Em uma sociedade digital, com redes sociais, interações virtuais de toda ordem, compras e transações financeiras online, a privacidade das informações pessoais se tornou crítica. Quem não se lembra de Edward Snowden, ex-funcionário da CIA e ex-contratado da NSA que divulgou documentos que mostraram ao mundo a abrangência dos programas de espionagem dos Estados Unidos e a violação da privacidade de cidadãos estrangeiros e americanos e de líderes de vários países.
A exposição e utilização de dados dos cidadãos, seja por empresas ou governos, têm sido debatidas no mundo todo. A União Europeia, por exemplo, aprovou o Regulamento Europeu de Proteção aos Dados Pessoais (GDPR – General Data Protection Regulation), que está em vigor, mas tem um período de dois anos para adaptação, que termina em 25 de maio de 2018. A norma obriga a implantação, por parte das empresas, de ferramentas de controle e procedimentos específicos para a gestão e proteção de dados de clientes e colaboradores. Segundo a GDPR ‘dados pessoais’ são todas as informações que permitem, direta ou indiretamente, a identificação de um indivíduo. Endereços IP, dados de localização e outros que identifiquem uma pessoa vão ser contemplados também.
A GPDR atinge empresas brasileiras?
De acordo com o Latam Sales and Business Development da Boldon James, Juan Carlos Cerrutti, a GDPR atingirá qualquer organização, incluindo instituições financeiras brasileiras, que coletam, processam, controlam, hospedam ou compartilham dados pessoais dos cidadãos da UE, em acordos com companhias europeias. “No cenário em que os dados coletados por uma instituição financeira da UE que terceiriza e compartilha informações pessoais com duas empresas brasileiras (uma para suporte técnico e a segunda para serviços relacionados com faturamento, por exemplo), ambas as empresas brasileiras teriam que cumprir as regras da GDPR,” avisa Cerruti.
O sócio do escritório Opice Blum, Bruno, Abrusio e Vainzof Advogados, Caio César Carvalho Lima, explica que as organizações nacionais que se enquadram num arranjo semelhante ao citado por Cerrutti geralmente assinam contrato já prevendo o respeito à GDPR. “Outras empresas não precisam estar em conformidade com o novo regulamento europeu devido ao princípio de soberania nacional,” assinala. Esse princípio consiste no poder que o Estado tem de impor a ordem no plano interno, no limite do seu território.
Proteção de dados pessoais no Brasil
Lima ressalta que no Brasil existem leis setoriais em vigor sobre privacidade e proteção de dados, como o Código de Defesa do Consumidor (protege as relações de consumo); Lei Geral de Telecomunicações (protege as relações envolvendo telecom); Lei do Cadastro Positivo (dispõe sobre a formação de bancos de dados de cadastro positivo). E o Marco Civil da Internet (protege o fluxo de dados pela internet) que dispõe, entre outros, sobre a necessidade de as companhias terem: regras internas de segurança da informação; criptografia nos bancos de dados e restrições para acesso e manipulação dos dados. . “Especificamente nos casos de bancos/corretoras é fundamental estar atento também às Resoluções e Circulares do BACEN e CVM acerca da questão, que já são várias,” acrescenta.
Além disso, três Projetos de Lei relevantes sobre o assunto tramitam no Congresso Nacional, com destaque para o PL 5.276/2016, com redação bastante semelhante à GDPR. Com isso, nós teremos uma Lei GERAL sobre privacidade, a qual contemplará indústrias de todos os setores. Caso o PL seja aprovado com a redação atual, as empresas terão apenas 180 dias para se adequar às diversas obrigações novas que serão trazidas. “Entre as novidades estão o consentimento diferenciado para o tratamento de dados sensíveis, incluindo dados biométricos; necessidade de observar regras específicas para transferências internacionais de dados; criação do cargo de Data Protection Officer nas companhias; notificação obrigatória para o caso de vazamento de dados pessoais, entre outros. As empresas precisam começar a se preparar bem antes para atender a essa regra,” alerta Lima.
Como atender à GDPR e outras normas?
Cerrutti recomenda usar uma abordagem centrada em dados para se preparar para a GDPR e, assim, garantir controle e proteção de maneira adequada, consistente e precisa. “A solução Data Classification da Boldon James envolve o uso de software para anexar marcações eletrônicas claras e consistentes a documentos, arquivos ou mensagens, identificando-os de forma adequada para indicar como eles devem ser armazenados, usados e compartilhados. Ao classificar os dados pessoais de acordo com sua relevância, as organizações reduzirão o risco de violações, dando foco na proteção nos dados críticos mais críticos do negócio,” enfatiza o executivo e acrescenta: “o ‘padrão-ouro’ na proteção de dados pessoais sensíveis é alcançado quando a classificação de dados é integrada com outras soluções complementares de segurança corporativa, como prevenção de perda de dados (DLP) ou ferramentas de governança de dados, gerenciamento de direitos digitais (DRM), gateways de e-mail e monitoramento de eventos (SIEM).
