Uma das etapas da implementação da Lei Geral de Proteção de Dados (LGPD) é entender o fluxo de dados pessoais presente na empresa. Mais conhecido como ciclo de vida dos dados, é necessário entender por onde entram até a sua eliminação/apagamento. Tudo isso para saber eles estão sendo usados pela organização.

Nesta implementação, a LGPD exige que as empresas adotem uma gestão do risco. Através da análise de todos os procedimentos que envolvem dados pessoais, será verificado quais tipos de tratamento apresentam um elevado risco para os titulares.

Portanto, para analisar o risco é preciso reunir quais tipos de operações envolvem informações pessoais. Em um primeiro plano, deverá ser levantado todos os tratamentos e operações que por si só já representam um risco. Em um segundo plano, identificar os riscos que estão associados a eles.

No território europeu, juntamente com o Centro de Informação de Políticas de Liderança (CIPL, 2016), foi desenvolvido algumas atividades que estão sujeitas a um potencial risco. Embora seja em outro diploma legal, nada impede que as empresas brasileiras observem o que vem sendo discutido a título de proteção de dados:

É a partir da gestão dos riscos que a empresa conseguirá apresentar sua segurança quanto aos dados pessoais que são tratados. Essa gestão consiste na 1) identificação da ameaça; 2) apresentação das vulnerabilidades; 3) entender o risco; e 4) apresentar os ativos de mitigação.

Neste momento, as empresas deverão adotar seus próprios métodos para a identificação dos riscos. Também deverão avaliar os impactos que a sua atual estrutura poderá ter na privacidade dos titulares e, em razão disso, encontrar medidas que apresentem menos impactos, mas que satisfaçam os objetivos do negócio.