Proteção de dados após o Brexit – e agora?

A proteção de dados após o Brexit é um tema complexo e em constante evolução, o que não traz boas notícias para as empresas do Reino Unido. As pequenas e médias empresas (PMEs) provavelmente serão as mais afetadas, em comparação com as grandes corporações.

O principal problema é que a proteção de dados não é tratada em detalhes no Acordo Comercial, embora inclua um mecanismo de "ponte temporária" para o livre fluxo de dados pessoais da UE/EEE para o Reino Unido. Sabemos que o governo britânico está atualmente a formular a sua estratégia e sinalizou que os dados devem ser tratados como uma oportunidade e não como uma ameaça, o que se aproxima mais da abordagem americana do que da da UE. Com o passar do tempo, é provável que o modelo de proteção de dados do Reino Unido se altere e possa divergir do da UE. Atualmente, aplicam-se vários regimes:

• Regime GDPR do Reino Unido: esta é a nova versão personalizada do GDPR para o Reino Unido, baseada no GDPR da UE.
• Regime do RGPD da UE: este é o RGPD original que se aplica a todos os 27 Estados-Membros da União Europeia, bem como à Noruega, Islândia e Liechtenstein.
• Lacuna de adequação ou regime legado do RGPD – isto não se aplicará se o Reino Unido receber uma decisão final de adequação da UE.

  • A Comissão Europeia elaborou um projeto de decisão que afirma que o RGPD do Reino Unido e a Lei de Proteção de Dados de 2018 garantem um nível de proteção para dados pessoais transferidos da UE/EEE essencialmente equivalente ao garantido pelo RGPD da UE. A decisão necessita de aprovação adicional e fatores políticos e riscos podem atrasar a sua ratificação.

Envio de dados para o exterior:

• As normas corporativas vinculativas (BCRs, na sigla em inglês) continuam sendo o padrão ouro.
  • As BCRs (Regras Corporativas Vinculativas) foram concebidas para permitir que empresas multinacionais transfiram dados pessoais do EEE (Espaço Econômico Europeu) para empresas do seu grupo localizadas fora do EEE (incluindo o Reino Unido desde 31 de dezembro de 2020).
• As cláusulas contratuais padrão (SCCs, na sigla em inglês) são modelos de termos aprovados que garantem o cumprimento das normas do RGPD (desde que os termos das SCCs sejam respeitados).

  • O ICO pretende publicar novas Cláusulas Contratuais Padrão (SCCs) do Reino Unido em 2021. Para isso, elaborou uma versão revisada das SCCs da UE existentes, adaptando-as ao contexto britânico. Em algum momento, as SCCs da UE poderão se tornar inválidas para transferências a partir do Reino Unido.

  • Essas medidas estão atualmente em consulta pública e haverá um período de transição de um ano para sua utilização após a aprovação. É provável que sejam válidas onde o RGPD da UE se aplicar. Resta saber se o Reino Unido as aprovará, mas, caso contrário, serão inválidas para transferências para fora do Reino Unido sob o RGPD britânico.

• Outras exceções à regra (ver slides e gravação abaixo).

E quanto aos Encarregados da Proteção de Dados (DPOs)?

• Se você atualmente precisa ter um DPO (Encarregado da Proteção de Dados), essa exigência continuará em vigor, seja sob o GDPR do Reino Unido ou o GDPR da UE. Você pode continuar com um DPO que abranja o Reino Unido e o EEE (Espaço Econômico Europeu). O DPO pode continuar localizado no Reino Unido.
• No entanto, tanto o GDPR do Reino Unido quanto o da UE exigem que o seu DPO seja facilmente acessível a partir de cada estabelecimento no EEE e no Reino Unido, e que possua conhecimento especializado de ambos os regimes.

O que você deveria estar fazendo agora?

• O primeiro passo mais importante é compreender os fluxos de dados e os locais envolvidos (é necessário distinguir o processamento no Reino Unido do processamento na UE). Priorize os fluxos que contêm grandes volumes, dados de categoria especial ou dados relativos a condenações e infrações criminais, transferências críticas para o negócio e aquelas que envolvem áreas de alto risco, como os EUA. A MyDocSafe desenvolveu uma ferramenta de GDPR para registro e mapeamento desses fluxos de dados, que funciona tanto como plataforma de auditoria quanto de gestão de privacidade. Atualmente, está disponível apenas para novos clientes corporativos. Entre em contato conosco para saber mais.
• Munido de sua compreensão sobre fluxos de dados, você precisará decidir se deve tomar medidas adicionais, como:
  • Como obter assessoria jurídica para atualizar suas BCRs (Regulamentos Corporativos Empresariais), SCCs (Contratos Contratuais Padrão), Avisos de Privacidade e Contratos de Processamento de Dados, e como se manter atualizado sobre as mudanças na legislação.
  • Nomear representantes da UE, do Reino Unido e da CEI?
  • Defina a autoridade supervisora principal apropriada.
  • Garanta que seu DPO seja facilmente acessível a partir de qualquer estabelecimento no Reino Unido e no EEE e que possua experiência em todos os regimes.

Nosso veredicto

Acreditamos que o atual regime legal não é favorável para as PMEs do Reino Unido, que provavelmente terão dificuldades para se adequar ou simplesmente ignorarão o assunto. Aquelas com operações no Reino Unido provavelmente acreditam que, por essa razão, não precisam se preocupar muito, desde que mantenham os dados no país. Mas a maioria delas sequer sabe se esse é o caso. Houve pouco entusiasmo em realizar o trabalho de descobrir isso quando o GDPR foi introduzido. Reunimos algumas evidências anedóticas que sugerem que poucos realizaram o mapeamento de dados e muito poucos utilizaram ferramentas de software adequadas para tal. Esse é um dos motivos pelos quais nossa ferramenta GDPR Dashboard, criada especificamente para esse propósito e que distribuímos gratuitamente na época, não estará mais disponível para novos clientes PMEs.