Nos últimos anos, todos nós ouvimos a expressão "dados pessoais". Em maior ou menor grau, ajustamos nossos processos de negócios às exigências da legislação nesta área.
O número de inspeções do Roskomnadzor que identificaram violações nesta área neste ano está se aproximando dos 100%. Estatísticas do Roskomnadzor para a Região Central Federal no primeiro semestre de 2019 – 131 violações em 17 inspeções.
Nossa realidade cotidiana inclui "ligações frias" de diversas organizações com as quais provavelmente nunca tivemos negócios. De celulares em nome de grandes empresas (bancos, companhias de seguros, etc.). Mensagens SMS, das quais não é possível se desvincular. Parece que seu número só está aumentando.
Manter um equilíbrio entre os interesses dos negócios e o cumprimento das exigências do regulador é um verdadeiro desafio para empresas de qualquer porte. A lista e a suficiência das medidas a serem aplicadas devem ser avaliadas de forma independente. Entre os pontos positivos – é possível reduzir riscos evitando as violações mais comuns. Além disso, isso não exigirá gastos adicionais nem a adoção de medidas tecnicamente complexas.
Assim, o top-1 da lista é a violação das condições de tratamento de dados pessoais. Exemplos: lista incompleta de finalidades de tratamento, categorias de titulares, assim como terceiros que têm acesso aos dados.
Uma verdade que será necessário aceitar: não é possível fazer um único consenso padrão para todas as situações – nem para funcionários, nem para clientes, nem para usuários de um produto de software. Embora se deseje muito.
Toda vez que lançar uma nova campanha de marketing ou mudar o sistema de vendas, reserve 5 minutos para verificar se o consentimento contém:
1) o nome e o endereço da empresa – operadora,
2) as finalidades do tratamento,
3) a lista de dados,
4) a lista de ações com os dados e métodos de tratamento,
5) a transferência transfronteiriça e/ou a transferência a terceiros (especificando países e terceiros específicos),
6) o prazo de validade do consentimento e
7) o método de revogação do consentimento.
É raro que um modelo da internet possa se gabar de atender a todos os critérios, então é possível se apropriar, mas com cautela e adições.
Os auditores têm acesso a documentos que contêm dados pessoais? — É necessário consentimento especificando o objetivo (realização da auditoria), nome e endereço da empresa de auditoria. A empresa que entrega os produtos da loja online mudou? — O consentimento obtido durante o registro do cliente no site já não é suficiente. A opção de referenciar a lista de parceiros não garantirá 100% de tranquilidade, mas é melhor do que nada.
Merece menção separada o tratamento de dados dos usuários finais de software. Quando se deseja conhecer melhor o usuário e enviar ofertas relevantes. Quando os dados são coletados e armazenados, embora para o registro do produto seja suficiente uma chave de licença. Podemos usar esses dados com o consentimento do titular, mas não vincular a possibilidade de prestar o serviço principal/vender o produto a uma obrigatória campanha de marketing. Isso já não diz apenas respeito a dados pessoais, mas também à legislação sobre publicidade.
Outras condições também são bastante difíceis de cumprir. A lista de objetivos não deve ser excessiva. O princípio é um objetivo – um consentimento. Ou seja, não será possível obter consentimento para o tratamento dos dados do currículo do candidato e incluir isso no banco de talentos com uma única assinatura. Como compromisso, exemplos viáveis são aqueles em que em um único documento cada objetivo é destacado em um parágrafo separado e ao titular é dada a oportunidade de escrever "concordo" / "não concordo" em cada caso.
E finalmente, o que são dados pessoais? Como entender a partir da definição vaga dada na lei ("qualquer informação relacionada a uma pessoa física identificada ou identificável, direta ou indiretamente"), se um caso específico está sob sua aplicação? A Roskomnadzor prometeu até o final de 2018 aprovar a matriz de dados pessoais. O prazo foi adiado para o final de 2019. Estamos aguardando.
O que mais estamos aguardando:
- Projeto de Lei nº 04/13/09-19/00095069. Simplificação da forma de consentimento. Legalização da forma eletrônica de consentimento (marcação, SMS, etc.). Atualmente, a prática é ambígua, o tribunal pode tanto aplicar por analogia as regras sobre o consentimento em papel, como reconhecer o consentimento eletrônico como inapropiado.
- Projeto de lei nº 729516-7. Aumento de multas. Por violar repetidamente a exigência de localização (coleta inicial de dados em território da RF) – 18 milhões de rublos. Alteração da ordem de cálculo das multas. Vamos multiplicar o valor da multa pelo número de entidades cujos consentimentos foram considerados inadequados.
Os sujeitos de dados pessoais aguardam o fim das chamadas e envios indesejados, que são impossíveis de parar. Não me interessa crédito, a publicidade contextual atrapalha a visualização do conteúdo, e lembro que o seguro do meu carro está sendo baixado.
Fonte: habr.com
