Quase todas as leis de privacidade de dados partem de um mesmo princípio: a exigência de adotar “medidas razoáveis” para proteger dados pessoais durante a transmissão, o processamento e o armazenamento. Atender a isso exige tanto políticas de proteção de dados quanto as tecnologias que as viabilizam.
Este guia ajuda a aprimorar as estratégias de conformidade com CCPA e GDPR e lista as tecnologias e ferramentas normalmente adotadas por equipes internas de TI e por provedores de serviços gerenciados (MSPs) globais para proteger os dados pessoais que manipulam e atender a leis de privacidade como a California Consumer Privacy Act (CCPA) e o General Data Protection Regulation (GDPR).
O que é conformidade com GDPR e CCPA e por que ela é necessária
CCPA e GDPR são duas leis de privacidade distintas, que protegem as informações pessoais de residentes da Califórnia e da União Europeia, respectivamente. Embora tenham propósitos parecidos, há diferenças importantes entre elas — mas ambas trazem a mesma exigência: adotar determinadas medidas para proteger dados pessoais, ou informações de identificação pessoal (PII), com penalidades severas em caso de descumprimento.
Mesmo que sua empresa não esteja na UE, na Califórnia ou em outra região com leis próprias de privacidade, ou não atinja os limites de faturamento e demais critérios que a vinculariam a elas, a conformidade costuma valer a pena: muitos marcos de privacidade se aplicam conforme o local onde está o titular dos dados protegidos, não onde está a empresa que os manipula. Ignorar essas leis também pode limitar a capacidade de trabalhar com outras empresas que precisam cumpri-las.
Além disso, ter políticas, processos e infraestrutura preparados para atender a leis internacionais de privacidade como CCPA e GDPR significa que, quando a empresa estiver pronta para crescer e escalar, o terreno já está preparado. Negligenciar as responsabilidades de proteção de dados ainda pode abalar a confiança dos clientes.
O que é preciso para garantir a conformidade com GDPR e CCPA
Criar as políticas que levarão a empresa à conformidade com leis internacionais de privacidade exige entender cada lei, o ambiente jurídico em que a empresa atua e a relação com os usuários (incluindo quais dados são manipulados em nome deles e o conhecimento e consentimento sobre esse uso). Em geral, essas políticas cobrem aspectos como classificação, retenção e acesso aos dados.
Depois de criadas as políticas que atendem às exigências legais aplicáveis, administradores de TI e provedores de serviços gerenciados são quem melhor pode colocá-las em prática e fazê-las valer, já que conhecem melhor onde e como esses dados são usados. Isso exige escolher ferramentas de TI com recursos que facilitem a conformidade, configurar esses softwares corretamente, orientar a equipe sobre suas responsabilidades e monitorar possíveis vazamentos ou condutas indevidas.
A chave de tudo isso é a visibilidade: é preciso saber onde está cada dado relacionado a um titular (no local, na nuvem ou em um backup), para que possa ser recuperado, excluído, corrigido ou tratado conforme as leis de privacidade da região dele.
Principais categorias de tecnologia para conformidade em privacidade
Fazer tudo isso em várias jurisdições e para diferentes tipos de dados pessoais (sobretudo quando há dados de saúde envolvidos) vira rapidamente um desafio técnico complexo — ainda mais para MSPs com clientes que atuam em mercados distintos e que, por sua vez, podem ter uma base global de clientes.
Estas são as categorias de tecnologia adotadas para atender a exigências em constante mudança:
- Descoberta e classificação de dados: localiza e categoriza dados pessoais em diferentes ambientes, como armazenamento local e na nuvem e diversas plataformas SaaS
- Gerenciamento de acesso (IAM/MFA): aplica restrições baseadas em identidade para liberar o acesso aos dados apenas a quem precisa deles para exercer a função
- Prevenção contra perda de dados (DLP): impede compartilhamento, transferência ou exposição não autorizada de dados privados
- Criptografia e gerenciamento de chaves: protege dados em repouso e em trânsito, com tratamento de chaves pronto para auditoria
- Gerenciamento de consentimento e preferências: registra adesões e recusas dos usuários e o histórico de consentimento, para fins de transparência e auditoria
- Logs e relatórios de auditoria: garante rastreabilidade de acessos, alterações e solicitações de dados dos usuários
- Automação de solicitações de titulares (DSR/SAR): apoia o atendimento de pedidos de acesso, exclusão e correção dentro dos prazos exigidos por lei
Cabe a você pesquisar e implementar ferramentas que atendam às necessidades do negócio e às suas responsabilidades legais. Na prática, isso costuma significar combinar produtos de diferentes fornecedores (depois de fazer uma avaliação de risco de fornecedores e firmar os acordos de proteção de dados pertinentes) para chegar a uma solução sob medida e de bom custo-benefício, integrada às ferramentas e aos processos que já existem.
Descoberta e classificação de dados
Para proteger todos os dados privados e conseguir localizar todas as cópias dos dados de um titular quando ele pedir acesso ou atualização, esses dados precisam ser detectáveis. Eles podem estar em compartilhamentos de rede, e-mails, bancos de dados e plataformas SaaS (como CRMs ou sites de e-commerce).
Controlar tudo isso exige documentar como e onde os dados são usados e também usar ferramentas de descoberta e classificação capazes de varrer identificadores (nomes, endereços, números de documentos), marcar e classificar dados conforme finalidade e sensibilidade e se integrar a ferramentas de prevenção contra perda de dados.
Entre as ferramentas para essa finalidade, estão Microsoft Purview, OneTrust, BigID e Varonis.
Uma exigência do GDPR, e uma recomendação do CCPA, é a minimização de dados: armazenar apenas o mínimo necessário para a atividade consentida reduz o volume de dados a proteger. Anonimização e pseudonimização também diminuem os riscos ligados à sensibilidade dos dados.
Gerenciamento de identidade e acesso (IAM)
O IAM reúne os mecanismos de autenticação (quem é a pessoa) e autorização (o que ela pode ver ou fazer) no acesso à infraestrutura de TI e aos dados sensíveis nela. O IAM deve se integrar ao conjunto de ferramentas de TI para oferecer controle de acesso baseado em função (RBAC), autenticação multifator (MFA) e gerenciamento do ciclo de vida dos usuários (provisionamento e desprovisionamento conforme entram, saem ou mudam de função) em toda a infraestrutura local e na nuvem.
Entre as ferramentas populares dessa categoria, estão Microsoft Entra ID (antigo Azure AD), Okta e Ping Identity.
Confiança zero e o princípio do menor privilégio (PoLP) são conceitos importantes a considerar na escolha e na implementação da solução de IAM.
Prevenção contra perda de dados (DLP)
As plataformas de DLP impedem que dados protegidos saiam do controle da organização, inspecionando e-mails enviados, transferências de arquivos e atividades na nuvem em busca de possíveis vazamentos. Se um vazamento em potencial é detectado, a atividade pode ser bloqueada automaticamente e as partes interessadas, alertadas para que medidas sejam tomadas.
Microsoft Purview Data Loss Prevention, Forcepoint, Symantec DLP e Proofpoint estão entre as plataformas de DLP mais usadas.
Cronogramas de retenção ajudam a aplicar a exclusão automática ao fim do ciclo de vida dos dados, reduzindo o volume que pode vazar e que precisa ser monitorado pelo DLP.
Criptografia e gerenciamento de chaves
Dados criptografados com segurança não podem ser lidos por ninguém sem a chave, o que torna a criptografia indispensável em qualquer forma eficaz de proteção de dados. Ela é especialmente relevante para dados na nuvem, pois mantém sob seu controle quem pode lê-los.
Na prática, as leis de privacidade determinam que os dados sejam criptografados em repouso (ou seja, quando armazenados em um disco rígido) e em trânsito (quando transmitidos de um dispositivo a outro, por exemplo do armazenamento local para a nuvem). Há vários requisitos técnicos para isso, incluindo criptografia TLS e AES, compatível com muitas soluções de armazenamento e rede.
Dados criptografados são tão seguros quanto os segredos usados para protegê-los, por isso ferramentas como AWS KMS, Azure Key Vault e Thales CipherTrust costumam ser usadas no gerenciamento de chaves.
Essas ferramentas facilitam a rotação periódica das chaves sem interromper o serviço, o que ajuda a evitar vazamentos.
Gerenciamento de consentimento e preferências
Os usuários precisam de um meio para consentir que a empresa colete e use seus dados, e esse consentimento precisa ser registrado para fins de conformidade.
Isso normalmente envolve uma interface para aderir ou recusar atividades de tratamento de dados e serviços de back-end que capturam e registram esse consentimento. Na prática, aparece nos conhecidos banners de cookies, pop-ups de consentimento de marketing e controles de privacidade nos perfis dos usuários.
Essa funcionalidade costuma ser implementada manualmente, mas plataformas como TrustArc, Cookiebot e OneTrust CMP a oferecem como serviço, sem exigir muito trabalho de desenvolvimento e com atualizações conforme as leis mudam.
Automação de solicitações de titulares (DSR/SAR)
Pelo GDPR e pelo CCPA, os usuários têm o direito de saber quais dados você tem sobre eles e pedir a atualização ou a exclusão desses dados em todos os seus sistemas (inclusive quando estão em vários locais e, em alguns casos, em backups antigos).
A automação de DSR/SAR consegue pesquisar vários sistemas para localizar dados de um titular e ajuda a responder dentro do prazo legal (30 dias no GDPR, 45 dias no CCPA). Solicitações e desfechos podem ser registrados para comprovar conformidade e auditar as respostas automáticas.
DataGrail, OneTrust e Microsoft Purview Compliance Manager cumprem esse papel.
Logs, relatórios e trilhas de auditoria
É preciso registrar a conformidade em documentação e logs de auditoria para comprovar que as medidas técnicas e de processo exigidas para proteger os dados foram implementadas. Também é necessário documentar possíveis violações e garantir que quem pediu acesso ou correção dos próprios dados recebeu a resposta adequada.
As ferramentas que documentam essa atividade devem acompanhar quem acessou dados protegidos, monitorar alterações de configuração e gerar relatórios sobre respostas a DSRs, incidentes de DLP e consentimento dos usuários. Alguns dados (como e-mails) também podem precisar ficar em retenção legal ou ser preservados para investigações, quando houver notificação nesse sentido.
Entre as ferramentas para essas tarefas de relatório, estão Splunk, Microsoft Defender for Cloud, Elastic SIEM e AuditBoard. Muitas plataformas e ferramentas também têm recursos próprios e configuráveis de retenção e registro de dados (por exemplo, retenções por litígio em provedores de e-mail na nuvem, que impedem a exclusão definitiva das mensagens).
A conformidade começa pelas ferramentas de gerenciamento de TI
A escolha das ferramentas é decisiva, mas nenhuma ferramenta isolada coloca a empresa em conformidade imediata com CCPA, GDPR ou qualquer outra lei de privacidade. O melhor caminho é comparar opções e escolher as que tenham recursos voltados diretamente às necessidades dos seus usuários e às políticas criadas para atendê-las.
Isso reduz a carga sobre as equipes de TI e deixa tudo pronto para o crescimento futuro em novos territórios ou para a entrada em vigor de novas leis onde a empresa já atua.
NinjaOne oferece um conjunto de ferramentas de gerenciamento de TI em conformidade com GDPR e CCPA, dentro de uma plataforma completa para MSPs que inclui acesso remoto, backup, gerenciamento de endpoints e de dispositivos móveis e portais de helpdesk. Também estamos em conformidade com HIPAA, ISO27001, NIS2 e outros marcos emergentes de privacidade e segurança de dados, e mantemos nossas plataformas atualizadas conforme surgem novas exigências legais — veja aqui nossa visão geral completa de conformidade e confiança.
Se você responde pela segurança de PII ou de outras informações proprietárias sensíveis, fale com a NinjaOne para conversar sobre como podemos ajudar a colocar suas operações de TI em conformidade.
