João Pedro Paro

Compliance local consiste na ideia de estar em conformidade com as leis e regulamentos locais. Logo, se uma empresa opera em um determinado Estado-nação, precisa cumprir as leis e regulamentos deste território. Simples e auto intuitivo. 
Por outro lado, o Compliance Internacional se apresenta como uma tendência notável e crescente que emerge da regulamentação do uso, armazenamento e processamento de dados sobre os quais os governos nacionais têm aprovado leis relacionadas aos dados ou informações de seus cidadãos, as quais as organizações precisam seguir, mesmo que não estejam localizadas naquele país. Complexo e contra intuitivo.
<ul class="jota-article__internal-links">
<li>+JOTA: <a href="https://www.jota.info/assine">Assine o JOTA e não deixe de ler nenhum destaque! 
</a></li>
</ul>
O capítulo V da Lei Geral de Proteção de Dados no Brasil regulamenta as hipóteses de transferência internacional de dados seguindo a tradicional regra da territorialidade da mesma forma que se aprende logo no início da faculdade de direito desde o século passado. 
Habitualmente ensinado por lições constantes em importantes clássicos como àquelas do livro Teoria Geral do Processo - dos grandes mestres Ada Pelegrini Grinover, <a href="https://www.jota.info/carreira/10-livros-de-processo-civil-que-todos-deveriam-ler-10112017" target="_blank" rel="noopener">Cândido Rangel Dinamarco</a> e Antonio Carlos de Araújo Cintra - os chamados “limites da jurisdição” são tratados de forma clássica pelos autores, para então adentrarem ao pantanoso aspecto dos limites da jurisdição internacional da seguinte maneira:
Assim, em princípio cada Estado tem poder jurisdicional nos limites de seu território: pertencem à sua autoridade judiciária as causas que ali tenham sede. 
Ocorre que, nos estertores da segunda década do século XXI, o Direito Internacional e o Direito Nacional estão diante de um aparente paradoxo relacionado com o Compliance de diferentes jurisdições, em especial, devido a muitas organizações estarem migrando suas redes e dados para os serviços de nuvem fornecidos por terceiros ao redor do mundo. 
O direito pode estar sendo ensinado da mesma forma que no século passado, mas não se faz negócio da mesma forma que se fazia antigamente.
<blockquote class="jota-article__eye">Um caso exemplificativo deste paradoxo é o Estados Unidos v. Microsoft Corp. julgado em 2016 pela Suprema Corte dos Estados Unidos da América. </blockquote>
O processo envolvia privacidade de dados e a extraterritorialidade da aplicação da lei de Armazenamento de Comunicações de 1986 (Stored Communication Act) à luz das modernas tecnologias de computação e Internet, como data centers e armazenamento em nuvem. 
A controvérsia surgiu em 2013. A Microsoft contrariou um mandado do governo federal de entregar o e-mail de uma conta de destino armazenada na Irlanda, argumentando que um mandado emitido com base na Lei dos EUA não poderia obrigar as empresas americanas a entregarem dados armazenados em servidores externos aos Estados Unidos. 
Após ser processada por desrespeitar determinação judicial, a Microsoft perdeu a ação no Distrito Sul de Nova York, com o juiz afirmando que a natureza do chamado Stored Communication Act, aprovado em 1986, não estaria sujeita a limitações territoriais. 
<blockquote class="jota-article__eye">A Microsoft recorreu ao Tribunal de Apelações dos Estados Unidos, que decidiu em seu favor em 2016, invalidando o mandado. Em seguida, o Departamento de Justiça dos Estados Unidos recorreu à Suprema Corte, que recebeu o recurso. </blockquote>
Ocorre que, enquanto o caso estava pendente na Suprema Corte, o Congresso Americano aprovou uma lei esclarecendo o uso legal de dados no exterior (Lei CLOUD), que alterou a Stored Communication Act para resolver preocupações do governo e da Microsoft relacionadas ao mandado inicial.
 Neste sentido é que a lei Americana foi alterada para permitir que a aplicação da lei federal obrigue as empresas de tecnologia baseadas nos EUA por meio de mandado ou intimação a fornecer dados solicitados armazenados em servidores, independentemente de os dados estarem armazenados nos EUA ou em solo estrangeiro. 
O caso terminou em acordo entre as partes.
<blockquote class="jota-article__eye">Estaria a LGPD brasileira sujeita a limitações territoriais?</blockquote>
O art. 4º da nossa LGPD estabelece os casos em que as regras ao tratamento de dados pessoais não se aplicam. No inciso IV está prevista a exceção de aplicação da LGPD aos dados provenientes de fora do território nacional e que não sejam objeto de comunicação, uso compartilhado de dados com agentes de tratamento brasileiros ou objeto de transferência internacional de dados com outro país. 
Logo, por razões civis (pois investigações criminais foram excluídas do escopo da lei) eventual conta de e-mail de provedor brasileiro, no entanto armazenada fora do Brasil, poderia ser objeto de requisição de autoridade judiciária? Pela leitura do inciso IV do art 4º da LGPD, parece que não.
Ainda usando um comparativo do exemplo dos EUA: as chances de diversas controvérsias internacionalistas emergirem da nossa LGPD são imensas.
 A aura de insegurança jurídica que carrega a proteção de dados no atual momento é muito grande e ruim para os negócios e crescimento sustentável da flagelada economia nacional. 
O Congresso dos EUA evitou o desastroso - já corriqueiro pelas bandas brasileiras - protagonismo judicial e criou nova lei para dirimir a controvérsia criada por lá. 
<blockquote class="jota-article__eye">Teríamos a mesma capacidade de resposta política?</blockquote>
Data venia, creio que não. Pelos trópicos estamos acostumados ao latim empolado ad judicem dicere. 
Desta maneira é que atualmente está em curso uma mudança de paradigma no âmbito do Compliance Corporativo. Estão sendo consideradas diferentes fontes de obrigações legais, normatizações e até mesmo as chamadas boas práticas que podem eventualmente transcender a tradicional territorialidade.
 O Compliance local é pré-requisito para mitigação de riscos operacionais, jurídicos e reputacionais e é considerado condição necessária para um programa minimamente sério de integridade das empresas. 
No entanto, neste contexto da globalização e fluxo internacional de bens e serviços, é fundamental uma abordagem internacionalista, em especial em situações envolvendo uso, transferência ou armazenamento de dados, dispositivos tecnológicos com potencial vulnerabilidade ou até mesmo os controversos aspectos de cibersegurança.
O antigo – e de certa forma carcomido – debate sobre o monismo e dualismo jurídico foi claramente ultrapassado pelo avanço social, tecnológico e de negócios que desdobraram juntos um novo cenário onde cibersegurança, proteção de dados e regulamentações envolvendo tecnologia cada vez mais vão exigir um gerenciamento de riscos global na chamada era de informação. 
Reposicionar antigos debates da teoria jurídica, recolocando-os no cenário atual mais complexo e dinâmico, é obrigação de uma nova geração de juristas que se vê imbuída da difícil missão de traduzir as vertiginosas transformações tecnológicas em conteúdo exegético passível de solucionar disrupções classificatórias como essa antiga ideia de territorialidade cada vez mais fragilizada pela digitalização e hiperconectividade da vida cotidiana.

map-of-the-world-2164673_1280

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Estaria a LGPD brasileira sujeita a limitações territoriais?

A extraterritorialidade do compliance internacional

Estaria a LGPD brasileira sujeita a limitações territoriais?