Basicamente, a GDPR é uma nova regulamentação que visa proteger a forma como empresas utilizam os dados pessoais que os usuários forneceram para elas em algum momento durante a sua jornada de pesquisa sobre determinado assunto e/ou contato com alguma empresa.
As empresas que exercem alguma atividade para o público residente na União Europeia terão que cumprir as novas regras para garantir a privacidade dos seus clientes e para que não sejam punidos.
As empresas que devem estar de acordo com as novas regras são aquelas que solicitaram algum tipo de informação sobre seus leads (clientes potenciais), informações como: nome, email, endereço, dados financeiros, etc.
Se você violar alguma norma do Regulamento, as sanções podem ser de até 4% sobre o valor do volume de negócios global anual da empresa ou de 20 milhões de EUROS.
Com esse tipo de ação, a UE quer garantir que as empresas:
- Notificar os usuários sobre falhas de segurança em 72 horas
- Considerem a privacidade como o ponto principal de qualquer projeto
- Excluam toda a informação solicitada pelo usuário
O consentimento é o principal protagonista de GDPR, já que as organizações têm de demonstrar que os usuários tenham autorizado realmente o uso de seus dados.
Em linhas gerais, todas as regras do GDPR colocam o usuário como soberano sobre seus dados. Elas são as seguintes:
- o usuário é soberano no direito de autorizar ou não a coleta de dados, e tem o direito de determinar como eles serão tratados;
- o usuário tem o direito de saber quais dados uma determinada empresa está coletando e para quais fins;
- o usuário tem o direito de mudar de opinião quando quiser, sendo as empresas obrigadas a fornecer ferramentas para remoção de dados e sua decisão de interromper a coleta deve ser respeitada;
- o usuário tem o direito de ser informado se seus dados estão sendo compartilhados com empresas ou grupos externos;
- o usuário tem o direito à portabilidade de dados, de modo que ele possa baixa-los e disponibiliza-los em outro serviço ou à sua escolha, e as empresas são obrigadas a fornecer ferramentas para tal finalidade;
- o usuário tem o direito de apagar seus dados em ocasiões específicas;
- as empresas ficam obrigadas a notificar os usuários e as autoridades em até 72 horas após uma ocorrência de vazamento de dados;
- as empresas são obrigadas a considerar a proteção de dados e privacidade dos usuários por design, desde o início de qualquer projeto;
- as empresas são obrigadas, na medida do possível aplicar a pseudoanonimação dos dados, de modo a dificultar a identificação das informações por terceiros; a GDPR menciona métodos de ocultação e/ou substituição de dados de forma que a identificação correta só possa ser realizada com a adição de mais dados;
- as empresas são obrigadas a manter registros internos de todas as atividades de processamento dos dados dos usuários, e elas deverão incluir nome e detalhes da organização, a finalidade do processamento, a descrição de categorias de indivíduos e dados pessoais, destinatários, detalhes da transferência e cronogramas de retenção de dados;
- as empresas ficam proibidas de transferir dados para um país que não possua leis adequadas de proteção aos dados; a Comissão Europeia manterá uma lista de “países aprovados” para as transações e de forma alguma os inclusos na “lista negra” deverão ter acesso a informações de cidadãos europeus;
- fornecedores terceirizados estão sujeitos às mesmas regras; basicamente, qualquer companhia que lide com dados de europeus será obrigada a manter registros de suas atividades, mesmo que sirva apenas como uma intermediária;
- as empresas deverão nomear um Diretor de Proteção de Dados (Data Protection Officer, ou DPO), um executivo responsável pela supervisão da manutenção e tratamento dos dados, que também deverá atuar como elo de ligação com as autoridades para prestar esclarecimentos e auxiliar em investigações.
