300 Visualizações   Criada em: 03/08/2021 20:32   Atualizada em: 22/04/2024 14:40

Um Data Protection Officer (DPO) é como um guarda de trânsito. Um guarda de trânsito monitora todos os veículos em sua rota e garante que o tráfego se mova sem problemas.

Da mesma forma, um DPO ajuda sua empresa a manter a conformidade com o Regulamento Geral de Proteção de Dados (GDPR) da União Europeia para reduzir o caos.

O livro de regras do GDPR pode ser desafiador se você não for um especialista em GDPR. Você corre um risco maior de não conformidade, o que pode resultar em uma penalidade de 4% de sua receita global ou até € 20 milhões, o que for maior. Depois que sua empresa recebe uma multa por não conformidade, jogar a carta da ignorância não vai dar certo.

Felizmente, um DPO pode ajudar a prevenir essas perdas. No entanto, para obter o máximo benefício de um DPO, você precisa entender os prós e contras dessa função.

O que é um Data Protection Officer (DPO)?
Um oficial de proteção de dados é um funcionário independente da liderança da empresa com experiência em Regulamentação geral de proteção de dados. A função DPO foi criada sob o GDPR para conduzir avaliações internas de privacidade para supervisionar, supervisionar e fornecer consultoria sobre todos os assuntos relacionados ao GDPR. Um DPO tem acesso direto aos gerentes seniores para ajudar na tomada de decisões na frente de processamento de informações pessoais. No entanto, a alta administração tem controle limitado sobre o DPO. Isso é implementado para garantir que o DPO não seja pressionado pelos gerentes seniores no caso de um conflito de interesses. É a mesma razão pela qual os gerentes de TI não podem assumir a função de DPO em nenhuma circunstância.

Quais organizações precisam contratar um oficial de proteção de dados?
De acordo com o GDPR, a contratação de um DPO é obrigatória para algumas organizações, mas não para todas. No entanto, mesmo que sua organização não exija um DPO, é recomendável que você nomeie um. Ter um especialista em GDPR pode ajudar muito a manter a conformidade de sua empresa.

De acordo com o Artigo 37 do GDPR, a contratação de um DPO é obrigatória nestas circunstâncias:

Autoridade ou organismo público - Quando uma autoridade ou organismo público é responsável pelo tratamento dos dados pessoais dos cidadãos da UE.
Monitoramento regular em larga escala - Quando o escopo ou propósito do monitoramento regular e sistêmico de dados é conduzido em larga escala.
Categorias especiais de dados em grande escala - Quando as atividades principais da organização estão relacionadas ao processamento de categorias especiais de dados em grande escala.

Oficial de proteção de dados: função e responsabilidades
As responsabilidades de um DPO incluem, mas não estão limitadas ao seguinte:

Educar a empresa e seus funcionários sobre conformidade.
Treinamento de funcionários envolvidos no processamento de dados.
Realizar auditorias de segurança de dados regularmente para permitir a conformidade e identificar problemas potenciais de forma proativa.
Atuar como um elo de ligação entre a empresa e as autoridades de supervisão relevantes do GDPR.
Acompanhamento de performance e consultoria para melhor gestão da proteção de dados .
Manter um registro de todas as atividades de processamento de dados conduzidas pela organização, incluindo a finalidade dessas atividades, que será tornado público quando solicitado.

Garantir que os responsáveis ​​pelo tratamento e os titulares dos dados sejam informados sobre os seus direitos de proteção de dados no que diz respeito à forma como os dados estão a ser utilizados, ao apagamento de dados pessoais e às medidas de proteção de dados aplicadas.

Qualificações de um oficial de proteção de dados
Embora o manual do GDPR não especifique qualificações obrigatórias para um oficial de proteção de dados, um DPO ainda deve possuir conhecimento especializado das leis e práticas de proteção de dados. Eles precisam ter um conhecimento prático das operações de processamento de dados da empresa. Resumindo, uma qualificação geral de DPO deve incluir - experiência com as leis de privacidade da UE, compreensão de tecnologia de TI e infraestruturas internas, experiência na condução de auditorias de segurança da informação e habilidades de liderança.

As qualificações podem variar um pouco com base na complexidade de suas atividades de processamento de dados. No entanto, depois de definir as qualificações de DPO desejadas, você precisa nomear um.

Geralmente, existem três abordagens para nomear um oficial de proteção de dados:

Nomear um funcionário existente como DPO apenas se as funções atuais do funcionário não entrarem em conflito com a função de DPO.
Contratação permanente de um DPO em tempo integral.
Terceirização da função de DPO com base em contrato. Muitos provedores de serviços de TI oferecem oficial de proteção de dados como serviço (DPOaaS).

Embora um guarda de trânsito seja responsável pelo bom andamento do trânsito, se ocorrer um acidente, a culpa não recai sobre o guarda de trânsito. Da mesma forma, embora a tarefa de um DPO seja garantir a conformidade em toda a organização, ele ou ela não pode ser responsabilizado legalmente em caso de não conformidade. A contratação ou nomeação de um oficial de proteção de dados é uma medida proativa, não reativa. Para simplificar, se uma organização for considerada não compatível devido à perda de dados, um DPO é tão útil quanto uma frigideira de madeira.

Um DPO deve ser acompanhado por uma solução de backup confiável como o Spanning Backup para manter seus negócios e dados protegidos.

O DPO pode usar o Spanning Reporting para receber uma visão abrangente do estado de todos os backups e atividades de restauração. Além disso, o DPO pode optar por receber relatórios diários de status de backup por e-mail para se manter informado sobre a integridade do backup em seu ecossistema SaaS. Essas informações ajudam o DPO a manter uma melhor conformidade sem suar muito.