Aline Fuke Fachinetti

Luisa Abreu Dall’Agnese

A California Privacy Rights Act of 2020 (CPRA) foi aprovada, com sua vigência definida para julho de 2023, sendo aplicável aos dados pessoais coletados de 2022 em diante.
Você não leu errado: realmente estamos nos referindo à “CPRA” (e não à famosa “CCPA”, norma californiana que entrou em vigor em janeiro de 2020 e regulamentou a privacidade de consumidores residentes na Califórnia).
<a href="https://conteudo.jota.info/poder-contato"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>A CPRA (ou, como foi carinhosamente apelidada: “CCPA 2.0”) altera substancialmente sua antecessora, que havia sido criada para responder os anseios por mais privacidade e controle dos consumidores sobre os seus dados e que, para tanto, estabeleceu, principalmente, obrigações como transparência e a possibilidade de os consumidores optarem pela não comercialização de seus dados.
A necessidade de mudanças na CCPA não surpreende, já que era considerada por muitos, desde a sua concepção, como ineficaz do ponto de vista de um efetivo resguardo ao direito fundamental de privacidade e à proteção de dados pessoais.
Diante disso, no último ano, muitas foram as discussões sobre a necessidade de uma nova regulamentação que de fato trouxesse proteção aos dados e à privacidade dos titulares. Em novembro de 2020, tivemos, finalmente, a aprovação da proposta legislativa (Proposition 24) da CPRA na Califórnia.
Como mencionado, a nova legislação tem uma amplitude maior, trazendo a procedimentalização, responsabilidades e regulamentação mais principiológica com foco nos direitos do titular, mais próxima, ao menos neste aspecto, ao que temos no Brasil com a Lei Geral de Proteção de Dados Pessoais (LGPD).
Ademais, a CPRA cria a primeira agência dos Estados Unidos dedicada exclusivamente à regulamentação e fiscalização das normas de proteção de dados, a chamada CPPA (California Privacy Protection Agency), atribuição que antes pertencia ao Attorney General’s office (que pode ser entendido como a procuradoria-geral) da Califórnia.
Em relação à aplicabilidade das leis, a CCPA abrangeu empresas que fazem negócios na Califórnia e que satisfazem uma ou mais das seguintes opções: (a) receita anual bruta de mais de $ 25.000.000; (b) mais de 50% do seu rendimento anual deriva da venda de informações pessoais de clientes da Califórnia; (c) compram, vendem ou compartilham anualmente informações pessoais de mais de 50.000 consumidores da Califórnia. Com a CPRA, o limite de 50.000 foi elevado para 100.000 consumidores.
Adentrando nos detalhes da renovada legislação, grande parte dos seus requisitos serão familiares àqueles que conhecem a LGPD, pois, assim como a nossa lei, a CCPA 2.0 inclui diversos dos conhecidos princípios e práticas informacionais justos (Fair Information Principles – FIPs), como qualidade de dados, minimização, salvaguardas e medidas de segurança, bem como a limitação de uso e questões de retenção de dados pessoais.
O conceito básico de dados pessoais manteve-se, sendo "informações que identificam, se relacionam com, descrevem, são capazes de serem associadas a, ou poderiam estar razoavelmente vinculadas, direta ou indiretamente, a um consumidor ou família em particular".
A CPRA traz como novidade a categorização de dados pessoais sensíveis que, além dos dados que compõem essa categoria na LGPD, foram incluídos ao rol: carteira de motorista, passaporte, conta financeira, cartão de crédito ou débito em combinação com senha ou código de acesso, geolocalização precisa do consumidor, entre outros.
Uma das mudanças que consideramos mais importantes para fins de responsabilização e da própria mentalidade do cumprimento da lei pelas organizações, é a remoção da possibilidade anteriormente estipulada pelo CCPA referente ao prazo de 30 dias para remediação de algum descumprimento legal, antes da aplicação de eventuais sanções administrativas.
Sem essa possibilidade, a CPRA torna a necessidade de compliance e a responsabilização (accountability) muito mais prementes e essenciais às empresas sob escopo da lei, já que, com a extinção do período de remediação a posteriori ao descumprimento, terão que atuar de forma preventiva.
Aos consumidores californianos, assim como na legislação europeia e brasileira, foram criados direitos como o de correção e deleção após o atingimento do objetivo informado dos dados tratados.
Ainda, o CPRA fornece aos titulares, explicitamente, poder para limitar a forma como as empresas tratam seus dados: poderão solicitar que sejam tratados apenas quando necessário para o fornecimento do serviço ou de bens “razoavelmente esperados por um consumidor médio” e apenas para um número limitado de finalidades especificamente delineados pela lei, criando um novo requisito de “opt-out” para as organizações.
Diferentemente do direito ao esquecimento europeu e mais próximo ao direito da LGPD, a CCPA traz o direito à exclusão dos dados, podendo estes serem mantidos desde que haja um motivo legítimo, dentre os especificados em lei.
Com a CPRA, o consentimento passa a ser definido como a indicação livre, específica, informada e inequívoca do consumidor, tal como uma declaração ou ação afirmativa clara na qual assente com o tratamento dos dados pessoais para finalidades específicas, estritamente definidas.
Os californianos passarão a conhecer uma nova forma de “consentimento” que, anteriormente, muitas vezes estava implícito na própria atividade de uso de determinado serviço ou até embutido nos termos de uso e avisos de privacidade existentes. Assim, esse novo requisito legal implicará numa verdadeira mudança cultural em torno do que constitui o consentimento do titular.
Sendo o Vale do Silício o berço de grandes empresas de tecnologia com atuação global, a CCPA 2.0 e suas diretrizes não deve(ria)m ser recebidas com grandes surpresas, tendo em vista as tendências globais e potenciais jornadas de adequação realizadas para o cumprimento às diversas legislações de proteção de dados pessoais que emergem pelo mundo, como a europeia e brasileira.
A novidade foi bem vista por aqueles que advogam pelos direitos à privacidade e à proteção de dados pessoais, bem como por parceiros comerciais destas empresas, especialmente considerando a invalidação do Privacy Shield em 2020.
À médio e longo prazo, espera-se que a nova lei e, consequentemente, os Fair Information Principles, reflitam e estejam imbuídos nas novas tecnologias desenvolvidas no polo de inovação mais famoso do mundo desde a sua concepção.
Fiquemos atentos aos novos capítulos envolvendo a proteção de dados pessoais na Califórnia, bem como à uma possível legislação nacional de proteção de dados pessoais nos EUA, que vem sendo discutida nos bastidores por profissionais e policy makers norte-americanos e que poderá surgir em um futuro próximo.
<hr />
O episódio 48 do podcast Sem Precedentes faz uma análise sobre a atuação do Supremo Tribunal Federal (STF) em 2020 e mostra o que esperar em 2021. Ouça:
https://youtu.be/-hMj5lwWXEE

laptop-240192_1280

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Entenda a nova 'LGPD' Californiana e as mudanças entre a CCPA e sua sucessora, a nova CPRA

CCPA 2.0: avanços da proteção de dados na Califórnia

Entenda a nova 'LGPD' Californiana e as mudanças entre a CCPA e sua sucessora, a nova CPRA