Existem dois tipos de atores responsáveis pelo regulamento europeu sobre a proteção de dados: os responsáveis pelo tratamento dos dados e os provedores.

Para lembrar: o responsável pelo trato dos dados determina a finalidade e os meios pelos quais a informação pessoal é tratada.

Além disso, devemos também mencionar os provedores que intervêm nas diferentes etapas do tratamento dos dados segundo o objetivo desejado, tanto atuando conta própria ou seguindo instruções. Com o RGPD, os provedores também podem ser reponsabilizados pelos dados em sua posse.

Exemplo

Exemplo: Você é o(a) responsável de marketing, comunicação, de vendas, operações, assistente jurídico, especialista de e-commerce e desenvolvimento de páginas web, encargado de recursos humanos?

Você está implicado no primeiro grau na finalidade e meios de tratamento de dados pessoais na sua empresa. Por tanto, é a sua empresa (pessoa moral) e não você mesmo (pessoa física), quem será responsável pelo trato. A não ser que seja provado que você atuou sozinho em determinar os usos e maneiras de trato aplicados aos dados.

Formalidades preliminares

Desde 25 de Maio de 2018, mas há princípios mais grandes a levar em conta: a privacidade por desenho, por defeito e por responsabilidade.

Privacidade por desenho ou por padrão

A privacidade por desenho ou por padrão (ou a proteção dos dados desde o princípio e por defeito) é a necessidade de integrar de maneira sistemática as medidas necessárias para a proteção de dados pessoais ao criar um serviço ou produto. Ao ser o criador de um produto ou serviço, você pode se ver afetado por este assunto.

Princípio da responsabilidade

A isso se refere ao princípio da responsabilidade. Os responsáveis dos dados pessoais e os provedores devem, todos de uma vez, realizar processos que permitam a proteção de ditos dados e ao mesmo tempo devem estar capacitados de realizar provas que demonstrem o cumprimento do regulamento europeu (em outras palavras, poder rastrear de maneira permanente a eficiência dos processos por meio de documentos e medidas internas).

O setor de aplicação será feito da maneira que segue: os responsáveis pelo trato e os provedores que se encontre na União Europeia (UE) se verão afetados, assim como aqueles localizados fora da UE mas que implementam o processamento de dados para fornecer bens ou serviços para pessoas dentro da UE ou para monitorar o seu comportamento na UE.

Os direitos e obrigações previstos no regulamento europeu incluem:

Portabilidade de dados

Portabilidade dos dados: o seu cliente poderá solicitar o envio de todos os seus dados em um formato legível para fornecê-los a outra empresa, caso ele decida trocar de fornecedor.

Notificação de violação de dados

Notificação da violação de dados: Em caso de violação de dados (falha, acesso não autorizado, etc.) o responsável pelo processamento terá a obrigação de informar às autoridades dentro de 72h, ou mesmo às pessoas cujos dados tenham sido violados se o risco de violação dos seus direitos e liberdades for elevado.

Manter um registro do processamento de dados

Com condições, é altamente recomendável.

Nomear um oficial de proteção de dados (OPD)

Sob condições. Ele deve garantir a protecção de dados pessoais.

Análise de impacto

Antes de implementar um novo tratamento, realizar avaliações de impacto em caso de alto risco de danificar a proteção de dados pessoais. É particularmente recomendado para o tratamento já em vigor, que apresenta um risco alto.

Em caso de incumprimento com o regulamento europeu sobre a proteção de dados pessoais, foi definida uma nova escala de sanções. A multa pode atingir os 4% do volume de negócios mundial do infrator ou 20 milhões de euros, dependendo do que for mais elevado.

Não é apenas a mensagem (natureza, significado) que você envia que precisará mudar para atender aos requisitos da RGPD, mas também a forma como você trata os dados pessoais dos seus contatos. Seja transparente, informando-os antes do processamento dos dados. Caso a justificação legal seja baseada no consentimento, você deve ser capaz de fornecer provas válidas de que o consentimento foi obtido.

Os dados pessoais são informações que identificam direta ou indiretamente um individuo. Um endereço de e-mail como sobrenome@sobrenome.com é um meio de identificar diretamente uma pessoa física, enquanto um número de cliente pode ser um meio indireto de identificação.

Por outro lado, um endereço genérico por si só não permite, identificar uma pessoa singular (a menos que ela esteja na posse de informações que permitam a sua identificação através de verificação cruzada). contact@nomedasociedade.com são dados de contato para pessoas colectivas. Como este tipo de dados não são considerados dados pessoais e não se enquadram no âmbito da RGPD.

As regras aplicáveis à comunicação eletrônica não são questionadas pelo RGPD.

Note-se, no entanto, que o projeto de regulamento europeu sobre a privacidade eletrônica, atualmente em discussão a nível europeu, lança o debate sobre temas que combinam a comunicação digital e o consentimento do utilizador. Este tema continuará sendo desenvolvido nos próximos meses.

Quando falamos sobre dados pessoais, nós necessariamente pensamos uma vez ou outra sobre o consentimento das pessoas cujos dados estamos processando. As amalgamações sobre a evolução do conceito de consentimento no âmbito de RGPD são legionárias na internet.

O texto europeu lembra que o consentimento é uma das justificativas legais em que o processamento de dados pode se basear. Mas não é a única justificativa possível para o processamento de dados (ex: execusão de um contrato) e, nesse sentido, é errado afirmar que o consentimento será sistematicamente obrigatório pelo RGPD e que fará dele uma regra a ser seguida.

Por outro lado, o RGPD aprimora as condições que se aplicam quando o processamento de dados é baseado em consentimento é necessário (por exemplo, no caso de prospecção comercial B2C) ou quando você opta por justificar o processamento de dados por meio do consentimento, você deve obter um consentimento válido aos olhos do RGPD:

É necessário um declaração ou ato positivo claro e inequívoco da pessoa

Caixas pré-checadas, consentimento passivo ou implícito são estritamente proibidos!

O consentimento deve ser informado

Informar a pessoa envolvida com palavras simples do uso pretendido de ses dados, a pessoa deve estar ciente do consentimento dado e do seu escopo. Não use negação.

O consentimento deve ser gratuito e específico

O consentimento deve ser gratuito e específico: deve ser dado para um propósito específico (para enviar ofertas comerciais e não as suas propostas e as de seus parceiros). Não deve ser forçado (associado com um desconto, um presente ou até mesmo a execusão de um serviço quando não for necessário). Você também deve distinguir entre consentimento para o processamento de dados e o consentimento para o RGPD.

O direito de retirar o seu consentimento a qualquer momento

Você deve informar a pessoa que tem o direito de retirar o seu consentimento em qualquer momento, declarando que é tão simples retirar o consentimento quanto dá-lo.

Conservar a prova do consentimento obtido

Planeje conservar a prova de consentimento obtida (cabe a você provar isso!): O que a pessoa consentiu, o momento em que consentiu, a quem consentiu. Rastreabilidade das ações deve ser implementada: no consentimento, propósitos e consentimentos revogados.

Providenciar a retirada efetiva do consentimento da pessoa

Providenciar a retirada efetiva do consentimento da pessoa. (Configurações editáveis na conta do cliente, por exemplo)

Por outro lado, o direito de informação ao processamento de dados é refoçado pelo regulamento europeu. Em particular, os usuários devem ser claramente informados sobre o uso de seus dados, os destinatários, o período de retenção, a possibilidade de corrigir, apagar ou limitar seus dados, ou para se opor ao tratamento.

O responsável pelo tratamento dos dados deve utilizar apenas provedores que demonstrem garantias suficientes na implementação de medidas apropriadas de proteção de dados técnicos e organizacionais, para que o processamento atenda aos requisitos do RGPD.

À primeira vista, como cliente de uma solução de marketing por email, por exemplo, você está em uma posição de controle usando esse provedor para rotear seus boletins informativos ou campanhas de email enviados em seu nome, com a sua conta, e sob as suas instruções, por exemplo. Portanto, é a sua responsabilidade garantir que esta solução de marketing por email implemente os meios necessários e adaptados à proteção de dados pessoais.