Em 2016 a União Europeia publicou o GDPR - General Data Protection Regulation – Regulamento Geral de Proteção de Dados – com o objetivo de regulamentar a proteção de dados pessoais de cidadãos da comunidade, em substituição à Diretiva Europeia de Proteção de Dados Pessoais.
Sua aplicabilidade, no entanto, ultrapassa as fronteiras da União Europeia, abrangendo entidades que processam dados pessoais, mesmo que este tratamento seja realizado fora de sua limitação geográfica. Previsto para entrar em vigor daqui alguns dias, em 25 de maio, o regulamento está mexendo com as regras de muitas empresas, isso porque o não cumprimento das novas diretrizes poderá acarretar em multas significativas.
No entanto, esse tipo de exigência não é novidade. Cerca de 120 países já têm leis de proteção de dados semelhantes às adotadas agora pela Comunidade Europeia.
De acordo com a UE, o GDPR “serve para harmonizar as leis de dados privados por toda a Europa, para proteger e empoderar a privacidade de todos os cidadãos, além de reorganizar a maneira como companhias lidam com dados privados".
A GDPR possui os seguintes pilares: transparência, gestão e governança para garantir a proteção das informações e os direitos dos usuários.
Como exemplo, vale destacar algumas exigências do regulamento:
Referente a este último item, aqui no Brasil, em 2017, tivemos vários casos de vazamento de dados de clientes em grandes empresas, como a Netshoes, Buscapé e Movida. Para você saber se seu nome está em algum vazamento de dados acesse o site https://haveibeenpwned.com/.
Aqui no Brasil, somos afetados pela GDPR?
O regulamento é aplicável a todas as empresas que coletam, armazenam ou processam dados de cidadãos da União Europeia, independentemente do volume, ou seja, todas as empresas brasileiras, públicas ou privadas, de grande ou pequeno porte, com negócios junto a clientes e/ou parceiros na UE, terão que cumprir o novo regulamento.
Tecnicamente falando, mesmo que sua empresa utilize as plataformas Amazon Web Services ou o Google Cloud, a responsabilidade de estar de acordo com a nova regulamentação é de sua empresa.
No Brasil temos legislação aplicável a proteção dos dados, porém ela está pulverizada. Encontramos normas na Constituição Federal, no Código de Defesa do Consumidor, na Lei do Cadastro Positivo, na Lei do Sigilo Bancário, no Marco Civil da Internet, dentre outros. Vale lembrar que em 2014 a Secretaria Nacional de Defesa do Consumidor (Senacon, órgão do Ministério da Justiça), aplicou a maior multa já determinada (R$ 3,5 milhões) num caso de violação de direitos à privacidade e à proteção de dados pessoais no país.
Em paralelo temos o Projeto de Lei 5.276/2016 que, baseado no GDPR, visa regulamentar de forma mais abrangente o tratamento e a proteção de dados pessoais no país.
Desafios das empresas
Para estarem compliance com o GDPR as empresas deverão investir em cibersegurança. No entanto, antes de saírem adquirindo um software devem revisar todos os procedimentos relacionados ao processamento de dados, mapear o que a organização tem de informações de clientes, definir o tratamento para cada informação (seja interna ou externa), armazenamento e definir seus controles. Dessa forma, a empresa poderá avaliar onde deverá aplicar o GDPR e, então, verificar no mercado o software mais adequado às suas necessidades.
O mais importante no momento é que as empresas mudem seu “mindset” com relação aos dados dos seus clientes, dando maior importância a coleta, ao tratamento e ao armazenamento de dados pessoais.
Ficar compliance com o GDPR vai além de se proteger de multas e penalidades, é preservar a confiança de seus clientes, a reputação de sua marca e o respeito de seus colaboradores, parceiros e fornecedores.