Regulamento geral de proteção de dados (GDPR)

O Regulamento Geral de Proteção de Dados (RGPD) foi aprovado na União Europeia (UE) em 2016 e exige que todas as empresas protejam uma definição atualizada de dados pessoais e privados de cidadãos da UE para transações realizadas dentro dos Estados-Membros da UE. A diretiva estabelece regras de privacidade de dados que proporcionam transparência e ampliam os direitos de privacidade dos cidadãos da UE.

Qual é a definição de privacidade atualizada?

A definição básica de dados pessoais é qualquer informação relacionada a uma pessoa física identificada ou identificável (titular dos dados).

Exemplos de dados privados abrangidos pelo RGPD incluem:

• Nome e sobrenome
• E-mail
• Telefone
• Endereço residencial
• Data de nascimento
• Corrida
• Marcadores genéticos ou predisposições identificadas
• Gênero
• Filiação Religiosa
• Opiniões políticas
• Números de cartão de crédito
• Dados mantidos por um hospital ou médico
• Fotografia onde um indivíduo é identificável
• Número do cartão de identificação
• Um ID de cookie
• Endereço de protocolo da Internet (IP)
• Dados de localização (por exemplo, dados de localização de um telefone celular)
• O identificador de publicidade do seu telefone

Quando uma violação de dados é detectada, as empresas são agora obrigadas pelo RGPD a notificar todas as pessoas afetadas e as autoridades de supervisão no prazo de 72 horas. As normas do RGPD aplicam-se a todos os dados pessoais criados para residentes da UE, independentemente de serem ou não cidadãos de países da UE.

O GDPR define penalidades para o descumprimento. O descumprimento das prescrições do GDPR pode resultar em multas que variam de 10 milhões de euros a XNUMX% do faturamento global anual da empresa.

Segundo o RGPD, as empresas não podem processar legalmente informações de identificação pessoal (IIP) de qualquer indivíduo sem cumprir pelo menos uma das seis condições seguintes:

1. Consentimento expresso do usuário; ou o processamento de dados de privacidade é necessário:

1. para a execução de um contrato com o usuário ou para tomar medidas para celebrar um contrato; ou
2. pelo cumprimento de uma obrigação legal; ou 
3. para proteger os interesses vitais de um usuário ou de outra pessoa; ou
4. para o desempenho de uma tarefa realizada no interesse público ou no exercício da autoridade oficial investida no controlador; ou
5. para fins de interesses legítimos perseguidos pelo controlador ou por terceiros, exceto quando tais interesses forem anulados pelos interesses, direitos ou liberdades do usuário.

Além disso, as empresas que realizam processamento de dados ou monitoram titulares de dados em larga escala devem designar um encarregado da proteção de dados (DPO). O DPO é o responsável pela governança de dados e por garantir que a empresa esteja em conformidade com o RGPD. Essa pessoa é responsável por garantir que os princípios adequados de proteção de dados sejam aplicados à manutenção de dados pessoais.

O que isso significa para uma PME?

Empresas que operam fora da UE e não processam dados privados de titulares de dados da UE, conforme descrito na lista acima, não precisam se preocupar com o GDPR em si. No entanto, há legislação semelhante em vigor na maior parte do mundo, portanto, as empresas devem se concentrar em examinar os direitos de privacidade de dados de seus países. Depois de entender suas obrigações legais em seu país de origem, você precisará desenvolver um plano de notificação de violação.

A importância de um Plano de Notificação de Violação

É muito importante ter um plano para notificar todos os usuários e órgãos competentes envolvidos em uma violação de dados. O momento de definir como notificar e quais são as leis e requisitos aplicáveis do país de origem não é durante uma violação, mas antes dela. Nos EUA, existe uma colcha de retalhos de leis de privacidade de dados por estados individuais. Não há nenhuma lei federal em vigor. Ao preparar seu processo de notificação de violação, certifique-se de buscar consultoria e expertise externa para ajudá-lo a cumprir as leis de cada estado sobre o qual você possa ter dados (ou país, conforme o caso).

Regulamentos de privacidade de dados por país (um exemplo): 

• União Européia Regulamento geral de proteção de dados (GDPR)
• Lei de Proteção ao Consumidor da Califórnia (2018)
• Emenda de Privacidade da Austrália Lei de Violações de Dados Notificáveis de 2017
• Lei de Proteção de Informações Pessoais e Documentos Eletrônicos (PIPEDA)
• Lei de Privacidade de Dados da Alemanha em Comparação com o GDPR (BDSG)

A CyberHoot recomenda que você conheça as leis que afetam sua empresa e prepare um documento de Notificação de Violação que reflita essas leis. Não se esqueça de testar o processo anualmente.

A melhor defesa contra multas por violação de dados é não haver violação alguma

Além de estabelecer um processo de notificação de violações, sua empresa pode adotar muitas outras medidas para reduzir o risco de uma violação. A CyberHoot recomenda as seguintes medidas básicas contra violações:

• Treinar e testar funcionários sobre como identificar e evitar Phishing, smishing e vishing ataques;
• Gerenciar os funcionários com um conjunto de políticas de segurança cibernética que estabeleçam os requisitos de segurança cibernética da empresa;
• Empregar o princípio do menor privilégio retirando direitos de administrador dos desktops e laptops dos usuários;
• Adote um gerenciador de senhas para melhorar a higiene das senhas dos funcionários;
• Habilitar autenticação de dois fatores em todas as contas críticas (e-mail, banco, etc.); e
• Autentique os chamadores em sua empresa quando eles fizerem solicitações de alto valor (pedir informações, alterar reservas, cobrar no cartão de crédito etc.). Empresas com acesso aos números de celular dos clientes devem enviar um código de autenticação por SMS para cada solicitante de alteração.

Para saber mais sobre o GDPR, assista a este breve vídeo de 5 minutos:

Fontes: 

CSO Online

TechTarget

ZDNet

Leitura Adicional:

Booking.com multado após ataque de vishing

As regulamentações não param na CCPA da Califórnia

Termos relacionados:

Lei de Proteção ao Consumidor da Califórnia (CCPA)

Descubra como o CyberHoot pode proteger seu negócio.

Agende uma demonstração