Dados pessoais e inovação tecnológica: batalha sem fim à vista? | RHonline
Se é certo que a temática da proteção de dados sempre foi um tema por demais complexo, é igualmente certo que um novo regulamento vai entrar em vigor a nível internacional e será obrigatória a sua adaptação e implementação pelas empresas.
A partir de maio de 2018 o novo Regulamento Geral de Proteção de Dados (RGPD) entra em vigor. Como vem sendo habitual neste tópico, a discussão entre os "titulares" dos dados e as empresas que os processam poderá ter maiores contradições que consensos.
Neste momento, é necessário que as empresas interiorizem que o processamento de informação terá de ser mais rigoroso e que considerem critérios como o da privacidade, por exemplo, no desenvolvimento de novos produtos ou serviços para a utilização e/ou processamento de dados pessoas.
O avanço tecnológico – obrigatório para que as empresas que querem sobreviver na nova era moldada pela transformação digital e tão vantajoso para o negócio – torna-se aqui uma espécie de inimigo, que coloca grandes desafios no que à gestão de dados pessoais diz respeito.
Algumas das implicações também para as empresas estão relacionadas com investimentos que têm de ser feitos em infraestruturas e software e que podem ter consequências nos fluxos operacionais internos. O novo regulamento implica áreas que vão para além dos serviços de apoio de TI ou jurídicas – consideram a implementação de um sistema de gestão de risco, um sistema de gestão de segurança da informação e a adoção de novos comportamentos.
Como é por nós sabido, o tratamento de dados inclui não só a recolha, mas também todo o processamento dos mesmos. Cabe à empresa que os trabalha provar que está a cumprir o novo regulamento. Caso não o faça, as consequências serão penosas para a empresa.
No caso de empresas que trabalham a informação de outras empresas em regime de outsourcing, nomeadamente no que ao processamento salarial diz respeito, a regra aplica-se da mesma forma e é imperativo atender à nova normativa imposta pelo RGPD. A empresa fornecedora deve garantir que mantém um registo atualizado e organizado da informação, que a recolha dos dados foi feita com o explícito consentimento dos titulares dos dados em conformidade com os novos requisitos, e que tem pleno conhecimento do local onde os mesmos estão armazenados.
Consequentemente, tem de garantir a segurança, integridade, confidencialidade e disponibilidade dos sistemas e serviços de tratamento de dados, quer seja através de novas políticas e procedimentos que permitam avaliar e gerir os riscos, quer através de sistemas de gestão de segurança de informação introduzindo os conceitos de "Privacy by Design" e "Privacy by Default", isto é, no processamento é incluído o conceito de proteção de dados desde a sua conceção e por defeito.
É nesta fase que importa a nomeação de um DPO (Data Protection Officer) que assegure que os procedimentos estão a ser cumpridos em conformidade. É ao DPO que caberá o aconselhamento no que respeita a avaliação de impacto sobre a proteção de dados, sendo também ele responsável pela execução e implementação do novo regulamento.
Existem novas exigências para empresas contratadas em regime de outsourcing para processar dados pessoais. Para além de serem responsabilizadas por qualquer ato danoso ou não conforme o regulamento, elas têm efetivamente de comprovar que cumprem com todos os requisitos da nova legislação, no que diz respeito à confidencialidade e segurança.
De uma forma muito genérica, o novo RGPD obriga as empresas a mudar a perceção que têm dos clientes, mas também obriga a que consiga uma maior valorização de cada cliente, seja no momento em que recolhem os seus dados, quando os gerem e analisam.