Uma empresa de varejo sediada nos EUA havia contratado um fornecedor de SaaS com sede nos EUA para análise de clientes. A equipe de TPRM havia desenhado seu programa de avaliação em torno da CCPA e das estruturas de privacidade dos EUA, o contexto regulatório das operações principais do cliente. A avaliação confirmou a conformidade com a CCPA, a aderência ao PCI-DSS para os dados de pagamento e a cobertura SOC 2 Tipo II da plataforma de análise. O que a avaliação não havia tratado: a equipe de engenharia do fornecedor de SaaS estava distribuída entre a Polônia e a Romênia, o armazenamento de dados de produção ficava na região AWS eu-west-1, na Irlanda, e uma parte significativa dos dados de clientes da varejista dizia respeito a residentes da UE que haviam comprado nas operações europeias da empresa. O armazenamento na Irlanda sujeitava os dados ao GDPR, por serem dados tratados dentro da UE. Os clientes residentes na UE cujos dados eram tratados faziam da varejista um controlador para fins do GDPR e do fornecedor um operador para fins do GDPR, independentemente da sede da varejista nos EUA. Nenhum DPA nos termos do artigo 28 havia sido firmado. Nenhum mapeamento de dados para fins do GDPR havia sido feito para essa relação com fornecedor. Nenhuma avaliação da postura de conformidade do fornecedor com o GDPR havia sido realizada. A avaliação da CCPA estava correta e completa para o seu escopo regulatório. O ponto cego do GDPR estava gerando uma exposição regulatória que nenhuma das partes havia avaliado.
O que são, de fato, os pontos cegos regulatórios?
Pontos cegos regulatórios são as estruturas regulatórias que se aplicam a uma relação com fornecedor, determinadas pela localização dos dados, pela residência dos titulares, pelo setor de atuação ou pela geografia operacional, e que não são avaliadas porque o programa de avaliação foi desenhado em torno de um contexto regulatório diferente. Eles surgem de um descompasso entre a estrutura regulatória que um programa de avaliação de TPRM foi desenhado para tratar e as estruturas regulatórias que de fato regem os dados e as operações envolvidos na relação específica com o fornecedor.
O problema da complexidade jurisdicional regulatória é a origem da maioria dos pontos cegos. As regulamentações de proteção de dados são jurisdicionais em várias dimensões ao mesmo tempo: o GDPR se aplica a dados de residentes da UE, independentemente de onde a organização que realiza o tratamento esteja localizada; a LGPD se aplica a dados de residentes no Brasil, independentemente do domicílio do operador; a CCPA se aplica aos consumidores de empresas da Califórnia. As regulamentações setoriais acrescentam outras camadas: a HIPAA se aplica a dados de saúde dos EUA, independentemente da geografia do armazenamento; o PCI-DSS se aplica aos dados de titulares de cartão, independentemente do país de origem do operador. Uma relação com fornecedor que cruza fronteiras jurisdicionais em qualquer dessas dimensões, seja pela residência dos titulares, pela localização do armazenamento ou pela geografia operacional, pode estar sujeita a estruturas regulatórias que o programa de avaliação não foi desenhado para tratar.
O problema da geografia da infraestrutura é o mecanismo específico que produz o ponto cego no cenário de abertura. A geografia da infraestrutura em nuvem determina onde os dados são armazenados, quais leis de soberania de dados se aplicam e, em alguns casos, quais requisitos de certificação de segurança são relevantes. Um fornecedor cuja infraestrutura de produção está em regiões do AWS na UE trata dados sob os requisitos de soberania de dados da UE, independentemente da sede corporativa do fornecedor. Um programa de avaliação de TPRM sediado nos EUA que não avalia a conformidade com o GDPR de fornecedores com armazenamento de dados em regiões da UE tem um ponto cego sistemático em relação à estrutura regulatória que de fato rege o armazenamento e o tratamento dos dados.
- Avaliação desenhada para o contexto regulatório da sede, ignorando as regulamentações aplicáveis em razão da localização dos dados e da residência dos titulares
- Geografia da infraestrutura não avaliada: região de nuvem do fornecedor não analisada quanto às implicações regulatórias
- Residência dos titulares não mapeada: os titulares cujos dados são tratados não são associados às regulamentações aplicáveis
- DPA não firmado nas relações sujeitas ao GDPR: obrigação do artigo 28 não identificada
- Pontos cegos de regulamentação setorial: regulamentações específicas de setores não avaliadas em relações com fornecedores de outros setores
Por que isso importa
Os pontos cegos regulatórios são importantes para TPRM porque estruturas regulatórias não avaliadas criam exposição de conformidade sem gestão. Uma relação com fornecedor sujeita ao GDPR, mas não avaliada quanto à conformidade com o GDPR, não tem um DPA em conformidade, nem um mapeamento de dados adequado ao GDPR, nem um mecanismo de transferência de dados em conformidade caso os dados circulem entre a UE e países sem adequação. Se ocorrer um incidente que afete dados de residentes da UE, a fiscalização regulatória será conduzida com base no GDPR, e a resposta do cliente à pergunta “qual é a sua postura de conformidade com o GDPR nesta relação com fornecedor?” revelará que a pergunta nunca foi feita.
A lacuna de formalização do DPA é a consequência de ponto cego mais imediatamente corrigível. O artigo 28 do GDPR exige que o tratamento de dados seja regido por um contrato que imponha obrigações específicas ao operador: o DPA do artigo 28. Quando uma relação com fornecedor envolve dados sujeitos ao GDPR e não existe DPA, o tratamento ocorre sem a estrutura contratual que o GDPR exige. Identificar quais relações existentes com fornecedores exigem acordos de tratamento de dados ainda não firmados é a correção de primeira ordem para o ponto cego do GDPR.
Onde a maioria das equipes erra
A falha mais recorrente é desenhar as estruturas de avaliação de TPRM em torno do contexto regulatório principal da organização cliente, sem mapear as estruturas regulatórias que se aplicam a cada relação específica com fornecedor com base nos dados tratados, nos titulares dos dados envolvidos e na geografia operacional e de infraestrutura do fornecedor.
- Desenhar a estrutura de avaliação em torno da regulamentação da sede, e não das regulamentações aplicáveis a cada relação específica
- Geografia da infraestrutura do fornecedor não revisada: regiões de nuvem não avaliadas quanto às implicações regulatórias
- Residência dos titulares não mapeada: dados de residentes da UE, do Brasil ou de outros lugares não identificados
- Formalização do DPA não revisada nas relações sujeitas ao GDPR
- Aplicabilidade das regulamentações setoriais não avaliada: aplicabilidade de HIPAA, PCI-DSS e GLBA não mapeada para cada relação
Como é uma boa prática
Programas maduros de mapeamento da conformidade regulatória avaliam cada relação com fornecedor quanto às estruturas regulatórias aplicáveis com base no tipo de dado, na residência dos titulares, na geografia do armazenamento e no setor de atuação, e não com base no contexto regulatório principal da organização cliente, e desenham requisitos de avaliação específicos para cada relação com base nas estruturas aplicáveis.
- Mapeamento da aplicabilidade regulatória por relação: quais estruturas se aplicam com base nos dados, nos titulares e na geografia
- Revisão da geografia da infraestrutura: regiões de nuvem do fornecedor avaliadas quanto às implicações de soberania de dados
- Mapeamento da residência dos titulares: residentes da UE, da Califórnia e do Brasil identificados no escopo de dados de cada fornecedor
- Revisão da situação de formalização do DPA em todas as relações sujeitas ao GDPR
- Avaliação das regulamentações setoriais: aplicabilidade de HIPAA, PCI-DSS e GLBA avaliada por relação
Ferramentas
Mapeamento de dados: OneTrust, TrustArc, Privitar
As plataformas de mapeamento de dados documentam fluxos de dados, categorias de titulares e locais de tratamento, fornecendo as informações necessárias para identificar as estruturas regulatórias aplicáveis a cada relação com fornecedor. Para profissionais de TPRM, usar os resultados do mapeamento de dados para identificar a aplicabilidade do GDPR, da LGPD e de outras regulamentações a cada relação com fornecedor permite detectar os pontos cegos que programas de avaliação centrados na sede não conseguem revelar.
Modelos de DPA do GDPR: modelo do ICO, orientações das autoridades de controle
Os modelos de DPA das autoridades de controle oferecem a estrutura contratual exigida pelo artigo 28 do GDPR para as relações de tratamento de dados. Para profissionais de TPRM, revisar os contratos existentes com fornecedores quanto à formalização do DPA e firmar acordos nos termos do artigo 28 quando aplicável é o primeiro passo para corrigir os pontos cegos do GDPR.
Desafios de governança
O desafio de governança dos pontos cegos regulatórios é a complexidade multijurisdicional. Uma equipe de TPRM especialista nas estruturas de privacidade dos EUA pode não ter o conhecimento do GDPR, da LGPD ou de regulamentações setoriais necessário para identificar e avaliar os pontos cegos em cada dimensão regulatória. A solução de governança é uma etapa de avaliação da aplicabilidade regulatória, identificando quais regulamentações se aplicam a cada relação antes de desenhar a avaliação, e o uso de conhecimento externo ou de ferramentas para as estruturas regulatórias fora do domínio principal da equipe.
- Realizar o mapeamento da aplicabilidade regulatória de cada relação com fornecedor antes de desenhar a avaliação
- Pergunte aos fornecedores sobre a geografia de sua infraestrutura: quais regiões de nuvem abrigam os dados dos clientes
- Pergunte sobre a residência dos titulares: dados de residentes de quais jurisdições são tratados
- Revisar a situação de formalização do DPA em todas as relações com fornecedores que envolvam dados sujeitos às regras da UE
- Envolver assessoria jurídica ou regulatória nas relações com aplicabilidade jurisdicional desconhecida
Se você faz parte de uma equipe pequena
Para as suas cinco relações com fornecedores de maior risco, faça três perguntas sobre pontos cegos regulatórios. Primeira: em quais regiões de nuvem ou países nossos dados são armazenados por este fornecedor? Segunda: o tratamento feito pelo fornecedor envolve dados de residentes da UE, do Reino Unido, do Brasil ou da Califórnia, independentemente de onde o fornecedor tem sede? Terceira: nas relações sujeitas ao GDPR, firmamos um DPA nos termos do artigo 28? Essas três perguntas revelarão os pontos cegos regulatórios mais comuns (armazenamento de dados na UE, dados de residentes da UE e acordos de tratamento de dados ausentes) nas suas relações mais importantes.
- Pergunte em quais regiões de nuvem seus dados são armazenados por cada fornecedor de maior risco
- Pergunte se dados de residentes da UE, do Reino Unido, do Brasil ou da Califórnia estão no escopo
- Revisar a formalização do DPA em todas as relações em que existam dados sujeitos às regras da UE
- Avaliar a aplicabilidade das regulamentações setoriais nas relações com fornecedores de outros setores
O que exigir
Pergunte diretamente:
“Em quais regiões de nuvem ou países os dados da nossa organização são armazenados e tratados? Vocês tratam dados de residentes da UE, do Reino Unido, do Brasil ou da Califórnia no âmbito do nosso contrato? E existe um acordo de tratamento de dados nos termos do artigo 28 do GDPR firmado entre nossas organizações?”
O que esperar como evidência
- Geografia da infraestrutura: regiões de nuvem específicas onde os dados são armazenados
- Confirmação da residência dos titulares: residentes de quais jurisdições estão no escopo
- Confirmação da formalização do DPA nas relações sujeitas ao GDPR
- Postura de conformidade regulatória com as estruturas jurisdicionais aplicáveis
Um fornecedor avaliado quanto à conformidade com a CCPA deve ser questionado sobre onde os dados são armazenados e a quem eles se referem. As regulamentações aplicáveis acompanham os dados e os titulares, não a sede das partes contratantes.
Como comprovar
- Mapeamento da aplicabilidade regulatória por relação
- Registros de avaliação da geografia da infraestrutura
- Registros de formalização do DPA nas relações sujeitas ao GDPR
- Registros de mapeamento da residência dos titulares
Principal conclusão
A estrutura regulatória que rege os dados depende de onde os dados são armazenados e de quem são os dados, não de onde as partes contratantes têm sede. O fornecedor dos EUA que armazena na Irlanda dados de residentes da UE trata dados sujeitos ao GDPR, independentemente de o contrato ser entre duas empresas dos EUA. A avaliação desenhada para a CCPA avaliou a estrutura certa para a dimensão errada da relação. Os pontos cegos regulatórios surgem quando as estruturas de avaliação são desenhadas em torno do contexto da sede do cliente, e não das regulamentações aplicáveis a cada relação específica com fornecedor. Mapeie primeiro a aplicabilidade regulatória. Desenhe a avaliação para as estruturas aplicáveis. A regulamentação que se aplica é a que importa quando o incidente acontece.