Este artigo foi escrito pela coautoria de Madeline Le Botlan, gerente de projetos e conselheira de proteção de dados da Civocracy, e Emily McDonnell, chefe de parcerias e comunicação da Civocracy.

GDPR significa Regulamento Geral de Proteção de Dados e foi implementado pela UE em maio de 2018 com o objetivo de proteger os dados dos cidadãos europeus e regular o compartilhamento de dados além-fronteiras.

O tópico ganhou destaque após o escândalo Cambridge Analytica e Facebook em relação à última eleição nos Estados Unidos (os dados do usuário foram obtidos sem permissão e usados para manipular os resultados).

A aparição de Mark Zuckerberg diante do Congresso dos Estados Unidos e do Parlamento Europeu levantou questões de propriedade e responsabilidade. A empresa privada fez algo errado? Ou nossos políticos falharam em nos proteger?

_ • Se você quiser escrever um artigo de opinião, dê uma olhada no [guia para contribuidores] do Apolitical (https://apolitical.co/opinion-writing-becoming-an-apolitical-contributor/) ._

Este é o caso de maior perfil, mas não é o único em que os dados do cidadão foram explorados. Recentemente, houve um desenvolvimento tão rápido na esfera digital que a legislação não teve a chance de se atualizar.

Essas violações de dados têm consequências de amplo alcance. Um estudo recente da KPMG revelou que mais da metade dos consumidores do mundo estão optando por não comprar itens online devido a temores em torno de seus dados pessoais.

E o barômetro de intrusão da Publicis ETO mostrou que, em 2016, 78% dos cidadãos pesquisados estão "perturbados" pela forma como seus dados são coletados e armazenados.

O GDPR foi implementado para lidar com esses medos e devolver o poder sobre os dados pessoais às pessoas.

Desafios para o governo local

Para empresas privadas e instituições públicas, tem havido muita preocupação com a conformidade, com muitas organizações lutando para se tornar “prontas para o GDPR” (apenas alguns governos estaduais estão isentos de multas, mas todos são responsabilizados).

Muitas das diretrizes e informações fornecidas destinam-se explicitamente a empresas privadas, mas a lei também se aplica a governos locais.

Na La Gazette des communes, foi relatado que apenas 10% dos governos locais na França estavam prontos no prazo de 25 de maio. E desde então, a situação não mudou significativamente.

De acordo com o GDPR, as autoridades locais e regionais - que possuem muitos dados confidenciais sobre seus cidadãos (como arquivos populacionais ou informações sobre aluguel de apartamentos) - podem enfrentar multas extremamente altas pelo uso indevido de informações. As taxas podem chegar a € 10-20 milhões (US $ 11-23 milhões) por não conformidade, e verificações aleatórias por especialistas em dados estão sendo realizadas em toda a Europa para supervisionar o progresso da implementação.

O que é conformidade?

Com multas tão altas, é fácil ficar com tanto medo das repercussões que simplesmente paramos de coletar e processar dados.

No entanto, quando detalhamos o que o GDPR realmente significa, fica claro: use apenas os dados de que você precisa. Os dados pessoais devem ser processados de forma legal, justa e transparente em relação ao titular e à finalidade dos dados.

No setor público, existe uma base fundamental para o processamento de dados pessoais. A “base de tarefas públicas” permite que as autoridades usem dados quando puderem demonstrar que o processamento é para realizar tarefas que são definidas pela legislação nacional.

Existem várias outras bases legais para o processamento de dados. O mais importante é obter o consentimento dos usuários no início do processo de coleta de dados. Outras bases legais incluem obrigações legais ou contratuais e interesses vitais de segurança.

Cinco etapas para conformidade

** 1 . Identifique seu oficial de proteção de dados (DPO) **

Você já deve ter um; em muitos países, é exigido por lei há muitos anos. A maioria das organizações processa uma grande quantidade de dados e, portanto, terá alguém responsável por supervisionar esse conteúdo.

Encontre o DPO mais próximo de seu escritório e convide-o para dar um workshop no qual eles treinam a equipe para garantir que estejam cientes da proteção de dados e reconheçam quando e como os dados são processados em suas funções diárias.

** 2 . Lidando com dados? Faça a si mesmo três perguntas **

O que você está tentando alcançar? Você pode obter esse resultado de maneira diferente sem usar esses dados? Você pode escolher se deve ou não processar esses dados? Se os dados são essenciais para seus objetivos, você pode usá-los. Mas use apenas o que você precisa, manuseie com cuidado e não compartilhe desnecessariamente.

Você também tem a opção de tornar os resultados anônimos, altamente recomendado sempre que possível para uma camada extra de proteção.

** 3 . Privacidade desde o design e padrão **

O GDPR não deve ser uma reflexão tardia ou uma lente para avaliar projetos retrospectivamente. Todos os novos processos devem ter os princípios de privacidade integrados, e cada projeto, política e processo deve proteger os dados dos usuários sem exigir sua entrada.

Lembre-se do seguinte ao coletar dados:

  • Especificação do objetivo: os indivíduos devem ser notificados para que seus dados serão usados (ou seja, não é aceitável usar informações regionais de candidatos a empregos para comunicações políticas)
  • Limitação de coleta: a coleta de dados pessoais deve ser legal e transparente
  • Minimização de dados: o mínimo de dados possível deve ser coletado, e apenas para fins de processamento imediato

** 4 . Análise de risco departamental ** O GDPR não é apenas um risco do departamento de TI. Afeta todos os departamentos, por isso é essencial entender quais dados cada equipe interna trata e garantir que eles estejam cientes de todas as sensibilidades em torno do processamento. Por exemplo, as equipes de RH possuem dados pessoais internos e as equipes de comunicação usam os dados para compartilhar mensagens.

Com cada departamento, identifique as categorias de dados processados e sua sensibilidade particular. Faça uma avaliação de impacto do nível de risco dos dados e implemente um sistema de relatórios, caso haja uma violação de segurança.

** 5 . Escolha seus fornecedores com sabedoria ** Em reuniões iniciais com fornecedores externos em potencial, pergunte sobre sua conformidade com o GDPR e questione a maneira como eles lidam com os dados.

Os parceiros oferecem privacidade por padrão? Se eles forem um produto online, eles usam um serviço de hospedagem confiável e seguro (por exemplo, Amazon Web Services) e irão solicitar o consentimento dos usuários?

Ao trabalhar com empresas externas, há duas funções principais a serem consideradas: processador e controlador. O controlador é responsabilizado. Os controladores de dados são aqueles que geram e possuem os dados; eles devem, portanto, fornecer especificações precisas para proteção de dados ao terceirizar o processamento para garantir a conformidade. Os processadores de dados simplesmente utilizam os dados que lhes foram fornecidos de uma forma especificada para eles pelo controlador. — Madeline Le Botlan e Emily McDonnell

(Crédito da imagem: Flickr / t.ohashi)