Proteção de dados pessoais: Novos desafios Readiness assessment. Novembro de 2016 Miguel Barão da Cunha

Transcrição

1 Proteção de dados pessoais: Novos desafios Readiness assessment Novembro de 2016 Miguel Barão da Cunha 1

2 Entrou em vigor, em Maio de 2016, o novo regulamento Europeu em matéria de proteção de dados pessoais, o qual tem aplicação direta nos países que integram a União Europeia ao final de 24 meses. O conceito mais abrangente de dados pessoais, definido neste regulamento, a par da crescente desmaterialização da informação e da utilização de novos paradigmas tecnológicos, implicam a conformidade com um conjunto mais alargado e exigente de requisitos de aplicação obrigatória no que respeita à proteção e tratamento dos dados pessoais. 17 Dez 2015 Maio 2016 Até 24 meses Maio 2018 Aprovação texto final Publicação oficial Período de implementação Entrada em vigor 2

3 Proteção de dados pessoais Introdução ao novo Regulamento O novo Regulamento estabelece um conjunto de novas obrigações materiais e formais aplicáveis a toda a organização, de entre as quais se destaca: Direito ao esquecimento Direito à portabilidade dos dados Notificação de Data Breach Consentimento Accountability Privacy by Design e Privacy by Default Data Protection Officer Subcontratantes Coimas muito avultadas Coimas até 20 milhões de euros ou até 4% do turnover global da organização, em resultado de: Não compliance com o regulamento; Danos físicos, materiais ou morais causados aos detentores dos dados pessoais Atentar contra os direitos e liberdades dos cidadãos 3

4 Utilização Controlo do ciclo de vida de informação Que processos ou tecnologias acedem ou processam informação relevante? Recolha e captação Retenção Recolha e captação de dados pessoais em pontos de contacto, canais de interação, informação pública, divulgada por terceiros, transmitida Cliente Utente Colaborador Formulários Inquéritos Exames Infor. pública Notificação Data suppliers Consentimento Motores pesquisa Retenção Processamento Armazenamento e retenção de dados, adotando mecanismos de proteção e segurança que assegurem a sua confidencialidade, integridade. Particular atenção relativamente à informação mais sensível (e.g. crianças, saúde, legal) Data centers Repositórios de dados Cloud services Hosting Perfis de acesso Dados sensíveis Recolha e captação Destruição e transmissão Processamento Processamento dos dados recolhidos de acordo com os requisitos normativos/ legais de proteção e segurança, e atualização e disponibilização controlada Aplicações Web & mobile Digital shopping Atualização Profilling Logging Comunicações Redes Telemóveis Partilha Subcontratação Destruição e transmissão Ciclo de vida da informação Destruição/eliminação e portabilidade de dados, assegurando o cumprimento legal do regulamento Destruição física/ lógica Portabilidade Partilha Para a proteção dos dados pessoais, é importante conhecer/localizar as diferentes fontes de informação 4

5 Que questões devem ser feitas? Qual o atual nível de awereness da organização? De que forma a organização está a responder aos novos requisitos? A organização tem tido/ teve recentemente constrangimentos a este nível? Que riscos podem ter particular relevo para a organização? Atendo à realidade, qual a abordagem mais adequada à organização? 5

6 O envolvimento de toda a organização no endereçamento deste requisitos é critica, sendo importante identificar os interlocutores e equipa multidisciplinar. O adequado sponsorship é fator critico de sucesso. 6

7 Contactos A nossa experiência alargada nas diferentes áreas de atuação, permite-nos envolver uma equipa multidisciplinar e experiente, adequada a iniciativas de elevada complexidade e com impacto transversal nas organizações. Miguel Barão da Cunha (speaker) Senior Manager Privacy & Data Protection micunha@deloitte.pt João Paulo Domingos Partner Privacy & Data Protection jdomingos@deloitte.pt João Carlos Frade Partner Privacy & Data Protection jfrade@deloitte.pt Erik Luysterborg Partner EMEA Privacy & Data Protection leader eluysterborg@deloitte.com Thomas Kirstan Principal Advisor Cybersecurity Risk Services danfrank@deloitte.com 7

8 Deloitte refere-se a Deloitte Touche Tohmatsu Limited, uma sociedade privada de responsabilidade limitada do Reino Unido (DTTL), ou a uma ou mais entidades da sua rede de firmas membro e suas entidades relacionadas. A DTTL e cada uma das firmas membro da sua rede são entidades legais separadas e independentes. A DTTL (também referida como "Deloitte Global") não presta serviços a clientes. Para aceder à descrição detalhada da estrutura legal da DTTL e suas firmas membro consulte A Deloitte presta serviços de auditoria, consultoria fiscal, consultoria de negócios e de gestão e corporate finance a clientes nos mais diversos sectores de actividade. Com uma rede globalmente ligada de firmas membro em mais de 150 países e territórios, a Deloitte combina competências de elevado nível com oferta de serviços qualificados conferindo aos clientes o conhecimento que lhes permite abordar os desafios mais complexos dos seus negócios. Os mais de profissionais da Deloitte empenham-se continuamente para serem o padrão de excelência. Esta comunicação apenas contém informação de carácter geral, pelo que não constitui aconselhamento ou prestação de serviços profissionais pela Deloitte Touche Tohmatsu Limited, pelas suas firmas membro ou pelas suas entidades relacionadas (a Rede Deloitte ). Nenhuma entidade da Rede Deloitte é responsável por quaisquer danos ou perdas sofridos pelos resultados que advenham da tomada de decisões baseada nesta comunicação. 8