O Regulamento Geral sobre a Proteção de Dados (UE 2016/679) entrou em vigor em 25 de maio de 2018, adicionando novos elementos e melhorias significativas ao regime de proteção de dados existente.
Funções e responsabilidades
Na preparação para a entrada em vigor do RGPD, você deve ter considerado a necessidade de nomear formalmente um DPO – uma necessidade caso:
- Você é uma autoridade ou órgão público; ou
- Suas atividades principais exigem monitoramento em larga escala, regular e sistemático de indivíduos; ou
- Suas principais atividades consistem no processamento em larga escala de categorias especiais de dados ou dados relacionados a condenações e infrações criminais.
Muitas organizações optam por garantir que um indivíduo ou departamento seja responsável pelas atividades de privacidade sem a necessidade de uma nomeação formal de um Encarregado de Proteção de Dados (DPO). Garantir que as funções e responsabilidades em matéria de proteção de dados sejam bem conhecidas e documentadas em sua organização é um requisito fundamental de conformidade.
ROPA – Registro de Atividades de Processamento
A documentação das atividades de processamento realizadas pela organização é uma exigência do Artigo 30 do RGPD (tanto no Reino Unido quanto na UE) se a sua organização tiver mais de 250 funcionários. Também é uma exigência para empresas menores se os dados que você processa:
- não são ocasionais
- provavelmente afetarão os direitos e liberdades dos indivíduos; e
- envolvem dados de categoria especial ou dados sobre condenações e infrações criminais.
Seu ROPA deve conter um mapeamento dos seus sistemas que armazenam dados pessoais, juntamente com informações sobre a base legal do processamento, as finalidades e os métodos de processamento dos dados, bem como as políticas e os procedimentos de compartilhamento e retenção de dados.
É importante garantir que esta documentação seja revisada regularmente, pois atualizações provavelmente ocorrerão ao longo do tempo.
Existem orientações do ICO sobre as melhores práticas do ROPA.
Políticas e procedimentos
Suas políticas e procedimentos devem descrever claramente as funções e responsabilidades em sua organização, abrangendo diversas áreas relacionadas à privacidade:
- Proteção de dados e gestão de registros
- Segurança da informação, incluindo violações e gestão de incidentes.
- O fornecimento de informações em resposta a solicitações de direitos individuais – como pedidos de acesso do titular dos dados e avisos de informação.
- Proteção de dados desde a concepção e por padrão para garantir que as questões sejam consideradas e documentadas (avaliações de impacto à privacidade) quando novos sistemas, serviços, produtos e processos forem implementados ou quando os existentes forem alterados.
- A política de privacidade do seu site deve ser revisada regularmente e a data da última atualização deve ser exibida de forma clara.
Gestão de Fornecedores
É essencial que existam contratos em vigor com as organizações que processam dados em seu nome. Os contratos devem especificar os detalhes do processamento, incluindo:
- O objeto do processamento
- Duração do processamento
- Natureza e finalidade do processamento
- Tipo de dados pessoais e categorias de titulares dos dados
- Caso sejam utilizados subprocessadores.
É necessário um conjunto de verificações de due diligence para garantir que essas organizações estejam operando de acordo com os requisitos técnicos e organizacionais adequados para atender ao GDPR.
Recomenda-se a revisão periódica dos contratos e acordos de compartilhamento de dados que você possui com outras organizações.
Treinamento
Garantir que sua equipe esteja ciente de suas responsabilidades em relação ao processamento de dados pessoais é fundamental. Os treinamentos de integração e reciclagem devem incluir informações sobre proteção de dados, potenciais ameaças à segurança e as políticas e estruturas de governança da informação da sua organização. Monitorar e documentar a conclusão dos treinamentos é um elemento importante para demonstrar a conformidade.
Outras leis e regulamentos
Existem diversas outras leis e regulamentos no Reino Unido que têm impacto na segurança de dados. Entre eles:
- Regulamentos de Privacidade e Comunicações Eletrônicas (PECR) de 2003 – que abrangem "spam" e envios massivos de e-mails de marketing. Regulamentos sob o PECR também são emitidos periodicamente. Por exemplo, regulamentos sobre o uso de cookies em sites e, em 2016, a exigência de que qualquer pessoa que faça uma chamada de marketing exiba seu número.
- Lei de Direitos Autorais, Desenhos e Patentes – alterada em 2002 para abranger o roubo de software.
- Podem existir outras normas e regulamentações de TI aplicáveis: por exemplo, as empresas que processam transações com cartão de crédito precisam garantir a conformidade com os Padrões de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS) .
Fontes e links
Página inicial do ICO para organizações
Portal GDPR da UE – www.gdpreu.org
