Domínio 5 · Privacidade, dados e segurança
Minimização de dados
Limitação da coleta e do tratamento ao estritamente necessário para a finalidade declarada.
Resultado esperado
A organização coleta menos dados e justifica cada coleta que mantém.
Por que é importante
Dados não coletados não podem vazar, ser desviados ou usados de forma inesperada.
Direitos relacionados
- Privacidade
- Segurança
- Informação
- Proteção contra exploração
Práticas fundamentais
Medidas mínimas necessárias para estruturar a capacidade.
- Inventário de dados com finalidade por campo.
- Revisão de campos obrigatórios em cadastros.
- Eliminação de coletas sem finalidade definida.
Práticas de evolução
Medidas que ampliam consistência, integração, monitoramento e melhoria contínua.
- Uso de dados agregados ou anonimizados quando suficiente.
- Avaliação de minimização em cada novo lançamento.
Evidências possíveis
- Inventário de dados de crianças e adolescentes
- Registro de bases legais e finalidades
- Política de retenção e eliminação
- Relatórios de testes de segurança
As evidências apresentadas são exemplos orientativos. A pertinência e a suficiência devem ser avaliadas considerando porte, setor, risco e contexto da organização.
Indicadores sugeridos
Minimização de dados
- Objetivo
- Acompanhar a redução de campos e coletas não essenciais.
- Método de cálculo
- Campos de dados eliminados ou tornados opcionais em relação ao inventário inicial.
- Periodicidade
- Anual
- Fonte
- Inventário de dados
- Responsável
- Área responsável pelo domínio
- Observações
- Indicador sugerido. A meta deve ser definida pela organização conforme porte, setor e risco.
Cobertura de controles de segurança críticos
- Objetivo
- Verificar aplicação de controles em sistemas que tratam dados infantojuvenis.
- Método de cálculo
- Sistemas com controles críticos implementados dividido pelo total de sistemas no escopo.
- Periodicidade
- Semestral
- Fonte
- Gestão de segurança da informação
- Responsável
- Área responsável pelo domínio
- Observações
- Indicador sugerido. A meta deve ser definida pela organização conforme porte, setor e risco.
Perguntas de autoavaliação
- Existe uma prática formal documentada?Ver no Assessment
- Há responsável definido?Ver no Assessment
- A prática é aplicada de maneira consistente?Ver no Assessment
- Existem evidências disponíveis?Ver no Assessment
- Os resultados são monitorados?Ver no Assessment
- Há revisão periódica?Ver no Assessment
- Crianças, adolescentes ou seus representantes são considerados?Ver no Assessment
- A alta liderança recebe informações sobre o tema?Ver no Assessment
- Fornecedores e terceiros estão incluídos?Ver no Assessment
- Incidentes geram aprendizado e ajustes?Ver no Assessment
Dependências
Responsáveis recomendados
- Encarregado de dados
- Segurança da informação
- Engenharia
Riscos de implementação
- Coleta ampla justificada por uso futuro indefinido
- Compartilhamento com terceiros sem avaliação
- Ausência de prazos de retenção
Exemplos orientativos
- Organização de pequeno porte: começa formalizando minimização de dados em um documento simples, com responsável nomeado.
- Organização de grande porte: integra minimização de dados aos processos corporativos, com indicadores e revisão periódica.
Referências
- LGPD
- Marco Civil da Internet
- ISO/IEC 27001
- NIST Privacy Framework
Conteúdo orientativo. Não constitui certificação, conformidade automática ou parecer jurídico, técnico ou regulatório.