Inge Geerdens
Fundadora CVWarehouse
2018 vai entrar para a história como o ano do RGPD. Não há volta a dar, considerando a quantidade de tinta que já correu sobre como nos prepararmos, quais as maiores armadilhas e, desde 25 de maio, sobre quem não conseguiu proteger os seus dados.
Já era evidente que algo deveria ser feito para proteger os nossos dados. Nos últimos anos a prática comum ficou clara: empresas a usar os dados dos seus clientes de uma forma que era tudo menos controlada. A mentalidade predominante de “ninguém pode tocar em nós”, de alguns players antes do RGPD entrar em vigor, teve que desaparecer.
Mas o RGPD, enquanto legislação, não visa só as empresas que estão erradas. Parece antes uma punição preventiva para todas as empresas, grandes e pequenas. Principalmente as pequenas.
Como não conseguimos penalizar as empresas realmente culpadas – muitas vezes gigantes da tecnologia que construíram todo o seu modelo de receita com base nos nossos dados pessoais – medidas draconianas devem ser tomadas por todas as empresas, para realmente se cumprirem as regras.
“Todos somos iguais perante a lei”, ouvimos tantas vezes.
Naturalmente, não podemos fazer exceções em que uma empresa pode explorar dados, enquanto outras estão a tentar protegê-los ao mesmo tempo. Mas é exatamente aqui que está o problema. Em qualquer caso, uma PME não se pode dar ao luxo de ser imprudente com os dados.
Enquanto os big boys continuam a ser exonerados em seu nome ou pela falta de boas alternativas, as empresas menores sentem mais pressão para criar e manter um nome por si mesmos e, acima de tudo, ter que preservá-lo, protegendo todos os dados e certificando-se de que nada é corrompido.
As pequenas empresas são forçadas a fazer grandes investimentos, de forma a seguir as mesmas regras estritas de RGPD que as grandes empresas. Na maioria das vezes, uma PME não tem um departamento jurídico ou de TI à sua disposição, sendo obrigada a recorrer a aconselhamento e ajuda externa.
Aqueles que estão familiarizados com o preço médio por hora de um especialista em RGPD, sabem que pode ficar mais barato uma multa mais tarde.
Nos últimos meses, investi todo o meu tempo a pesquisar e analisar a legislação, a mudar contratos, listar os programas com os quais trabalhamos e a estabelecer segurança adicional.
Todo o dinheiro que estamos a gastar com consultores externos não está a ser despendido em mais ou melhores ferramentas de privacidade, mas sim em procedimentos e em documentos que ajudem a salvar a nossa pele.
Em tempos de crime cibernético, a questão não é se seremos pirateados, mas sim quando seremos pirateados. Como é que a Autoridade de Proteção de Dados age perante a realização, ou não, do nosso trabalho de proteção dos dados? Se a pessoa responsável se esqueceu de instalar a última atualização, o empregador assume a culpa ou passa a batata quente para o funcionário? E se o erro fosse no software e nenhuma atualização estivesse disponível? Quem é responsável pela multa? Fornecedores como a Microsoft ou a Google?
Do ponto de vista da Autoridade de Proteção de Dados, o que nos dizem é principalmente pela consciencialização. Ainda não se fala em penalidades monstruosas, mas o tempo e o dinheiro investidos para estar em conformidade com o RGPD já são uma penalização monstruosa em si mesmos.
Ouvimos, constantemente, os nossos governos a reforçar o incentivo ao empreendedorismo. Mas se quisermos tornar o empreendedorismo atrativo, teremos que pensar em algo mais do que apenas reduções de impostos e prémios de arranque. Não conseguiremos inovar com legislações complicadas e penalidades monstruosas, onde ninguém se consegue manter à tona.
O foco principal deve estar (em) penalizar (o) abuso, em vez da criação de procedimentos. Talvez todas essas grandes empresas devam parar de impor acordos aos pequenos empreendedores, por meio dos quais – é claro – repassam todas as responsabilidades. Como pode isto estar certo?
