Pedro Dalese

O One-stop-shop é um mecanismo de caráter supranacional, criado pelo Regulamento nº 2016/679 (Regulamento Geral Europeu sobre a Proteção de Dados, o RGPD), que objetiva a resolução de litígios relacionados ao tratamento transfronteiriço de dados pessoais na União Europeia (UE).
Nas últimas décadas, a intensificação do processo de integração e evolução socioeconômica do mercado interno europeu resultou num aumento significativo dos fluxos transfronteiriços de dados pessoais (cross-border processing). A rápida evolução tecnológica e a globalização digital criaram desafios em matéria de proteção de dados pessoais que já vêm sendo trabalhados pelo direito comunitário europeu.
<a href="https://conteudo.jota.info/poder-contato" rel="attachment wp-att-291327"><img class="size-medium wp-image-291327 aligncenter" src="https://www.jota.info/wp-content/uploads/2020/11/jota-pro-poder-v2.jpg" alt="" width="300" height="300" /></a>A percepção de que as atividades de tratamento que atravessam fronteiras representam um alto risco à garantia das normas de privacidade e proteção de dados pessoais fez com que a UE repensasse seus métodos de resolução de litígios nessa seara.
Por consequência, intensificaram-se as discussões sobre a promoção de práticas colaborativas e de cooperação entre as Autoridades de Proteção dos Estados-membros que pudessem oferecer melhores respostas aos litígios relacionados ao fluxo internacional de dados pessoais.
Sob a égide da Diretiva 95/46/CE, que antecedeu o RGPD, existia uma rarefeita regulamentação acerca das atividades que envolviam o tratamento transfronteiriço de dados pessoais, ocasionando por vezes, uma tênue coordenação entre as medidas processuais de cooperação das Autoridades de Proteção de Dados e um cenário de insegurança jurídica que possibilitava múltiplas decisões administrativas sobre a mesma demanda.
Deste modo, é possível observar nas disposições introdutórias do RGPD que a Diretiva 95/46/CE não conseguiu evitar a fragmentação da aplicação do direito da proteção de dados pessoais entre os Estados-membros (Considerando nº 9); que o RGPD visa assegurar um coerente e elevado nível de proteção das pessoas naturais e eliminar os obstáculos relativos à circulação de dados pessoais (Considerando nº 10); bem como que as Autoridades de Proteção de Dados deverão contribuir para a aplicação do RGPD de forma coerente em toda a União (Considerando nº 123).
Neste sentido, destaca-se como uma das grandes inovações do RGPD, editado em 2016, em vigor desde o dia 25 de maio de 2018, o mecanismo denominado de One-stop-shop, o balcão único para a resolução de litígios relativos ao tratamento transfronteiriço de dados pessoais da UE (Considerandos nº 127 e 128).
O mecanismo diz respeito a um conjunto de regras inseridas, majoritariamente, no capítulo VII do RGPD, denominado de Cooperação e Coerência (art. 60 ao 76), que visam assegurar a efetiva e ordenada participação processual de todos os titulares e Autoridades de Proteção de Dados afetados por incidentes de segurança que digam respeito ao tratamento transfronteiriço de dados pessoais, viabilizando decisões uniformes sobre a matéria, bem como uma aplicação mais coerente e harmônica do RGPD em toda a UE.<a href="#_ftn1" name="_ftnref1">[1]</a>
No tocante ao âmbito de incidência do One-stop-shop, o mecanismo se aplica a agentes de tratamento com ao menos um estabelecimento dentro dos limites territoriais da UE,<a href="#_ftn2" name="_ftnref2">[2]</a> não sendo aplicável às atividades de tratamento desempenhadas pela Administração Pública, bem como às pessoas jurídicas de direito privado que estejam realizando serviços e atividades de interesse público (Considerando nº 128).
Por meio do One-stop-shop, fomenta-se um modelo de cooperação entre Autoridades de Proteção de Dados que objetiva a concretização de um espaço de liberdade, segurança, justiça e união econômica, em que a proteção dos dados pessoais é compreendida como um direito fundamental (Considerando nº 1 e 2).
Tomando por base a definição de tratamento transfronteiriço trazida pelo RGPD, o One-stop-shop é voltado à resolução de litígios que (i) envolvam atividades de tratamento desenvolvidas em mais de um Estado-membro; (ii) envolvam agentes de tratamento estabelecidos em mais de um Estado-membro ou (iii) envolvam atividades de tratamento suscetíveis de afetar, substancialmente, titulares localizados em mais de um Estado-membro (art. 4º, (23), "a" e "b").
<blockquote class="jota-article__eye">Nessas hipóteses, uma única Autoridade de Proteção de Dados, denominada como Autoridade Central, será responsável pela supervisão e coordenação dos atos do processo administrativo.</blockquote>
Neste sentido, nos termos do art. 56, (1), tem-se que a Autoridade de Proteção de Dados de um Estado-membro desempenhará as funções de Autoridade Central quando suas competências territoriais abrangerem o principal estabelecimento ou o único estabelecimento do agente de tratamento responsável pelo tratamento transfronteiriço.
Sendo assim, pode-se concluir que a determinação da Autoridade Central, e, o consequente estabelecimento do balcão único, está diretamente ligada à definição do principal estabelecimento (main establishment) do agente de tratamento.
Entende-se como principal estabelecimento o local em que se encontra a administração central do agente de tratamento, onde ocorre o maior volume das suas atividades de tratamento de dados pessoais e são tomadas as principais decisões quanto aos objetivos, condições e meios das atividades de tratamento (Considerando nº 36 e art. 4º, (16), "a" e "b").
De acordo com o RGPD, a atuação coordenada entre a Autoridade Central e as Autoridades Interessadas será desenvolvida por meio de ações de cooperação (art. 60), assistência mútua (art. 61) e operações conjuntas (art. 62), e, em determinadas hipóteses, estará sujeita ao controle de coerência por parte do Comitê Europeu de Proteção de Dados (CEPD) (art. 63).
Observa-se que, em sentido suplementar e no âmbito de suas competências, o CEPD também poderá emitir diretrizes e recomendações sobre os critérios de aplicação do One-stop-shop (Considerando nº 124).
No que tange às Autoridades Interessadas, entende-se como sendo as Autoridades de Proteção de Dados que, embora não reúnam as condições legais para exercer as funções de Autoridade Central, são afetadas pelo tratamento transfronteiriço de dados pessoais em razão: (i) de existir algum estabelecimento do agente de tratamento, por exemplo, sucursal ou filial, dentro de suas competências territoriais; (ii) de existirem titulares significativamente afetados ou suscetíveis de serem afetados pelas atividades de tratamento residindo no âmbito de suas competências territoriais; ou (iii) da verificação da existência de um registro de reclamação junto a sua administração (art. 4º, (22), "a", "b" e "c").
No One-stop-shop, as Autoridades Interessadas detêm relevante e intensa participação no desenvolvimento das investigações e auditorias relacionadas à resolução dos litígios. Dessa forma, é possível constatar que ambas as Autoridades, Central e Interessadas, podem fazer uso de atos de cooperação que objetivam a prolação de uma decisão administrativa apta a contemplar múltiplos interesses (art. 60, 1).
Vale lembrar, porém, que cabe à Autoridade Central, durante a governança do processo, exercer o protagonismo na tomada de decisões e na coordenação das atividades investigatórias (Considerando 124).
Sendo assim, a Autoridade Central pode, a qualquer momento, solicitar diligências às Autoridades Interessadas para a realização de ações de assistência mútua, bem como operações conjuntas de investigação ou fiscalização (art. 60, 2).
Os procedimentos de assistência mútua, no intuito de executar e aplicar o RGPD de forma coerente, objetivam o intercâmbio de informações e a adoção de medidas de cooperação entre Autoridades de Proteção de Dados (art. 61, 1).
Ressalte-se que os pedidos de assistência mútua devem conter informações relacionadas ao propósito e às razões da solicitação. Deste modo, a informação objeto do compartilhamento somente poderá ser utilizada para os fins no qual foi solicitada (art. 61, 3).
Mediante uma perspectiva de gestão processual colaborativa, os pedidos e requisições realizados entre as Autoridades Central e Interessadas devem ser respondidos sem demora injustificada (art. 61, 2).
De acordo com art. 62, 1, as operações conjuntas se desenvolvem por meio de atos cooperativos, dentre os quais se encontram as investigações e as medidas executivas. Com vistas à obtenção de resultados mais céleres, a Autoridade Central pode conferir poderes às Autoridades Interessadas, incluindo poderes de investigação (art. 62, 3).
Todavia, tais poderes serão exercidos mediante orientação e supervisão por parte da Autoridade Central. Destaca-se que, em situações de urgência, o não cumprimento de uma obrigação por parte de uma Autoridade, Central ou Interessada, poderá resultar em medidas cautelares e provisórias por parte das demais Autoridades, no âmbito de suas competências, atribuições e poderes (art. 62, 7).
A importância do mecanismo do One-stop-shop já pode ser notada. Com efeito, observa-se que, dentre as cinco maiores sanções administrativas pecuniárias aplicadas com base no RGPD,<a href="#_ftn3" name="_ftnref3">[3]</a> três dizem respeito a discussões sobre o tratamento transfronteiriço de dados pessoais.
Neste sentido, tem-se: (i) Commission Nationale de l'Informatique et des Libertés (CNIL) vs. Google LLC,<a href="#_ftn4" name="_ftnref4">[4]</a> sanção pecuniária de € 50.000.000,00 (cinquenta milhões de euros); (ii) Information Commissioner's Office (ICO) vs. British Airways plc,<a href="#_ftn5" name="_ftnref5">[5]</a>  sanção pecuniária de £ 20.000.000,00 (vinte milhões de libras esterlinas) e (iii) Information Commissioner's Office (ICO) vs. Marriott International Inc,<a href="#_ftn6" name="_ftnref6">[6]</a>  sanção pecuniária de £ 18.400.000,00 (dezoito milhões e quatrocentos mil libras esterlinas).
No Brasil, a Lei nº 13.709/18 (Lei Geral de Proteção de Dados Pessoais , a LGPD) não faz qualquer menção ao mecanismo do One-Stop-Shop. Por outro lado, é possível verificar a preocupação do legislador infraconstitucional com as atividades de cooperação jurídica transnacional. No capítulo V da LGPD, o art. 33, em seus incisos terceiro e sexto, traz como hipóteses autorizativas da transferência internacional de dados as situações em que a transferência seja necessária para a cooperação jurídica internacional entre órgãos públicos de inteligência, de investigação e de persecução, bem como quando as razões da transferência digam respeito à compromisso assumido em acordo de cooperação internacional.
No mesmo sentido, no capítulo IX da LGPD, que versa sobre as competências da Autoridade Nacional de Proteção de Dados (ANPD), percebe-se o incentivo à promoção de ações de cooperação da ANPD com Autoridades de Proteção de Dados Pessoais de outros países, de natureza internacional ou transnacional (art. 55-J, IX).
No âmbito do MERCOSUL, mesmo sendo possível suscitar questões relativas à supranacionalidade do bloco, verifica-se a existência de significativos instrumentos de cooperação jurídica internacional como o Protocolo de Medidas Cautelares, promulgado pelo Brasil por meio do Decreto n° 2.626/98 e o Protocolo de “Las Leñas”, promulgado pelo Brasil através do Decreto 6.891/09.
Ao lado de tais instrumentos, é de se ressaltar que dentre os países integrantes do MERCOSUL, sejam eles membros ou associados, somente o Suriname não possui uma lei de caráter geral ou legislações setoriais versando sobre privacidade e proteção de dados pessoais.
A complexidade contemporânea das atividades de tratamento de dados pessoais destinadas ao fornecimento de bens ou serviços suplanta a noção de que uma decisão justa, necessariamente, corresponde ao deslinde da questão no âmbito da competência e jurisdição da Autoridade de Proteção de Dados onde se domicilia o titular.
Portanto, quanto mais complexas e volumosas forem as atividades de tratamento, maiores serão as adversidades em caso de incidentes de segurança envolvendo o tratamento transfronteiriço de dados pessoais, exigindo-se um alto nível de cooperação entre as partes envolvidas na busca por uma justa decisão.
As novas tecnologias vêm causando intensas modificações na economia e na vida social, modificações essas que não se restringem aos limites territoriais e fronteiras dos Estados-nação.
O crescimento exponencial da economia digital tem permitido o surgimento de novos negócios baseados em complexas técnicas de reconhecimento de padrões para analisar grandes conjuntos de dados,<a href="#_ftn7" name="_ftnref7">[7]</a>  comumente referidas como Big Data, que segundo Frank Pasquale, “podem levar a lucros sem precedentes”.<a href="#_ftn8" name="_ftnref8">[8]</a>
Desse modo, no que tange ao tratamento transfronteiriço de dados pessoais, a implementação de um modelo de resolução de litígios que abarque adequados meios de cooperação e colaboração, muito mais que uma tendência do direito europeu, num mundo com acentuados níveis de globalização digital e trocas informacionais, parece ser um caminho inevitável para a efetiva proteção dos direitos relacionados à privacidade e à proteção de dados pessoais nos próximos anos.
<hr />
O episódio 48 do podcast Sem Precedentes faz uma análise sobre a atuação do Supremo Tribunal Federal (STF) em 2020 e mostra o que esperar em 2021. Ouça:
https://youtu.be/-hMj5lwWXEE
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> COMISSÃO EUROPEIA. O RGPD: novas oportunidades, novas obrigações. "O RGPD se aplica no Espaço Económico Europeu (EEE)". Disponível em: &lt;https://ec.europa.eu/info/sites/info/files/data-protection-factsheet-sme-obligations_pt.pdf&gt;. Acessado em: 18 de janeiro de 2020.
<a href="#_ftnref2" name="_ftn2">[2]</a> ARTICLE 29 DATA PROTECTION WORKING PARTY. Guidelines for identifying a controller or processor’s lead supervisory authority, 2016.
<a href="#_ftnref3" name="_ftn3">[3]</a> DATAPRIVACYMANAGER. 5 biggest GDPR fines so far [2020]. Disponível em: &lt;https://dataprivacymanager.net/5-biggest-gdpr-fines-so-far-2020/&gt;. Acessado em: 18 de janeiro de 2020.
<a href="#_ftnref4" name="_ftn4">[4]</a> Commission Nationale de l'Informatique et des Libertés (CNIL) vs. Google LLC. Disponível em: &lt;https://www.cnil.fr/sites/default/files/atoms/files/san-2019-001_21-01-2019.pdf&gt;. Acessado em: 08 de janeiro de 2021.
<a href="#_ftnref5" name="_ftn5">[5]</a> Information Commissioner's Office (ICO) vs. British Airways plc. Disponível em: &lt;https://ico.org.uk/media/action-weve-taken/mpns/2618421/ba-penalty-20201016.pdf&gt;. Acessado em: 08 de janeiro de 2021.
<a href="#_ftnref6" name="_ftn6">[6]</a> Information Commissioner's Office (ICO) vs. Marriott International Inc. Disponível em: &lt;https://ico.org.uk/media/action-weve-taken/mpns/2618524/marriott-international-inc-mpn-20201030.pdf&gt;. Acessado em: 08 de janeiro de 2021.
<a href="#_ftnref7" name="_ftn7">[7]</a> PASQUALE. Frank. The black box society: the secret algorithms that control money and information. Cambridge: Harvard University Press, 2015, p. 15.
<a href="#_ftnref8" name="_ftn8">[8]</a> PASQUALE. Frank. The black box society: the secret algorithms that control money and information. Cambridge: Harvard University Press, 2015, p. 10.

uniao europeia

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

O balcão único para a resolução de litígios relativos ao tratamento transfronteiriço de dados pessoais

'One-stop-shop': o novo sistema de resolução de litígios da União Europeia

O balcão único para a resolução de litígios relativos ao tratamento transfronteiriço de dados pessoais