Introdução
Nos últimos tempos, os meios de comunicação social têm noticiado a intensa atividade sancionatória da Agência Espanhola de Proteção de Dados (AEPD), centrada em diferentes sectores industriais e empresariais do nosso país. De facto, não há praticamente nenhuma área económica que não tenha sido multada nos últimos tempos, e isto inclui, naturalmente, as empresas de seguros, telecomunicações, financeiras e de serviços públicos. Por outras palavras, sectores críticos na prestação de serviços.
Em muitos casos, a origem das sanções reside no incumprimento formal da regulamentação em vigor em matéria de proteção de dados, por exemplo, na falta de legitimidade para o tratamento de dados. Noutros casos, a origem está em erros na gestão dos dados, que comprometem seriamente os direitos dos utilizadores do ponto de vista da privacidade. Por exemplo, ao fornecer informações a terceiros sem autorização.
Hoje, na nossa nova série de conteúdos sobre o RGPD, vamos falar sobre o princípio da responsabilidade.
A importância do princípio da responsabilidade
É verdade que hoje em dia, com o desenvolvimento do cibercrime e a sua especialização tecnológica, é difícil evitar que uma falha de segurança se transforme numa fuga ou roubo de dados de clientes. Por este motivo, o Regulamento Geral sobre a Proteção de Dados (RGPD) obriga o responsável pelo tratamento de dados a pôr em prática todos os meios possíveis para minimizar o seu impacto na organização. Assim, quando ocorre uma violação, é obrigatório notificar as autoridades de controlo num prazo máximo de 72 horas. Isto faz parte do princípio da responsabilização, também conhecido como responsabilidade proactiva.
A responsabilidade é entendida como a capacidade do responsável pelo tratamento de dados de cumprir (e demonstrar que o faz) os regulamentos de proteção de dados. Algumas das empresas recentemente sancionadas pela AEPD, de acordo com o pronunciamento da própria agência, não respeitaram esse princípio. Por exemplo, uma das multas aplicadas a uma empresa deveu-se à não atualização dos dados de um cliente, o que resultou na sua inclusão num ficheiro de não-pagamentos. Noutros casos de empresas sancionadas, o motivo foi a falta de uma base de dados que permitisse o tratamento dos seus dados com garantias. Ou, ainda, a incapacidade de provar que o cliente ou utilizador do serviço deu o seu consentimento. Nestes casos, o resultado foi uma violação do artigo 7.º, n.º 1, do RGPD:
1) Se o tratamento se basear no consentimento da pessoa em causa, o responsável pelo tratamento deve poder provar que a pessoa em causa deu o seu consentimento para o tratamento dos seus dados pessoais.
Em qualquer dos casos acima mencionados, é detectada uma falta de cumprimento do princípio da responsabilidade proactiva por parte do responsável pelo tratamento de dados, o que mostra que a gestão de dados não cumpre os requisitos do regulamento.
Seleção de ferramentas eficazes para a gestão de dados
É justo reconhecer que a gestão de dados não é simples devido ao seu volume e complexidade. Em muitos casos, dependerá também de outros factores como, por exemplo, o investimento necessário (financeiro e humano) para a tratar em conformidade com a lei.
No entanto, existem hoje ferramentas ágeis que permitem centralizar e armazenar os consentimentos dos utilizadores ao longo de todo o ciclo de vida da sua relação contratual, incluindo a possibilidade de o titular dos dados retirar a sua autorização a qualquer momento e com garantias.
Além disso, estas ferramentas cumprem os princípios da privacidade desde a conceção e por defeito, que incorporam as mais elevadas medidas de segurança e normas de privacidade para os dados dos clientes. Ajudam também a provar, se for caso disso, que o responsável pelo tratamento dos dados os obteve legitimamente.
Como é que um prestador de serviços de confiança qualificado te ajuda?
Muitos dos erros cometidos no tratamento de dados devem-se à não obtenção do consentimento das pessoas em causa ou à sua incapacidade de os manter sob a devida custódia e de os poder demonstrar em conformidade.
Neste sentido, um fornecedor de serviços de confiança qualificado, como o MailComms Group, certifica que a comunicação do consentimento ocorreu corretamente e pode fornecer toda a rastreabilidade do envio e receção do consentimento através de qualquer canal: e-mail, SMS, WhatsApp, etc. Desta forma, o responsável pelo tratamento de dados terá a oportunidade de provar que o consentimento foi obtido corretamente. Desta forma, poderá apresentá-lo como prova em caso de reclamação do cliente ou mesmo no processo de alegações em caso de reclamação da AEPD.
O MailComms Group também facilita o cumprimento dos regulamentos por parte dos responsáveis pela responsabilização, sendo um fornecedor certificado da ISO 27001 (Sistema de gestão da segurança da informação) e da ISO 27701 (Sistema de gestão da privacidade da informação).
Esta última norma é uma extensão das normas ISO 27001 e 27002, que abordam requisitos específicos que garantirão que as organizações têm uma governação de dados abrangente e universalmente aplicável, diretamente alinhada com os requisitos legislativos das suas jurisdições. Daí a importância de selecionar soluções e fornecedores que garantam uma segurança de 360° em torno destas ISO e dos seus conceitos abrangentes: segurança e privacidade da informação.
