Quais foram as mudanças trazidas pela nova GDPR (General Data Protection Regulation)? - Fasthelp
A GDPR voltou a ganhar destaque por dois motivos: porque entrou em vigor recentemente, em maio último, e por conta da revelação de que dados privados de usuários do Facebook foram usados sem sua permissão explícita. Em março de 2018, o mundo ficou sabendo que a empresa Cambridge Analytica especializada em coletar e analisar dados na internet para campanhas eleitorais, teve acesso a informações pessoais de mais de 50 milhões de pessoas.
Uma das coisas mais surpreendentes do caso foi a maneira pela qual a Cambridge Analytica obteve os dados. Não foi nenhum tipo de vírus, hacker ou malware que entregou o material à empresa: foram os próprios usuários. Sim, por meio de um 'teste de personalidade' no próprio Facebook, criado pelo pesquisador Aleksandr Kogan. O objetivo do aplicativo era criar um perfil de personalidade de quem respondesse às suas perguntas. Mas Kogan capturava os dados não apenas de quem fazia o teste, mas também de seus amigos e contatos. Isso tudo foi entregue à empresa, que usou as informações para criar anúncios para seus clientes. Os usuários não sabiam disso, mas o Facebook permite que desenvolvedores e clientes tenham acesso a dados privados de milhões de seus usuários, e não apenas para fins de publicidade.
Embora a GDPR tenha virado notícia no mundo todo, inclusive no Brasil, ainda existem muitas dúvidas a respeito de sua extensão, funcionamento e como ela afeta as empresas nacionais. Veja a seguir, os principais pontos da lei e entenda como ela pode influenciar suas operações.
Quem deve seguir a GDPR?
Basicamente, qualquer empresa que tenha ou venha a capturar dados de cidadãos da União Europeia, mesmo que não possua nenhum tipo de operação no continente. Talvez você já tenha percebido que diversos sites, serviços, redes sociais, aplicativos e outros têm atualizado seus termos de serviço e pedido aos usuários que os aceitem. Como daria muito trabalho discriminar o acesso que venha apenas da União Europeia (ou de cidadãos do bloco), muitas empresas optaram por usar a GDPR como padrão geral para evitar punições e multas.
Que punições estão previstas na nova lei?
Ainda não está claro quais podem ser as consequências para empresas de fora da União Europeia, mas a GDPR prevê multas de até € 20 milhões ou de até 4% sobre a receita anual global da companhia, o que for maior. Também estão previstas advertências, para casos menos graves de inadequações em relação à nova legislação.
Quais são as novas regras criadas pela GDPR?
As empresas precisam deixar claro para os usuários de qualquer serviço que vão captar os dados dessas pessoas, quais informações serão armazenadas e devem pedir o consentimento claro e inequívoco de a pessoa aceita essa captura (e o uso, claro). A GDPR também obriga as empresas a dar aos usuários o poder de negar o acesso às informações mesmo que ele tenha concordado em compartilhar as informações anteriormente (ou seja, de mudar de ideia). O usuário também tem o direito de saber como suas informações estão sendo processadas pelas empresas a qualquer momento. Se ele desejar, pode ainda pedir que tudo o que estiver armazenado seja deletado. Ou seja, a empresa não pode apenas "desativar" a conta e continuar a monitorar o usuário e usar informações previamente informadas.
Além disso, a lei prevê a "portabilidade" dessas informações. Isso quer dizer que os cidadãos têm direito de colocar os dados em outros sistemas. Se uma empresa for vítima de uma invasão, um vazamento ou roubo de dados, a empresa é obrigada a notificar os usuários em até 72h. Quem deixar de cumprir essa regra pode ser multado pela União Europeia. Qualquer nova característica de um serviço ou sistema deve seguir as regras criadas pela GDPR. E a empresa precisa fazer um monitoramento constante com vistas a proteger a privacidade das informações dos usuários.
A lei também define quem são os responsáveis pelas informações. Existem o controlador e o processador. O controlador é quem coleta as informações e tem relação com as pessoas que cedem esses dados. Os processadores são empresas contratadas pelos controladores para gerir as informações. Cada um deles tem sua responsabilidade específica. Quem processa os dados é obrigado a manter um registro de todas as operações realizadas. E pode ser punido se as informações forem expostas indevidamente. Já os controladores têm a obrigação de realizar os contratos com os usuários e precisam cumprir o que foi acordado.
Minha empresa deve se preparar?
Com certeza. É necessário avaliar todas as atividades da sua empresa para mapear em quais delas a GDPR poderia ser aplicada. Uma recomendação é ter alguém que cuide disso exclusivamente, seja um funcionário ou um consultor. Essa pessoa terá a responsabilidade de adequar as atividades da empresa à legislação europeia e sinalizar o que precisa ou não precisa ser feito.
Para saber mais detalhes de como funciona a GDPR, acesse o site oficial criado pela União Europeia para esclarecer os principais pontos da legislação: https://ec.europa.eu/info/law/law-topic/data-protection/data-protection-eu_en