10 mitos sobre o regulamento geral de proteção de dados - Lei GDPR
Agradecemos ao Eco – Economia online por nos ter disponibilizado a partilha deste artigo.
Os limites máximos de multa nunca serão aplicados – Embora o limite superior das multas seja 4% do turnover global do grupo no espaço da UE ou um máximo de 20 milhões de euros, este aplica-se apenas caso se verifiquem situações severas de não conformidade. No entanto, mesmo que a multa no contexto RGPD seja de 20 euros, as perdas financeiras, operacionais ou reputacionais associadas poderão ser bem mais elevadas.
As não conformidades RGPD estão sobretudo relacionadas com incidentes de segurança – Embora seja verdade que, atualmente, um número significativo das multas relacionadas com o incumprimento de leis de proteção de dados esteja diretamente relacionado com incidentes de segurança resultantes de vulnerabilidades tecnológicas ou humanas, importa destacar que, de acordo com o artigo 85 (5) do RGPD, as multas mais pesadas são aplicadas a situações que violem os princípios fundamentais relacionados com o tratamento de dados pessoais.
Todas os incidentes de segurança devem ser reportadas num máximo de 72 horas – É verdade que um número elevado de ciberataques acaba por comprometer a confidencialidade e integridade dos pessoais das organizações, no entanto apenas nesses casos existe a obrigação de reportar incidentes relacionados com dados pessoais, excluindo-se todas os incidentes de segurança que apenas incidam sobre a dimensão de disponibilidade dos dados.
É mais seguro não reportar os incidentes de segurança – Este tipo de abordagem, para além de não ser ético e totalmente desaconselhado por parte da IDC, não pode ser considerada "gestão de risco", mas simplesmente "brincar com a sorte". Na verdade, caso as autoridades venham a saber do incidente por terceiros (ex. queixas de clientes, denunciantes, comunicação social), as multas a aplicar deverão ser superiores.
A encriptação será a principal salvação – As organizações deverão garantir abordagens orientadas ao risco, demonstrando que os riscos residuais são conhecidos e aceites pela gestão como parte da estratégia de gestão de risco corporativo. O regulamento refere inclusivamente que as medidas de controlo deverão garantir um nível de segurança adequado.
O melhor é externalizar as responsabilidades pela proteção dos dados pessoais para uma maior segurança da informação – Embora possa constituir uma forma de não tirar o foco da organização do seu negócio, não reduz a sua responsabilidade em caso de incumprimento. Cada vez mais as organizações terão em consideração os riscos a montante e a jusante da sua operação, procurando fornecedores e parceiros que lhes assegurem níveis adequados de conformidade, em particular no contexto RGPD, mas também de confiança perante os seus clientes.
A localização dos dados não influencia a segurança – A capacidade das medidas de segurança aplicadas, como criptografia, controlos de acesso ou gestão de privilégios, têm mais relevância do que a localização dos dados. Existem, no entanto, outros requisitos de conformidade que influenciam diretamente a proteção dos dados pessoais. No contexto da UE, o RGPD vem reforçar alguns requisitos relacionados com a localização dos dados, sendo um aspeto crítico a ter em conta na avaliação dos riscos por parte de "Controladores" e "Processadores".
Para o sucesso dos processos de transformação digital em curso, os dados assumem uma posição de destaque, por estarem no centro de qualquer estratégia a definir. Este novo regulamento representa um passo relevante para garantir uma adequação legal aos novos riscos relacionados com a proteção de dados pessoais. Os impactos estimados do novo regulamento são significativos tanto ao nível dos fornecedores como dos clientes de tecnologias, em particular no que refere às responsabilidades que todas as partes envolvidas passarão a ter no processamento e controlo dos dados pessoais. Para as organizações, será essencial recorrer a parceiros com as necessárias competências, sendo que uma das melhores fontes de informação a comunidade de supervisores ou outras entidades que irão intervir ativamente no ecossistema de conformidade do RGPD.
Em última análise o novo RGPD tem a ver com risco. Toda e qualquer decisão tomada pelas organizações na resposta a este desafio deverá ser avaliada, contextualizada e, sobretudo, enquadrada numa visão mais alargada de risco corporativo. Este é um tema transversal à implementação de uma estratégia global de transformação digital, o tema base da próxima edição do IDC Directions, que terá lugar dia 19 de outubro.