O que é o GDPR?
O Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679) é aplicável desde 25 de maio de 2018 e estabelece as regras que regem o tratamento de dados pessoais.
O GDPR se aplica nos 27 Estados-Membros da UE e no EEE e também pode se aplicar a organizações fora da UE quando os requisitos de escopo territorial do regulamento são atendidos.
O regulamento se baseia em princípios como:
Licitude, lealdade e transparência
Limitação da finalidade
Minimização dos dados
Exatidão
Limitação da conservação
Integridade e confidencialidade
As organizações também devem identificar uma base legal adequada para o tratamento de dados pessoais e cumprir os requisitos aplicáveis de transparência, responsabilização, segurança e direitos dos titulares dos dados.
Quem precisa cumprir o GDPR?
A conformidade com o GDPR pode ser relevante para organizações estabelecidas dentro ou fora da UE, dependendo das suas atividades de tratamento e da aplicação do escopo territorial do regulamento.
Isso pode incluir:
Empresas de SaaS e tecnologia de fora da UE
Organizações de fora da UE que oferecem bens ou serviços a indivíduos na UE ou monitoram o comportamento deles podem estar sujeitas ao escopo territorial do GDPR.
E-commerce e plataformas digitais
Empresas on-line que atendem clientes em mercados europeus podem tratar dados pessoais sujeitos aos requisitos do GDPR.
Empresas de marketing e AdTech
Organizações envolvidas em definição de perfis, publicidade direcionada, análise de dados e monitoramento comportamental podem ter obrigações significativas perante o GDPR.
HealthTech e biotecnologia
Organizações que tratam categorias especiais de dados, incluindo informações de saúde, podem enfrentar requisitos adicionais no âmbito do GDPR.
Empresas de IA
Organizações que desenvolvem ou implantam sistemas de IA que tratam dados pessoais podem precisar atender ao GDPR em conjunto com outras regulamentações de tecnologia aplicáveis.
Serviços de conformidade com o GDPR
A RegulatoryBridge oferece uma abordagem de seis pilares para a conformidade com o GDPR, concebida para ajudar as organizações a gerenciar as principais obrigações com um único parceiro de conformidade.
Representante na UE do artigo 27
01Organizações estabelecidas fora da UE que estejam sujeitas ao escopo territorial aplicável do GDPR podem ser obrigadas a designar um representante na UE nos termos do artigo 27, observadas as condições e exceções do regulamento.
A RegulatoryBridge pode atuar como representante na UE e servir de ponto de contato para as autoridades supervisoras competentes e para os titulares dos dados.
Nosso serviço de representante na UE inclui:
- Representação do artigo 27
- Comunicação com autoridades e titulares dos dados
- Interlocução com autoridades
- Suporte multilíngue
- Documentação da representação
- Gestão da correspondência regulatória
Data Protection Officer terceirizado
02Algumas organizações são obrigadas a designar um Data Protection Officer (DPO) nos termos do artigo 37 do GDPR.
A RegulatoryBridge oferece suporte de DPO terceirizado para organizações que precisam de conhecimento especializado em privacidade sem manter toda a função internamente.
Nosso suporte de DPO pode incluir:
- Consultoria em conformidade com o GDPR
- Governança de privacidade
- Suporte ao ROPA
- Orientação em DPIAs
- Suporte aos direitos dos titulares dos dados
- Conscientização e treinamento de equipes
- Cooperação com autoridades supervisoras
- Revisões do programa de privacidade
Registros das atividades de tratamento (ROPA)
03O artigo 30 exige que determinadas organizações mantenham registros das atividades de tratamento.
Um ROPA bem mantido pode ajudar as organizações a entender:
- Quais dados pessoais são tratados
- Por que são tratados
- Quem tem acesso a eles
- Onde os dados são armazenados
- Quem recebe os dados
- Prazos de retenção aplicáveis
- Medidas de segurança
- Transferências internacionais
- Controladores e operadores envolvidos
A RegulatoryBridge ajuda as organizações a estabelecer e manter registros de tratamento estruturados, que podem apoiar a responsabilização e a prontidão regulatória.
DPIA e avaliações de legítimo interesse
04Atividades de tratamento de alto risco podem exigir uma avaliação de impacto sobre a proteção de dados (DPIA) nos termos do artigo 35 do GDPR.
As organizações também podem precisar documentar e avaliar o uso do legítimo interesse como base legal.
A RegulatoryBridge oferece suporte a:
Avaliações de impacto sobre a proteção de dados
Avalie os riscos de privacidade associados a atividades de tratamento de alto risco, novas tecnologias, produtos e processos de negócio.
Avaliações de legítimo interesse
Avalie se o legítimo interesse pode constituir uma base legal adequada para o tratamento e documente o teste de ponderação.
Essas avaliações podem ajudar as organizações a identificar riscos de privacidade antes de lançar novos produtos, atividades de tratamento ou tecnologias.
Resposta a violações de dados no GDPR
05O artigo 33 do GDPR estabelece uma obrigação de notificação para determinadas violações de dados pessoais, incluindo a exigência de notificar a autoridade supervisora competente sem demora injustificada e, quando aplicável, em até 72 horas após tomar conhecimento da violação.
A RegulatoryBridge oferece suporte estruturado de resposta a violações de dados, abrangendo:
Detecção
- Identifique e faça a triagem do incidente.
Contenção
- Coordene a contenção adequada e envolva as partes interessadas relevantes das áreas jurídica, de privacidade e de segurança.
Avaliação
- Determine a natureza e a extensão da violação de dados pessoais e avalie os riscos para os indivíduos afetados.
Documentação
- Prepare a documentação exigida sobre a violação e mantenha um registro adequado.
Notificação
- Apoie os processos aplicáveis de notificação à autoridade supervisora e aos titulares dos dados.
As obrigações exatas de notificação dependem das circunstâncias do incidente e da lei aplicável.
Transferências internacionais de dados
06A transferência de dados pessoais para fora do EEE pode acionar requisitos adicionais do GDPR.
A RegulatoryBridge ajuda as organizações a avaliar e gerenciar transferências internacionais de dados por meio de mecanismos e avaliações como:
- Cláusulas contratuais padrão (SCCs)
- Regras corporativas vinculantes (BCRs)
- Decisões de adequação
- Avaliações de impacto de transferência
- Avaliações de transferência relacionadas ao Schrems II
- Salvaguardas complementares, quando necessárias
Nossa abordagem ajuda as organizações a avaliar as transferências internacionais dentro do seu programa mais amplo de conformidade com o GDPR.
Direitos dos titulares dos dados e gestão de DSARs
O GDPR confere aos indivíduos diversos direitos relativos aos seus dados pessoais, incluindo os direitos de acesso, retificação, apagamento, limitação, portabilidade e oposição, além de direitos relativos a determinadas decisões automatizadas.
A RegulatoryBridge pode apoiar as organizações na criação de processos estruturados para responder às solicitações dos titulares dos dados.
Nosso fluxo de DSAR pode incluir:
Um fluxo estruturado ajuda as organizações a coordenar as solicitações entre as equipes jurídica, de privacidade, de TI, de segurança e de negócios.
Conformidade com o GDPR em toda a sua organização
A conformidade com o GDPR não se limita à equipe jurídica ou de privacidade.
Um programa eficaz pode exigir coordenação entre:
Jurídico
Interpretar os requisitos do GDPR, contratos, comunicações regulatórias e riscos jurídicos.
Privacidade
Gerenciar a governança de privacidade, os direitos dos titulares dos dados, as DPIAs, o ROPA e a responsabilização.
Segurança
Implementar medidas técnicas e organizacionais adequadas e apoiar a resposta a violações de dados.
TI e engenharia
Identificar fluxos de dados, sistemas, controles de acesso, mecanismos de retenção e requisitos técnicos.
RH
Tratar das obrigações de privacidade e do tratamento de dados de colaboradores.
Marketing
Gerenciar os requisitos de consentimento, definição de perfis, análise de dados, publicidade e transparência.
Por que escolher a RegulatoryBridge para a conformidade com o GDPR?
Representação na UE e expertise em conformidade
Conte com um único parceiro para a representação do artigo 27, quando aplicável, e para um suporte mais amplo à conformidade com o GDPR.
Cobertura abrangente do GDPR
Atenda às principais áreas, incluindo suporte de DPO, ROPA, DPIA, LIA, DSARs, resposta a violações de dados e transferências internacionais.
Monitoramento regulatório
A RegulatoryBridge informa que sua plataforma mais ampla monitora reguladores, autoridades, fontes de privacidade e decisões judiciais em mais de 45 jurisdições e destaca os sinais relevantes.
Cobertura global de conformidade
O GDPR pode se sobrepor a outras regulamentações de privacidade, cibersegurança, IA e do ambiente digital. A plataforma mais ampla da RegulatoryBridge abrange diversos marcos regulatórios e jurisdições.
Suporte prático à conformidade
Vá além da documentação com fluxos estruturados para atividades recorrentes de conformidade e obrigações regulatórias.
Conformidade com o GDPR para empresas globais
O GDPR raramente existe de forma isolada.
Uma empresa com atuação internacional pode precisar atender ao GDPR em conjunto com regulamentações como:
- UK GDPR
- CCPA/CPRA
- DPDPA da Índia
- LGPD do Brasil
- PDPA de Singapura
- APPI do Japão
- EU AI Act
- NIS2
- DORA
- Outros requisitos nacionais e setoriais aplicáveis
A RegulatoryBridge oferece uma cobertura regulatória mais ampla em mais de 45 jurisdições, permitindo que as organizações coordenem o GDPR com outros marcos regulatórios aplicáveis.
Uma jornada prática de conformidade com o GDPR
Avaliar
01Identifique as obrigações aplicáveis do GDPR, as atividades de tratamento de dados, os controles existentes e as lacunas de conformidade.
Mapear
02Documente os fluxos de dados pessoais, as atividades de tratamento, os fornecedores, as transferências e as partes interessadas relevantes.
Implementar
03Estabeleça políticas, contratos, avaliações, processos de governança e medidas técnicas adequados.
Representar
04Nomeie um representante na UE do artigo 27, quando exigido.
Monitorar
05Acompanhe os desdobramentos regulatórios, as orientações, as ações de fiscalização e as mudanças relevantes para a sua organização.
Responder
06Mantenha processos para DSARs, violações de dados, correspondência regulatória e outras interações com titulares dos dados ou autoridades.
Aprimorar
07Revise e atualize continuamente seu programa de GDPR à medida que seu negócio, sua tecnologia e o ambiente regulatório evoluem.
Mantenha-se em conformidade com o GDPR à medida que as regulamentações evoluem
A conformidade com o GDPR é uma responsabilidade contínua, e não um projeto pontual.
À medida que sua organização lança novos produtos, entra em novos mercados, adota novas tecnologias, troca de fornecedores ou introduz novas atividades de tratamento, suas obrigações de privacidade também podem mudar.
A RegulatoryBridge ajuda as organizações a construir um programa de GDPR que combina representação, governança, monitoramento regulatório, avaliações, processos de resposta e suporte especializado contínuo.
Construa um programa de conformidade com o GDPR concebido para crescer junto com o seu negócio.