Solicitações de assunto de dados e o RGPD e CCPA

O Regulamento Geral sobre a Proteção de Dados (RGPD) introduz novas regras para organizações que oferecem bens e serviços às pessoas na União Europeia (UE) ou que coletam e analisam dados vinculados a residentes da UE. O RGPD se aplica onde quer que você e sua empresa estejam localizados. Você pode encontrar mais detalhes no artigo Resumo do GDPR.

Da mesma forma, a lei de privacidade do consumidor da Califórnia (CCPA) fornece direitos e obrigações de privacidade aos consumidores da Califórnia. Esses direitos incluem direitos semelhantes aos Direitos do Titular dos Dados do GDPR, como o direito de excluir, acessar e receber (portabilidade) suas informações pessoais. O CCPA também fornece certas divulgações, proteções contra discriminação ao eleger direitos de exercício e requisitos de "aceitação/recusa" para determinadas transferências de dados classificadas como "vendas". Neste documento, você poderá obter informações sobre como concluir as solicitações de entidades de dados (DSRs) em RGPD e CCPA usando produtos e serviços da Microsoft.

Para obter definições de terminologia do GDPR, consulte Regulamento Geral sobre a Proteção de Dados. Para obter informações sobre a função da Microsoft como processadora de dados, consulte Microsoft como processadora de dados.

O que é um DSR?

O Regulamento Geral sobre a Proteção de Dados (GDPR) concede direitos às pessoas (conhecidas no regulamento como titulares de dados) para gerenciar os dados pessoais que um empregador ou outro tipo de agência ou organização (conhecida como controlador de dados ou apenas controlador) coleta sobre elas. O GDPR concede aos titulares dos dados direitos específicos sobre seus dados pessoais. Esses direitos incluem obter cópias de seus dados pessoais, solicitar alterações neles, restringir o processamento deles, excluí-los ou recebê-los em formato eletrônico para que possam movê-los para outro controlador.

Como controlador, você é obrigado a considerar imediatamente cada DSR e fornecer uma resposta substantiva executando a ação solicitada ou fornecendo uma explicação do motivo pelo qual a DSR não pode ser acomodada pelo controlador. Consulte seus próprios consultores jurídicos ou de conformidade sobre a disposição adequada de qualquer DSR.

Vários processos podem estar envolvidos na conclusão de uma DSR, sujeitos às regras de conformidade com o GDPR da sua organização.

  • Descubra: Use ferramentas de pesquisa e descoberta para encontrar mais facilmente os dados do cliente que podem ser objeto de uma DSR. Depois de coletar documentos potencialmente responsivos, você pode executar uma ou mais das ações de DSR descritas nas etapas a seguir para responder à solicitação. Como alternativa, você pode determinar que a solicitação não atende às diretrizes da sua organização para responder a DSRs.
  • Acesso: Recupere dados pessoais que residem na nuvem da Microsoft e, se solicitado, faça uma cópia deles que o titular dos dados possa acessar.
  • Retificação: faça alterações ou implemente outras ações solicitadas nos dados pessoais, onde for possível.
  • Restringir: restrinja o processamento de dados pessoais, removendo licenças para vários serviços do Azure ou desativando os serviços desejados sempre que possível. Você também pode remover dados da nuvem da Microsoft e retê-los localmente ou em outro lugar.
  • Exclusão: remova permanentemente os dados pessoais que residem na nuvem da Microsoft.
  • Exportar/Receber (Portabilidade): forneça uma cópia eletrônica (em formato legível para computador) de dados pessoais ou informações pessoais para o titular dos dados.

Cada seção nos guias específicos de produtos descreve os procedimentos técnicos que uma organização controladora de dados pode seguir para responder a um DSR para dados pessoais na nuvem da Microsoft.

Como usar os guias específicos de produtos

Cada guia específico do produto consiste em duas partes:

  • Parte 1: Respondendo a solicitações de dados do titular dos dados para dados do cliente: A Parte 1 discute como acessar, retificar, restringir, excluir e exportar dados de aplicativos nos quais você criou dados. Esta seção detalha como executar DSRs em relação ao Conteúdo do Cliente e também às informações identificáveis dos usuários.
  • Parte 2: respondendo a Solicitações do Titular dos Dados para Logs Gerados pelo Sistema: quando você usa os serviços corporativos da Microsoft, a Microsoft gera algumas informações, conhecidas como Logs Gerados pelo Sistema, para fornecer o serviço. A Parte 2 discute como acessar, excluir e exportar essas informações.

Entender as DSRs para o Microsoft Entra ID e contas de serviço da Microsoft

Usando o Token Direto de Diretório Estendido (EDDT), os usuários convidados em um locatário podem iniciar DSRs em vários locatários. Qualquer DSRs iniciado pelo usuário é executado em todos os locatários nos quais o usuário está autorizado pelo administrador de locatários correspondente.

O mesmo processo também se aplica a MSA (Contas de Serviço Microsoft) no contexto de serviços fornecidos a um cliente corporativo. A execução de uma DSR em uma conta MSA associada a um locatário do Microsoft Entrarefere-se apenas aos dados dentro do locatário. Além disso, é importante entender o seguinte ao lidar com contas MSA em um locatário:

  • Se um usuário do MSA criar uma assinatura do Azure, ela será tratada como se fosse um locatário do Microsoft Entra. Consequentemente, os DSRs têm escopo definido no locatário, conforme descrito acima.
  • Se uma assinatura do Azure criada por meio de uma conta MSA for excluída, isso não afetará a conta MSA real. Novamente, conforme observado acima, as DSRs em execução na assinatura do Azure são limitadas ao escopo do próprio locatário.

Os usuários executam DSRs em uma conta MSA, fora de um determinado locatário, por meio do Painel de Privacidade do Consumidor.

Considerações específicas de DSR

Insights gerados por produtos ou serviços da Microsoft

O Insights pode ser gerado por serviços como o Viva Personal Insights. O Office 365 inclui serviços online que fornecem informações aos usuários e às organizações que os utilizam. Os dados gerados por esses serviços podem produzir dados pessoais relevantes para uma DSR. Para obter detalhes sobre os processos de DSR específicos do serviço, consulte a seção a seguir.

DSRs para logs gerados pelo sistema

Os logs e dados relacionados gerados pela Microsoft podem conter dados que o GDPR considera pessoais. Você não pode restringir ou retificar dados em logs gerados pelo sistema. Os dados em logs gerados pelo sistema são ações factuais conduzidas na nuvem da Microsoft e em dados de diagnóstico. As modificações comprometeriam o registro histórico de ações e aumentariam os riscos de fraude e segurança. A Microsoft oferece a capacidade de acessar, exportar e excluir logs gerados pelo sistema que talvez sejam necessários para concluir um DSR. Exemplos de tais dados incluem:

  • Dados de uso de produtos e serviços, como os log de atividades do usuário
  • Dados de solicitações e consultas de pesquisa do usuário
  • Dados gerados por produtos e serviços resultantes da funcionalidade do sistema e da interação de usuários ou outros sistemas.

Para obter mais informações sobre logs gerados pelo sistema de uma exportação de DSR (Direito do Titular dos Dados), consulte Visão geral dos logs gerados pelo sistema de uma exportação de DSR (Solicitação do Titular dos Dados).

Viva Engage

Excluir a conta de um usuário não remove os logs gerados pelo sistema para o Viva Engage. Para remover os dados desses aplicativos, confira um dos seguintes recursos:

Nuvens nacionais

Em algumas nuvens nacionais, um administrador de TI global precisa excluir os logs gerados pelo sistema.

Serviços da Microsoft

Se sua organização ou usuários envolverem com a Microsoft para receber suporte relacionado aos produtos e serviços da Microsoft, alguns desses dados poderão conter dados pessoais. Para saber mais informações, confira Solicitações de titulares dos dados ao suporte e aos Serviços profissionais da Microsoft sobre o RGPD.

Produtos do Microsoft Controller

Em algumas circunstâncias, os usuários da sua organização podem acessar produtos ou serviços da Microsoft dos quais a Microsoft é a controladora de dados. Nesses casos, os usuários precisam iniciar seu próprio DSRs diretamente na Microsoft, e a Microsoft preenche as solicitações diretamente para o usuário.

Produtos de terceiros

Para produtos e serviços de terceiros acessados por meio da autenticação da conta Microsoft, direcione todas as solicitações do titular dos dados ao terceiro aplicável.

Ferramentas de administração de Solicitações de Entidades de Dados

Saiba mais

  • Last updated on