Os desafios da nova lei de proteção de dados
A pouco mais de um ano da entrada em vigor do Regulamento Geral de Proteção de Dados (RGPD), 85% das empresas portuguesas ainda não começou a implementar medidas em conformidade com as novas regras. As mudanças previstas são significativas e exigem urgência
Ana Catarina Monteiro
Está a IA a revolucionar a forma como as empresas encontram e selecionam talentos?
El Corte Inglés ilumina-se de azul para sensibilizar importância da luta contra o Cancro da Próstata
Quinta da Vacaria investe na produção de azeite biológico
Grupo Rotom reforça presença no Reino Unido com aquisição da Kingsbury Pallets
Diogo Costa: “Estamos sempre atentos às necessidades e preferências dos nossos consumidores”
Staples une-se à EDP e dá passo importante na descarbonização de toda a sua cadeia de valor
CTT prepara peak season com reforço da capacidade da operação
Já são conhecidos os três projetos vencedores do Prémio TransforMAR
Campolide recebe a terceira loja My Auchan Saúde e Bem-Estar
Montiqueijo renova Selo da Igualdade Salarial
A pouco mais de um ano da entrada em vigor do Regulamento Geral de Proteção de Dados (RGPD), 85% das empresas portuguesas ainda não começou a implementar medidas em conformidade com as novas regras. As mudanças previstas são significativas e exigem urgência
A crescente euforia em torno das novas tecnologias dá aos negócios cada vez mais facilidade no rastreio e previsão do comportamento dos indivíduos, gerando um amontoado de informação que apoia as tomadas de decisão. Neste sentido, a União Europeia quis garantir a privacidade dos cidadãos europeus no universo digital, uniformizando entre os países-membros as leis que balizam a recolha e proteção de dados pessoais utilizados por empresas e entidades públicas, sejam os titulares consumidores, trabalhadores ou fornecedores. Após cinco anos de negociações, o RGPD foi aprovado em Parlamento a 27 de abril de 2016, com 95% de votos a favor, ainda que a sua obrigatoriedade se aplique a partir de 25 de maio de 2018.
Considerado o “mais elevado standard de proteção de dados do mundo”, nas palavras da Comissária Europeia Verá Jourová, o regulamento que vem revogar a legislação transportada para a lei portuguesa antes da democratização da internet, em 1998, apresenta alterações relevantes que influenciam a atuação das empresas. O próprio conceito de “dados pessoais” alargou, os direitos dos cidadãos foram reforçados e a responsabilidade das empresas agravada, assim como as sanções. O período de adaptação, porém, está a esgotar-se e em Portugal apenas 15% das empresas dizem já ter começado a adotar as medidas necessárias para o cumprimento da lei. A conclusão é da consultora KPMG que interrogou, entre novembro passado e janeiro deste ano, 101 organizações portuguesas a operar em sete setores distintos.
O estudo apresentado em abril conclui que as empresas no País “começam a assimilar a importância do novo regulamento mas têm ainda, em termos gerais, um longo caminho a percorrer”, explica durante a apresentação dos resultados Rui Gomes, partner de IT Advisory da KPMG Portugal.
Retalho sai bem na foto mas é dos mais atrasados na resposta a incidentes
São as organizações de retalho e saúde que estão mais avançadas na implementação das medidas necessárias, “talvez por serem dos setores mais expostos a incumprimentos uma vez que tratam elevadas quantidades de informações sensíveis”. 25% das empresas inseridas naquelas duas atividades já analisaram o novo RGPD e encontram-se neste momento a adotar processos. Por oposição, as empresas de serviços e do setor público são as mais atrasadas na aplicação de medidas.
Não obstante o atraso verificado pela consultora, 65% das empresas portuguesas inquiridas estão a par das obrigações e do impacto que as novas regras poderão ter na sua atividade. Os incidentes que envolvem dados pessoais podem acarretar uma degradação da reputação dos negócios, pela via da exposição mediática, já que estes estão obrigados a reportar as ocorrências à autoridade de controlo, a Comissão Nacional de Proteção de Dados Pessoais (CNPD). Em casos específicos, têm mesmo que comunicar as falhas aos próprios titulares visados. Além disso, estão sujeitos a coimas, cujo valor máximo passou dos 30 mil euros, previsto na lei antecedente, para os 20 milhões de euros ou 4% do volume de negócio gerado no ano fiscal anterior ao momento de infração.
Todos os dias, ocorrem “milhares” de ataques informáticos e são comprometidos “mais de um milhão” de registos de informação que contêm dados pessoais. No entanto, 57% das empresas lusas ainda não têm implementados processos de resposta a incidentes associados ao acesso, alteração ou eliminação indevida de dados pessoais. Numa análise mais detalhada, são os setores de “retalho e as entidades públicas” que mais carecem de medidas que cumpram o novo regulamento no que concerne ao reporte de falhas à autoridade de controlo.
Com o novo RGPD, as empresas deixam de estar obrigadas a solicitar autorização para tratamento de dados pessoais à CNPD, a qual deixa de ter a função de permissão para se focar na inspeção das atividades. O mercado passa a assumir um modelo de autorregulação, em que as organizações têm a responsabilidade de interpretar e garantir por si mesmas o cumprimento da lei. A entidade reguladora, cuja receita até aqui advinha das “instituições às quais concedia autorização” para recolha e tratamento de dados, passa então a ser financiada pelas sanções aplicadas no caso de incumprimento.
Dados dos cartões de fidelização e marketing
Para as empresas de retalho, os maiores desafios prendem-se com “questões-chave a ter em conta na atuação relacionada com cartões de fidelização e campanhas de marketing”. É que o conceito de dados pessoais passou a abranger todas as informações suscetíveis de identificar direta ou indiretamente um indivíduo, oriundas das mais diversas fontes internas ou externas (redes sociais, aplicações móveis, cartões, entre outros).
Assim, não só os dados recolhidos estão envolvidos na definição, como também todos os que são produzidos pelas próprias empresas, como acontece por exemplo no processo de “perfilagem” dos clientes. “Os dados pessoais utilizados para depois criar produtos específicos para uma determinada pessoa têm que estar protegidos”, esclarece o partner de IT Advisory da KPMG Portugal. Por outro lado, os estudos meramente estatísticos sobre tendências de comportamento de consumo não são regulados por esta lei.
Ainda assim, o tratamento de dados tem que ser uma ação clara, respeitando três novos princípios que obrigam, entre outros aspetos, à definição do objetivo da recolha de dados, à seleção dos dados pessoais “mínimos” necessários para cada finalidade específica e à retenção dos mesmos apenas durante o período de tempo em que decorrem os processos.
O consentimento dos titulares tem que ser explícito, sendo que o atual mecanismo de pré-seleção recorrente na internet passa a ser proibido. Nesta matéria, apenas 23% das empresas nacionais cumpre, de forma integral, os requisitos definidos pelo novo regulamento. As entidades devem assegurar também cláusulas de proteção dos dados pessoais, junto de terceiros que tenham acesso aos mesmos. Exigência que atualmente 79% das empresas não cumpre. Quanto à formação dos próprios colaboradores, 58% das entidades lusas ainda não tem forma de os sensibilizar e formar para as novas regras protecionistas.
Por outro lado, as empresas que geram grandes volumes de dados, como é o caso dos grupos de distribuição, são obrigadas à introdução do cargo de Data Protection Officer (DPO) nas suas equipas. A posição, já operacionalizada em 21% das organizações inquiridas pela KPMG, pode ser ocupada por juristas ou engenheiros informáticos.
Apenas 5% estão preparadas para portabilidade
O nível de exigência coloca desafios complexos de natureza “organizacional, processual e tecnológica”. As maiores dificuldades passam pela ausência de recursos especializados, pelas limitações dos sistemas de informação e pela necessidade de ajustamento de processos de negócio. “Em muitas organizações, os sistemas de informação apresentam diversas limitações, entre elas a ausência de modelos de autorização de acesso a dados pessoais e a incapacidade de rastrear o acesso a categorias especiais de dados. Estas limitações serão ainda mais evidentes com as novas exigências, como o direito ao esquecimento – através do qual o titular dos dados pode pedir à organização para apagar todos os dados sobre si – ou a necessidade de ser mantida a prova do consentimento manifestado pelo indivíduo para a recolha dos dados”, explica Rui Gomes.
Apenas 15% das instituições inquiridas pela KPMG adotaram práticas que asseguram o direito ao esquecimento, uma novidade que o novo regulamento trouxe juntamente com o direito à portabilidade. Este último dita que o titular pode exigir à entidade que detém os seus dados que os entregue a um concorrente de mercado. Em termos práticos, um cliente “pode dirigir-se à MEO e pedir que entregue todos os dados que o envolvem à NOS”. Para este processo, apenas 5% das empresas consultadas estão preparadas.