GDPR da UE

As multas podem chegar a 4% do faturamento global anual por violação do GDPR ou €20 milhões. Esta é a multa máxima que pode ser imposta para as infrações mais graves, por exemplo, não ter consentimento suficiente do cliente para processar dados ou violar o núcleo dos conceitos de "Privacidade por Design".

Dados pessoais são quaisquer informações que possam ser usadas para identificar diretamente ou indiretamente a pessoa, como nome, foto, endereço de e-mail, detalhes bancários, postagens em redes sociais, informações médicas ou um endereço IP de computador.

O consentimento deve ser dado de forma inteligível e facilmente acessível, com o propósito do processamento de dados anexado a esse consentimento. Deve ser inequívoco, prontamente identificável e usar uma linguagem clear e facilmente compreensível. Também deve ser tão fácil retirar o consentimento quanto é dar. Ao processar dados pessoais sensíveis, nada menos que "opt-in" será suficiente.

Se o titular dos dados tiver menos de 16 anos, será necessário o consentimento dos pais para processar os dados pessoais da criança. Os estados membros podem reduzir a idade de consentimento dos pais, mas não inferior a 13 anos.

Os DPOs devem ser designados no caso de (a) autoridades públicas, (b) organizações que se envolvem em monitoramento sistemático em grande escala ou big data, ou (c) organizações que participam do processamento em massa de dados pessoais sensíveis (Art. 37). Se sua organização não se encaixa em uma dessas categorias, então você não precisa designar um DPO.

Notificação de violação

Sob o GDPR, a notificação de violação se tornará obrigatória em todos os estados membros onde uma violação de dados provavelmente resultará em um risco para os direitos e liberdades das pessoas. A notificação deve ocorrer dentro de 72 horas após a tomada de conhecimento da violação. Os processadores de dados também serão obrigados a notificar os controladores "sem demora" após tomarem conhecimento de uma violação de dados.

Direito de acesso

Os titulares de dados têm direito a obter confirmação do controlador de dados se os dados pessoais relativos a eles foram processados, onde e para que finalidade. O controlador de dados deve fornecer uma cópia dos dados pessoais, gratuitamente, em formato eletrônico.

Direito ao esquecimento

Conhecido como apagamento de dados, o direito ao esquecimento permite que o titular de dados faça com que o controlador de dados apague seus dados pessoais, cesse a disseminação adicional dos dados e possivelmente faça com que terceiros interrompam o processamento dos dados. Os dados não devem mais ser relevantes para os propósitos originais de processamento ou um titular de dados retire o consentimento. Também deve ser observado que esse direito exige que os controladores comparem os direitos do sujeito com "o interesse público na disponibilidade dos dados" ao considerar tais solicitações.

Portabilidade de dados

O titular de dados pode receber os dados pessoais relativos a eles, que foram fornecidos anteriormente em um formato "comum e legível por máquina" e tem o direito de transmitir esses dados para outro controlador.

Privacidade por design

A privacidade de dados deve estar no cerne dos sistemas tecnológicos que os controladores e processadores usam para gerenciar as informações dos titulares de dados, não apenas um complemento.

As informações que devem ser disponibilizadas a um titular de dados quando os dados são coletados foram definidas de forma aguda e incluem:

• A identidade e os detalhes de contato do controlador e do DPO
• Os propósitos do processamento, para os quais os dados pessoais são destinados
• A base legal do processamento
• Quando aplicável, os interesses legítimos perseguidos pelo controlador ou por um terceiro
• Quando aplicável, os destinatários ou categorias de destinatários dos dados pessoais
• O período pelo qual os dados pessoais serão armazenados, ou se isso não for possível, os critérios usados para determinar esse período
• A existência do direito de acesso, retificação ou exclusão dos dados pessoais
• O direito à portabilidade dos dados
• O direito de retirar o consentimento a qualquer momento
• O direito de apresentar uma reclamação a uma autoridade supervisora

Importante, quando os dados não foram obtidos diretamente do titular dos dados (talvez usando uma lista de terceiros), a lista varia e inclui de qual fonte os dados pessoais se originam:

• A existência de qualquer perfil e informações significativas sobre a lógica envolvida, bem como a importância e as consequências previstas de tal processamento para o titular de dados.
• O GDPR representa um problema significativo para os profissionais de marketing que obtêm dados de listas de terceiros.

1. Coloque um plano proativo em prática para a conformidade com o GDPR.
2. Revise avisos e políticas de privacidade e certifique-se de que atendam aos níveis de conformidade do GDPR.
3. Prepare um plano em caso de violação de segurança.
4. Audite seus consentimentos.
5. Torne os consentimentos de marketing opt-in.
6. Revise a parte de interesse legítimo da diretiva com seu conselheiro jurídico para garantir que cubra sua organização para o uso dos dados do comprador para processar e gerenciar o pedido.
7. Torne sua linguagem de consentimento fácil de encontrar e ler sobre o uso de dados pessoais.
8. Crie um plano de ação para solicitações de titulares de dados à sua organização para o uso de seus dados.
9. Torne-se responsável por sua conformidade.
10. Treine seus funcionários.
11. Tenha processos clear estabelecidos, por escrito e auditados.
12. Nomeie um DPO quando necessário.
13. Certifique-se de que seus parceiros controladores/processadores estejam em conformidade.

O GDPR se aplica a organizações, controladores e processadores localizados dentro e fora da UE, que oferecem bens ou serviços a titulares de dados da UE. O GDPR também se aplica a organizações, como organizações de marketing ou aquelas que fornecem ou usam dados que monitoram o comportamento de sujeitos da UE.

Um controlador determina os propósitos, condições e meios para o processamento de dados pessoais, enquanto o processador processa os dados pessoais em nome do controlador.