O que é importante saber quando se trata de biometria e do cumprimento dos requisitos de conformidade?
Conversamos com Sarah Eckert, consultora jurídica e diretora de conformidade da Aware, para entender melhor a relação entre conformidade e biometria, e quais são os aspectos essenciais que as organizações devem levar em consideração ao utilizar a biometria.
P: O que é conformidade?
R: A conformidade abrange uma ampla gama de aspectos, incluindo conformidade jurídica, conformidade de segurança e conformidade financeira. Dependendo de onde você atua, está sujeito a diferentes regulamentações. Se estivermos falando do setor jurídico no âmbito corporativo, trata-se mais de conformidade com normas de privacidade e segurança; já nos Estados Unidos, como empresa de capital aberto, como a Aware, trata-se de conformidade com a SEC, requisitos de prestação de contas financeiras, etc.
P: O que é importante que uma organização comum compreenda sobre conformidade?
R: É importante que as organizações se certifiquem de que estão em conformidade com as regulamentações que se aplicam diretamente à sua empresa. Especificamente, se você é uma empresa que opera na Europa, precisa cumprir o GDPR no que diz respeito à privacidade e ao tratamento de dados. É preciso garantir que os dados europeus estejam sendo tratados de forma adequada. O mesmo se aplica ao Brasil, onde também existe uma lei semelhante sobre o tratamento de dados. A falta de conformidade pode causar sérios problemas para uma organização, resultando em multas elevadas, responsabilidade civil e, em alguns casos, responsabilidade criminal para os diretores da empresa.
P: O que é importante levar em consideração em termos de conformidade no que diz respeito à biometria?
R: As informações biométricas são consideradas, de maneira geral, quando se analisa as regulamentações de privacidade de dados, como um interesse especial ou uma categoria especial de PII (também conhecidas como informações de identificação pessoal). Trata-se de uma categoria de interesse especial, pois se trata de algo que não pode ser alterado. Ao contrário do seu número de Seguro Social ou do seu endereço de e-mail, por exemplo, que são dados que você pode alterar caso sejam comprometidos. Senhas também podem ser alteradas caso sejam comprometidas. As informações biométricas não podem ser alteradas e, por isso, sua proteção é extremamente importante. É extremamente importante que você tenha controle sobre para onde elas vão e quais empresas têm acesso a elas. Portanto, elas são abrangidas por regulamentações específicas do GDPR, bem como por algumas regulamentações de privacidade de dados e de tratamento de dados nos Estados Unidos, como a CCPA e a CPRA. E, no Brasil, há a LGPD, que abrange o mesmo tipo de informação que o GDPR.
P: Qual é o papel da privacidade e da proteção de dados na conformidade?
R: Ao lidar com privacidade e proteção de dados, é importante garantir que haja normas internas de segurança adequadas em vigor, de modo que os dados não fiquem acessíveis a todos os funcionários da empresa. Os dados aos quais há acesso devem ser armazenados adequadamente e estar acessíveis apenas aos funcionários que realmente precisam ter acesso a eles.
P: E quanto ao papel da retenção de dados?
R: A retenção de dados é importante porque um dos princípios do GDPR é a minimização de dados, o que significa que você não deve armazenar ou tratar dados além do necessário, nem por mais tempo do que o necessário, para realizar as tarefas de tratamento que lhe foram atribuídas. Por exemplo, para nós aqui na Aware, isso significa que, normalmente, armazenamos dados de acordo com o padrão necessário para cumprir nossas obrigações contratuais durante a vigência desse contrato. Isso nos permite continuar autenticando usuários após seu cadastro em nosso sistema. Para nossos clientes, no entanto, dispomos de mecanismos para que nossos clientes empresariais possam solicitar a remoção de usuários. Se esse usuário não estiver mais ativo junto ao nosso cliente empresarial, ou se o titular dos dados desejar que removamos as informações, podemos garantir que elas sejam devidamente removidas.
P: Você poderia falar um pouco mais sobre o papel da transparência e do consentimento na conformidade?
R: A transparência é um dos principais motivos pelos quais o GDPR foi aprovado pela União Europeia. Trata-se, em grande parte, dos direitos do consumidor, garantindo que os consumidores saibam como seus dados estão sendo tratados, quais dados estão sendo tratados e o que você faz com essas informações depois de obtê-las. Grande parte disso diz respeito a categorias de dados menos específicas, como e-mails, nomes, endereços, informações de funcionários ou outras informações sobre seu empregador que possam ser usadas para identificá-lo. Tudo isso é abrangido pelo GDPR. Portanto, para garantir a transparência, você precisa informar antecipadamente ao consumidor ou ao titular dos dados que está coletando esses dados, exatamente o que fará com eles, como serão armazenados e como o titular pode solicitar que sejam alterados ou removidos. Além disso, é necessário que os titulares dos dados deem seu consentimento explícito.
Pontos principais:
- Conformidade com as normas de segurança: Certifique-se de que seus dados biométricos sejam gerenciados de acordo com o GDPR, o CCPA e outras regulamentações globais. Caso contrário, você estará em risco.
- Controle a retenção de dados: guarde apenas o que for necessário. Certifique-se de poder excluir os dados quando eles não forem mais necessários.
- Exija transparência: saiba exatamente como seus dados estão sendo usados, armazenados e protegidos. Se você não for informado, isso é um sinal de alerta.
- Acesso interno seguro: Limite quem pode acessar dados biométricos dentro da sua organização. Somente as pessoas autorizadas devem ter esse privilégio.
- Mantenha-se à frente globalmente: certifique-se de que suas práticas estejam em conformidade não apenas localmente, mas também globalmente. Não deixe que regulamentações ignoradas o coloquem em risco.
