Jaqueline Simas de Oliveira

Luiza Mendonça da Silva Belo Santos

Nos últimos anos, as regulações de proteção de dados pessoais evoluíram ao redor do mundo com o objetivo de alcançar atores envolvidos no tratamento de tais informações independentemente de sua localização geográfica. Esse movimento respalda-se na popularização do uso da internet e na consequente intensificação dos fluxos de dados transfronteiriços.
Países que possuem tradição de zelar por direitos individuais como os direitos à intimidade e à privacidade ampliaram o escopo de aplicação territorial das suas normas de proteção de dados e previram a necessidade de adoção de mecanismos adicionais de salvaguarda por exportadores e importadores de dados no contexto de transferências internacionais de dados pessoais. O corolário dessa sistemática é que a proteção atribuída aos dados pessoais e a seus titulares deve acompanhá-los onde quer que seja.
<a href="https://www.jota.info/produtos/poder?utm_source=Banner%20site&amp;utm_medium=Artigos&amp;utm_campaign=CTA_Poder_materias"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>O Regulamento Geral sobre a Proteção de Dados (Regulamento (UE) 2016/679, RGPD ou Regulamento) adotado pela União Europeia é a principal referência nesse sentido.<a href="#_edn1" name="_ednref1">[1]</a>
O Artigo 3(2) do RGPD estabelece as hipóteses em que o Regulamento se aplicará de forma direta às entidades que tratam dados pessoais de indivíduos que residam na União Europeia, ainda que tais entidades estejam estabelecidas fora do espaço comunitário. A título exemplificativo, o RGPD se aplicará a qualquer entidade estrangeira que, no âmbito da prestação de serviços ou oferta de produtos a indivíduos localizados na União Europeia, trate seus dados pessoais.
O Capítulo V do RGPD, por sua vez, especifica as ocasiões em que agentes de tratamento<a href="#_edn2" name="_ednref2">[2]</a> sujeitos ao Regulamento (“exportadores”) deverão adotar mecanismos de salvaguarda para transferir dados pessoais internacionalmente, com o objetivo de que os receptores das informações (“importadores”) confiram nível de proteção adequado ao RGPD ao tratá-las em seu país. Mecanismos de salvaguarda podem ser, por exemplo, cláusulas-padrão contratuais e normas corporativas globais.
Ocorre que desde que o RGPD foi adotado na União Europeia, a comunidade jurídica passou a se questionar sobre a possível ambivalência do Artigo 3(2) e do Capítulo V do Regulamento. A discussão centrou-se na suposta desnecessidade de aplicação do Capítulo V ao importador estrangeiro que recebe dados pessoais de um exportador da União Europeia se, no caso concreto, o RGPD já se aplicar diretamente ao importador em razão do Artigo 3(2).
Afinal, se uma entidade estrangeira já deve atender diretamente as regras estabelecidas pelo Regulamento, qual seria a necessidade prática de adotar um instrumento de salvaguarda que a obrigue a conferir proteção adequada aos dados que receber? A entidade já estaria obrigada a tanto em função da aplicação extraterritorial do RGPD.
A mesma discussão é válida e necessária para o Brasil, uma vez que a Lei Geral de Proteção de Dados Pessoais (<a href="http://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm">Lei 13.709/18</a> ou LGPD) é baseada em lógica bastante similar (o que pode ser observado a partir da análise dos seus Artigos 3º e 33) e é esperado que a Autoridade Nacional de Proteção de Dados (ANPD) regule o assunto no futuro próximo.
Na União Europeia, os debates sobre o tema perduraram por muito tempo. Havia uma expectativa de que o European Data Protection Board (EDPB) se debruçasse sobre o assunto em suas recomendações sobre o escopo territorial do RGPD, adotadas em 12 de novembro de 2019 (<a href="https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_3_2018_territorial_scope_after_public_consultation_en_1.pdf">Guidelines 3/2018 on the territorial scope of the GDPR (Article3</a>). A publicação da versão final dessas recomendações foi precedida de uma consulta pública lançada um ano antes – em novembro de 2018 – e boa parte das contribuições sugeria ao EDPB que examinasse a interação entre o Artigo 3º do RGPD e seu Capítulo V.
Embora a inclusão da análise tenha sido considerada, as autoridades de proteção de dados pessoais da União Europeia não conseguiram chegar a um consenso final sobre o tema em tempo de publicá-lo nas referidas recomendações,<a href="#_edn3" name="_ednref3">[3]</a> o que levou o EDPB a indicar no texto final que trataria do assunto em momento posterior.
Passados mais de dois anos, o EDPB publicou em 19 de novembro de 2021 suas orientações sobre o assunto (<a href="https://edpb.europa.eu/sites/default/files/files/file1/edpb_guidelines_3_2018_territorial_scope_after_public_consultation_en_1.pdf">Guidelines 05/2021 on the Interplay between the application of Article 3 and the provisions on international transfers as per Chapter V of the GDPR</a>). Embora a versão atual das recomendações esteja sob consulta pública até 31 de janeiro de 2022, alguns elementos e conclusões trazidos pelo EDPB merecem destaque desde logo.
As recomendações partem da premissa de que o entendimento sobre as hipóteses de aplicação extraterritorial do RGPD à luz do Artigo 3(2) está superado e que, portanto, a principal questão seria identificar em que medida uma transferência internacional de dados é caracterizada para atrair a aplicação do Capítulo V, já que o Regulamento não define o referido conceito.
Nesse sentido, o European Data Protection Board identificou três critérios cumulativos que qualificariam o tratamento de dados pessoais como uma transferência internacional, os quais podem servir de parâmetro para futura regulamentação da ANPD sobre o tema no Brasil.
O primeiro deles diz respeito a quando um controlador ou operador de dados está sujeito à aplicação direta do RGPD diante de uma operação de tratamento. Assim, tal critério exige que a atividade de tratamento esteja no escopo territorial previsto no Artigo 3 do RGPD, que, como já mencionado, inclui não apenas os agentes de tratamento que possuem um estabelecimento na União Europeia.
O segundo critério se verifica quando o exportador, sujeito ao RGPD, compartilha dados pessoais com o importador que está situado fora da União Europeia por meio de uma transmissão. É necessário, portanto, que os dados sejam remetidos de um agente de tratamento para outro. Assim, a coleta direta de dados de indivíduos localizados no espaço comunitário por uma entidade estrangeira, não caracterizaria uma transferência internacional.
Em termos práticos, o EDPB apresenta o exemplo de uma empresa estabelecida na Áustria, enquanto controladora, que fornece dados pessoais de seus colaboradores ou clientes para que uma outra empresa localizada no Chile possa tratá-los em seu nome, na qualidade de operador. Nessa situação, o compartilhamento dos dados será considerado uma transferência internacional.
O EDPB ainda destaca que a transferência internacional pode ser realizada não apenas por um controlador, mas também por um operador. É o caso de quando o operador estabelecido na União Europeia retransmite dados pessoais tratados em nome de um controlador localizado em um país terceiro. Mesmo que os dados pessoais tratados pelo operador sejam relativos a indivíduos não residentes da União, os requisitos para uma transferência internacional devem ser observados.
Se, por um lado, essa hipótese tem o condão de proporcionar uma proteção para os dados pessoais em todo o ciclo de tratamento, por outro, poderá levantar discussões a respeito da perda de oportunidade de negócios. Isso porque, ao contratar um operador estabelecido na União Europeia, o controlador situado em um país terceiro poderá estar sujeito à responsabilização e às sanções previstas no RGPD. Assim, ao avaliar os potenciais riscos envolvidos em uma contratação como essa, as empresas poderão optar por não dar continuidade ao negócio.
Ainda, o European Data Protection Board esclarece que o segundo critério será afastado caso os dados se tornem disponíveis ao destinatário diretamente ou por iniciativa própria do titular. Por exemplo, ao preencher um formulário com dados pessoais para a conclusão de uma compra em site operado por empresa estabelecida em Singapura, um indivíduo residente na União Europeia estaria fornecendo seus dados diretamente ao destinatário, sem qualquer transmissão entre diferentes controladores e operadores.
Da mesma forma, outro exemplo pertinente em tempos de trabalho remoto diante da pandemia do Covid-19 ocorre quando um colaborador de empresa com sede na União Europeia viaja para um país terceiro e, durante a sua estadia, acessa remotamente dados pessoais do banco de dados da empresa para finalizar um trabalho. Tal acesso não representa uma transferência internacional, na medida em que o colaborador atua como parte integrante da empresa controladora dos dados e não como um agente de tratamento independente.
Nesse particular, a ANPD já determinou que não são considerados controladores ou operadores os indivíduos subordinados, tais como funcionários ou equipes de trabalho, uma vez que atuam sob o poder diretivo da organização. Assim, pode-se esperar que o entendimento proposto pelo EDPB também seja adotado no Brasil.
O terceiro e último critério requer que o importador dos dados esteja localizado em um país terceiro ou organização internacional, independentemente de o tratamento estar no âmbito de aplicação direta do RGPD. É o caso de um controlador estabelecido na Índia que oferece de forma online bens para o mercado comunitário e que contrata um operador localizado na França, o qual lhe retransmite os dados pessoais tratados em seu nome. Ao ofertar seus produtos para indivíduos na União Europeia, o controlador está sujeito ao RGPD. Já o operador se encontra no âmbito de aplicação do RGPD por ter um estabelecimento na UE. Apesar de ambos serem alcançados pelo escopo territorial do RGPD, a transmissão dos dados é considerada uma transferência internacional pois o importador está localizado em um país terceiro.
Portanto, de acordo com os três critérios acima examinados, uma transferência internacional implica que os dados pessoais sejam transmitidos por um controlador ou operador (exportador), sujeito ao RGPD, para um outro agente de tratamento (importador) localizado em um país terceiro, independentemente deste importador estar no âmbito de aplicação do Regulamento.
A partir do primeiro e do terceiro critérios, o EDPD reconhece expressamente a possibilidade de aplicação concorrente do Artigo 3(2) e do Capítulo V do RGPD, o principal ponto de dúvida na interpretação do Regulamento sobre o assunto até então. O próprio EDPB parece reconhecer os desafios que decorrerão da aplicação prática dessa conclusão, ao mencionar que os mecanismos internacionais de salvaguarda previstos pelo Capítulo V deverão ser ajustados para terem sentido quando o RGPD já se aplicar diretamente à transferência, em função do Artigo 3(2).
Não obstante os desafios, essa interpretação parece ter o potencial de aumentar a eficácia do RGPD em relação às entidades que, mesmo sujeitas diretamente ao Regulamento, tenham tendência a não cumprir integralmente suas obrigações (por exemplo, empresas de menor porte que não tenham presença física no espaço comunitário e para as quais a União Europeia não represente um mercado relevante). Ao concordarem em adotar um mecanismo adicional de salvaguarda para receber os dados pessoais no âmbito de uma transferência internacional, o risco de não cumprimento das obrigações assumidas no mecanismo aplicável passa a representar a tais entidades a possibilidade de inadimplemento contratual em relação ao exportador e de perda de negócios no mercado.
Ainda que sujeitas à alteração após a consulta pública em curso e que criem novos desafios práticos, as recomendações do EDPB incentivam formalmente um debate necessário para aumentar a segurança jurídica dos fluxos internacionais de dados pessoais, propondo caminhos possíveis a serem explorados de acordo com as particularidades de cada um desses fluxos. Por exemplo, não era prática rara no mercado a adoção de mecanismos adicionais de salvaguarda à luz do RGPD mesmo com a ausência de uma “transmissão”, conforme definição proposta pelo segundo critério das recomendações.
As recomendações vêm em boa hora para enriquecer os debates no Brasil, já que a <a href="https://www.in.gov.br/en/web/dou/-/portaria-n-11-de-27-de-janeiro-de-2021-301143313">Agenda regulatória da ANPD para o biênio de 2021-2022</a> prevê a regulamentação das transferências internacionais de dados pessoais no primeiro semestre de 2022. A ANPD precisará examinar o tema em discussão e, ressalvadas as particularidades e interesses nacionais, o posicionamento do EDPB tende a contribuir para a interpretação da Autoridade, sobretudo diante das semelhanças entre o RGPD e a LGPD.
<hr />
<a href="#_ednref1" name="_edn1">[1]</a>A Diretiva 95/46/CE relativa à proteção de dados pessoais, que antecedeu o RGPD, já regulava determinados aspectos relativos à internacionalização dos fluxos de dados pessoais e possuía algumas hipóteses de aplicação extraterritorial. No entanto, o tema foi aprofundado e ampliado com a adoção do RGPD.
<a href="#_ednref2" name="_edn2">[2]</a>O RGPD estabelece que o tratamento de dados pessoais pode ser realizado por duas categorias de agentes de tratamento de dados, que são sujeitas a diferentes responsabilidades e obrigações: o controlador (“controller”) e o operador (“processor”). Ao controlador compete determinar as finalidades e meios do tratamento. Já o operador é o agente responsável por realizar o tratamento dos dados em nome do controlador e de acordo com a finalidade por ele determinada. Tais classificações estão previstas de forma muito semelhante na LGPD e foram recentemente objeto de análise pela ANPD no <a href="https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/2021.05.27GuiaAgentesdeTratamento_Final.pdf">Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais</a> e do Encarregado,  publicado em maio de 2021.
<a href="#_ednref3" name="_edn3">[3]</a>Jaqueline Simas de Oliveira, uma das autoras do presente artigo, trabalhou na Autoridade Francesa de Proteção de Dados (“CNIL”) em 2019 e participou da análise das contribuições feitas na consulta pública e dos debates internos na CNIL – uma das autoridades responsáveis pelas recomendações no EDPB sobre o escopo territorial do RGPD - sobre o tema.

proteção de dados; dados

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Trabalho europeu pode servir de parâmetro para futura regulamentação da ANPD sobre o tema

Lições recentes do European Data Protection Board para o Brasil

Trabalho do European Data Protection Board pode servir de parâmetro para futura regulamentação da ANPD sobre o tema no Brasil