Yasmin Luana Bueno Gomes

Com o lançamento do Regulamento de Dosimetria da Autoridade Nacional de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/ANPD">ANPD</a>), a autarquia está apta a aplicar sanções relacionadas à proteção de dados no país. Mas como a ANPD aplicará efetivamente a LGPD no Brasil, sendo que nem o Facebook sabe para onde vão todos os dados dos seus usuários?
Para compreender melhor a questão, daremos um passo atrás. A Lei Geral de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/LGPD">LGPD</a>) teve o seu conteúdo baseado no Regulamento Geral Sobre a Proteção de Dados Europeu (<a href="https://www.jota.info/tudo-sobre/GDPR">GDPR</a>), tornando as duas regulamentações, a certo nível, muito similares.
O GDPR está entrando em seu quinto ano de vigência, e com base na sua atuação na Europa, podemos ter uma certa previsão do que podemos esperar no Brasil com a LGPD. O Regulamento Geral Europeu foi, em parte, criado para contrabalançar a rápida expansão e inovação de empresas gigantes de tecnologia, devido a dificuldade dos usuários em entender como os seus dados pessoais são usados e divulgados em plataformas de grandes empresas como Google e Facebook.
Na Europa, foi apenas na metade de 2021 que começou a haver uma atuação expressiva das autoridades reguladoras no sentido de aplicação de multas relacionadas a desconformidade com o GDPR.
Em julho daquele ano, a Amazon foi atingida com a <a href="https://www.techtarget.com/searchsecurity/feature/GDPR-as-we-enter-2022-Challenges-enforcement-and-fines">maior multa de GDPR até o momento, US$ 887 milhões</a>, o que também excede o valor de todas as multas anteriores de GDPR combinadas. Os reguladores de Luxemburgo consideraram a empresa culpada por não receber o consentimento adequado dos usuários em relação aos seus dados pessoais, e a <a href="https://www.theregister.com/2021/12/20/luxembourg_amazon_fine/">companhia ainda está contestando</a> a decisão.
Já em setembro de 2021, o serviço de mensagens WhatsApp, de propriedade da Meta, foi multado em US$ 266 milhões pelo Comissário de Proteção de Dados da Irlanda, por não receber consentimento adequado e não atender aos requisitos de transparência de dados.
É importante destacar que, na Europa, cada país possui a sua Autoridade de Proteção de Dados, e que lá, para evitar conflitos de jurisdição, <a href="https://www.dataprotection.ie/en/organisations/international-transfers/one-stop-shop-oss">foi criado o “One Stop Shop”</a>, que define o seguinte: quando há o tratamento de dados em vários países europeus por uma só empresa, esta deve definir a localização da sua sede principal, tornando o país daquela sede, o responsável por realizar a fiscalização do processamento de dados por aquela empresa.
Neste cenário, um fato que tem incomodado a sociedade civil é o tempo de demora na aplicação do GDPR. Na Europa, cinco anos após a entrada em vigor do GDPR, os reguladores de dados encarregados de fazer cumprir a lei têm lutado para agir rapidamente em reclamações contra grandes empresas de tecnologia e o obscuro setor de publicidade online, com dezenas de casos ainda pendentes.
Os reguladores de alguns países reclamam que o sistema para lidar com reclamações internacionais está inchado e retarda a aplicação. Em comparação, a economia da informação se move em uma velocidade vertiginosa. “Ainda há o que chamamos de lacuna na fiscalização e problemas com a fiscalização transfronteiriça e a fiscalização contra os grandes players”, <a href="https://www.wired.co.uk/article/gdpr-2022">opina David Martin Ruiz</a>, diretor jurídico sênior da Organização Europeia do Consumidor, que apresentou uma queixa sobre o rastreamento de localização do Google há quatro anos.
Crucialmente, o GDPR transformou os princípios de proteção de dados em uma arma e concedeu ao regulador de dados de cada país europeu o poder de emitir multas de até 4% do faturamento global de uma empresa e ordenar que as empresas parem de praticar atos que violem os princípios do GDPR (ordenar que uma empresa pare de processar os dados das pessoas, se mostra, sem dúvida, mais impactante do que emitir multas).
Esse excesso de reclamações iniciais e complexas do GDPR levou a atrasos nas autoridades reguladoras, incluindo o órgão irlandês (Comissário de Proteção de Dados), que é responsável por um número expressivo de grandes empresas de tecnologia (incluindo Apple, Facebook, Google, LinkedIn, TikTok e Twitter).
Desde maio de 2018, o <a href="https://blogs.dlapiper.com/privacymatters/ireland-large-scale-inquiries-progress-as-dpc-budget-and-staff-numbers-ramp-up/">regulador irlandês</a>, que possuía 190 funcionários em 2021 e planejava contratar mais 70 em 2022, concluiu 65% dos casos envolvendo decisões internacionais – 400 estão pendentes, de acordo com as estatísticas do próprio regulador. Outros casos, registrados contra Netflix (Holanda), Spotify (Suécia) e PimEyes (Polônia), se arrastam há anos.
Os reguladores de dados da Europa afirmam que a aplicação do GDPR ainda está amadurecendo e que está funcionando bem e melhorando com o tempo.
Apesar dos claros problemas de aplicação, o GDPR teve um efeito incalculável nas práticas de dados em geral. Os países da União Europeia tomaram decisões em milhares de casos locais e emitiram orientações para as organizações dizerem como devem usar os dados das pessoas.
Mas nos níveis de big tech, onde os dados são abundantes, a escala de conformidade com o GDPR é diferente. Um recente documento interno do Facebook obtido pela Motherboard sugere que a empresa realmente não sabe o que faz com seus dados (uma <a href="https://venturebeat.com/security/gdpr-4th-anniversary/">afirmação que o Facebook negou na época</a>). Da mesma forma, uma investigação conjunta da Wired e da Reveal no final de 2021 encontrou sérias deficiências na maneira como a Amazon lida com os dados dos clientes.
Assim, as organizações que não conseguem identificar onde os dados pessoais residem em um ambiente de nuvem ou como são processados, inevitavelmente acabam violando os regulamentos de proteção de dados, porque não podem proteger os dados dos usuários.
Devido ao exposto, e claro, sem contar com as diferenças intrínsecas entre o GDPR e a LGPD, podemos ter uma prévia de como será o início da atuação da ANPD na fiscalização das empresas que processam dados pessoais no país. Lenta.
Atualmente, a ANPD conta com 100 funcionários em sua força de trabalho, e mesmo com o ótimo trabalho que vem sendo realizado pelos servidores da Autarquia, essa quantidade é muito inferior ao mínimo necessário para que a Autoridade comece a ter uma atuação expressiva na fiscalização das empresas brasileiras.
O próprio diretor-presidente da ANPD, Waldemar Gonçalves Ortunho Júnior, afirmou em <a href="https://www.jota.info/coberturas-especiais/protecao-de-dados/presidente-da-anpd-espera-destravar-concurso-para-contratar-215-funcionarios-em-2023-26122022">entrevista ao JOTA</a> que “precisamos de robustez para executar mais tarefas simultaneamente”. Ele disse que o ideal seria contratar 215 novos funcionários mediante concurso público, que espera realizar ainda em 2023.
Ao analisar a quantidade de empresas no Brasil, incluindo todas as gigantes de tecnologia que aqui atuam, o cenário de fiscalização e efetivo resultado na proteção de dados no país é desencorajador.
Comparando novamente a LGPD com o GDPR, é importante destacar que o regulamento europeu não possui limite no valor das multas aplicadas, que, como vimos, já alcançaram US$ 887 milhões só no caso da Amazon. No Brasil, a LGPD impõe uma multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões (algo em torno de US$ 9,5 milhões), o que configura um pouco mais de 1% da multa mais alta do GDPR. Seria este um fator decisivo para implementação de processos de proteção de dados pelas empresas no país?
Ainda, como exposto anteriormente, na Europa existem diversas autoridades fiscalizadoras, uma em cada país, e cada uma com a sua respectiva força de trabalho, variando dos 260 funcionários do órgão irlandês, para os 900 do órgão britânico. Essa separação de empresas, por país fiscalizador, acaba dividindo a quantidade de companhias supervisionadas por cada autoridade, diminuindo, assim, a quantidade de reclamações que cada uma deve gerenciar.
No Brasil, uma força de trabalho de possíveis 315 funcionários seria suficiente para atender todas as empresas aqui atuantes, em conjunto com as gigantes da tecnologia? Em um ritmo acelerado, pode-se deduzir que não.
É um fato que a LGPD irá melhorar o processamento de dados no país, como temos visto nos países que já possuem suas próprias regulamentações de proteção de dados, mas em comparação, também podemos prever para os próximos anos problemas na fiscalização de conformidade das empresas e demora na aplicação da lei.<a href="#_ftnref1" name="_ftn1"></a>

proteção de dados; dados

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Uma força de trabalho de possíveis 315 funcionários seria suficiente para atender todas as empresas aqui atuantes?

Aplicação da LGPD: desafios a serem enfrentados pelo Brasil

Ao analisar a quantidade de empresas no Brasil, o cenário de fiscalização e efetivo resultado na proteção de dados no país é desencorajador