EU GDPR

As multas podem ascender a 4% do volume de negócios global anual por violação de GDPR ou 20 milhões de euros. Esta é a multa máxima que pode ser imposta para as infrações mais graves, por exemplo, não ter consentimento suficiente do cliente para processar dados ou violar o núcleo dos conceitos de “Privacidade desde a concepção”.

Dados pessoais são quaisquer informações que possam ser usadas para identificar direta ou indiretamente a pessoa, como nome, foto, endereço de e-mail, dados bancários, publicações em sites de redes sociais, informações médicas ou endereço IP de computador.

O consentimento deve ser dado de forma inteligível e facilmente acessível, com a finalidade do tratamento de dados associada a esse consentimento. Deve ser inequívoco, facilmente identificável e utilizar uma linguagem clara e facilmente compreensível. Também deve ser tão fácil retirar o consentimento quanto fornecê-lo. Ao processar dados pessoais sensíveis, nada menos que “opt-in” será suficiente.

Se o titular dos dados tiver menos de 16 anos, será necessário o consentimento dos pais para o tratamento dos dados pessoais da criança. Os Estados-Membros podem reduzir a idade de consentimento dos pais, mas não inferior aos 13 anos.

Os DPOs devem ser nomeados no caso de (a) autoridades públicas, (b) organizações que realizam monitoramento sistemático em grande escala ou de big data, ou (c) organizações que participam no processamento em massa de dados pessoais sensíveis (Art. 37). Se a sua organização não se enquadrar em nenhuma dessas categorias, não será necessário nomear um DPO.

Notificação de violação

Nos termos da GDPR, a notificação de violação tornar-se-á obrigatória em todos os Estados-Membros onde uma violação de dados possa “resultar num risco para os direitos e liberdades dos indivíduos”. A notificação deve acontecer dentro de 72 horas após o conhecimento da violação. Os processadores de dados também serão obrigados a notificar os controladores “sem demora injustificada” após tomarem conhecimento de uma violação de dados.

Direito de acesso

Os titulares dos dados têm o direito de obter do responsável pelo tratamento a confirmação sobre se os dados pessoais que lhes dizem respeito foram ou não tratados, onde e para que finalidade. O responsável pelo tratamento fornecerá uma cópia dos dados pessoais, gratuitamente, em formato eletrónico.

Direito de ser esquecido

Conhecido como eliminação de dados, o direito ao esquecimento confere ao titular dos dados o direito de que o responsável pelo tratamento apague os seus dados pessoais, interrompa a divulgação dos dados e, potencialmente, faça com que terceiros interrompam o processamento dos dados. Os dados não devem mais ser relevantes para as finalidades originais do processamento ou o titular dos dados retirará o consentimento. Deve-se notar também que este direito exige que os responsáveis ​​pelo tratamento comparem os direitos do titular com “o interesse público na disponibilidade dos dados” ao considerar tais pedidos.

Portabilidade de dados

O titular dos dados pode receber os dados pessoais que lhe digam respeito, que tenha previamente fornecido num “formato de uso corrente e legível por máquina” e tem o direito de transmitir esses dados a outro responsável pelo tratamento.

Privacidade desde a concepção

A privacidade dos dados deve estar no centro dos sistemas tecnológicos que os controladores e processadores usam para gerenciar as informações dos titulares dos dados, e não apenas um complemento.

As informações que devem ser disponibilizadas ao titular dos dados quando os dados são coletados foram claramente definidas e incluem:

• A identidade e os dados de contacto do responsável pelo tratamento e do DPO
• As finalidades do tratamento a que se destinam os dados pessoais
• A base jurídica do tratamento
• Se for caso disso, os interesses legítimos prosseguidos pelo responsável pelo tratamento ou por um terceiro
• Quando aplicável, os destinatários ou categorias de destinatários dos dados pessoais
• O período durante o qual os dados pessoais serão conservados, ou caso tal não seja possível, os critérios utilizados para determinar esse período
• A existência do direito de acesso, retificação ou apagamento dos dados pessoais
• O direito à portabilidade dos dados
• O direito de retirar o consentimento a qualquer momento
• O direito de apresentar uma reclamação a uma autoridade de supervisão

É importante ressaltar que quando os dados não foram obtidos diretamente do titular dos dados (talvez usando uma lista de terceiros), a lista varia e inclui a fonte de origem dos dados pessoais:

• A existência de qualquer perfil e informação significativa sobre a lógica envolvida, bem como a importância e as consequências previstas de tal tratamento para o titular dos dados.
• GDPR representa um problema significativo para os profissionais de marketing que obtêm dados de listas de terceiros.

O artigo 6.º do regulamento GDPR estabelece que um responsável pela recolha de dados só pode tratar dados licitamente se, entre outras coisas, tiver interesse ou consentimento legítimo. Determinar se você tem um interesse legítimo requer uma “avaliação cuidadosa” das expectativas e do contexto dos dados que você está coletando.

É tentador utilizar uma interpretação ampla do interesse legítimo para superar a necessidade de consentimento. Desencorajamos a utilização de uma visão aberta do interesse legítimo como forma de justificar a recolha de dados. GDPR fornece alguns exemplos, como o processamento de dados pessoais para prevenir fraudes, fins administrativos internos relativos a funcionários e clientes, segurança de rede e denúncia de possíveis atividades criminosas ou ameaças à segurança pública.

Ainda existe uma zona cinzenta em torno do interesse legítimo e a definição tornar-se-á mais evidente ao longo do tempo. A recomendação de curto prazo é adquirir o hábito de perguntar: “o mesmo objetivo pode ser alcançado sem o tratamento de dados pessoais?” Se a resposta for sim, então a melhor prática é afastar-se do interesse legítimo como base para o tratamento de dados; você deve obter consentimento.

1. Estabeleça um plano proativo para sua conformidade com GDPR.
2. Revise os avisos e políticas de privacidade e certifique-se de que atendam aos níveis de conformidade GDPR.
3. Prepare um plano em caso de violação de segurança.
4. Audite seus consentimentos.
5. Faça com que os consentimentos de marketing sejam aceitos.
6. Revise a parte de interesse legítimo da diretriz com seu consultor jurídico para garantir que ela cubra sua organização quanto ao uso dos dados do comprador para processar e gerenciar esse pedido.
7. Torne a linguagem do seu consentimento fácil de encontrar e ler sobre o uso de dados pessoais.
8. Crie um plano de ação para solicitações de titulares de dados à sua organização para uso de seus dados.
9. Torne-se responsável pela sua conformidade.
10. Treine seus funcionários.
11. Tenha processos claros em vigor, escritos e auditados.
12. Nomear um DPO quando necessário.
13. Certifique-se de que seus controladores/parceiros de processamento estejam em conformidade.

O GDPR aplica-se a organizações, controladores e processadores localizados dentro e fora da UE, que oferecem bens ou serviços aos titulares de dados da UE. O GDPR também se aplica a organizações, como organizações de marketing ou aquelas que fornecem ou usam dados que monitoram o comportamento dos titulares de dados da UE.

Um controlador determina as finalidades, condições e meios para o processamento de dados pessoais, enquanto o processador processa os dados pessoais em nome do controlador.