O Regulamento Geral sobre a Proteção de Dados (UE 2016/679) entrou em vigor em 25 de maio de 2018, adicionando novos elementos e melhorias significativas ao regime de proteção de dados existente.
A Lei de Proteção de Dados (DPA) de 2018, que entrou em vigor em 23 de maio de 2018, implementou o GDPR, além de adicionar disposições para que a legislação do Reino Unido estendesse o GDPR a áreas como os serviços de segurança e órgãos governamentais, que não eram abrangidas apenas pelo GDPR.
Após o Brexit (após o término do período de transição do Brexit, a partir de 1º de janeiro de 2021), o GDPR do Reino Unido é a versão retida do Regulamento da UE em virtude da seção 3 da Ação de Retirada da União Europeia de 2018 e conforme alterada pelo Regulamento de Proteção de Dados, Privacidade e Comunicações Eletrônicas (Emenda etc.) (Saída da UE) de 2020.
O Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido protege os direitos dos cidadãos britânicos em relação aos seus dados, enquanto o RGPD da UE protege os direitos dos cidadãos da UE. Para organizações que lidam com dados de cidadãos tanto do Reino Unido quanto da UE, ambos os RGPDs se aplicam.
Os princípios e requisitos do RGPD da UE continuam a aplicar-se no Reino Unido na sua versão pós-Brexit, e aqui analisamos as principais áreas de aplicação e algumas definições.
Controladores e processadores
O RGPD aplica-se tanto aos controladores como aos processadores de dados. Os controladores definem como e por que os dados pessoais são tratados. O processador atua em nome do controlador para tratar os dados. A sua organização pode ser um processador de dados, um controlador de dados ou ambos.
Existem obrigações legais específicas tanto para os controladores quanto para os processadores:
- Os controladores devem assegurar especificamente que os contratos com os processadores estejam em conformidade com o RGPD; e
- Os controladores e os processadores têm requisitos distintos, porém explícitos, para manter registros de dados pessoais e atividades de processamento.
- Os processadores também são legalmente responsáveis e sujeitos a sanções por quaisquer violações de segurança.
Consulte nossa ficha informativa relacionada, "Segurança de Dados – Regulamento Geral de Proteção de Dados – Garantindo a Conformidade", para obter informações mais detalhadas sobre os requisitos de documentação.
Princípios de proteção de dados
Os dados pessoais serão:
- processado de forma lícita, justa e transparente
- coletados para fins específicos, explícitos e legítimos
- adequado, pertinente e limitado ao necessário para a finalidade
- Os dados devem ser precisos e mantidos atualizados. Dados imprecisos devem ser apagados ou corrigidos.
- mantido em formato identificável por um período não superior ao necessário.
- processados de forma segura e protegidos contra processamento não autorizado ou ilegal, perda acidental, destruição ou dano.
Direitos do RGPD para indivíduos
O direito de ser informado
Os indivíduos têm o direito de saber como seus dados pessoais serão tratados. O RGPD promove a transparência no tratamento de dados por meio de um aviso de privacidade que abrange (entre outras coisas) detalhes sobre o controlador, a origem dos dados, os destinatários dos dados, as transferências de dados realizadas fora da UE e o período de retenção dos dados.
O direito de acesso (pedido de acesso do titular dos dados)
Os indivíduos têm o direito de obter confirmação de que seus dados estão sendo processados, acesso aos seus dados pessoais e outras informações, como as fornecidas em um aviso de privacidade.
O prazo máximo permitido para processar um pedido de acesso a dados pessoais é de 30 dias, e o direito de cobrar uma taxa de acesso a dados pessoais foi abolido, a menos que o pedido seja infundado, excessivo ou repetitivo.
O direito à retificação
Os indivíduos têm o direito de retificar dados pessoais imprecisos ou incompletos. Isso inclui também dados pessoais compartilhados ou cedidos a terceiros.
O direito ao apagamento
Os indivíduos têm o direito de solicitar a eliminação ou remoção de dados pessoais quando não houver motivo imperioso para o seu processamento contínuo. Isso também se aplica a dados pessoais compartilhados ou cedidos a terceiros.
É importante observar que existem requisitos adicionais quando o pedido se refere a uma criança.
Existem algumas exceções ao direito ao apagamento, como nos casos em que os dados são mantidos para cumprir uma obrigação legal.
O direito de restringir o processamento
Os indivíduos têm o direito de restringir o processamento de seus dados pessoais. Nessas circunstâncias, os dados pessoais podem ser armazenados, mas não processados.
O direito à portabilidade de dados
Os indivíduos têm o direito de obter e reutilizar seus dados pessoais em diferentes serviços. Isso lhes permite mover, copiar ou transferir dados pessoais. Os dados pessoais devem ser fornecidos em um formato estruturado e legível por máquina (como .csv).
O direito de objeção
Os indivíduos têm o direito de se opor ao processamento de dados pessoais. O processamento deve ser interrompido imediatamente, a menos que existam motivos legítimos e imperiosos para o processamento, ou se o processamento for necessário para o estabelecimento, exercício ou defesa de direitos em processo judicial.
Direitos relativos à tomada de decisões automatizadas e à criação de perfis
Os indivíduos têm o direito de garantir que existam salvaguardas para se protegerem contra o risco de decisões prejudiciais serem tomadas sem intervenção humana. Isso também se estende à proteção de dados pessoais utilizados para fins de criação de perfis.
Responsabilidade e governança
O princípio da responsabilização exige que existam medidas de governança adequadas para documentar a conformidade. Portanto, as organizações precisam:
- Implementar medidas que atendam aos princípios da proteção de dados.
- Documentar políticas e procedimentos relativos ao armazenamento e processamento de dados pessoais.
- Implementar medidas técnicas e organizacionais para garantir e demonstrar a conformidade.
- Nomear um encarregado da proteção de dados, quando necessário.
Consulte nossa ficha informativa relacionada, "Segurança de Dados – Garantindo a Conformidade com a Proteção de Dados", para obter informações mais detalhadas.
Legalidade do processamento
É importante compreender e documentar a base legal do seu processamento. Existem seis:
- Consentimento
- Obrigação contratual
- Obrigação legal
- interesses vitais
- interesse público
- Interesses legítimos.
Em relação ao consentimento, ele deve ser específico, inequívoco e livremente concedido. O consentimento positivo não pode ser presumido a partir da inação, como não clicar em uma caixa de "cancelar inscrição" online, ou do uso de caixas pré-selecionadas. As empresas precisam garantir que registrem a data, a hora, o método e a redação exata utilizada para obter o consentimento; portanto, é importante assegurar que sua empresa disponha dos meios para registrar e documentar tais informações.
Diretrizes de consentimento do ICO
O interesse legítimo lhe concederá a capacidade de processar os dados dos indivíduos, mas apenas dentro dos limites que eles esperariam. Se você optar por se basear em interesses legítimos, assumirá a responsabilidade de garantir que:
- Existe fundamento para usar o interesse legítimo.
- O processamento de dados se limita a esse interesse e pode ser demonstrado.
- Os direitos do indivíduo foram considerados em um processo de ponderação.
- O indivíduo é informado sobre os interesses legítimos em suas políticas de privacidade.
Orientações do ICO sobre interesses legítimos
Notificação de violações
Uma violação de dados pessoais é a destruição, perda, alteração, divulgação não autorizada ou acesso acidental ou ilegal a dados pessoais.
A ICO (Information Commissioner's Office) do Reino Unido disponibiliza uma ferramenta online de autoavaliação que ajuda a determinar a gravidade da violação e se é necessário ou não comunicá-la. Algumas violações precisam ser notificadas à autoridade supervisora competente em até 72 horas. É fundamental realizar a avaliação assim que a violação for descoberta.
Diretrizes do ICO para avaliação de violações de dados pessoais
Transferência de dados
Em 28 de junho de 2021, a Comissão Europeia adotou uma decisão de adequação para o Reino Unido, o que significa que a maioria dos dados pode continuar a fluir entre o Reino Unido e a UE/EEE sem a necessidade de salvaguardas adicionais. (A exceção são os dados para fins de controle de imigração.)
Ao transferir dados para um "país terceiro", podem ser aplicáveis salvaguardas adicionais, como Cláusulas Contratuais Padrão ou Normas Corporativas Vinculativas. O primeiro link abaixo é do órgão regulador do Reino Unido – o ICO. O segundo é da Comissão Europeia.
Orientações do ICO sobre o acordo de transferência de dados
Regras da UE para transferências para fora do bloco
Fontes e links
Página inicial do ICO para organizações
Portal GDPR da UE – www.gdpreu.org
