CevroProteção de dados: checklist para novos mercados
A lei de proteção de dados segue seus usuários, não a sua sede. Antes de lançar em um novo país, percorra estas perguntas para que a conformidade não seja o que atrasa o lançamento.
1. Identifique qual lei se aplica
Parta de onde estão seus usuários e os titulares dos dados, não de onde estão seus servidores. Muitos países aplicam sua lei a quem oferece serviços a pessoas em seu território. Verifique se o país tem uma lei abrangente e se um regime regional, como o RGPD, já o cobre.
2. Verifique registro e deveres de designação
Algumas autoridades exigem que controladores ou operadores se registrem, e algumas exigem um encarregado de proteção de dados, muitas vezes só acima de um limite de porte ou sensibilidade. Confirme isso antes do lançamento, porque o registro pode levar tempo.
3. Planeje as transferências internacionais
Muitas leis restringem o envio de dados pessoais ao exterior, salvo mecanismo lícito. Mapeie onde os dados ficam armazenados e quais fornecedores e equipes de suporte têm acesso a eles, e depois confirme a base de transferência de cada fluxo.
4. Prepare sua resposta a violações
Os prazos de notificação variam, e várias jurisdições usam 72 horas. Decida quem declara uma violação, quem contata a autoridade e que evidências você guarda, antes de um incidente e não durante.
5. Verifique a localização de dados
Uma minoria de países exige que certos dados permaneçam em seu território. Se você trata setores regulados, como saúde ou finanças, verifique também as regras setoriais, além da lei geral de proteção de dados.
6. Mantenha tudo comprovável
Tanto as autoridades quanto os grandes clientes pedem evidências. Mantenha um registro dos seus controles de segurança, políticas, lista de fornecedores e decisões, e atualize-o à medida que as leis mudam.
Perguntas frequentes
Preciso de um advogado em cada país?
Para um lançamento, em geral você precisa de assessoria local qualificada nos pontos que trazem risco real. Uma visão geral mapeada da lei mostra o que perguntar, de modo que o tempo do advogado sirva para decidir, não para descobrir.