É difícil acreditar que nos estamos a aproximar do Aniversário de um Ano do GDPR. Após um período de transição de dois anos, o GDPR entrou em vigor a 25 de Maio de 2018, e transformou completamente a forma como as organizações abordam a privacidade dos dados.
A legislação foi introduzida para reflectir o nosso mundo cada vez mais digitalizado e reconhecer os direitos dos indivíduos no que respeita à utilização dos seus dados pessoais.
Muitas organizações têm despendido muito tempo e esforço para garantir o cumprimento da nova legislação, mas para outras, tem sido uma viagem mais difícil e árdua. Demonstrar a conformidade com a GDPR é um processo contínuo e há muitos aspectos da legislação que ainda requerem clarificação e podem revelar-se confusos para as organizações.
Dois termos que ouvimos constantemente em relação à GDPR são "Controladores de Dados" e "Processadores de Dados". É importante compreender a distinção entre estes dois termos, uma vez que ela determinará as suas responsabilidades ao abrigo da legislação.
A distinção entre um Controlador de Dados e um Processador de Dados pode ter consequências significativas no mundo real. Se uma organização estiver envolvida no processamento de dados, é vital que estabeleça funções e responsabilidades numa fase precoce para evitar qualquer confusão no caso de ocorrer uma violação de dados. Isto ajudará a assegurar que não haja lacunas nas responsabilidades e que as organizações possam lidar com estas questões de forma eficiente e eficaz.
O que são dados pessoais?
Se a sua organização processa dados pessoais, então a GDPR aplica-se a si. A UE define "Dados Pessoais" como qualquer informação que possa ser utilizada directa ou indirectamente para identificar um indivíduo (sujeito dos dados). Isto incluirá tudo, desde um nome, endereço de correio electrónico, endereço IP e imagens. Inclui também dados pessoais sensíveis, tais como dados biométricos ou dados genéticos que podem ser processados para identificar um indivíduo.
É um 'Controlador de Dados' ou 'Processador de Dados'?
Se a sua organização determina as finalidades e a forma como os dados pessoais são processados, então é considerada um Controlador de Dados.
Os controladores de data desempenham um papel fundamental no cumprimento da GDPR devido aos dados pessoais dos clientes e empregados que retêm e recolhem.
As funções do Controlador de Dados incluem:
- Facilitar uma maior transparência no tratamento dos dados de privacidade relativos aos pedidos de dados
- Assegurar que os sujeitos dos dados são tratados dentro dos prazos definidos pelo GDPR
- Realização de avaliações de privacidade e nomeação de OPD
- Notificação das autoridades de supervisão de violações de dados no prazo de 72 horas após a descoberta da violação
- Acompanhamento e resposta a alterações nos mandatos de conformidade
- Substituição de campos de dados de identificação por pseudónimos e encriptação de dados pessoais
- Manutenção de registos de tratamento de dados pessoais através de um registo de dados pessoais
- Gestão e gestão da interacção de terceiros relativamente ao tratamento e tratamento de dados pessoais
Quem é um Processador de Dados e quais são as suas responsabilidades?
Se uma pessoa, organização, agência ou outro organismo agir em nome de um Controlador de Dados, então é considerado como um Processador de Dados.
Exemplos de um Processador de Dados incluem:
- Uma agência externa (Ex: uma empresa responsável pela eliminação de informações de clientes)
- Um fornecedor de nuvens que armazena dados pessoais
- Qualquer prestador de serviços que actue em seu nome com acesso aos dados pessoais de um cliente ou empregado
Leia também o guia de chupetas para a Regulação da Privacidade Electrónica
Os deveres do processador de dados incluem:
- Decidir quais os sistemas informáticos ou outros métodos a utilizar para recolher dados pessoais
- Como armazenar dados pessoais
- Segurança dos dados
- Meios utilizados para transferir dados de uma organização para outra
- Meios utilizados para recuperar dados pessoais sobre certos indivíduos
- Assegurar que o método por detrás do calendário de retenção é respeitado
- Meios utilizados para apagar/utilizar os dados
Os processadores de dados estão sujeitos a várias novas obrigações ao abrigo do GDPR, que incluem a manutenção de medidas que atribuem níveis adequados de segurança aos dados pessoais em relação ao risco potencial.
Os processadores de dados são obrigados a seguir as instruções dos Controladores de Dados, a menos que estas instruções entrem em conflito com a própria GDPR.
Pode um Controlador de Dados ser também um Processador de Dados?
Existem certas áreas cinzentas onde as situações podem sobrepor-se, tornando difícil distinguir se é um Controlador ou Processador de Dados. No entanto, o ICO é claro nos seus conselhos, afirmando: "Uma organização não pode ser simultaneamente responsável pelo tratamento e processador de dados para a mesma actividade de tratamento de dados; deve ser uma ou outra.
Isto significa que, para estabelecer qual a organização responsável pela protecção de dados, é necessário analisar o tratamento em questão, bem como as organizações envolvidas. É igualmente importante que, na medida do praticável, os sistemas e procedimentos façam a distinção entre os dados "próprios" da organização e os dados que esta processa em nome dos outros dados".
Saiba também o que é o consentimento GDPR válido
Para assegurar o pleno cumprimento da GDPR, as organizações terão de definir claramente os papéis e as responsabilidades para evitar a violação da legislação. Se de qualquer forma não tiver a certeza da posição da sua organização, deverá consultar o aconselhamento jurídico para mais esclarecimentos.
A MetaPrivacidade foi concebida para fornecer a melhor abordagem prática para o cumprimento da privacidade dos dados. Contacte-nos para mais informações sobre como podemos ajudar a sua organização a melhorar a sua estrutura de conformidade.
RESPONSABILIDADE: O conteúdo e opiniões dentro deste blog são apenas para fins informativos. Não se destinam a constituir aconselhamento jurídico ou outro aconselhamento profissional e não devem ser confiados nem tratados como um substituto para aconselhamento específico relevante para circunstâncias particulares, a Lei de Protecção de Dados, ou qualquer outra legislação actual ou futura. A MetaCompliance não aceitará qualquer responsabilidade por quaisquer erros, omissões ou declarações enganosas, ou por qualquer perda que possa resultar da confiança em materiais contidos neste blog.
