BahreinPDPL BH
Lei de Proteção de Dados Pessoais do Bahrein (PDPL)
A Lei de Proteção de Dados Pessoais do Bahrein (PDPL), Lei nº 30 de 2018, estabelece o marco nacional do Reino do Bahrein para a proteção de dados pessoais e para a regulamentação de como as organizações coletam, tratam, armazenam, divulgam e transferem informações pessoais.
A lei se aplica a organizações e pessoas físicas que tratam dados pessoais no Bahrein, incluindo determinadas organizações fora do Bahrein que tratam dados pessoais utilizando meios localizados no Reino. Ela entrou em vigor em 1º de agosto de 2019.
O Bahrein também emitiu uma série de resoluções regulamentadoras, incluindo regras sobre transferências internacionais de dados, medidas de segurança técnicas e organizacionais, autorização prévia, dados pessoais sensíveis, monitores de proteção de dados, direitos dos titulares dos dados e procedimentos de conformidade relacionados.
A PDPL do Bahrein exige, em geral, uma base legal para o tratamento de dados pessoais, sendo o consentimento a regra principal e havendo exceções legais específicas que permitem o tratamento sem consentimento. Quando o consentimento é utilizado como base, ele deve atender a requisitos definidos.
A lei também estabelece:
- Requisitos de qualidade dos dados e de tratamento
- Obrigações de transparência e de notificação
- Regras especiais para dados pessoais sensíveis
- Autorização prévia para determinadas atividades de tratamento de alto risco
- Direitos dos titulares dos dados, incluindo acesso, oposição, retificação, bloqueio e eliminação
- Restrições às transferências internacionais de dados
- Requisitos de segurança e requisitos técnicos e organizacionais
- Regras para marketing direto
- Direitos relativos a decisões exclusivamente automatizadas
- Governança de proteção de dados e requisitos de Data Protection Guardian em circunstâncias especificadas
- Reclamações e fiscalização regulatória
- Penalidades criminais, incluindo multas e possível pena de prisão para violações especificadas.
A PDPL do Bahrein em resumo
| Requisito | PDPL do Bahrein |
|---|---|
| Regulamentação | Lei de Proteção de Dados Pessoais |
| Número da lei | Lei nº 30 de 2018 |
| País | Bahrein |
| Região | Oriente Médio / CCG |
| Data de vigência | 1º de agosto de 2019 |
| Órgão regulador | Autoridade de Proteção de Dados Pessoais (PDPA) |
| Terminologia principal | Controlador de Dados, Operador de Dados, Titular dos Dados |
| Consentimento | Em geral exigido, salvo se aplicável uma exceção legal |
| Dados sensíveis | Podem se aplicar requisitos adicionais e autorização prévia |
| Transferências internacionais | Sujeitas a regras de adequação, autorização e exceções legais |
| Notificação prévia | Exigida para determinados tratamentos automatizados, sujeita a isenções |
| Autorização prévia | Exigida para atividades de tratamento especificadas |
| Data Protection Guardian | Exigido nas circunstâncias especificadas pela lei e pelas normas regulamentadoras |
| Decisões automatizadas | Direitos de oposição do titular dos dados aplicam-se em circunstâncias especificadas |
| Multa legal máxima | Até BHD 20,000 para infrações especificadas |
| Prisão | Até um ano para infrações especificadas |
A lei instituiu a Autoridade de Proteção de Dados Pessoais como autoridade pública independente com funções regulatórias, de supervisão, de investigação e de autorização. O Decreto Real nº 78 de 2019 identificou posteriormente o órgão administrativo responsável por exercer as funções da Autoridade.
O que é a Lei de Proteção de Dados Pessoais do Bahrein?
A Lei de Proteção de Dados Pessoais do Bahrein (PDPL) é a principal lei geral de privacidade do Bahrein.
A Lei nº 30 de 2018 cria regras que regem o tratamento de dados pessoais e estabelece direitos para as pessoas cujos dados são tratados. Ela também estabelece o marco regulatório da Autoridade de Proteção de Dados Pessoais.
A lei abrange o tratamento automatizado, bem como determinados tratamentos não automatizados em que os dados pessoais fazem parte, ou se destinam a fazer parte, de um sistema de arquivamento.
A PDPL foi promulgada em 12 de julho de 2018 e entrou em vigor em 1º de agosto de 2019.
Bahrein
Em vigor desde 2019
Ásia e África
Quem deve cumprir a PDPL do Bahrein?
A PDPL tem amplo alcance territorial e pessoal.
Ela se aplica a:
- Pessoas físicas com residência habitual no Bahrein
- Pessoas físicas que mantêm um local de negócios no Bahrein
- Pessoas jurídicas com local de negócios no Bahrein
- Determinadas pessoas fora do Bahrein que tratam dados pessoais utilizando meios localizados no Bahrein, salvo se esses meios forem utilizados exclusivamente para trânsito pelo Bahrein.
Isso significa que as organizações devem avaliar sua exposição ao Bahrein com base não apenas no local onde a organização está constituída, mas também no local onde ocorrem as atividades de tratamento e a infraestrutura de tratamento.
Empresas que operam sites, aplicativos, plataformas de clientes, serviços de comércio eletrônico, sistemas de RH, plataformas de marketing ou outros serviços digitais que envolvam pessoas no Bahrein devem avaliar se a PDPL se aplica às suas atividades de tratamento.
Quais dados pessoais são abrangidos?
A PDPL define dados pessoais de forma ampla como informações relativas a uma pessoa identificada ou a uma pessoa que possa ser identificada direta ou indiretamente.
Exemplos podem incluir:
- Nome
- Informações de identificação nacional
- Endereço
- Número de telefone
- Endereço de e-mail
- Identificadores online
- Informações econômicas ou sociais
- Informações físicas ou fisiológicas
- Informações profissionais
- Informações que, de outro modo, possam identificar uma pessoa.
A avaliação sobre se uma pessoa é identificável leva em conta os meios à disposição do controlador ou de outra pessoa.
O que são dados pessoais sensíveis segundo a PDPL do Bahrein?
A PDPL confere proteção adicional aos dados pessoais sensíveis.
Os dados pessoais sensíveis incluem informações que revelem, direta ou indiretamente:
- Origem racial ou étnica
- Opiniões políticas
- Opiniões filosóficas
- Crenças religiosas
- Filiação sindical
- Antecedentes criminais
- Informações de saúde
- Condição sexual.
O tratamento de dados pessoais sensíveis é, em geral, proibido sem o consentimento do titular dos dados, salvo se aplicável uma das exceções legais.
As exceções incluem determinados tratamentos relacionados ao emprego, a proteção de pessoas que não podem legalmente dar consentimento, informações publicamente disponíveis tornadas públicas pelo titular dos dados, ações ou defesas judiciais, tratamentos relacionados à saúde, atividades sem fins lucrativos especificadas, determinadas atividades de órgãos públicos e determinados tratamentos voltados à igualdade de oportunidades que envolvam informações raciais, étnicas ou religiosas.
O Bahrein também emitiu a Resolução nº 45 de 2022, que estabelece regras e procedimentos adicionais para o tratamento de dados pessoais sensíveis.
Base legal para o tratamento de dados pessoais
O consentimento é um componente importante da PDPL do Bahrein, mas não é a única base legal.
O Artigo 4 permite o tratamento sem consentimento quando o tratamento for necessário para finalidades especificadas, incluindo:
- Execução de um contrato do qual o titular dos dados seja parte
- Adoção de medidas, a pedido do titular dos dados, com vistas à celebração de um contrato
- Cumprimento de uma obrigação legal ou de uma ordem judicial/do Ministério Público competente
- Proteção dos interesses vitais do titular dos dados
- Busca dos interesses legítimos do controlador ou de um terceiro a quem os dados sejam divulgados, desde que esses interesses não conflitem com os direitos e liberdades fundamentais do titular dos dados.
Portanto, as empresas devem evitar implementar um modelo genérico de "consentimento para tudo". Em vez disso, devem identificar a base legal aplicável a cada atividade de tratamento e utilizar o consentimento quando a PDPL o exigir ou permitir.
Quais são os requisitos para um consentimento válido?
Quando o consentimento é utilizado como base nos termos da PDPL, o Artigo 24 estabelece requisitos específicos.
O consentimento deve, em geral, ser:
- Dado por uma pessoa com plena capacidade legal
- Por escrito
- Explícito
- Claro
- Específico para o tratamento em questão
- Livremente dado
- Dado após a pessoa ter sido informada sobre a finalidade ou as finalidades pretendidas do tratamento
- Acompanhado, quando apropriado, de informações sobre as consequências da recusa do consentimento.
O consentimento pode ser fornecido eletronicamente quando os requisitos aplicáveis forem atendidos.
Para empresas digitais, isso significa que os mecanismos de consentimento devem evitar redação ambígua, escolhas agrupadas e finalidades pouco claras.
Uma interface de consentimento bem projetada deve comunicar claramente:
- Quais dados estão sendo tratados
- Por que estão sendo tratados
- Quem pode recebê-los
- Quais atividades de tratamento exigem consentimento
- Como o consentimento pode ser revogado
As pessoas podem revogar o consentimento?
Sim.
O titular dos dados pode revogar o consentimento a qualquer momento, mediante notificação ao controlador de dados.
As normas regulamentadoras tratam ainda dos procedimentos de revogação do consentimento e exigem que as organizações que se baseiam no consentimento ofereçam um mecanismo adequado para isso. A revogação, em geral, afeta o tratamento futuro baseado no consentimento e não invalida retroativamente o tratamento que era lícito antes da revogação.
Para sites e aplicativos, as organizações devem, portanto, oferecer uma forma prática de os usuários alterarem ou revogarem o consentimento, em vez de tratá-lo como permanente.
Avisos de privacidade e transparência
A PDPL do Bahrein estabelece requisitos de transparência para os controladores de dados.
As pessoas devem receber as informações necessárias para compreender como seus dados pessoais estão sendo tratados.
O conjunto de informações inclui aspectos como:
- Identidade do controlador
- Área de atividade ou profissão do controlador
- Endereço
- Finalidades do tratamento
- Destinatários ou categorias de destinatários
- Se o fornecimento de determinadas informações é obrigatório ou facultativo
- Consequências de não fornecer as informações
- Direitos relevantes do titular dos dados
- Se os dados pessoais podem ser utilizados para marketing direto.
Os avisos de privacidade devem, portanto, ser redigidos em linguagem clara e acessível e refletir com precisão as atividades de tratamento efetivamente realizadas pela organização.
Minimização e qualidade dos dados
A PDPL contém requisitos de qualidade dos dados destinados a impedir que as organizações coletem e mantenham dados pessoais desnecessários ou inexatos.
As organizações devem avaliar se os dados pessoais são:
- Pertinentes à finalidade declarada
- Exatos
- Completos, quando necessário
- Atualizados
- Tratados para finalidades legítimas e definidas
- Retidos apenas pelo período permitido ou exigido por lei.
As empresas devem manter inventários de dados e procedimentos de retenção que lhes permitam identificar por que as informações são coletadas e por quanto tempo devem permanecer em seus sistemas.
Direitos dos titulares dos dados segundo a PDPL do Bahrein
A PDPL do Bahrein confere às pessoas diversos direitos importantes.
Direito à informação
As pessoas podem solicitar informações sobre se seus dados pessoais estão sendo tratados.
Uma solicitação relacionada ao acesso deve, em geral, ser acompanhada de comprovação de identidade e ser atendida gratuitamente dentro do prazo legal. O Artigo 18 prevê um prazo de 15 dias úteis para responder às solicitações qualificadas.
Direito de acesso aos dados pessoais
O titular dos dados pode solicitar informações sobre os dados pessoais que estão sendo tratados, incluindo informações relevantes sobre:
- Os dados pessoais que estão sendo tratados
- A origem dos dados, observados os requisitos de confidencialidade aplicáveis
- As finalidades do tratamento
- Os destinatários ou categorias de destinatários
- O uso relevante das informações em circunstâncias de tomada de decisão automatizada.
Direito à retificação
As pessoas podem solicitar a correção quando os dados pessoais forem inexatos, incompletos ou desatualizados.
Direito ao bloqueio
O titular dos dados pode solicitar o bloqueio de dados pessoais quando os requisitos legais forem atendidos.
Direito à eliminação
As pessoas podem solicitar a eliminação quando o tratamento violar a PDPL, incluindo circunstâncias que envolvam dados inexatos, incompletos, desatualizados ou tratados de forma ilícita.
O Artigo 23 exige, em geral, que os controladores respondam às solicitações qualificadas de retificação, bloqueio ou eliminação em até 10 dias úteis, observado o marco legal.
Direito de se opor ao marketing direto
As pessoas têm o direito específico de se opor ao tratamento para fins de marketing direto.
O controlador deve interromper ou abster-se de iniciar o tratamento de marketing direto em questão dentro do prazo legal aplicável após receber uma solicitação qualificada.
Direito de se opor a tratamentos prejudiciais
O titular dos dados pode se opor a tratamentos que causem, ou possam causar, danos materiais ou morais substanciais e injustificados à pessoa ou a terceiros.
Direito relativo a decisões exclusivamente automatizadas
A PDPL confere às pessoas o direito de se opor a determinadas decisões baseadas exclusivamente em tratamento automatizado.
Quando uma decisão se basear exclusivamente em tratamento automatizado para avaliar aspectos como:
- Desempenho profissional
- Situação financeira
- Capacidade de crédito
- Confiabilidade
- Conduta
o titular dos dados pode solicitar que a decisão seja reconsiderada sem se basear exclusivamente em tratamento automatizado. A reconsideração deve, em geral, ser realizada gratuitamente.
Tomada de decisão automatizada e IA
A PDPL do Bahrein é relevante para sistemas de IA sempre que eles tratam dados pessoais.
O Artigo 22 é particularmente relevante para a tomada de decisão automatizada que avalia pessoas.
As organizações que utilizam IA, perfilamento ou sistemas de decisão automatizada devem, portanto, avaliar:
- Quais dados pessoais o sistema trata
- Se o tratamento é automatizado
- Se o sistema toma decisões que afetam pessoas
- Se a decisão se enquadra nas categorias abrangidas pelo Artigo 22
- Se estão envolvidas informações sensíveis, biométricas ou genéticas
- Se é exigida autorização regulatória prévia
- Como as pessoas podem exercer os direitos aplicáveis.
Determinadas atividades de tratamento biométrico, genético e relacionado à vigilância podem exigir autorização prévia por escrito da Autoridade.
Autorização prévia para determinadas atividades de tratamento
A PDPL do Bahrein contém um importante regime de autorização prévia.
O Artigo 15 exige autorização prévia por escrito para atividades de tratamento especificadas, incluindo:
- Tratamento automático de dados pessoais sensíveis em circunstâncias especificadas
- Tratamento automático de dados biométricos utilizados para verificar a identidade de uma pessoa
- Tratamento automático de dados genéticos, observadas exceções especificadas na área da saúde
- Interconexão automatizada de arquivos de dados pessoais mantidos por diferentes controladores quando os arquivos são tratados para finalidades diferentes
- Tratamento que envolva gravação visual utilizada para vigilância.
As organizações devem identificar essas atividades de tratamento antes de implantar os sistemas relevantes.
Notificação prévia à Autoridade de Proteção de Dados Pessoais
O Artigo 14 estabelece um requisito de notificação para determinadas operações de tratamento total ou parcialmente automatizadas.
A notificação pode incluir informações como:
- Identidade e endereço do controlador
- Dados do operador
- Finalidade do tratamento
- Descrição dos dados
- Categorias de titulares dos dados
- Destinatários dos dados
- Transferências internacionais propostas
- Informações gerais sobre as medidas de segurança.
A lei também prevê isenções da notificação prévia em circunstâncias especificadas, incluindo determinados registros públicos, determinadas atividades sem fins lucrativos, tratamentos especificados de dados de empregados e situações em que um Data Protection Guardian tenha sido nomeado.
Data Protection Guardian
O marco de privacidade do Bahrein inclui um regime de Data Protection Guardian (DPG).
A Resolução nº 46 de 2022 estabelece regras para a nomeação de Data Protection Guardians internos ou externos, incluindo requisitos relativos a registro, credenciamento e supervisão.
O regime de DPG não deve ser automaticamente tratado como um requisito universal para toda organização. As empresas devem avaliar se as circunstâncias de seu tratamento as colocam dentro dos requisitos aplicáveis.
Segurança dos dados segundo a PDPL do Bahrein
A PDPL exige medidas técnicas e organizacionais adequadas para proteger os dados pessoais.
As medidas de segurança devem abordar riscos que incluem:
- Perda acidental
- Destruição não autorizada
- Alteração não autorizada
- Divulgação não autorizada
- Acesso não autorizado
- Outros tratamentos ilícitos.
O Artigo 8 exige que as organizações considerem fatores como as mais recentes medidas tecnológicas de segurança, os custos de implementação, a natureza dos dados e os riscos potenciais.
A Resolução nº 43 de 2022 do Bahrein prevê requisitos adicionais para medidas técnicas e organizacionais e trata da avaliação de impacto sobre a proteção de dados, da notificação de violações, dos arranjos com operadores, dos procedimentos internos de investigação e do treinamento de pessoal.
Privacidade desde a concepção e controles organizacionais
A conformidade com a privacidade deve ser incorporada aos sistemas e processos, em vez de ser tratada apenas como um exercício de documentação.
As organizações devem considerar controles de privacidade ao:
- Lançar novos produtos digitais
- Introduzir novas tecnologias de rastreamento
- Implementar bancos de dados de clientes
- Implantar IA ou sistemas de decisão automatizada
- Integrar serviços de terceiros
- Conectar múltiplos repositórios de dados
- Introduzir novos sistemas de vigilância
- Alterar as finalidades do tratamento de dados.
Uma avaliação de privacidade documentada pode ajudar a identificar se uma nova atividade de tratamento exige notificação, autorização prévia, consentimento, controles contratuais ou salvaguardas de segurança adicionais.
Operadores de dados e fornecedores terceiros
As organizações frequentemente dependem de prestadores de serviços externos para tratar dados pessoais.
Exemplos incluem:
- Plataformas de nuvem
- Fornecedores de CRM
- Plataformas de marketing
- Fornecedores de análise de dados
- Processadores de pagamento
- Sistemas de suporte ao cliente
- Provedores de hospedagem
- Fornecedores de tecnologia de publicidade
- Aplicações SaaS.
Os controladores devem avaliar cuidadosamente os arranjos com operadores e assegurar que controles contratuais e de segurança adequados estejam em vigor.
O marco regulamentador trata especificamente dos arranjos que envolvem operadores externos e terceiros, incluindo sua relação com os requisitos de transferência internacional de dados.
Transferências internacionais de dados
O Bahrein não impõe um requisito geral de que todos os dados pessoais permaneçam fisicamente dentro do Bahrein.
Em vez disso, os Artigos 12 e 13 estabelecem regras para a transferência de dados pessoais para fora do Reino.
Uma transferência pode, em geral, ocorrer quando o destino oferece um nível adequado de proteção ou quando se aplica uma exceção legal ou um mecanismo de autorização aplicável.
A Autoridade mantém um marco para identificar os países e territórios considerados como oferecendo proteção adequada.
O Bahrein também emitiu a Resolução nº 42 de 2022, que prevê regras adicionais para a transferência de dados pessoais para fora do Reino, incluindo transferências para países e territórios listados e determinadas transferências baseadas em contratos e em autorização regulatória.
O que as empresas devem fazer
Antes de transferir dados pessoais internacionalmente, as organizações devem identificar:
- Quais dados estão sendo transferidos
- Por que estão sendo transferidos
- Para onde estão indo
- Quem os recebe
- Se o destino é reconhecido como oferecendo proteção adequada
- Se é exigida uma autorização
- Se se aplica uma salvaguarda contratual ou outra exceção legal.
Violações de dados e gestão de incidentes
A PDPL do Bahrein exige que as organizações mantenham controles de segurança adequados e prevê requisitos regulatórios relativos a violações de dados.
A Resolução nº 43 de 2022 trata especificamente da obrigação de notificar violações ou infrações de dados e exige que as organizações estabeleçam processos internos adequados para investigar incidentes de segurança.
O marco do Bahrein não deve ser apresentado como uma regra universal de notificação de violações em 72 horas. As organizações devem avaliar os requisitos legais e regulamentadores aplicáveis ao incidente específico.
Um processo prático de resposta a violações deve incluir:
- Detecção do incidente
- Contenção
- Investigação
- Avaliação de riscos
- Documentação
- Avaliação regulatória
- Notificação, quando exigida
- Remediação
- Revisão pós-incidente.
Marketing direto e privacidade
O marketing direto é tratado especificamente pela PDPL do Bahrein.
Quando um controlador prevê que dados pessoais possam ser tratados para marketing direto, o titular dos dados deve ser informado de seu direito de oposição.
As pessoas podem exercer sua oposição ao marketing direto gratuitamente, e os controladores estão sujeitos a requisitos legais de resposta.
As empresas que utilizam:
- Marketing por e-mail
- Campanhas por SMS
- Segmentação de clientes
- Retargeting
- Comunicações promocionais
- Publicidade personalizada
devem, portanto, garantir que suas práticas de marketing, avisos de privacidade e mecanismos de opt-out estejam alinhados aos requisitos do Bahrein.
Cookies e rastreamento online
A PDPL do Bahrein se aplica ao tratamento de dados pessoais realizado eletronicamente.
Cookies, pixels, SDKs, tecnologias de publicidade e ferramentas de análise podem, portanto, estar sujeitos à lei quando tratam informações que identificam ou podem identificar uma pessoa.
No entanto, as organizações não devem presumir automaticamente que todo cookie exige consentimento segundo a PDPL do Bahrein.
A abordagem correta é:
- Identificar cada cookie ou rastreador
- Determinar se ele trata dados pessoais
- Identificar a finalidade
- Determinar a base legal aplicável
- Identificar se o consentimento é exigido
- Fornecer um aviso adequado
- Impedir o tratamento dependente de consentimento antes de um consentimento válido quando o consentimento for a base aplicável
- Manter evidências do consentimento e da revogação.
Isso é particularmente importante para tecnologias de publicidade e de rastreamento comportamental.
Gestão de consentimento para sites no Bahrein
Para sites que operam no Bahrein, a gestão de consentimento deve ser projetada em torno das atividades de tratamento efetivas, em vez de simplesmente exibir um banner de cookies genérico.
Uma experiência de consentimento em conformidade pode incluir:
- Solicitações de consentimento claras
- Escolhas específicas por finalidade
- Controles separados para tratamentos opcionais
- Informações de privacidade claras
- Mecanismos de revogação fáceis
- Registros de consentimento
- Evidências de consentimento com registro de data e hora
- Controle de políticas/versões
- Regras regionais
- Integração com tags e rastreadores.
A ConsentX pode ajudar as organizações a operacionalizar esses controles em sites e produtos digitais.
Como a ConsentX ajuda na conformidade com a PDPL do Bahrein
A ConsentX pode apoiar as organizações na implementação de fluxos de trabalho técnicos de consentimento e privacidade para o Bahrein.
1. Descobrir cookies e rastreadores
Faça a varredura do seu site para identificar cookies, rastreadores e tecnologias de terceiros que possam coletar ou tratar dados pessoais.
2. Criar uma experiência de consentimento pronta para o Bahrein
Configure avisos de consentimento de acordo com as atividades de tratamento e a base legal aplicáveis aos visitantes no Bahrein.
3. Controlar rastreadores antes do consentimento
Quando o consentimento for a base legal aplicável, a ConsentX pode ajudar a impedir que tecnologias de rastreamento não essenciais sejam disparadas antes de o consentimento ser fornecido.
4. Capturar um consentimento claro
Use controles de consentimento específicos por finalidade, em vez de depender de um único botão genérico de aceitação.
5. Manter evidências de consentimento
Armazene registros das escolhas dos usuários para que as organizações possam demonstrar o que foi apresentado e o que a pessoa selecionou.
6. Gerenciar a revogação
Ofereça mecanismos que permitam às pessoas alterar ou revogar o consentimento quando o consentimento for a base do tratamento.
7. Apoiar fluxos de trabalho de direitos de privacidade
Centralize as solicitações de privacidade recebidas e ajude as equipes a gerenciar fluxos de trabalho de acesso, oposição, retificação, bloqueio e eliminação.
8. Apoiar a preparação para auditorias
Mantenha registros estruturados que possam ajudar as equipes de privacidade a documentar o consentimento e as decisões de tratamento relacionadas.
Como cumprir a PDPL do Bahrein usando a ConsentX
- 1
Faça a varredura do seu site
Execute uma varredura da ConsentX para identificar cookies, rastreadores, scripts e tecnologias de terceiros.
- 2
Mapeie suas atividades de tratamento
Identifique quais dados pessoais são coletados, por que são coletados, quem os recebe e se são transferidos para fora do Bahrein.
- 3
Determine a base legal
Não presuma que toda atividade de tratamento exige consentimento. Determine se o tratamento se baseia em consentimento, necessidade contratual, obrigações legais, interesses vitais ou interesses legítimos nos termos da PDPL.
- 4
Configure seu banner de consentimento
Para tratamentos baseados em consentimento, apresente escolhas claras e específicas aos usuários.
- 5
Bloqueie rastreadores dependentes de consentimento
Garanta que rastreadores opcionais não sejam executados antes da obtenção do consentimento exigido.
- 6
Registre o consentimento
Mantenha evidências do consentimento, incluindo a finalidade relevante, o registro de data e hora e o estado do consentimento.
- 7
Permita a revogação
Facilite para as pessoas a alteração de suas escolhas ou a revogação do consentimento.
- 8
Conecte o consentimento aos direitos de privacidade
Mantenha fluxos de trabalho para solicitações relativas a acesso, oposições, correção, bloqueio e eliminação.
- 9
Revise as transferências internacionais
Identifique os serviços de terceiros que recebem dados pessoais do Bahrein e avalie o mecanismo de transferência internacional aplicável.
- 10
Revise os tratamentos de alto risco
Verifique se dados sensíveis, biometria, dados genéticos, interconexão automatizada de dados ou tratamento para vigilância acionam requisitos de autorização prévia.
Checklist de conformidade com a PDPL do Bahrein
Use o checklist a seguir como ponto de partida para um programa de conformidade de privacidade no Bahrein:
- Determinar se a PDPL do Bahrein se aplica
- Mapear as atividades de tratamento de dados pessoais
- Identificar controladores e operadores de dados
- Identificar dados pessoais sensíveis
- Documentar a finalidade de cada atividade de tratamento
- Determinar a base legal aplicável
- Obter consentimento válido quando exigido
- Garantir que o consentimento seja explícito, claro, específico e livremente dado
- Fornecer informações de privacidade adequadas
- Oferecer mecanismos de revogação do consentimento
- Manter dados pessoais exatos e pertinentes
- Estabelecer procedimentos de retenção e exclusão
- Implementar salvaguardas de segurança
- Revisar os contratos com operadores
- Avaliar as transferências internacionais de dados
- Determinar se é exigida notificação prévia
- Determinar se é exigida autorização prévia
- Avaliar os requisitos de Data Protection Guardian
- Estabelecer procedimentos para solicitações dos titulares dos dados
- Apoiar as solicitações de acesso
- Apoiar as solicitações de retificação, bloqueio e eliminação
- Apoiar as oposições ao marketing direto
- Apoiar as oposições aplicáveis a decisões automatizadas
- Estabelecer procedimentos de resposta a violações
- Manter documentação e registros de privacidade
- Revisar a conformidade periodicamente.
Penalidades da PDPL do Bahrein
A PDPL contém penalidades criminais para violações especificadas.
O Artigo 58 prevê pena de prisão de até um ano e/ou multa entre BHD 1,000 e BHD 20,000 para infrações especificadas, incluindo determinados tratamentos ilícitos de dados pessoais sensíveis, transferências internacionais ilícitas, falta de realização das notificações regulatórias exigidas, tratamento sem a autorização prévia exigida e fornecimento de informações incorretas ou enganosas à Autoridade ou ao titular dos dados.
Portanto, o regime de penalidades não deve ser reduzido a uma única "multa máxima para toda violação". A penalidade aplicável depende da infração específica e do dispositivo envolvido.
As organizações também devem considerar possíveis indenizações e outras consequências regulatórias decorrentes do tratamento ilícito.
Quem fiscaliza a PDPL do Bahrein?
A Autoridade de Proteção de Dados Pessoais (PDPA) é instituída pela lei como a autoridade competente em matéria de proteção de dados.
Suas funções legais incluem:
- Supervisionar a conformidade
- Inspecionar os controladores de dados
- Receber notificações regulatórias
- Conceder autorizações prévias
- Credenciar Data Protection Guardians
- Receber reclamações
- Investigar possíveis violações
- Promover a conscientização sobre proteção de dados
- Participar de assuntos internacionais de proteção de dados.
O portal oficial do governo do Bahrein identifica a Lei de Proteção de Dados Pessoais e as resoluções regulamentadoras associadas como parte do marco de proteção de dados do Reino.
Apresentação de uma reclamação de privacidade no Bahrein
Pessoas físicas e outras pessoas com interesse legítimo ou legitimidade podem apresentar uma reclamação por escrito quando acreditarem que dados pessoais estão sendo tratados em violação da PDPL.
A lei prevê que as reclamações sejam apresentadas à Autoridade, com procedimentos estabelecidos para o recebimento e o processamento dessas reclamações.
PDPL do Bahrein e gestão de consentimento
A gestão de consentimento é particularmente relevante para as organizações do Bahrein porque a PDPL estabelece requisitos específicos para o consentimento quando ele é utilizado como base.
Uma plataforma moderna de gestão de consentimento pode ajudar as organizações a:
- Identificar tratamentos dependentes de consentimento
- Apresentar solicitações de consentimento claras
- Capturar escolhas explícitas
- Manter evidências de consentimento
- Gerenciar a revogação
- Controlar os rastreadores do site
- Manter preferências por finalidade
- Apoiar fluxos de trabalho de direitos de privacidade
- Demonstrar conformidade operacional.
A ConsentX fornece uma camada técnica para gerenciar esses fluxos de trabalho, enquanto as organizações continuam responsáveis por determinar suas obrigações legais.
Por que as empresas do Bahrein precisam de uma estratégia de consentimento estruturada
Um programa de conformidade de privacidade deve ir além de uma página de política de privacidade.
As organizações precisam compreender a relação entre:
Coleta de dados → Finalidade → Base legal → Consentimento → Tratamento → Terceiros → Transferências internacionais → Retenção → Direitos dos titulares dos dados
Uma plataforma de gestão de consentimento pode ajudar a conectar essas etapas operacionais.
No caso dos sites em particular, a ConsentX pode ajudar a traduzir os requisitos de privacidade em controles práticos para cookies, rastreadores e outras tecnologias online.
Perguntas frequentes
País sob a PDPL do Bahrein
País: Bahrein
Regulamentação oficial: Lei de Proteção de Dados Pessoais
Lei: Lei nº 30 de 2018
Vigência: 1º de agosto de 2019
Região: Oriente Médio / CCG
Autoridade reguladora: Autoridade de Proteção de Dados Pessoais
البحرينOutras regulamentações de privacidade
Empresas que atuam em múltiplas jurisdições também podem precisar avaliar:
- GDPR
- UK GDPR
- CCPA / CPRA
- PDPL dos Emirados Árabes Unidos
- PDPL da Arábia Saudita
- PDPPL do Catar
- PDPL de Omã
- Requisitos de privacidade do Kuwait
- PDPA de Singapura
- PDPA da Tailândia
- DPDPA da Índia
- LGPD do Brasil
- POPIA da África do Sul
- Privacy Act da Austrália
- Privacy Act da Nova Zelândia
- Outras leis de privacidade nacionais e setoriais aplicáveis.
Uma estratégia de consentimento multijurisdicional deve levar em conta as diferenças em bases legais, requisitos de consentimento, cookies, transferências internacionais, direitos dos titulares dos dados e obrigações regulatórias.
GDPR
UK GDPR
CCPA / CPRA
VCDPA
Colorado CPA
CTDPA
UCPA
TDPSA
Oregon OCPA
Montana MCDPA
Florida FDBR
LGPD
PIPEDA
DPDPA
PDPA
POPIA
FADP
Law 25
LFPDPPP
PDPL
Law 21.719
Law 1581
Law 29733
Law 18.331Prepare-se para a PDPL do Bahrein com a ConsentX
A PDPL do Bahrein exige que as organizações adotem uma abordagem estruturada em relação ao tratamento de dados pessoais, ao consentimento, à transparência, à segurança, aos direitos individuais e às transferências internacionais de dados.
A ConsentX ajuda a transformar esses requisitos de privacidade em controles práticos para sites.
Faça a varredura do seu site. Identifique rastreadores. Configure o consentimento. Registre as escolhas dos usuários. Gerencie as solicitações de privacidade.
Comece a usar a ConsentX ou agende uma demonstração.