4 princípios essenciais da GDPR para a conformidade de TI

A UE aprovou recentemente duas leis importantes: a Lei de Serviços Digitais e a Lei de Mercados Digitais. Ambas afetam significativamente a forma como as grandes empresas de tecnologia lidam com os dados dos usuários e também nos lembram de outra decisão histórica proferida há cerca de quatro anos.

A General Data Protection Regulation (GDPR - equivalente à LGPD) foi introduzida em 28 de maio de 2018 e estabeleceu a privacidade de dados como um direito fundamental na UE e no restante do mundo. O impacto foi abrangente, pois afetou todas as empresas que lidam com dados de cidadãos da UE. A GDPR continua sendo o padrão de excelência quando se trata de segurança de dados.

Antes de explorar quatro requisitos importantes de conformidade com a GDPR que toda organização deve conhecer, vamos analisar os seguintes tópicos para obter uma visão geral do padrão regulatório.

• O que é a GDPR?
• Por que ela foi implementada?
• Terminologias importantes mencionadas na norma

O que é a GDPR?

A GDPR é uma regulamentação de segurança que foca na privacidade de dados nos estados-membros da UE e na área econômica da UE. Ela é aplicada pela Comissão Europeia e é um documento abrangente com 99 artigos categorizados em 11 capítulos. A GDPR aborda a coleta, transmissão e processamento de dados de cidadãos, e cobre de forma abrangente o procedimento de tratamento de uma violação de dados. A legislação foi aprovada poucos meses após o infame escândalo da Cambridge Analytica, destacando a necessidade de uma lei que impeça esse tipo de uso indevido de dados.

Ao contrário de sua predecessora, a Lei de Privacidade de Dados, que determinava que cada estado-membro da UE tivesse sua própria legislação de privacidade, a GDPR é uma regulamentação comum aplicada de forma unânime em todos os estados-membros, juntamente com qualquer organização que lide com informações pessoais ou privadas de cidadãos.

Por que ela foi implementada?

A Lei de Privacidade de Dados de 1998, que foi substituída pela GDPR, era uma legislação ultrapassada baseada na Diretriz de Proteção de Dados da UE de 1995. Antes da entrada em vigor da GDPR, a maioria das plataformas online dava grande ênfase à obtenção de informações pessoais dos usuários, apresentando uma política de privacidade muito vaga e extensa, seguida de várias caixas de seleção e botões de opt-in.

O aumento do uso de aplicações de mídia social e o compartilhamento de grandes quantidades de dados pessoais online pelos usuários geraram a necessidade de regulamentar as informações publicadas na Internet. A GDPR foi promulgada para dar aos cidadãos maior controle sobre seus dados.

Terminologias importantes

A GDPR define determinados conceitos em seu quarto capítulo para uma melhor compreensão da regulamentação. Vamos dar uma olhada em alguns deles.

4 princípios essenciais da GDPR para a conformidade de TI

As empresas que estão em conformidade com a GDPR devem ter um procedimento de processamento de dados transparente, realizado para uma finalidade específica. Deve conceder aos colaboradores e clientes direitos e privilégios sobre seus dados, conforme listado na GDPR. Isso inclui notificar as vítimas sem demora injustificada após uma violação de dados, já que isso pode colocar em risco seus direitos e liberdades. Embora seja essencial que as organizações implementem todos os requisitos da GDPR para garantir que os colaboradores tenham controle sobre suas informações, aqui estão quatro que você simplesmente não pode deixar de lado.

• Direito de acesso: O direito de acesso estabelece que os usuários podem obter uma cópia de seus dados que estão sendo coletados e verificar quais dados a empresa possui sobre eles.
• Direito ao apagamento: O direito ao apagamento, ou direito de ser esquecido, garante que os dados de um usuário sejam excluídos pela empresa caso ele não consinta com seu processamento. Ele pode ser revogado em determinadas circunstâncias, como quando o processamento é necessário por motivos de conformidade, interesse público ou exercício do direito à liberdade de informação.
• Notificações de violação: A GDPR exige que os controladores de dados notifiquem as autoridades supervisoras competentes sobre uma violação de dados dentro de 72 horas após a sua ocorrência. O controlador também é obrigado a documentar esse evento por motivos de conformidade.
• Taxas por não conformidade: A não conformidade com a GDPR pode resultar em uma multa de até 20 milhões de euros ou 4% do faturamento global da empresa, o que for maior.

Estar em conformidade com as políticas de GDPR usando SIEM

O direito de acesso e o direito ao apagamento determinam que as organizações rastreiem todos os dados de colaboradores que estão sendo processados para garantir transparência e um processo de conformidade eficiente. Os titulares dos dados também têm o direito de saber quem está processando e quem tem acesso aos seus dados.

É aqui que o SIEM entra em ação. Uma solução de SIEM como o Log360 pode ajudá-lo a:

• Desenvolver políticas de auditoria e rastrear alterações ou modificações feitas em pastas que contenham dados confidenciais.
• Criar relatórios personalizados para mudanças de acesso ou incidentes de segurança.
• Configurar alertas instantâneos por e-mail e SMS em caso de uma modificação ou atividade suspeita.
• Detectar violações de dados usando correlação de eventos em tempo real para garantir que sejam reportadas em até 72 horas após a ocorrência.
• Documentar e armazenar todos os dados necessários por motivos de conformidade e legais.

Esteja em conformidade com a GDPR com facilidade. Escolha uma solução de SIEM como o Log360 para ajudá-lo a automatizar o processo de auditoria, que exige muito tempo e recursos. Quer saber mais? Solicite uma demo personalizada com nossos especialistas em produtos para começar.