O Regulamento Geral de Proteção de Dados da União Europeia (GDPR) e a Lei de Privacidade do Consumidor da Califórnia (CCPA) estão entre as leis de privacidade de dados mais abrangentes e conhecidas. Ambas inspiraram outros marcos legais de proteção de dados e privacidade dos usuários. E, embora cumprir uma delas já aproxime do cumprimento da outra, as duas diferem em implementação técnica, abrangência e fiscalização.
Para equipes internas de TI e provedores de serviços gerenciados (MSPs), alcançar e manter a conformidade com esses marcos legais pode ser um grande desafio. Comparar CCPA vs GDPR ajuda a entender cada uma delas (assim como outras leis internacionais que protegem os direitos dos usuários sobre seus dados) e a implementar os processos e as tecnologias necessários para atender aos requisitos.
O que são GDPR e CCPA e por que importam
O GDPR (em vigor desde 2018) e a CCPA (sancionada em 2020) garantem aos usuários determinados direitos sobre seus dados privados e definem como as organizações, incluindo as equipes técnicas que cuidam da infraestrutura de TI, devem proteger esses dados e oferecer os mecanismos para que os usuários exerçam tais direitos.
De modo geral, esses direitos incluem a possibilidade de solicitar a correção e a exclusão dos dados, além de impedir que sejam transferidos a terceiros sem consentimento. Não atender a essas solicitações pode gerar penalidades legais significativas nas duas leis, o que torna a conformidade essencial para qualquer empresa que atue na UE ou na Califórnia, dois dos maiores mercados de serviços digitais.
Qual é a diferença entre a conformidade com o GDPR e com a CCPA
GDPR e CCPA são dois marcos legais distintos, que se aplicam a jurisdições diferentes e têm exigências próprias. Apesar de objetivos parecidos, variam em requisitos de conformidade, abrangência, definições e nos direitos que concedem.
Toda organização que planeja sua conformidade legal (inclusive com a CCPA e o GDPR) deve consultar diretamente as fontes legais oficiais dessas leis (veja aqui o GDPR e aqui a CCPA) e buscar especialistas jurídicos do seu setor. Depender de interpretações de terceiros pode levar a descumprimentos acidentais.
CCPA vs GDPR: abrangência e aplicabilidade
A tabela abaixo resume a abrangência e a aplicabilidade da CCPA e do GDPR. Vale lembrar: é uma boa prática que organizações fora dos limites de cobertura dessas leis de privacidade as cumpram mesmo assim. Assim, conseguem atuar como parceiras de empresas que precisam dessa conformidade e já estarão em conformidade quando chegar a hora de crescer.
| Aspecto | CCPA (Califórnia) | GDPR (União Europeia) |
|---|---|---|
| Quem precisa cumprir? | Organizações que tratam informações pessoais de residentes da Califórnia | Organizações que tratam informações pessoais de residentes de qualquer país da União Europeia (UE) |
| Que tipo de empresa precisa estar em conformidade? | Empresas com fins lucrativos que atingem os limites | Todas as organizações que tratam dados pessoais |
| Limites | Mais de US$ 25 milhões em receita ou tratamento de dados pessoais de mais de 100.000 residentes por ano | Aplica-se pela atividade, e não por limites |
| Quem fiscaliza a lei? | California Privacy Protection Agency (CPPA) | Autoridades nacionais de proteção de dados (DPAs) |
Lembre-se: é preciso cumprir a CCPA e o GDPR independentemente de onde a empresa esteja. O que importa é onde está o usuário a quem os dados se referem, não onde a empresa opera.
Quais dados pessoais preciso proteger sob a CCPA e o GDPR
Cada marco legal define “dados pessoais” de um jeito. Como isso muda o que é considerado dado pessoal, muda também a forma de tratar, armazenar e proteger esses dados conforme a localização dos usuários.
| Critério | CCPA | GDPR |
|---|---|---|
| Informações pessoais | Informações que identificam um consumidor ou domicílio específico | Qualquer dado capaz de identificar uma pessoa |
| Dados especiais/sensíveis (que exigem proteção adicional) | Ampliados pela CPRA para incluir dados como escolaridade, localização e emprego) | Categorias especiais incluem dados de saúde, políticos, biométricos e religiosos |
Identificar informações de identificação pessoal (PII) nos dados armazenados exige ferramentas de descoberta de dados que funcionem com dados estruturados e não estruturados. Assim, quando um usuário pede a supressão ou a correção de uma informação, é possível localizar e atualizar todas as ocorrências dela.
Direitos de consumidores e titulares sob a CCPA e o GDPR
A CCPA protege os direitos do “consumidor”, ou seja, residentes da Califórnia que forneceram dados a empresas abrangidas pela lei. Já o GDPR protege os direitos dos “titulares”, qualquer residente de um país da UE, independentemente da nacionalidade.
Consumidores e titulares têm direitos diferentes em cada marco legal. Vale destacar que a CCPA adota um modelo de recusa (opt-out) para a maior parte do tratamento e do compartilhamento de dados (exceto para consumidores menores de 16 anos), enquanto o GDPR sempre exige que a organização obtenha o consentimento explícito do usuário para atividades específicas.
| Direito do consumidor/titular | CCPA | GDPR |
|---|---|---|
| Acesso para visualizar os próprios dados pessoais | Sim | Sim |
| Possibilidade de corrigir os dados | Sim (incluída pela CPRA) | Sim |
| Possibilidade de excluir os dados (direito ao esquecimento) | Limitada | Ampla, com exceções específicas, por exemplo, dados de saúde ou informações de interesse público |
| Portabilidade dos dados (transferência para outro controlador) | Sim | Sim |
| Recusa da venda/compartilhamento de dados | Opt-out | Não se aplica, pois o consentimento é necessário para aderir |
| Consentimento antes do tratamento | Em geral, implícito | Precisa ser explícito e específico |
CCPA vs GDPR: base legal para o tratamento
Na CCPA, não é preciso base legal para tratar dados pessoais (embora existam restrições), mas a empresa deve informar como esses dados serão usados e dar ao consumidor a chance de recusar. O GDPR só permite o tratamento com apoio em uma de seis bases definidas.
Isso muda a forma de lidar com dados sensíveis, sobretudo no caso de titulares cobertos pelo GDPR, já que a base legal ou o consentimento registrado de cada usuário e de seus dados precisa ser rastreado e armazenado.
Fiscalização e penalidades
A CCPA prevê multa máxima de US$ 2.500 por violação não intencional ou US$ 7.500 por violação intencional. As multas do GDPR vão de até € 10 milhões, ou 2% do faturamento anual, a € 20 milhões, ou 4% do faturamento anual, conforme a gravidade da infração. Por isso, empresas sujeitas à CCPA ou ao GDPR precisam documentar todas as políticas de proteção de dados e registrar todas as atividades, de modo a comprovar a conformidade.
Requisitos técnicos e controles
Proteger dados sensíveis exige algumas tecnologias essenciais, cobradas tanto pela CCPA quanto pelo GDPR:
- Controles de acesso aos dados: permissões baseadas em função, autenticação multifator (MFA), princípio do menor privilégio (PoLP)
- Criptografia: obrigatória para dados protegidos em trânsito e em repouso
- Registro de auditoria: obrigatório para atividades de acesso e tratamento de dados
- Acompanhamento de respostas a solicitações do titular (DSR)/solicitações de acesso do titular (SAR): 45 dias (CCPA), 30 dias (GDPR)
- Minimização de dados: obrigatória no GDPR, recomendada na CCPA
Várias ferramentas ajudam a montar uma infraestrutura de TI voltada à conformidade: Azure AD e Okta cuidam do gerenciamento de identidade e acesso para proteger dados; Microsoft Purview e Symantec DLP atuam na prevenção contra perda de dados; OneTrust e TrustArc são soluções populares de gerenciamento de consentimento; e DataGrail e Microsoft Compliance Center servem para automatizar DSRs.
GDPR e CCPA: um desafio constante para administradores de TI e MSPs
Sua responsabilidade pelos dados protegidos dos usuários não termina quando eles saem do seu controle: a responsabilidade permanece se houver compartilhamento com organizações que não tratam dados de forma responsável. Isso exige acordos de tratamento de dados (DPAs) que especifiquem exatamente como os dados dos usuários serão usados. Os usuários também precisam ser informados sobre qualquer compartilhamento de informações com terceiros, conforme esses acordos. E é obrigatório manter uma lista atualizada de todas as partes com quem há compartilhamento de dados.
As leis de privacidade também evoluem: as existentes são atualizadas e novos marcos surgem em países ou estados que antes não protegiam legalmente os dados dos usuários. Ou seja, é preciso avaliar continuamente quem são seus usuários, quais leis se aplicam a eles e se há novas exigências de conformidade para armazenar ou tratar seus dados.
A escolha das ferramentas é decisiva para a conformidade total: além de permitir que os usuários revisem ou excluam dados com facilidade, todos os dados precisam refletir essa mudança, inclusive os guardados em backups. A TI invisível é outro desafio, já que proteger dados fica difícil quando a equipe os envia a serviços de terceiros sem supervisão.
NinjaOne oferece uma plataforma completa para gerenciamento de TI, com backup para proteger dados, ferramentas de monitoramento para identificar uso indevido de informações e possíveis violações de segurança, além de integração com soluções de segurança de endpoint. NinjaOne reúne a supervisão de toda a infraestrutura e das operações de TI em uma única interface e traz recursos de automação para ajudar a manter a conformidade.
Converse hoje mesmo com alguém da equipe NinjaOne e descubra como podemos ajudar a alcançar a conformidade total em privacidade de dados.
