Quase todas as leis de privacidade de dados partem de um mesmo princ\u00edpio: a exig\u00eancia de adotar \u201cmedidas razo\u00e1veis\u201d para proteger dados pessoais durante a transmiss\u00e3o, o processamento e o armazenamento. Atender a isso exige tanto pol\u00edticas de prote\u00e7\u00e3o de dados quanto as tecnologias que as viabilizam.<\/p>\n
Este guia ajuda a aprimorar as estrat\u00e9gias de conformidade com CCPA e GDPR<\/strong> e lista as tecnologias e ferramentas normalmente adotadas por equipes internas de TI e por provedores de servi\u00e7os gerenciados (MSPs)<\/a> globais para proteger os dados pessoais que manipulam e atender a leis de privacidade como a California Consumer Privacy Act (CCPA) e o General Data Protection Regulation (GDPR).<\/p>\n CCPA<\/a> e GDPR<\/a> s\u00e3o duas leis de privacidade distintas, que protegem as informa\u00e7\u00f5es pessoais de residentes da Calif\u00f3rnia e da Uni\u00e3o Europeia, respectivamente. Embora tenham prop\u00f3sitos parecidos, h\u00e1 diferen\u00e7as importantes entre elas \u2014 mas ambas trazem a mesma exig\u00eancia: adotar determinadas medidas para proteger dados pessoais, ou informa\u00e7\u00f5es de identifica\u00e7\u00e3o pessoal (PII)<\/a>, com penalidades severas em caso de descumprimento.<\/p>\n Mesmo que sua empresa n\u00e3o esteja na UE, na Calif\u00f3rnia ou em outra regi\u00e3o com leis pr\u00f3prias de privacidade, ou n\u00e3o atinja os limites de faturamento e demais crit\u00e9rios que a vinculariam a elas, a conformidade costuma valer a pena: muitos marcos de privacidade se aplicam conforme o local onde est\u00e1 o titular dos dados protegidos, n\u00e3o onde est\u00e1 a empresa que os manipula. Ignorar essas leis tamb\u00e9m pode limitar a capacidade de trabalhar com outras empresas que precisam cumpri-las.<\/p>\n Al\u00e9m disso, ter pol\u00edticas, processos e infraestrutura preparados para atender a leis internacionais de privacidade como CCPA e GDPR significa que, quando a empresa estiver<\/em> pronta para crescer e escalar, o terreno j\u00e1 est\u00e1 preparado. Negligenciar as responsabilidades de prote\u00e7\u00e3o de dados ainda pode abalar a confian\u00e7a dos clientes.<\/p>\n Criar as pol\u00edticas que levar\u00e3o a empresa \u00e0 conformidade com leis internacionais de privacidade exige entender cada lei, o ambiente jur\u00eddico em que a empresa atua e a rela\u00e7\u00e3o com os usu\u00e1rios (incluindo quais dados s\u00e3o manipulados em nome deles e o conhecimento e consentimento sobre esse uso). Em geral, essas pol\u00edticas cobrem aspectos como classifica\u00e7\u00e3o, reten\u00e7\u00e3o e acesso aos dados.<\/p>\n Depois de criadas as pol\u00edticas que atendem \u00e0s exig\u00eancias legais aplic\u00e1veis, administradores de TI e provedores de servi\u00e7os gerenciados<\/a> s\u00e3o quem melhor pode coloc\u00e1-las em pr\u00e1tica e faz\u00ea-las valer, j\u00e1 que conhecem melhor onde e como esses dados s\u00e3o usados. Isso exige escolher ferramentas de TI com recursos que facilitem a conformidade, configurar esses softwares corretamente, orientar a equipe sobre suas responsabilidades e monitorar poss\u00edveis vazamentos ou condutas indevidas.<\/p>\n A chave de tudo isso \u00e9 a visibilidade<\/em>: \u00e9 preciso saber onde est\u00e1 cada dado relacionado a um titular (no local, na nuvem ou em um backup), para que possa ser recuperado, exclu\u00eddo, corrigido ou tratado conforme as leis de privacidade da regi\u00e3o dele.<\/p>\n Fazer tudo isso em v\u00e1rias jurisdi\u00e7\u00f5es e para diferentes tipos de dados pessoais (sobretudo quando h\u00e1 dados de sa\u00fade envolvidos) vira rapidamente um desafio t\u00e9cnico complexo \u2014 ainda mais para MSPs com clientes que atuam em mercados distintos e que, por sua vez, podem ter uma base global de clientes.<\/p>\n Estas s\u00e3o as categorias de tecnologia adotadas para atender a exig\u00eancias em constante mudan\u00e7a:<\/p>\n Cabe a voc\u00ea pesquisar e implementar ferramentas que atendam \u00e0s necessidades do neg\u00f3cio e \u00e0s suas responsabilidades legais. Na pr\u00e1tica, isso costuma significar combinar produtos de diferentes fornecedores (depois de fazer uma avalia\u00e7\u00e3o de risco de fornecedores<\/a> e firmar os acordos de prote\u00e7\u00e3o de dados pertinentes) para chegar a uma solu\u00e7\u00e3o sob medida e de bom custo-benef\u00edcio, integrada \u00e0s ferramentas e aos processos que j\u00e1 existem.<\/p>\n Para proteger todos os dados privados e conseguir localizar todas as c\u00f3pias dos dados de um titular quando ele pedir acesso ou atualiza\u00e7\u00e3o, esses dados precisam ser detect\u00e1veis. Eles podem estar em compartilhamentos de rede, e-mails, bancos de dados e plataformas SaaS (como CRMs ou sites de e-commerce).<\/p>\n Controlar tudo isso exige documentar como e onde os dados s\u00e3o usados e tamb\u00e9m usar ferramentas de descoberta e classifica\u00e7\u00e3o capazes de varrer identificadores (nomes, endere\u00e7os, n\u00fameros de documentos), marcar e classificar dados conforme finalidade e sensibilidade e se integrar a ferramentas de preven\u00e7\u00e3o contra perda de dados.<\/p>\n Entre as ferramentas para essa finalidade, est\u00e3o Microsoft Purview, OneTrust, BigID e Varonis.<\/p>\n Uma exig\u00eancia do GDPR, e uma recomenda\u00e7\u00e3o do CCPA, \u00e9 a minimiza\u00e7\u00e3o de dados: armazenar apenas o m\u00ednimo necess\u00e1rio para a atividade consentida reduz o volume de dados a proteger. Anonimiza\u00e7\u00e3o e pseudonimiza\u00e7\u00e3o tamb\u00e9m diminuem os riscos ligados \u00e0 sensibilidade dos dados.<\/p>\n O IAM re\u00fane os mecanismos de autentica\u00e7\u00e3o (quem \u00e9 a pessoa) e autoriza\u00e7\u00e3o (o que ela pode ver ou fazer) no acesso \u00e0 infraestrutura de TI e aos dados sens\u00edveis nela. O IAM deve se integrar ao conjunto de ferramentas de TI para oferecer controle de acesso baseado em fun\u00e7\u00e3o (RBAC)<\/a>, autentica\u00e7\u00e3o multifator (MFA)<\/a> e gerenciamento do ciclo de vida dos usu\u00e1rios (provisionamento e desprovisionamento conforme entram, saem ou mudam de fun\u00e7\u00e3o) em toda a infraestrutura local e na nuvem.<\/p>\n Entre as ferramentas populares dessa categoria, est\u00e3o Microsoft Entra ID (antigo Azure AD), Okta e Ping Identity.<\/p>\n Confian\u00e7a zero<\/a> e o princ\u00edpio do menor privil\u00e9gio (PoLP) s\u00e3o conceitos importantes a considerar na escolha e na implementa\u00e7\u00e3o da solu\u00e7\u00e3o de IAM.<\/p>\n As plataformas de DLP impedem que dados protegidos saiam do controle da organiza\u00e7\u00e3o, inspecionando e-mails enviados, transfer\u00eancias de arquivos e atividades na nuvem em busca de poss\u00edveis vazamentos. Se um vazamento em potencial \u00e9 detectado, a atividade pode ser bloqueada automaticamente e as partes interessadas, alertadas para que medidas sejam tomadas.<\/p>\n Microsoft Purview Data Loss Prevention, Forcepoint, Symantec DLP e Proofpoint est\u00e3o entre as plataformas de DLP mais usadas.<\/p>\n Cronogramas de reten\u00e7\u00e3o ajudam a aplicar a exclus\u00e3o autom\u00e1tica ao fim do ciclo de vida dos dados, reduzindo o volume que pode vazar e que precisa ser monitorado pelo DLP.<\/p>\n Dados criptografados com seguran\u00e7a n\u00e3o podem ser lidos por ningu\u00e9m sem a chave<\/a>, o que torna a criptografia indispens\u00e1vel em qualquer forma eficaz de prote\u00e7\u00e3o de dados. Ela \u00e9 especialmente relevante para dados na nuvem, pois mant\u00e9m sob seu controle quem pode l\u00ea-los.<\/p>\n Na pr\u00e1tica, as leis de privacidade determinam que os dados sejam criptografados em repouso (ou seja, quando armazenados em um disco r\u00edgido) e em tr\u00e2nsito (quando transmitidos de um dispositivo a outro, por exemplo do armazenamento local para a nuvem). H\u00e1 v\u00e1rios requisitos t\u00e9cnicos para isso, incluindo criptografia TLS<\/a> e AES<\/a>, compat\u00edvel com muitas solu\u00e7\u00f5es de armazenamento e rede.<\/p>\n Dados criptografados s\u00e3o t\u00e3o seguros quanto os segredos usados para proteg\u00ea-los, por isso ferramentas como AWS KMS, Azure Key Vault e Thales CipherTrust costumam ser usadas no gerenciamento de chaves.<\/p>\n Essas ferramentas facilitam a rota\u00e7\u00e3o peri\u00f3dica das chaves sem interromper o servi\u00e7o, o que ajuda a evitar vazamentos.<\/p>\n Os usu\u00e1rios precisam de um meio para consentir que a empresa colete e use seus dados, e esse consentimento precisa ser registrado para fins de conformidade.<\/p>\n Isso normalmente envolve uma interface para aderir ou recusar atividades de tratamento de dados e servi\u00e7os de back-end que capturam e registram esse consentimento. Na pr\u00e1tica, aparece nos conhecidos banners de cookies, pop-ups de consentimento de marketing e controles de privacidade nos perfis dos usu\u00e1rios.<\/p>\n Essa funcionalidade costuma ser implementada manualmente, mas plataformas como TrustArc, Cookiebot e OneTrust CMP a oferecem como servi\u00e7o, sem exigir muito trabalho de desenvolvimento e com atualiza\u00e7\u00f5es conforme as leis mudam.<\/p>\n Pelo GDPR e pelo CCPA, os usu\u00e1rios t\u00eam o direito de saber quais dados voc\u00ea tem sobre eles e pedir a atualiza\u00e7\u00e3o ou a exclus\u00e3o desses dados em todos os seus sistemas (inclusive quando est\u00e3o em v\u00e1rios locais e, em alguns casos, em backups antigos).<\/p>\n A automa\u00e7\u00e3o de DSR\/SAR consegue pesquisar v\u00e1rios sistemas para localizar dados de um titular e ajuda a responder dentro do prazo legal (30 dias no GDPR, 45 dias no CCPA). Solicita\u00e7\u00f5es e desfechos podem ser registrados para comprovar conformidade e auditar as respostas autom\u00e1ticas.<\/p>\n DataGrail, OneTrust e Microsoft Purview Compliance Manager cumprem esse papel.<\/p>\n \u00c9 preciso registrar a conformidade em documenta\u00e7\u00e3o e logs de auditoria para comprovar que as medidas t\u00e9cnicas e de processo exigidas para proteger os dados foram implementadas. Tamb\u00e9m \u00e9 necess\u00e1rio documentar poss\u00edveis viola\u00e7\u00f5es e garantir que quem pediu acesso ou corre\u00e7\u00e3o dos pr\u00f3prios dados recebeu a resposta adequada.<\/p>\n As ferramentas que documentam essa atividade devem acompanhar quem acessou dados protegidos, monitorar altera\u00e7\u00f5es de configura\u00e7\u00e3o e gerar relat\u00f3rios sobre respostas a DSRs, incidentes de DLP e consentimento dos usu\u00e1rios. Alguns dados (como e-mails) tamb\u00e9m podem precisar ficar em reten\u00e7\u00e3o legal ou ser preservados para investiga\u00e7\u00f5es, quando houver notifica\u00e7\u00e3o nesse sentido.<\/p>\n Entre as ferramentas para essas tarefas de relat\u00f3rio, est\u00e3o Splunk, Microsoft Defender for Cloud, Elastic SIEM e AuditBoard. Muitas plataformas e ferramentas tamb\u00e9m t\u00eam recursos pr\u00f3prios e configur\u00e1veis de reten\u00e7\u00e3o e registro de dados (por exemplo, reten\u00e7\u00f5es por lit\u00edgio em provedores de e-mail na nuvem, que impedem a exclus\u00e3o definitiva das mensagens).<\/p>\n A escolha das ferramentas \u00e9 decisiva, mas nenhuma ferramenta isolada coloca a empresa em conformidade imediata com CCPA, GDPR ou qualquer outra lei de privacidade. O melhor caminho \u00e9 comparar op\u00e7\u00f5es e escolher as que tenham recursos voltados diretamente \u00e0s necessidades dos seus usu\u00e1rios e \u00e0s pol\u00edticas criadas para atend\u00ea-las.<\/p>\n Isso reduz a carga sobre as equipes de TI e deixa tudo pronto para o crescimento futuro em novos territ\u00f3rios ou para a entrada em vigor de novas leis onde a empresa j\u00e1 atua.<\/p>\n NinjaOne oferece um conjunto de ferramentas de gerenciamento de TI em conformidade com GDPR e CCPA, dentro de uma plataforma completa para MSPs que inclui acesso remoto, backup, gerenciamento de endpoints e de dispositivos m\u00f3veis e portais de helpdesk. Tamb\u00e9m estamos em conformidade com HIPAA, ISO27001, NIS2 e outros marcos emergentes de privacidade e seguran\u00e7a de dados, e mantemos nossas plataformas atualizadas conforme surgem novas exig\u00eancias legais \u2014 veja aqui nossa vis\u00e3o geral completa de conformidade e confian\u00e7a<\/a>.<\/p>\nO que \u00e9 conformidade com GDPR e CCPA e por que ela \u00e9 necess\u00e1ria<\/h2>\n
O que \u00e9 preciso para garantir a conformidade com GDPR e CCPA<\/h2>\n
Principais categorias de tecnologia para conformidade em privacidade<\/h2>\n
\n
Descoberta e classifica\u00e7\u00e3o de dados<\/h2>\n
Gerenciamento de identidade e acesso (IAM)<\/h2>\n
Preven\u00e7\u00e3o contra perda de dados (DLP)<\/h2>\n
Criptografia e gerenciamento de chaves<\/h2>\n
Gerenciamento de consentimento e prefer\u00eancias<\/h2>\n
Automa\u00e7\u00e3o de solicita\u00e7\u00f5es de titulares (DSR\/SAR)<\/h2>\n
Logs, relat\u00f3rios e trilhas de auditoria<\/h2>\n
A conformidade come\u00e7a pelas ferramentas de gerenciamento de TI<\/h2>\n