O que é GDPR?
O que é o GDPR e por que ele é relevante para sua empresa? Saiba mais sobre o GDPR, dados pessoais e multas do GDPR aqui!
Secure Privacy Team
·7 min read
Get exclusive insights on privacy laws, compliance strategies, and product updates delivered to your inbox
O que é o GDPR e por que ele é relevante para sua empresa? Saiba mais sobre o GDPR, dados pessoais e multas do GDPR aqui!
Secure Privacy Team
Quando entrou em vigor em 2018, foi a mudança mais significativa na proteção de dados em décadas desde a Diretiva ePrivacy e é a lei mais abrangente em todo o mundo que trata de questões de privacidade online.
Ele impõe deveres significativos às empresas para proteger os dados pessoais dos usuários. Isso inclui uma série de obrigações para a coleta, processamento, uso e transferência de dados, bem como a implementação de medidas de segurança de dados. Mais importante ainda, exige que as empresas não rastreiem os usuários sem obter seu consentimento explícito.
Além disso, o GDPR concede aos usuários direitos em relação aos seus próprios dados pessoais que todas as empresas devem respeitar.
Qualquer empresa que faça negócios na Europa e/ou com cidadãos europeus precisa estar em conformidade com o GDPR.
O não cumprimento do GDPR resulta nas maiores multas monetárias já estabelecidas por uma lei de proteção de dados.
Antes do GDPR, as leis de proteção de dados estavam desatualizadas e eram inconsistentes entre os estados membros da UE. O GDPR substituiu essas inconsistências por um regulamento obrigatório para todos os estados-membros da UE.
Como resultado, as leis entre os países da UE são unificadas. Se você cumprir o GDPR, significa que está em conformidade com as leis nacionais de proteção de dados de todos os países da UE.
Dados pessoais são quaisquer informações relacionadas a uma pessoa física que podem ser identificadas ou são identificáveis por essas informações, direta ou indiretamente.
Isso significa que:
Exemplos de dados pessoais incluem nome, sobrenome, endereços de e-mail como nome.sobrenome@empresa.com, endereço residencial, número do cartão de identificação, ID do cookie, Protocolo de Internet (IP).
Exemplos de dados não considerados dados pessoais incluem um número de registro da empresa, endereços de e-mail como info@empresa.com e dados anônimos.
Tanto o CCPA quanto o GDPR são leis de proteção de dados, mas os requisitos de cada um deles tendem a ser bastante diferentes.
Embora existam algumas semelhanças, principalmente em relação à transparência e aos direitos dos titulares dos dados, as duas leis diferem muito. Portanto, se você estiver em conformidade com o CCPA, isso não o tornará compatível com o GDPR e vice-versa.
Se a CCPA e o GDPR se aplicarem à sua empresa, você deve determinar o que cada um deles exige de sua empresa e agir de acordo para cumprir.
Uma política de privacidade GDPR é um documento com o qual a empresa informa o usuário sobre suas práticas de privacidade. Embora não seja explicitamente exigida pelo GDPR, a política de privacidade é a maneira mais comum de ser transparente para os usuários sobre o uso de seus dados.
Uma política de privacidade compatível com GDPR deve conter certos elementos para estar em conformidade. Esses elementos incluem:
Essas são apenas as informações mínimas necessárias que o GDPR exige que você forneça. Você pode adicionar mais, se quiser. Leia mais sobre como tornar seu site compatível com o GDPR.
Os usuários de sites e aplicativos são chamados de titulares de dados no GDPR. O GDPR concede a eles direitos de titular dos dados. Esses direitos capacitam os usuários a proteger sua privacidade de dados contra a empresa que tem seus dados coletados.
Os direitos do titular dos dados incluem o direito a:
Todas as empresas da UE devem esses direitos a todos os seus usuários. Todas as empresas fora da UE devem esses direitos a todos os seus usuários da UE.
Os usuários podem exercer seus direitos enviando solicitações de titulares de dados, incluindo solicitações DSAR. Ao verificar a identidade do usuário, você deve atender a sua solicitação e atendê-la.
A Secure Privacy fornece às empresas um centro DSAR para conformidade total com as solicitações dos titulares dos dados.
O GDPR prescreve as maiores penalidades do mundo relacionadas à proteção de dados. Leia mais sobre multas e restrições do GDPR em nosso post.
Cada país aponta uma autoridade administrativa independente responsável por garantir a proteção de dados pessoais. Por exemplo, na França temos a CNIL (Commission Nationale de l’informatique et des Libertés).
Leia tudo sobre a transferência de dados GDPR em nossa postagem do blog.
A transferência de dados é o processo em que os dados pessoais fluem de uma empresa para outra ou do usuário para a empresa. Quando isso é uma transferência através das fronteiras internacionais, é uma transferência internacional de dados.
Leia tudo sobre a transferência de dados para fora da UE nesta postagem do blog.
O GDPR exige que apenas algumas das empresas designem um DPO (oficial de proteção de dados).
Você deve nomear um DPO se for uma empresa cujas atividades principais envolvam:
As autoridades públicas também são obrigadas a nomear um DPO em qualquer caso.
Em todos os outros casos, você não é obrigado a nomear um DPO.
Um DPO pode ser o proprietário da empresa, qualquer funcionário, um contratante independente ou uma organização para a qual você terceiriza os processos.
Você precisa de um representante legal na UE se:
Em todos os outros casos, você não precisa nomear um representante legal na UE.
Uma violação de dados ocorre quando os dados pelos quais sua empresa/organização é responsável sofrem um incidente de segurança que resulta em uma violação de confidencialidade, disponibilidade ou integridade.
Na maioria dos casos, você precisa informar a autoridade de proteção de dados relevante. Você deve notificá-los em 72 horas após tomar conhecimento do incidente, ou mais tarde, se houver motivos razoáveis para o atraso.
Se a violação representar um risco para os direitos e liberdades dos titulares dos dados cujos dados foram violados, você também deve notificar os titulares dos dados.
Em alguns casos raros, onde a violação é insignificante e não representa nenhum risco para ninguém, você pode não ter que informar ninguém.
Se sua empresa/organização for uma processadora de dados, ela deve notificar todas as violações de dados ao controlador de dados.
Explore more privacy compliance insights and best practices
