Feliz Semana da Privacidade de Dados de 2023!
Justamente quando todos começavam a se sentir mais ou menos à vontade com o panorama regulatório em matéria de privacidade e proteção de dados, e tanto pessoas físicas quanto jurídicas aprendiam a lidar com as questões mais simples relacionadas a solicitações de titulares de dados, gestão de riscos e avaliações de impacto – BUM – outra onda gigantesca de exigências regulatórias e novos desafios se abateu sobre nós!
2023 é o momento perfeito para começar a se familiarizar com novas siglas (prepare-se para #NIS2, #DORA, #DPDPB, #CPRA, #CCPA, #CPA, #CDPA, #UCPA, #VCDPA, #ADPPA, #PrivacyPenaltyBill) e os atos legislativos aos quais elas se referem.
O objetivo principal das mudanças que estão por vir é fortalecer e aprimorar as medidas de segurança cibernética de diversas organizações e gerenciar os riscos cibernéticos em constante evolução de maneira mais eficaz.
Aqui está uma visão geral de alguns acontecimentos jurídicos em todo o mundo:
- UE – Diretiva (UE) 2022/2555 relativa a medidas para um elevado nível comum de segurança cibernética em toda a União (NIS2)
- UE – Regulamento sobre resiliência operacional digital para o setor financeiro (DORA)
- EUA – Leis estaduais e federais de privacidade
- Índia – Projeto de Lei sobre Proteção de Dados Pessoais Digitais (DPDPB)
- Austrália – Projeto de Lei sobre Multas de Privacidade e revisão da Lei de Privacidade de 1988
NIS2
De acordo com a ENISA, os gastos gerais com segurança cibernética das organizações na UE são 41% menores do que os de suas contrapartes nos EUA. Com a entrada em vigor da NIS2, espera-se que essa proporção mude para que essa enorme lacuna seja, pelo menos parcialmente, colmatada. Estimativas conservadoras indicam que a entrada em vigor da NIS2 resultará em um aumento de aproximadamente 22% nos gastos com TIC ao longo de um período de 3 a 4 anos.
A NIS2 foi publicada pouco antes do fim do ano, e os Estados-Membros da UE têm agora 21 meses para transpor os requisitos e mecanismos descritos para a legislação nacional. A Diretiva NIS de 2016 — apesar de suas deficiências — serviu de base para o aumento das capacidades de segurança cibernética dos Estados-Membros. Agora, a NIS2 ampliará o escopo e a lista de organizações afetadas. Estima-se que até 160 mil organizações estarão sujeitas a essa nova legislação, incluindo prestadores de serviços digitais (plataformas e serviços de centros de dados), prestadores de redes e serviços de comunicações eletrônicas, os setores de manufatura e alimentício, além do setor público.
A
NIS2 visa fortalecer as posturas de segurança cibernética por meio, entre outras medidas, da melhoria da governança da segurança cibernética, da abordagem da segurança das cadeias de suprimentos, da simplificação das obrigações de notificação (alertas antecipados/prazos de notificação reduzidos) e da introdução de medidas de supervisão mais rigorosas e requisitos de fiscalização mais estritos.
O que você pode fazer agora mesmo?
- Primeiro, tente entender quais obrigações se aplicarão à sua organização e em qual categoria de conformidade ela se enquadrará: “Entidade Essencial”, “Entidade Importante” ou talvez “outra”.
- Em seguida, verifique se é possível criar sinergias e aproveitar as medidas técnicas e organizacionais já implementadas durante esforços de conformidade anteriores (por exemplo, GDPR, NIS1 etc.)
- Comece a procurar os parceiros certos que possam apoiar adequadamente seus esforços de conformidade. Envolva seus fornecedores na discussão sobre a abordagem que melhor se adapte à sua organização.
- Por último, mas não menos importante, inicie o planejamento para um aumento nos gastos a fim de sanar quaisquer lacunas remanescentes. O descumprimento pode resultar em multas administrativas de até 10 milhões de euros ou até 2% do faturamento anual total mundial da organização.
DORA
A DORA tem como objetivo alcançar “um alto nível comum de resiliência operacional digital”, mitigando ameaças cibernéticas e garantindo operações resilientes em todo o setor financeiro da UE. Ela entrará em vigor diretamente a partir de 17 de janeiro de 2025. A regulamentação afetará o setor financeiro (bancos, seguradoras, empresas de investimento) e seus provedores de TIC (ou seja, plataformas em nuvem) — cerca de 22.000 organizações.
Os novos requisitos impostos pela DORA se resumirão, na prática, à revisão e atualização das práticas de gestão de riscos. Os clientes do setor financeiro precisarão transferir o máximo possível de riscos regulatórios para os provedores de TIC ou adotar diferentes estratégias de mitigação de riscos. De qualquer forma, os provedores de TIC precisarão garantir o cumprimento dos requisitos da DORA. Todo o setor também precisará reavaliar as relações contratuais com os fornecedores. A DORA incorporará requisitos para contratos entre instituições financeiras e seus principais provedores de TIC, incluindo o local onde os dados são processados, descrições dos acordos de nível de serviço, requisitos de relatórios, direitos de acesso e circunstâncias que levariam à rescisão do contrato.
Em uma publicação separada, a equipe de produtos da Commvault fará uma análise mais técnica e aprofundada dos requisitos da DORA relacionados à detecção (art. 10), resposta e Recovery (art. 11) e backup (art. 12).
Leis de proteção de dados dos
EUA — CPRA/CCPA, CPA, CDPA, UCPA, VCDPA, ADPPA
A partir de 1º de janeiro de 2023, entraram em vigor as alterações introduzidas pela Lei de Direitos de Privacidade da Califórnia (CPRA) à Lei de Privacidade do Consumidor da Califórnia de 2018. Muitas isenções temporárias em vigor expiram, impondo obrigações adicionais às empresas que lidam com informações pessoais de residentes da Califórnia, por exemplo, no que diz respeito a dados pessoais relacionados ao emprego e ao direito de recusa à venda de informações pessoais.
2023 também é o ano em que a Lei de Privacidade do Colorado (CPA), a Lei de Privacidade de Dados de Connecticut (CDPA), a Lei de Privacidade do Consumidor de Utah (UCPA) e a Lei de Privacidade de Dados do Consumidor da Virgínia (VCDPA) entrarão em vigor. O risco de fragmentação legislativa é iminente e substancial, e esse é o tipo de risco que levou a União Europeia a harmonizar a abordagem regulatória. Veremos se o mesmo ocorrerá em 2023 no caso da Lei Americana de Privacidade e Proteção de Dados (“ADPPA”) – um projeto de lei federal e geral sobre privacidade de dados.
Índia – DPDPB
Os legisladores indianos planejam apresentar, ainda este ano, um projeto de lei muito ambicioso sobre a Proteção de Dados Pessoais Digitais (DPDPB). Quando for aprovada, essa legislação tão esperada terá, sem dúvida, impacto sobre todos os tipos de organizações, devido ao papel da Índia como potência tecnológica e centro global de terceirização.
Austrália – Projeto de Lei sobre Multas por Violação de Privacidade e reforma da Lei de Privacidade
As autoridades australianas anunciaram mais uma reformulação completa da Lei de Privacidade de 1988. A legislação atual foi descrita como “desatualizada e inadequada para os objetivos da era digital”.
Enquanto isso, ainda em 2022, a Austrália aprovou o Projeto de Lei sobre Multas de Privacidade, que elevou as sanções relacionadas à privacidade a níveis comparáveis às tendências introduzidas pelo GDPR (até 50 milhões de AUD) e ampliou os poderes regulatórios do Gabinete do Comissário de Informação da Austrália (OAIC) e da Autoridade Australiana de Comunicações e Mídia (ACMA).
Resumo
O relógio implacável da conformidade acaba de recomeçar a correr. Equipes multifuncionais compostas por profissionais de TI, conformidade, privacidade, área jurídica e analistas de negócios dedicarão uma quantidade considerável de tempo à análise do impacto da enxurrada de mudanças legislativas que surgiram no final do ano passado e que se concretizarão ao longo de 2023.
Esteja ciente de que as novidades legislativas aqui apresentadas poderiam ser mais abrangentes. Você pode ter certeza, no entanto, de que elas se tornarão temas recorrentes de discussão não apenas em 2023, mas também nos próximos anos.
