As empresas que processam dados pessoais dentro da UE são obrigadas a desenvolver uma política de proteção de dados. O que a lei diz sobre proteção de dados? O que a lei exige? Uma empresa deve designar um agente de proteção de dados (DPO)? Neste artigo, abordamos as questões mais importantes sobre proteção de dados enquanto explicamos como cumprir os regulamentos.

O que vamos abordar neste artigo?

• O que são dados pessoais?
  
• O que é processamento de dados pessoais?
  
• Quais são os regulamentos atuais que tratam da proteção de dados pessoais?
  
• Quais são os princípios do Regulamento Geral de Proteção de Dados (GDPR)?
  
• O que é exigido pelo GDPR?
  

O que são dados pessoais?

Dados pessoais, também chamados de informações pessoais, são informações que permitem identificar uma pessoa física de forma direta ou indireta. Os dados pessoais podem incluir nome ou sobrenome, números do seguro social, números de telefone, endereços de e-mail ou IP (Internet Protocol), comportamentos na Internet ou fotografias. Os dados anonimizados (ou seja, dados que eliminam a possibilidade de identificar a pessoa física) não são considerados dados pessoais. O mesmo se aplica a dados relacionados a uma pessoa jurídica, como uma empresa.

O que é processamento de dados pessoais?

O processamento dos dados pessoais se refere a um grande número de processos aplicados a dados pessoais. Esses processos podem incluir coleta, registro, organização, armazenamento, modificação, consulta, supressão, extração, divulgação e exclusão de dados. Essas atividades podem ser computadorizadas ou não.

Exemplos de processamento de dados incluem manter o arquivo de um cliente, a coleta de informações de contato de possíveis clientes e o armazenamento de endereços IP. Na maioria das vezes, os dados pessoais processados pelas empresas estão relacionados a clientes, fornecedores, possíveis clientes, funcionários e candidatos a emprego.

Quais são os regulamentos atuais que tratam da proteção de dados pessoais?

Desde 25 de maio de 2018, o Regulamento Geral de Proteção de Dados (GDPR) tem servido como um modelo regulatório para a coleta e gestão de dados na UE. O GDPR padronizou as regulamentações para todas as entidades públicas e privadas que processam dados pessoais na UE. Aqui estão as principais entidades envolvidas:

• Organizations criadas dentro da UE, como startups, pequenas e médias empresas, grandes empresas, associações, organizações profissionais e entidades públicas

• Empresas estrangeiras que têm como público, os cidadãos europeus

• Processadores que coletam e gerenciam dados pessoais em nome de outras empresas

Por exemplo, uma empresa sediada na China que processa os dados pessoais de uma pessoa física na França deve cumprir o GDPR.

Qual autoridade é responsável pela proteção de dados pessoais na França?

A Comissão nacional da tecnologia da informação e das liberdades civis ((Commission nationale de l’informatique et des libertés, ou CNIL) supervisiona a proteção dos dados pessoais coletados por entidades públicas e privadas, dá suporte às empresas que cumprem os regulamentos em vigor e é responsável por sancionar aqueles que não cumprem.

Quais são os princípios do Regulamento Geral de Proteção de Dados (GDPR)?

O GDPR é baseado em vários princípios. O tratamento de dados pessoais deve ser legal, transparente, temporário e seguro, e deve ocorrer apenas quando necessário (ou seja, minimização de dados). Confira mais informações sobre cada princípio:

• Função lícita
  Sempre que os dados pessoais são processados, deve haver uma base legal que os justifique. Portanto, uma empresa não pode coletar dados pessoais sem um objetivo específico e legítimo.

• Transparência
  Todos os indivíduos devem ser informados que seus dados estão sendo coletados e sobre seus direitos. É importante que as empresas facilitem a implementação dos direitos dos indivíduos.

• Minimização de dados
  Uma empresa só deve coletar dados estritamente necessários para atingir esses objetivos.

• Duração limitada
  A duração do armazenamento de dados deve ter uma data final definida e a empresa deve desenvolver uma política clara sobre o armazenamento de dados.

• Segurança​
  A empresa deve implementar medidas de segurança para proteger os dados pessoais que coleta.

Obs: operadores que processam dados pessoais em nome de uma empresa também devem cumprir o GDPR.

O que é exigido pelo GDPR?

O GDPR exige que uma empresa forneça informações e seja transparente com os indivíduos de quem coleta dados. Para isso, as empresas devem obter consentimento, facilitar a implementação dos direitos do cliente, manter um registro de processamento e garantir a segurança dos dados.

Como informar às pessoas físicas

Uma empresa deve informar todos as pessoas físicas de quem coleta dados pessoais. As informações devem ser claramente comunicadas e devem incluir o seguinte:

• Identidade e informações de contato do operador (por exemplo, um gestor)

• Motivo do processamento

• Base legal que justifica o processamento (por exemplo, consentimento da pessoa física, assinatura de um contrato, requisito jurídico)

• Carácter obrigatório ou facultativo da coleta de dados

• Destinatários dos dados pessoais

• Duração do armazenamento de dados

• Direitos dos clientes

• Direito de fazer uma reclamação ao CNIL

• Existência de transferência de dados para um país fora da UE, se pertinente

A falta de informações pode estar sujeita a uma multa de até € 1.500 para empreendedores individuais e € 7.500 para empresas. As empresas devem informar no momento da coleta de dados, em caso de alterações subsequentes ou dentro de um prazo razoável de um mês (por exemplo, para coleta indireta de dados).

Obtenção de consentimento

As empresas também precisam obter o consentimento do cliente se a empresa fizer o seguinte:

• Usa cookies

• Envia e-mails promocionais

• Coleta dados pessoais confidenciais

• Reutiliza dados para outras finalidades

Os clientes devem poder dar consentimento independente para todas as finalidades se houver mais de uma finalidade. As empresas não podem usar caixas de seleção marcadas por padrão.

Obs: a falta de consentimento pode ser punida com cinco anos de prisão e uma multa de € 300.000 para empreendedores individuais ou € 1,5 milhão para empresas.

Garantia dos direitos das pessoas físicas

As empresas são obrigadas a respeitar os direitos das pessoas físicas de quem processam os dados. Isso inclui o direito de acesso, o direito de retificação, o direito de ser esquecido, o direito de se opor ao processamento e o direito à portabilidade dos dados. É importante que as empresas permitam que os indivíduos exerçam facilmente seus direitos.

Manter registros por escrito das atividades de processamento

Um registro de atividades de processamento pode fornecer informações sobre todas as atividades concluídas. Manter um registro escrito é obrigatório para empresas com mais de 250 funcionários.

Como garantir a proteção dos dados

É importante criar mecanismos robustos para garantir a segurança dos dados. As empresas podem implementar as seguintes estratégias:

• Autenticação obrigatória dos clientes e restrições de acesso

• Sistemas de registro diário para garantir que as atividades sejam rastreáveis

• Bloqueio automático, firewalls, software antivírus e redes privadas virtuais (VPNs)

• Backups regulares e arquivamento de dados que não são usados diariamente

Você pode integrar o Stripe Checkout diretamente no seu site para reforçar a segurança dos dados dos clientes. O Checkout facilita a inserção e a reutilização dos dados de pagamento dos clientes, gerenciando os dados confidenciais dos cartões em total conformidade.

Outras obrigações

Se uma empresa processa dados pessoais em grande escala, ela pode ser obrigada a nomear um DPO. Além disso, quando as atividades de processamento de uma empresa apresentam um risco aumentado para os direitos e liberdades dos clientes, uma Avaliação do impacto para proteção de dados (DPIA) passa a ser obrigatória.

Se os dados pessoais forem transferidos para fora da UE (por exemplo, dados transferidos para uma filial na China ou para um prestador de serviços estrangeiro), as empresas devem solicitar autorização da Comissão Europeia. Para que a transferência seja permitida, é necessário que seja adotada uma decisão de adequação.