LGPD: O que é o Data Lineage e qual sua importância?

Empresas coletam dados pessoais por sites, aplicativos, CRMs, sistemas de RH, ERPs, plataformas de atendimento e inúmeras outras fontes. Depois da coleta, porém, esses dados raramente permanecem no mesmo lugar. Eles podem ser copiados, transformados, integrados a outros sistemas, enviados para fornecedores, incluídos em relatórios, irem para datalakes ou serem armazenados em ambientes de nuvem.

Nesse cenário surge uma pergunta importante para a privacidade: sua empresa consegue identificar de onde determinado dado veio, por quais sistemas passou e para onde foi?

É justamente esse problema que o Data Lineage procura resolver. E, embora Data Lineage não seja uma obrigação expressamente prevista pela LGPD, sua utilização pode contribuir significativamente para a governança de dados, para o cumprimento das obrigações da lei e para a capacidade da organização de demonstrar conformidade.

O que é Data Lineage?

Data Lineage pode ser traduzido como linhagem de dados. Segundo a IBM, trata-se do processo de acompanhar o fluxo dos dados ao longo do tempo, permitindo compreender sua origem, as transformações realizadas e seu destino dentro de uma arquitetura de dados.

Imagine, por exemplo, um cliente que informa nome, CPF, endereço e telefone durante uma compra. Essas informações podem sair do e-commerce e seguir para o CRM, ERP, plataforma de pagamento, sistema logístico, ferramenta de analytics e data warehouse. Parte delas também poderá ser disponibilizada para empresas terceirizadas.

O Data Lineage procura tornar esse caminho identificável. Mais do que perguntar “quais dados temos?”, a organização passa a compreender de onde o dado veio, em quais sistemas está, quais transformações sofreu, quais processos o utilizam e para quais sistemas ou terceiros foi enviado.

Data Lineage e LGPD: qual é a relação?

A LGPD não determina que empresas implementem uma ferramenta ou processo chamado Data Lineage. Entretanto, o artigo 37 estabelece que controlador e operador devem manter registros das operações de tratamento que realizarem.

É aqui que Data Lineage, Data Mapping e o ROPA (Registro das Operações de Tratamento) começam a se complementar.

O ROPA normalmente documenta aspectos como finalidade, categorias de titulares e dados, bases legais, compartilhamentos com terceiros, períodos de retenção e medidas de segurança. Já o Data Lineage pode aprofundar a visão sobre como aquele dado efetivamente circula entre aplicações, bases, integrações e fornecedores.

A Macher Tecnologia oferece, por exemplo, o DPO Helper, ferramenta voltada ao mapeamento e gestão de tratamentos, processos, sistemas, ativos, operadores e outras informações necessárias para apoiar a governança da LGPD.

Como o Data Lineage pode ajudar no atendimento aos titulares?

Considere um titular que solicita a eliminação de seus dados.

Saber que seu cadastro existe no CRM pode não ser suficiente. O mesmo dado pode ter sido replicado para diversos sistemas distinto ou fornecedor externo. Pode também estar em locais não-óbvios, se foi exportado e tratado por fora dos ‘caminhos oficiais’.

Sem compreender esse fluxo, uma empresa pode eliminar o registro de uma aplicação enquanto diversas outras cópias continuam armazenadas.

O mesmo raciocínio vale para solicitações de acesso, correção e outras demandas relacionadas aos direitos previstos pela LGPD. Data Lineage não substitui os processos de atendimento aos titulares, mas pode aumentar a capacidade de localizar informações e entender suas dependências.

Data Lineage também ajuda na retenção e descarte?

Sim. Políticas de retenção são muito mais difíceis de executar quando a organização não sabe onde os dados estão.

Imagine que determinado processo defina cinco anos de retenção. Depois desse período, o registro é eliminado do sistema principal, mas continua presente em sistemas secundários, exportações, ambientes analíticos ou integrações antigas.

A governança do ciclo de vida precisa considerar essas ramificações. Por isso, Data Lineage também pode apoiar processos de retenção, minimização e descarte de dados, ajudando a transformar políticas corporativas em controles operacionalmente executáveis.

Qual a diferença entre Data Discovery e Data Lineage?

Os dois conceitos são relacionados, mas não são idênticos.

Data Discovery ajuda a descobrir quais dados existem e onde estão armazenados. Ferramentas especializadas podem, por exemplo, varrer bancos de dados e repositórios procurando CPF, e-mail, telefone ou outras categorias de informações.

Já o Data Lineage procura compreender as relações e movimentações entre esses dados ao longo de seu ciclo de vida.

De maneira simplificada:

Data Discovery: “Onde existem dados pessoais?”
Data Lineage: “Como esses dados chegaram até lá e para onde vão depois?”

Em organizações com grande volume de sistemas, integrar essas duas perspectivas pode melhorar significativamente a qualidade do mapeamento de dados e facilitar a manutenção de um ROPA mais completo e atualizado.

Data Lineage pode ajudar em incidentes de segurança?

Considere um incidente envolvendo uma base de dados utilizada por determinado sistema. Uma das primeiras perguntas será: quais informações estavam naquela base e de onde elas vieram?

Em seguida surgem outras: quais titulares podem ter sido afetados? Existem outros sistemas conectados? O dado foi replicado? Quais fornecedores recebem essas informações?

Quanto maior a rastreabilidade, melhores podem ser as condições para investigar o incidente e avaliar seu impacto. Data Lineage, logs, inventário de ativos, ROPA e procedimentos de resposta a incidentes são controles diferentes, mas podem funcionar de maneira complementar.

Data Lineage como parte de uma estratégia de PrivacyOps

Um dos desafios da LGPD é que o ambiente corporativo está sempre mudando. Sistemas novos são implementados, APIs são criadas, fornecedores são substituídos e aplicações de Inteligência Artificial passam a consumir novas fontes de informação.

Por isso, o mapeamento realizado durante um projeto inicial de adequação não deve permanecer estático.

Uma abordagem de PrivacyOps procura justamente transformar privacidade em uma operação contínua. Nesse modelo, Data Lineage pode funcionar como mais uma fonte de informação para identificar mudanças nos fluxos de dados e atualizar os controles de privacidade.

Como a Macher Tecnologia pode ajudar sua empresa

A Macher Tecnologia atua de forma multidisciplinar na intersecção entre LGPD, tecnologia, segurança da informação e processos de negócio.

Em projetos de consultoria e adequação à LGPD, apoiamos empresas no mapeamento de processos, sistemas, dados, fornecedores e operações de tratamento, além da preparação e manutenção de documentos como ROPA, RIPD/DPIA e políticas corporativas.

Por meio do nosso DPO-as-a-Service, também podemos ajudar a transformar esse mapeamento em uma operação contínua, acompanhando mudanças em sistemas, processos, fornecedores e tratamentos.

Data Lineage não deve ser visto apenas como um conceito técnico de arquitetura de dados. Para programas de privacidade mais maduros, ele pode representar uma importante conexão entre o que a organização documenta sobre seus tratamentos e o que efetivamente acontece com os dados dentro de sua infraestrutura tecnológica.

Se sua organização precisa de apoio com a LGPD, IA ou cibersegurança, entre em contato com nosso time de consultores!