O que é GDPR? Tudo o que as organizações corporativas precisam saber

O que é GDPR?

O GDPR (General Data Protection Regulation, ou em português Regulamento Geral sobre a Proteção de Dados), é a lei de privacidade da União Europeia que rege como as organizações coletam, usam, armazenam, compartilham e protegem os dados pessoais de pessoas na UE e no Espaço Econômico Europeu.

Os dados pessoais regulamentados pelo GDPR podem incluir nomes, endereços de e-mail, IDs de funcionários, registros de clientes, endereços IP, identificadores de dispositivos, dados de localização, dados de RH, chamados de suporte e informações de contato comercial. O GDPR pode se aplicar a empresas fora da Europa se elas oferecerem bens ou serviços a pessoas na UE ou monitorarem seu comportamento.

De acordo com o GDPR, as organizações sujeitas à regulamentação geralmente devem coletar apenas os dados necessários, usá-los somente para finalidades apropriadas e seguir as regras aplicáveis de retenção e segurança. A regulamentação também abrange direitos de privacidade, como atender a solicitações de acesso ou exclusão e relatar rapidamente suspeitas de incidentes de dados quando exigido.

A conformidade com o GDPR é um esforço de toda a organização. As empresas devem envolver profissionais jurídicos e de privacidade nas decisões relacionadas ao GDPR, além de treinar funcionários que lidam com dados de clientes, funcionários, parceiros ou usuários em práticas relevantes de privacidade e segurança.

Principais conclusões

• As organizações sujeitas ao GDPR geralmente precisam demonstrar que têm uma base legal para processar dados pessoais e manter práticas claras de governança de dados.
• “Dados pessoais” é uma categoria ampla que pode incluir nomes, e-mails, IDs de dispositivos, endereços IP, registros de funcionários, dados de comportamento de clientes, dados de localização e qualquer informação que possa identificar ou se relacionar de forma razoável a uma pessoa.
• O GDPR abrange mais do que consentimento. As empresas podem precisar identificar bases legais para o processamento de dados, como necessidade contratual, obrigações legais, interesses legítimos ou consentimento, dependendo do caso de uso. O GDPR também concede às pessoas direitos específicos, que podem incluir o direito de acessar, corrigir, excluir, restringir, transferir ou se opor ao uso de seus dados. As empresas precisam de processos para avaliar e responder dentro de prazos definidos.
• A não conformidade pode resultar em multas significativas, mas outros riscos incluem interrupção dos negócios, desconfiança de clientes ou parceiros e maior escrutínio por parte dos órgãos reguladores.

GDPR explicado

O GDPR é um regulamento da UE, o que significa que se aplica em todos os estados-membros da União Europeia sem que cada país precise aprovar sua própria lei. Ela estabelece uma estrutura jurídica comum para como as organizações coletam, usam, armazenam, compartilham e protegem dados pessoais. As empresas geralmente implementam requisitos relacionados ao GDPR por meio de programas de governança de privacidade que mapeiam dados pessoais, identificam bases legais para seu uso, atualizam avisos de privacidade e fornecem processos de segurança e resposta a violações.

A aplicação do GDPR é compartilhada entre as autoridades nacionais de proteção de dados e os mecanismos de coordenação em nível da UE. Cada Estado-membro da UE tem uma autoridade supervisora, como a CNIL da França ou a Comissão de Proteção de Dados da Irlanda, que investiga reclamações, audita organizações e pode impor ordens corretivas ou multas.

Para as empresas, isso significa que o GDPR é implementado como um regime harmonizado em toda a UE, mas a supervisão diária ainda costuma ser feita por reguladores nacionais. Aqueles que gerenciam dados e bancos de dados em organizações que precisam cumprir a regulamentação devem trabalhar com as equipes jurídicas e de privacidade para revisar cuidadosamente o acesso privilegiado, separar funções, mascarar ou anonimizar dados de produção antes que sejam copiados para ambientes de teste, observar as obrigações de retenção e ajudar a investigar rapidamente possíveis violações de dados.

Provedores de infraestrutura em nuvem e de aplicações, como a Oracle, podem ajudar as empresas a apoiar programas de privacidade e segurança com recursos técnicos, como criptografia em trânsito e em repouso, autenticação multifator, gerenciamento granular de acesso e recursos de gerenciamento de políticas.

Por que o GDPR é importante para organizações empresariais?

A adoção de práticas alinhadas ao GDPR pode ajudar as empresas a tratar a proteção de dados como uma capacidade de negócios disciplinada, em vez de um exercício reativo de conformidade. A regulamentação oferece às organizações um modelo prático para entender quais dados pessoais elas mantêm, como e por que são usados, quem pode acessá-los e como os riscos são gerenciados. Essa clareza pode oferecer suporte a uma governança melhor e a processos de segurança e resposta a incidentes mais resilientes.

Mesmo fora da UE, o GDPR influenciou as expectativas de privacidade em todo o mundo, portanto, adotar seus princípios pode ajudar a reduzir atritos à medida que as leis de privacidade evoluem e os clientes exigem cada vez mais transparência, controle e uso responsável de seus dados.

As organizações que se tornam proficientes no tipo de governança de dados e geração de relatórios exigidos para a conformidade com o GDPR podem descobrir que suas práticas de dados limpos e bem organizados as ajudam a desenvolver iniciativas de IA que dependem de dados confiáveis e bem gerenciados.

5 principais requisitos do GDPR

O GDPR estabeleceu requisitos de privacidade e parâmetros gerais de segurança que abrangem áreas como aviso e consentimento, medidas de segurança técnicas e operacionais e mecanismos de fluxo de dados transfronteiriços, incluindo o seguinte:

1. Segurança de dados

As organizações devem usar salvaguardas técnicas e organizacionais para proteger dados pessoais. Os controles de segurança devem corresponder à sensibilidade e ao risco dos dados e incluir medidas como controles de acesso, criptografia, monitoramento, controles de fornecedores e planejamento de resposta a incidentes.

2. Direitos alargados dos indivíduos

O GDPR dá às pessoas um controle significativo sobre seus dados pessoais. Eles podem ter o direito de acessar seus dados, corrigir informações imprecisas, solicitar a exclusão, restringir determinados processamentos, opor-se a determinados usos ou receber seus dados em um formato portátil.

3. Notificação de violação de dados

As organizações devem ter processos para detectar, avaliar e escalar violações de dados pessoais. Quando exigido, as organizações devem notificar a autoridade supervisora relevante sem demora injustificada e seguir o processo de resposta a violações de sua equipe jurídica.

4. Responsabilidade e documentação

As organizações devem ser capazes de demonstrar conformidade, não apenas alegá-la. Para isso, elas devem manter registros das atividades de tratamento, documentar as bases legais para o uso de dados e manter os avisos de privacidade atualizados. Esses procedimentos devem ser revisados regularmente.

5. Auditorias de segurança e análises de risco

As empresas devem avaliar regularmente se seus controles de privacidade e segurança estão funcionando conforme projetado. Isso pode incluir auditorias internas, auditorias de terceiros, análises de fornecedores, avaliações de impacto sobre a proteção de dados para processamentos de maior risco e verificações periódicas para garantir que as práticas de retenção, acesso e compartilhamento de dados continuem adequadas.

Desafios comuns de conformidade com o GDPR

Os processos para conformidade com o GDPR avançaram muito desde 2018, mas muitas organizações continuam enfrentando desafios de conformidade, especialmente com a maior adoção de arquiteturas multicloud e as crescentes demandas de dados de IA.

• Infraestrutura legada: sistemas mais antigos geralmente não foram projetados considerando controles no nível do GDPR. Eles podem dificultar a exclusão, exportação, criptografia ou restrição de acesso a dados pessoais, especialmente quando os dados estão incorporados em uma infraestrutura antiga ou em aplicações personalizadas.
• Dispersão de dados: dados pessoais costumam ser usados em unidades de negócios, ferramentas SaaS e plataformas de análise, e são encontrados em e-mails, logs e dispositivos de funcionários. Isso torna muito difícil saber quais dados existem, onde eles estão, quem é responsável por eles e se ainda são necessários.
• Ambientes multicloud: O uso de vários provedores de nuvem pode criar práticas inconsistentes de segurança, acesso, retenção e auditoria, pois cada ambiente de nuvem lida de maneira diferente com identidade, registro em log, criptografia e residência de dados.
• Risco de terceiros: fornecedores, consultores e terceiros podem tratar dados pessoais em nome de uma empresa. A conformidade com o GDPR pode ser comprometida quando esses terceiros lidam com contratos, due diligence e termos de notificação de violação de maneiras que não atendem aos padrões da organização.
• Lacunas de visibilidade de dados: as empresas não conseguem proteger os dados se não sabem que eles existem. Inventários de dados deficientes, propriedade incompleta dos sistemas, shadow IT e metadados fracos podem transformar obrigações básicas do GDPR em processos lentos, manuais e de alto risco.
• Atrasos na resposta a violações: O GDPR exige avaliação rápida e, quando aplicável, notificação de violações. Empresas que não têm caminhos claros de escalonamento, manuais de resposta a incidentes, processos de análise jurídica ou documentação pronta para órgãos reguladores podem perder um tempo valioso.
• Retenção excessiva: manter dados pessoais “por via das dúvidas” cria riscos desnecessários. Armadilhas comuns incluem não definir períodos de retenção, não configurar regras de exclusão automatizadas e não alinhar as equipes de negócios e técnicas sobre quando os dados devem ser arquivados ou destruídos.

Como a Oracle ajuda as organizações a se prepararem para o GDPR?

Cumprir o GDPR exige práticas operacionais em torno da infraestrutura de TI, aplicações de negócios, medidas de segurança de dados e auditabilidade. A Oracle tem um longo histórico de apoio a empresas globais em todas essas áreas, e sua infraestrutura em nuvem e suas aplicações de negócios são desenvolvidas com base nos tipos de controles comumente usados em programas de privacidade e segurança, como governança de segurança, controles de acesso granulares, recursos de proteção de dados, processos de resposta a incidentes e recursos de suporte à conformidade.

Por exemplo, o Oracle Data Safe fornece recursos que podem ajudar as organizações a entender a confidencialidade dos dados, avaliar riscos aos dados, mascarar dados confidenciais, implementar e monitorar controles de segurança, avaliar a segurança dos usuários e monitorar a atividade dos usuários — tudo em um console unificado.

Apoie a preparação para o GDPR com a Oracle

A Oracle Cloud Infrastructure (OCI) oferece às suas equipes de privacidade, segurança e TI uma base de nuvem governada, projetada para ajudá-las a gerenciar e proteger dados pessoais. Com a OCI, as organizações podem usar recursos de segurança, identidade, registro em log, criptografia e governança que podem ajudar a dar suporte a programas de privacidade e conformidade alinhados ao GDPR quando devidamente configurados e governados.

Elas são oferecidas juntamente com uma variedade de tecnologias e recursos que podem ajudar a fortalecer a governança de dados, incluindo criptografia de dados, opções de hospedagem regional para ajudar as organizações a abordar considerações de residência de dados e serviços como o OCI Audit, que rastreia e registra automaticamente todas as chamadas de API feitas aos seus recursos de nuvem e oferece suporte à auditabilidade.

Embora o GDPR tenha sido visto como um grande obstáculo quando entrou em vigor em 2018, a disciplina necessária para estar em conformidade agora é considerada por muitas organizações um ativo e uma etapa útil para fornecer dados confiáveis e bem gerenciados para iniciativas de IA.

Perguntas frequentes sobre o GDPR

O GDPR é obrigatório nos Estados Unidos?

O GDPR não é uma lei dos EUA, portanto a conformidade não é universalmente exigida para todas as empresas que operam apenas nos Estados Unidos. No entanto, uma empresa dos EUA pode precisar cumprir a regulamentação se oferecer bens ou serviços a pessoas na UE ou processar dados pessoais da UE em nome de um cliente ou parceiro.

A Oracle está em conformidade com o GDPR?

A Oracle oferece suporte à conformidade com o GDPR, mas nenhum fornecedor pode afirmar de forma genérica que um cliente está “em conformidade com o GDPR” simplesmente por usar seus produtos. A Oracle oferece controles, documentação e compromissos contratuais que podem ajudar os clientes a atender aos requisitos do GDPR, mas cada organização ainda deve configurar, governar e usar os serviços Oracle de forma compatível.

O objetivo da Oracle com seus serviços da OCI é fornecer uma arquitetura que ofereça recursos de processamento e tratamento de dados projetados para serem flexíveis e transparentes, ajudando os clientes a atender aos requisitos locais de privacidade de dados com base em suas próprias obrigações, configurações e práticas de governança.