O GDPR
(General Data Protection Regulation, ou Regulamento Geral sobre Proteção de
Dados) é uma lei de 2016, sancionada em todo território da união europeia
que diz respeito à segurança e privacidade dos dados de seus cidadãos, tanto
internamente como na esfera internacional, e que entrou em vigor em 25 de maio
de 2018.
Nem três
meses se passaram e sua versão brasileira, a LGPD (Lei Geral de Proteção de
Dados), foi aprovada. Ela valerá a partir de agosto de 2020, mas muitas
empresas já se mobilizam para entrar nos trilhos. Isso porque, ao descumprir as
normas de segurança e privacidade estabelecidas, as empresas correm o risco de
punições bem graves, como multas de até 2% do faturamento anual da empresa ou
no valor máximo de R$ 50 milhões.
A GDPR já é válida na Europa, mas a LGPD ainda não
é no Brasil. Como ela pode estar impactando o mercado?
Engana-se
quem pensa que não é necessário se ajustar às novas normas. Se adequar à LGPD
agora, é um passo adiante de empresas que buscam reforçar a segurança dos seus
dados e minimizar falhas lá na frente.
Toni
Herbert, diretor de Risk Advisory
Service/IT na BDO Brazil, avalia a situação atual como obrigatória para que as
empresas comecem a se mobilizar.
“Tanto
em relação ao GDPR como ao LGPD, apesar do governo brasileiro ter adiado para
agosto de 2020, a lei já é válida e devemos atender. Claro que em seu período
de ‘vacância’, os incidentes não incorrem em multas, porém isso apenas no
Brasil, porque quando falamos em GDPR, se a empresa mantém negócios com o território
da União Europeia, deve efetuar um risk assessment (avaliação de
risco) para avaliar sua exposição”.
Quais cuidados as empresas têm tomado para entrar
em regularidade com a GDPR e a LGPD?
O
movimento das empresas que buscam reforçar seu setor de Segurança da Informação
está repleto de insights e iniciativas que visam a proteção de dados.
Como
Herbert mencionou acima, realizar um risk assessment é um dos primeiros passos
para entender a relevância dos seus dados e quais os tratamentos mais
recomendados.
“Em
seguida [ao risk assessment], com os riscos inerentes elencados, avaliar a
maturidade dos controles potencialmente já existente para, então, efetuar o
design da informação necessária ao negócio. Claro que, isso tudo falando em
dados pessoais” complementa
Herbert.
Os
percalços que leis como a GDPR e LGPD criam são inúmeros. E é importante
entender que a questão de se adequar às novas normas não existe apenas no
âmbito interno das empresas, mas no externo, em conjunto. Afinal, essas
mudanças chegaram para mudar o mercado — e não apenas os processos.
Por isso,
as empresas que já estão se movimentando, começam a enfrentar alguns desafios
em comum, buscando respostas que satisfaçam a legislação e seus usuários.
Sobre
esse assunto, Herbert acredita que é preciso “estabelecer regras e canais
transparentes de tratamento dos dados dentro das próprias organizações,
promover um melhor conforto aos cidadãos de que seus dados não estejam sendo
manipulados e ou compartilhados indevidamente”.
Sendo assim, as leis de proteção de dados, como
GDPR e LGPD, possibilitam o desenvolvimento de alguma habilidade?
É natural
que a situação obrigatória da GDPR e LGPD traga benefícios às empresas. Tanto
no ambiente digital como fora dele, a abordagem da Segurança da Informação
tende a amadurecer e, cada vez mais, se profissionalizar.
Para
Herbert, exemplos desse desenvolvimento não faltam:
“Já
podemos dizer que as empresas que atuam com análise comportamental de
consumidores terão de remodelar seus métodos. Os software house também terão de
aplicar novos mecanismos e critérios de segurança em seus sistemas, como por
exemplo, ter a possibilidade de extrair um relatório do sistema com
anonimização dos dados”.
A herança
prematura que os recentes escândalos relacionados aos dados detidos por grandes
empresas é profundo, mas serviu para elucidar o valor desse ativo. O mercado de
hoje, em todas as suas esferas, é construído em cima dos dados.
Muito
além do desenvolvimento que mencionamos acima, a aplicação dessas mudanças já
muda o mindset das empresas. “A própria alta administração e/ou
conselho de administração tem despendido tempo em suas reuniões estratégicas
para discorrer sobre o assunto, pois negligenciar o tema pode até impactar na
extinção da companhia” contextualiza Herbet.
Leis como
GDPR e LGPD já estão moldando a forma de realizar negócios e principalmente, de
manipular os dados. E não importa, do simples primeiro nome de uma pessoa até o
número do seu cartão de crédito, tudo é valioso, pessoal e principalmente
confidencial. Segurança é o mínimo que essas pessoas esperam de quem guarda
tais informações.
