Menu da Revista Fechar Menu da Revista

Regulamentação

Últimas histórias

Limitação de finalidade: o princípio da privacidade que você deveria começar a prestar mais atenção.

  • min de leitura
    • Digamos que exista um pequeno formulário no site da sua empresa que seus clientes devem preencher para se inscrever e receber notícias. Para isso, eles devem fornecer seus nomes e endereço de e-mail. Um certo dia, você escuta de alguns colegas do departamento de marketing que algo será adicionado aos e-mails que esses clientes inscritos recebem: avisos de promoções em produtos de companhias parceiras. Seus alarmes de proteção de dados estão disparando? Deveriam estar, mas se não estão, você não está sozinho. A limitação da finalidade é um princípio da segurança de dados que muitos ainda não conhecem. Mas entendê-lo irá te ajudar a reduzir riscos à segurança e privacidade de dados, além de mostrar aos seus consumidores que você respeita os dados deles. O que é limitação da finalidade? A limitação da finalidade possui duas partes. Primeiro, quando você recebe informações pessoais de alguém, sua empresa deve ser clara sobre como essa informação será utilizada desde o princípio. E em segundo lugar: você não pode usar essa informação para nenhuma outra finalidade. Muitas das regulamentações de proteção de dados ao redor do mundo possuem alguns requisitos de limitação da finalidade, particularmente a Regulamento Geral sobre a Proteção de Dados da União Europeia (General Data Protection Regulation ou GDPR, em inglês). De acordo com a GDPR, as organizações devem documentar as finalidades dos dados e especificá-las em seus relatórios de privacidade de informação. A jovem mulher, o capelão e o hospital Alguns instrutores de privacidade contam uma história sobre uma jovem mulher que teve que preencher um formulário quando ela foi internada em um hospital. Uma pergunta desse formulário era sobre sua religião. Talvez essa informação fosse importante para o tratamento e ela já havia visto esse tipo de pergunta em outros formulários, então ela respondeu à pergunta sobre religião prontamente, como sempre havia feito. Por que essa pergunta? Esse hospital usa essa informação para avisar ao capelão do hospital que há um paciente que talvez queira uma visita, mas não avisam o paciente disso. Como o mundo é pequeno, coincidências acontecem: o capelão do hospital era amigo da família da jovem mulher. Ela, que não é casada, está no hospital por causa de um problema relacionado à sua gravidez. Sua família não sabe que ela está gravida e ela não quer que eles saibam. Agora, a jovem mulher e o capelão estão em uma situação desconfortável. Não considerando a violação da regulamentação do uso de dados, alguns dirão que a mulher é livre para escolher se quer, ou não, compartilhar essa informação, então os resultados são de sua responsabilidade. Por outro lado, a confiança que os pacientes têm no hospital é crucial para que este possa atingir seus objetivos: ajudar os pacientes a melhorarem. Existe um princípio da privacidade de dados: qualquer organização que recebe informações pessoais, seja para ganhar dinheiro ou para ajudar pessoas a salvar o mundo, precisa ser confiável para ser efetiva. Será que essas organizações estão à altura da confiança que os consumidores depositam nelas? A reciclagem de dados acontece frequentemente Vários casos que surpreenderam consumidores envolvendo a maneira como empresas usaram ou venderam seus dados têm se tornado pautas de jornais recentemente. Um exemplo é de um aplicativo de acompanhamento do ciclo menstrual, que fornecia dados de consumidores ao Facebook. Esses dados eram usados para fazer propaganda de produtos para mulheres gestantes. Uma usuária do app começou a receber propagandas desse tipo de produtos como se estivesse grávida, sendo que ela somente havia esquecido de atualizar seus dados no app durante um tempo. É fácil entender como essa forma de se utilizar de informações sensíveis pode prejudicar emocionalmente alguns consumidores. Em 2017, a Comissão Federal de Comércio dos EUA registrou uma queixa fora dos tribunais contra a Uber. Parte da queixa tratava de que alguns funcionários da empresa usaram uma função chamada "Good View" para rastrear as movimentações de políticos e celebridades e até de ex-namorados. Embora a Uber tenha sancionado esses abusos, nenhum processo foi criado para prevenir esse tipo de ações efetivamente. Quando são pegas reciclando informações, as empresas muitas vezes dizem: "não era nossa intenção". Pode ser até verdade, mas isso continua acontecendo. Será que as empresas, e seus funcionários, entendem quais são suas responsabilidades em limitar como usam os dados dos consumidores? É permitida a reciclagem de dados pessoais? O que dizem as leis. A GDPR quer que a limitação da finalidade seja um princípio fundamental da proteção de dados. A seção 1B do artigo 5 da norma destaca como os dados pessoais devem ser coletados somente quando o seu uso é especificado explicitamente. Os dados não podem ser usados de outras formas que não condizem com seu proposito original. Existem algumas exceções para usos históricos, científicos e estatísticos, e "se os interesses legítimos desse controlador ou de terceiros se sobrepõe aos interesses da pessoa em questão" A Comissão Europeia oferece orientações para ajudar organizações a saber se o que planejam fazer com os dados é consistente, ou não, com seu propósito. Eles sugerem, por exemplo, considerar se os dados são sensíveis (incluem informações de saúde, preferencias políticas e mais) e como continuar usando essas informações pode afetar a pessoa que as forneceu. Enquanto as penalidades por infringir o princípio de limitações de finalidade ainda não são muito severas, uma grande quantidade de processos tem sido abertos, prejudicando a reputação de certas empresas. A autoridade de proteção de dados da Noruega, por exemplo,  multou a Administração de Vias Públicas do país em cerca de 50 mil dólares por utilizar câmeras de "segurança" para monitorar o trabalho dos funcionários. Mas infringir esse princípio apenas com os dados de um consumidor não significa que as multas serão menores: autoridades espanholas multaram o banco Bankia em cerca de 50 mil dólares por possuir e reutilizar dados de um consumidor 16 anos após ele deixar de ser cliente do banco. Isso porque ao considerar quem multar, os reguladores penalizam não pela violação do princípio, mas sim, pelas consequências. Por exemplo, se as companhias não seguirem os processos de limitação da finalidade de dados, elas podem estar infringindo outros requisitos da GDPR, tais como ter uma razão legitima para processar aqueles dados. Não é só a Europa que estabeleceu a limitação da finalidade nas leis de dados. A California adicionou em 2018 a cláusula de limitação da finalidade ao California Consumer Privacy Act (CCPA), a nova lei da privacidade de dados do estado. A cláusula estabelece que as empresas devem, antes de coletar informações pessoais, informar seus consumidores sobre como essa informação será usada e que precisam ter o consentimento desses consumidores para usar os dados em outra finalidade. O que fazem as empresas para respeitar as obrigações da limitação da finalidade? "Cada empresa processa diferentes tipos de dados pessoais, de diferentes formas, com propósitos diferentes", afirma Alexey Testsov, Head de Proteção de Dados e Privacidade da Kaspersky na Europa. A GDPR obriga os controladores e processadores de dados a manter registros de quais dados a empresa está coletando, do porquê estão coletando e até quando irão armazenar esses dados. Juntamente com a auditoria e o mapeamento dos dados, esses registros são essenciais para que as responsabilidades em relação à limitação da finalidade sejam respeitadas. "Os funcionários devem saber como coletar, armazenar e utilizar dados pessoais sem infringir a legislação. Dados os altos riscos do processamento de dados, é melhor discutir mudanças no processamento com um responsável pela segurança ou com o departamento jurídico da empresa. Os funcionários devem saber como consultar os especialistas internos da empresa sem ter medo de fazer isso", completa Testsov. Aqui estão dois exemplos de problemas identificados que podem levar a falhas no controle de finalidade de uso de dados: Sistemas que mantem os dados separados Proteções eficientes contra o uso indevido de dados podem ter evitado recentemente alguns casos de reciclagem de dados. No Reino unido, o Gabinete de Comissários da Informação (do inglês, Information Commissioners' Office ou ICO) multou recentemente uma empresa de campanhas políticas e uma seguradora em 120 mil libras cada. O ICO descobriu que informações pessoais coletadas durante a campanha política foram usadas para fazer propagandas de seguros, evidenciando falhas nos sistemas de proteção de dados das duas empresas. "Os sistemas que separam os dados pessoais de clientes de seguradoras dos dados coletados de inscritos políticos foram ineficazes", afirma o relatório do ICO. Controladores e processadores de dados devem ter em mente que avanços adicionais nos softwares podem causar mudanças na forma como os dados são utilizados. Isso é conhecido como "function creep", quando o uso de uma tecnologia ou sistema vai além da finalidade para qual foi originalmente destinada, especialmente quando isso leva a uma potencial invasão de privacidade. Hunter Nelson, Presidente da Tortoise and Hare Software, diz que desenvolvedores de softwares devem entender os potenciais impactos à privacidade causados pelo "function creep": "Controladores e processadores devem ter cuidado ao desenvolver sistemas para não infringir leis de privacidade quando novas funções são lançadas. Um processo de checagem deve ser incluído nos lançamentos para revisar essas novas funções, com o intuito de se preservar a privacidade", aconselha Nelson. Independentemente das legislações de privacidades vigentes onde sua empresa opera, saber da importância da limitação da finalidade irá te ajudar a garantir altos padrões de privacidade de dados. Por isso, assegure-se de que, ao coletar informações pessoais de consumidores, estes entendam perfeitamente como essas informações serão utilizadas. Com isso, você estará mostrando que respeita a privacidade de seus consumidores dando a credibilidade e confiança que toda empresa precisa.

Regulando as criptomoedas sem barrar a onda do Bitcoin

  • min de leitura
    • Existem mais usuários de criptomoedas no mundo do que habitantes no Canadá. Até meados de 2020, esse número ultrapassou a marca dos 40 milhões. Mas isso não é surpreendente, afinal as criptomoedas têm muitos atrativos, mas a projeção de crescimento desse mercado, 50% em 5 anos, ainda parece algo modesta. Um indício do porquê dessa projeção não ser maior pode ser encontrado em um relatório de outubro do ano passado, onde a gigante do setor financeiro PwC, conhecida anteriormente como PricewaterhouseCoopers, implora às empresas que comecem a olhar seriamente para o sistema de blockchain, mas não cita as criptomoedas. Isso porque as instituições ainda se incomodam com as atuais regulamentações do setor. A falta de regulamentação pode ser um dos maiores obstáculos das criptomoedas. Enquanto as startups baseadas em blockchain e as empresas relacionadas à criptomoedas estão vivendo seu auge, é difícil para as agências governamentais manter o ritmo e por isso alguns dos países ainda estão adotando uma abordagem conservadora sobre o assunto. A seguir, vamos analisar alguns exemplos atuais de regulamentação de criptomoedas, seus riscos e o que pode ser feito sobre o assunto. A regulamentação de criptomoedas ao redor do mundo Mais e mais países estão se dando conta de que as criptomoedas estão se tornando parte inevitável do sistema financeiro. Por isso estão começando a criar regras que as restrinjam: Europa A União Europeia faz parte da ala progressiva quando o assunto são criptomoedas, mas as regulamentações ao redor do continente variam de acordo com cada país. Em 2015, a Corte Europeia de Justiça definiu que transações de criptomoedas estavam isentas de ser taxadas com o IVA, imposto sobre valor agregado. Quando o objetivo é ser antilavagem de dinheiro e pró-segurança, todos os países europeus seguem à risca os padrões definidos pela Força-tarefa de Ação Financeira de criada em 2019. Estes padrões afirmam que sites que oferecem criptomoedas devem cumprir regras de obtenção de dados dos comportamento dos consumidores ("Know-your-customer data", em inglês) e antilavagem de dinheiro e compartilhar esses dados com as agências reguladoras. Estados Unidos Nos EUA, as criptomoedas ainda não estão integradas à estrutura financeira do país, principalmente devido à regulamentação severa de sua Comissão de Segurança e Câmbio e à suspensão das transações de criptos em 2020. Os governos estaduais e federal têm dado espaço para a discussão sobre o assunto, mas ainda assim foram poucas as mudanças reais registradas até o momento. A regulamentação é diferente de estado para estado. Por exemplo, o estado de Wyoming passou uma lei isentando as criptomoedas de impostos sobre a propriedade. Enquanto isso, Nova Iorque estabeleceu leis muito mais restritivas que fizeram com que muitas empresas ligadas às criptomoedas deixassem o estado. Rússia Enquanto os russos em si são relativamente favoráveis às criptomoedas, o governo do país ainda não decidiu como categorizar a Bitcoin e as outras moedas digitais, mas parece majoritariamente hostil em relação à elas. Em julho de 2020, as autoridades russas passaram uma lei sobre assets financeiros digitais que deve entrar em vigor ainda no primeiro semestre de 2021. Essa regulamentação legitima os câmbios de criptomoedas, mas proíbe as mesmas como método de pagamento. Índia Em 2020 a comunidade de criptomoedas da Índia venceu uma batalha de dois anos nos tribunais contra o Banco Central do país (Reserve Bank of India). Agora, as transações de criptomoedas voltaram a compor a oferta de soluções dos bancos atreladas à Rupia, moeda local. Só que poucos meses depois, o foco do governo mudou completamente. Agora a gestão atual planeja passar uma nova lei que volte a proibir transações com criptomoedas. Mas quais são os riscos de trabalhar com criptomoedas? O maior risco ao lidar com criptomoedas é o desconhecido. Existem muitas áreas cinzentas que podem ser perigosas e prejudiciais para empresas de criptomoedas, especialmente aqueles que fornecem as moedas, serviços de intercâmbio de carteiras ou contas para guardá-las. O empreendedorismo em criptomoedas tem a árdua missão de assegurar que o dinheiro e os dados dos consumidores estão seguros, prevenir fraudes e alcançar todos os requerimentos legais. Mas isso não impede milhares de companhias de operar no setor. O Google Pay, por exemplo, permite pagamentos em criptomoedas. Além da atenção redobrada para a legislação, que está mudando constantemente, muitos riscos estão cobertos por procedimentos de verificação de comportamento (KYCC) e autenticação de múltiplos fatores. Quando a questão é prevenção de fraudes, os riscos são tão altos como para qualquer outra fintech. Cartões roubados ou hackeados, carteiras e contas digitais ainda são os focos mais populares dos criminosos. Mas no campo das criptos isso é especialmente perigoso porque transações feitas via blockchain são irreversíveis. O câmbio de criptos também é obrigado a detectar transações que possam ter um risco maior, tais como o câmbio de moeda estrangeira e apostas. O setor deve focar principalmente em prevenir operações suspeitas e fraudulentas, precedentes ruins nesse tipo de casos podem custar caro às empresas, chegando até a arriscar suas licenças de operação. Como a regulamentação de criptomoedas pode ajudar As empresas costumam ver a regulamentação como algo negativo, mas ela é algo necessário e que pode funcionar. Ter um sistema coordenado e certificado pode até reduzir a eficiência, mas se torna mais fácil do que gerenciar um negócio em completa incertidão. A regulamentação também deve agilizar a adoção em massa das criptos e seus assets por parte das instituições financeiras tradicionais, ajudando a legitimar as criptomoedas para o grande público. Mas apesar de se tratar de uma moeda internacional, é difícil imaginar uma regulamentação global para as criptomoedas. Ainda que muitos países se juntassem para criar uma lei em comum, as criptomoedas talvez não fossem capazes de lidar com a diferença de realidades e valores entre os países. Hoje, a verdade é que valores em criptomoedas não têm uma definição clara e objetiva e seu status legal ainda está sob análise em muitos países. Seria mais simples que as empresas e clientes tivessem uma mesma regulamentação que inclua tudo. Na UE, os requerimentos fazem com que seja relativamente fácil operar em 27 países. Ironicamente, entusiastas acreditavam que o blockchain seria o que faria esse sistema fosse descentralizado e tivesse acessibilidade global, mas um dos principais impedimentos das criptomoedas é justamente esse. Negócios baseados em criptos devem encorajar e perseguir uma regulamentação que ofereça mais segurança para os usuários sem ser exageradamente restritiva. A principal preocupação em termos de segurança é como fazer com que os usuários entendam bem seus conceitos antes de entrar nesse mercado. Isso porque muitas plataformas de criptomoedas ainda dão informações cruzadas e confusas sobre o assunto ou usam sistemas de apostas, câmbio internacional ou até golpes para atrair clientes. Essas práticas ainda mantém uma sombra sobre o setor em geral, deslegitimando a grande maioria de negócios lícitos e forçando as instituições reguladoras a aplicar restrições mais severas para manter a segurança dos investidores. Ainda assim, os entusiastas das criptomoedas ainda estão um pouco relutantes em relação à uma abordagem focada em segurança para falar do assunto, em detrimento de um sistema com empresas com menos responsabilidade. Mas segurança não necessariamente quer dizer restrição. O essencial é que toda empresa com uma reputação a zelar faça sua parte para que as criptos possam crescer de forma segura.  
by Tecnologia inovadora.
Inovando líderes.
Sobre o Secure Futures

A revista Secure Futures é o seu guia de negócios com dicas, opiniões, tendências e insights sobre o mundo da tecnologia e da cibersegurança. A Kaspersky ajuda sua empresa a antecipar o futuro, através dos especialistas globais em cibersegurança.