GDPR – Criptografia

As empresas podem reduzir a probabilidade de uma violação de dados e, assim, reduzir o risco de multas no futuro, se optarem por utilizar a criptografia de dados pessoais. O processamento de dados pessoais está naturalmente associado a um certo grau de risco. Especialmente nos dias de hoje, onde os ciberataques são quase inevitáveis para empresas acima de um determinado tamanho. Portanto, a gestão de riscos desempenha um papel cada vez maior na segurança de TI e a criptografia de dados é adequada, entre outros meios, para essas empresas.

Em geral, criptografia refere-se ao procedimento que converte texto claro em um código hash usando uma chave, onde as informações enviadas só se tornam legíveis novamente usando a chave correta. Isso minimiza o risco de um incidente durante o processamento de dados, pois conteúdos criptografados são basicamente ilegíveis para terceiros que não possuem a chave correta. A criptografia é a melhor maneira de proteger dados durante a transferência e uma forma de proteger dados pessoais armazenados. Ela também reduz o risco de abuso dentro de uma empresa, já que o acesso é limitado apenas a pessoas autorizadas com a chave certa.

O Regulamento também reconhece esses riscos ao processar dados pessoais e coloca a responsabilidade no controlador e no processador, no Art. 32(1) do Regulamento Geral de Proteção de Dados, de implementar medidas técnicas e organizacionais adequadas para proteger os dados pessoais. O RGPD deliberadamente não define quais medidas técnicas e organizacionais específicas são consideradas adequadas em cada caso, a fim de acomodar fatores individuais. No entanto, fornece ao controlador um catálogo de critérios a serem considerados ao escolher métodos para proteger os dados pessoais. Esses critérios são o estado da arte, custos de implementação e a natureza, escopo, contexto e finalidades do processamento. Além desses critérios, deve-se sempre considerar a gravidade dos riscos para os direitos e liberdades do titular dos dados e a probabilidade de esses riscos se manifestarem. Isso basicamente se resume ao seguinte: Quanto maiores os riscos envolvidos no processamento de dados e mais provável for sua manifestação, mais fortes deverão ser as medidas de segurança adotadas e mais medidas devem ser tomadas. A criptografia como conceito é mencionada explicitamente como uma possível medida técnica e organizacional para proteger os dados na lista do Art. 32(1) do RGPD, que não é exaustiva. Novamente, o RGPD não menciona métodos de criptografia específicos para acomodar o rápido progresso tecnológico. Ao escolher um método, também se deve aplicar o catálogo de critérios acima. Para responder à questão do que atualmente é considerado “estado da arte”, os encarregados de proteção de dados geralmente confiam nas definições estabelecidas em normas de segurança da informação como a ISO/IEC 27001 ou outras diretrizes nacionais de segurança de TI.

A criptografia de dados pessoais tem benefícios adicionais para controladores e/ou processadores de encomendas. Por exemplo, a perda de um meio de armazenamento móvel criptografado de última geração que contém dados pessoais não é necessariamente considerada uma violação de dados, a qual deve ser reportada às autoridades de proteção de dados. Além disso, se houver uma violação de dados, as autoridades devem considerar positivamente o uso de criptografia em sua decisão sobre se uma multa é imposta e em que montante, conforme o Art. 83(2)(c) do GDPR.