ETFFIN Finance >> Finanças pessoais curso > >> Gestão financeira >> Gestão de relacionamento com o cliente

Como o GDPR afetará você

Houve muito barulho sobre a próxima legislação do Regulamento Geral de Proteção de Dados (GDPR) que entrará em vigor em 25 de maio de 2018. Nosso CEO, John Paterson, analisa os fatos e oferece dicas práticas para os proprietários de empresas se prepararem para a mudança.

O que é GDPR?

O GDPR é um regulamento da CE projetado para proteger a privacidade dos cidadãos da CE, garantir que seus dados não sejam exportados para fora da CE para países que não possuem leis de privacidade adequadas e garantir que os cidadãos tenham controle sobre como seus dados são usados.

Privacidade – Que privacidade?

Para os leitores de fora da CE, deve parecer que estamos fixados em “privacidade”. De fato, o conceito é recente e surgiu com a mudança que a tecnologia fez na sociedade.

O direito à privacidade da vigilância governamental está consagrado em muitos documentos, incluindo a Declaração de Direitos Humanos da ONU (1948), a Convenção Europeia de Direitos Humanos e a Quarta Emenda à Constituição dos EUA. Não foi até o advento da Internet que as grandes corporações também foram capazes de conduzir, o que é de fato, vigilância em massa. Em 1999, Scott McNealy, então CEO da Sun Microsystems, (in)famosamente disse:“A privacidade está morta. Deixe isso para trás!" e o então presidente do Google, Eric Schmidt, fez várias declarações públicas de que a privacidade era uma má ideia.

Nos EUA, quase não há legislação de privacidade, sendo a HIPAA uma exceção, deixada ao deus do livre mercado. Se você deseja privacidade, não use serviços gratuitos, como o Facebook ou a Pesquisa do Google. Esse é o negócio, os serviços são gratuitos e você paga fornecendo seus dados para que eles possam vendê-los aos anunciantes. Há também uma série de leis que permitem às agências governamentais acesso irrestrito a dados com supervisão judicial extremamente limitada, principalmente nos EUA.

Fora da CE, apenas alguns países levam a privacidade a sério, como Austrália, Canadá e Nova Zelândia. Outros países, como Rússia e China, também estão tentando impor que os dados de seus cidadãos sejam armazenados apenas dentro de sua jurisdição legal, mas isso tem menos a ver com o direito dos cidadãos e mais com a vigilância do governo. Disseram-me que na língua chinesa o pictograma mais próximo de “privacidade” é “solidão”.

O GDPR exporta efetivamente a noção europeia do direito à privacidade para qualquer empresa que colete dados pessoais de cidadãos da CE, respaldada por duras penalidades por não conformidade.

O que o GDPR implica para os negócios

Consentimento:você não pode entrar em contato com as pessoas a menos que elas tenham consentido explicitamente
Violações de dados:regras rígidas de comunicação para violações de dados
Multas e sanções:grandes multas por quebrar as regras
Direito ao apagamento:uma atualização do direito ao esquecimento
Portabilidade de dados:os dados pessoais devem ser disponibilizados ao cidadão, caso ele os solicite
Proteção de dados:os dados devem ser mantidos em segurança

Dados pessoais

Dados pessoais são quaisquer dados que permitam a identificação de um indivíduo vivo. Ele inclui especificamente cookies, endereços IP, bem como o nome óbvio, endereço, endereço de e-mail, número de telefone fixo e celular/celular.

Consentimento

A partir de 25 de maio de 2018, nenhuma organização, independentemente do país em que esteja sediada, poderá enviar e-mails de marketing ou mensagens SMS a cidadãos da CE, a menos que esse cidadão tenha dado consentimento explícito para ser contactado por essa organização sobre o tema específico.

Não há mais caixas de aceitação pré-marcadas, nenhum texto dizendo “veja nossa política de privacidade”; tem que ser uma caixa de seleção desmarcada que descreva o que acontecerá se você a marcar. Como alternativa, você precisa fornecer um duplo opt-in por meio de um e-mail de confirmação em que a pessoa deve clicar em um link para consentir.

Você também precisará registrar como e quando o consentimento foi dado para fornecer prova caso o órgão regulador (no Reino Unido, o Information Commissioner’s Office) receba uma reclamação.

Como obter consentimento

O consentimento pode ser obtido por meio de uma caixa de seleção dedicada em um formulário ou clicando em um link dedicado de um e-mail. Entregar um cartão de visita ou telefonar não é dar consentimento!

Desnecessário dizer que a compra de dados pessoais na forma de listas de e-mail está morta, pois os consentimentos “agregados” são especificamente proibidos.

Violações de dados

Você tem 72 horas para relatar quaisquer violações de dados à autoridade supervisora. Deverá então informar os titulares dos dados “sem demora injustificada”, o prazo depende do risco provável de danos a esse indivíduo.

Uma violação é definida como “uma violação de segurança que leva à destruição acidental ou ilegal, perda, alteração, divulgação não autorizada ou acesso a dados pessoais transmitidos, armazenados ou processados de outra forma”.

Multas e Sanções

Muitas manchetes assustadoras foram escritas sobre as penalidades draconianas por violar o GDPR. As multas máximas são de € 20 milhões ou até 4% das receitas globais, o que for maior.

Mas, essas são as penalidades máximas da mesma forma que você poderia, em teoria, receber uma sentença de prisão por não comprar uma passagem de trem. Na prática, o órgão regulador provavelmente não fará nada se uma pessoa reclamar além de enviar uma carta de advertência. As penalidades existem para impedir as empresas que abusam flagrante e repetidamente do GDPR, como spammers e empresas que fazem chamadas frias incômodas. E, claro, os garotos de chicote favoritos da CE, Google e Facebook.

Direito ao apagamento

Os indivíduos podem solicitar que os dados que você possui sobre eles sejam apagados. Existem algumas isenções para isso, mas na prática, para a maioria das empresas, você terá que cumprir. Você deve cumprir sem demora, e certamente dentro de um mês.

Portabilidade de dados

Os indivíduos podem solicitar uma cópia de seus dados em formato legível por máquina. Isso se aplica aos dados que eles forneceram a você e, assim como seus dados pessoais, incluem e-mails armazenados deles e seu histórico de compras e pagamentos.

Proteção de dados

Se você possui dados pessoais, então você tem o dever de zelar pela proteção desses dados. Isso inclui restringir o acesso apenas àqueles que precisam de acesso para realizar seus trabalhos, garantindo que os dados sejam mantidos com segurança. Você também precisa demonstrar conformidade com o GDPR.

Em determinadas circunstâncias, como o processamento de dados confidenciais (por exemplo, registros criminais, dados de saúde) e onde o processamento de dados terá consequências legais, você precisará realizar uma Avaliação de Impacto de Privacidade.

Você só pode transferir dados pessoais para países da CE ou para aqueles onde a Comissão determinou que o país possui níveis adequados de proteção de dados. Essa lista atualmente inclui Andorra, Argentina, Canadá, Suíça, Ilhas Faroé, Guernsey, Israel, Ilha de Man, Jersey, Uruguai e Nova Zelândia. Observe que a lista não inclui os EUA.

Separando o fato da ficção

Tem havido muita desinformação sobre o GDPR. Aqui eu dei uma olhada nos mal-entendidos mais comuns.

As empresas dos EUA podem cumprir o GDPR

As empresas dos EUA podem provavelmente cumprir o GDPR, mas apenas se armazenar dados pessoais em servidores baseados na CE. Se eles armazenam dados pessoais nos EUA, eles não armazenam, apesar do que possam alegar. Este é um assunto complexo e disputado, mas a lógica é assim:

Se os dados pessoais forem transferidos para fora da CE, o indivíduo deve ser informado com antecedência
O acordo Safe Harbor negociado entre 1998 e 2000 entre a UE e os EUA foi projetado para permitir que as empresas americanas cumpram as leis de privacidade de dados da CE. No entanto, em outubro de 2015, o Tribunal de Justiça Europeu (ECJ) decidiu que Safe Harbor era inválido, pois não oferecia proteção adequada
Em julho de 2016, o US-EC Data Privacy Shield foi negociado como uma tentativa de superar as reservas do TJCE. Novamente, no entanto, o GDPR é muito mais rigoroso do que as diretivas de dados anteriores e os mesmos problemas persistem nos EUA, em relação à capacidade do governo dos EUA de acessar os dados de qualquer pessoa. Existem salvaguardas mínimas para os dados dos cidadãos dos EUA, e todos os outros não recebem nenhuma
Em 12 de abril de 2017, o Grupo de Trabalho do Artigo 29 sobre proteção de dados concluiu que o Escudo de Privacidade UE-EUA não atende aos padrões da UE porque, entre outras preocupações, “a posição sobre a coleta massiva e indiscriminada de dados para fins de segurança nacional não é clara .” No atual clima político nos EUA, é difícil imaginar que o governo ofereça melhor proteção aos cidadãos da UE do que a sua própria.
É um ponto discutível se os dados são completamente seguros quando mantidos por empresas americanas na CE. Em teoria deveria ser, mas os tribunais dos EUA ainda estão tentando forçar empresas como a Microsoft a entregar dados armazenados na CE

O marketing B2B não é coberto pelo GDPR

Existem alguns artigos circulando que afirmam que a comunicação B2B será permitida pelo GDPR porque a próxima legislação de privacidade eletrônica que será promulgada ao mesmo tempo que o GDPR fará essa distinção e permitirá o opt-out em vez do consentimento de opt-in. Em outras palavras, um link de cancelamento de inscrição.

O novo Regulamento e-Privacy substitui a Diretiva e-Privacy existente e foi concebido para oferecer clareza às comunicações eletrónicas, ou seja, e-mails e mensagens SMS. É um regulamento e não uma diretiva, o que significa que, embora o GDPR se torne automaticamente lei em toda a CE, cada estado membro terá que promulgar legislação para permitir a e-Privacidade. Isso dá a cada país alguma latitude quanto à redação exata e, portanto, pode estabelecer uma distinção entre B2B e B2C.

Até que cada país tenha aprovado a legislação, não saberemos como as comunicações B2C serão tratadas, se é que há distinção. Também não sabemos quais dados serão considerados dados B2B em vez de dados B2C. Contas pessoais do Gmail, números de telefones celulares e endereços IP podem ser pessoais. Nós nem sabemos se a legislação será realmente transformada em lei a tempo.

Portanto, nossa conclusão é que se e até que a legislação de e-Privacy faça uma distinção entre B2B e B2C, o GDPR não faz tal distinção e não há isenções para comunicações B2B.

Se eu não residir na UE, a decisão não se aplica

Se você detiver dados pessoais de cidadãos da CE e fizer negócios com clientes na CE, será afetado pelo GDPR. Se a CE pode fazer algo a respeito é outra questão.

Conformidade

Você tem até o dia 25 maio de 2018 para cumprir e, a partir de então, você não poderá enviar comunicações eletrônicas a cidadãos da CE, a menos que tenha seu consentimento específico. Para a maioria das empresas, isso significa que elas não poderão enviar e-mail a ninguém em seu banco de dados de marketing existente, pois não reuniram formalmente esses consentimentos auditáveis. Portanto, você precisa começar a coletar esses consentimentos agora, tanto de novos leads quanto de seu banco de dados existente.

Lista de verificação geral do regulamento de proteção de dados

Indique um responsável pelo processamento de dados que deve se atualizar rapidamente com a legislação
Faça uma lista de todos os seus sistemas que armazenam dados pessoais:seu CRM, sistema de contabilidade, sistema de RH, bancos de dados de contatos em clientes de e-mail como o Outlook, todas aquelas planilhas espalhadas pelos laptops das pessoas com dados de contato neles
Faça uma lista de todos os seus Processadores de Dados, os sistemas externos que você usa e que armazenam dados pessoais. Certifique-se de que eles apenas mantenham dados na CE e sejam ou serão compatíveis com GDPR. Se você estiver em um setor regulamentado, obtenha um certificado ou contrato que garanta a conformidade
Comece a capturar consentimentos de novas consultas agora
Descubra como você obterá consentimentos de contatos em seu banco de dados existente entre hoje e 25 Maio de 2018
Elabore um procedimento para gerenciar notificações de violação, tanto para o órgão regulador quanto para os próprios contatos. Se ocorrer uma violação, você não terá tempo para considerar a melhor maneira de fazer isso, portanto, mapeie com antecedência
Revise e atualize os avisos de privacidade e os termos e condições em seu site