Entendendo a conformidade com o GDPR
Entender como funciona a legislação europeia de proteção de dados é fundamental para os negócios que visem realizar parcerias internacionais, tanto a curto quanto a longo prazo.
É nítida a grande quantidade de informações à qual pessoas e empresas têm acesso atualmente. Todos os dias, você envia dados sobre localização, nome, telefone e identidade para várias plataformas e softwares, quer você saiba ou não.
O volume de dados disponíveis na internet fez com que muitas pessoas se preocupassem com a segurança das informações passadas para empresas e sites. Dessa forma, é função da companhia garantir o sigilo com o cliente e se responsabilizar pelas informações dos cidadãos em suas plataformas.
Foi nesse contexto que surgiu o GDPR, uma lei europeia que regulamenta a segurança dos dados dos cidadãos do continente em qualquer tipo de plataforma online. Apesar de ter sido criada no Velho Mundo, seu impacto é global, com uma influência que chega inclusive aos negócios brasileiros.
Quer saber mais sobre o GDPR? Então, continue a leitura e descubra tudo sobre essa legislação!
O histórico de criação do GDPR
Desde o surgimento da internet, nas décadas de 60 e 70, um novo contexto social se instaura. As tecnologias da informação passam a, gradativamente, fazer parte do cotidiano de diversas pessoas ao redor do mundo. Com a rápida evolução tecnológica, chega-se ao mundo de hoje, extremamente globalizado e conectado, no qual os dados pessoais de cada cidadão estão disponíveis em uma série de plataformas e sites com finalidades distintas.
É nesse cenário que entra a questão da segurança das informações. Nos anos 70, de forma coerente com o direito à privacidade difundido pelos maiores países, surge uma série de legislações nacionais referentes à segurança dos dados online da população.
Foi assim que, em 1995, ganhou força a Diretiva relacionada à proteção de dados pessoais na União Europeia (UE). Ela une legislações de diversos países para regulamentar o uso desse tipo de informação pelas empresas e demais organizações que entrem em contato com qualquer cidadão do bloco.
Era essa a lei em vigor até o ano de 2016. Porém, com a tecnologia avançando rapidamente e o grande volume de dados circulando pela internet todos os dias, mesmo os diversos ajustes feitos na Diretiva de 1995 não foram suficientes para torná-la adequada ao contexto atual. Então, surge o projeto do GDPR, também conhecido como Regulação Geral de Proteção de Dados.
A definição de GDPR
A General Data Protection Regulation, mais conhecida como GDPR, foi lançada para regular a proteção dos dados dos cidadãos de países que fazem parte da União Europeia. Ela foi idealizada no ano de 2012, mas aprovada apenas em 2016. A partir desse momento, as empresas começaram a realizar mudanças para se adequar à nova lei. Com isso, em 25 de maio de 2018, iniciou-se a fiscalização em relação à GDPR em todos os tipos de organizações que armazenam e utilizam dados dos cidadãos europeus.
O regulamento foi criado como resposta a uma crescente exigência popular, com normas rígidas em relação aos dados que as pessoas disponibilizam para plataformas online. Isso porque são passadas informações como identidade, endereço, opiniões e características biológicas às organizações.
Diante de tantos conteúdos disponíveis, é essencial responsabilizar as empresas quanto à segurança dessas informações. Assim, elas não vão ser divulgadas de forma indevida ou cair nas mãos de indivíduos mal-intencionados. É nesse contexto que a GDPR aparece como uma saída para proteger a população europeia. A norma vem como uma resposta aos anseios e às necessidades dos cidadãos, de maneira a garantir que a proteção de dados e a segurança sejam direitos das pessoas.
Para tanto, a legislação estabelece regras rígidas às organizações de diversos tipos e portes. Como consequência, a coleta, o processamento e o armazenamento dos dados são regulamentados, o que contribui para resguardar a privacidade dos cidadãos.
Os principais objetivos do regulamento
O principal objetivo do GDPR é garantir a privacidade e a segurança dos cidadãos. Dessa forma, a legislação visa prevenir as pessoas quanto à utilização das informações pessoais de cada uma de modo indevido ou para fins ilícitos. Para isso, a norma traz diretrizes para diversos tipos de dados, provenientes de qualquer cidadão europeu (seja ele vivo ou morto). Entre as informações, estão:
- aquelas referentes à identidade pessoal, como endereço, telefone, número de identidade e nome completo;
- dados da web, como endereço e número de IP, localização ou cookies;
- questões biológicas, como biometria e, até mesmo, dados genéticos ou outros pontos relacionados à saúde;
- crenças e opiniões;
- orientação sexual;
- dados raciais e étnicos.
Portanto, o GDPR tem como finalidade proteger os cidadãos, colocando-os no centro da política de segurança e empoderando-os, para que tenham maior controle sobre como as próprias informações pessoais serão usadas e divulgadas. A norma inaugura uma tendência no que se refere aos dados disponíveis online, mais coerente com a realidade social e tecnológica do mundo atual. Além disso, abre portas para que apareçam novos modelos de negócio especializados na área.
As organizações que devem adotar o GDPR e as sanções por descumprimento
Nesse momento, pode surgir o questionamento: mas quais são as empresas que precisam seguir as diretrizes do GDPR e como um negócio será atingido? Todas as organizações que lidam com dados pessoais de cidadãos da União Europeia devem seguir as novas exigências. Isso significa que, mesmo que o negócio não esteja localizado no território europeu, deve se submeter ao GDPR se decidir realizar qualquer tipo de contato com os países da UE.
As multas para quem não cumpre essas normas são altas — podem chegar a 20 milhões de Euros ou a 4% do faturamento anual da empresa. Portanto, é preciso entender (quanto antes) quais foram as mudanças trazidas pelo GDPR e como se adequar a elas de maneira a garantir os direitos individuais dos clientes da empresa. Também é necessário manter-se em conformidade com a legislação internacional para evitar prejuízos.
As mudanças trazidas pela norma
O GDPR traz uma série de mudanças em relação às regras para a segurança das informações, que valem tanto para empresas quanto para cidadãos. Vale lembrar que tudo isso se reflete na realidade brasileira, uma vez que o mundo está cada vez mais globalizado e interligado. Quer entender quais são essas transformações? Então, leia os tópicos a seguir!
Para as empresas
O GDPR não pegou leve com as empresas quando se trata da segurança dos dados de cidadãos europeus. Entre as principais mudanças, está a necessidade de as organizações desenvolverem uma linguagem clara e transparente na comunicação com as pessoas em relação às informações armazenadas e utilizadas.
Isso significa o fim dos jargões de informática e da análise de dados na comunicação com os usuários de sites ou plataformas virtuais. Tudo deve ser bem explicado — desde os termos de privacidade até qualquer dúvida ou informação solicitada pelo cliente.
Nesse aspecto, surge outra alteração trazida pelo GDPR para as empresas: elas são obrigadas a cumprir, de forma rápida, qualquer exigência que o usuário fizer. Isso significa que os clientes podem pedir um relatório sobre os dados que estão sendo utilizados e a finalidade das análises, além de, inclusive, solicitar a exclusão completa das informações ou a transferência para outras plataformas.
A companhia tem a obrigação de atender a qualquer solicitação do tipo imediatamente, de maneira clara e transparente. Outra mudança está relacionada ao modo de armazenar os dados e identificar os usuários. Apesar de não ser uma exigência, é recomendado às empresas que prezem pelo uso de pseudônimos na hora de analisar e tratar os dados (em vez de manter o nome completo do cliente).
A questão da segurança das informações também é muito valorizada no GDPR. Ela passa a se tornar um projeto central na criação e no gerenciamento de qualquer plataforma ou serviço online. Para tanto, é necessário que todos os softwares tenham, acoplado a eles, um sistema de proteção de dados — o que é chamado de privacidade por design.
Além disso, devem existir pessoas responsáveis por esse aspecto na empresa. Tais profissionais terão a obrigação de tratar com autoridade o assunto, garantindo a qualidade e a segurança da informação dentro do negócio.
Por fim, uma exigência de grande importância está relacionada à violação da segurança ou privacidade. Dessa forma, qualquer ameaça aos dados dos usuários deve ser reportada, tanto às autoridades quanto aos usuários, em menos de 72 horas. Além disso, a empresa é responsável por fazer tudo o que puder para neutralizar ou conter o risco, preservando a privacidade dos usuários.
Para os usuários
Podemos dizer que as mudanças também são grandes para os usuários. Isso porque o GDPR coloca as pessoas no centro da própria segurança, empoderando os usuários de plataformas e clientes de organizações para que assumam o controle sobre os dados que vão ser coletados e a forma com a qual serão analisados.
Nesse aspecto, o GDPR obriga a autorização do uso de dados por parte dos usuários. Eles devem estar cientes de todas as informações que serão colhidas e permitir essa conduta. Além disso, precisam entender a finalidade da coleta e da análise, de modo a autorizarem inclusive essas etapas do processo.
A pessoa também pode solicitar, a qualquer momento, um relatório com todas as informações que a plataforma ou empresa detém em relação a ela, assim como o completo tratamento de dados que já foi realizado. Tudo isso deve vir em uma linguagem clara e simples, de maneira a possibilitar que qualquer um entenda as informações contidas nos documentos.
Dessa forma, o usuário é capaz de realizar suas próprias vistorias e auditorias quanto à organização que coleta as informações. No caso de se sentir insatisfeito com qualquer processo, é capaz de solicitar que os dados sejam migrados para outra plataforma, mais alinhada com os interesses e as necessidades que apresenta.
Por fim, uma notável inovação trazida pelo GDPR em relação à privacidade de dados diz respeito à possibilidade que os usuários têm de solicitar a exclusão de todas as informações a qualquer momento. Ou seja: o cliente pode pedir para que a empresa delete permanentemente todos os dados já coletados em relação a ele.
Nessa situação, o pedido deve ser atendido o mais rapidamente possível. Vale lembrar, ainda, que a empresa é responsável pela exclusão segura e permanente de tudo o que foi solicitado pelo usuário.
Para o Brasil
Os pontos que costumam gerar confusão quanto ao GDPR são: a abrangência das normas e como tal questão influencia cada um dos países. Isso porque, apesar de ser restrita aos cidadãos da União Europeia, a norma acaba afetando uma grande quantidade de empresas e organizações ao redor do mundo, uma vez que todas estão inseridas em uma sociedade amplamente globalizada e conectada.
Portanto, todo tipo de serviço e organização que chegue até os cidadãos da UE deve estar em conformidade com o GDPR. Isso significa que, se uma loja online vende produtos a um habitante da União Europeia, deve estar em conformidade com a nova legislação. Tal conduta vale para toda companhia que armazene e analise qualquer tipo de dado pessoal sobre essas pessoas.
Mas a influência do GDPR vai além dessa mudança prática. Foi inaugurada uma tendência mundial, relacionada à privacidade e à segurança das informações pessoais que são disponibilizadas online. É por isso que tantas organizações, mesmo em países muito distantes da UE, estão se reestruturando de forma a aderir às novas exigências.
Portanto, podemos dizer que a regulamentação provocou uma transformação moral e de comportamento ao redor do mundo. Os usuários passam a ser mais conscientes e ativos em relação aos próprios dados, enquanto as empresas devem se responsabilizar por garantir o sigilo e a proteção da privacidade. Diante dessa realidade, o Brasil não fica de fora da influência do GDPR, também sentindo os efeitos da norma em suas organizações.
As barreiras que as empresas enfrentam na aplicação do GDPR
O processo de implementação de medidas que tornem o negócio em conformidade com a GDPR passa por dificuldades e barreiras existentes. Por isso, é fundamental saber quais os principais pontos que podem gerar problemas e saber como superá-los. Vamos falar mais sobre eles a seguir.
Processo consistente de gestão de dados
A GDPR tem como ideia gerar uma melhor proteção dos dados pessoais, o que envolve, necessariamente, uma melhor gestão de dados para agir em conformidade com a legislação europeia.
A gestão de dados precisa ser impecável, para saber identificar quais são as informações que necessitam de consentimento expresso para serem coletados (cookies, endereços de IP e dados de geolocalização, por exemplo) e quais estão liberados (cumprimento de obrigações legais, bem como a autorização no tratamento de dados para empresas que tiverem interesse legítimo, sem violar direitos dos titulares).
Para evitar falhas, é fundamental conseguir implementar um processo bem-estruturado, avaliando quais dados serão captados, de que forma, como obter o consentimento explícito, de que forma armazenar isso, o tratamento que será realizado, entre outros pontos fundamentais. Por isso, um plano de gestão de dados precisa ser criado.
Rever o modelo de negócios
Muitas vezes, a questão dos dados exige, até mesmo, uma revisão completa do modelo de negócios da empresa. Isso porque a forma como as informações são utilizadas podem ir de contra, justamente, à legislação europeia, gerando problemas.
Por isso, é importante analisar: meu modelo de negócios está em consonância com a GDPR? Caso contrário, é preciso avaliar: vale a pena arcar com os custos para me adequar à legislação europeia e conquistar clientes internacionais? Se sim, é hora de realizar uma transformação em seu negócio.
Definir um responsável pela proteção de dados
Esse desafio vale tanto para adesão ao GDPR quanto para a LGPD (Lei Geral de Proteção de Dados Pessoais, vigente no Brasil): é fundamental ter um profissional que seja responsável pela proteção de dados, assumindo o cargo de Data Protection Officer.
Sua função será realizar o controle regular e sistêmico da gestão de dados, realizando as medidas adequadas para a proteção das informações de acordo com as diretrizes das duas legislações,padronizando os processos no que concerne a obtenção de informações.
O maior desafio é encontrar um colaborador que tenha tanto a expertise no que concerne à segurança de dados quanto conhecimento profundo de ambas as legislações. Ele deverá estar presente na reelaboração do modelo de negócios, caso seja necessário, para não deixar que problemas ocorram nesse quesito.
Contratar empresas que estejam em conformidade
Se o seu negócio trabalha com fornecedores de soluções que não estejam em conformidade com a GDPR, provavelmente isso poderá causar problemas para seu negócio. Afinal, provavelmente deverão ser feitas adaptações que podem complicar a adesão à solução, encarecendo o processo.
Desta forma, é mais fácil já encontrar, de antemão, aqueles que ofereçam soluções, consultorias e implementações de ferramentas que estejam em consonância com a legislação europeia. Assim encurta-se o processo e torna-se mais fácil, menos custoso e com menor chance de índice de erros nesta questão,otimizando os seus investimentos.
Os benefícios que o GDPR pode gerar para um negócio
Ainda que o GDPR se mostre uma regra rígida, o que exige uma série de mudanças e investimentos dentro das empresas, entrar em conformidade com essa nova legislação pode trazer uma série de vantagens para um negócio — mesmo que a empresa não atue na União Europeia. Quer descobrir algumas delas? Confira os tópicos abaixo!
Melhora a gestão de dados
As organizações da atualidade lidam com uma série de informações todos os dias. Por isso, pode ser difícil organizar e controlar o acesso e a disponibilidade desses dados — ações necessárias para transformá-los em informações úteis à empresa.
Ao adotar as diretrizes do GDPR no negócio, há uma grande melhora na gestão de dados como um todo. Isso porque elas exigem reformulações na política de segurança e no banco de dados utilizado pelas companhias. Dessa forma, torna-se possível acessar a informação com maior facilidade e, ainda, proteger os usuários contra possíveis violações, aumentando a qualidade dos serviços e processos.
Aumenta a satisfação dos clientes
Melhorar a política de privacidade relacionada aos dados dos clientes dentro da empresa é uma forma de cuidar do consumidor. Hoje, com diversas denúncias de negócios que utilizam informações de modo duvidoso, as pessoas estão cada vez mais desconfiadas.
Dessa forma, ao investir na conformidade com o GDPR, a empresa é capaz de mostrar para o cliente que ele está em primeiro lugar. Além disso, as informações disponibilizadas passarão por um tratamento cuidadoso e a privacidade será respeitada. Tudo isso melhora a satisfação com o negócio, o que gera a atração e a fidelização de cada vez mais pessoas em relação à marca.
Cria uma vantagem competitiva
Com a implementação do GDPR, a empresa sai na frente quanto ao que há de mais novo em segurança da informação. Ela segue um comportamento de mercado que tende a se expandir nos próximos anos e, a partir de então, se destaca entre os concorrentes. Dessa forma, o negócio ganha uma vantagem competitiva em relação às outras organizações do mercado, seguindo rumo ao sucesso.
Abre portas para uma atuação internacional
Qualquer companhia que queira atuar na Europa precisa estar de acordo com o GDPR. Desse modo, mesmo que o negócio ainda não tenha clientes nessa região do planeta, é importante investir nas mudanças relacionadas às novas exigências. Vale lembrar que o mundo está cada vez mais conectado. Com isso, as empresas passam a atuar de forma internacional com maior facilidade e, portanto, precisam estar preparadas para aproveitar qualquer oportunidade que possa surgir nesse sentido.
Dicas para garantir a conformidade com o GDPR
Agora que você já sabe o que é o GDPR, as principais mudanças da nova regra e os benefícios que ela pode trazer para uma empresa, chegou a hora de entender como garantir a conformidade com o GDPR no negócio. A seguir, veja algumas dicas para alcançar esse objetivo!
Entenda como armazenar os dados
Para garantir a conformidade com o GDPR, é essencial saber exatamente onde cada dado pessoal está — e onde não está. Portanto, cuide da forma de armazenamento das informações da empresa, garantindo que elas fiquem em um local seguro e organizado. Além disso, crie regras de acesso a esses dados. Você deve ser capaz de encontrar qualquer informação pessoal sobre os usuários e clientes da empresa. Porém, deve garantir que pessoas não autorizadas ou mal-intencionadas façam o mesmo.
Cuide da organização do banco de dados
Categorize os dados antes de identificar a origem, a finalidade e o tipo de cada um deles. Lembre-se de que é essencial ter um banco organizado para garantir a conformidade com o GDPR. Para tanto, devido ao volume de informações, você pode contar com software e teorias específicas de classificação de dados, aumentando a qualidade do processo.
Faça uma boa gestão de informações
A boa gestão de dados é essencial à conformidade com o GDPR em uma empresa. Para isso, é importante entender que a gestão vai além de um bom armazenamento e da categorização das informações do negócio. Um trabalho de qualidade passa por pontos como:
- análises coerentes e relevantes;
- controle de acesso em relação a informações;
- um projeto de segurança consistente quanto à privacidade de dados.
Portanto, revise a forma como você trata os dados da companhia e reestruture a gestão de forma a torná-la coerente com o que é exigido pelo GDPR. A partir disso, aproveite para revisar todos os processos referentes aos dados da empresa (tanto em ambiente interno quanto no externo) e faça com que girem em torno da segurança e da transparência em relação ao uso de informações pessoais por parte do negócio.
Invista em processos de proteção
Invista em processos e atividades capazes de melhorar a proteção dos dados na empresa. Um deles, indicado pelo GDPR, é a pseudomização, no qual você substitui marcadores que permitem a identificação de quem é cada dado por um código (seja ele numérico ou alfabético), preservando a identidade da origem das informações.
Além disso, é possível investir em outros processos, como a anonimização dos dados. O procedimento remove tudo o que permite a identificação e a criptografia, codificando as informações.
Faça revisões periódicas
Para garantir a conformidade com o GDPR, é importante que você realize auditorias e revisões periódicas em todo o plano de segurança da informação da empresa. Para tanto, crie alguns KPIs (também conhecidos como indicadores-chave) que demonstrem a qualidade e a eficiência dos processos por meio de resultados quantitativos.
Além disso, considere fazer auditorias de qualidade periodicamente. Assim, você será capaz de identificar não conformidades e intervir antes que se tornem problemas bem maiores para a empresa.
Como vimos, o GDPR é uma regulamentação criada pela União Europeia para suprir as necessidades dos cidadãos em relação às novas tecnologias da informação que surgem a todo o momento. Ela atende a demandas da sociedade e, apesar de ser aplicada apenas a um continente, representa uma tendência mundial em relação à segurança de informações pessoais.
É preciso que as empresas fiquem sempre atentas às mudanças que esse tipo de diretriz traz — tanto para as organizações quanto para os usuários. Dessa forma, você é capaz de aproveitar todas as vantagens que o fato de estar conectado às principais tendências do mercado pode gerar para o negócio!
Gostou de saber mais sobre o GDPR? Aproveite e entre em contato com a GAEA agora mesmo! Estamos cheios de soluções em TI e Segurança da Informação prontas para serem implementadas na sua empresa!
