Pontos principais
- O GDPR regula o tratamento de dados pessoais de residentes na UE e vale no mundo todo para organizações que lidam com esses dados.
- Garante direitos de acesso, retificação, eliminação, portabilidade e oposição, que as organizações precisam respeitar.
- A notificação de violações é obrigatória e tem prazos rígidos.
- A conformidade exige bases legais, DPIAs e, em alguns casos, um DPO.
O Regulamento Geral sobre a Proteção de Dados (GDPR) é a estrutura de privacidade que serve de base na UE e protege os dados de uma pessoa, independentemente de onde esteja quem os trata. Embora seja essencial para as equipes de TI, as regras do GDPR podem parecer densas, o que justifica um glossário “amigável para técnicos” que facilite o dia a dia.
Termos e definições do GDPR
Das definições gerais às obrigações do controlador, veja os principais conceitos do GDPR para melhorar a governança de dados:
Definições centrais do GDPR
Dados pessoais
Qualquer informação relacionada a uma pessoa natural identificável, seja de forma direta (por exemplo, nome, e-mail, endereço IP etc.) ou indireta (por exemplo, ID de cookie, dados de localização etc.)
Tratamento
Coletar, armazenar, analisar ou excluir dados pessoais. O tratamento automatizado (por exemplo, profiling, pontuação por IA) também conta como tratamento.
Segundo a Comissão Europeia, o tratamento envolve “coleta, registro, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, uso, divulgação por transmissão [ou] disseminação” de dados pessoais.
Consentimento
Manifestação livre, específica, informada e inequívoca da vontade do titular dos dados. O consentimento precisa ser dado item a item, já que o consentimento agrupado viola as regras do GDPR.
Titular dos dados
Pessoa cujos dados são tratados de acordo com os sete princípios do GDPR.
Controlador de dados
Entidade que define por que e como os dados pessoais são tratados (por exemplo, uma empresa de e-commerce que decide como usar os dados dos clientes).
Operador de dados
Entidade que trata dados pessoais em nome do controlador (por exemplo, um provedor de nuvem que hospeda bancos de dados de clientes).
Direitos previstos no GDPR
Conheça os direitos mais importantes garantidos pelo GDPR:
- Direito de acesso: a pessoa pode solicitar uma cópia dos seus dados.
- Direito de retificação: dados pessoais incorretos precisam ser corrigidos.
- Direito de eliminação: os dados precisam ser excluídos em determinadas condições (por exemplo, retirada do consentimento).
- Direito à portabilidade dos dados: os dados precisam estar em um formato que computadores consigam processar (ou seja, “legível por máquina”).
- Direito de oposição: a pessoa pode contestar solicitações e tratamentos de dados.
Obrigações e funções
Encarregado de Proteção de Dados (DPO)
O DPO supervisiona a conformidade com o GDPR em organizações que usam ferramentas de monitoramento em larga escala ou tratam dados sensíveis (por exemplo, prontuários de saúde). Vale lembrar: nem toda organização precisa de um DPO.
Base legal para o tratamento
Para se aplicarem, as regras do GDPR exigem ao menos uma base legal:
- Consentimento
- Contrato
- Obrigação legal
- Interesses vitais
- Tarefa pública
- Interesses legítimos
Relatório de Impacto à Proteção de Dados (DPIA)
Avaliação e mitigação de tratamentos de alto risco por meio de uma plataforma de governança, risco e conformidade (GRC). O processo costuma seguir estas etapas:
- Abrir a ferramenta de gerenciamento de riscos (por exemplo, Archer, OneTrust).
- Documentar a atividade de tratamento.
- Avaliar os riscos para os titulares dos dados.
- Registrar as medidas de mitigação (por exemplo, criptografia, minimização etc.).
- Armazenar o DPIA para análise do regulador.
Violação de dados e notificação
Violação de dados pessoais
Incidente de segurança que resulta em acesso não autorizado, divulgação ou perda de dados.
Regra das 72 horas
Os controladores precisam notificar os reguladores em até 72 horas depois de tomar conhecimento de uma violação de dados.
Notificação aos titulares dos dados
Se a violação comprometer dados de consumidores, as pessoas afetadas precisam ser informadas.
Termos regulatórios e jurídicos
Autoridade de Controle (SA)
Regulador nacional ou regional (por exemplo, a Commission Nationale de l’Informatique et des Libertés, na França).
Categorias especiais de dados pessoais
Dados sensíveis que incluem, entre outros, informações biométricas, de saúde, raciais e políticas. Esse nível de dados exige padrões de proteção mais altos.
Decisão de adequação
Status concedido a um país fora da UE que confirma que seus padrões de proteção de dados atendem aos critérios.
Cláusulas Contratuais Padrão (SCCs)
Sem uma decisão de adequação, as SCCs são a alternativa jurídica para transferir dados para fora da UE.
Âmbito territorial (Artigo 3)
Regra que determina se uma empresa precisa operar sob o GDPR, não importa onde esteja.
Mitos comuns sobre o GDPR
O alcance do GDPR costuma ser mal compreendido, e isso gera problemas de conformidade. Veja os equívocos mais comuns das empresas de TI sobre as regras do GDPR.
O GDPR só vale para países da UE
Muita gente acha que apenas as empresas da União Europeia estão sujeitas ao GDPR, mas ele alcança qualquer organização que trate dados pessoais de residentes na UE — seja para vender produtos, prestar serviços ou rastrear comportamento.
Pequenas empresas estão isentas
O GDPR vale para organizações de todos os portes. Se tratam dados pessoais de residentes na UE, até as menores startups precisam cumprir as regras.
O consentimento é sempre obrigatório
Como já vimos, o consentimento é apenas uma das várias bases legais para a coleta de dados e não é o único requisito para tratar dados sob o GDPR.
Conformidade com o GDPR é assunto só do jurídico
O GDPR é um esforço conjunto e também exige que as áreas de tecnologia implementem salvaguardas técnicas como criptografia, controles de acesso, detecção de violações, controle de versões e mais.
🥷🏻| Encontre e isole endpoints comprometidos automaticamente, a partir de um painel centralizado.
Veja como NinjaOne simplifica o gerenciamento de TI.
Criptografar os dados já basta para estar em conformidade
Cifrar dados pessoais é essencial para a conformidade com o GDPR, mas a empresa inteira precisa adotar medidas proativas, como:
- Minimização de dados
- Matrizes de responsabilidade
- Notificação de violações
- Respeito aos direitos dos titulares
Excluir os dados sempre atende ao “direito ao esquecimento”
As organizações precisam ser minuciosas ao remover as informações de um titular dos seus sistemas. Isso significa verificar backups, apagar arquivos armazenados e coordenar a ação com operadores terceirizados.
A integração com NinjaOne simplifica os relatórios
NinjaOne oferece uma visão panorâmica da infraestrutura, com atualizações constantes sobre a saúde dos endpoints, o andamento dos patches, o status dos tickets e muito mais. Isso simplifica o primeiro passo da conformidade com o GDPR: a visibilidade.
| Aspecto | Com NinjaOne |
| Visibilidade e relatórios | Acompanha atualizações importantes, dispositivos e fluxos de tickets para dar visibilidade imediata |
| Gerenciamento de ativos | Monitora configurações e simplifica a documentação sobre titulares dos dados |
| Trilhas de auditoria | Automatiza o registro de atividades de usuários e eventos do sistema, gerando históricos verificáveis |
Entender o GDPR abre caminho para a conformidade
A estrutura jurídica do GDPR define como os dados de residentes na UE precisam ser tratados em qualquer lugar do mundo. Um glossário intuitivo ajuda os especialistas em TI a identificar o que precisa melhorar. E, com as ferramentas certas, dá para ter gerenciamento remoto e mais visibilidade rumo à conformidade total.
Temas relacionados:
