O vocabulário, em linguagem simples

B C D G L P R S T

B

Acordo de associado comercial BAA

O contrato que a HIPAA exige entre uma entidade abrangida e qualquer pessoa que trate informações de saúde protegidas em seu nome, estendendo-se aos subcontratados.

Assiná-lo traz obrigações legais diretas, incluindo a comunicação de incidentes dentro de um prazo e a devolução ou destruição dos dados ao final, que uma certificação de segurança não abrange.

Ensinado em PRV-203 · Veja também: Termos do operador, Informações de saúde protegidas

C

Plataforma de gestão de consentimento CMP

O componente que retém as tags de publicidade e de análise até que o visitante faça sua escolha e, então, libera apenas as categorias aceitas.

As falhas quase nunca estão no texto do banner. Estão nas tags disparadas antes da escolha, o que transforma o banner em teatro.

Ensinado em PRV-230 · Veja também: Global Privacy Control, Transparency and Consent Framework (estrutura de transparência e consentimento)

D

Relatório de impacto à proteção de dados DPIA, PIA

Uma avaliação exigida quando o tratamento puder resultar em alto risco para as pessoas, abrangendo necessidade, proporcionalidade, riscos e medidas de mitigação.

Sua finalidade prática é mudar o projeto enquanto mudá-lo ainda é barato. Concluída depois que o projeto já está definido, ela só consegue documentar.

Ensinado em PRV-250 · Veja também: Registro das operações de tratamento, Interesse legítimo

G

Global Privacy Control GPC

Um sinal do navegador que indica que o usuário se opõe à venda ou ao compartilhamento de suas informações pessoais.

Em vários estados dos EUA, um sinal recebido é uma oposição válida. Ele chega como cabeçalho, por isso precisa ser tratado por código antes de qualquer tag ser disparada, e não por um banner.

Ensinado em PRV-230 · Veja também: Venda e compartilhamento, Plataforma de gestão de consentimento

L

Preservação legal retenção para litígio

Uma instrução que suspende a exclusão de informações relevantes para uma disputa, investigação ou questão regulatória.

Ela se sobrepõe à tabela de retenção e precisa de uma liberação: retenções aplicadas e nunca suspensas se tornam uma política de retenção permanente que ninguém decidiu.

Ensinado em PRV-270 · Veja também: Tabela de temporalidade

Interesses legítimos LIA, teste de ponderação

Uma base legal que permite o tratamento necessário para atender a um interesse genuíno, desde que esse interesse não prevaleça sobre os direitos da pessoa.

É uma alegação positiva, e não uma categoria residual, e o teste de ponderação pode resultar contra você. A avaliação precisa existir no papel.

Ensinado em PRV-201 · Veja também: Relatório de impacto à proteção de dados, Termos do operador

P

Dados pessoais informações pessoais

Qualquer informação que identifique uma pessoa viva ou que possa ser vinculada a ela, incluindo identificadores, dados de dispositivos e opiniões registradas sobre alguém.

É mais amplo do que a maioria das pessoas supõe. Dados separados dos nomes, mas ainda vinculáveis, continuam sendo dados pessoais.

Taught in PRV-201 · See also: Special category data, data-map

Termos do operador Artigo 28, DPA

Os termos contratuais obrigatórios entre um controlador e um operador: instruções documentadas, confidencialidade, segurança, suboperadores, apoio ao exercício de direitos, eliminação e auditoria.

As cláusulas são específicas o bastante para servir de referência de verificação, e a falta de uma delas é um achado que um regulador consegue descrever em uma frase.

Ensinado em PRV-203 · Veja também: Contrato de associado comercial, Mecanismo de transferência

Informações de saúde protegidas PHI

Informações de saúde individualmente identificáveis mantidas ou transmitidas por uma entidade abrangida ou por um associado comercial.

Aparece onde ninguém a previu: tickets de suporte, logs de aplicações, rastreamento de erros e ambientes de teste carregados a partir da produção.

Ensinado em PRV-203 · Veja também: Acordo com associado de negócios, Dados pessoais

R

Registro das operações de tratamento RoPA, registro do Artigo 30

O registro de quais dados pessoais uma organização trata, para quais finalidades, com quem são compartilhados, por quanto tempo e com quais salvaguardas.

Um regulador pode pedi-lo pelo nome e esperar recebê-lo imediatamente. Construído por meio de levantamentos, já está errado no dia em que fica pronto; construído a partir dos sistemas, ele se mantém.

Taught in PRV-220 · See also: data-map, Data protection impact assessment

Tabela de temporalidade

O registro de por quanto tempo cada categoria de dados é mantida, por quê, o que aciona a exclusão e onde está cada cópia.

Uma tabela de prazos que ninguém executa é um compromisso por escrito que você está visivelmente deixando de cumprir. A parte difícil são as cópias, não o sistema principal.

Taught in PRV-270 · See also: Legal hold, data-map

S

Venda e compartilhamento

Divulgação de informações pessoais em troca de dinheiro ou de outro valor (venda), ou para que a publicidade possa acompanhar uma pessoa entre sites (compartilhamento ou publicidade direcionada).

A maioria das organizações que afirmam não vender dados os compartilha por meio de tags de publicidade, e é daí que vem o escopo inesperado.

Ensinado em PRV-202 · Veja também: Global Privacy Control, Plataforma de gestão de consentimento

Dados de categoria especial dados sensíveis

Categorias com proteção adicional: saúde, origem racial ou étnica, crenças, filiação sindical, orientação sexual, dados biométricos e genéticos.

O uso indevido causa danos desproporcionais, por isso as regras de tratamento são mais rígidas onde quer que esses dados apareçam, inclusive dentro de um chamado de suporte comum.

Ensinado em PRV-201 · Veja também: Dados pessoais

T

Avaliação de impacto de transferência TIA

A avaliação sobre se a legislação e a prática do país de destino comprometem a proteção prometida por um mecanismo de transferência.

Redigido por destino, é fácil de manter; redigido por fornecedor, vira um modelo em que só se troca o nome.

Ensinado em PRV-280 · Veja também: Mecanismo de transferência

Mecanismo de transferência SCCs, adequação

A base legal para transferir dados pessoais para fora de uma jurisdição: uma decisão de adequação, cláusulas-padrão contratuais, normas corporativas globais ou uma derrogação.

O acesso remoto conta como transferência. A maioria dos registros lista apenas os locais de armazenamento e subestima substancialmente a situação.

Ensinado em PRV-280 · Veja também: Avaliação de impacto da transferência, Cláusulas contratuais com o operador

Estrutura de Transparência e Consentimento TCF

Padrão do setor para transmitir as escolhas de consentimento de um usuário pela cadeia de fornecimento de publicidade, codificadas como uma string de consentimento.

É um formato de transporte, não uma proteção jurídica. Uma string dizendo que o usuário consentiu não torna o consentimento válido se o banner que a gerou era enganoso.

Ensinado em PRV-230 · Veja também: Plataforma de gestão de consentimento

Mantido pela associação. Cada termo aqui é um resumo; o curso indicado ao lado dele é onde a prática é ensinada.