Definindo a conformidade: para onde a privacidade e a segurança de dados globais estão indo em 2019
Publicados: 2019-01-31A primavera passada foi mais do que um pouco agitada para profissionais de marketing, profissionais de TI e advogados, graças ao Regulamento Geral de Proteção de Dados da União Europeia (GDPR), que se tornou aplicável em maio de 2018. Essa legislação transformacional abalou a privacidade e a segurança dos dados como conhecíamos - não apenas na UE, mas em todo o mundo - responsabilizando as empresas pela forma como lidam com os dados dos clientes e enfatizando novamente o direito dos indivíduos de controlar suas próprias informações.
Nos meses seguintes, ouvimos casos após casos em que gigantes da tecnologia como Facebook e Google enfrentam multas e outras ações legais por não divulgarem adequadamente como usam dados pessoais e outros lapsos de conformidade. Além disso, o GDPR iniciou uma onda de conversas e ações incrementais sobre privacidade e segurança de dados que deixam claro que o terreno nessa área-chave está longe de ser resolvido.
À medida que 2019 começa, uma das grandes questões que as marcas grandes e pequenas enfrentam em todo o mundo é: o que o novo ano reserva para a privacidade e segurança de dados globais? E embora não tenhamos uma bola de cristal em funcionamento aqui na Braze, temos a próxima melhor coisa: nossa vice-presidente sênior de departamento jurídico, conselheiro geral e secretário corporativo Susan Wiseman e conselheiro geral associado e diretor sênior (EMEA) Marjorie Armitage, que estiveram na linha de frente deste espaço em evolução nos últimos anos. Continue lendo para vê-los mapear suas previsões para o próximo ano:
1) A ênfase nos direitos de privacidade do consumidor se espalhará para fora da UE
Muitas pessoas jurídicas dirão que o GDPR não é particularmente novo quando se trata de seus principais conceitos jurídicos. O regulamento é muitas vezes vago e intencionalmente - parte de um esforço de seus redatores para permitir que a legislação permaneça flexível e relevante à medida que as tecnologias evoluem. (Afinal, a legislação da UE que substitui o GDPR, a Diretiva de Proteção de Dados, estava em vigor há 23 anos, desde quando os smartphones eram apenas um brilho nos olhos de Steve Jobs.) O que faz o GDPR se destacar da multidão é a maneira como que trabalha para proteger os cidadãos dos países da UE. Ao pintar a privacidade e a segurança de dados como uma espécie de direito humano básico, a legislação faz muito para garantir que as organizações de outros países que lidam com dados pessoais de cidadãos da UE levem essas questões – e conformidade – a sério.
Na verdade, a UE e vários outros países do mundo têm leis rigorosas para proteger dados pessoais. A UE permite que as empresas transfiram dados pessoais da UE para outros países que tenham leis igualmente rigorosas. A UE refere-se a esses países como jurisdições “adequadas”. Mas se, por exemplo, você for uma empresa de mídia sediada nos Estados Unidos - que é um país atualmente não reconhecido como adequado pelos padrões da UE - você ainda poderá processar dados pessoais de seus clientes na UE, desde que tenha acordado com o seu cliente que irá proteger os dados pessoais de uma forma que exceda os requisitos da lei dos EUA. Você pode fazer isso autocertificando-se no Privacy Shield ou assinando Cláusulas Modelo com seu cliente. Tanto o Escudo de Privacidade quanto as Cláusulas Modelo servem para validar as transferências de dados pessoais para os EUA; fazê-lo sem um método reconhecido pela UE seria uma violação do direito da UE.
Esses tipos de acordos são cruciais porque pode ser difícil para um país alcançar a adequação. Por exemplo, como os Estados Unidos ainda não possuem leis nacionais abrangentes que se alinhem ao GDPR, as empresas sediadas nos EUA só podem processar dados pessoais da UE se tiverem assinado com seus clientes as Cláusulas Modelo ou se tiverem autocertificado para o EU-US Privacy Shield Framework – que possibilita que empresas da UE transfiram dados pessoais de cidadãos da UE para empresas dos EUA (como Braze, por exemplo!)
2) Os Estados Unidos provavelmente não elaborarão uma lei federal de privacidade de dados em 2019, mas a legislação estadual será retomada
Embora seja verdade que os EUA não tenham leis nacionais que atendam aos padrões exigidos pelas autoridades de proteção de dados da UE, quando se trata de privacidade e segurança de dados do consumidor, estamos lenta mas seguramente começando a ver estado por estado legislação entra em jogo.
No ano passado, a Califórnia se tornou o primeiro estado do país a aprovar uma nova legislação de privacidade de dados com a criação da Lei de Privacidade do Consumidor da Califórnia. Essa lei é inovadora quando se trata de requisitos de privacidade de dados dos EUA, garantindo aos consumidores o direito de acesso e apagamento de dados, além de exigir que as empresas atualizem contratos de processamento de dados de terceiros para garantir a conformidade de maneiras que lembram as regras do controlador/processador estabelecidas no GDPR, entre outros requisitos inéditos nos EUA
Quando a aplicação do GDPR entrou em vigor em maio de 2018, mais do que algumas empresas dos EUA optaram por lidar com esse novo regulamento importante, bem... não lidando com ele. Ou seja, algumas organizações que não tinham clientes na UE optaram por não trabalhar em conformidade com o GDPR porque não tinham clientes na UE; enquanto isso, outras empresas que tinham clientes na UE optaram por excluí-los em vez de tentar seguir a nova lei. Algumas marcas na Califórnia, um importante centro de tecnologia e mídia nos EUA, também caíram nesse barco - lembra quando o Los Angeles Times derrubou seu site completamente na UE, tudo para não precisar cumprir o GDPR? Bem, agora essas mesmas empresas têm menos de um ano para se tornarem compatíveis com a Lei de Privacidade do Consumidor da Califórnia antes que a aplicação comece em 1º de janeiro de 2020.
No geral, caberia muito às empresas sediadas nos EUA – grandes e pequenas, novas e estabelecidas – começar a se mover em direção a uma realidade em que a privacidade dos dados dos clientes e os direitos de segurança são garantidos. Embora a Califórnia tenha sido o primeiro estado a aprovar uma legislação de privacidade de dados totalmente nova após o GDPR, estamos vendo outros estados como Louisiana, Alabama, Colorado e Virgínia tomando medidas para fortalecer as leis existentes sobre privacidade de dados. (Além disso, Vermont aprovou anteriormente uma nova lei endurecendo a regulamentação dos corretores de dados e estabelecendo padrões mínimos de segurança.)
Embora não haja nenhum sinal até agora de que o governo federal dos EUA tomará medidas para redigir uma lei federal no estilo GDPR este ano, a colcha de retalhos em expansão e a legislação nova e reforçada sobre privacidade de dados estado a estado é um sinal importante para as empresas que eles precisam pensar seriamente sobre como estão lidando com os dados atualmente. Se não o fizerem, correm o risco de serem pegos de surpresa quando uma nova lei nacional entrar em vigor ou quando as leis estaduais tornarem impossível fazer negócios nos EUA sem revisar como eles processam e gerenciam os dados do consumidor.
