Conformidade com o GDPR e pequenas empresas

Não, eles não estão. O GDPR se aplica sempre que uma empresa coleta dados pessoais de uma pessoa localizada na UE. Isso vale tanto se você trabalha sozinho quanto se tem escritórios em seis continentes.

Dito isso, você não precisa manter um registro escrito das suas atividades de processamento de dados se tiver menos de 250 funcionários, a menos que:

• Suas atividades de processamento de dados possam afetar os direitos e as liberdades das pessoas

• Você processa dados cobertos pelo artigo 9 do GDPR. São dados que revelam, sobre um indivíduo:
  • Raça ou etnia
  • Convicções políticas, religiosas ou filosóficas
  • Filiação a sindicato
  • Dados genéticos ou biométricos, ou dados sobre a saúde ou a sexualidade da pessoa

• Você processa dados pessoais abrangidos pelo artigo 10, ou seja, dados relacionados a infrações penais e condenações

• Você processa dados pessoais com regularidade

Muitas pequenas empresas e trabalhadores autônomos não se enquadrarão nas três primeiras isenções.

Mas e o quarto? A Comissão de Proteção de Dados da Bélgica sugeriu que nem todo o processamento de dados é “regular”, mesmo que você possa fazer isso diariamente. Segundo essa interpretação, você não precisa manter registros de dados pessoais usados, por exemplo, para fazer pedidos ou se comunicar com clientes. No entanto, um documento de posicionamento do Grupo de Trabalho do Artigo 29 — antecessor do Conselho Europeu de Proteção de Dados — parece indicar que você deve interpretar “regular” ao pé da letra. E o Comitê Europeu de Proteção de Dados concorda com isso. Como a posição é tão pouco clara, é uma boa ideia manter registros, mesmo que você ache que está isento. É melhor prevenir do que remediar.

Sim. O GDPR se aplica a empresas dos EUA se elas:

• Fizerem negócios na UE

• Se você não faz negócios na UE, mas coleta ou rastreia dados pessoais de pessoas que estão fisicamente localizadas na UE (isso inclui pessoas que estão viajando pela UE, mas normalmente não moram lá). Você pode estar fazendo isso sem nem perceber. Por exemplo, se os cookies do seu site podem ser usados para identificar um indivíduo, eles contam como dados pessoais no RGPD

Se você quiser continuar fazendo negócios na UE, precisa cumprir o GDPR. Ou corre o risco de levar uma multa pesada. Se você não faz negócios na UE, você tem duas opções:

• Cumpra o GDPR mesmo assim

• Restringir o acesso ao seu site, para que ele não possa coletar dados pessoais de pessoas localizadas na UE

Quando o GDPR entrou em vigor pela primeira vez, muitos sites dos EUA bloquearam usuários da UE para não infringir o GDPR. Por exemplo, mais de 1.1 sites de notícias dos EUA estavam inacessíveis na UE a partir de agosto de 2018. Algumas editoras decidiram sair permanentemente da UE. O porta-voz da Lee Enterprises, Charles Arms, comentou: “O tráfego da Internet em nossos sites de notícias locais originado da UE e do EEE é de minimis, e acreditamos que bloquear esse tráfego é do melhor interesse de nossos clientes de mídia local”. Dito isso, muitos sites dos EUA já conseguiram voltar a ficar online na UE sem nenhum problema. E o site da sua pequena empresa também pode ficar disponível na UE sem que você tenha problemas. Isso nos leva ao próximo ponto.

Colocar sua pequena empresa no caminho da conformidade com o GDPR não é tão difícil quanto você imagina. Aqui está uma lista de verificação de conformidade com o GDPR para você começar.

1. Quais dados pessoais você coleta?

Você precisa saber quais informações pessoais coleta e se alguma delas é sensível, ou seja, se enquadra nas categorias dos artigos 9 e 10 do GDPR. Você também deve se perguntar:

• De onde as informações vêm?

• Por que você está coletando isso?

• O que você está fazendo com isso?

Você vai precisar conseguir responder a essas perguntas se alguém perguntar.

2. Você tem consentimento?

A menos que você tenha fundamentos legais para usar dados pessoais, as pessoas precisam dar consentimento. Isso precisa ser:

• Entregue livremente

• Específico

• Informado

• Sem ambiguidade

Você precisa manter um registro por escrito do consentimento. Você também precisa facilitar e agilizar a revogação do consentimento. Os Softwares de Gerenciamento de Relacionamento com o Cliente compatíveis com GDPR podem ajudar aqui. Em particular, isso pode:

• Manter um registro por escrito dos nomes das pessoas e dos dados pessoais que você tem sobre elas

• Registrar o consentimento delas, especificando para que elas consentiram que você use os dados (por exemplo, para receber seu boletim informativo mensal)

• Oferecer um jeito fácil para as pessoas retirarem o consentimento, caso mudem de ideia (por exemplo, por meio de solicitação por escrito para “cancelar assinatura” com um clique)

3. Os dados estão seguros?

Sua empresa é responsável pelos dados pessoais que você coleta. E você corre o risco de ser multado se eles caírem nas mãos erradas. Portanto:

• Use software de criptografia ao armazenar ou transmitir dados pessoais online

• Proteja sua rede. Funcionários descuidados são a principal causa de vazamentos de dados, portanto, ter uma política de TI sólida é essencial. Você também deve investir em software de segurança, incluindo um firewall

• Crie avisos sobre cookie e política de privacidade em conformidade com o GDPR. Esses exemplos de modelo de cookie e de política de privacidade podem ajudar. Você também pode conferir o Centro de Confiança da Microsoft para saber mais sobre as práticas recomendadas do GDPR

• Verifique seus fornecedores para obter a Conformidade com o GDPR

4. E se acontecer uma violação grave?

Você precisa comunicar violações graves ao órgão regulador em até 72 horas, ou corre o risco de ser multado. Certifique-se de ter procedimentos de relatórios em vigor. E, mais importante, treine seus funcionários para:

• Ficarem atentos

• Entender o que é uma violação grave

• Reconhecer os sinais de alerta

Qual tem sido o impacto do GDPR nas pequenas empresas até agora?

Não tem outro jeito. A conformidade com o GDPR exige muito tempo e é cara. Na preparação para 25 de maio de 2018, as pequenas empresas do Reino Unido gastaram cerca de 600 horas cada uma se preparando para o GDPR. E isso sem contar o custo financeiro. No mundo todo, pequenas e médias empresas gastaram US$ 1,3 milhão com conformidade com o GDPR. Da mesma forma, a falta de conformidade pode ter um efeito devastador no seu resultado final. No primeiro caso do GDPR, uma rede social alemã foi multada em € 20.000 (aproximadamente US$ 22.600) por não manter os dados pessoais dos usuários em segurança, depois que um hacker roubou 330.000 endereços de email e senhas. Mas, embora você possa se sentir tentado a ver isso como um fardo, a conformidade com o GDPR também teve um impacto positivo nas pequenas empresas. Veja por quê. Os consumidores nunca levaram a privacidade tão a sério. E esperam que as empresas com as quais compartilham suas informações sintam o mesmo. Em um estudo recente, 69% dos consumidores dos EUA disseram até que gostariam de ver uma lei parecida com o GDPR ser aprovada nos EUA. Mais importante ainda, um estudo do CMO Council mostrou que os membros que estavam preparados para o GDPR tiveram mais engajamento, mais fidelidade e mais confiança dos consumidores. Fica claro que o GDPR é mais do que um monte de regras que você precisa seguir para não ser multado. Ninguém gosta que tirem suas informações privadas sem consentimento. Ou que elas fiquem guardadas em um lugar onde criminosos possam colocar as mãos nelas. Então, ao tomar medidas para alcançar a conformidade com o GDPR, você pode posicionar sua pequena empresa como uma que realmente se importa com os dados privados dos clientes. E isso pode dar a você a vantagem sobre sua competição.