Domínio 5 · Privacidade, dados e segurança
Bases legais e consentimento
Definição das bases que autorizam o tratamento e dos fluxos de consentimento adequados à idade e ao contexto.
Resultado esperado
Cada tratamento tem base definida, registrada e comunicável de forma compreensível.
Por que é importante
Tratamentos sem base clara comprometem direitos e a confiança de famílias e escolas.
Direitos relacionados
- Privacidade
- Segurança
- Informação
- Proteção contra exploração
Práticas fundamentais
Medidas mínimas necessárias para estruturar a capacidade.
- Registro de bases legais por tratamento.
- Fluxos de consentimento adequados quando aplicável.
- Avisos em linguagem acessível.
Práticas de evolução
Medidas que ampliam consistência, integração, monitoramento e melhoria contínua.
- Revisão periódica das bases adotadas.
- Testes de compreensão dos avisos com o público.
Evidências possíveis
- Inventário de dados de crianças e adolescentes
- Registro de bases legais e finalidades
- Política de retenção e eliminação
- Relatórios de testes de segurança
As evidências apresentadas são exemplos orientativos. A pertinência e a suficiência devem ser avaliadas considerando porte, setor, risco e contexto da organização.
Indicadores sugeridos
Minimização de dados
- Objetivo
- Acompanhar a redução de campos e coletas não essenciais.
- Método de cálculo
- Campos de dados eliminados ou tornados opcionais em relação ao inventário inicial.
- Periodicidade
- Anual
- Fonte
- Inventário de dados
- Responsável
- Área responsável pelo domínio
- Observações
- Indicador sugerido. A meta deve ser definida pela organização conforme porte, setor e risco.
Cobertura de controles de segurança críticos
- Objetivo
- Verificar aplicação de controles em sistemas que tratam dados infantojuvenis.
- Método de cálculo
- Sistemas com controles críticos implementados dividido pelo total de sistemas no escopo.
- Periodicidade
- Semestral
- Fonte
- Gestão de segurança da informação
- Responsável
- Área responsável pelo domínio
- Observações
- Indicador sugerido. A meta deve ser definida pela organização conforme porte, setor e risco.
Perguntas de autoavaliação
- Existe uma prática formal documentada?Ver no Assessment
- Há responsável definido?Ver no Assessment
- A prática é aplicada de maneira consistente?Ver no Assessment
- Existem evidências disponíveis?Ver no Assessment
- Os resultados são monitorados?Ver no Assessment
- Há revisão periódica?Ver no Assessment
- Crianças, adolescentes ou seus representantes são considerados?Ver no Assessment
- A alta liderança recebe informações sobre o tema?Ver no Assessment
- Fornecedores e terceiros estão incluídos?Ver no Assessment
- Incidentes geram aprendizado e ajustes?Ver no Assessment
Dependências
Responsáveis recomendados
- Encarregado de dados
- Segurança da informação
- Engenharia
Riscos de implementação
- Coleta ampla justificada por uso futuro indefinido
- Compartilhamento com terceiros sem avaliação
- Ausência de prazos de retenção
Exemplos orientativos
- Organização de pequeno porte: começa formalizando bases legais e consentimento em um documento simples, com responsável nomeado.
- Organização de grande porte: integra bases legais e consentimento aos processos corporativos, com indicadores e revisão periódica.
Referências
- LGPD
- Marco Civil da Internet
- ISO/IEC 27001
- NIST Privacy Framework
Conteúdo orientativo. Não constitui certificação, conformidade automática ou parecer jurídico, técnico ou regulatório.