A lei europeia de privacidade de dados: GDPR

A privacidade de dados deixa de ser apenas um assunto de segurança da informação e ganhou relevância na agenda de muitas empresas.

Com a General Data Protection Regulation (GDPR), lei especifica para a garantia da privacidade que entra em vigor em 25 de maio deste ano, a comunidade europeia dará um importante passo no estabelecimento de regras claras. A lei descreve uma série de requisitos para a captura, manuseio e armazenamento de qualquer tipo de dado pessoal de cidadãos europeus em qualquer lugar do mundo.

As empresas europeias, assim como aquelas que fazem negócios na Europa ou têm clientes europeus, estão sujeitas à lei, cujas multas e sanções podem chegar a 20 milhões de euros ou até 4% do faturamento global da empresa que descumprir suas orientações. Dessa forma, a privacidade de dados deixou de ser apenas um assunto de segurança da informação e ganhou relevância na agenda de muitas empresas.

Diante disso, a maioria dos grandes provedores de serviços estão atualizando seus termos de prestação de serviços para incluir as cláusulas relativas à proteção de dados pessoais. Como alternativa, algumas empresas também estão movendo seus datacenters para a Europa, de forma a atender localmente os clientes da região.

Alguns países da América Latina, como a Argentina e Colômbia, já possuem leis de privacidade inspiradas no GDPR. No Brasil, há o projeto de Lei 5276/2016, que dispõe sobre o tratamento de dados pessoais de cidadãos brasileiros. Além disso, há também o projeto de Lei 2691/2016, que altera o Marco Civil da Internet – com referência ao GDPR, essa alteração proíbe o compartilhamento de dados pessoais de assinantes de internet.

As leis de privacidade incentivam as empresas a discutirem sobre a governança de suas informações. Com a evolução da capacidade de armazenamento, nos habituamos a reter uma grande quantidade de informações que, dependendo de seu conteúdo, pode colocar a empresa em situação de risco. Em 2017, muitas histórias sobre o vazamento de dados pessoais em grandes empresas vieram à tona. Algumas delas causadas por uma gestão deficiente da cybersegurança, outras por falhas de processo.

As empresas que já possuem uma gestão efetiva da segurança de suas informações estão mais preparadas em relação aos requisitos do GDPR. Alguns sistemas de gestão propostos por normas, como a ISO 27001, são efetivos para o atendimento de muitos requisitos da nova lei. Por isso, vale dizer: “É possível ter segurança da informação sem tratar da privacidade de dados. Mas não é possível ter privacidade de dados sem segurança da informação. ”