O Regulamento Geral de Proteção de Dados (GDPR) foi criado pela União Europeia (UE) para estabelecer diretrizes sobre a coleta e o tratamento das informações pessoais de seus cidadãos. Embora a maior parte dos dados mencionados nos requisitos do GDPR seja coletada online, por meio de sites e aplicativos, o regulamento também abrange dados coletados em papel e outros meios físicos.
O GDPR foi aprovado pelos membros da UE em 2016 e entrou em vigor dois anos depois, substituindo a Diretiva de Proteção de Dados, implementada em 1995. O objetivo do GDPR é garantir aos consumidores europeus o controle sobre seus próprios dados pessoais, regulando como as empresas podem utilizar essas informações.
Os requisitos do GDPR se aplicam a todos os cidadãos da UE, estejam eles dentro ou fora de um país-membro. Além disso, abrangem todas as organizações que lidam com dados pessoais de cidadãos da UE, independentemente da localização do site ou da empresa.
Quais são os requisitos do GDPR?
- Processamento lícito, justo e transparente (GDPR Capítulo 2, Artigo 5a)
- Os dados pessoais devem ser:
- 5a: Processados de forma lícita, justa e transparente em relação ao titular dos dados ("licitude, justiça e transparência").
- 5b: Coletados para finalidades específicas, explícitas e legítimas, sem processamento posterior de forma incompatível com essas finalidades.
O processamento adicional para fins de arquivamento de interesse público, pesquisa científica ou histórica, ou fins estatísticos, conforme o Artigo 89(1), não é considerado incompatível com as finalidades iniciais ("limitação de finalidade").
Para atender a esses requisitos do GDPR, as organizações precisam documentar uma justificativa legal para o tratamento de dados pessoais. Também é necessário obter o consentimento dos titulares dos dados para a coleta das informações e informá-los sobre como esses dados serão processados e utilizados.
Cumprir os requisitos de processamento lícito, justo e transparente do GDPR significa:
- Licitude significa que todo o tratamento de dados deve ter uma finalidade legítima.
- Justiça implica que as empresas assumem a responsabilidade e não processam dados para fins diferentes dos declarados e legítimos.
- Transparência exige que as empresas informem os titulares dos dados sobre as atividades de tratamento realizadas com seus dados pessoais.
Limitação de finalidade, dados e armazenamento (GDPR Capítulo 2, Artigos 5b e 5c)
- Os dados pessoais devem ser:
5c: "adequados, pertinentes e limitados ao necessário em relação às finalidades para as quais são processados (‘minimização de dados’);" - As exigências do GDPR obrigam as organizações a documentar o motivo da coleta e do tratamento das informações, além de garantir que essas informações sejam excluídas quando não forem mais necessárias (ou seja, minimização de dados). Há flexibilidade para o tratamento de informações para fins de arquivamento, incluindo interesse público, bem como para finalidades científicas, históricas ou estatísticas.
Para atender de forma eficaz às exigências do GDPR, as organizações devem:
- Proibir o tratamento de dados pessoais para finalidades diferentes daquela para a qual foram coletados.
- Exigir que apenas os dados pessoais estritamente necessários sejam solicitados.
- Determinar a exclusão dos dados pessoais assim que a finalidade legítima para a qual foram coletados for alcançada.
Direitos dos titulares de dados (GDPR Capítulo 3, Artigos 12 a 23)
Onze direitos dos titulares de dados detalham as exigências do GDPR, organizados em cinco seções:
- Transparência e modalidades
- Informação e acesso aos dados pessoais
- Retificação e exclusão
- Direito de oposição e decisões automatizadas individuais
- Restrições
- Consentimento (GDPR Capítulo 2, Artigo 6)
O tratamento só é considerado lícito se, e na medida em que, pelo menos um dos seguintes critérios for atendido:
- O titular dos dados deu consentimento para o tratamento de seus dados pessoais para uma ou mais finalidades específicas
- O tratamento é necessário para a execução de um contrato do qual o titular dos dados é parte, ou para diligências pré-contratuais a pedido do titular
- O tratamento é necessário para o cumprimento de uma obrigação legal do controlador
- O tratamento é necessário para proteger interesses vitais do titular ou de outra pessoa natural
- O tratamento é necessário para o desempenho de tarefa de interesse público ou no exercício de autoridade oficial atribuída ao controlador
- O tratamento é necessário para atender aos interesses legítimos do controlador ou de terceiros, salvo quando prevalecerem os interesses ou direitos e liberdades fundamentais do titular, especialmente quando este for criança
De acordo com o GDPR, o consentimento do titular é apenas um dos seis requisitos legais para o tratamento de dados. Para obter o consentimento, é necessário que o titular conceda aprovação ativa - o consentimento deve ser expresso, não presumido.
Além disso, o consentimento deve ser documentado e o titular pode revogá-lo a qualquer momento. Para tratamento de dados de menores de 16 anos, exige-se consentimento dos pais ou responsáveis.
Notificação de vazamentos de dados (GDPR Capítulo 4, Artigo 33)
Em caso de vazamentos de dados pessoais, o controlador deve, sem demora injustificada e, quando possível, em até 72 horas após tomar conhecimento, notificar a autoridade supervisora competente, conforme o Artigo 55, salvo se o vazamento for improvável de resultar em risco aos direitos e liberdades das pessoas naturais. Caso a notificação não seja feita em até 72 horas, é necessário justificar o motivo do atraso.
O Artigo 4 (Capítulo 2) define vazamento de dados como "violação de segurança que leve à destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado a dados pessoais transmitidos, armazenados ou de outro modo tratados".
Vale ressaltar que o conceito de vazamento de dados no GDPR vai além de crimes cibernéticos, incluindo situações como compartilhamento de arquivos com terceiros, envio de e-mails confidenciais para destinatários errados ou acesso não autorizado a arquivos.
Proteção de dados desde a concepção e por padrão (Capítulo 4, Artigo 25)
No momento do tratamento, devem ser implementadas medidas técnicas e organizacionais apropriadas, como a pseudonimização, para garantir a aplicação efetiva dos princípios de proteção de dados, como a minimização, e integrar salvaguardas necessárias ao processo.
Avaliação de impacto à proteção de dados (Capítulo 4, Artigo 35)
Quando um tipo de tratamento, especialmente com uso de novas tecnologias e considerando a natureza, o alcance, o contexto e as finalidades do tratamento, for suscetível de implicar alto risco aos direitos e liberdades das pessoas naturais, o controlador deve, antes do início do tratamento, realizar uma avaliação de impacto sobre a proteção de dados pessoais.
Segundo o GDPR, a avaliação de impacto é obrigatória nos seguintes casos:
- Avaliação sistemática e abrangente de aspectos pessoais de pessoas naturais, baseada em tratamento automatizado, incluindo a definição de perfis, quando decisões tomadas produzem efeitos legais ou impactam significativamente o titular.
- Tratamento em larga escala de categorias especiais de dados, conforme o Artigo 9(1), ou de dados pessoais relacionados a condenações e infrações penais, conforme o Artigo 10.
- Monitoramento sistemático, em grande escala, de áreas de acesso público.
Transferências de dados (GDPR Capítulo 5, Artigo 44)
Qualquer transferência de dados pessoais em processamento, ou destinada a ser processada após a transferência para um terceiro país ou organização internacional, só poderá ocorrer se, além das demais disposições deste Regulamento, forem atendidas as condições estabelecidas neste Capítulo pelo controlador e pelo operador, inclusive para transferências subsequentes de dados pessoais desse terceiro país ou organização internacional para outro terceiro país ou organização internacional.
As regras para transferências de dados variam conforme o destino e a origem desses dados. Requisitos adicionais do GDPR relacionados às transferências de dados estão detalhados nos Artigos 45, 46, 47 e 48, também integrantes do Capítulo 5.
Esses artigos tratam de tipos específicos de transferências e das proteções exigidas, incluindo transferências para países fora da UE. Encarregado de proteção de dados ou DPO (Capítulo 4, Artigos 37, 38 e 39) O Artigo 37 determina que o controlador e o operador devem nomear um encarregado de proteção de dados sempre que:
- o processamento for realizado por autoridade ou órgão público, exceto tribunais no exercício de suas funções judiciais;
- as atividades principais do controlador ou do operador consistirem em operações de processamento que, por sua natureza, escopo e/ou finalidade, exijam monitoramento regular e sistemático de titulares de dados em larga escala;
- ou as atividades principais do controlador ou do operador envolverem o processamento em larga escala de categorias especiais de dados, conforme o Artigo 9, ou dados pessoais relacionados a condenações e infrações criminais previstos no Artigo 10.
Os requisitos do GDPR para o DPO estão detalhados no Artigo 38. Um ponto fundamental desse artigo é que os titulares de dados podem contatar o encarregado de proteção de dados para tratar de todas as questões relacionadas ao processamento de seus dados pessoais e ao exercício de seus direitos previstos neste Regulamento.
As funções do DPO estão descritas no Artigo 39, incluindo:
- orientar a equipe sobre suas responsabilidades em proteção de dados
- informar a gestão sobre a necessidade de avaliações de impacto em proteção de dados (DPIAs)
- monitorar as políticas e procedimentos de proteção de dados da organização
- atuar como ponto de contato entre a organização, a autoridade supervisora e os indivíduos em assuntos de privacidade.
Conscientização e treinamento (Capítulo 4, Artigo 39)
Para monitorar o cumprimento deste Regulamento, das demais normas de proteção de dados da União ou dos Estados-Membros e das políticas do controlador ou operador, é necessário promover ações de conscientização e treinamento para todos os colaboradores envolvidos em operações de processamento.
Para atender às exigências do GDPR, as organizações devem garantir treinamentos completos, adaptados a cada função dentro da empresa. O treinamento em proteção de dados relacionado ao GDPR é obrigatório para todo funcionário que lida com informações confidenciais de cidadãos da UE.
Quem precisa cumprir os requisitos do Regulamento Geral de Proteção de Dados?
Os requisitos do GDPR se aplicam a todos os membros da União Europeia e do Espaço Econômico Europeu (EEE) que armazenam ou processam informações de cidadãos da UE, independentemente da localização dos sites ou residentes.
Dessa forma, as exigências abrangem qualquer organização com propriedades digitais acessadas por visitantes europeus, mesmo que cidadãos da UE não sejam o público-alvo. Além disso, mesmo que o cidadão da UE esteja visitando ou residindo em outro país, ainda assim é obrigatório cumprir o GDPR.
Os critérios para que as organizações estejam em conformidade com os requisitos do GDPR são os seguintes e abrangem diversas empresas:
- Presença em um país da União Europeia
- Ausência de presença na UE, mas processamento de dados pessoais de residentes europeus
- Mais de 250 funcionários
- Menos de 250 funcionários, mas o processamento de dados afeta os direitos e liberdades dos titulares, não é ocasional ou inclui determinados tipos de dados pessoais confidenciais
GDPR: controlador de dados vs. operador
As organizações sujeitas aos requisitos do GDPR se enquadram em duas categorias - ou, em alguns casos, em ambas. O Artigo 4º do GDPR define esses papéis como controlador de dados e operador de dados:
- Controlador: pessoa física ou jurídica, autoridade pública, agência ou outro organismo que, individualmente ou em conjunto com outros, determina as finalidades e os meios do tratamento de dados pessoais.
- Operador: pessoa física ou jurídica, autoridade pública, agência ou outro organismo que realiza o tratamento de dados pessoais em nome do controlador.
O papel do controlador de dados e o Regulamento Geral de Proteção de Dados
Controladores, sejam pessoas físicas ou jurídicas, são responsáveis por definir os motivos e a forma como os dados pessoais são tratados. Por exemplo, uma empresa que processa informações pessoais de um funcionário da União Europeia é considerada um controlador. Cabe a esses controladores garantir a conformidade com o GDPR aplicável ao tratamento de dados de cidadãos da UE.
Os controladores também têm a obrigação de demonstrar a conformidade com o GDPR aos titulares dos dados e às autoridades regulatórias. Isso envolve explicar os processos adotados para assegurar que o tratamento dos dados seja lícito, justo e transparente.
Os controladores de dados devem garantir a existência de mecanismos para eliminar dados pessoais quando não forem mais necessários, mantendo armazenado apenas o mínimo indispensável. Além disso, é fundamental implementar controles técnicos que protejam a integridade e a confidencialidade das informações pessoais.
O papel do operador de dados e o Regulamento Geral de Proteção de Dados
Operadores podem ser pessoas físicas ou jurídicas. Eles tratam dados pessoais em nome de um controlador. Frequentemente, são terceiros, como empresas de folha de pagamento ou provedores de software como serviço que armazenam informações pessoais de cidadãos da UE.
Os operadores devem cumprir as condições estabelecidas nos contratos de tratamento de dados definidos pelos controladores, incluindo regras relacionadas ao GDPR. De acordo com o GDPR, os controladores só podem contratar operadores que comprovem a capacidade de cumprir essas regras.
Isso exige demonstrar que possuem controles técnicos e organizacionais suficientes para atender aos padrões de segurança e privacidade exigidos no tratamento de dados pessoais de cidadãos da UE.
Leia também: O que é a Segurança de Dados e qual a sua importância
Requisitos do GDPR nos sete princípios do regulamento
O artigo 5º do capítulo dois do GDPR apresenta sete princípios que orientam o tratamento de dados pessoais.
- Licitude, lealdade e transparência: A licitude exige uma justificativa válida para o tratamento de dados pessoais. A lealdade garante que os titulares compreendam por que seus dados são tratados e que não sofrerão uso inadequado ou indevido. Já a transparência exige que as organizações sejam claras, abertas e honestas sobre quem são e o que fazem com os dados.
- Limitação de finalidade: O GDPR determina que os dados só podem ser coletados para finalidades específicas, explícitas e legítimas.
- Minimização de dados: O regulamento orienta que apenas as informações estritamente necessárias para atingir os objetivos sejam coletadas.
- Exatidão: Para cumprir o GDPR, as organizações devem zelar pela precisão dos dados pessoais coletados e armazenados, implementando mecanismos de verificação e correção para garantir sua integridade.
- Limitação de armazenamento: O período de retenção dos dados também é regulado. As organizações devem justificar a necessidade de armazenamento e o prazo definido.
- Integridade e confidencialidade: A proteção dos dados é responsabilidade da organização. Devem existir controles de segurança robustos para evitar acesso não autorizado, tratamento ilícito, danos acidentais, perdas ou destruição dos dados.
- Responsabilização: É obrigatório comprovar a conformidade com o GDPR e seus princípios. As organizações podem ser solicitadas a demonstrar essa conformidade a qualquer momento.
Requisitos do Regulamento Geral de Proteção de Dados sobre os direitos dos titulares
No capítulo três, são definidos os oito direitos dos indivíduos segundo o GDPR.
- Direito à Informação: direito de ser informado pelas organizações sobre como os dados são coletados, por quanto tempo serão armazenados e com quem serão compartilhados.
- Direito de Acesso: direito de ser informado sobre quais dados são coletados, como são armazenados, processados e utilizados.
- Direito de Retificação: direito de corrigir informações incompletas ou incorretas.
- Direito à Eliminação: direito de solicitar a exclusão permanente de registros com dados pessoais.
- Direito à Restrição de Processamento: direito de limitar o processamento de dados pessoais caso não possam ser excluídos.
- Direito à Portabilidade dos Dados: direito de obter e reutilizar seus dados pessoais, além de solicitar que as organizações enviem essas informações a terceiros.
- Direito de Oposição: direito de se opor ao processamento dos dados pessoais, embora as organizações possam superar essa oposição em algumas situações.
- Direito de Não Ser Submetido à Decisão Automatizada: direito de negar o uso de algoritmos para decisões e de optar por não participar de decisões automatizadas.
Proteção de dados para conformidade com o GDPR
De acordo com as exigências do GDPR, as empresas devem adotar proteções de privacidade para informações de identificação pessoal (PII) referentes a qualquer cidadão da União Europeia com quem mantenham relação - incluindo funcionários, clientes e fornecedores terceirizados.
Compreendendo informações de identificação pessoal e conformidade com o GDPR
Quase todas as interações com organizações envolvem o compartilhamento de dados pessoais. Em muitos casos, informações isoladas não são suficientes para identificar uma pessoa, como:
- Data de nascimento
- Informações educacionais
- Endereço de e-mail
- Informações de emprego
- Informações financeiras
- Indicadores geográficos
- Endereço postal
- Informações médicas
- Local de nascimento
- Raça
- Religião
- Número de telefone
No entanto, quando agrupados, esses dados pessoais podem identificar uma pessoa específica e se transformar em informações de identificação pessoal (PII). Exemplos de PII incluem:
- Dados biométricos: exames de retina, assinaturas de voz ou geometria facial
- Nome: nome completo, nome de solteira, nome de solteira da mãe ou apelido
- Informações de endereço pessoal: endereço físico ou endereço de e-mail
- Características pessoais: imagens fotográficas (principalmente do rosto ou de outras características identificáveis), impressões digitais ou escrita manual
- Números de identificação pessoal: número do Seguro Social (SSN), número de passaporte, número da carteira de motorista, número de identificação fiscal, número de identificação de paciente, número de conta bancária ou número de cartão de crédito
- Números de telefone pessoais
Requisitos do GDPR para proteção de dados
Para estar em conformidade com o GDPR, as empresas devem adotar proteções de dados e privacidade para informações pessoais identificáveis (PII) relacionadas a qualquer cidadão da União Europeia com quem se relacionem, incluindo funcionários, clientes e fornecedores terceirizados.
Conforme o Artigo 32 do Regulamento Geral de Proteção de Dados (GDPR), os Controladores e Operadores de Dados devem implementar medidas técnicas e organizacionais que garantam um nível de segurança adequado ao risco decorrente do tratamento de dados pessoais. Isso inclui estabelecer sistemas e processos que assegurem a confidencialidade, integridade, disponibilidade e resiliência dos sistemas e serviços de processamento.
Ferramentas para atender aos requisitos de proteção de dados do GDPR
Diversas tecnologias podem ser utilizadas para apoiar os esforços de conformidade com o GDPR. Entre as ferramentas mais utilizadas para atender aos requisitos de proteção de dados do regulamento, destacam-se as seguintes:
Ferramentas de mapeamento e descoberta de dados
Para garantir a proteção de todos os dados abrangidos pelo GDPR, essas ferramentas identificam e documentam o fluxo de dados pessoais na organização. Elas oferecem uma visualização clara de onde os dados são armazenados, processados e transferidos, facilitando avaliações de risco e atendendo solicitações de acesso dos titulares (DSARs).
Ferramentas de criptografia
Utilizam algoritmos específicos para transformar dados legíveis em um formato ilegível, que só pode ser revertido com uma chave de descriptografia. Assim, reduzem o risco de comprometimento de dados confidenciais ou PII durante o processamento, já que o conteúdo criptografado permanece inacessível para pessoas não autorizadas. A criptografia protege tanto dados armazenados quanto em trânsito.
Ferramentas de classificação de dados
Identificam, rotulam e categorizam os dados conforme sua confidencialidade e relevância. Isso direciona a aplicação de controles de segurança e gerenciamento de acesso apropriados, auxiliando no cumprimento dos requisitos do GDPR relacionados à gestão e mitigação de riscos.
Ferramentas de gerenciamento de identidade e acesso
O controle e o monitoramento do acesso a dados pessoais são essenciais para garantir a conformidade com o GDPR. Ferramentas de gerenciamento de identidade e acesso administram o acesso dos usuários a sistemas e dados, assegurando que apenas pessoas autorizadas possam acessar informações confidenciais.
Elas fornecem autenticação, autorização e gerenciamento do ciclo de vida dos usuários, prevenindo acessos não autorizados a informações pessoais identificáveis (PII) e incidentes de vazamento.
Ferramentas de mascaramento e anonimização de dados
Atendem ao requisito de “pseudonimização” do GDPR. Essas soluções substituem informações reais por dados fictícios que mantêm o formato e a funcionalidade dos dados legítimos. Por exemplo, números de previdência social ou cartões de crédito podem ser mascarados, mantendo o padrão necessário para processamento sem expor informações confidenciais.
Como garantir a conformidade com os requisitos do GDPR: dicas e benefícios
O amplo alcance e as penalidades rigorosas (ou seja, €20 milhões ou 4% do faturamento anual global) associadas ao descumprimento do GDPR exigem atenção. A seguir, destacamos algumas práticas recomendadas para atender aos requisitos do GDPR.
Avalie os aplicativos móveis quanto à conformidade com os requisitos do GDPR
Com muitos colaboradores acessando e armazenando PII em dispositivos móveis, é fundamental garantir que esses aplicativos e dispositivos estejam em conformidade com o GDPR.
Realize avaliações periódicas da estratégia de gerenciamento de riscos
Diante de mudanças organizacionais e operacionais constantes, é essencial monitorar quais dados de cidadãos da UE são armazenados e processados, bem como os riscos associados. Medidas de mitigação e reparação devem ser consideradas como parte dessas avaliações, com atenção especial para instâncias de shadow IT que coletam e armazenam PII.
Desenvolva e mantenha um plano de proteção de dados alinhado aos requisitos do GDPR
Caso ainda não exista um plano, sua elaboração deve ser prioridade máxima. Para organizações que já possuem um plano, revise-o regularmente para garantir aderência às exigências do GDPR e ajuste-o conforme mudanças e atualizações na regulamentação.
Estimule o senso de urgência junto à alta direção
O envolvimento da liderança executiva na priorização da conformidade com o GDPR assegura que o tema permaneça em destaque em toda a organização.
Contrate ou designe um DPO, caso a função ainda não tenha sido preenchida
Embora o GDPR não exija explicitamente um DPO em posição exclusiva, é estratégico contar com alguém dedicado a essa função. Como o GDPR permite que um DPO atue em múltiplas organizações, é possível contratar um consultor em regime parcial.
Envolva todos os stakeholders
É comum considerar que os requisitos do GDPR sejam uma responsabilidade exclusiva de TI - o que não é verdade. A área de TI, isoladamente, não está preparada para garantir a conformidade. Diversos setores da organização coletam, analisam ou utilizam PII de clientes, como marketing, finanças, vendas e operações.
Monitore sistemas e processos para garantir o cumprimento dos requisitos do GDPR
O monitoramento contínuo é indispensável para assegurar a conformidade.
Teste os planos de resposta a incidentes relacionados a dados
Entre as exigências do GDPR está a obrigação de reportar vazamentos de dados em até 72 horas após a ciência do incidente. Um plano de resposta bem estruturado, testado e validado periodicamente é fundamental para cumprir essa exigência e mitigar danos.
Embora demande tempo, toda organização sujeita ao GDPR deve investir em sistemas e processos para garantir a conformidade. Os benefícios vão além do simples cumprimento da norma. Muitos dos requisitos do GDPR contribuem para elevar o nível de segurança e fortalecer a percepção da marca, aumentando a confiança dos consumidores.
Perguntas frequentes
Quais são os requisitos do GDPR?
Para alcançar e manter a conformidade, as organizações devem seguir uma série de regras estabelecidas pelo GDPR. Os principais requisitos aplicáveis às empresas sujeitas a essa regulamentação são os seguintes:
- Dados pessoais só podem ser utilizados para fins legítimos. Além disso, as organizações devem informar os titulares sobre o uso de seus dados pessoais.
- O tratamento de dados pessoais deve ocorrer apenas para o motivo declarado e os dados devem ser eliminados quando não forem mais necessários.
- Os onze direitos dos titulares de dados precisam ser protegidos.
- É obrigatório atender a um dos seis requisitos legais para o consentimento do titular, e esse consentimento deve ser devidamente documentado.
- Vazamentos de dados devem ser comunicados em até 72 horas após a organização tomar conhecimento do incidente.
- A privacidade e a proteção de dados devem ser consideradas desde o início do processamento.
- Avaliações de impacto à proteção de dados são obrigatórias quando houver “alto risco aos direitos e liberdades” de cidadãos da UE.
- A transferência de dados para processamento em “um terceiro país ou organização internacional” só pode ocorrer se estiver em conformidade com as demais exigências do GDPR.
- Controladores e operadores de dados devem designar um encarregado de proteção de dados nos casos específicos previstos pelo GDPR.
Todos os colaboradores que lidam com informações pessoais de cidadãos da UE devem receber treinamento e conscientização sobre proteção de dados.
As exigências do GDPR se aplicam a cidadãos da UE que estejam fora da União Europeia?
Sim, as informações pessoais de todos os cidadãos da UE estão sujeitas ao GDPR, independentemente de estarem dentro ou fora do território europeu.
Quais organizações estão sujeitas ao GDPR?
Qualquer organização que trate dados pessoais de cidadãos da UE deve cumprir o GDPR, sob risco de penalidades. Isso inclui organizações de todos os tipos - com fins lucrativos, sem fins lucrativos e do setor público.
