GDPR Readiness

A A Regulamentação Geral de Proteção de Dados (GDPR) entrará em vigor no dia 25 de maio de 2018 e envolverá todas as organizações que processam dados pessoais de residentes europeus. Em caso de falha no cumprimento de tal regulamento, as empresas podem enfrentar multas de até 20 milhões de euros ou 4% do seu faturamento anual em todo o mundo.

Assim, para minimizar e lidar com esse risco, a Cluster Reply identificou, em parceria com a Microsoft, uma boa prática capaz de garantir uma abordagem baseada em princípios para o gerenciamento da privacidade e segurança de dados pessoais. Esta boa prática tem o nome de “GDPR Readiness”.

Introdução

A Regulamentação Geral de Proteção de Dados (GDPR) é um regulamento relativo à privacidade que nasce como uma evolução da Diretiva de Proteção de Dados (DPD).

A DPD remonta a 1995 e exige que os Estados membros da UE desenvolvam leis capazes de cumprir rigorosas normas mínimas, levando em consideração o uso de computadores e dispositivos eletrônicos para o processamento de dados pessoais. Ao longo do tempo, no entanto, esta diretiva levou a várias desvantagens e inconsistências, tais como a impossibilidade de proteger os direitos e a privacidade dos investidores na constante marcha do progresso tecnológico. Portanto, para superar tais desvantagens, criou-se a GDPR.

Do ponto de vista das empresas e organizações, a GDPR representa uma verdadeira revolução, uma vez que implica na revisão e redefinição de todas as políticas e procedimentos organizacionais existentes, bem como a implementação de controles de segurança novos e adequados. Isso porque muitos requisitos obrigatórios novos foram introduzidos, tais como:

• Privacidade por padrão. As empresas devem minimizar a coleta de dados pessoais, excluir aqueles que não são mais necessários, restringir o acesso a dados e, em geral, garantir a segurança desses dados durante todo o seu ciclo de vida.
• Notificação de violação de dados. As empresas terão que notificar as autoridades de proteção de dados no prazo de 72 horas após a descoberta de uma violação de dados pessoais. Se os dados representarem um alto risco para os direitos e liberdades dos indivíduos, os sujeitos em questão também deverão ser notificados.
• Multas. Uma estrutura de penalidade em camadas foi definida e levará uma grande fatia do faturamento de quem não cumprir a regulamentação. Na verdade, infrações mais graves podem merecer uma multa de até 4% da receita global da empresa, no caso de violações de princípios básicos relacionados à segurança de dados. Uma multa menor de até 2% da receita global – ainda enorme – pode ser emitida se os registros da empresa não estiverem em ordem ou se uma autoridade de supervisão e as pessoas em questão não forem notificadas após uma violação.

Assim, a GDPR representa algo que toda organização deve levar em consideração e enfrentar de forma estruturada e bem definida. Somente dessa forma poderá superar esse desafio.

Aplicação

“GDPR Readiness” é a prática de segurança que a Cluster Reply e a Microsoft criaram para apoiar as organizações em sua busca pela conformidade. Baseada nas melhores tecnologias da Microsoft e na experiência da Cluster Reply em sua operação e configuração, permite que as empresas enfrentem e superem o desafio da GDPR.

O princípio na base desta prática consiste simplesmente em subdividir todo o processo de conformidade em quatro etapas-chave:

• Descobrir. As organizações devem identificar quais dados pessoais elas possuem e onde eles estão. De fato, o primeiro passo para o cumprimento da Regulamentação é avaliar continuamente se a GDPR se aplica e, em caso afirmativo, até que ponto.
• Gerenciar. Os dados pessoais pertencentes a uma determinada organização devem ser gerenciados de forma a definir claramente como eles são usados e acessados. A GDPR proporcionará aos indivíduos um maior controle sobre como seus dados são obtidos e processados. Eles podem, por exemplo, solicitar que uma organização compartilhe dados que se relacionam com eles, transferir seus dados para outros serviços, corrigir erros existentes ou restringir determinados dados de processamentos posteriores. Em algumas circunstâncias, também, esses pedidos devem ser realizados dentro de prazos fixos. Desta forma, torna-se fundamental que uma empresa defina e desenvolva um plano de governança de dados capaz de descrever políticas, funções, responsabilidades e procedimentos para o acesso, gerenciamento e uso de dados pessoais de modo a garantir que as práticas de tratamento de dados sejam compatíveis com as instruções da GDPR.
• Proteger. As empresas devem implementar controles de segurança para prevenir, detectar e responder a vulnerabilidades e violações de dados. A GDPR exige que as organizações tomem as medidas adequadas para proteger os dados pessoais de perda, acesso ou divulgação não autorizados.
• Gerar relatórios. As empresas devem executar as solicitações de dados, denunciar violações e manter a documentação necessária. A este respeito, a GDPR estabelece novos padrões de transparência, responsabilização e manutenção de registros. Uma organização terá que ser mais transparente não apenas sobre como ela lida com dados pessoais, mas também como ela mantém ativamente uma documentação que define processos e uso desses dados. As organizações que processam dados pessoais precisarão manter registros sobre as finalidades de processamento, as categorias de dados pessoais processados, a identidade de terceiros com quem os dados são compartilhados, se (e quais) países terceiros recebem dados pessoais e a base jurídica de tais transferências, medidas de segurança organizacionais e técnicas, além de, tempos de retenção de dados aplicáveis a vários conjuntos de dados.

Descobrir, gerenciar, proteger e gerar relatórios sobre os dados pessoais representam quatro atividades obrigatórias para responder adequadamente aos requisitos impostos pela GDPR. A prática “GDPR Readiness” aborda este problema e permite que as organizações simplifiquem seu processo de conformidade e estejam preparadas para proteger os direitos de seus clientes e parceiros.

Benefício

Conforme descrito acima, a prática de segurança “GDPR Readiness” é uma abordagem estruturada para a questão de estar em conformidade com a GDPR. Como tal, permite que as empresas estejam organizadas e preparadas diante de uma atividade tão fundamental.

Organização e preparação, no entanto, não são os únicos recursos disponíveis. Além disso, existem dois elementos essenciais: tecnologia Microsoft e o know-how da Cluster Reply.

Sendo uma empresa líder de TI, a Microsoft desenvolveu uma ampla experiência na proteção de dados, na defesa da privacidade e no cumprimento de regulamentos complexos. Seus produtos são projetados com medidas de segurança e políticas de privacidade líderes do setor para proteger os dados dos clientes, e seus serviços foram definidos para ajudar a atender os requisitos da GDPR.

Ao seu lado, e como Microsoft Gold Certified Partner, a Cluster Reply se destaca em adotar e operar esses produtos e serviços e, pela sua experiência de mais de dez anos, se distingue por ajudar os clientes a alcançar seus objetivos de negócios utilizando a tecnologia Microsoft.

Esta dupla vantagem será o verdadeiro condutor que levará os clientes ao sucesso e os ajudará a superar os temores causados pela GDPR.

Conclusão

Alcançar a conformidade com a Regulamentação Geral de Proteção de Dados requer a implementação de um grande conjunto de atividades diferentes, o que, por sua vez, implica a necessidade de um planejamento cuidadoso e exige uma expertise aprofundada.

Através da definição de um quadro bem estruturado e do conhecimento da tecnologia de ponta da Microsoft, a prática de segurança “GDPR Readiness” da Cluster Reply visa apoiar as organizações para não só enfrentar esse desafio, mas, principalmente, vencê-lo.

O propósito final subjacente à definição desta prática de segurança é ajudar os clientes a cumprir seus objetivos de política, pessoas, processos e tecnologia, e facilitar o seu percurso na GDPR.