Carlos Hermoza, Gerente Jurídico e de Compliance e Encarregado de Proteção de Dados de Valmer Systems, empresa peruana de infraestrutura de TI, suporte técnico e consultoria em tecnologia, considera a proteção de dados parte integrante das decisões estratégicas de negócios da empresa. Essa perspectiva explica como ele exerce uma tripla responsabilidade que exige a integração de funções, preservando sua independência, e como traduz os critérios legais em operações de uma empresa que gerencia a infraestrutura onde outras organizações hospedam suas informações. Com base nessa experiência, ele analisa os requisitos da nova regulamentação peruana de proteção de dados, em vigor desde março de 2025, e os desafios que a inteligência artificial impõe à governança da informação até 2027. Às vésperas de sua participação no Foro Gerencias Legales Lima 2026, ele defende que a proteção de dados deve ser uma prioridade na agenda da alta administração. Segundo Hermoza, “quando o compliance é integrado ao negócio, a integridade se torna parte da cultura”.
O que despertou seu interesse pela proteção de dados pessoais durante sua carreira jurídica?
Meu interesse deriva de uma convicção que me acompanha ao longo da minha carreira: a função jurídica deve compreender como as empresas operam e como suas decisões afetam as pessoas. Da gestão jurídica ao compliance, as informações estão constantemente presentes em contratos, relações de trabalho, investigações e transações comerciais. Aprofundar-me na proteção de dados me permitiu abordar essas decisões com uma perspectiva mais abrangente, especialmente em um ambiente onde a tecnologia amplia as possibilidades de uso de informações pessoais.
Minha experiência como responsável regional por compliance também me proporciona uma perspectiva relevante. Trabalhar com diferentes marcos regulatórios exige compreender o contexto de cada operação e traduzir as obrigações em critérios que as pessoas possam aplicar. A proteção de dados exige o mesmo exercício: saber quais informações são utilizadas, para qual finalidade, quem pode acessá-las e quais as possíveis consequências de seu uso. Minha formação especializada fortaleceu essa conexão entre a análise jurídica e a gestão do dia a dia.
Em Valmer Systems, essa questão assume uma dimensão muito específica devido à nossa atividade tecnológica. Decisões relativas à infraestrutura, suporte ou acesso a sistemas podem afetar as informações que outras organizações nos confiam. Isso exige o alinhamento de critérios legais com decisões técnicas. Para mim, a proteção de dados pessoais é uma forma de exercer a gestão jurídica que contribui para o desenvolvimento dos negócios e respeita as pessoas que tornam esse desenvolvimento possível.
Você combina as funções jurídica, de compliance e de proteção de dados. O que essa tripla responsabilidade exige da pessoa que a lidera?
É necessário discernimento para integrar as três funções e clareza para distinguir suas responsabilidades. Do ponto de vista jurídico, apoiamos a tomada de decisões e estruturamos os relacionamentos comerciais; do ponto de vista de compliance, promovemos condutas e controles que garantam a integridade; e do ponto de vista de proteção de dados, assessoramos e verificamos como as informações pessoais são tratadas. Cada função traz uma perspectiva distinta para a mesma operação. Liderá-las exige compreender o objetivo do negócio e antecipar suas implicações antes que se tornem uma contingência.
Essa integração exige a preservação da independência. A acumulação de funções torna necessária a análise de potenciais conflitos de interesse, a definição das decisões que se enquadram na alçada de cada função e o estabelecimento de mecanismos de revisão independentes quando necessário. Também exige acesso à alta administração e a recursos compatíveis com o risco. Os responsáveis por essas atividades devem ser capazes de identificar riscos significativos, fundamentar sua posição e reportá-los prontamente, mesmo sob pressão para fechar um negócio ou acelerar um projeto.
No meu caso, considero essencial trabalhar em estreita colaboração com as equipes comerciais e técnicas, utilizando uma linguagem que facilite a tomada de decisões. Uma recomendação deve explicar os riscos existentes, as alternativas viáveis e as condições para avançar. Além disso, sua implementação exige responsabilidade e acompanhamento. Quando o compliance é integrado ao negócio, a integridade se torna parte da cultura. Essa é a consistência que nós, que lideramos essas funções, devemos buscar.
Em uma empresa que gerencia infraestrutura tecnológica para outras empresas, qual responsabilidade ela assume em relação aos dados do cliente?
Assumimos uma responsabilidade que começa com a compreensão do verdadeiro escopo de cada serviço. Em Valmer Systems, trabalhamos com soluções de infraestrutura de TI, suporte e consultoria, portanto, devemos identificar quando uma intervenção envolve o tratamento de dados pessoais. Se estivermos atuando em nome do cliente, devemos definir nosso papel como operadores e seguir suas instruções. Esse status não é presumido simplesmente por sermos um fornecedor de tecnologia; ele depende do que realmente fazemos e de quem decide a finalidade e os meios do tratamento.
Para mim, essa responsabilidade deve estar refletida no contrato e na operação. É necessário definir de quais acessos a equipe técnica precisa, como esses acessos são autorizados e registrados, quais obrigações se estendem a outros fornecedores e como os backups ou informações são tratados após a conclusão do serviço. Um exemplo simples é o suporte remoto: a resolução de um incidente pode exigir acesso a um sistema, mas esse acesso deve ser limitado ao estritamente necessário para a tarefa. Portanto, a confidencialidade deve ser acompanhada por controles concretos e verificáveis.
A coordenação na resposta a incidentes também é crucial. Quando atuamos como prestadores de serviço, a comunicação imediata com o controlador permite que o cliente avalie suas obrigações e tome medidas oportunas. Canais de escalonamento e procedimentos de preservação de evidências devem estar implementados. Meu entendimento é que a qualidade do serviço de tecnologia inclui a proteção das informações durante toda a sua execução. O cliente precisa de continuidade operacional e também de clareza sobre como as informações pessoais que o serviço possa envolver são protegidas.
O novo Regulamento da Lei de Proteção de Dados Pessoais está em vigor no Peru desde 2025. Quais mudanças ele exigiu das empresas?
As normas aprovadas pelo Decreto Supremo nº 016-2024-JUS, em vigor desde 31 de março de 2025, elevaram os padrões de gestão. As empresas precisam revisar suas práticas de tratamento de dados e demonstrar seu cumprimento na prática. Isso envolve compreender os fluxos de informação, verificar as finalidades e a base legal do tratamento e revisar os controles e contratos que dão suporte a cada operação. Do meu ponto de vista gerencial, a conformidade exige um programa com prioridades, responsabilidades atribuídas e evidências de implementação.
Um novo requisito fundamental é a obrigação de notificar a Autoridade Nacional de Proteção de Dados sobre determinados incidentes no prazo de 48 horas após a sua ocorrência, em conformidade com a regulamentação. Esse prazo exige capacidade de detecção, avaliação e coordenação. O preparo deve permitir decisões oportunas quanto à comunicação adequada, à preservação de evidências e à mitigação do impacto do incidente. Essa responsabilidade requer o envolvimento das equipes de Tecnologia, Jurídica e de Gestão Operacional.
O regulamento também incorpora a designação de um Encarregado de Proteção de Dados nos casos previstos, com implementação gradual para determinadas organizações privadas. É necessário analisar as obrigações e prazos específicos aplicáveis a cada empresa. Além disso, a portabilidade de dados é ampliada e a proteção dos direitos dos titulares é reforçada. O regulamento inclui ainda, em caráter facultativo, uma avaliação de impacto sobre a proteção de dados antes do tratamento, o que considero particularmente útil para operações com riscos significativos.
Com base na minha experiência em gestão jurídica e de compliance, a mudança mais significativa reside na forma como essa área é tratada. A alta administração precisa compreender a exposição da empresa a riscos e monitorar como eles são abordados. Um programa de compliance é mais eficaz quando permite a identificação de uma lacuna, a alocação de recursos e a verificação da eficácia das medidas corretivas. Essa disciplina ajuda a garantir que a proteção de dados permaneça atualizada diante de novos serviços, fornecedores e usos da informação.
Com vistas a 2027, quais são os desafios que a inteligência artificial representa para a proteção de dados pessoais?
Para 2027, vejo um desafio fundamental na capacidade das empresas de governar o uso da inteligência artificial. Esses sistemas permitem combinar informações, inferir características sobre uma pessoa e gerar recomendações que influenciam decisões a seu respeito. A avaliação deve abranger tanto os dados de entrada quanto os perfis ou resultados obtidos. O fato de a informação estar disponível online, mesmo em uma rede profissional, não autoriza automaticamente sua reutilização.
Isso tem implicações concretas para a seleção de pessoal, avaliação de clientes e monitoramento de funcionários. Um resultado impreciso ou tendencioso pode afetar oportunidades e direitos. Portanto, acredito ser necessário revisar a legitimidade e a finalidade do tratamento de dados, a qualidade dos dados e o grau de intervenção humana. Essa revisão humana deve ser eficaz: o responsável precisa compreender o resultado, ter informações suficientes e autoridade para corrigi-lo. As condições do fornecedor também devem ser avaliadas, principalmente se ele utiliza os dados recebidos para treinar seus próprios modelos.
Minha experiência regional também me leva a considerar onde as informações são processadas e quais terceiros estão envolvidos. Da perspectiva de Valmer Systems, como empresa de soluções tecnológicas, devemos compreender essas dependências para embasar decisões informadas. Recomendo identificar casos de uso, avaliar seus riscos antes da implementação e atribuir responsabilidades para monitorar seu desempenho. Assistentes capazes de executar tarefas adicionam uma exigência específica em relação a permissões e rastreabilidade. A adoção de IA deve ser orientada por critérios claros sobre quais informações podem ser usadas, quem é responsável pelas decisões e como corrigir um resultado prejudicial.
Você está participando do Foro Gerencias Legales Lima 2026. Que lugar a proteção de dados deve ocupar na agenda dos gestores jurídicos?
A proteção de dados deve ser integrada às decisões estratégicas da empresa. Ela permeia os relacionamentos com clientes e funcionários, os contratos com fornecedores e o desenvolvimento de serviços digitais. O gerente jurídico precisa estar envolvido desde a definição do projeto, pois é nessa etapa que se decide quais informações serão utilizadas e quais dependências serão criadas. Incorporar essa análise desde o início permite o desenvolvimento de alternativas e evita correções que poderiam ser dispendiosas ou difíceis de implementar posteriormente.
Esse tema também deve estar presente nas conversas com a alta administração e, quando apropriado, com o conselho de administração. Nessas conversas, é necessário destacar os riscos mais significativos, as medidas necessárias e o progresso de sua implementação. Indicadores como revisões de tratamentos críticos, atendimento tempestivo às solicitações dos titulares e ações corretivas pendentes são úteis. Essas informações devem permitir decisões embasadas sobre recursos e prioridades, com uma compreensão clara do impacto potencial de uma falha sobre as pessoas e as operações.
No Fórum, tenho interesse em contribuir a partir da perspectiva da conexão entre gestão jurídica, compliance e tecnologia, enriquecida pela minha experiência regional. Em uma empresa como Valmer Systems, entender o negócio significa compreender como o serviço é prestado e como a informação flui durante sua execução. Essa compreensão profunda me permite formular recomendações aplicáveis e fundamentá-las com sólido conhecimento jurídico. Acredito que o valor da gestão jurídica se demonstra pela qualidade das decisões que ela ajuda a tomar; a proteção de dados é hoje parte indispensável dessa responsabilidade.
