Europa e EUA: um novo marco legal para transferência de dados
Na última semana, EUA e União Europeia finalmente fecharam um novo acordo para transferência de dados pessoais europeus para os EUA, essencial para as Big Techs e para a economia dos dias atuais. A batalha é antiga e não deve terminar em breve.
Se os EUA sempre estiveram na vanguarda da tecnologia e das Big Techs, a Europa sempre esteve na vanguarda regulatória. A primeira Lei de Proteção de Dados que se tem notícia data dos anos 70, em Hessen, na Alemanha. Mas foi em 1995, que a União Europeia publicou a primeira Diretiva sobre Tratamento de Dados e a partir desse momento, um novo paradigma nascia sobre o assunto.
Em 2000, durante a vigência da Diretiva, ao verificar-se o grande número de transferências de dados para os EUA e que estas ofereciam riscos, adotou-se o Safe Harbor Privacy Principles. O documento continha um conjunto de regras e princípios que deveriam ser observados para assegurar a proteção de dados pessoais por qualquer entidade norte-americana que pretendesse efetuar o tratamento de dados pessoais oriundos da União Europeia.
Em 2013, as revelações de Snowden e os sucessivos escândalos vinculados a Big Techs americanas determinaram uma guinada na posição da União Europeia em relação aos receios sobre o tratamento dos dados dos cidadãos europeus de forma indevida.
Assim, uma decisão judicial invalidou o a adoção do Safe Harbor Privacy Principles no ano de 2015 e, em 2016, a Europa adotou um novo marco, o Privacy Shield EU-USA.
Como o Privacy Shield EU-USA era mais robusto, as empresas foram forçadas a processar os dados pessoais de maneira mais consistente e eram totalmente responsabilizadas e obrigadas a tomar as medidas necessárias para manter os dados pessoais protegidos de qualquer acesso não autorizado.
No entanto, em 2020 a Justiça Europeia entendeu novamente que os mecanismos do Privacy Shield EU-USA eram insuficientes. Foi constatado, por exemplo, que os programas de vigilância dos EUA não se limitavam a coletar somente o que era necessário, e que os titulares dos dados não tinham recursos legais nos EUA em caso de reclamações.
Em 10 de julho de 2023, a Comissão Europeia anunciou um novo quadro regulatório. O documento traz novas salvaguardas concebidas para dar resposta às preocupações levantadas pela Justiça Europeia. Entre elas incluem-se limites no acesso a dados europeus por parte de serviços de inteligência dos Estados Unidos e a criação da DPRC (Data Protection Review Court).
Além disso, as empresas norte-americanas terão de seguir um vasto conjunto de obrigações, como assegurar a eliminação dos dados pessoais quando já não estão em uso para o propósito para o qual foram coletados e garantir a continuidade da proteção da informação quando ela for partilhada com terceiros. O funcionamento do novo quadro regulatório será revisado periodicamente pela Comissão Europeia em procedimento a ser realizado em conjunto com as autoridades de proteção de dados competentes dos países.
Transferência de Dados Internacionais: Brasil
Por aqui, a transferência internacional de dados ainda gera muitas dúvidas. É fato notório que ela ocorre o tempo todo e que grandes players do mercado possuem suas bases de dados fora do Brasil, mas a aplicação das regras e salvaguardas ainda depende de regulamentação pela Autoridade Nacional de Proteção de Dados (ANPD).
Em novembro de 2022, a ANPD publicou sua Agenda Regulatória para o biênio 2023-2024, dividida em quatro fases e por ordem de prioridade. Espera-se na fase 1 a evolução da regulamentação dos artigos 33, 34 e 35 da LGPD, que versam sobre o grau de proteção exigido aos países e organismos internacionais para serem considerados aptos a receber dados pessoais provenientes do Brasil.
Já que o Brasil ainda não possui suas diretrizes, vale a pena acompanhar as Decisões de Adequação da Comissão Europeia que, inclusive, possui uma lista de países reconhecidos como seguros.
