Feliz Semana da Privacidade de Dados de 2023!
Just as everyone started to get more or less cozy with the regulatory landscape in data privacy/protection and individuals and businesses learned to navigate the shallow waters of data subject requests, risk management, and impact assessments – BOOM – another tidal wave of regulatory requirements and new challenges rushed in!
2023 é o momento perfeito para começar a se familiarizar com novas siglas (prepare-se para #NIS2, #DORA, #DPDPB, #CPRA, #CCPA, #CPA, #CDPA, #UCPA, #VCDPA, #ADPPA, #PrivacyPenaltyBill) e os atos legislativos a que elas se referem.
O objetivo principal das mudanças que estão por vir é fortalecer e aprimorar as medidas de segurança cibernética de diversas organizações e gerenciar os riscos cibernéticos em constante evolução de maneira mais eficaz.
Aqui está uma visão geral de alguns acontecimentos jurídicos em todo o mundo:
- UE – Diretiva (UE) 2022/2555 relativa a medidas para garantir um elevado nível comum de segurança cibernética em toda a União (NIS2)
- UE – Regulamento sobre resiliência operacional digital para o setor financeiro (DORA)
- US – State & Federal privacy laws
- India – Digital Personal Data Protection Bill (DPDPB)
- Australia – Privacy Penalty Bill & overhaul of the Privacy Act 1988
NIS2
According to ENISA, the general spending on cybersecurity is 41 % lower by organisations in the EU than by their US counterparts. With the arrival of NIS2, this ratio is expected to shift to cover this enormous gap at least partially. Conservative estimates are that NIS2 entry in force will translate into a ~22% increase in ICT spending over a 3–4-year period.
A NIS2 foi publicada pouco antes do fim do ano, e os Estados-Membros da UE têm agora 21 meses para transpor os requisitos e mecanismos descritos para a legislação nacional. A Diretiva NIS de 2016 — apesar de suas deficiências — serviu como base para o aumento das capacidades de segurança cibernética dos Estados-Membros. Agora, a NIS2 ampliará o escopo e a lista de organizações afetadas. Estima-se que até 160 mil organizações estarão sujeitas a essa nova legislação, incluindo prestadores de serviços digitais (plataformas e serviços de centros de dados), prestadores de redes e serviços de comunicações eletrônicas, os setores de manufatura e alimentício, além do setor público.
O NIS2 visa fortalecer as medidas de segurança cibernética, entre outras coisas, por meio da melhoria da governança em segurança cibernética, do tratamento da segurança das cadeias de suprimentos, da simplificação das obrigações de notificação (alertas antecipados/períodos de notificação reduzidos) e da introdução de medidas de supervisão mais rigorosas e requisitos de fiscalização mais estritos.
O que você pode fazer agora mesmo?
- First, try to understand which obligations will apply to your organization and in which compliance bucket your organization will fall into: “Essential Entity,” “Important Entity,” or maybe “other.”
- Em seguida, veja se é possível criar sinergias e aproveitar as medidas técnicas e organizacionais já implementadas durante esforços de conformidade anteriores (por exemplo, GDPR, NIS1 etc.)
- Comece a procurar os parceiros certos que possam apoiar adequadamente seus esforços de conformidade. Envolva seus fornecedores na discussão da abordagem que melhor se adapte à sua organização.
- Por último, mas não menos importante, inicie o planejamento para um aumento nos gastos a fim de sanar quaisquer lacunas remanescentes. O descumprimento pode resultar em multas administrativas de até 10 milhões de euros ou até 2% do faturamento anual total mundial da organização.
DORA
DORA aims to achieve “a high common level of digital operational resilience,” mitigating cyber threats and ensuring resilient operations across the EU financial sector. It will become directly applicable from Jan 17th, 2025. It will impact the financial sector (banks, insurance companies, investment firms) and its ICT providers (i.e., cloud platforms) – roughly around 22 000 organizations.
Os novos requisitos impostos pela DORA se resumirão, na prática, à revisão e atualização das práticas de gestão de riscos. Os clientes do setor financeiro precisarão transferir o máximo possível de riscos regulatórios para os provedores de TIC ou adotar diferentes estratégias de mitigação de riscos. De qualquer forma, os provedores de TIC precisarão garantir o cumprimento dos requisitos da DORA. Todo o setor também precisará reavaliar as relações contratuais com os fornecedores. A DORA incorporará requisitos para contratos entre empresas financeiras e seus principais provedores de TIC, incluindo o local onde os dados são processados, descrições dos acordos de nível de serviço, requisitos de relatórios, direitos de acesso e circunstâncias que levariam à rescisão do contrato.
In a separate post – Commvault’s Product Team will perform a more technical deep-dive into DORA’s requirements related to detection (art. 10), response and recovery (art. 11), and backup (art. 12).
Leis de proteção de dados dos EUA — CPRA/CCPA, CPA, CDPA, UCPA, VCDPA, ADPPA
As of January 1st, 2023, California Privacy Rights Act (CPRA) amendments to the California Consumer Privacy Act 2018 went into effect. Many temporary exemptions in place expire, imposing additional obligations on companies dealing with California residents’ personal information, e.g., regarding employment-related personal data, opt-out from selling personal information.
2023 is also the year when the Colorado Privacy Act (CPA), The Connecticut Data Privacy Act (CDPA), The Utah Consumer Privacy Act (UCPA), and The Virginia Consumer Data Privacy Act (VCDPA) will become effective. Legislative fragmentation risk is imminent and substantial, and this is the kind of risk that caused the European Union to harmonize the regulatory approach. Let us see whether the same will be true in 2023 in the case of the American Data Privacy and Protection Act (‘ADPPA’) – a proposal for a federal and general data privacy law.
Índia – DPDPB
Indian legislators plan to introduce a very ambitious Digital Personal Data Protection Bill (DPDPB) this year. When enacted, long-awaited legislation will undoubtedly impact all kinds of organizations due to India’s role as a tech powerhouse and a global outsourcing hub.
Australia – Privacy Penalty Bill & overhaul of the Privacy Act
Australian authorities announced yet another complete overhaul of the Privacy Act dated 1988. The current legislation was summarized as “out of date and not fit for purpose in the digital age.”
Enquanto isso, ainda em 2022, a Austrália aprovou o Projeto de Lei sobre Multas de Privacidade, que aumentou as sanções relacionadas à privacidade para níveis comparáveis às tendências introduzidas pelo GDPR (até 50 milhões de AUD) e ampliou os poderes regulatórios do Gabinete do Comissário de Informação da Austrália (OAIC) e da Autoridade Australiana de Comunicações e Mídia (ACMA).
Resumo
O relógio implacável da conformidade acaba de recomeçar a correr. Equipes multifuncionais compostas por profissionais de TI, conformidade, privacidade, área jurídica e analistas de negócios dedicarão uma quantidade considerável de tempo à análise do impacto da enxurrada de mudanças legislativas que surgiram no final do ano passado e que se concretizarão ao longo de 2023.
Esteja ciente de que as novidades legislativas aqui apresentadas poderiam ser mais abrangentes. Você pode ter certeza, no entanto, de que elas se tornarão temas recorrentes de discussão não apenas em 2023, mas também nos próximos anos.
