Este regulamento que entrará, formalmente, em vigor em maio de 2018, preconiza que as organizações criem e adaptem procedimentos que permitam o cumprimento das novas normas de proteção de dados, bem como a criação de mecanismos de controlo mais eficazes, no sentido de garantir o cumprimento da norma. O GDPR tem assim uma amplitude extraterritorial, ou seja, terá impacto, quer nas empresas sediadas na União Europeia quer nas empresas fora do espaço europeu, em que as atividades de tratamento estejam relacionadas com serviços ou visem a utilização de dados dos titulares na União Europeia.
Desta forma, nesta data, a esmagadora maioria das empresas terá de estar em conformidade com o GDPR. Caso contrário, existem sanções que podem chegar até aos 20 milhões de euros, ou até 4% do volume de negócios anual, total a nível mundial correspondente ao exercício financeiro anterior (o que for mais elevado). Estes valores são, de facto, propositadamente altos, de modo a que o esforço para estar em conformidade seja sempre inferior ao custo de não estar.
Neste contexto regulativo e com o objetivo de apoiar as empresas na promoção de um ambiente de proteção da privacidade e no alinhamento com os requisitos decorrentes do novo regulamento, tem vindo a ser desenvolvido um conjunto de medidas sobre a Gestão de Privacidade de Dados, que abrangem diversas dimensões de atuação macro, relacionadas com o conjunto de ações necessárias para garantir a cobertura de compliance exigida pela norma.
Ao longo do tempo, várias são as abordagens definidas para o GDPR. Consoante os níveis de risco identificados na organização, no que diz respeito às dimensões de legal, governance, data management e segurança, a abordagem deve assentar, fundamentalmente, numa posição de pragmatismo relativamente aos objetivos que são necessários atingir. Para tal, é necessário apostar no desenvolvimento de ações concretas que resultem na realização de atividades como legal gap analysis assessments, process and data management mapping, desenho de novos processos de governance e operacionais e planos de mapeamento tecnológico priorizados por nível de risco analisado.
Desta forma, as organizações devem, urgentemente, entrar em conformidade com o regulamento, dentro dos sistemas analíticos. Do conjunto de ações que têm demonstrado ser uma mais valia na análise ao planeamento necessário para um processo de compliance GDPR adequado, podemos destacar os seguintes pontos: a formação inicial para o alinhamento entre as equipas envolvidas no GDPR corporativo e o que efetivamente representa o GDPR na sua organização. Assim sendo, a formação afirma-se como fundamental na identificação de exemplos e tipos de dados que são relevantes, de modo a eliminar efeitos de contaminação pela dúvida e tornar mais eficiente e precisa a interpretação do trabalho de classificação e análise que fará parte dos processos de GDPR que se irão realizar.