Resumo: monitorização de transferências de dados transfronteiriças
- O que é: A transferência transfronteiriça de dados ocorre quando os dados pessoais recolhidos no seu site são enviados para servidores noutro país. O Artigo 30 do GDPR (ROPAs) e o Artigo 28 (obrigações do processador), juntamente com os requisitos de divulgação do CCPA, exigem que os proprietários de sites documentem para onde os dados são enviados.
- Inventarie os coletores: Comece por inventariar quem recolhe dados (todos os coletores de dados de terceiros no seu site). Associe cada coletor de dados a uma base legal.
- Monitorize os destinos: Monitorize para onde os dados são efetivamente enviados. Analise domínios externos, regiões de alojamento e subprocessadores. Pode obter uma visão rápida através de inspeção manual nas ferramentas de programador do navegador. Ou utilize uma ferramenta automatizada como o cside Privacy Watch para monitorização contínua.
- Alimente a documentação: Esta informação alimenta a sua documentação de conformidade em matéria de privacidade através de ROPAs, DPAs, divulgações de privacidade e auditorias de incidentes. Alterações repentinas nos destinos dos dados (como para a Rússia ou a China) são também sinais precoces de uma violação de dados no site.
Sem tempo? Veja o cside Privacy Watch. Cobre tudo o que se segue numa única implementação.
4 passos para monitorizar transferências transfronteiriças e internacionais de dados no seu site
1. Inventarie quem transfere dados no seu site
Para monitorizar transferências transfronteiriças de dados, é preciso perceber onde a recolha de dados realmente começa. Isto inclui tanto elementos próprios que controla diretamente como serviços de terceiros incorporados em todo o site.
Recolha de dados próprios (a sua própria equipa):
Componentes próprios, como formulários de contacto, integrações de CRM e ferramentas de análise desenvolvidas internamente, podem desencadear fluxos de dados de saída. É fácil não detetar pontos de recolha no seu site ou não ter a certeza de quem é o responsável por eles (marketing, suporte ou programadores).
Recolha de dados por terceiros (fornecedores e ferramentas):
Os scripts de terceiros merecem atenção especial. A maioria das equipas não sabe como os scripts de terceiros funcionam nos bastidores e existem dezenas deles num site típico, de acordo com um estudo do Web Almanac. Ferramentas como plataformas de análise, pixels publicitários, widgets de chat, scripts de testes A/B ou bibliotecas de programadores carregam a partir de domínios externos e podem enviar dados pessoais além-fronteiras sem autorização.
Esses scripts de terceiros carregam scripts de quarta parte, que por sua vez podem carregar scripts de quinta parte, e assim sucessivamente. Pode ter aprovado o script de terceiros, mas estar cego para todos os subprocessadores ao longo da cadeia de fornecimento.
'Os inventários de fornecedores' que existem em ferramentas gerais de conformidade são um bom começo. Mas não monitorizam a execução de código no navegador. Já falámos com empresas que perceberam que ainda tinham código ativo a processar dados no seu site, proveniente de fornecedores cujos contratos tinham terminado meses antes.
Criar um inventário manual de toda a recolha de dados de terceiros no seu site implica:
- Inspecionar o código-fonte do seu site em busca de trechos de código de terceiros
- Inspecionar gestores de tags (como o Google Tag Manager) em busca de rastreadores de dados ocultos
- Repetir este processo continuamente à medida que novos scripts são adicionados, removidos ou atualizados.
Ferramentas de segurança web como o cside automatizam este processo com monitorização contínua. Pode começar com uma análise gratuita dos scripts de terceiros do seu site.
2. Perceba que dados são transferidos no seu site
Depois de conhecer os pontos de recolha próprios e de terceiros no seu site, o objetivo seguinte é perceber que dados eles efetivamente recolhem e enviam para fora do site.
- Existem entradas óbvias, como nomes, endereços de email e números de telefone.
- Os scripts de terceiros também captam identificadores como endereços IP, cookies, IDs de sessão, detalhes do dispositivo ou metadados de localização, muitas vezes sem que o utilizador se aperceba.
- Dados sensíveis são inseridos através de fluxos de KYC (cartas de condução, passaportes) e os chatbots de suporte recebem imagens de dados de conta enviadas pelos clientes.
Alguns pontos de dados individuais são inofensivos do ponto de vista da privacidade, mas, quando combinados, os dados recolhidos podem ser qualificados como dados pessoais ao abrigo do GDPR e podem ser considerados partilha ao abrigo do CCPA (mesmo que a intenção fosse apenas medir o desempenho do site).
É por isso que cada fluxo de dados precisa de ser associado à respetiva categoria de base legal, para cada enquadramento legal com o qual está em conformidade.
Mapear os tipos de dados face à justificação legal é a forma como as organizações demonstram responsabilização durante auditorias, para as divulgações de "partilha" do CCPA, e respondem a questões regulatórias sobre os direitos dos titulares dos dados.
O seu inventário deve ter colunas com algo semelhante a isto-
Com dados sensíveis, é necessário ter um cuidado extra. Informações de saúde, dados de localização precisos, identificadores biométricos ou opiniões políticas exigem frequentemente consentimento explícito e salvaguardas mais robustas. Mesmo a recolha acidental pode criar obrigações de conformidade, especialmente em setores regulados como a saúde.
3. Monitorize para onde os dados são enviados
Agora precisa de visibilidade sobre para onde vão os dados depois de saírem do navegador do utilizador. O código próprio e o de terceiros enviam dados para domínios externos para armazenamento ou processamento. Esses servidores externos podem estar alojados em diferentes estados ou países.
- O seu formulário de checkout capta o email de um cliente na Califórnia, mas os servidores do seu fornecedor de serviços de email estão em Frankfurt
- Um visitante em Londres carrega a sua página inicial. Um script de análise envia dados para servidores nos EUA ou na APAC. Acabou de desencadear um fluxo de dados internacional.
Estes destinos determinam se um fluxo de dados se torna numa transferência transfronteiriça com implicações regulatórias.
O Departamento de Justiça dos EUA restringe transferências de grande dimensão de dados pessoais sensíveis para países considerados preocupantes, que incluem a China, a Rússia, o Irão, a Coreia do Norte, Cuba e a Venezuela.
Isto não é um exercício de revisão pontual. Fornecedores terceiros e SDKs alteram frequentemente o seu código ou adicionam novos subprocessadores. Uma única atualização pode deslocar fluxos de dados para um novo país sem aviso prévio. As obrigações do Artigo 44 do GDPR e do §1798.100 do CCPA relativas à partilha e divulgação pressupõem responsabilidade contínua pelo acompanhamento da movimentação de dados.
Verificações manuais com as DevTools do navegador ou ferramentas de monitorização de rede como o separador "Network" do Chrome permitem ver instantaneamente para onde os pedidos foram enviados. No entanto, isto torna-se incontrolável devido às alterações de scripts e domínios. Além disso, estas revisões manuais mostram apenas uma visão rápida e pontual, o que não é suficiente para a documentação de conformidade.
4. Documente as transferências transfronteiriças para requisitos regulatórios (GDPR e CCPA)
Quando os reguladores perguntam como os dados pessoais saem do seu site, esperam uma resposta documentada, não reconstruída a posteriori.
Ao abrigo do GDPR, as transferências transfronteiriças são tratadas explicitamente nos Artigos 44 a 50. Estes artigos obrigam as organizações a registar para onde os dados são enviados, que salvaguardas se aplicam a esses dados e o mecanismo legal que sustenta cada transferência.
O Artigo 30 do GDPR (ROPAs) exige documentação sobre a movimentação de dados para países terceiros ou organizações internacionais.
O Artigo 28 do GDPR (obrigações do processador) exige que os DPAs demonstrem:
- Quais os subprocessadores utilizados
- Onde os dados são processados
- Como são geridas as transferências subsequentes
Os DPAs refletem aquilo que um fornecedor afirma ser verdade. Sem monitorização dos scripts de terceiros, é impossível verificar se estes se comportam efetivamente dessa forma no seu site. Se um fornecedor terceiro for comprometido num ataque à cadeia de fornecimento, os DPAs serão ignorados e ocorrerá uma recolha excessiva de dados sem que a sua equipa se aperceba.
O CCPA foca-se na transparência. As empresas devem demonstrar:
- Que terceiros recebem dados pessoais
- Se esses dados são considerados uma venda ou uma partilha
- Como os direitos dos consumidores se aplicam a essas divulgações
Como o cside ajuda na monitorização de transferências transfronteiriças de dados
O cside Privacy Watch monitoriza todos os scripts de terceiros no seu site em busca de riscos de segurança e violações de privacidade ocultas. Os engenheiros de segurança web do cside são especializados na monitorização da execução de código no navegador e desenvolveram o Privacy Watch depois de perceberem que os softwares de conformidade tradicionais não detetavam eventos de exfiltração de dados.
Como uma camada no stack de GRC empresarial, a plataforma de monitorização de sites do cside ajuda-o a:
- Monitorizar todos os pontos de recolha de dados no seu site (a partir de código próprio e de fornecedores terceiros)
- Alertar quando os destinos dos dados são alterados ou quando são recolhidos novos dados por fornecedores
- Detetar código malicioso injetado no seu site que rouba dados de utilizadores (web skimming)
- Identificar código de terceiros mal configurado no seu site que viola a conformidade de privacidade
- Comparar o código ativo do site com os inventários de fornecedores nas suas ferramentas de GRC, para garantir que fornecedores cujos contratos terminaram não têm código ainda presente no seu site
Outras boas práticas para a transferência transfronteiriça de dados
Reveja as políticas dos seus fornecedores
Comece pela política de privacidade e pelo DPA do fornecedor. Procure:
- Onde os dados são processados
- Quais os subprocessadores envolvidos
- As salvaguardas que os processadores têm implementadas
Certifique-se de que verifica as políticas declaradas em confronto com o que a monitorização técnica revela. Os scripts de terceiros podem comportar-se de forma diferente do que os DPAs declaram, caso existam configurações incorretas ou injeções de código malicioso. Pode ver exemplos de monitorização de DPAs no nosso blog como tornar o seu site conforme com o GDPR
Encripte os dados em trânsito e em repouso
A encriptação é uma salvaguarda importante quando os dados pessoais se movem além-fronteiras e entre ferramentas como CRMs, data warehouses e APIs. Reduz a exposição caso os dados sejam intercetados ou acedidos por partes não autorizadas.
Um ponto a assinalar: a encriptação entra normalmente em ação depois de os dados submetidos por um utilizador (como um formulário) entrarem no perímetro de segurança da sua rede/API. Os dados podem ser roubados antes de entrarem nesse perímetro, através de web skimming.
Que leis exigem a documentação de transferências transfronteiriças de dados
| Enquadramento de Privacidade | Requisito / Artigo | O que exige |
|---|---|---|
| GDPR | Artigos 44 a 50 (Transferências para Países Terceiros) | As transferências fora da UE/EEE exigem salvaguardas aprovadas |
| GDPR | Artigo 30 (ROPAs) | Os responsáveis pelo tratamento devem documentar os destinatários em países terceiros e as salvaguardas utilizadas |
| GDPR | Artigo 28 (DPAs) | Os DPAs devem definir os locais de processamento e as transferências subsequentes para subprocessadores |
| CCPA / CPRA | §1798.100 (Transparência) | As empresas devem divulgar as categorias de informação pessoal recolhida e partilhada |
| Departamento de Justiça dos EUA | Programa de Segurança de Dados | Restrições à transferência transfronteiriça de dados para a China, Rússia, Irão, Coreia do Norte, Cuba e Venezuela |
