Identidade digital pode solucionar os problemas de privacidade e de cumprimento a leis?
Empresas em todo o mundo estão enfrentando as consequências das regulamentações de privacidade de dados. Reunir informações incorretas e informações demais pode gerar risco de conformidade.
Sistemas de identidade digital prometer remover o fardo de complacência e gerar novas oportunidades ao devolver o controle dos dados pessoais à população.
Enquanto todas as empresas coletam dados sobre seus clientes, algumas o fizeram sob vigilância mais pesada do que outras.
Há anos, empresas do setor da saúde ao setor bancário coletam dados de informação de acordo com uma estrutura regulatória de cumprimento à lei.
Agora, conforme ajuste global contínuo de leis de dados e de privacidade, empresas têm que cumprir requisitos parecidos e a coleção precisa de dados é mais importante do que nunca.
Conhecendo o seu cliente (KYC)
Bancos, contabilidade e outras empresas de serviços financeiros precisam cumprir com as regulamentações de antilavagem de dinheiro (AML).
Dentre as obrigações, essas empresas precisam implementar, documentar e manter regras de conhecimento de clientes (KYC) rigorosamente definidas para certificar que seus cliente são quem dizem ser.
O Centro de Análise de Transações Financeiras e Relatórios (FINTRAC) é uma das agências responsáveis por aplicar as regulamentações de AML/KYC no Canadá.
O guia do FINTRAC descreve claramente quais dados pessoais as empresas devem coletar além de sua obrigação em monitorar a veracidade dessas informações.
Um relatório do jornal canadense The Globe & Mail mostrou a extensão das regulações do FINTRAC para as grandes corporações financeiras.
Uma auditoria de mais de 800 pequenas corretoras imobiliárias descobriu que 60% tinham problemas de conformidade de AML/KYC significativos ou muito significativos.
Direitos de dados na Europa
Graças à Lei Geral de Proteção de Dados (GDPR) da União Europeia, pequenas e grandes empresas devem desenvolver programas parecidos de cumprimento à lei para dados pessoais coletados. Essas regulações se estendem para além das bordas europeias.
A Cooperação Econômica Ásia-Pacífico (APEC) desenvolveu as Regras Transfronteiriças para Proteção à Privacidade (CBPR), que certificam proteções eficazes de privacidade contra aqueles que coletam, armazenam e processam informações pessoais.
A diferença principal é que membros das CBPR são controlados por suas próprias leis nacionais de proteção de dados ao passo que qualquer empresa do mundo que coleta os dados pessoais de um cidadão da União Europeia deve cumprir com a GDPR.
A proteção de dados pessoais é um “direito fundamental” de acordo com a GDPR.
Esse direito dá controle aos cidadãos europeus de suas informações pessoais e apresenta uma obrigação a empresas a fim de proteger esses dados.
Empresas que coletam informações pessoais devem analisar um conjunto de princípios que protegem esses dados.
O princípio de veracidade de dados, por exemplo, define a expectativa de que dados pessoais vão ser “verídicos e, quando necessário, atualizados” e exige que as empresas certifiquem que dados inverídicos sejam “excluídos ou retificados rapidamente”.
É claro que a veracidade de dados é importante para qualquer negócio. No entanto, a GDPR converte a inveracidade de dados em um risco regulatório de cumprimento à lei.
Em 2012, IT Governance relatou que o Escritório do Comissário de Informação Britânica (ICO) multou a seguradora Prudential em £ 50 mil por confundir duas contas de clientes, além de permitir que a situação se estendesse por três anos esse problema ter sido percebido.
Em um mundo pós-GDPR, qualquer empresa pode ter que cumprir com um padrão parecido.
Quanta informação é informação demais?
A veracidade de dados não é o único princípio da GDPR ao qual as empresas devem aderir. O princípio de minimização de dados exige que dados pessoais coletados sejam “adequados, relevantes e limitados para o que for necessário em relação aos propósitos para os quais eles são processados”.
Um processo de análise contínua deve considerar se o propósito ainda é válido, além de se as informações coletadas ainda são adequadas e relevantes.
Esses e outros processos devem ser completamente documentados, revisados com frequência e comunicados aos funcionários da empresa para certificar a conformidade.
Quanto mais uma empresa minimizar dados pessoais coletados, menor será o fardo de cumprir com a lei, e menor será o risco de a empresa apresentar falhas de conformidade.
As consequências de não cumprir com a lei
Antes mesmo de a GDPR entrar em vigor, as atitudes das seguradoras em relação aos riscos de coleta de dados eram fortalecidas conforme concessões relacionados a violações de dados direcionou os custos das seguradoras.
Um estudo da NetDilligence Cyber Claims, por exemplo, descobriu que entre 2014 e 2017, empresas nos EUA e no Canadá gastaram uma média de US$ 697 mil apenas em custos de defesa regulatória.
Na Ásia, onde reguladores estão reforçando as leis de privacidade de dados, o Barômetro de Gerenciamento de Risco de Dados da Dell EMC classificou Cingapura como a jurisdição mais rigorosa.
O jornal The Strait Times declarou que “quase todas as multas emitidas pela Comissão de Proteção de Dados Pessoais (PDPC) foram sobre o mesmo tipo de delito: medidas inadequadas de segurança para dados pessoais”.
Autonomia dos clientes simplifica a conformidade
Com um sistema de identidade digital, as pessoas controlam quais informações pessoais as empresas devem acessar.
Um vinhedo, por exemplo, não teria que coletar a data de nascimento dos visitantes ao seu site. Uma pergunta sobre a carteira de identidade da pessoa confirmaria se a pessoa tem mais de 18 anos, com base em uma fonte confiável.
Outro ponto positivo para as empresas será a capacidade de uma carteira de identidade digital depender de verificações de identidade anteriores.
Alex Puig, CEO da Alastria, contou à revista The Banker como uma identidade digital pode tornar mais fácil o cumprimento a AML/KYC: “por exemplo, eu posso provar que sou um cliente do Santander para que o banco BBVA possa me aceitar como um cliente sem ter que passar pelo processo de KYC”.
Identidade digital acelera processos comerciais
Atualmente, os sistemas de verificação impõem custos significativos para empresa através de ineficiência, fraude e vendas perdidas.
Whitepapers sobre identidade digital da empresa Australia Post e do Boston Consulting Group identificaram bilhões de dólares poupados e novas receitas que um sistema de identidade nacional poderia gerar.
Eliminar mais de 300 milhões de pedidos de verificação todo ano pouparia US$ 2 bilhões às empresas australianas.
O jornal The Japan Times noticiou que as pessoas precisam esperar uma semana para abrir uma nova conta devido ao atual sistema de verificação japonês. Um sistema de identidade baseado em blockchain sendo desenvolvido pelos bancos japoneses vão reduzir drasticamente o tempo de espera.
No futuro, redes interativas de sistemas de identidade digital baseados em blockchain irão substituir os sistemas ineficazes de verificação atuais. O cumprimento às leis de privacidade digital e as regulamentações de AML/KYC vai acontecer automaticamente.
Além disso, clientes vão desenvolver maior confiança nas empresas com as quais fazem negócio já que o controle de seus dados pessoas vai estar nas mãos de quem os pertence.