O GDPR passou a valer em 25 de maio de 2018 e alcançou empresas fora da Europa que ofereciam bens ou serviços a pessoas na União Europeia ou monitoravam seu comportamento, com multas de até 4% do faturamento global ou 20 milhões de euros.
O Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR, na sigla em inglês) entrou em vigor em 25 de maio de 2018, substituindo a diretiva europeia de 1995. Ele alcançou empresas brasileiras que ofereciam bens ou serviços a pessoas na União Europeia, pagos ou gratuitos, ou que monitoravam o comportamento dessas pessoas. Para software houses, plataformas e agências com clientes ou usuários europeus, 2018 foi o ano em que proteção de dados virou requisito comercial, meses antes de o Brasil sancionar a LGPD.
Quem precisava se preocupar com o GDPR?
Segundo análise publicada no Migalhas por advogados do escritório Barcellos Tucunduva, o regulamento se aplicava a entidades fora da UE que tratassem dados de pessoas localizadas na UE em duas situações: oferta de bens ou serviços a residentes do bloco ou monitoramento de comportamento dentro dele.
O mesmo texto fez uma ressalva importante: a simples possibilidade de acessar um site a partir da Europa não bastava para atrair a aplicação do GDPR. Indícios como o uso de idiomas europeus, a aceitação de pagamento em euros ou referências a clientes em países do bloco deveriam ser avaliados caso a caso.
Quais eram as principais exigências e riscos?
| Ponto | O que o GDPR previa, segundo a análise citada |
|---|---|
| Vigência | 25 de maio de 2018 |
| Alcance | Controladores e operadores, inclusive serviços de nuvem |
| Multas | Até 4% do faturamento anual mundial do grupo ou 20 milhões de euros, o que for maior |
| Representante | Empresas de fora da UE que tratam dados de cidadãos europeus devem manter representante no bloco |
| Transferência ao Brasil | Sem decisão de adequação, exigia salvaguardas como cláusulas contratuais padrão |
A menção a operadores era especialmente relevante para fornecedores de tecnologia. Uma empresa que apenas hospedava ou processava dados em nome de um cliente europeu também estava no escopo.
O jornal Monitor Mercantil, a menos de dez dias da vigência, descreveu ainda uma segunda faixa de multas, de até 2% do faturamento anual, para falhas como registros inadequados, ausência de notificação de violações ou falta de avaliações de impacto. A mesma reportagem lembrou que o regulamento dava aos cidadãos o direito de ser informados sobre o uso de seus dados, pedir portabilidade e solicitar a eliminação das informações.
Como ficava a transferência de dados para o Brasil?
Em 2018, o Brasil não tinha decisão de adequação da Comissão Europeia. Na prática, segundo o Migalhas, uma empresa brasileira com estabelecimento na UE só poderia enviar dados pessoais para o Brasil com salvaguardas, como cláusulas contratuais padrão, ou quando a transferência fosse necessária para a execução de um contrato ou por interesse público. Dentro de um mesmo grupo econômico, era possível usar normas corporativas vinculantes aprovadas pelas autoridades competentes.
A análise também lembrou que empresas que prestavam serviços de internet e coletavam dados no Brasil continuavam sujeitas ao Marco Civil da Internet (Lei 12.965/2014 e Decreto 8.771/2016). Os autores avaliaram que o GDPR concedia direitos mais amplos e era, em geral, compatível com o Marco Civil, de modo que aplicar os princípios europeus a toda a operação tendia a facilitar a conformidade com a lei brasileira.
O que mudou para fornecedores brasileiros na prática?
O GDPR antecipou discussões que a LGPD tornaria obrigatórias no Brasil a partir de agosto de 2018. Para quem exportava serviços digitais, alguns pontos passaram a entrar em negociações:
- identificar se o contrato envolvia dados de pessoas na União Europeia;
- definir se o fornecedor atuava como controlador ou operador;
- prever cláusulas contratuais padrão para transferências internacionais;
- documentar medidas de segurança aplicadas a sistemas e bases de dados;
- avaliar a necessidade de representante na União Europeia.
O que isso significa hoje?
O GDPR de 2018 serviu de referência para a LGPD e ainda é usado como parâmetro por empresas que atendem clientes em mais de um país. Ao contratar um fornecedor que vai tratar dados de clientes estrangeiros, vale perguntar se ele já trabalhou com cláusulas contratuais padrão e como documenta seus controles. Se a sua empresa busca apoio técnico nessa frente, a Citeo reúne empresas de cibersegurança para comparação. Este texto é informativo e não substitui orientação jurídica.
Fontes
- Migalhas: O novo Regulamento Geral de Proteção de Dados da UE e seus efeitos sobre entidades brasileiras (27/06/2018)
- Monitor Mercantil: Novo regime de proteção de dados europeu entra em vigor dia 25
- Teletime: Temer sanciona lei de proteção de dados pessoais, mas veta a agência reguladora (14/08/2018)
Compare nota, avaliações verificadas e score, e fale direto com a empresa pela Citeo.
Perguntas frequentes
Quando o GDPR entrou em vigor?
O GDPR entrou em vigor em 25 de maio de 2018 e substituiu a diretiva europeia de proteção de dados de 1995.
Uma empresa brasileira precisava cumprir o GDPR?
Precisava quando oferecia bens ou serviços a pessoas na União Europeia ou monitorava o comportamento delas. A mera acessibilidade de um site a partir da Europa não era suficiente para aplicar o regulamento.
Qual era a multa máxima do GDPR?
O regulamento previa multas de até 4% do faturamento anual mundial do grupo ou 20 milhões de euros, o que fosse maior. Controladores e operadores estavam sujeitos às regras.
Como transferir dados da Europa para o Brasil em 2018?
Como o Brasil não tinha decisão de adequação, era preciso usar salvaguardas, como cláusulas contratuais padrão, ou enquadrar a transferência em hipóteses como execução de contrato. Grupos econômicos podiam usar normas corporativas vinculantes aprovadas.