpretações diferentes no futuro. Especialmente se houver qualquer nuance de solicitação de retirada da denúncia, isso se torna um novo problema por si só.
Depois desta segunda ligação, ele passou alguns dias sem saber o que fazer e, então, veio ao escritório.
O que ele mais disse na primeira consulta foi: "Foi o funcionário quem fez isso". Eu entendo seus sentimentos. No entanto, a responsabilidade pelo tratamento de informações pessoais recai sobre o operador de informações. Mesmo que o funcionário tenha agido, a responsabilidade é do operador por dar autoridade ao funcionário, não o educar ou não controlá-lo.
Leva trinta minutos para explicar esta estrutura. Acredito que esses trinta minutos determinaram a direção dos próximos dois meses. Existem casos em que a injustiça é mantida e casos em que a estrutura é reconhecida e corrigida, e os resultados são diferentes.
E também na prática. Na investigação, a alegação de que "foi o funcionário quem fez isso" raramente é aceita. Por outro lado, um documento que afirma que "o sistema de gerenciamento era inadequado e agora foi corrigido" é realmente revisado.
## Separei as duas perguntas
O que eu fiz na primeira consulta foi dividir a pergunta em duas.
Primeira pergunta. Como você vê a própria ação relatada?
Segunda pergunta. Independentemente dessa ação, como a forma como este negócio lida com informações pessoais aparecerá durante o processo de investigação?
A maioria dos clientes pensa apenas na primeira. Mas a investigação começa com a primeira e passa para a segunda. O incidente relatado é apenas a chave para abrir a porta e, quando a porta se abre, tudo dentro dela fica visível.
「Lei de Proteção de Informações Pessoais」 impõe várias obrigações aos que processam informações pessoais. Incluem-se a coleta mínima adequada ao propósito, a definição e o descarte após o prazo de retenção, medidas de segurança, divulgação da política de tratamento e supervisão em caso de terceirização. Essas obrigações não se tornam efetivas apenas em caso de incidentes de vazamento, mas se aplicam continuamente no dia a dia.
Por isso, iniciamos uma auditoria da instalação, separadamente da resposta à denúncia. Este foi o julgamento mais importante neste caso.
Este julgamento tem um custo. A auditoria revela problemas desconhecidos, e esses problemas precisam ser corrigidos. Se nada for feito, esses problemas parecerão não existir, pelo menos até hoje.
Portanto, esta é uma escolha do cliente. Apresentei a ele dois caminhos, explicando quais eventos são mais prováveis de acontecer em cada um. Responder apenas ao caso denunciado é leve no momento. No entanto, se outros itens forem identificados durante o processo de investigação, ele estará em um estado de "ter conhecimento e negligenciar".
Ele pensou por cerca de dez minutos e disse que faria a auditoria. Não era uma decisão fácil, considerando que havia dois estabelecimentos com empréstimos pendentes.
## Três pontos descobertos na auditoria
Reunimos o status do tratamento de informações pessoais dos dois estabelecimentos ao longo de três dias. Descobrimos três pontos.
Primeiro, não havia período de retenção definido. Registros de acesso e informações relacionadas a pagamentos permaneceram intactos desde o primeiro dia de operação, por três anos. Não era que não tivessem sido apagados, mas o conceito de apagamento não existia. O programa de gerenciamento da loja sem atendente tinha uma configuração padrão de armazenamento ilimitado, e ele não sabia que era possível alterar essa configuração.
Segundo, a política de tratamento de informações pessoais não estava publicada. Havia uma caixa de seleção de consentimento na tela de inscrição, mas não havia um documento explicando o que, com qual propósito e por quanto tempo seria armazenado. Como era uma criação individual, sem uma franquia, ninguém o informou.
Terceiro, o relacionamento de terceirização não estava organizado. A empresa de limpeza e a empresa de gerenciamento de instalações estavam compartilhando uma conta do programa de gerenciamento da loja. Fizeram isso para conveniência, mas a conta permitia o acesso às informações do usuário.
O terceiro ponto foi o mais pesado. O incidente denunciado foi um ato único de um funcionário, mas este era um problema estrutural.
O cliente ficou sem palavras neste ponto. Eu disse: "É uma sorte termos descoberto isso agora." É uma situação completamente diferente se o inspetor descobrir primeiro do que se descobrirmos, corrigirmos e explicarmos.
Também registro o método de auditoria. Não usamos ferramentas sofisticadas. Entramos no programa de gerenciamento da loja, abrimos cada menu e anotamos em uma tabela o que é armazenado, quem pode ver e por quanto tempo permanece. Havia dezenove itens no total, combinando os dois estabelecimentos.
Demoramos meio dia para criar esta tabela. Não é difícil. Apenas ninguém faz isso. Porque não há razão para criar esta tabela antes que surja um problema.
Ainda descobrimos mais uma coisa. Uma lista de candidatos a um evento realizado no início da operação estava armazenada em um arquivo separado. Eles haviam transferido o que foi escrito em papel para uma planilha, mas se passaram mais de dois anos desde o término do evento. Manter informações com propósito finalizado é, em si, um problema. Esses arquivos geralmente estão em alguma pasta da área de trabalho e a própria pessoa os esqueceu.
## Definimos a ordem
Restava uma semana para a entrega dos documentos. Dividimos o que poderia e o que não poderia ser feito dentro desse prazo.
O que foi feito na primeira semana foi uma ação imediata. Encerrámos a conta partilhada e separamos as contas por empresa. Os direitos de acesso foram restritos ao escopo necessário. Confirmamos a configuração de período de retenção no programa de gerenciamento e estabelecemos o procedimento para descartar registros após o período.
Fizemos uma coisa em conjunto aqui. Registramos o estado atual antes de descartar. Criamos uma tabela mostrando o que havia, em que base descartamos e o que descartamos. Se você excluir dados durante uma investigação, terá que explicar o próprio ato de exclusão. É mais importante registrar a base para exclusão do que excluir.
O que foi feito na segunda semana foi trabalho documental. Redigimos a política de tratamento de informações pessoais para corresponder à realidade do tratamento. Um erro comum aqui é copiar e colar a política de tratamento de outra pessoa da internet. Uma política de tratamento que não corresponde à realidade é pior do que não ter nenhuma. Porque isso significa que o que está escrito é diferente do que está sendo feito.
Portanto, ajustamos cada frase para corresponder às operações reais. Os itens de coleta são apenas aqueles que realmente recebemos, o período de retenção é o período que acabamos de definir e a terceirização é o nome da empresa que acabamos de organizar.
## Localização também foi definida.
A política de tratamento deve estar em um local acessível aos usuários. Em uma loja sem atendente, ambos os painéis de inscrição/pagamento e os avisos da loja devem ser visíveis. Se estiverem em apenas um dos lados, na prática, não serão vistos.
Houve também coisas que não pude fazer devido à falta de tempo. Foi a criação de materiais de treinamento para funcionários. Em uma estrutura onde os funcionários de meio período mudam com frequência, o treinamento não termina em uma única sessão. Esta parte foi apenas registrada no plano e os materiais reais foram criados após a conclusão do caso.
É importante não registrar coisas que não foram feitas como se tivessem sido feitas. O que está escrito por escrito se torna um item de verificação posteriormente. Se você escreveu que tudo foi feito nesta semana, será muito mais complicado quando receber uma solicitação de verificação.
## O que foi escrito na opinião
A opinião apresentada juntamente com a apresentação de documentos foi dividida em quatro partes.
Primeiro, os fatos relacionados à ação denunciada. Registrei quando, quem e o que fez, separando o escopo confirmado do escopo não confirmado. Aceitei como fato que o funcionário de meio período mencionou um período de tempo ao olhar a tela. No entanto, também registrei que não foi possível confirmar que os registros foram impressos ou transmitidos.
É importante não negar. Contestar um fato confirmado pode diminuir a credibilidade de outros depoimentos.
Segundo, reconhecimento de deficiências no sistema de gerenciamento. Registrei diretamente que não havia treinamento e controle de acesso, e que, portanto, era possível que isso acontecesse.
Terceiro, medidas de melhoria já concluídas. Este foi o ponto central desta opinião. Separação de contas, restrição de acesso, definição de período de retenção, execução e registro de exclusão e publicação da política de tratamento. Adicionei a data de conclusão e o método de verificação para cada item.
Quarto, planos futuros. Registrei brevemente a verificação de permissões trimestral e o procedimento de treinamento para novos funcionários. Não escrevi muito. Registrar um plano que não pode ser cumprido é a semente para o próximo caso.
Também prestei atenção à ordem. É mais natural colocar os fatos antes das medidas de melhoria, mas o que as pessoas que leem querem saber é o terceiro item. Qual é o estado atual deste estabelecimento? Portanto, anexei um índice na frente e deixei a posição do terceiro item visível no índice.
Os documentos devem ser criados na ordem em que são lidos. A ordem lógica do escritor e a ordem de interesse do leitor geralmente são diferentes.
A opinião tinha oito páginas, e cinco delas eram evidências do terceiro item.
Prestei atenção ao ponto de vista ao criar as evidências. Ao capturar telas, geralmente a data permanece. Organizar as telas para que a comparação entre antes e depois das medidas seja feita na mesma tela encurta a frase de explicação. Você pode substituir três parágrafos de texto por duas páginas.
Por outro lado, também evitei fazer algo. É listar itens não recebidos antecipadamente para se desculpar. Isso pode parecer sincero, mas na verdade amplia o escopo da investigação. Responda ao que foi perguntado, mostre o que foi corrigido e pare por aí.
## Quando uma pergunta adicional for recebida
Cerca de três semanas após a apresentação de documentos, recebi uma pergunta adicional. Havia dois.
Um era se o contrato com a empresa terceirizada continha cláusulas relacionadas ao tratamento de informações pessoais. Não continha. Era próximo a um relacionamento estabelecido verbalmente. Respondemos que não e anexamos uma cópia do contrato recém-criado à resposta.
O outro era o escopo dos dados excluídos. Ao ver que esta pergunta foi feita, reconfirmei o valor da tabela de registro de exclusão que havíamos criado anteriormente. Como o que, quando e com que critério foi excluído estava em uma única tabela, a resposta foi concluída anexando a tabela e descrevendo-a em duas linhas.
Se tivéssemos excluído dados sem registro, esta pergunta teria nos custado algumas semanas adicionais. E a credibilidade da resposta também seria diferente.
No procedimento administrativo, o que geralmente é útil é o registro que parece desnecessário na época.
## Este caso não era um "relato de vazamento"
Houve uma preocupação que o cliente expressou a meio caminho do processo de consulta. Era a pergunta se o incidente era o mesmo que o acidente de vazamento em grande escala que viram na notícia.
Precisamos distinguir dois pontos aqui.
Um é o relato de violação de privacidade. É o caminho para o titular dos dados relatar que seus dados pessoais foram tratados de forma inadequada. Este caso se enquadra aqui.
O outro é a obrigação de notificação e relato de vazamento. É o procedimento pelo qual um estabelecimento que sabe que houve um vazamento de dados pessoais deve notificar o titular dos dados e relatar à autoridade competente, se atender aos requisitos. Esta obrigação tem um prazo e, se não for cumprida, a não conformidade em si é um problema separado.
## Dois Procedimentos, Diferentes Pontos de Partida
Os dois procedimentos têm pontos de partida diferentes. Um envolve quem reporta sendo o titular dos dados, e o outro envolve quem reporta sendo o empresário.
Este caso envolveu a menção verbal de um horário de acesso de um usuário específico, o que o diferenciava de casos em que a obrigação de notificação/relato é acionada imediatamente. No entanto, registramos brevemente nosso julgamento por escrito. É diferente registrar o motivo pelo qual consideramos que não se aplica e simplesmente não mencionar nada. Isso prepara uma resposta para quando a questão for levantada posteriormente.
É um ponto de confusão frequente entre os empresários na prática. Os requisitos e prazos variam de acordo com o caso, portanto, se houver suspeita de vazamento, é melhor verificar imediatamente em vez de adiar a decisão.
## A Linha Não Ultrapassada
Também registramos claramente o que não fizemos neste caso.
Não entramos em contato com o denunciante. Houve um pedido para transmitir nossas desculpas, mas informamos que seria mais seguro fazê-lo por escrito, dentro do processo de investigação, se necessário. No final, o caso foi encerrado sem contato adicional.
O que fizemos foi preparar materiais e documentos para apresentação à administração pública e organizar o status da operação de acordo com os requisitos.
## O Pequeno Alvoroço do Café
Houve um pequeno alvoroço relacionado a este caso.
No dia em que as medidas corretivas foram concluídas, o cliente trouxe dois cafés para o escritório. Eles estavam em copos reutilizáveis da cafeteria e tinham exatamente a mesma aparência. Um tinha açúcar e o outro não, e até mesmo o cliente estava confuso sobre qual era qual.
No final, ambos tomaram um gole e trocaram os copos. Foi a decisão que levou mais tempo no escritório naquele dia.
Ele disse que agora configurou um lembrete de verificação trimestral no painel de gerenciamento da loja. Ele disse que leva cinco minutos para verificar a lista de permissões quando o lembrete aparece.
No segundo estabelecimento, ele dá a um novo funcionário em tempo parcial uma folha A4 no primeiro dia. Ele contém apenas duas informações: que ninguém deve fornecer informações do usuário e que, se receber um pedido desse tipo, deve entrar em contato imediatamente com o proprietário. Ele explicou que ninguém lê se for muito longo.
As regras que duram na prática geralmente têm essa aparência. Não são perfeitas, mas são curtas e, por serem curtas, são seguidas.
## Resultado
O período total foi de aproximadamente dois meses. Levou duas semanas desde a consulta até a apresentação de documentos, três semanas para verificação e respostas adicionais e mais três semanas para finalização.
O resultado foi uma organização baseada em medidas corretivas. As deficiências da operação foram apontadas, e também foi confirmado que as medidas já haviam sido tomadas. Os detalhes específicos da sanção variam de caso a caso e dependem das circunstâncias individuais, portanto, não são mencionados aqui.
No entanto, vale a pena registrar um ponto. Os itens verificados na etapa final foram, em geral, aqueles que já havíamos identificado e corrigido. Em outras palavras, quase nada novo surgiu na investigação. É por isso que mantivemos a segunda pergunta.
Se essa verificação não tivesse sido realizada, os mesmos itens teriam aparecido como apontamentos da outra parte, em vez de em nosso relatório. Mesmo o mesmo fato é tratado de forma diferente dependendo de quem o levantou primeiro.
O que efetivamente restou ao cliente são duas coisas: o fato de que este caso foi encerrado e o fato de que os dados pessoais que estavam acumulados sem critérios há três anos agora têm critérios.
O segundo é mais importante. O caso inicialmente relatado foi um ato único de um funcionário e, por si só, tem baixa probabilidade de se repetir. Por outro lado, os problemas estruturais, se deixados sem solução, inevitavelmente ressurgirão em algum momento. Naquela época, serão mais pesados.
O recebimento do relatório acabou sendo um catalisador para organizar a operação. Não recomendamos essa sequência. No entanto, se você já entrou nessa sequência, o melhor que pode ser feito é definido.
Também registramos a questão do custo. Foi isso que ele perguntou no final. A parte em que realmente houve gastos neste caso foi o aumento da taxa de utilização do programa de gerenciamento ao separar as contas e o tempo gasto para reescrever o contrato com a empresa terceirizada. Não é um valor significativo.
Na verdade, o que foi mais caro foram os três anos anteriores. Registros acumulados sem nenhum critério podem parecer não ter custo, mas quando surge um problema, eles são cobrados de uma só vez. E nessa altura, as opções diminuem.
O momento mais barato para a gestão administrativa geralmente é quando nada acontece.
Dois meses depois, ele fez um comentário de passagem. No início, ele pensou que este caso levaria ao encerramento da loja. Na realidade, não foi isso que aconteceu, mas a ansiedade daqueles dias foi de um tipo que não pode ser apagada.
Os procedimentos administrativos consomem as pessoas com o tempo entre os resultados. Acredito que reduzir esse tempo é tão importante quanto mudar o resultado.
## Alguns pontos a serem deixados
Se você estiver nessa situação, siga esta ordem.
① Não entre em contato diretamente com o denunciante. Mesmo um contato feito de boa fé pode ser interpretado de forma diferente em um procedimento em andamento. Se você tiver algo a comunicar, é mais seguro fazê-lo por escrito dentro do procedimento.
② Não olhe apenas para o caso denunciado. A investigação começa com o conteúdo da denúncia, mas se estende a toda a situação de tratamento. É melhor verificar por conta própria antes de ser repreendido; o resultado será diferente.
③ Verifique o período de retenção e os direitos de acesso. Estes são os dois mais comuns em lojas não tripuladas e pequenas empresas. Muitas vezes, o padrão do programa de gerenciamento é a retenção indefinida.
④ Antes de excluir os dados, registre o status como um registro. O que é mais importante do que a exclusão em si é a base e o momento da exclusão. Isso é especialmente verdade para casos em andamento.
⑤ Não copie as políticas de tratamento de outras pessoas. Políticas de tratamento que não correspondem à realidade podem ser desfavoráveis, como se não existissem. Você pode comparar linha por linha os itens de coleta, o período de retenção e a empresa terceirizada com o que está realmente sendo feito atualmente.
⑥ Não compartilhe contas com empresas terceirizadas. Muitas vezes, uma única conta é usada para conveniência, mas isso resulta em uma situação em que não é possível distinguir quem visualizou o quê. É fundamental dividir as contas por empresa e restringir os direitos de acesso ao escopo necessário.
⑦ Registre apenas o que foi realmente feito por escrito. Se você registrar planos e conclusões separadamente, não terá problemas quando receber uma solicitação de verificação.
Os relatórios e investigações relacionados à informação pessoal têm requisitos e procedimentos diferentes para cada caso, e a aplicação de obrigações de notificação e relatório de violação também varia dependendo da situação. É necessário verificar individualmente.
Este caso é uma história fictícia reconstruída para fins de compreensão e não tem relação com nenhuma pessoa, evento, nome comercial ou número específico.
- --
Este é o escritório de agente administrativo localizado em Songdo, Incheon (Posco Tower Songdo). Lida com revisões administrativas, licenças/relatórios, imigração estrangeira (vistos/permissões de residência) e gerenciamento administrativo regular. No que diz respeito aos relatórios de informação pessoal, o estado de gerenciamento normal do local de trabalho é frequentemente mais importante do que o caso relatado. Se você tiver uma situação semelhante, sinta-se à vontade para entrar em contato.
📍 Incheon, Yeongsu-gu, Convensea-daero 165, Posco Tower Songdo 2697 📞 010-3374-2687 🌐 www.hwangadmin.com
Se você estiver curioso sobre situações semelhantes, sinta-se à vontade para entrar em contato.
※ Este é um exemplo fictício reconstruído para fins de compreensão.
#ViolaçãoDoRelatórioDeInformaçõesPessoais #LeiDeProteçãoDeInformaçõesPessoais #PolíticaDeTratamentoDeInformaçõesPessoais #PeríodoDeRetenção #DireitoDeAcesso #LojaNãoTripulada #AgenteAdministrativo #AgenteAdministrativoEmIncheon #AgenteAdministrativoEmSongdo