Lista de verificação de conformidade com o GDPR

Se a sua organização coleta ou processa dados pessoais de residentes da União Europeia, está sujeita ao Regulamento Geral de Proteção de Dados (GDPR). O GDPR enumera requisitos específicos tanto para data controllers (organizações que determinam a finalidade e os meios de processamento de dados pessoais) quanto para data processors (empresas responsáveis pelo processamento de dados em nome de um controlador), e as penalidades por não conformidade são severas.

Este artigo fornece listas de verificação para ajudá-lo a alcançar e manter a conformidade com o GDPR. Você também pode querer buscar aconselhamento jurídico profissional.

Lista de Verificação para Início

Sua lista de requisitos principais do GDPR deve, no mínimo, incluir o seguinte:

• Contrate um encarregado de proteção de dados ou nomeie uma pessoa para assumir o papel de DPO — Um encarregado de proteção de dados é responsável por supervisionar a estratégia de proteção de dados de uma empresa e sua implementação. O papel de DPO é obrigatório se qualquer “categoria especial” de dados for processada ou se o processamento de dados for realizado por uma autoridade pública. Se a sua empresa não tem um escritório na UE, você deve nomear um representante oficial na UE.
• Realize uma avaliação de impacto sobre a proteção de dados (DPIA) — Inventarie todos os seus processos que envolvem a coleta, armazenamento, utilização ou exclusão de dados pessoais e, em seguida, avalie o quão valiosas ou confidenciais são as informações e que dano ou sofrimento os indivíduos poderiam sofrer no caso de uma violação de segurança. Utilize os resultados para ajudar a escolher medidas de segurança, políticas e procedimentos apropriados. Lembre-se de que todos os processos precisam ser projetados com a proteção da privacidade em mente, e a privacidade deve ser aplicada por padrão sempre que novos produtos ou serviços forem lançados ao público.
• Defina o seu plano de governança de dados plan — Governança de dados envolve reunir as pessoas, processos e tecnologias necessárias para lidar com os dados de forma consistente e adequada em toda a empresa.
• Obtenha consentimento para coleta, retenção e exclusão de dados — A conformidade com o GDPR exige garantir transparência e dar aos consumidores mais controle sobre seus dados.
• Documente suas técnicas de conformidade, auditoria e registro — Os controladores de dados devem ser capazes de provar que sua organização está em conformidade com as regulamentações do GDPR. Em particular, certifique-se de ter uma base legal documentada para armazenar e processar dados.
• Prepare-se para violações de dados — Os controladores de dados são obrigados a notificar a autoridade supervisora dentro de 72 horas após tomarem conhecimento de uma violação de dados, enquanto os processadores de dados devem notificar os controladores de dados relevantes sobre cada violação de dados. Se uma violação representar um alto risco para os sujeitos dos dados, então eles também devem ser informados, a menos que medidas eficazes de proteção, como pseudonimização ou anonimização completa, estivessem em vigor.
• Documente suas medidas de proteção de dados — Os auditores vão querer ver quais controles você implementou.
• Mantenha uma lista atualizada de atividades de processamento. Se a sua organização tem pelo menos 250 funcionários ou participa de processamento de dados de alto risco, você precisará manter uma lista de suas atividades de processamento que possa mostrar aos reguladores a qualquer momento.

Lista de verificação de auditoria do GDPR

A sua lista de verificação final de auditoria dependerá de vários fatores, incluindo a escala das suas operações, a quantidade e os tipos de dados que você coleta e os resultados da sua avaliação de impacto na proteção de dados. No entanto, aqui estão as coisas principais que você precisa fazer e perguntas a fazer à medida que trabalha para cumprir com o GDPR:

• Documente os dados pessoais que você coleta — Quais dados estamos coletando?
• Minimize o que você coleta — Temos uma função para cada pedaço de dados?
• Compreenda os fluxos dos seus dados — Onde estamos armazenando os dados?
• Escolha medidas de segurança robustas — Como protegemos e documentamos os dados?
• Aprimore sua política de retenção de dados — Por quanto tempo mantemos os dados?
• Avaliar riscos — Temos medidas adequadas em vigor para proteger dados de todas as fontes, incluindo e-mails e formulários?
• Tenha uma política de segurança interna — O que os membros da equipe precisam saber sobre manter os dados seguros? Existem passos que eles precisam seguir para manter os níveis de segurança?
• Prepare-se para pedidos de acesso do titular dos dados (DSARs) — Qual é o processo para atender a um pedido de exclusão, alteração ou acesso aos dados que armazenamos? (Os direitos dos titulares dos dados e suas obrigações correspondentes estão detalhados abaixo.)

Lista de Verificação dos Direitos do Titular dos Dados

Certifique-se de manter os seguintes oito direitos dos titulares dos dados:

• Direito de ser informado — Os indivíduos podem exigir que você forneça informações claras e concisas sobre o que faz com os dados pessoais deles.
• Direito de acesso— Qualquer titular dos dados pode exigir que você forneça uma cópia dos seus dados pessoais, juntamente com informações complementares para ajudá-los a entender como e por que você está usando seus dados e verificar se está fazendo isso de forma lícita.
• Direito de retificação— Os indivíduos têm o direito de corrigir dados pessoais inexatos. Dependendo dos propósitos do processamento de dados, os indivíduos também podem ter o direito de exigir que dados pessoais incompletos sejam completados (por exemplo, adicionando uma declaração suplementar).
• Direito ao esquecimento (direito de ser esquecido) — Os indivíduos têm o direito de ter seus dados pessoais apagados. O direito não é absoluto e aplica-se apenas em certas circunstâncias.
• Direito de restringir o processamento— O GDPR concede aos indivíduos o direito de limitar como uma organização pode usar seus dados.
• Direito à portabilidade dos dados— Os indivíduos têm o direito de receber os dados pessoais que forneceram a um controlador num formato estruturado, comumente utilizado e legível por máquina. Eles também podem solicitar que o controlador transmita esses dados diretamente a outro controlador.
• Direito de se opor ao processamento — Os indivíduos podem se opor ao processamento de seus dados pessoais a qualquer momento, e o controlador deve interromper o processamento.
• Direitos relativos à tomada de decisão automatizada durante o processamento de dados pessoais — Os indivíduos têm o direito de não ser submetidos a decisões baseadas exclusivamente em processamento automatizado (como a elaboração de perfis) que tenham um efeito legal sobre eles.

É necessário facilitar para os titulares dos dados o exercício desses direitos, seja fornecendo uma página de autoatendimento com botões e opções claras, ou por meio de solicitação direta a partir de formas de contato externas.

Lista de Verificação de Divulgação

Torne as seguintes informações publicamente disponíveis em uma linguagem clara e fácil de entender:

• Política de privacidade — Explique sua abordagem de privacidade de dados e Data Security Posture Management. Detalhe quais informações pessoais e não pessoais você coleta e por quê.
• Política de retenção de dados — Certifique-se de que nunca armazena dados por mais tempo do que o necessário para os fins para os quais foram coletados. Garanta que você exclua ou anonimize automaticamente os dados pessoais que não são mais necessários.
• Termos de transferência de dados para outros países — Explique em que condições você permite transferências internacionais de dados pessoais.
• Política de proteção de dados — Explique como os dados pessoais serão protegidos em conformidade com o GDPR.
• Informações de contato — Forneça o endereço legal da sua organização, bem como detalhes para contato com o seu encarregado de proteção de dados (se houver).
• Termos de uso — Se o seu sistema não coleta dados intencionalmente de ou sobre crianças, especifique o seguinte em texto em negrito: “Este site está disponível apenas para indivíduos que têm pelo menos 16 anos de idade.” Caso contrário, você precisa adicionar uma caixa de seleção à sua página de registro (conforme descrito abaixo) e obter o consentimento dos pais para usuários menores de 16 anos.
• Política de pagamento & política de cookies — Especifique como os pagamentos são processados e quais cookies o sistema define e utiliza.

Lista de Verificação da Página de Registro

Mantenha os seguintes requisitos em mente ao projetar sua página de registro:

• O número de campos deve ser mínimo e razoável.
• É necessário que seja claro para os titulares dos dados a que estão consentindo. Você deve oferecer-lhes controle granular sobre quais materiais de marketing recebem de você, não apenas agrupar todo o consentimento em uma única caixa de seleção. Você precisa de uma caixa de seleção separada se quiser permitir que os usuários se inscrevam em uma lista de distribuição.
• É obrigatório que os usuários concordem explicitamente com os termos de uso e a política de privacidade.

Lista de Verificação de Auditoria de Documentos

Os seguintes documentos são necessários durante uma verificação de conformidade com o GDPR:

• Política de privacidade
• Política de proteção de dados pessoais
• Inventário de atividades de processamento
• Política de resposta a incidentes de segurança
• Formulário de notificação de violação de dados à autoridade supervisora
• Formulário de notificação de violação de dados aos titulares dos dados
• Política de retenção de dados
• As seguintes políticas podem ser combinadas em uma única política de governança da informação:
• Política de descarte de dados
• Política de backup e continuidade dos negócios
• Política de controle de acesso ao sistema
• Procedimentos de SLA e escalonamento
• Política de controle criptográfico
• Política de recuperação de desastres e continuidade dos negócios
• Padrões de codificação e procedimento de implementação
• Política e processos de emprego
• Política de término de usuário
• Política de auditoria
• Política de avaliação de risco
• Política de conscientização e treinamento

Listas de verificação de proteção de dados

O GDPR não especifica controles de segurança particulares para conformidade, mas exige que você honre o princípio da proteção de dados por concepção e por padrão. As seguintes listas de verificação ajudarão você a implementar medidas e práticas técnicas e organizacionais apropriadas.

Lista de Verificação de Proteção de Dados: Medidas Técnicas

• Segurança de rede — Projeto de segurança de rede, firewalls, acesso VPN
• Criptografia para dados em repouso — Criptografia de disco inteiro, criptografia de banco de dados
• Criptografia para dados em trânsito — HTTPS, IPSec, TLS, PPTP, SSH
• Controles de acesso (físicos e técnicos):
• Restrinja o acesso ao seu sistema apenas a fontes confiáveis
• Implemente a detecção e prevenção de ameaças internas
• Limite as permissões de usuários e grupos de acordo com as necessidades do trabalho
• Restrinja o uso de contas privilegiadas
• Imponha uma política de senha forte
• Implemente uma política de bloqueio
• Prevenção e detecção de intrusões
• Monitoramento de saúde
• Backups regulares
• Criptografia de backup
• Autenticação multifator (MFA), autorização rigorosa
• Solução antivírus
• Varreduras regulares de infraestrutura
• Política de instalação de software, política de atualização de software, política de atualização de equipamentos

Lista de Verificação de Proteção de Dados: Medidas Organizacionais

• Devida diligência — Suas medidas de segurança são inúteis se você passar dados para terceiros que não podem garantir a proteção dos dados. Verificar minuciosamente seus fornecedores e prestadores de serviço é tão importante quanto auditorias internas e relatórios.
• Revisões & auditorias — Para garantir que suas políticas e procedimentos sejam eficazes, você deve realizar revisões e auditorias regulares de políticas. Pode ser útil ter modelos para essas revisões.
• Treinamento — Você precisa garantir que seus funcionários e contratados estejam cientes dos riscos legais e possuam as habilidades adequadas.
• Relatórios — Relatórios regulares para a alta gestão são essenciais para a responsabilidade em toda a empresa, bem como para obter financiamento adequado e outros recursos para a conformidade com o GDPR.