Leis de Notificação de Vazamento de Dados: Construindo uma Resposta Forte e Conforme

Com o número de vazamentos de dados relatados aumentando constantemente a cada ano, eles estão nas notícias com tanta frequência que é difícil acompanhar todos. Em 2017, a Equifax sofreu um vazamento massivo, e quase 150 milhões de registros de clientes (representando quase metade da população dos EUA) foram roubados. Em 2018, a Marriott International sofreu um vazamento onde centenas de milhões de registros de clientes — incluindo informações pessoais, números de cartão de crédito e até números de passaporte — foram comprometidos.

Vazamentos de dados afetam todos os tipos de organizações — grandes e pequenas, conhecidas e desconhecidas. Embora os vazamentos de grandes empresas façam as manchetes, raramente se ouve falar de empresas menores que costumam ser vulneráveis e podem se encontrar na mira de criminosos cibernéticos. A maioria envolve algum tipo de hacking, como ataques de phishing ou malware, onde um invasor obtém acesso bem-sucedido a informações protegidas ou privadas.

Leis de Notificação de Vazamento de Dados — É Complicado

Se sua empresa de manufatura sofrer um vazamento, o que você fará? Deve notificar a polícia imediatamente? Notificar os clientes? Há mais alguém a informar? Quanto tempo você tem?

As respostas são complicadas. Embora não existam leis federais abrangentes, cada estado e território tem sua própria lei de notificação de vazamento de dados. Essas leis exigem que qualquer um que sofra, ou até suspeite, de um vazamento notifique os clientes sobre qualquer coisa que envolva informações de identificação pessoal. As leis também exigem notificar a polícia e tomar medidas específicas para remediar a situação. Mas as leis estaduais variam consideravelmente quando se trata dos tipos de informações cobertas, prazos de notificação e padrões de relatório. Quem deve cumprir e o que constitui dados pessoais varia de estado para estado. Aumentando a complexidade, os requisitos também estão mudando, com alguns estados atualizando recentemente suas leis.

Quanto Tempo Tenho para Reportar um Vazamento de Dados?

A maioria das leis de notificação exige que as empresas notifiquem os clientes sem demora injustificada. A duração do tempo varia por estado e setor industrial. Ao lidar com um vazamento de dados, fabricantes têm responsabilidades concorrentes — para com sua empresa, para com outros na indústria, para com clientes e para com a polícia. Existem até circunstâncias em que a polícia está investigando um vazamento e ele deve ser temporariamente ocultado.

Prepare-se para Vazamentos de Dados Antes que Aconteçam

Trate planos de notificação de vazamento de dados como você trataria qualquer outro plano de desastre — não espere! Como não há uma resposta única e padrão para um vazamento de dados, fabricantes dos EUA devem entender as leis estaduais e federais específicas que se aplicam a eles. Fabricantes devem considerar as leis em todos os estados onde conduzem negócios.

Felizmente, existem vários excelentes recursos aos quais fabricantes podem recorrer para obter clareza. Várias organizações resumem as leis estaduais de vazamento de dados, incluindo a Conferência Nacional de Legislaturas Estaduais, IT Governance e Perkins Coie.

Para garantir que sua empresa de manufatura cumpra as leis de proteção de dados, você deve se manter ciente das regulamentações atuais para seu estado e setor. Um vazamento de dados será sempre um evento estressante. Consciência de suas obrigações e um plano em vigor podem aliviar parte do estresse — e ajudar a evitar multas pesadas. Aqui estão algumas dicas:

• Identifique as leis estaduais e do setor que cobrem sua empresa
• Documente os requisitos de notificação de vazamento de dados que afetam sua empresa, junto com o(s) processo(s) para atender a esses requisitos em um cenário de pior caso
• Crie uma política em torno dos requisitos de notificação de vazamento que afetam sua empresa
• Se houver regulamentações sobrepostas, use a mais rigorosa para a política da sua empresa
• Crie rascunhos de cartas e e-mails de notificação antecipadamente
• Crie uma estratégia clara de comunicação para vazamentos de dados e submeta-a aos departamentos jurídico e de relações públicas da sua empresa antecipadamente, se necessário

A Rede Nacional MEP Está Pronta para Ajudar Você

Para ajuda na compreensão das leis de notificação de vazamento de dados do seu estado e outras questões de cibersegurança, você pode entrar em contato com um dos 51 Centros MEP, localizados em todos os 50 estados e Porto Rico, que fazem parte da Rede Nacional MEP^TM.