Como gerenciamos a GDPR
A UE GDPR é uma regulamentação abrangente de privacidade que foi implementada em 25 de maio de 2018. Fizemos atualizações em nossa tecnologia que não apenas gerenciam as iniciativas da GDPR, mas também vão além das fronteiras da UE para garantir um foco em privacidade para todos que utilizam Zonos.
Zonos oferece tecnologia de privacidade líder do setor para garantir que compradores e comerciantes tenham controle sobre seus dados e processos - atendendo ao quadro da UE GDPR.
Os objetivos do Zonos para o seu negócio continuam a ser:
- Ajudar você a decifrar a fronteira.
- Dar a você controle sobre a cadeia de suprimentos global.
- Apresentar uma experiência segura e fantástica para seus compradores internacionais.
Penalidades
As multas podem chegar a 4% do faturamento global anual por violar a GDPR ou €20 milhões. Esta é a multa máxima que pode ser imposta por infrações mais severas, por exemplo, não ter consentimento suficiente do cliente para processar dados ou violar o núcleo dos conceitos de “Privacidade por Design”.
Definição de dados pessoais
Dados pessoais são quaisquer informações que podem ser usadas para identificar direta ou indiretamente a pessoa, como um nome, uma foto, um endereço de e-mail, dados bancários, postagens em redes sociais, informações médicas ou um endereço IP de computador.
Consentimento
O consentimento deve ser dado de forma inteligível e facilmente acessível, com o propósito do processamento de dados anexado a esse consentimento. Deve ser inequívoco, prontamente identificável e usar clear e linguagem facilmente compreensível. Também deve ser tão fácil retirar o consentimento quanto é dá-lo. Ao processar dados pessoais sensíveis, nada menos que “opt-in” será suficiente.
Se o titular dos dados tiver menos de 16 anos, o consentimento dos pais será necessário para processar os dados pessoais da criança. Os estados membros podem reduzir a idade de consentimento dos pais, mas não abaixo da idade de 13 anos.
Oficiais de Proteção de Dados (DPOs)
Os DPOs devem ser nomeados no caso de (a) autoridades públicas, (b) organizações que realizam monitoramento sistemático em grande escala ou big data, ou (c) organizações que participam do processamento em massa de dados pessoais sensíveis (Art. 37). Se sua organização não se enquadrar em uma dessas categorias, então você não precisa nomear um DPO.
Direitos dos titulares de dados
Notificação de violação
Sob a GDPR, a notificação de violação se tornará obrigatória em todos os estados membros onde uma violação de dados provavelmente “resultará em um risco para os direitos e liberdades dos indivíduos.” A notificação deve ocorrer dentro de 72 horas após a tomada de conhecimento da violação. Os processadores de dados também serão obrigados a notificar os controladores “sem demora indevida” após tomarem conhecimento de uma violação de dados.
Direito de acesso
Os titulares de dados têm o direito de obter confirmação do controlador de dados sobre se os dados pessoais que os concernem foram processados, onde e para qual propósito. O controlador de dados deve fornecer uma cópia dos dados pessoais, gratuitamente, em um formato eletrônico.
Direito de ser esquecido
Conhecido como exclusão de dados, o direito de ser esquecido dá ao titular dos dados o direito de fazer com que o controlador de dados exclua seus dados pessoais, cesse a disseminação adicional dos dados e potencialmente faça com que terceiros interrompam o processamento dos dados. Os dados não devem mais ser relevantes para os propósitos originais de processamento ou o titular dos dados retira o consentimento. Também deve ser observado que este direito exige que os controladores comparem os direitos do titular aos “interesses públicos na disponibilidade dos dados” ao considerar tais solicitações.
Portabilidade de dados
O titular dos dados pode receber os dados pessoais que o concernem, que ele forneceu anteriormente em um “formato comumente usado e legível por máquina” e tem o direito de transmitir esses dados a outro controlador.
Privacidade por design
A privacidade dos dados deve estar no cerne dos sistemas tecnológicos que os controladores e processadores usam para gerenciar as informações dos titulares de dados, não apenas como um complemento.
Informações sobre o titular dos dados
As informações que devem ser disponibilizadas a um titular de dados quando os dados são coletados foram definidas de forma aguda e incluem:
- A identidade e os detalhes de contato do controlador e do DPO
- Os propósitos do processamento, para os quais os dados pessoais são destinados
- A base legal do processamento
- Quando aplicável, os interesses legítimos perseguidos pelo controlador ou por um terceiro
- Quando aplicável, os destinatários ou categorias de destinatários dos dados pessoais
- O período pelo qual os dados pessoais serão armazenados, ou se isso não for possível, os critérios usados para determinar esse período
- A existência do direito de acessar, retificar ou excluir os dados pessoais
- O direito à portabilidade de dados
- O direito de retirar o consentimento a qualquer momento
- O direito de apresentar uma reclamação a uma autoridade supervisora
Importante, onde os dados não foram obtidos diretamente do titular dos dados (talvez usando uma lista de terceiros), a lista varia e inclui de qual fonte os dados pessoais se originam:
- A existência de qualquer perfilagem e informações significativas sobre a lógica envolvida, bem como a importância e as consequências previstas de tal processamento para o titular dos dados.
- A GDPR representa um problema significativo para os profissionais de marketing que obtêm dados de listas de terceiros.
Interesse legítimo
O Artigo 6 da regulamentação GDPR afirma que um coletor de dados só pode processar dados legalmente se, entre outras coisas, tiver interesse legítimo ou consentimento. Determinar se você tem um interesse legítimo requer uma “avaliação cuidadosa” das expectativas e do contexto dos dados que você está coletando.
É tentador usar uma interpretação ampla de interesse legítimo para superar a necessidade de consentimento. Desencorajamos o uso de uma visão indefinida de interesse legítimo como uma forma de justificar a coleta de dados. A GDPR fornece alguns exemplos, como o processamento de dados pessoais para prevenir fraudes, propósitos administrativos internos relacionados a funcionários e clientes, segurança de rede e a notificação de possíveis atividades criminosas ou ameaças à segurança pública.
Ainda há uma área cinza em torno do interesse legítimo, e a definição se tornará mais evidente ao longo do tempo. A recomendação de curto prazo é adquirir o hábito de perguntar: “o mesmo objetivo pode ser alcançado sem processar dados pessoais?” Se a resposta for sim, então a melhor prática é afastar-se do interesse legítimo como base para o processamento de dados; você deve obter consentimento.
Recomendações
Zonos recomenda o seguinte para conformidade com a GDPR da UE:
Etapas para conformidade com o GDPR
- Coloque um plano proativo em prática para a conformidade com o GDPR.
- Revise avisos e políticas de privacidade e certifique-se de que atendam aos níveis de conformidade do GDPR.
- Prepare um plano em caso de violação de segurança.
- Audite seus consentimentos.
- Torne os consentimentos de marketing opt-in.
- Revise a parte de interesse legítimo da diretiva com seu conselheiro jurídico para garantir que cubra sua organização para o uso dos dados do comprador para processar e gerenciar o pedido.
- Torne sua linguagem de consentimento fácil de encontrar e ler sobre o uso de dados pessoais.
- Crie um plano de ação para solicitações de titulares de dados à sua organização para o uso de seus dados.
- Torne-se responsável por sua conformidade.
- Treine seus funcionários.
- Tenha processos clear estabelecidos, por escrito e auditados.
- Nomeie um DPO quando necessário.
- Certifique-se de que seus parceiros controladores/processadores estejam em conformidade.
Quem é afetado por isso?
O GDPR se aplica a organizações, controladores e processadores localizados dentro e fora da UE, que oferecem bens ou serviços a titulares de dados da UE. O GDPR também se aplica a organizações, como organizações de marketing ou aquelas que fornecem ou usam dados que monitoram o comportamento de sujeitos da UE.
Qual é a diferença entre um controlador e um processador?
Um controlador determina os propósitos, condições e meios para o processamento de dados pessoais, enquanto o processador processa os dados pessoais em nome do controlador.
UE GDPR
Saiba como Zonos gerencia a iniciativa da UE GDPR.A proteção de dados está se tornando vital no dia a dia dos negócios. Embora a iniciativa da Regulamentação Geral sobre a Proteção de Dados (GDPR) não seja a primeira iniciativa de privacidade no mercado, até hoje - tem sido a força motriz mais significativa na compreensão e gerenciamento dos dados dos indivíduos e seus direitos sobre os dados.
Para fazer a diferença e chamar a atenção, a UE permite que seus estados membros apliquem multas, que incluem uma penalidade máxima de até 4% do faturamento global anual por violar a GDPR ou €20 milhões. A diretiva também expressa o desejo de facilidade e uma “loja única” para administrar.