Uma nova era de privacidade: navegando pela Lei de Proteção de Dados Pessoais Digitais com o CloudSEK

O Lei de Proteção de Dados Pessoais Digitais (DPDP) 2023 é um marco importante para a Índia! Em 11 de agosto de 2023, a Lei DPDP recebeu o consentimento do Presidente. Essa legislação histórica para a Índia fornece uma estrutura legal para governar os dados pessoais dos cidadãos e impõe requisitos obrigatórios para garantir o processamento, a responsabilidade e a transparência dos dados com base no consentimento. Vamos entender o que a lei significa para as empresas e como o CloudSEK pode ajudar você.

‍

Visão geral

A lei estabelece uma estrutura legal sofisticada para o tratamento de dados pessoais digitais, reconhecendo os direitos dos indivíduos de proteger suas informações pessoais. Ele delineia “dados pessoais” como quaisquer dados relativos a um indivíduo identificável, diretamente vinculados por meio de elementos como nome completo e detalhes de contato, ou indiretamente associados a atributos como cargo, sexo ou cidade de residência. No contexto da lei, o termo “pessoa” é definido de forma abrangente, abrangendo não apenas pessoas físicas, mas também pessoas jurídicas, como empresas, firmas ou o Estado.

Os direitos e deveres dos titulares de dados, bem como as obrigações dos fiduciários de dados, são definidos na lei. O responsável pelos dados, o indivíduo a quem os dados pessoais pertencem, possui direitos que abrangem obter informações sobre o processamento de seus dados, buscar a retificação ou exclusão de dados pessoais, nomear outra pessoa para exercer direitos em caso de morte ou incapacidade e buscar a reparação de uma reclamação. Guiada pelos princípios de consentimento, minimização de dados, limitação de finalidade, responsabilidade e utilização legal e transparente, a lei identifica o consentimento como a base fundamental para o processamento de dados pessoais. O fiduciário de dados, a entidade encarregada de determinar a finalidade e os meios de processamento, deve informar o responsável pelos dados sobre a natureza e a intenção dos dados pessoais coletados. Esses dados só devem ser processados com o consentimento expresso do responsável pelos dados, embora a lei estipule cenários legítimos específicos em que os dados podem ser processados sem consentimento (denominados “usos legítimos” na lei). Em casos específicos, como a prevenção e investigação de ofensas ou a aplicação de direitos ou reivindicações legais, os direitos do principal dos dados e certas obrigações dos fiduciários de dados estão isentos. Em casos específicos, como a prevenção e investigação de ofensas ou a aplicação de direitos ou reivindicações legais, os direitos do principal dos dados e certas obrigações dos fiduciários de dados estão isentos.

De acordo com as disposições desta lei, um Conselho de Proteção de Dados da Índia (DPBI) foi estabelecido e os poderes, funções e procedimentos a serem seguidos pelo conselho são mencionados. Encarregado da implementação, investigação e adjudicação de acordo com a Lei DPDP, o conselho assume responsabilidades substanciais. O cronograma anexado à lei detalha as penalidades para diversos crimes relacionados a violações de direitos, deveres e obrigações, incluindo diretrizes para remediação ou mitigação de violações de dados e o poder de investigar tais violações e impor sanções financeiras. O DPDB 2023, no devido tempo, deve definir melhor as disposições e regulamentos. Os regulamentos de processamento de dados aplicáveis, incluindo os setoriais, continuarão a ser aplicados, desde que não entrem em conflito com a Lei DPDP.

‍

O que o DPDP 2023 significa para as empresas?

A promulgação da Lei DPDP está prestes a alterar a situação existente, tornando a preparação para a conformidade uma questão de importância crítica. A legislação tem a capacidade de impactar notavelmente empresas e instituições dentro e fora da Índia. A adesão a regras rigorosas de conformidade é obrigatória para as empresas, e a não conformidade pode levar a multas de até INR 250 crores. Os deveres dos fiduciários de dados incluem garantir a precisão e integridade dos dados, implementar medidas de segurança razoáveis para impedir violações, notificar o DPBI e as pessoas afetadas se ocorrer uma violação e excluir dados pessoais quando sua finalidade for cumprida e a retenção legal for desnecessária. Além disso, existem responsabilidades específicas em relação ao tratamento de dados pessoais de crianças. Se o DPBI determinar uma violação como 'significativo'por meio de inquérito, uma segunda audiência será realizada antes da imposição de penalidades. A avaliação avaliará fatores como a natureza, gravidade, duração da violação, dados pessoais afetados, recorrência, qualquer ganho com a violação, esforços de mitigação, penalidades apropriadas e impacto potencial na pessoa envolvida.

De acordo com a lei, existem cláusulas específicas relacionadas a protegendo dados pessoais e abordando violações de dados. A cláusula 8 (5) determina que os fiduciários de dados protejam os dados pessoais com salvaguardas de segurança, enquanto a cláusula 8 (6) exige notificação ao Conselho e aos diretores de dados afetados se ocorrer uma violação. A cláusula 33 (2) especifica as considerações para determinar as penalidades monetárias por uma violação, incluindo sua natureza, impacto na pessoa e se a penalidade é proporcional e efetiva. Com relação ao processamento de dados pessoais fora da Índia, A cláusula 3 (b) especifica o processamento de dados pessoais digitais fora do território da Índia se bens e serviços forem oferecidos a indivíduos na Índia. Além disso, em finalidade e limitações de armazenamento, a cláusula 5 (l) (i) determina que o fiduciário de dados mencione os dados pessoais coletados e a finalidade para a qual estão sendo processados.

‍

Deixe o CloudSEK ajudar você

É necessário que haja controles e processos tecnológicos para que as empresas protejam os dados pessoais contra violações. O monitoramento em tempo real e os insights sobre ameaças existentes e emergentes podem ajudar as empresas a tomar medidas proativas contra ataques a dados pessoais.

Em CloudSEK, combinamos o poder da inteligência cibernética, do monitoramento da marca, do monitoramento da superfície de ataque, do monitoramento da infraestrutura e da inteligência da cadeia de suprimentos para dar visibilidade e contexto aos vetores de ataque iniciais (IAV) de nossos clientes.

‍

Preveja ameaças com o CloudSEK

A solução abrangente de monitoramento de superfície de ataque (ASM) do CloudSEK ajuda as organizações a detectar, prever e minimizar os riscos associados às superfícies de ataque externas. Vários IAVs de Webapps, SSL, rede, DNS, aplicativo móvel, API e nuvem são analisados para identificar possíveis ameaças.

‍

Monitorando e analisando a violação de dados com o CloudSEK

A plataforma de inteligência de ameaças do CloudSek monitora continuamente a dark web, repositórios de código, documentos, fóruns de hackers e outras fontes on-line em busca de quaisquer indícios de dados comprometidos relacionados à sua organização. Essa detecção precoce ajuda na resposta e mitigação rápidas. Nós indexamos as violações de dados, analisamos os dados violados e compartilhamos relatórios com informações que abrangem o tipo de violação, a duração e o impacto nos clientes afetados.

‍

Mapeamento de ativos com o CloudSEK

O CloudSEK auxilia no mapeamento e classificação de dados, ajudando as organizações a entender quais dados elas têm, onde residem e sua finalidade. O mapeamento fornece visibilidade do fluxo de dados para garantir que os dados não entrem inadvertidamente em jurisdições onde possam estar sujeitos a diferentes requisitos ou riscos legais. Nosso produto, Seja Vigil, identifica onde os dados são armazenados, seja em servidores físicos, na nuvem ou em diferentes localizações geográficas. Uma maneira de fazer isso é por meio da enumeração de subdomínios e da verificação se os IPs são geograficamente restritos.

‍

Trazendo fornecedores confiáveis com o CloudSEK

O SviGil da CloudSEK fornece uma solução que aborda os riscos relacionados ao fornecedor. Analisamos a segurança ou a confiabilidade dos fornecedores conhecidos de sua organização e identificamos e monitoramos detalhadamente quaisquer vulnerabilidades existentes ou novas em todos os softwares, plug-ins e dependências usados por sua organização, incluindo a avaliação dos serviços em execução em cada porta.

‍

Takedown com o CloudSEK

A remoção envolve detecção e verificação automatizadas da ameaça, seguidas por medidas legais e técnicas para neutralizá-la. Uma ação rápida é tomada para evitar uma maior exposição de dados e possíveis violações. Proteção de ativos digitais, cópia ilegal e distribuição de seus ativos digitais pessoais

‍