Domínio 5
Privacidade, dados e segurança
Práticas de tratamento adequado de dados pessoais de crianças e adolescentes e de proteção dos ambientes, sistemas e informações contra ameaças.
Por que este domínio é necessário?
- Reduz o risco de exposição, vazamento e uso indevido de dados de pessoas em desenvolvimento.
- Sustenta os direitos à privacidade, à segurança e à proteção contra exploração.
- Dados infantojuvenis podem gerar danos duradouros quando expostos.
- A segurança sustenta a confiança de famílias, escolas e parceiros.
Direitos relacionados
- Privacidade
- Segurança
- Informação
- Proteção contra exploração
Objetivos
- Tratar apenas os dados necessários, com finalidade específica e transparente.
- Proteger sistemas e informações com controles proporcionais ao risco.
- Definir prazos e critérios de retenção e eliminação.
Capacidades
Capacidades interdependentes que compõem este domínio.
Minimização de dados
Em validaçãoLimitação da coleta e do tratamento ao estritamente necessário para a finalidade declarada.
Abrir capacidadeBases legais e consentimento
Em validaçãoDefinição das bases que autorizam o tratamento e dos fluxos de consentimento adequados à idade e ao contexto.
Abrir capacidadeSegurança da informação
Em validaçãoControles técnicos e administrativos que protegem sistemas e dados contra acesso e uso indevidos.
Abrir capacidadeRetenção e eliminação
Em validaçãoDefinição de prazos e procedimentos para manter e descartar dados de forma segura.
Abrir capacidade
Práticas esperadas
- Inventário de dados com finalidade por campo.
- Revisão de campos obrigatórios em cadastros.
- Eliminação de coletas sem finalidade definida.
- Registro de bases legais por tratamento.
- Fluxos de consentimento adequados quando aplicável.
- Avisos em linguagem acessível.
- Controle de acesso baseado em necessidade.
- Criptografia em trânsito e em repouso quando aplicável.
- Registro de logs e monitoramento.
- Tabela de temporalidade por tipo de dado.
- Procedimento de eliminação segura.
- Registro das eliminações realizadas.
Evidências
- Inventário de dados de crianças e adolescentes
- Registro de bases legais e finalidades
- Política de retenção e eliminação
- Relatórios de testes de segurança
As evidências apresentadas são exemplos orientativos. A pertinência e a suficiência devem ser avaliadas considerando porte, setor, risco e contexto da organização.
Indicadores
| Indicador | Objetivo | Cálculo | Periodicidade |
|---|---|---|---|
| Minimização de dados | Acompanhar a redução de campos e coletas não essenciais. | Campos de dados eliminados ou tornados opcionais em relação ao inventário inicial. | Anual |
| Cobertura de controles de segurança críticos | Verificar aplicação de controles em sistemas que tratam dados infantojuvenis. | Sistemas com controles críticos implementados dividido pelo total de sistemas no escopo. | Semestral |
Indicadores sugeridos. As metas devem ser definidas pela organização conforme porte, setor e risco.
Perguntas orientadoras
- Existe uma prática formal documentada?Ver no Assessment
- Há responsável definido?Ver no Assessment
- A prática é aplicada de maneira consistente?Ver no Assessment
- Existem evidências disponíveis?Ver no Assessment
- Os resultados são monitorados?Ver no Assessment
- Há revisão periódica?Ver no Assessment
- Crianças, adolescentes ou seus representantes são considerados?Ver no Assessment
- A alta liderança recebe informações sobre o tema?Ver no Assessment
- Fornecedores e terceiros estão incluídos?Ver no Assessment
- Incidentes geram aprendizado e ajustes?Ver no Assessment
Relação com os níveis de maturidade
Nível 1 · Reativo
Dados tratados sem inventário ou critérios definidos.
Nível 2 · Estruturado
Inventário e políticas existem, com aplicação parcial.
Nível 3 · Preventivo
Minimização, controles e retenção aplicados de forma consistente.
Nível 4 · Proativo e sistêmico
Privacidade e segurança monitoradas por métricas, testes e revisão independente.
Recursos e referências
- LGPD
- Marco Civil da Internet
- ISO/IEC 27001
- NIST Privacy Framework