Os 7 princípios do GDPR fornecem uma estrutura para garantir que a privacidade dos dados seja respeitada, mantida e atenda aos requisitos do GDPR. O Regulamento Geral sobre a Proteção de Dados, ou RGPD, entrou no léxico empresarial com um rugido em 2016. Desde então, o GDPR mudou a forma como as empresas em todo o mundo lidam com a privacidade do consumidor. Compreender como cumprir o RGPD tem sido muitas vezes oneroso. No entanto, a consciência da privacidade do consumidor significa que as empresas devem levar a privacidade a sério.

O estudo de referência sobre privacidade de dados da Cisco de 2023 conclui que 94% dos consumidores só comprariam a uma empresa se os seus dados estivessem devidamente protegidos.

Para o ajudar a cumprir o RGPD, a MetaCompliance explica os sete princípios orientadores subjacentes ao RGPD e quais as melhores práticas que ajudam uma empresa a cumprir este importante quadro de proteção de dados.

Quais são os 7 princípios de proteção de dados do RGPD?

O GDPR é normalmente associado à UE. No entanto, o GDPR do Reino Unido segue princípios semelhantes e estabelece sete princípios de proteção de dados reflectidos no artigo 5º do regulamento. Os princípios formam o quadro para uma boa conceção da privacidade e garantem que a privacidade é exequível e mantida no interesse público. Os sete princípios de proteção de dados do RGPD são

Legalidade, equidade e transparência

O GDPR estabelece bases legais para a recolha e tratamento de dados pessoais, incluindo a proteção. A base legal para o processamento de dados inclui o seguinte:

• Consentimento explícito
• Necessidade contratual
• Qualquer obrigação legal de proteger um indivíduo
• Uma missão pública de interesse público
• Interesse legítimo

O princípio orientador da “Legalidade, Equidade e Transparência” garante que o tratamento de dados é efectuado de forma transparente e ao abrigo do quadro regulamentar do tratamento lícito. Por conseguinte, a equidade e a legalidade são duas faces da mesma moeda no que diz respeito à aplicação do RGPD.

Limitação de objectivos

Este é um aspeto essencial da privacidade desde a conceção e por defeito, o quadro subjacente ao RGPD. Especifica que uma organização afetada só deve recolher os dados de que necessita para realizar a tarefa. O artigo 5.º do RGPD explica que os dados devem ser “recolhidos para fins específicos, explícitos e legítimos”.

Para conseguir a limitação da finalidade, uma empresa deve poder justificar as razões da recolha de dados. Os clientes devem ser informados dos motivos da recolha de dados através das políticas de privacidade. Se a tua empresa continuar a utilizar os dados recolhidos para fins diferentes dos descritos, não estarás a cumprir os princípios do RGPD.

Minimização de dados

A minimização dos dados está relacionada com a limitação das finalidades, mas analisa especificamente os dados. A minimização de dados consiste em recolher apenas os dados necessários para realizar a tarefa. Por exemplo, se precisares de um nome e endereço, mas a data de nascimento não for necessária para processar uma transação, certifica-te de que recolhes apenas o nome e o endereço. A minimização dos dados é uma medida de segurança importante, uma vez que reduz o risco para um indivíduo se os dados forem expostos.

Precisão

A exatidão dos dados pode ser um dos princípios mais complexos a cumprir. No entanto, o RGPD espera que tomes “todas as medidas razoáveis… para assegurar que os dados pessoais inexactos, tendo em conta as finalidades para que são tratados, sejam apagados ou rectificados sem demora”.

Limitação de armazenamento

A duração do armazenamento de dados é outra orientação crucial enquadrada pelos 7 princípios de proteção de dados do RGPD. Se decidires armazenar dados, tens de ter uma razão sólida para o fazer. A posição inicial ideal é não armazenar dados se não for necessário. No entanto, se tiveres de guardar cópias dos dados, estabelece uma política de retenção de armazenamento e aplica-a. Além disso, é essencial garantir que os dados são protegidos através de medidas de segurança técnicas e organizacionais adequadas.

Integridade e confidencialidade

A integridade e a confidencialidade dos dados pessoais são cruciais para garantir a privacidade desses dados. O RGPD menciona a utilização de medidas de segurança adequadas para proteger os dados contra perdas, destruição ou danos acidentais. Utiliza as melhores ferramentas de segurança disponíveis para proteger os dados durante o transporte e o armazenamento, mas também recorre à formação de sensibilização para a segurança e a simulações de phishing para reduzir o risco de exposição dos dados.

Responsabilidade

A responsabilidade é um aspeto essencial do respeito e da proteção da privacidade nos tempos modernos. No contexto do RGPD, a responsabilidade refere-se à utilização de medidas técnicas e organizativas adequadas por parte de uma organização e à capacidade de demonstrar essas medidas, se tal for solicitado.

Seis práticas recomendadas para alcançar os 7 princípios do RGPD

As organizações podem tomar medidas específicas para cumprir os 7 princípios do RGPD. Seis práticas recomendadas para garantir que a privacidade dos dados é respeitada, mantida e cumpre os requisitos do RGPD incluem:

1. Gestão do ciclo de vida da privacidade: A conformidade com o RGPD pode ser uma área complexa que abrange a gestão de activos, terceiros e medidas de proteção de dados. Um sistema de gestão do ciclo de vida da privacidade(PLMS) é um portal centralizado que oferece uma forma de automatizar os processos envolvidos no tratamento de dados. Um PLMS também permite que uma organização gere relatórios para demonstrar a conformidade.
2. Sensibilização para a privacidade e a regulamentação: quando realizares uma formação de sensibilização para a segurança, certifica-te de que incluis módulos sobre o papel do pessoal na manutenção da conformidade com o RGPD. Estes módulos informarão os funcionários sobre a privacidade dos dados, o processamento ilegal, a higiene do correio eletrónico e das palavras-passe e a sensibilização geral para a segurança, como a utilização de credenciais de início de sessão robustas.
3. Privacidade desde a conceção e por defeito: concebe os teus serviços e sistemas para recolher o mínimo de dados necessário para processar uma transação. Cria experiências de recolha de dados para o utilizador que incluam políticas de privacidade de fácil acesso e leitura e modelos de consentimento que sejam intuitivos.
4. Política de privacidade: descreve os dados que recolhe e porque os recolhe; partilha informações sobre as actividades de tratamento de dados e a sua política de retenção de dados.
5. Conceber para a exatidão: utilizar sistemas que possam verificar a exatidão dos dados necessários; por exemplo, utilizar serviços de verificação para verificar a atualidade dos endereços. Tem um plano para lidar com os pedidos dos titulares dos dados para alteração, eliminação, arquivamento ou alterações aos dados que considerem que devem ser actualizados ou completados.
6. Medidas de segurança: utiliza cifragem e autenticação robustas para proteger os dados em trânsito e em repouso (armazenamento). A anonimização ou pseudonimização dos dados é útil em determinadas circunstâncias.