Após dois anos de vacatio legis, entrou em vigor, em 25 de maio, o Regulamento Geral de Proteção de Dados – GDPR, regulamento aplicável a todos os estados membros da União Europeia em que são definidas regras para a coleta e tratamento de dados pessoais. Ressalte-se que o regulamento possui extraterritorialidade, vinculando qualquer empresa que ofereça bens ou serviços relacionados à coleta de dados.
Ao passo em que são definidas regras claras, a GDPR trouxe forte poder sancionatório às normas. Em caso de descumprimento, as sanções podem chegar até 20 milhões de euros ou 4% do valor global da empresa. Também vai além na fiscalização, ao trazer autoridades públicas (Data Protection Authorities) para supervisionar a aplicação da norma em cada estado da União Europeia, e uma figura menor, atuando dentro de cada organização, o Data Protection Officer, que atua no compliance da empresa, bem como avaliando possíveis impactos aos titulares de dados.
Os usuários também são peça chave na aplicação da norma, necessitando de sua autorização prévia para a coleta e tratamento de dados pessoais, assim, o consentimento é inequívoco e deve envolver postura assertiva.
O direito ao esquecimento, por sua vez, que pode ser definido sobre o direito de não ser lembrado contra sua vontade, teve seu conceito ampliado ao direito de apagar (right to erasure), de forma que as empresas são obrigadas a deletar registros de informações pessoais em caso de simples solicitação, sem a necessidade de determinação judicial. Faz-se a ressalva de que tais dados podem ser mantidos para propósitos históricos, estatísticos, científicos, visando resguardar a saúde pública ou para exercer a liberdade de expressão.
Dentro das mesmas exceções, a norma traz uma categoria especial de dados, são os dados sensíveis, cujo processamento é proibido, de forma a resguardar a liberdade do pensamento do indivíduo. Nessa linha, são proibidos os tratamentos de dados sobre origem étnica, opinião política, crenças religiosas, vida sexual e orientação sexual, bem como dados genéticos e biométricos.
Em corolário ao princípio da transparência, há a obrigação das empresas avisarem aos clientes quando os serviços forem comprometidos por hackers e houver exposição de dados pessoais. A informação deve ocorrer dentro do prazo de 72 horas.
Assim, enquanto as empresas correm para estar em conformidade com essas e demais disposições da GDPR, adaptando suas condutas e procedimentos, o Brasil, um dos últimos países da América do Sul a não ter uma lei de proteção de dados, deu importante passo com a recente aprovação do projeto de lei 4060.2012, aprovado pela Câmara dos deputados também no final de maio.
O projeto repete importantes definições já trazidas pela GDPR, não podendo ser diferente, pois, uma lei menos protetiva ou contraditória, dificultaria a relação entre os países. Assim, o pl trouxe o consentimento ou a autorização prévia do usuário no tratamento de dados, a responsabilidade pela perda ou o acesso não autorizado, do consentimento dos pais com relação aos dados das crianças e a possibilidade de compartilhamento de dados (portabilidade dos dados).
