Bitrix24 LGPD и другие законы о защите данных: узнайте, с чего начать в вашей компании.

LGPD — это Общий закон о защите персональных данных (Закон 13.709/2018), регулирующий обработку персональных данных , в том числе в цифровых носителях, физическими или юридическими лицами публичного или частного права с целью защиты основных прав на свободу и неприкосновенность частной жизни, а также свободного развития личности физического лица.

Целью Общего закона о защите данных является именно защита персональных данных и гарантия конфиденциальности пользователям государственных, частных или бесплатных услуг, независимо от того, предоставляются они в цифровом виде или нет.

Его регулирование представляет собой попытку организовать и возложить на компании и учреждения ответственность за заботу о данных своих потребителей и предоставить им автономию в использовании своих данных.

O Bitrix24 — это полноценная платформа для бизнеса, содержащая более 35 инструментов для управления, социального сотрудничества и общения. Поскольку это программное обеспечение европейского происхождения и глобального масштаба, с более чем 7 миллионами активных учетных записей по всему миру, Bitrix24 полностью адаптирован к GDPR (Общее положение о защите данных), 2016/679 к удовлетворению. Поэтому все необходимые обновления для соответствия GDPR были приняты именно тогда.

Таким образом, теперь с GDPR нет Бразилии, о Bitrix24 также обновил свои услуги, чтобы обеспечить их соответствие руководящим принципам.

Что касается сбора данных, первая точка контакта пользователя с учреждением или компанией происходит через веб-сайт или блог учреждения. В таких условиях крайне важно обеспечить адекватность в семи основных областях, которые дает нам закон. В тексте ниже приведены рекомендации для каждого из них.

Да. Закон о полиции и общественных работах вступил в силу 18 сентября 2020 года.

Общий регламент по защите персональных данных (ОБПД), состоящий из 10 статей и 65 глав, был принят Мишелем Темером в августе 2018 года и представляет собой важную правовую веху в защите, обработке и использовании персональных данных. Законодательство определяет, как учреждения и компании, как государственного, так и частного сектора, должны обрабатывать персональную информацию (Закон № 13.709).

LGPD, возникший в результате огромных дебатов, вызванных эпизодом с утечкой информации в Facebook в разгар президентских выборов в США, оказал прямое влияние на другое законодательство по этому вопросу: GDPR (Общее положение о защите данных).

Этот свод законов уже действует в странах Европейского Союза и затрагивает бразильские компании, ведущие бизнес за границей.

Важно отметить, что под «персональными данными» понимается любая информация, относящаяся к физическому лицу, которая сама по себе или в сочетании с другими данными может определять его личность.

Некоторые примеры, соответствующие этому определению:

• Имя;
• адрес;
• Адрес электронной почты;
• номера документов;
• регистрационные данные;
• контактные номера.

Еще одним важным соображением является то, что в соответствии с правилами LGPD сбор и использование личной информации в маркетинговых кампаниях запрещены без разрешения потребителя. Более того, закон прямо запрещает продажу данных третьим лицам без двустороннего соглашения.

Компании и учреждения любого размера, которые имеют дело с публичной информацией, будь то конкретная или простая, например имя, должны соблюдать Закон.

Идея LGPD — создать культуру уважения конфиденциальности данных.

Одной из новых особенностей LGPD является создание Национального управления по защите данных (ANPD), органа, ответственного за надзор за всем процессом.

Ознакомьтесь с некоторыми концепциями, которые были установлены и определены LGPD:

• Личные данные любая информация, относящаяся к «идентифицированному или идентифицируемому» лицу
• Конфиденциальные персональные данные это информация, касающаяся расового или этнического происхождения, религиозных убеждений, политических убеждений, членства в профсоюзе или организации, здоровья, сексуальной жизни или генетических или биометрических данных.
• Анонимизированные данные относится к держателю, личность которого не может быть идентифицирована
• База данных это структурированный набор личной информации
• Держатель это человек, к которому относятся данные
• Контроллер является лицом, ответственным за принятие решений относительно обработки данных
• Оператор тот, кто выполняет обработку от имени контролера
• Ответственный является лицом, ответственным за связь между тремя сторонами: контролером и оператором (компанией), владельцем и Национальным органом по защите данных
• Согласие это свободное выражение, посредством которого владелец разрешает использовать данные (бремя доказывания лежит на контролере)
• Отчет о влиянии на защиту персональных данных это документация контролера, описывающая процесс обработки данных, который может создать угрозу гражданским свободам.

Центральным моментом LGPD является необходимость явного согласия владельца на хранение своих данных.

Запрещается передавать или продавать контактную информацию потенциальных клиентов с целью рекламы товаров и услуг , например, посредством телемаркетинга .

Запрещается даже использование данных самой компанией для целей, отличных от согласованных с клиентом.

Вы должны получить конкретное согласие и иметь возможность доказать его в любое время.
Для данных, считающихся конфиденциальными, процесс еще более строгий.

В случае данных о детях и подростках требуется согласие хотя бы одного родителя или законного опекуна.

Согласно закону, запрещено следующее : «Несанкционированный доступ, а также случайные или противоправные действия, связанные с уничтожением, потерей, изменением, передачей или любой формой ненадлежащей или незаконной обработки».

Среди санкций, предусмотренных за несоблюдение мер по защите данных, — штраф в размере 2% от общего дохода компании или конгломерата, ограниченный R$ 50 миллиона.

Восстановление Национального управления по защите данных (ANPD), санкционированное в июне 2019 года, свидетельствует о серьезных намерениях правительства обеспечить соблюдение закона после его вступления в силу в августе 2020 года.

Детали законодательства при представлении определений, обсуждавшихся ранее в этом тексте, ясно дают понять, что все процессы, автоматизированные или нет, будут целевыми.
Регулирующее агентство, созданное в рамках временной меры, будет состоять из 23 специалистов.

Пятеро из них войдут в состав Совета директоров и будут выбраны и назначены Президентом Республики после одобрения Федеральным Сенатом на вступающие в должность должности.
ННДПГ будет напрямую подчиняться президенту в течение первых двух лет после реализации.

После этого она преобразуется в автаркию с самостоятельностью действий.
Это подводит нас к следующему вопросу: что делать, чтобы быть в курсе нового законодательства?

Пенальти

В случае игнорирования закона компаниям будут вынесены предупреждения и наложены штрафы – применение санкций к компаниям, нарушающим новые правила, было отложено до августа 2021 года в соответствии с Законом № 14.010, принятым в июне этого года. Штрафы могут достигать 2% от выручки компании, с ограничением до… R$ 50 миллиона.

Одной из наиболее важных страниц институционального веб-сайта компании является страница контактов. Как правило, именно в этой среде собираются имя, адрес электронной почты и дополнительное сообщение, которое позволяет заинтересованной стороне связаться с рассматриваемой компанией.

Это примеры персональных данных, которые должны использоваться только с согласия пользователя. Веб-сайт должен разъяснить пользователям их права на доступ, исправление или даже запрет на использование их информации и внести следующие изменения:

• добавьте флажок в контактную форму. Пользователь должен подтвердить, выбрав опцию, что он прочитал и согласен с условиями и политикой конфиденциальности веб-сайта;
• включать кликабельные ссылки на страницу, где пользователь может прочитать условия согласия и политику конфиденциальности. Их желательно открывать в новом окне, чтобы пользователю не приходилось покидать исходную страницу;
• сделайте это поле согласия обязательным для продолжения работы пользователя, но не оставляйте флажок предварительно установленным;

включать в описание контента другие способы связи с людьми: номер телефона, электронную почту и кнопки доступа к социальным сетям;

• не добавляйте слишком много информации в одной форме, сайт должен содержать еще один флажок, чтобы пользователь мог подписаться на рассылку новостей и совершать другие действия;
• проверить важность сбора конкретных данных, чтобы пользователь не затягивал заполнение информации. Например, действительно ли позиция, которую занимает человек, необходима для вашей стратегии?
• обратите особое внимание, если на сайте интегрирован магазин, так как финансовые данные имеют решающее значение;
• сообщить пользователю, что согласие может быть личным только для лиц, достигших совершеннолетия. Несовершеннолетние до 18 лет должны получить разрешение от своих законных опекунов.

Сбор конфиденциальных данных (раса, религиозные или политические убеждения, сексуальная ориентация), которые могут нанести ущерб репутации человека, привести к финансовым потерям или привести к серьезному социальному ущербу, должен осуществляться с осторожностью, чтобы избежать наложения штрафов или санкций.

Все данные, полученные через контактную форму, должны храниться в безопасности , предпочтительно в системе управления контентом вашего сайта. Эта информация должна быть сохранена на странице, защищенной SSL-сертификатом, который устанавливает зашифрованное соединение между сервером и браузером.

Также необходимо создать политику регулярного удаления этих данных, особенно если в какой-то момент они хранятся в автономном режиме или на устаревших серверах (например, в ERP или CRM компании). Эта политика должна быть задокументирована вместе с процессом обработки и хранения данных.

Рассылка маркетинговой информации — это практика, которая приносит компаниям отличные результаты и является одним из вопросов, на которые нам следует обратить наибольшее внимание в настоящее время. Пользователи должны дать согласие на получение этих материалов, и согласие должно быть предоставлено добровольно. Помните, что поля согласия не должны быть заполнены заранее.

Одна из предпосылок LGPD — сделать цель сбора данных понятной пользователю, то же самое относится и к информационным бюллетеням. Поэтому каждое действие должно иметь конкретное согласие. В этом процессе допускается:

• сегментировать подписчиков согласно информации, заполненной в форме;
• предоставлять ценный контент для привлечения регистраций;
• создавайте формы с CTA (призывами к действию) и всплывающими окнами;
• создавать целевые страницы;
• перенаправить подписавшихся пользователей на страницы благодарности, отслеживающие конверсии;
• использовать функции автоматизации маркетинга.

Важно документально зафиксировать, как было дано согласие, кем и когда. Вы можете включить эту опцию в своем инструменте автоматизации маркетинга.

Все сообщения, отправленные впоследствии (информационные бюллетени, рекламные акции, уведомления и т. д.), должны содержать ссылку, чтобы пользователь мог отказаться от подписки или обновить информацию.

Также необходимо сообщить, что данные будут храниться в базе данных компании до тех пор, пока не будет произведена отмена или удаление.

Политика конфиденциальности должна отражать требования Общего закона о защите данных, но должна отражать конкретную политику компании, главным образом в отношении методов и форм хранения, которые будут приняты во время обработки данных.

Для создания политики конфиденциальности сайта вам необходимо будет сообщить пользователям данные вашей компании, какая информация о них будет использоваться и по каким причинам она будет собираться.

Должно быть понятно, как будут храниться данные и кто будет нести ответственность в случае утечек и нарушений. Включите меры безопасности, которые поддерживают соблюдение требований компанией, и меры, которые будут приняты для предотвращения инцидентов.

Если данные каким-либо образом передаются (по необходимости) третьим лицам, об этом необходимо сообщить.

На веб-сайте должна быть информация о том, как используются файлы cookie и какие каналы у компании есть для возможного контакта с пользователем по этому поводу.

Укажите срок хранения этой информации, а также процесс ее удаления. Предоставьте ссылку, чтобы пользователь мог отменить регистрацию или просмотреть варианты в любое время.

Хотя в законе нет конкретных требований по установке сертификата SSL на вашем веб-сайте (зеленый замок в адресной строке HTML-браузера), его внедрение является хорошей практикой безопасности.

Включение сертификатов безопасности на веб-сайт обеспечивает надежность и предотвращает появление сообщений об ошибках, таких как «этот сайт небезопасен». Кроме того, с их помощью данные, заполненные в формах, шифруются перед отправкой на сервер, что защищает личную информацию пользователей во время передачи.

Еще одним преимуществом установки сертификатов безопасности, таких как SSL и TSL, является хорошая классификация веб-сайта поисковыми системами, что гарантирует лучшие результаты просмотра и пригодность для маркетинговых стратегий. SEO.

Законы, гарантирующие конфиденциальность данных третьих лиц, такие как LGPD (Бразильский общий закон о защите данных), были созданы для предоставления физическим лицам определенных прав в отношении электронных коммуникаций.

Это также относится к использованию файлов cookie — небольших файлов, загружаемых на устройство при посещении пользователем веб-сайта, — и к реализации email-маркетинга.

Использование файлов cookie позволяет сайту распознавать устройство, информацию о предпочтениях и действиях пользователя в Интернете. Более того, это напрямую связано с Google Analytics. По этим причинам важно, чтобы владелец сайта:

• информировать пользователей сайта об использовании файлов cookie. Это можно сделать, добавив небольшое текстовое уведомление, стратегически расположенное вверху или внизу веб-сайта;
• объяснить причины такого использования;
• Получите согласие человека на применение этой стратегии.

В соответствии с Общим регламентом по защите данных, агент обязан обеспечивать безопасность данных пользователя.

В случае нарушения, которое приводит к нанесению ущерба репутации пользователя, финансовым потерям, нарушению конфиденциальности или серьезному социальному ущербу, владелец должен уведомить Национальный орган по защите данных. Для обеспечения адекватности необходимы некоторые действия:

• Назначьте ответственного за обработку данных – квалифицированного специалиста, который будет отвечать за все процессы, связанные с использованием данных внутри компании;
• уточните у своего хостинг-провайдера наличие мер безопасности и отслеживания для обнаружения любых попыток вторжения на веб-сайт;
• использовать инструменты безопасности устройств, такие как брандмауэры, антивирусы, средства защиты от спама и шпионского ПО, для предотвращения попыток вторжения в ИТ-инфраструктуру;
• проверьте меры безопасности, принятые хост-сервером, чтобы избежать таких угроз, как перехват DNS и DDos-атаки, которые из-за внедрения вредоносного ПО или программы-вымогателя потенциально могут поставить под угрозу хранящиеся сторонние данные;
• иметь план действий на случай непредвиденных обстоятельств с практическими действиями, которые необходимо предпринять в случае нарушения;
• проводить периодические аудиты для выявления всех обрабатываемых и хранимых данных, которые в случае компрометации могут быть признаны критически важными;
• удалять данные без законного основания для обработки;
• провести оценку рисков места, где будут храниться данные;
• иметь систему автоматического удаления конфиденциальных данных и важных документов после загрузки, чтобы они не сохранялись в CMS (системе управления контентом) сайта;
• Регулярно очищайте данные и документы, хранящиеся в системе управления контентом (например, WordPress).

Сбор данных от несовершеннолетних является более деликатным из-за присущей детям уязвимости. Еще одной проблемой при обработке этих данных является сложность доказательства правдивости согласия законных опекунов. Проведите оценку риска, чтобы определить:

• привлекательна ли страница для детей;
• являются ли дети частью аудитории;
• отражает ли процесс записи данных предположение о том, что пользователи достигли возраста цифрового согласия.

Во избежание проблем рассмотрите возможность предоставления на сайте услуг, не требующих сбора или обработки данных несовершеннолетних третьих лиц, например, бесплатной игры, не требующей регистрации.

В ситуациях с низким уровнем риска необходимо ввести дату рождения или создать флажок, подтверждающий совершеннолетие пользователя.

Даже если предприниматели соблюдают Общий закон о защите данных, необходимо создать политику дальнейшего использования информации, полученной от пользователей на институциональном веб-сайте и в корпоративном блоге, основных точках контакта компаний со своей аудиторией.

Первый шаг — иметь четкое представление о текущей ситуации в вашей компании. Например, знаете ли вы, каким образом в вашей организации проходит информация о людях?

Необходимо знать весь срок полезного использования этих данных, от сбора до хранения, цели использования и т. д.

В настоящее время очень ценен специализированный специалист, который может предоставить консультации по этому вопросу.

Когда у вас есть конкретная информация о вашем бизнесе, вам нужно углубиться в законодательство. Пришло время обратиться в юридический отдел, если он есть, или проконсультироваться со специализированной консультацией, чтобы можно было составить план.

Законодательство определяет новые роли — агентов по обработке данных. Поэтому важной частью вашего планирования будет определение того, кто будет вашим контроллером и оператором (операторами).

Кроме того, необходимо выделить ответственного лица, ответственного за установление контактов с клиентами, со своей внутренней аудиторией (сотрудниками) и с вновь созданным регулирующим органом.

Опять же реализация этой части будет зависеть от стадии развития компании, может потребоваться нанять людей для выполнения этих функций, использовать аутсорсинг, специализированную рабочую силу или даже адаптировать своих нынешних сотрудников, в зависимости, конечно, от их профиля и доступности. .

Независимо от того, какие меры вы примете на практике, важно помнить, что главная цель всех этих изменений — повышение безопасности граждан и прозрачности бизнеса .

Клиенты могут в любое время подвергнуть сомнению статус своих данных или даже попросить удалить все.

Однако нет ничего лучше, чем налаживание каналов связи с общественностью и поддержание открытого и ясного диалога.