Em 25 de maio de 2018, entrará em vigor o Regulamento Geral de Proteção de Dados Europeu, o chamado GDPR (General Data Protection Regulation). O GDPR substitui a Diretiva de Proteção de Dados 95/46/EC e foi criado para harmonizar as leis locais de privacidade de dados em toda a Europa, visando proteger, de forma uniforme, os dados de titulares localizados na União Europeia, reformulando e modernizando o modo como o tema da proteção de dados e privacidade é tratado atualmente.

O GDPR terá um efeito global, uma vez que será aplicável a entidades que processam dados pessoais mesmo fora da União Europeia, desde que ofereçam bens ou serviços a titulares de dados que se encontrem em algum país da União Europeia ou caso monitorem o comportamento de titulares de dados localizados em tais países.

A fiscalização e a apuração de eventuais infrações ficarão a cargo das Autoridades de Controle, órgãos locais que serão instituídos com esse propósito, por cada um dos países do bloco, a partir da entrada em vigor do GDPR. Empresas que infringirem o GDPR estarão sujeitas a multas de até 4% de sua receita global ou 20 milhões de Euros, o que for maior.

Embora significativo por seu escopo e pela gravidade de suas possíveis sanções, muitas empresas já haviam percebido que não há necessidade de se esperar por leis e regulamentos sobre o tema para que se preocupem com a criação e implementação de políticas robustas de segurança da informação ou para que sejam transparentes com seus clientes sobre como seus dados estão sendo coletados, usados e protegidos. Os riscos aos quais estão expostas e as exigências do mercado já demonstravam que esse era o caminho a ser seguido.

Além de exigir a implantação de controles rígidos de proteção de dados pelas organizações sujeitas à jurisdição do GDPR, foi estabelecida, dentre outras regras, a necessidade de obtenção de consentimento livre, informado, inequívoco e específico do titular para o processamento de seus dados, devendo este ser obtido por meio de redação clara e não mais em meio a longos e indecifráveis termos de uso.

Ainda, o GDPR exigirá que organizações, dentro de 72 horas de uma violação de dados que possa colocar em risco os direitos e liberdades de seus clientes, informem tanto às Autoridades de Controle, quanto àqueles cujos dados possam ter sido comprometidos, sobre a ocorrência do vazamento. Além disso, será garantido o direito ao esquecimento, respeitados seus critérios específicos.

Com a iminência de sua vigência, as organizações que estiverem sob sua jurisdição devem garantir a conformidade das suas práticas às novas regras. Acredita-se que pelas características e requisitos das Autoridades de Controle estas devem, desde o início, fiscalizar e aplicar ativamente a nova lei.

Dada a sua importância, o GDPR não deve ser considerado apenas uma preocupação de Tecnologia da Informação ou do time de compliance. Trata-se de questão crítica que exige planejamento e envolvimento dos níveis mais altos das organizações.

Portanto, se preparar para os impactos que o GDPR poderá trazer, incluindo a forma de lidar com violações, investigações, sanções e eventuais danos reputacionais é necessário. As empresas precisarão se preparar e encontrar maneiras de usar seus mecanismos de segurança cibernética e a coleta eficiente e protegida de dados para se destacarem no mercado. Um programa de compliance em proteção de dados é essencial.

Em um primeiro momento, pode parecer que o GDPR pouco impactará o Brasil, mas a tendência é que esse movimento acelere a aprovação de uma lei geral de proteção de dados brasileira, a qual já vem sendo discutida no Congresso e é fortemente baseada na legislação europeia. Devemos tratar o GDPR, independentemente de sua aplicação ou não à determinada organização, como uma oportunidade de preparação e investimento em um tema que não pode mais ser ignorado, independente do setor de atuação.