GDPR e direitos dos titulares de dados

O Regulamento Geral sobre a Proteção de Dados (GDPR) é uma lei de privacidade da União Europeia que entrou em vigor em 25 de maio de 2018. Ele regulamenta como as organizações coletam, armazenam, processam e compartilham dados pessoais pertencentes a residentes da EU — independentemente de onde a própria organização esteja localizada. Uma empresa dos US que coleta dados de visitantes de sites da EU deve cumprir o GDPR. As violações podem resultar em penalidades de até €20 milhões ou 4% do faturamento anual global, o que for maior, tornando o GDPR uma das regulamentações de privacidade mais importantes do mundo.

O GDPR introduz uma terminologia específica. Dados pessoais são quaisquer informações relacionadas a uma pessoa física identificada ou identificável (titular dos dados). Um controlador de dados determina as finalidades e os meios do processamento — geralmente, a organização que coleta os dados. Um processador de dados processa dados em nome do controlador (provedores de nuvem, fornecedores de analytics). Processamento inclui qualquer operação realizada sobre dados pessoais: coleta, armazenamento, modificação, transferência ou exclusão. Compreender essas funções é fundamental, pois o GDPR atribui obrigações diferentes a controladores e processadores.

As organizações devem identificar uma base legal antes de processar dados pessoais. O GDPR define seis bases: Consent (concedido livremente, específico, informado e inequívoco); Contract (necessário para cumprir um contrato com o titular dos dados); Legal obligation (exigida por lei); Vital interests (proteção da vida de alguém); Public task (interesse público ou exercício de autoridade oficial); e Legitimate interests (ponderados em relação aos direitos do titular dos dados). O Consent deve atender a um padrão elevado — caixas pré-selecionadas não são válidas.

O Artigo 5 do GDPR estabelece sete princípios. Legalidade, equidade e transparência — os dados devem ser processados de forma legal e transparente. Limitação da finalidade — dados coletados para uma finalidade não podem ser reutilizados sem uma nova base legal. Minimização de dados — colete apenas o que for estritamente necessário. Exatidão — mantenha os dados atualizados. Limitação da retenção — não retenha os dados por mais tempo do que o necessário. Integridade e confidencialidade — aplique controles de segurança adequados. Responsabilização — as organizações devem ser capazes de demonstrar conformidade.

O GDPR concede aos indivíduos (titulares dos dados) vários direitos exigíveis. O direito de acesso (Artigo 15) permite que os indivíduos solicitem uma cópia de todos os dados pessoais que uma organização mantém sobre eles, juntamente com detalhes sobre as finalidades do processamento, os períodos de retenção e os destinatários terceiros. As organizações devem responder no prazo de um mês (prorrogável para três meses no caso de solicitações complexas). Esse direito é atendido por meio de um processo de Solicitação de Acesso do Titular (SAR), que a maioria das organizações em conformidade com o GDPR documenta em sua política de privacidade.

O direito ao apagamento ("direito de ser esquecido", Artigo 17) permite que os indivíduos solicitem a exclusão de seus dados quando eles não forem mais necessários, o Consent for retirado ou os dados tiverem sido processados ilegalmente. O direito à retificação (Artigo 16) permite que os indivíduos corrijam dados imprecisos ou incompletos. Nenhum dos dois direitos é absoluto — dados necessários para cumprir uma obrigação Legal ou defender reivindicações judiciais não precisam ser apagados. Esses direitos criam desafios significativos para a arquitetura de dados, especialmente em sistemas com bancos de dados replicados ou arquivados.

O direito à portabilidade dos dados (Artigo 20) permite que os indivíduos recebam seus dados pessoais em um formato estruturado e legível por máquina (JSON, CSV) e os transmitam a outro controlador — facilitando a troca de provedores de serviços. O direito de oposição (Artigo 21) permite que os indivíduos interrompam determinados processamentos, especialmente para marketing direto (que deve ser interrompido imediatamente após a oposição) ou para processamento baseado em interesses Legitimate (quando a organização deve demonstrar motivos convincentes para continuar).

O Artigo 33 do GDPR exige que as organizações notifiquem sua autoridade supervisora (autoridade nacional de proteção de dados, como o ICO do UK ou o BSI da Alemanha) no prazo de 72 horas após tomarem conhecimento de uma violação de dados pessoais que represente risco aos direitos dos indivíduos. Se for Likely que a violação resulte em alto risco para os indivíduos, os titulares dos dados afetados também devem ser notificados diretamente sem demora indevida (Artigo 34). Esse prazo de 72 horas é significativamente menor do que os prazos de notificação de violações previstos nas leis de muitos estados dos US.

O GDPR exige que determinadas organizações nomeiem um Encarregado da Proteção de Dados (DPO): autoridades públicas, organizações que processam dados sensíveis em grande escala (de saúde, biométricos ou criminais) ou aquelas que realizam monitoramento sistemático em grande escala (publicidade comportamental). O DPO deve ter conhecimento especializado da legislação de proteção de dados, ser independente (não pode ser punido por desempenhar suas funções de DPO) e atuar como principal ponto de contato com a autoridade supervisora. As organizações que não são obrigadas a nomear um DPO muitas vezes o fazem voluntariamente para demonstrar responsabilização.

O GDPR restringe a transferência de dados pessoais para países fora da EU/EEA, a menos que existam proteções adequadas. Decisões de adequação reconhecem países com níveis de proteção equivalentes (Japão, Canadá, UK após o Brexit e USA sob o EU-US Data Privacy Framework). Na ausência de uma decisão de adequação, as organizações usam Cláusulas Contratuais Padrão — contratos-modelo pré-aprovados — ou Regras Corporativas Vinculantes para transferências intragrupo dentro de multinacionais. Transferências internacionais de dados não autorizadas são uma fonte comum de ações de fiscalização relacionadas ao GDPR.

O GDPR tem dois níveis de multas administrativas. O Nível 1 (mais baixo): até €10 milhões ou 2% do faturamento anual global por violações como deixar de manter registros, falhas na notificação de violações ou acordos insuficientes com processadores de dados. O Nível 2 (mais alto): até €20 milhões ou 4% do faturamento anual global por violações fundamentais — processamento ilegal, ausência de base Legal ou violação dos direitos dos titulares dos dados. Entre as ações de fiscalização notáveis estão as multas aplicadas ao Google (€50 milhões), à Meta (€1,2 bilhão) e à Amazon (€746 milhões).

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) apresentados nesta lição.

Nesta lição, você aprendeu que: o GDPR regulamenta os dados pessoais de residentes da EU e se aplica globalmente, com multas de até 4% da receita global; os seis direitos dos titulares de dados incluem acesso, apagamento, retificação, portabilidade, oposição e restrição; e a notificação de violações em 72 horas às autoridades supervisoras é obrigatória para violações que representem risco aos direitos dos indivíduos. A seguir, exploraremos a HIPAA, a PCI-DSS e os requisitos de conformidade específicos de cada setor.