Em um primeiro momento, parece que tudo está relacionado com a gestão da informação e de dados, assim, bastaria você ter um sistema de informação adequado, uma pessoa fiscalizando o trabalho e tudo estaria resolvido. Porém, não é somente a gestão da informação de dados que necessita de atenção.

Ao examinar um pouco melhor esses requisitos da norma e suas recomendações, você irá perceber um aspecto mais importante do que ter um sistema para gestão da informação: cuidar de como está sendo conduzido o relacionamento do laboratório com o cliente.

De maneira bem simples: a confidencialidade trata principalmente sobre como você vai cuidar dos dados do seu cliente para que ele tenha confiança não apenas no seu serviço, como também na parceria que escolheu ao te contratar.

Dificilmente você tornaria os dados técnicos do seu cliente públicos, isto é bastante claro, no entanto, às vezes a simples divulgação de que você atende uma empresa no seu site ou ainda, comentar em alguma conversa comercial sem o consentimento dessa empresa pode representar uma quebra de confidencialidade.

No momento que um cliente fecha um contrato com sua empresa, houve uma confiança depositada em você e seus serviços. Seu laboratório e a sua equipe precisam estar preparados para garantir o cumprimento dos procedimentos e também o atendimento às necessidades expressas e não expressas pelo seu cliente.

Para ter um bom controle dos processos e lidar com aspecto confidencialidade, talvez seja a hora de você começar a olhar para o gerenciamento de riscos. Isso está tratado no item 8.5 – Ações para abordar riscos e oportunidades – e permite a identificação do que pode dar errado e assim, tomar medidas iniciais de prevenção. Pode ser feito um levantamento dos riscos que possam estar ligados a segurança da informação ou a quebra de confidencialidade.

Alterações nos sistemas e dados são autorizadas. Por exemplo, um membro da equipe insere um novo preço para um artigo no site e outro verifica a exatidão desse preço antes de ser publicado.

• Sempre que possível, são criados mecanismos que forçam as pessoas a
usar o termo correto. Por exemplo, um cliente sempre é chamado de
'cliente', o termo 'cliente' não pode ser inserido no banco de dados
• As ações dos usuários são registradas (registradas) para determinar quem fez uma alteração nas informações.
• Ações vitais do sistema, por exemplo, a instalação de um novo software, não podem ser executadas por apenas uma pessoa. Segregando deveres, posições e autoridades, pelo menos duas pessoas serão necessárias para realizar uma mudança que tenha grandes consequências.

A integridade dos dados pode ser garantida em grande parte por meio de técnicas de criptografia, que protegem as informações contra acesso ou alteração não autorizada. Os princípios de política e gerenciamento para criptografia podem ser definidos em um documento de política separado.

Existem mais 2 propriedades que buscam garantir a integridade:

Autenticidade: Garante que a informação é proveniente da fonte anunciada e que não foi alvo de qualquer mutação desde sua origem até o seu destino Final.

Não repúdio: É a propriedade visa garantir que o autor não negue ter criado e assinado o documento

^{Fonte 1}

                      Medidas de Disponibilidade
O gerenciamento e armazenamento de dados é tal que a chance de perder a informações é mínima. Os dados são, por exemplo, armazenados em um disco de rede e não no disco rígido do PC.

• Os procedimentos de backup estão configurados. Os requisitos regulamentares para quanto tempo os dados devem ser armazenados são levados em consideração. O local do backup é fisicamente separado da empresa, a fim de garantir a disponibilidade em casos de emergência
• Procedimentos de emergência são estabelecidos para garantir que as atividades possam retomar o mais rápido possível após uma interrupção em grande escala.


^{Fonte 1}

A Lei 13709/2018 Federal que dispõe sobre o tratamento de pessoais de pessoas físicas, baseou-se no GDPR da Europeia
O GDPR elevou o direito à privacidade de dados pessoais a um direito fundamental

A quem se aplica a LGPD ?
Art. 3º Esta Lei aplica-se a qualquer operação de tratamento realizada por pessoa natural ou por pessoa jurídica de direito público ou privado, independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados, desde que:

I - a operação de tratamento seja realizada no território nacional

Art. 3º
II - a atividade de tratamento tenha por objetivo a oferta ou o fornecimento de bens ou serviços ou o tratamento de dados de indivíduos localizados no território nacional;
§ 1º Consideram-se coletados no território nacional os dados pessoais cujo titular nele se encontre no momento da coleta.

               Responsabilidade Solidária x Subsidiária

Art. 42. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo

§ 1º A fim de assegurar a efetiva indenização ao titular dos dados:

I - o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador, hipótese em que o operador equipara-se ao controlador, salvo nos casos de exclusão previstos no art. 43 desta Lei;

                      O que é violação de dados ?

uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento.

                    Tratamento de dados pessoais

Art. 1º Esta Lei dispõe sobre o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado, com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural*

* A LGPD não se aplica a PJ, entretanto, a MEI pode ser uma exceção

                Tratamento de dados pessoais

Art 5º
X - tratamento: toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;

                                Dados Pessoais

Art. 5º Para os fins desta Lei, considera-se:

I - dado pessoal: informação relacionada a pessoa natural identificada ou identificável;

^{Fonte 1}

Em suma, toda organização deve realizar auditorias de segurança de rotina para ampliar a proteção de dados e ativos.

                            Como a auditoria é realizada?
O processo de auditoria compreende desde a análise de configurações de sistemas operacionais, compartilhamentos de redes, aplicações, softwares, sistemas, processos, dados históricos, acessos e consciência dos usuários etc. A seguir, apresentamos uma lista de soluções de segurança comuns para você pensar durante esse processo.

                                     Proteção de e-mail
Os ataques de phishing estão cada vez mais populares hoje em dia e mais difíceis de identificar. Uma vez clicado, um e-mail de phishing fornece várias opções para obter acesso aos seus dados por meio da instalação do software. Os filtros de spam ajudam, mas a identificação de e-mails como “interno” ou “externo” à sua rede também é altamente valiosa.

         Segurança de senha e gerenciamento de acesso
As senhas são complicadas, porque precisam ser complexas e exclusivas para cada conta, além de terem uma validade, ou seja, necessitam de renovação de tempos em tempos. Invista em um gerenciador de senhas comerciais, elimine a reutilização de senhas, aprimore a complexidade delas e ative o compartilhamento seguro de senhas.

Como administrador(a), você também pode gerenciar quem tem acesso a quais senhas na organização, para garantir que contas confidenciais estejam disponíveis apenas para a equipe apropriada.

                                       Backup de dados
Faça backup de seus dados de forma consistente e garanta que eles sejam seguros e separados em caso de ataque de malware ou físico aos seus servidores principais.

                           Atualizações de software
Manter todos(as) os(as) usuários(as) da sua rede com o software mais recente é inestimável para garantir seus pontos de acesso. Você pode impor atualizações de software manualmente ou pode usar um software específico para manter suas contas confidenciais bloqueadas para funcionários(as) cujo software não está atualizado.

                           Quando ela deve ser feita?

A segurança da informação não deve ser encarada apenas como um requisito para o departamento de TI da empresa: ela é responsabilidade de todos(as) os(as) funcionários(as). Porém, muitas empresas assumem que seus sistemas são plenamente seguros, mas isso é difícil de saber sem realizar auditorias aprofundadas regulares de sua segurança. Em geral, existem dois tipos de auditoria, que são realizadas com frequências distintas.

                                            Auditoria de rotina
Uma auditoria de rotina é um método automático que as equipes de TI usam para executar atividades de auditoria. Ela é feita com mais frequência e de forma regular. A decisão sobre quando executar uma auditoria de rotina é da gerência de TI.

Você pode optar por executá-los mensalmente, trimestralmente ou semestralmente. No entanto, recomenda-se que, no mínimo, essas auditorias sejam realizadas duas vezes por ano.

                                      Auditoria especial
Uma auditoria especial ocorre em uma organização sob uma determinada circunstância e usa tecnologia avançada para se concentrar em uma área específica, depois que um evento ocorre, como uma violação de dados.

Por fim, sua primeira auditoria de segurança em TI deve ser usada como base para todas as auditorias futuras — medir seu sucesso e falhas ao longo do tempo é a única maneira de avaliar verdadeiramente o desempenho. Ao continuar aprimorando seus métodos e processos, você criará uma atmosfera de análise de segurança consistente e terá sempre a melhor posição para proteger seus negócios contra qualquer tipo de ameaça à segurança.

Dependendo da forma e dos objetivos para os quais uma empresa recolhe dados dos seus usuários ela precisa ser monitorada por um DPO. A seguir, vamos entender melhor o papel desse profissional e descobrir se o seu negócio precisa contratá-lo. 

                               Quem é o DPO?

A figura do DPO ganhou maior notoriedade a partir da publicação do Regulamento Geral de Dados da União Europeia (GDPR) no ano passado. De forma geral, esse profissional é um especialista em proteção de dados e monitora empresas para garantir que elas estejam em compliance com as regras e boas práticas do setor. Ele também deve intermediar os interesses da empresa (controlador) e do titular dos dados. 

Com a criação da Lei Geral de Proteção de Dados brasileira (LGPD), que se inspirou bastante no GDPR, o DPO recebeu o nome de encarregado e ganhou a seguinte definição, registrada no artigo 5º da lei: “pessoa indicada pelo controlador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (ANPD)”.

 
            As funções do DPO de acordo com o GDPR

De acordo com artigo 37 do GDPR a figura do DPO é necessária sempre que o tratamento for feito por órgãos ou autoridades públicas (com exceção de tribunais), a empresa lide com dados especiais e sensíveis (como informações sobre etnia, religião e condenações penais) ou faça um monitoramento em larga escala. 

O artigo 39 define que estão entre as tarefas do DPO: 

                 
                      As tarefas do DPO segundo a LGPD

O texto da LGPD também designa algumas atribuições para o encarregado. O artigo 41, parágrafo 2º lista essas atividades:

O parágrafo 3º ainda afirma que “a autoridade nacional poderá estabelecer normas complementares sobre a definição e as atribuições do encarregado, inclusive hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados”. Ou seja, essas tarefas podem ser adaptadas ou excluídas de acordo com orientação da ANPD. 

Observando os dois “job descriptions” é possível perceber que as tarefas são bem parecidas e se resumem em monitorar, fiscalizar, orientar e fazer a ponte entre os titulares e as empresas.