Um cliente envia um e-mail à vossa equipa de apoio ao cliente e pergunta que dados pessoais a empresa possui sobre ele. Ao abrigo do Regulamento Geral sobre a Proteção de Dados (RGPD), a empresa dispõe, em geral, de um mês para responder. O pedido chega a uma caixa de entrada partilhada, é reencaminhado para o departamento de TI, depois para o departamento de marketing e, por fim, para um gestor de vendas que ainda mantém uma folha de cálculo com os contactos obtidos em feiras comerciais. Três semanas depois, alguém pergunta quem é o responsável por reunir a resposta, e ninguém tem a certeza.

Nada nessa história é um problema tecnológico. Os dados existem e os sistemas funcionam. O que falta é um acordo sobre quem é o responsável por quais dados, quais as regras que se aplicam a esses dados e quem toma a decisão quando algo não está claro. É esse acordo que a governação de dados proporciona.

O que é a governação de dados?

Na prática, a governação de dados consiste num conjunto de decisões permanentes. Quem pode aprovar o acesso aos dados dos clientes? Qual é o sistema que contém a versão oficial do registo de um cliente? Durante quanto tempo são conservados os contratos e quem dá a aprovação final antes da sua eliminação? O que acontece quando alguém deteta um erro num relatório no qual o conselho de administração se baseia? Um programa de governação garante que cada uma destas questões tenha uma resposta acordada, um responsável e um local onde a resposta esteja registada por escrito.

O objetivo é dispor de dados em que as pessoas possam confiar: suficientemente precisos para serem considerados fiáveis, seguros, acessíveis às pessoas certas e tratados em conformidade com as obrigações legais e contratuais.

Um exemplo prático: um retalhista decide que os endereços de e-mail dos clientes são da responsabilidade da equipa de marketing, só podem ser utilizados para os fins para os quais foram recolhidos, são eliminados após um período definido de inatividade e só podem ser acedidos pela equipa de apoio através do sistema de gestão de relações com o cliente (CRM). Cada uma dessas decisões é uma decisão de governação, e é em torno dessa camada que se assentam as capacidades de governação de dados do Formalize. Por outro lado, armazenar e sincronizar os endereços entre sistemas é gestão de dados.

Governação de dados vs. gestão de dados: qual é a diferença?

Os dois termos são frequentemente utilizados de forma intercambiável, mas têm funções diferentes. Se a governação é o código da estrada, a gestão de dados é a condução.

As linhas não são rígidas. Os gestores de dados e os responsáveis pelos sistemas trabalham frequentemente em ambos os lados: ajudam a definir as regras e a aplicá-las no trabalho quotidiano.

Por que razão a governação de dados é importante?

A maioria das organizações aborda a governação de dados a partir de um sintoma: dois relatórios que não coincidem, um pedido de auditoria que demora semanas ou uma entidade reguladora a solicitar provas. A governação aborda as causas subjacentes a esses sintomas:

• Confie nos números: quando as definições e as responsabilidades estão acordadas, é mais fácil conciliar os relatórios das diferentes equipas.

• Responsabilização clara: cada conjunto de dados importante tem alguém responsável por ele, e todos sabem quem é essa pessoa.

• Privacidade, segurança e conformidade: Regulamentos como o RGPD e normas como a ISO 27001 exigem que as organizações saibam que dados possuem, quem pode aceder aos mesmos e porquê.

• Menos duplicação: regras consistentes reduzem cópias paralelas, folhas de cálculo contraditórias e soluções provisórias pontuais.

• Auditabilidade e gestão de riscos: as decisões de governação documentadas criam um registo, o que permite demonstrar como os riscos relacionados com os dados são identificados e geridos.

• Uma base para a análise de dados e a IA: os painéis de controlo e os modelos só são tão fiáveis quanto os dados em que se baseiam.

Quais são os componentes essenciais da governação de dados?

Não existe um modelo oficial único, mas a maioria dos programas assenta em quatro pilares. Quando se fala dos "quatro pilares da governação de dados", é normalmente a isto que se refere.

1. Pessoas e responsabilização: os proprietários dos dados, os gestores de dados e as pessoas com poder de decisão, desde um conselho de governação até às equipas que lidam com os dados no dia-a-dia.

2. Políticas e normas: as regras relativas à qualidade, acesso, classificação, retenção e utilização dos dados.

3. Processos e controlos: a forma como essas regras são aplicadas na prática e como a organização verifica se estão a ser cumpridas.

4. Tecnologia e supervisão: os sistemas que apoiam a governação através da monitorização, da recolha de evidências e da elaboração de relatórios.

Nenhum destes quatro pilares funciona isoladamente. As políticas sem responsáveis tornam-se obsoletas e os responsáveis sem processos acabam por improvisar.

O que é um framework de governação de dados?

Um quadro de governação de dados é o modelo estruturado que uma organização utiliza para definir funções, políticas, processos, controlos e responsabilidades de governação, bem como para os interligar. Essa interligação é o que distingue um framework de uma simples coleção de políticas de dados individuais. Uma política de retenção, uma política de acesso e um esquema de classificação são, cada um por si, úteis, mas um framework define como se relacionam entre si, quem decide em caso de conflito e como se avalia o cumprimento das mesmas.

Um framework típico abrange a propriedade e os direitos de decisão, normas e políticas, processos e controlos, vias de escalamento e as medidas utilizadas para acompanhar se a governação está a funcionar.

Frameworks comuns de governação de dados

Existem vários frameworks reconhecidos que servem de ponto de partida para as organizações. Nenhum deles é universalmente o melhor, e cada um adapta-se a um tipo diferente de desafio:

Estes frameworks não são mutuamente exclusivos. Muitas organizações baseiam o seu vocabulário no DAMA-DMBOK, adotam funções do modelo DGI e alinham os controlos com o COBIT ou a norma ISO 27001, dependendo das expectativas dos seus auditores e entidades reguladoras. A escolha do framework é menos importante do que a aplicação consistente das suas responsabilidades e controlos. Se o seu programa de governação de dados também precisar de se articular com frameworks regulamentares e de conformidade, como a ISO 27001, a NIS2 ou a DORA, explore os blueprints de conformidade da Formalize.

Como implementar a governação de dados

Uma forma prática de implementar os quatro componentes consiste em seguir seis passos, começando por um âmbito mais restrito e alargando-o ao longo do tempo:

1. Definir os objetivos e o âmbito da governação

Comece pelos dados mais importantes: os dados relacionados com obrigações regulamentares, a confiança dos clientes ou decisões empresariais críticas. Um âmbito de atuação bem definido, como os dados pessoais dos clientes ou os dados relativos aos relatórios financeiros, é mais eficaz do que tentar gerir tudo ao mesmo tempo.

2. Definir a atribuição de responsabilidades e as competências

Identifique os titulares dos dados, que são responsáveis por um conjunto de dados e decidem como este pode ser utilizado, e os gestores de dados, que zelem pela sua qualidade e pelo seu tratamento quotidiano. A titularidade pertence à empresa e não, por defeito, ao departamento de TI.

3. Identificar dados e requisitos críticos

Registe quais os dados existentes, onde se encontram, quem os utiliza e quais as políticas, riscos e regulamentos que se aplicam. No que diz respeito aos dados pessoais, grande parte desta informação coincide com os registos das atividades de tratamento previstos no RGPD.

4. Definir políticas, normas e controlos

Estabeleça regras relativas ao acesso, à qualidade, à classificação, à conservação e à utilização aceitável, e decida como irá verificar se estas são cumpridas. Uma política sem um mecanismo de controlo é apenas uma declaração de intenções.

5. Incorporar a governação nos fluxos de trabalho operacionais

Traduza as regras em tarefas, aprovações, revisões e percursos de escalamento com que as pessoas se deparam no seu trabalho quotidiano. Se um novo sistema puder entrar em funcionamento sem que ninguém reveja os dados que este processa, a governação existe apenas no papel.

6. Monitorizar e melhorar continuamente

Acompanhe as exceções, os riscos pendentes e as provas ao longo do tempo, para que os problemas sejam detetados atempadamente, em vez de só durante uma auditoria.

Um conjunto de dados, seis etapas. Eis como se desenrola o processo para os dados dos clientes da retalhista mencionada anteriormente:

Esse registo é o que vais precisar da próxima vez que alguém perguntar por que razão foi permitido que o modelo utilizasse os dados.

Melhores práticas de governação de dados

Depois de estabelecidos os princípios básicos, há alguns hábitos que determinam se um programa se mantém para além do impulso inicial:

• Avalie o impacto das mudanças na governação: acompanhe alguns indicadores concretos, tais como a percentagem de dados críticos com um responsável designado, revisões em atraso ou exceções pendentes.

• Estabeleça regras nos pontos onde as decisões são tomadas: é muito mais provável que uma política seja seguida quando aparece no fluxo de trabalho onde a decisão é tomada.

• Elabore políticas que as pessoas possam seguir: regras curtas e específicas, redigidas em linguagem simples, são aplicadas. Documentos de cinquenta páginas acabam por ser arquivados.

• Mantenha as decisões rastreáveis: associe cada decisão à ação tomada e às provas subjacentes, para que possa demonstrar por que razão algo foi feito.

• Agende revisões em função das mudanças: novas regulamentações, novos sistemas e novas utilizações de dados, como a IA, são os momentos em que a governação precisa de ser revista.

Governação de dados, conformidade e IA

A regulamentação é um dos principais motores da governação de dados, uma vez que a maioria das regras relativas aos dados exige que as organizações comprovem como as cumprem. Essa comprovação depende da governação.

O princípio da responsabilização do RGPD atribui aos responsáveis pelo tratamento a responsabilidade pelo cumprimento dos seus princípios e exige que sejam capazes de o demonstrar. Os registos das atividades de tratamento, as regras de conservação, os controlos de acesso e as AIPD fazem todos parte do trabalho de governação. As normas de segurança da informação, como a ISO 27001, acrescentam requisitos relativos a inventários de ativos, classificação da informação e controlo de acesso.

A IA acrescenta uma camada adicional. Nos termos do Regulamento da UE sobre IA, os fornecedores de sistemas de IA de alto risco devem aplicar práticas de governação e gestão de dados aos dados utilizados para treinar, validar e testar esses sistemas, incluindo verificações de qualidade, relevância e possíveis preconceitos. De acordo com a Comissão Europeia, na sequência do Omnibus Digital sobre IA, estas obrigações relativas ao alto risco aplicam-se a partir de 2 de dezembro de 2027, para sistemas autónomos, e a partir de 2 de agosto de 2028, para IA incorporada em produtos regulamentados.

Mesmo fora da categoria de alto risco, qualquer ferramenta de IA que utilize dados pessoais implica a aplicação do RGPD. As organizações que já sabem quais os dados que detêm e sob que regras estão numa posição muito melhor para utilizar a IA de forma responsável. A nossa página sobre o regulamento da IA aborda este tema com mais pormenor.

Como a Formalize apoia a governação de dados

O Formalize centra-se na camada de governação: os proprietários, as políticas, os riscos e as evidências que se situam acima dos próprios dados.

• Atividades de tratamento no contexto: registos do tratamento associados aos sistemas, fornecedores e riscos que envolvem, a par dos fluxos de trabalho da Avaliação de Impacto sobre a Proteção de Dados (DPIA) e da Avaliação de Impacto da Transferência (TIA).

• Políticas com um ciclo de vida: elaboradas, aprovadas, publicadas e acompanhadas para confirmação de receção, com histórico de versões.

• Responsáveis, aprovações e um histórico completo de atividades: cada política, controlo e tarefa tem um responsável designado, com permissões baseadas em funções, e cada decisão é registada juntamente com as respetivas provas.

• Governança de dados em conformidade com o RGPD, a norma ISO 27001, a NIS2 e oRegulamento da IA, no mesmo sistema, em vez de ferramentas separadas.