Em 30 de junho, a ONG Noyb, uma pedra no sapato das gigantes digitais e dos órgãos reguladores, enviou uma carta à Comissão Europeia pedindo que esta agendasse a saída do quadro transatlântico de proteção de dados (o Quadro de Privacidade de Dados ou DPF).
Segundo a ONG, os Estados Unidos já não garantem qualquer supervisão independente em matéria de privacidade.
Embora o presidente Trump já tivesse destituído 2 dos 3 membros do "Conselho de Supervisão da Privacidade e das Liberdades Civis", um órgão de supervisão independente criado pelo Congresso em 2004, a Suprema Corte dos Estados Unidos acaba de desferir, sem dúvida, um golpe mortal no sistema americano de supervisão independente.
Em uma reviravolta de 180° em relação à sua jurisprudência anterior, o Tribunal decidiu em 29 de junho que a independência da Comissão Federal de Comércio (FTC) era inconstitucional.
A decisão no caso "Trump v. Slaughter" se enquadra na estrutura de uma teoria "unitária", segundo a qual o presidente deve exercer poder sobre todos os órgãos executivos americanos.
De acordo com essa doutrina, as leis americanas que concedem independência a diversas agências são, portanto, inconstitucionais.
“Dado que a União Europeia dependeu fortemente da ’independência« da FTC como órgão de fiscalização da privacidade, toda a estrutura do quadro de proteção de dados UE-EUA acaba de ruir.»
O presidente da Noyb, Max Schrems, acrescenta que, como os Estados Unidos ainda exercem considerável pressão sobre a UE para manter o fluxo de dados pessoais, sua ONG também iniciará uma ação judicial nas próximas semanas, com o objetivo de levar o Tribunal de Justiça da União Europeia (TJUE) a anular o acordo atual.
Uma decisão "Schrems III" poderia, portanto, completar a lista de conquistas do ativista.
O deputado e membro da CNIL, Philippe Latombe, também enviou uma carta à Comissão Europeia solicitando o cancelamento do tratado transatlântico e instando as empresas francesas a implementarem soluções soberanas de gestão de dados.
Cabe lembrar que a decisão da Comissão Europeia, que reconhece a adequação do quadro de proteção implementado pelos Estados Unidos, permanece em vigor até que a Comissão ou o Tribunal de Justiça da União Europeia a declarem inválida.
Um processo judicial geralmente leva de dois a três anos até que uma decisão final seja tomada.
A Comissão pode, no entanto, não esperar pelo resultado de tal procedimento: ela já anunciou, em resposta a perguntas da mídia, que pretende analisar a validade de sua decisão de adequação, dada a falta de independência da FTC.
A autoridade dinamarquesa de proteção de dados indicou ainda, em comunicado de 1º de julho, que a decisão da Suprema Corte dos Estados Unidos poderia ter repercussões particularmente amplas, afetando não apenas as transferências baseadas na DPF (Lei Dinamarquesa de Proteção de Dados), mas também as transferências realizadas por meio de outras bases legais, por exemplo, com base em contratos padrão.
A autoridade incentiva os responsáveis pelo tratamento de dados a reverem a sua avaliação do nível de proteção garantido pelo país destinatário no contexto da sua avaliação do impacto da transferência.
É particularmente importante verificar se os pré-requisitos para o controle independente pelas autoridades ainda são atendidos.
Para os controladores de dados e os encarregados da proteção de dados (DPOs), esta notícia oferece uma oportunidade para atualizar o mapeamento das transferências transatlânticas de dados, incluindo SaaS, nuvem ou ferramentas de IA, para reavaliar a sua base legal e identificar possíveis alternativas, quando apropriado.
Na França
Após consulta pública, a CNIL publicou em 30 de junho suas recomendações sobre o uso, por profissionais, de dados de localização de veículos conectados (carros, bicicletas, scooters, etc.).
Seu objetivo é fortalecer a segurança jurídica e proporcionar maior transparência aos usuários.
Em uma ficha informativa atualizada em 19 de junho, a CNIL reitera suas principais recomendações sobre o uso da tecnologia digital nos negócios.
O documento lista 12 recomendações e incentiva os responsáveis pelo tratamento de dados a realizarem um diagnóstico através do site do governo.
Em uma publicação datada de 10 de junho, a empresa também especifica as regras a serem seguidas em caso de comunicações eletrônicas com clientes potenciais e atuais.
Em 3 de julho, a CNIL publicou os resultados de sua pesquisa destinada a analisar a evolução do papel das OPDs (Organizações de Proteção de Dados) diante do desenvolvimento da inteligência artificial (IA).
Ela tem interesse na governança da IA em organizações, nos novos desafios regulatórios relacionados à articulação entre o GDPR e a regulamentação europeia sobre IA, bem como nas necessidades dos DPOs em termos de habilidades, treinamento e ferramentas.
Embora o DPO continue sendo um ator fundamental para garantir a proteção de dados pessoais em projetos de IA, não se espera que ele gerencie essa conformidade sozinho e ele ainda não possui um conhecimento profundo da regulamentação.
A CNIL pretende adaptar as suas recomendações e o apoio prestado aos profissionais a estes novos desafios e remete para as ferramentas já disponíveis no seu sítio web.
Na terça-feira, 16 de junho, o primeiro-ministro anunciou, em um vídeo publicado nas redes sociais, um investimento público adicional de 655 milhões de euros por meio do programa França 2030, com o objetivo de acelerar o desenvolvimento da inteligência artificial na França.
«"Um dos anúncios mais simbólicos diz respeito à Direção-Geral de Segurança Interna (DGSI), que está encerrando sua parceria com a gigante americana de análise de dados Palantir.".
Para substituir essa tecnologia estrangeira, a DGSI escolheu a empresa francesa ChapsVision.
Essa preocupação foi reforçada recentemente pela decisão do governo dos EUA de restringir o acesso a certos modelos avançados de inteligência artificial para cidadãos estrangeiros, em nome da segurança nacional.
O governo também quer acelerar a adoção da IA na administração pública.
Um assistente conversacional soberano será implementado gradualmente para aproximadamente um milhão de funcionários públicos estaduais.»
Ainda sobre o mesmo assunto, o teste de um modelo de língua chinesa na Direção-Geral do Tesouro foi interrompido em 23 de junho devido a respostas "tendenciosas" ou "influenciadoras".
O chatbot foi concebido para auxiliar altos funcionários em suas tarefas diárias, incluindo o processamento de dados confidenciais ou sensíveis.
Um novo modelo da startup francesa Mistral AI foi instalado na quarta-feira.
A partir de 2027, a Agência Nacional Francesa de Segurança Cibernética (ANSSI) deixará de certificar produtos de segurança que não possuam mecanismos de criptografia resistentes a computadores quânticos.
Este requisito afetará particularmente os produtos destinados a setores sensíveis, como defesa, armamentos e administração pública.
As empresas têm até 2030 para adquirir apenas as chamadas soluções "à prova de ataques quânticos".
A aceleração da transição para a criptografia pós-quântica também esteve no centro dos trabalhos do subgrupo de cibersegurança do G7, que se reuniu sob a presidência francesa no início de junho.
As autoridades de proteção de dados dos países do G7 também se reuniram em Paris, nos dias 25 e 26 de junho, a convite da CNIL, como parte da presidência francesa do G7.
Eles adotaram uma declaração sobre mecanismos de verificação de idade que respeitam a privacidade, bem como um documento sobre o desenvolvimento de objetos conectados que respeitam a privacidade dos menores.
Na Europa
Instituições e órgãos europeus
Em 29 de junho, o Conselho da UE deu a sua aprovação final à simplificação e racionalização das regras de IA previstas no Regulamento Omnibus.
A aplicação das regras relativas a sistemas de alto risco foi adiada para 2 de dezembro de 2027 para sistemas de IA de alto risco independentes e para 2 de agosto de 2028 para sistemas de IA de alto risco integrados em produtos.
O texto acrescenta uma disposição ao regulamento de IA, proibindo práticas de IA relacionadas à geração de conteúdo sexual e íntimo não consensual ou pornografia infantil.
Sistemas de inteligência artificial que geram imagens de pessoas reais nuas ou que removem roupas de fotos existentes para revelar partes íntimas também serão proibidos a partir de dezembro de 2026.
O novo regulamento adia para 2 de agosto de 2027 o prazo para o estabelecimento, pelas autoridades competentes a nível nacional, de "ambientes de teste" regulamentares dedicados à IA, e reduz de 6 para 3 meses o período concedido aos fornecedores para implementar soluções de transparência relativas a conteúdos gerados artificialmente, sendo o novo prazo fixado em 2 de dezembro de 2026.
Segundo um documento consultado pelo Politico, a presidente do Parlamento Europeu, Roberta Metsola, está tentando aprovar uma lei controversa sobre a filtragem de conteúdo de pornografia infantil online (CSAM, na sigla em inglês), lei essa que foi rejeitada em março passado pela própria assembleia em sessão plenária.
O presidente pediu aos Estados-membros reunidos no Conselho que aprovassem um projeto que permitiria às plataformas tecnológicas analisar voluntariamente os seus serviços em busca de conteúdo de pornografia infantil, uma questão que é alvo de intensa controvérsia: a polícia e alguns defensores dos direitos da criança, bem como vários comissários europeus, argumentam que a falta de legislação permite que predadores e pedófilos atuem impunemente na Internet.
Enquanto isso, defensores da privacidade e especialistas em segurança acreditam que essas propostas podem levar a uma vigilância em massa inaceitável e ao fim da criptografia.
Em 18 de junho de 2026, o Tribunal de Justiça da União Europeia (TJUE) esclareceu, em seu acórdão C-484/24 – NTH Haustechnik, que os dados pessoais obtidos ilegalmente não devem ser automaticamente excluídos de processos judiciais.
Os tribunais podem utilizá-los se tal for estritamente necessário e proporcional ao exercício da sua missão, respeitando os princípios do RGPD, em particular a minimização dos dados.
Contudo, essa possibilidade não torna a coleta inicial de informações lícita e não isenta seu autor de possíveis violações das normas de proteção de dados.
O Conselho Europeu de Proteção de Dados (EDPB) adotou um modelo para notificação de violação de dados em 10 de junho.
Este modelo destina-se principalmente a ser implementado pelos APDs (Analistas de Desenvolvimento Profissional) utilizando uma ferramenta informática.
O modelo está sujeito a consulta pública, oferecendo assim às partes interessadas a oportunidade de partilhar os seus comentários e opiniões sobre o seu conteúdo até 5 de agosto.
A partir de 3 de agosto, o Google usará os endereços IP de usuários da internet localizados no Espaço Econômico Europeu, no Reino Unido e na Suíça para medir e personalizar anúncios.
Embora o Google já colete esses dados por razões técnicas, seu uso está evoluindo: o endereço IP agora pode ser usado para identificar dispositivos para fins de segmentação de anúncios.
Essa prática, regida pelo RGPD, exigirá o consentimento do usuário, o qual deverá ser integrado aos mecanismos já utilizados para gerenciar preferências de publicidade e cookies.
Notícias dos países membros da União Europeia.
As autoridades de proteção de dados (APD) belgas e espanholas publicaram conjuntamente recomendações e boas práticas para o setor de jogos eletrônicos em 18 de junho.
Essa colaboração surge da necessidade identificada pelas autoridades de regulamentar um setor que envolve mais de 3 bilhões de usuários em todo o mundo e utiliza tecnologias invasivas.
O documento analisa as atividades mais comuns de processamento de dados pessoais em jogos eletrônicos, identifica as ameaças e os riscos que elas acarretam e propõe recomendações e boas práticas.
Na Croácia, a APD multou uma agência imobiliária por reter dados de clientes além da finalidade do processamento, armazenar cópias de documentos de identidade e cartões bancários sem fundamento legal e fornecer treinamento insuficiente aos seus funcionários sobre o processamento de dados pessoais.
A Agência Espanhola de Proteção de Dados (APD) publicou diretrizes em 8 de junho sobre o uso de câmeras em lares de idosos, visando conciliar o cuidado e a privacidade.
A Vodafone Espanha também foi multada em € 1.050.000 depois que um terceiro conseguiu burlar os controles de segurança para obter uma fatura de cliente contendo um endereço de e-mail não autorizado e criar uma segunda linha móvel registrada fraudulentamente em nome do reclamante.
Por fim, o Tribunal multou o CaixaBank em 500 mil euros por falhas sistêmicas na proteção de dados, na sequência de repetidas violações de segurança.
A autoridade solicitou especificamente ao banco que melhorasse suas capacidades de detecção de violações e fortalecesse seus procedimentos para identificar as pessoas e os dados envolvidos em caso de incidente.
A Autoridade Irlandesa de Proteção de Dados (DPA) multou o Serviço Executivo de Saúde (HSE), o serviço público de saúde, em € 300.000 após um ciberataque de ransomware em 2018 que comprometeu os dados pessoais de aproximadamente 84.000 pacientes.
A investigação concluiu que a HSE não havia implementado medidas de segurança técnicas e organizacionais suficientes, não possuía documentação em conformidade com o RGPD e não supervisionava adequadamente os seus subcontratados.
Além da multa, a DPC ordenou que a HSE fortalecesse de forma sustentável suas políticas e procedimentos de segurança de dados.
A Autoridade Norueguesa de Proteção de Dados (APD) impôs uma multa administrativa de 20 milhões de coroas norueguesas à Elkjøp, principalmente pela falta de consentimento válido para o processamento de dados pessoais no contexto de seu programa de fidelidade, avaliações insuficientes sobre novas finalidades de processamento e falha em responder às solicitações dos titulares dos dados dentro dos prazos previstos pelo RGPD (Regulamento Geral sobre a Proteção de Dados).
Internacionalmente
No Reino Unido, um policial de Derbyshire está sendo investigado após ser acusado de usar inteligência artificial para fabricar provas em diversos processos judiciais.
As autoridades estão analisando os arquivos potencialmente relevantes, e o policial foi afastado de suas funções operacionais.
Este caso, que pode constituir um grave abuso de justiça, surge num momento em que as forças policiais britânicas estão a aumentar a sua utilização de IA, reacendendo o debate sobre os riscos e a necessidade de uma regulamentação rigorosa destas tecnologias.
Diversos departamentos de polícia foram recentemente solicitados a suspender certos usos de IA, particularmente na elaboração de documentos para os tribunais, devido a erros factuais.
No Reino Unido, também, a partir de 19 de junho, as organizações sujeitas à legislação britânica de proteção de dados são obrigadas a implementar um procedimento que permita às pessoas físicas apresentar reclamações relativas aos seus dados pessoais.
Os indivíduos devem primeiro apresentar suas queixas à organização em questão antes de contatar o Gabinete do Comissário de Informação.
Na China, as Medidas Provisórias Relativas à Gestão de Serviços Interativos Antropomórficos Baseados em Inteligência Artificial entrarão em vigor em 15 de julho.
Esta regulamentação rege o setor em rápida expansão de companheiros virtuais baseados em inteligência artificial e robôs de apoio emocional.
Os fornecedores desses serviços terão, sobretudo, de informar claramente os usuários de que estão interagindo com uma IA, implementar mecanismos para prevenir a dependência emocional, detectar situações de angústia ou risco, proteger menores e limitar seu acesso a companheiros virtuais.
Eles também terão que cumprir requisitos de governança, como registrar seus algoritmos, realizar avaliações de segurança em determinados casos e implementar medidas de proteção de dados e gerenciamento de riscos.
A Rede Ibero-Americana para a Proteção de Dados (RIPD) adotou um documento de referência com o objetivo de reforçar as salvaguardas aplicáveis ao tratamento de "neurodados", que provêm de tecnologias capazes de medir ou inferir a atividade cerebral.
O texto recomenda uma maior proteção desses dados, mais transparência quanto ao seu uso e operação, bem como restrições, ou mesmo proibições, para certos usos considerados incompatíveis com os direitos fundamentais, especialmente quando visam manipular comportamentos ou explorar pessoas vulneráveis.
A Anthropic desativou seus dois modelos de IA mais poderosos.
Citando preocupações com a "segurança nacional", Washington exigiu que a startup americana especializada em inteligência artificial limitasse o acesso a Claude Fable 5 e Mythos 5 apenas a cidadãos americanos.
Segundo a Anthropic, essa solicitação é impossível de ser atendida. Em 22 de maio, a Anthropic anunciou seu projeto Glasswing, afirmando que seu modelo de IA para cibersegurança, Mythos, havia identificado mais de 10.000 vulnerabilidades em softwares e projetos de código aberto amplamente utilizados.
Português 