Kevin Phillips considera o impacto do trabalho remoto na lei sul-africana agora plenamente implementada sobre a Proteção de Informações Pessoais (POPI). O desfasamento jurídico tornou-a inaplicável no local de trabalho moderno e distribuído?
O fenómeno do «desfasamento jurídico» não é novo. As leis há muito que têm dificuldade em acompanhar os avanços tecnológicos rápidos, mas este fosso está a alargar-se no século XXI. A quarta revolução industrial e os notáveis avanços na tecnologia digital e nos modelos de negócio digitais estão a impulsionar uma desconexão ainda mais pronunciada entre as nossas leis e a nossa realidade.
Considere os debates globais sobre a regulação do Uber e outros serviços de transporte por aplicação; o Airbnb e serviços similares que perturbam a indústria de viagens e turismo; e os governos que se apressam a regular as criptomoedas. Localmente, o South African Broadcasting Service (SABC) enredou-se recentemente em tentativas de alargar as taxas de licença de televisão a serviços de vídeo a pedido locais e internacionais (incluindo a tentativa de tornar estes prestadores de serviços, e vendedores de dispositivos inteligentes, responsáveis pela cobrança das taxas de licença).
Com efeito, o fosso não só se alargou entre as leis tradicionais e o mundo digital, como também é, diria eu, evidente nas novas leis concebidas para lidar com a nossa realidade digital. Por altura da implementação da nova legislação, o ambiente mudou tanto que a lei já está desatualizada. Tome-se como exemplo a lei de Proteção de Informações Pessoais (POPI) e a força de trabalho distribuída.
O trabalho remoto já era uma tendência emergente em todo o mundo, mas depois chegou a pandemia, que acelerou esta mudança. Isto só foi possível graças à tecnologia de colaboração e comunicação baseada na nuvem. Agora parece que uma versão do trabalho remoto veio para ficar, com os colaboradores relutantes em abdicar da flexibilidade a que se habituaram durante a pandemia e muitas empresas a optar por uma variação do trabalho híbrido. Certamente, no momento em que isto foi escrito, o governo sul-africano instava as empresas a permitir que as pessoas trabalhassem a partir de casa, a menos que fosse totalmente inviável.
Ao mesmo tempo, como certamente estará bem ciente pelo número de e-mails que já recebeu sobre este assunto de newsletters de que mal se recorda de ter subscrito, a lei POPI entrou plenamente em vigor a 1 de julho de 2021. Dado que o primeiro projeto de legislação foi introduzido em 2009 (o mesmo ano em que o iPhone da Apple foi lançado na África do Sul!), muito mudou enquanto a lei era aprovada. E inevitavelmente, as empresas estão a começar a deparar-se com uma desconexão entre a proteção de informações pessoais e a produtividade, muito agravada pela mudança da face da força de trabalho.
A lei POPI tende a pensar no armazenamento e transporte de dados em termos de uma localização centralizada de escritório. Esta é também uma característica de outra legislação sobre proteção de informações pessoais, como o Regulamento Geral sobre a Proteção de Dados (RGPD) da UE. Na época em que a lei POPI estava a ser redigida, as organizações eram fáceis de definir e proteger, tanto física como virtualmente. A fronteira entre uma organização e o mundo exterior era óbvia, com câmeras e biometria a monitorizar entradas, saídas e comportamentos físicos nas instalações. Os responsáveis pela proteção de dados podiam assegurar que as cópias em papel dos documentos eram armazenadas em segurança, acedidas apenas por pessoas relevantes e destruídas de forma segura. Virtualmente, a pegada digital de uma organização também era fácil de ver e proteger. Na maioria dos casos, os colaboradores acediam aos ativos da empresa a partir da rede corporativa e a sua atividade podia ser monitorizada e controlada para proteger o acesso, o movimento e o armazenamento de dados valiosos de identificação pessoal.
O fosso entre trabalho remoto e proteção de dados
Tudo isto foi invertido com a mudança para o trabalho a partir de casa. E embora tenhamos tido 18 meses para nos adaptar, reforçar as medidas temporárias e colmatar quaisquer lacunas na proteção de dados e noutras medidas de segurança, na prática permanece uma desconexão.
Por exemplo, é inviável esperar as mesmas medidas de segurança física nas casas das pessoas. Consegue imaginar exigir que os colaboradores instalem câmeras de segurança e scanners biométricos no seu escritório ou área de trabalho em casa? Isto parece um exagero e uma violação da sua privacidade e da privacidade dos seus familiares ou colegas de habitação. Da mesma forma, mesmo que a empresa forneça um cofre ou armário com fechadura para os colaboradores armazenarem cópias em papel de dados de identificação pessoal, e destruidoras para os eliminar quando necessário, existe menos supervisão e controlo sobre se o colaborador cumpre estes requisitos.
Com certeza, um ambiente de trabalho totalmente sem papel é uma solução. Mas quantos de nós habitualmente rabiscam notas rápidas em post-its — que podem incluir informações de identificação pessoal?
O trabalho remoto no espaço virtual também é um desafio para os responsáveis pela proteção de dados. Mais dispositivos ligados remotamente a redes corporativas e serviços cloud significa mais oportunidades para os cibercriminosos atacarem. À medida que as nossas vidas pessoais e profissionais se fundem cada vez mais, também os nossos dispositivos o fazem, com dispositivos pessoais utilizados para verificar e-mail ou mensagens, dispositivos profissionais utilizados para entretenimento, e dispositivos partilhados entre membros do agregado familiar.
A realidade é que uma força de trabalho remota, com todos os seus benefícios, também tem limitações muito reais no que diz respeito ao cumprimento da lei POPI. Sem proximidade física, e sem a capacidade dos responsáveis pela proteção de dados de verificar se os colaboradores estão a seguir os regulamentos, ou de os colaboradores se inclinarem para confirmar que o seu gestor lhes pediu de facto para clicar num link para efetuar um pagamento urgente, esta divisão ameaça a capacidade das organizações de salvaguardar dados essenciais de identificação pessoal.
Produtividade e velocidade num mundo pós-pandémico
Além disso, espera-se que todos nós trabalhemos com mais flexibilidade e agilidade para impulsionar a inovação e o serviço ao cliente nas nossas organizações para ajudar a estimular a recuperação pós-pandémica. Como é que esta velocidade e flexibilidade — impulsionadas pela transformação digital — se concilia com requisitos de conformidade em matéria de proteção de dados onerosos e impraticáveis, concebidos num e para outro mundo do trabalho?
Claro que a proteção de informações pessoais é vital e tornar-se-á cada vez mais importante à medida que mais das nossas vidas se deslocam para online. O trabalho remoto e o emergente modelo híbrido de trabalho são simultaneamente positivos e inevitáveis. Então, questão genuína: é sequer possível cumprir a legislação concebida para um local de trabalho centralizado no mundo do trabalho descentralizado de hoje? Precisamos de refletir sobre a atual legislação de proteção de informações pessoais para a tornar mais adequada ao ambiente empresarial descentralizado de hoje?
Tal como publicado em Accountancy SA - novembro de 2021