White paper

Protecção de dados

Guia rápido e a forma como os seus parceiros de TIC podem ajudar

2

Contents

Quais são os dados da sua empresa que devem ser mantidos confidenciais? O que precisa de saber para proteger os seus dados? E que papel desempenham os seus parceiros de TIC?

Este guia pretende responder a algumas das perguntas que as pequenas e médias empresas (PME) enfrentam. Vamos traçar o cenário, direccioná-lo para alguns princípios úteis e explicar o papel dos seus parceiros de TIC.

1. Não se trata apenas de legislação: é também uma tendência crescente 3

2. Quais são os dados importantes e quem é responsável? 33. O que a sua empresa e os seus parceiros de TIC

precisam de fazer? 44. Apêndice A 5

3

Hoje em dia, o volume de dados recolhidos por uma empresa é maior do que nunca. Pense na sua própria empresa: tem os planos de negócio, os e-mails e documentos confidenciais e, como é evidente, as informações sensíveis acerca de clientes que estes não querem partilhar com mais ninguém.

É frequente a forma como os dados são utilizados - ou mal utilizados - fazer manchetes na comunicação social. Violações de segurança espectaculares, gafes embaraçosas e erros de TI dão, muitas vezes, origem a má publicidade e a multas em organizações do mundo inteiro.

Os legisladores estão dispostos a fornecer salvaguardas e protecção. A União Europeia tem estado a trabalhar em propostas de legislação. Os países têm ainda as suas próprias leis nacionais. Mas é difícil às autoridades estarem a par do rápido avanço da tecnologia, uma vez que cada inovação traz novos desafios.

É também difícil aos legisladores conseguirem o equilíbrio certo entre o direito à privacidade das pessoas e a forma como os dados permitem à sociedade do século XXI responder de modo dinâmico às necessidades e aos desejos desses mesmos cidadãos.

Aquilo que, actualmente, está por detrás do desejo por uma melhor protecção de dados na União Europeia não é uma nova lei. É uma tendência, seguida pelas empresas e pelas autoridades públicas, que reconhecem a importância de serem responsáveis com os seus dados.

As empresas tomam a iniciativaMuitas empresas estão a estabelecer exigentes programas de protecção próprios que se estendem aos seus negócios e incluem os seus parceiros de TIC. Esses programas reflectem as suas obrigações legais e incluem políticas para funcionários e parceiros de negócios.

Uma política de protecção de dados complexa seria prejudicial para a maioria das empresas mais pequenas. Contudo, é muito importante que a sua empresa responda a este problema de uma forma legalmente aceite, ponderada e prática. Os serviços fornecidos pelos seus parceiros TIC são também importantes.

Por onde deve começar?

A sua empresa poderá ter de controlar dados pessoais. Provavelmente, os seus funcionários poderão periodicamente adicionar, alterar e eliminar alguns dados. Você é responsável pela escolha dos dados guardados e da forma como são utilizados. Por conseguinte, é quase certo que a sua empresa desempenha uma função de “controlador de dados”.

Estes dados pessoais são também processados por vários tipos de tecnologia. Por exemplo, os ficheiros serão trabalhados em aplicações. Depois de terem sido gravados, poderão ser transportados de um computador portátil até ao servidor através da rede da empresa. É importante que esses dados estejam sempre protegidos ao serem criados, transportados e armazenados. Esta função de “processador de dados” pode estar a cargo da sua empresa, de um fornecedor TIC ou de uma combinação dos dois.

1. Não se trata apenas de legislação: é também uma tendência crescente

2. Quais são os dados importantes e quem é responsável?

Informações comercialmente sensíveis acerca da própria empresa

Incluem-se desenho de produtos, tabelas de preços e contratos, para além de obrigações legais para com os clientes.

Dados pessoais armazenados

Podem ser acerca de clientes, funcionários, subcontratados e fornecedores. Pode incluir e-mails, gravações de chamadas e informações digitadas pelos próprios utilizadores.

Dados abrangidos por legislações do sector

As empresas estão obrigadas a manter informações financeiras durante períodos específicos: algumas podem fazê-lo digitalmente. Algumas profissões podem ter regras específicas quanto à manutenção de dados.

Cada empresa é um caso diferente. Mas existem alguns princípios úteis.

É provável que a sua empresa tenha três tipos de dados diferentes a proteger.

4

As funções e as responsabilidades dependem do tipo de modelo implementado para os serviços de TIC; por exemplo, os TIC podem estar alojados e serem geridos internamente ou pode ser um parceiro de TIC externo a tratar desse serviço para a sua empresa.

A Directiva 95/46 da União Europeia define um padrão mínimo para a protecção de dados pessoais em toda a UE. Alguns estados-membros adoptaram uma abordagem mais restrita nas suas legislações locais. Cada estado-membro da UE dispõe de um organismo que supervisiona o cumprimento das leis de protecção de dados no respectivo país.

Passos importantes para a sua empresaA sua empresa deve proteger os seus dados contra destruição acidental ou ilegal, perda, alteração e divulgação, em conformidade com a legislação do país. Pode fazer isso das seguintes formas:

•Seguindo a legislação do seu país no que concerne a protecção de dados (consulte o Anexo A para conhecer algumas fontes de informação)

• Introduzindo políticas de cumprimento obrigatório pelos funcionários para ajudar a manter os dados seguros

•Assegurando que toda a tecnologia pertencente à empresa se adequa a este objectivo

•Tendo evidências claras de que os seus parceiros de TIC respeitam os seus desejos sobre a forma de processamento dos seus dados.

Como podem ajudar os parceiros de TIC

É da sua responsabilidade garantir que os seus parceiros de TIC apoiam a sua política.

Pode fazer isso de duas formas:

1. Com uma garantia por escrito Os seus parceiros de TIC podem fornecer garantias por escrito de que os seus dados são adequadamente protegidos pelo serviço que prestam. Por exemplo, podem fazê-lo através do material de marketing, de garantias contratuais ou através de normas, como a certificação ISO27001 e outras.

2. Com uma auditoria O serviço prestado pelo seu parceiro de TIC pode ser auditado, quer interna quer externamente, para demonstrar o cumprimentos das normas. A auditoria abrange a organização, as políticas, os processos e os sistemas do parceiro de TIC. Os prestadores de TIC podem cobrar um extra pela execução de uma auditoria externa.

Ambas as formas são aceitáveis salvo se a legislação do país exigir de outro modo. Por exemplo, a legislação de protecção de dados de Espanha exige que os controladores de dados e os processadores de dados sejam submetidos a uma auditoria externa de dois em dois anos. Contudo, a Espanha não é o único país a exigir esta medida. Consulte o Anexo A para conhecer informações acerca do seu país.

3. O que a sua empresa e os seus parceiros de TIC precisam de fazer?

Esta tabela mostra quem habitualmente exerce essa função de controlo ou processamento de dados pessoais.

Modelo de serviço de TIC

Quem faz o quê?Controlador de

dadosProcessador de dados

Aplicações Middleware e sistema operativo

Ambiente de máquina virtual

Internamente A sua empresa A sua empresa A sua empresa A sua empresa

Colocation A sua empresa A sua empresa A sua empresa A sua empresa

Alojamento gerido dedicado A sua empresa A sua empresa Parceiro de TIC Parceiro de TIC

Infra-estruturas como serviço A sua empresa A sua empresa Parceiro de TIC Parceiro de TIC

Software como serviço A sua empresa Parceiro de TIC Parceiro de TIC Parceiro de TIC

Descubra maisPara mais informações sobre como as soluções da Colt podem ajudá-lo a proteger os seus dados, entre em contacto com o seu Gestor de Conta da Colt.

5

4. Apêndice A

A Directiva 95/46 da União Europeia define um padrão mínimo para a protecção de dados pessoais em toda a UE. Alguns estados-membros adoptaram uma abordagem mais restrita nas suas legislações locais.

Nos links indicados a seguir para os websites oficiais de cada país vai poder encontrar informações específicas e orientações úteis.

A Directiva 95/46 da União Europeia pode ser encontrada aqui:

http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:31995L0046

Áustria https://www.dsk.gv.at/Bélgica http://www.privacycommission.be/Dinamarca http://www.datatilsynet.dk/ França http://www.cnil.fr/Alemanha http://www.bfdi.bund.de/Irlanda http://www.dataprotection.ie/Itália http://www.garanteprivacy.it/web/guest/homePortugal http://www.cnpd.pt/Espanha http://www.agpd.es/ Suécia http://www.datainspektionen.se/Suíça http://www.edoeb.admin.ch/datenschutz/ Países Baixos http://www.cbpweb.nl/Reino Unido http://www.ico.org.uk/

© 2014 Colt Technology Services Group Limited. The Colt name and logos are trade marks. All rights reserved.

Do que trata o acordo Safe Harbor entre os EUA e a UE?

O acordo Safe Harbor proporciona um mecanismo voluntário que permite às organizações dos EUA atestarem que cumprem com um conjunto de obrigações de protecção de dados semelhantes às da legislação europeia.

Estas disposições são consideradas pela União Europeia como garantindo uma protecção adequada para as informações pessoais transferidas para os EUA. É possível encontrar informações sobre empresas dos EUA registadas neste acordo no website do Safe Harbor.

A US Federal Trade Commission é responsável pelo cumprimento do Safe Harbor. Contudo, os serviços financeiros e empresas de telecomunicações dos EUA

estão excluídas deste acordo. A certificação Safe Harbor só é válida por um ano. Se utilizar os serviços de uma destas empresas norte-americanas, é importante que verifique se a certificação está actualizada.

A Colt, enquanto empresa europeia não sujeita à jurisdição dos EUA e tendo os seus centros de dados na Europa, está fora do âmbito deste acordo Safe Harbor. Tal como explicado nos parágrafos anteriores, a Colt é regida pela legislação da UE e dos seus Estados-membros no que diz respeito à Protecção de dados.

A lei Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism Act 2001 (conhecida como Patriot Act dos EUA) constituiu uma resposta directa aos acontecimentos decorridos a 11 de Setembro de 2001 nos Estados Unidos da América. Esta lei dá às agências de defesa federais dos EUA autoridade para recolherem e partilharem informações que envolvam serviços de informação ou contra-informação estrangeiros.

Os EUA não estão sozinhos no que envolve a aplicação do Patriot Act. A maioria dos Estados-membros da UE possui

também disposições comparáveis ou ainda mais estritas quanto ao acesso a dados no contexto da aplicação da lei e da segurança nacional.

O risco de pedidos feitos pelas autoridades dos EUA sobre dados detidos em empresas europeias, tais como a Colt, com certas ligações aos EUA, é real. Tais pedidos podem ser solicitados sobre a alçada do Patriot Act. Contudo, perante a lei da UE, a Colt teria de responder negativamente a tais pedidos.

Do que trata o Patriot Act 2001 dos EUA?

ContatoTelefone: +351 21 120 0000 | Email | www.colt.net/pt

Sobre a ColtA Colt é a information delivery platform, permitindo aos seus clientes compartilhar, processar e alojar informações vitais para o seu negócio. Oferecemos às grandes organizações, pequenas e médias e empresas e clientes grossistas um poderoso portfolio que combina infra-estrutura de rede com serviços TI e data centres. Operamos em 22 países, com 44,000km de rede, que inclui redes metropolitanas em 39 das maiores cidades europeias com ligações em fibra óptica directas a 19.000 edifícios e 20 centros de dados Colt (Carrier Neutral).

Em 2010 foi criada a divisão Colt Data Centre Services, para a entrega de Data Centres modulares inovadores de fácil implementação e eficientes do ponto de vista energético.

Além de uma força de vendas directa a Colt endereça o mercado através de quatro canais indirectos: Agentes, Franchisados, Distribuidores e Wholesale que engloba carriers, service providers, VARs e revendedores de voz.

A Colt está cotada na London Stock Exchange (COLT). Mais informação sobre a Colt e os seus serviços em www.colt.net