La recente decisione dell'Autorità nazionale per la protezione dei dati (ANPD), che ha inflitto una multa di 153,7 milioni di real alla società madre di TikTok per irregolarità nel trattamento dei dati personali di bambini e adolescenti, rappresenta un importante monito per le aziende: in materia di protezione dei dati, la conformità non si limita alla mera esistenza formale di politiche, procedure e controlli.
Oltre alla sanzione pecuniaria, l'ANPD ha ordinato la cancellazione dei dati personali raccolti illegalmente. inoltreha determinato l'attuazione di un piano di conformità. A questo propositoL'obiettivo è migliorare le misure di protezione per i bambini e gli adolescenti sulla piattaforma.
Tra le irregolarità individuate dall'Autorità, spiccano le seguenti: L'esecuzione di operazioni di trattamento senza una valida base giuridica e l'insufficienza delle misure volte a prevenire danni agli interessati. inoltreL'ANPD (Autorità nazionale per la protezione dei dati) ha rilevato una mancanza di prove concrete in grado di dimostrare l'efficacia delle misure tecniche e organizzative adottate dall'azienda.
Uno degli aspetti più rilevanti della decisione risiede proprio nella valutazione dell'efficacia dei meccanismi adottati dalla piattaforma.
La LGPD (Legge generale brasiliana sulla protezione dei dati) stabilisce, tra i suoi principi, la responsabilità e la trasparenza, richiedendo ai soggetti che trattano i dati non solo di adottare misure efficaci per garantire il rispetto delle normative sulla protezione dei dati, ma anche di dimostrarne l'efficacia. In questo contesto, l'esistenza di una politica sulla privacy, di procedure interne o di controlli formalmente stabiliti rappresenta solo una parte della struttura necessaria per la conformità.
È necessario integrare efficacemente questi meccanismi nelle operazioni, adattarli ai rischi connessi e monitorarne l'applicazione con prove che ne dimostrino l'efficacia pratica. Ciò richiede una logica di governance continua: identificazione dei rischi, definizione dei controlli, implementazione, monitoraggio della loro efficacia, documentazione dei risultati e revisione delle misure ogniqualvolta necessario.
Questo caso evidenzia inoltre che la protezione dei dati non può rimanere confinata all'ambito legale o della conformità. Le aziende devono considerare i rischi connessi al trattamento dei dati personali all'interno della struttura stessa dei loro prodotti, servizi, processi e percorsi utente.
Nel caso analizzato dall'ANPD (Autorità nazionale per la protezione dei dati), l'autorità ha valutato, tra gli altri aspetti, i meccanismi utilizzati dalla piattaforma. Tali meccanismi miravano a prevenire il trattamento improprio dei dati di bambini e adolescenti, nonché a impedire l'accesso o la registrazione di tali dati in situazioni incompatibili con le normative vigenti.
La discussione, pertanto, va oltre il contenuto dei documenti legali e si estende all'efficacia dei controlli esistenti nell'ambito dell'attività operativa. Per le aziende che sviluppano prodotti e servizi digitali, questa prospettiva rafforza l'importanza di integrare la protezione dei dati fin dalla fase di ideazione dei processi e delle soluzioni. In questo contesto, le aziende devono adottare misure tecniche e organizzative proporzionate ai rischi identificati.
Un altro aspetto rilevante è il pubblico direttamente coinvolto nel caso. La protezione dei dati personali di bambini e adolescenti ha assunto un ruolo sempre più centrale nell'agenda normativa brasiliana, soprattutto alla luce dell'entrata in vigore dello Statuto Digitale per i Bambini e gli Adolescenti (ECA Digital) e dell'intensificazione delle attività di vigilanza dell'ANPD (Autorità Nazionale per la Protezione dei Dati) nell'ambiente digitale.
Le aziende i cui prodotti o servizi possono essere accessibili a bambini e adolescenti devono, pertanto, valutare in modo specifico i rischi associati a questo pubblico. Tale analisi può includere, a seconda della natura dell'attività, meccanismi di verifica dell'età, impostazioni sulla privacy, controlli parentali, norme pubblicitarie, misure di prevenzione dei rischi e procedure in grado di dimostrare l'efficacia delle misure di sicurezza implementate.
La decisione relativa a TikTok rafforza un'importante tendenza nell'ambito dell'azione normativa: la conformità alla protezione dei dati non solo deve essere implementata, ma anche dimostrabile.
In pratica, le aziende che trattano dati personali dovrebbero essere in grado di rispondere a domande come:
Queste problematiche contribuiscono a trasformare i programmi di protezione della privacy, essenzialmente di natura documentale, in strutture efficaci di governance e gestione del rischio. La sfida, quindi, non si limita alla semplice adozione di politiche adeguate, ma consiste nel costruire una struttura in grado di dimostrare che le misure di protezione dei dati siano proporzionate ai rischi, che l'azienda le integri efficacemente nelle proprie attività e che le monitori costantemente.
Il caso TikTok indica che, dato il ruolo sempre più consolidato dell'ANPD (Autorità nazionale brasiliana per la protezione dei dati), la capacità di dimostrare l'efficacia dei controlli assumerà probabilmente un'importanza crescente nella valutazione della conformità delle organizzazioni.
Pubblicato da:
© 2024 Vanzin & Penteado Advogados Associados.
