Luciano Padua

Entra em vigor nesta sexta-feira (25/5) o Regulamento Geral sobre Proteção de Dados (GDPR, em inglês) da União Europeia, a principal mudança na regulação de privacidade e dados pessoais na esfera global.
O GDPR passa a valer para todos os dados de cidadãos europeus, manuseados dentro ou fora da União Europeia. Por isso, gigantes da economia digital, como Google, Facebook e Amazon, mobilizaram milhares de pessoas para se adaptarem ao regulamento.
<ul class="jota-article__internal-links">
<li> +JOTA:<a href="https://www.jota.info/pro/degustacao-poder"> Entenda o cenário institucional com o JOTA Poder. Seguimos de perto tribunais superiores, agências reguladoras, Congresso, Poder Executivo e legislativos estaduais e municipais para reportar informações públicas de impacto. Experimente o JOTA Poder!</a></li>
</ul>
De forma geral, o novo regulamento modifica a interação de cidadãos e empresas com a coleta, armazenamento e compartilhamento de dados pessoais. Sua essência é dar mais poder aos usuários e transparência nas operações realizadas pelas companhias. Além disso, o GDPR muda a lógica da regulação do consentimento individual de cada usuário para uma concepção coletiva da privacidade.
No Brasil, a discussão sobre uma <a href="https://www.jota.info/legislativo/lei-de-dados-pessoais-07052018">lei geral de dados pessoas avança no Congresso</a>. Há dois projetos que tramitam concomitantemente na Câmara, relatado pelo deputado Orlando Silva (PCdoB-SP), e no Senado, relatado pelo senador Ricardo Ferraço (PSDB-ES). <a href="https://www.jota.info/legislativo/parecer-lei-dados-pessoais-21052018">Advogados criticaram o texto elaborado preliminarmente por Ferraço</a> e, agora, o senador deve entregar um novo parecer sobre o projeto nos próximos dias.
<ul class="jota-article__internal-links">
<li>+JOTA: <a href="https://www.jota.info/opiniao-e-analise/artigos/gdpr-dados-pessoais-europa-25052018">A nova legislação de proteção de dados pessoais da Europa</a></li>
</ul>
Para entender um pouco mais das mudanças para empresas brasileiras e o cenário global de regulação da coleta e tratamento de dados pessoais por empresas, o JOTA conversou com a advogada portuguesa Piedade da Costa Oliveira, do Serviço Jurídico da Comissão Europeia.
Quanto à falta de uma legislação abrangente e específica para assunto no brasil, Piedade lembra que na ausência de uma lei geral no Brasil considerada equivalente à norma europeia, uma transferência de dados pessoais para o Brasil só pode ser efetuada se for garantido um nível de proteção adequado, por exemplo, com cláusulas contratuais.
<ul class="jota-article__internal-links">
<li>+JOTA: <a href="https://www.jota.info/coberturas-especiais/liberdade-de-expressao/sorria-dados-compartilhados-29032018">Sorria? Seus dados estão sendo compartilhados</a></li>
</ul>
"No entanto, convém recordar que cláusulas contratuais podem dificilmente garantir a proteção nos casos em que uma lei nacional não contém ela mesma garantias suficientes, nomeadamente, o direito de recurso da pessoa a quem os dados pertencem", diz Piedade.
Confira abaixo a entrevista concedida por Piedade sobre os principais pontos do GDPR:
Como o novo regulamento europeu muda o paradigma legal sobre a proteção de dados de cidadãos europeus? 
O Regulamento Geral sobre Proteção de Dados Pessoais (GDPR) continua a seguir a abordagem da atual Diretiva Proteção de Dados (95/46/CE) mas, baseando-se nos mais de 20 anos de legislação e jurisprudência da UE na matéria.  Ele clarifica e moderniza as regras relativas à proteção de dados e introduz diversos elementos novos que visam reforçar a proteção dos direitos individuais e criar oportunidades para as empresas.
Destacam-se os seguintes elementos novos:
<ol>
<li>1) Reforço dos direitos individuais, mediante: 
• a introdução de novos requisitos de transparência (reforço dos direitos de informação, acesso, apagamento («direito a ser esquecido»); o silêncio e a inatividade deixam de ser considerados consentimentos válidos, sendo necessária uma ação afirmativa clara para manifestar o consentimento).</li>
</ol>
• a criação de um novo direito de portabilidade dos dados que permite aos cidadãos solicitar a uma empresa ou a uma organização que devolva os dados pessoais que o cidadão forneceu a essa empresa ou organização com base em consentimento ou contrato; permite igualmente que esses dados pessoais sejam transmitidos diretamente a outra empresa ou organização, quando tal for tecnicamente possível.
• reforço da proteção contra violações de dados, nomeadamente: um conjunto de regras abrangente sobre violações de dados pessoais; obrigação de notificação à autoridade de controlo, o mais tardar no prazo de 72 horas, quando a violação de dados for suscetível de implicar um risco para os direitos e liberdades individuais. Em determinadas circunstâncias, obriga a que se informe o titular dos dados acerca da violação. Este aspeto reforça muitíssimo a proteção, em comparação com o que acontece atualmente na UE.
2) Mudança de paradigma para as empresas (responsáveis pelo tratamento e subcontratantes): 
• o regulamento introduz mais flexibilidade para os responsáveis pelo tratamento e subcontratantes que tratam dados pessoais devido a disposições inequívocas sobre responsabilidade. Afasta-se do sistema atual de notificação de tratamentos de dados e passa a assentar no princípio da responsabilidade (comply and demonstrate). O princípo da responsabilidade é aplicado através de obrigações que podem ser ajustadas em função do risco (p.ex., a presença de um encarregado da proteção de dados ou a obrigação de realizar avaliações de impacto sobre a proteção de dados).
• é necessário realizar avaliação de impacto existe quando o tratamento é suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares. O regulamento menciona especificamente três situações: i) quando uma empresa avalia de forma sistemática e completa aspetos pessoais relacionados com pessoas singulares (incluindo definição de perfis), ii) quando trata dados sensíveis em larga escala ou iii) quando controla sistematicamente zonas acessíveis ao público em grande escala.
• as empresas podem ser sancionadas no caso de não respeitarem as suas obrigações. As coimas podem chegar aos 20 milhões de euros ou a 4 % do volume de negócios anual a nível mundial.
3) O regulamento reforça os mecanismos de cooperação entre as autoridades nacionais de proteção de dados, inclusivamente no que diz respeito à aplicação de coimas [multas].
Qual o impacto dessa mudança que entrará em vigor em maio na Europa para o mundo? 
O regulamento estabelece condições de concorrência equitativas para todas as empresas que operam no mercado da UE. Para isso exige que as empresas sediadas fora da UE apliquem as mesmas regras que as empresas sediadas na UE, caso ofereçam bens e serviços relacionados com dados pessoais ou monitoram o comportamento dos indivíduos na União. As empresas que operam a partir de países fora da UE e estão ativas no mercado único devem, em determinadas circunstâncias, nomear um representante na UE a quem os cidadãos e as autoridades se possam dirigir em complemento ou em substituição da empresa com sede no estrangeiro.
Relativamente às transferências internacionais, a proteção dos dados pessoais acompanha os dados fora da UE assegurando um elevado nível de proteção. Embora a arquitetura das regras sobre transferências internacionais no regulamento permaneça essencialmente a mesma da diretiva de 1995, o regulamento clarifica e simplifica a sua utilização e introduz novos instrumentos para transferências.
No que toca às decisões de adequação, o regulamento introduz um catálogo exato e pormenorizado dos elementos que a Comissão deve ter em conta quando avalia se um sistema estrangeiro protege adequadamente os dados pessoais. O regulamento também formaliza e alarga o número de instrumentos de transferência alternativos, tais como cláusulas contratuais normalizadas e regras vinculativas aplicáveis às empresas.
Muitos alegam que o GDPR poderia inibir a inovação. Como a União Europeia pensou neste regulamento de modo a permitir a segurança jurídica dos negócios? 
A segurança jurídica dos negócios encontra-se garantida através de regras claras sobre as os direitos e obrigações estipulados no regulamento. Quanto à inovação, esta apode ser incentivada especialmente através do exercício do novo direito de portabilidade dos dados e através do princípio de privacy by design &amp; by default, isto é, aplicar os princípios da proteção de dados desde a concepção, criando incentivos para soluções inovadoras que deem resposta a questões sobre a proteção de dados logo desde o início.
As empresas europeias estão preparadas para estar em conformidade com as regras do GDPR? 
O Regulamento foi adotado em 27 de abril de 2016 mas só será aplicável a partir de 25 de maio de 2018. Este prazo foi especialmente pensado para proporcionar às empresas um tempo de adaptação suficiente. Tanto a Comissão como as autoridades nacionais têm vindo a desenvolver esforços no sentido de ajudar as empresas a preparar-se (veja as recentes <a href="http://eur-lex.europa.eu/legal-content/PT/TXT/HTML/?uri=CELEX%3A52018DC0043&amp;qid=1517578296944&amp;from=EN">Orientações da Comissão</a>).
No Brasil, não temos uma lei geral sobre dados pessoais. Como isso pode refletir nos cidadãos e nos negócios brasileiros na troca de informações com empresas europeias? 
Se empresas sediadas no Brasil oferecem bens ou serviços na União Europeia ou monitoram o comportamento de cidadãos na Europa, em princípio devem respeitar o Regulamento. Relativamente às empresas que poderiam eventualmente recorrer a empresas brasileiras enquanto subcontratantes, só o poderão fazer se isso não diminuir a proteção garantida pelo regulamento.
A União Europeia exige que dados sejam transacionados com países com leis de proteção de dados similares às suas. A falta de uma lei de dados pessoais pode prejudicar a troca de informações do Brasil com empresas europeias ou com dados de cidadãos europeus? 
Na ausência de uma lei geral no Brasil considerada equivalente à norma europeia, uma transferência de dados pessoais para o Brasil só pode ser efetuada se for garantido um nível de proteção adequado, por exemplo, mediante cláusulas contratuais.
No entanto, convém recordar que cláusulas contratuais podem dificilmente garantir a proteção nos casos em que uma lei nacional exige não contém ela mesma garantias suficientes, nomeadamente, o direito de recurso da pessoa a quem os dados pertencem.
Isso pode efetivamente dificultar a troca de dados entre empresas europeias e brasileiras. A vantagem da constatação de um nível adequado de proteção num país terceiro é que as empresas desse país podem tratar dados pessoais de cidadãos da União Europeia, nesse país, como se estivessem na Europa.

Piedade1

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Advogada da Comissão Europeia analisou regulamento de dados que entra em vigor nesta sexta-feira na Europa

&#8216;Empresas brasileiras com serviços na UE devem respeitar o GDPR&#8217;, diz advogada

'Empresas brasileiras com serviços na UE devem respeitar o GDPR', diz advogada

A Regulação Geral de Dados Pessoais (GDPR) entra em vigor nesta sexta-feira. Para destrinchar a nova regulação, o JOTA conversou com a advogada portuguesa Piedade da Costa Oliveira, membro do Serviço Jurídico da Comissão Europeia