No meio da atual crise sanitária global, circulam questões e preocupações sobre o futuro da privacidade. Agora, com a crescente implementação de aplicações de rastreio de contactos, surgem regularmente títulos como«É possível rastrear a COVID-19 e proteger a privacidade ao mesmo tempo?». Embora a crescente atenção dada à privacidade dos dados seja importante, vamos concentrar-nos no essencial e lembrar-nos de que a recolha de dados e a vigilância não são novidades.
Ao olharmos para o nosso futuro, é importante, em primeiro lugar, reconhecer o passado recente. Os princípios da privacidade não são novos. Os debates sobre a privacidade têm vindo a intensificar-se de forma constante na cena global ao longo dos últimos anos. O exemplo mais notável remonta a pouco mais de dois anos, quando a União Europeia (UE) ratificou o Regulamento Geral sobre a Proteção de Dados (RGPD). Este foi um momento decisivo — não só para quem trabalha na área da privacidade e da gestão de riscos — mas também para as organizações em todo o mundo. Embora existam regulamentações de privacidade a diferentes níveis em várias regiões do mundo, este esforço concertado redefiniu a forma como as empresas devem armazenar, gerir, proteger e utilizar informações pessoais e sensíveis. O RGPD também ajudou a comunidade global a reconhecer o papel fundamental que os dados desempenham na economia digital.
Agora, em 2020,«chove projetos de lei sobre privacidade», especialmente nos Estados Unidos. De Washington à Flórida, as assembleias legislativas estaduais reconhecem que é necessário tomar medidas para proteger as pessoas. Na sequência do segundo aniversário do RGPD, foi apresentado ao Senado dos Estados Unidos um projeto de lei (Lei de Responsabilidade e Transparência de Dados de 2020) que introduziria nos EUA proteções semelhantes às do RGPD. Este é apenas um de muitos projetos de lei, mas vai mais longe ao responsabilizar os gestores de dados pela salvaguarda das nossas informações. O progresso é positivo, mas ainda há muito a fazer.
No meio de uma crise sanitária global, o tema da privacidade voltou a ser notícia de destaque. No entanto, tendo em conta o RGPD, os governos procuram limitar a quantidade de dados transferidos pelas aplicações de rastreio de contactos para as entidades locais.
Será que esta crise sanitária irá alterar a nossa perceção da privacidade? É improvável.
Até que algo concreto aconteça, a privacidade é uma questão secundária na qual muitos cidadãos não pensam ativamente no decorrer do seu dia-a-dia. Os consumidores já estão habituados a fornecer dados pessoais em troca de algo que desejam. A mesma escolha aplica-se hoje: devo ativar uma aplicação de rastreio de contactos para me manter seguro, ou devo evitá-la para preservar a minha privacidade? Em algumas partes do mundo, o download destas aplicações é obrigatório. Em países como a Islândia, a adoção voluntária ultrapassou os 40 por cento.
Para quem, tal como eu, trabalha no setor da saúde, a questão da privacidade e da segurança dos dados não é um fenómeno ou um momento passageiro – é o que fazemos todos os dias. Temos regulamentos que regem as nossas ações e orientam as nossas operações comerciais. Dito isto, as empresas estão a reabrir e poderão ter de começar a recolher dados sensíveis de saúde sobre colaboradores e clientes. Para muitas, esta é provavelmente a primeira vez que se deparam com o desafio de proteger este tipo de dados. Que medidas devem tomar para dar prioridade à privacidade?
- Vá com calma. Embora isto vá contra o mantra dos negócios modernos, quando se trata de privacidade, é importante acertar à primeira. Uma violação de quaisquer dados de saúde pode ter consequências catastróficas, como danos à reputação. Preste muita atenção à forma como gere e protege estes dados, como forma de garantir uma maior eficiência a longo prazo.
- Confie nos seus pares. Muitos profissionais dos setores da saúde e dos serviços financeiros têm vindo a enfrentar, há anos, o desafio de proteger as informações de identificação pessoal (PII). Dispomos das melhores práticas e sabemos em que fornecedores podemos confiar. Não faça suposições com base num argumento de venda de um fornecedor que receba na sua caixa de entrada ou nas garantias de um anúncio publicitário na Internet. Aproveite os recursos disponibilizados por organizações independentes e pelos seus colegas que já testaram o terreno.
- Preste maior atenção aos riscos associados a terceiros. Quer um fornecedor externo esteja a implementar partes do seu programa de privacidade, quer tenha apenas acesso à sua rede, acompanhe-o de perto. Realize as avaliações necessárias antecipadamente e implemente medidas de governação para garantir que os fornecedores só tenham acesso aos sistemas e às informações de que necessitam para desempenhar as suas funções específicas.
- Limite os dados que partilha. Se se encontrar numa situação em que seja necessário partilhar dados entre departamentos ou fora da empresa, limite a quantidade de dados que circula e certifique-se de que se trata do mínimo necessário. É fundamental que saiba quais os dados que estão a ser partilhados e com quem, ao longo da cadeia de fornecimento de informação.
Em muitos aspetos, o debate sobre a privacidade ainda está a dar os primeiros passos – especialmente nos Estados Unidos. Na minha opinião, não se trata de uma discussão em preto e branco. É complexa e subjetiva. É por isso que defendo que se faça o que é certo, em vez do que é necessário fazer.
Os dados têm valor. Não são apenas um conjunto de números ou informações; têm origem num ser humano. Isso acarreta uma responsabilidade enorme. Quer trabalhe na área da conformidade, da gestão de riscos ou da segurança da informação, não se esqueça de que as ações que toma têm consequências para além dos limites da empresa. Não basta preocupar-se apenas com os seus acionistas. Lembre-se de que as partes interessadas (clientes, parceiros, colaboradores) são afetadas pelas decisões que toma relativamente à proteção e gestão dos dados.
Kevin Haynes é Diretor de Privacidade do Nemours Children’s Health System.
Veja a sua recente conversa com Security & Compliance Weekly sobre a forma como a Nemours utiliza o Archer para gerir os riscos de conformidade
