Quando a proteção de dados vale a vida da empresa
Empresas que comercializam produtos ou serviços pela Internet e que armazenam dados pessoais dos seus clientes em suas bases de dados já devem estar em total conformidade com o GDPR. A sua ainda não está? Então é melhor correr, principalmente se você sequer conhece a sigla e seu significado.
O GDPR (General Data Protection Regulation) é um regulamento de lei da União Europeia (UE) sobre proteção de dados e privacidade para todos os cidadãos e indivíduos residentes na região. Suas regras entram em vigor nesta sexta-feira, dia 25, e seu efeito prático será obtido por meio de diretrizes rígidas de segurança para quem hospeda esses dados. A consequência será a padronização de boas práticas para os portais de e-commerce que armazenem os dados pessoais de seus clientes.
Adotado em 14 de abril de 2016, com um período de transição de dois anos, o regulamento prevê multas para casos de não-cumprimento de 4% do faturamento bruto anual ou €20 milhões, prevalecendo sempre o maior valor.
Embora o público diretamente beneficiado esteja na UE, há uma movimentação mundial em torno do assunto, considerando-se que muitas empresas negociam com cidadãos ou empresas da UE. Os benefícios alcançarão todos os usuários de sistemas de informação, independentemente de suas nacionalidades.
Muitos segmentos de negócios no Brasil serão afetados diretamente pelo GDPR, incluindo empresas de turismo, hotelaria, transportes aéreo e terrestre e sites de comércio eletrônico.
Só há uma maneira de evitar ou mitigar riscos: demonstrar a conformidade com o GDPR. Para isso, o administrador de dados deve implementar medidas que protejam as informações nos processos de negócios, tanto para produtos quanto para serviços. Um ponto fundamental nesse processo é conhecer os riscos envolvidos na armazenagem dos dados, para poder gerar os controles necessários.
Além da conformidade às diretrizes do GDPR, a lista de providências inicia por se avaliar de forma bastante criteriosa se todos os dados armazenados devem necessariamente ser mantidos. Adotar uma política para a exclusão de dados obsoletos e contas inativas passa a ser regra na gestão dos dados dos usuários.
É vital certificar-se de que os sistemas estão protegidos contra invasões e vazamentos por ataques cibernéticos. E também é altamente recomendada a revisão de todos os privilégios de acesso dos funcionários aos dados de clientes, prevenindo-se vazamentos e acessos indevidos.
Entre as diretrizes da lei, há um ponto nevrálgico: o controlador dos dados tem a obrigação legal de informar imediatamente a autoridade responsável em casos de vazamento de informação. No prazo máximo de 72 horas após a identificação da brecha de segurança, deverá apresentar um relatório da situação detalhando as providências tomadas, além de notificar cada um dos indivíduos afetados pelo vazamento dos dados.
Para atender à essa exigência, portanto, é absolutamente necessário ter um bom plano para gestão de crises devidamente implementado, que possa ser colocado em prática se a situação ocorrer.
A crise recente de segurança da Netshoes, empresa de e-commerce sediada no Brasil, reúne várias lições sobre o novo ambiente trazido pelo GDPR. Em duas datas – fim de 2017 e abril de 2018 – sua base de dados foi invadida por um hacker, o que resultou no vazamento recorrente de informações de 2,5 milhões de clientes. Além dos dados sobre o histórico de compras de cada um, vazaram o nome completo, o CPF, telefone, valor gasto, data da última compra e a data de nascimento.
Após o Ministério Público do Distrito Federal recomendar à empresa diversas ações para alertar clientes e a própria Netshoes reconhecer o caso ao governo dos Estados Unidos (Securities and Exchange Comission — SEC), ela teve 30 dias úteis para contatar por telefone os consumidores afetados e informar sobre os fatos.
Sob as regras do GDPR, se houvesse um único consumidor nessa massa de dados vazada que fosse cidadão da UE, a Netshoes estaria enquadrada e sujeita a todas as sanções previstas no regulamento. Imagine-se o prejuízo financeiro e o risco para a sobrevivência da empresa.
O artigo foi escrito por Eduardo Amaral, que é sócio-fundador e diretor executivo da Eticca Compliance, consultor sênior em Tecnologia da Informação com pontos fortes em gerenciamento de TI, segurança cibernética e tecnologias emergentes com mais de 15 anos de experiência.
