Processos de violação de dados: quais são as ramificações legais?

De acordo com o Identity Theft Resource Center (ITRC), aproximadamente 1.862 casos de violação de dados foram relatados em 2021. Esse número indica um aumento de 68% nas violações, tornando-se uma grande preocupação para clientes, clientes e outras partes interessadas.

Infelizmente, a perda não termina aqui. 34% desses casos relatam o envolvimento de funcionários corporativos. E o custo estimado da mega violação para o ano de 2021 atingiu a marca de US$ 401 milhões.

Considerando esses números, não é surpresa que as empresas enfrentem processos de violação de dados em taxas alarmantes.

As partes interessadas geralmente confiam na organização para proteger informações confidenciais, implementando as medidas preventivas necessárias. Apesar disso, atores internos e indivíduos mal intencionados tentam arruinar a reputação e a credibilidade da empresa com comprometimento de dados.

Enquanto você está lendo este artigo, é provável que sua organização esteja envolvida em um incidente desse tipo. Em caso afirmativo, continue lendo para saber as consequências legais da violação.

Definição legal de violação de dados

Antes de prosseguir com as repercussões jurídicas do furto de informações, vejamos como a lei define esse ato:

“A aquisição ilegal e não autorizada de informações pessoais que comprometa a segurança, confidencialidade ou integridade das informações pessoais.”

As informações comumente direcionadas na violação incluem:

• Informação pessoal
• Registros comerciais
• Registros médicos de saúde

Também vale ressaltar que muitas diretrizes legislativas compartilham a ideia comum de que, se os dados confidenciais forem criptografados, uma violação não poderá ocorrer. Para as empresas, a criptografia é vista como um “porto seguro”. Infelizmente, muitas empresas ainda frequentemente desconsideram a criptografia de PII (informações de identificação pessoal).

No entanto, as empresas que se tornam alvo de hackers lidam com vários problemas importantes, como altas multas governamentais, custos de litígios, custos de descoberta eletrônica, honorários advocatícios e depreciação da marca. Essa responsabilidade se multiplica se as organizações tiverem acesso a PII.

Quais são as regras estaduais em caso de violação?

A maioria das jurisdições tem leis de violação de notificação. Ele exige que as empresas notifiquem todas as partes interessadas afetadas o mais rápido possível sobre o incidente.

Indica ainda que as empresas fora do estado que possuem as informações pessoais de seus cidadãos também devem cumprir os regulamentos de notificação de violação. Isso porque, durante o processo, cada violação de registro pode resultar em penalidades.

Quais são os regulamentos federais em caso de violação?

O governo federal cumpre a lei geral de violação de dados em todo o país. Inclui o Data Security and Breach Notification Act, que exige que as empresas notifiquem os clientes sobre violações dentro de 30 dias. Saiba que a punição é adicionada pela lei e, se alguém “intencional e intencionalmente” ocultar uma violação de dados, poderá passar até cinco anos na prisão.

O Health Insurance Portability and Accountability Act (HIPAA) e o Gramm-Leach-Bliley Act (GLBA) são dois dos regulamentos federais mais conhecidos que exigem notificação de violação. A HIPAA tem como alvo provedores de assistência médica, seguradoras de saúde, consultórios médicos e qualquer outro negócio que lide com informações de pacientes, enquanto o GLBA visa os aspectos financeiros da fraude.

O que uma corporação deve fazer?

Independentemente de quem é o culpado pela violação – atores internos ou hackers profissionais, a empresa será responsabilizada pelo incidente. Será classificado como crime de colarinho branco. Isso ocorre porque a segurança de informações confidenciais por meio da implementação de medidas de segurança cibernética é responsabilidade das corporações.

Dependendo da gravidade da ofensa, pode ou não envolver o Federal Bureau of Investigation (FBI), a Securities and Exchange Commission (SEC) e a National Association of Securities Dealers (NASD).

Mesmo assim, seria melhor contratar um advogado de defesa criminal com experiência em crimes de colarinho branco. Eles podem orientá-lo sobre as leis e regulamentos associados ao caso e coletar evidências para defendê-lo.

Sem dúvida, os casos envolvendo roubo de identidade e informações são complexos. No entanto, o advogado pode ajudar na investigação, interrogatório e declarações de abertura e encerramento.

Seu conhecimento e experiência no assunto ajudaria na redução das penalidades. Eles podem encontrar evidências de que informações confidenciais corporativas também são roubadas junto com informações pessoais para estabelecer o não envolvimento da organização no caso.

Etapas imediatas que uma empresa deve tomar após a violação de dados

1. Confirme a violação

Antes de tudo, você precisa garantir que a violação realmente aconteça e não apenas notícias falsas. Em algumas situações, você pode receber um e-mail de phishing com um link informativo, levando à violação. Portanto, você deve estar atento ao lidar com tais notícias. Entre em contato com o BOD e a equipe de gerenciamento de nível superior para confirmar as informações antes de tomar outras medidas.

Se você receber um e-mail, não clique no link sem confirmar a notícia.

2. Identifique quais informações são roubadas

Se as informações forem verdadeiras, identifique quais dados confidenciais são roubados. Normalmente, é recomendável criptografar todas as informações corporativas e ter autenticação de dois fatores para evitar crimes cibernéticos. No entanto, pessoas com más intenções poderiam ter acesso aos dados. Portanto, faça com que sua equipe de TI trabalhe e descubra a fonte da fraude.

3. Proteja as credenciais

Para mitigar os danos já causados, siga os passos abaixo:

1. Altere todos os logins imediatamente. Adicione um sistema de autenticação de dois fatores ou multifator, caso ainda não o tenha feito.
2. Certifique-se de que a senha não seja fácil de decifrar ou usada anteriormente.
3. Verifique as pessoas que já têm acesso às credenciais. Esta informação seria útil durante a investigação e ações judiciais.

4. Informar as Autoridades

Conforme declarado acima, legalmente, você é obrigado a informar as partes interessadas sobre a violação. Além disso, você deve registrar uma queixa junto à polícia, bancos e outras autoridades competentes. Isso garantirá sua conformidade com as leis estaduais e federais, dando peso ao seu processo.

5. Contrate um advogado

Por último, mas não menos importante, você deve contratar um advogado para se defender. À medida que os casos de violação de dados aumentam drasticamente, as leis estão ficando mais rígidas. Portanto, trabalhar com um advogado o colocará em uma posição favorável e facilitará seu caso. Eles podem orientá-lo ainda mais sobre o que fazer e o que não fazer para diminuir a penalidade financeira o máximo possível.

Para resumir tudo

Estas são algumas maneiras pelas quais uma empresa pode cumprir as ramificações legais; enquanto se protege. No entanto, seria melhor seguir as medidas de segurança cibernética com antecedência para evitar tais incidentes.

Leia também:

• O que é uma VPN: como é usada
• Os melhores serviços de limpeza de dados mestres em 2022
• As duas principais razões para falar com um consultor de TI