Ano novo, revisão e perspectivas.

Ano novo, revisão e perspectivasDepois de um ano que alguns chamam de annus horribilis, 2021 está sendo recebido por muitos como uma esperança de mudança. 

É verdade que os últimos meses testaram a resiliência das nossas sociedades de maneiras sem precedentes.

O impacto da pandemia em nossa saúde, mas também em nossos sistemas políticos e nossos direitos fundamentais, está longe de ser trivial.

As autoridades de proteção de dados dedicaram grande parte do seu tempo ao apoio e monitoramento em áreas-chave e muito diversas relacionadas ao vírus:

• Pesquisa médica,
• Vigilância populacional por drones,
• Teletrabalho,
• Ensino à distância,
• Rastreamento de aplicativos anti-covid,
• Dados de vacinação,

E a questão mais ampla do processamento de dados de saúde por autoridades públicas fora do âmbito médico.

Essa atenção particular às questões levantadas pela gestão da pandemia não impediu, contudo, que a CNIL adotasse diversas sanções notáveis, incluindo duas relativas aos gigantes da web Google e Amazon, por valores de várias dezenas de milhões de euros.

Outros players foram multados em valores menores, adaptados ao seu faturamento, e essas sanções afetaram tanto os grandes players comerciais (veja o editorial de dezembro sobre o Carrefour) quanto as microempresas: uma empresa com duas pessoas, especializada no envio de e-mails de prospecção comercial, acaba de ser multada em 7.300 euros, em especial por descumprimento da obrigação de obter consentimento, com multa de 1.000 euros por dia de atraso caso o cumprimento não seja alcançado em dois meses.

Não ousaremos prever o que o novo ano nos reserva. No entanto, ainda é possível identificar as principais áreas e prioridades das partes interessadas na proteção de dados para os próximos meses.

Então, Além do processamento de dados de saúde e das medidas de vigilância associadas, observa-se que a questão da ética, do desenvolvimento da inteligência artificial e das novas tecnologias continua sendo uma prioridade..

É isto que o Comité Europeu para a Protecção de Dados (CEPD) destaca na sua Estratégia 2021-2023, que visa em particular

• Biometria,
• Criação de perfil,
• Tecnologias de tecnologia de anúncios,
• Serviços em nuvem e
• O blockchain.

O Comitê também indica que deseja abordar não apenas os especialistas em proteção de dados, mas diretamente, de forma mais concreta, os controladores de dados, com diretrizes destinadas a dar suporte às VSEs e PMEs.

A concentração de empresas na área de serviços digitais também está na mira das autoridades europeias (veja abaixo, "Europa"), assim como as transferências de dados entre a Europa e o resto do mundo.

Após a decisão Schrems II do Tribunal de Justiça Europeu, maior atenção está sendo dada, por um lado, aos regimes de vigilância e leis em vigor em países terceiros e, por outro lado, às precauções a serem tomadas no contexto de transferências, que incluem a criptografia de dados.

Ainda no âmbito das transferências de dados, acrescentemos que, Embora o Reino Unido tenha saído da União Europeia, os dados ainda podem fluir livremente entre o Reino Unido e a UE durante os próximos seis meses, o RGPD ainda é aplicável lá em caráter transitório.

O regime de transferência dependerá então da adoção de uma decisão de adequação pela Comissão Europeia.

Caso contrário, garantias (como cláusulas contratuais) terão que ser tomadas antes de considerar qualquer transferência.

Apesar das convulsões vividas nos últimos meses, e talvez em parte por causa dessas convulsões que aumentaram ainda mais o uso das novas tecnologias e o desenvolvimento do virtual, a preservação dos direitos fundamentais é mais relevante do que nunca.

Apostemos que estaremos à altura dos desafios tecnológicos e humanos que nos aguardam.

E também

França:

• O Conselho de Estado confirmou no seu despacho de 22 de Dezembro a suspensão imediata da decisão do chefe de polícia relativa o uso de drones no contexto de manifestações ou aglomerações em vias públicas.

O Conselho de Estado ordena a cessação das medidas de vigilância por drones para essas manifestações ou concentrações, até que seja adotado um texto que autorize a criação de um sistema de tratamento de dados pessoais.

Resta saber se a proposta de lei de Segurança Global será capaz de justificar tal uso de drones.

Na sua apreciação da urgência, o CE menciona, a este respeito, “o número significativo de pessoas suscetíveis de serem sujeitas às medidas de vigilância em causa e a violação que estas são suscetíveis de causar à liberdade de manifestação”, bem como o facto de “o ministro não apresentar qualquer prova que permita estabelecer que o objetivo de garantir a segurança pública durante a concentração de pessoas na via pública não poderia ser plenamente alcançado, nas atuais circunstâncias, sem a utilização de drones”.

• Em termos de reconhecimento facial, o Conselho de Estado, por outro lado, numa decisão de 4 de novembro, validou a autenticação online baseada em dados biométricos que permite o acesso a determinados tele-serviços da administração pública (Alicem).

A CE considera, em particular, que os dados recolhidos são necessários e proporcionais à finalidade do tratamento (os dados biométricos são destruídos após a criação de identificadores eletrónicos) e que os utilizadores mantêm a possibilidade de aceder aos serviços através de um identificador separado.

• Em 7 de dezembro, a CNIL multou a Amazon Europe Core em € 35 milhões por depósito de biscoitos nos computadores dos visitantes do seu site sem consentimento prévio ou informações satisfatórias.

Europa:

• A imprensa tem comentado amplamente a publicação pela Comissão Europeia da sua proposta de regulamentação de serviços digitais.

Este novo quadro jurídico, se aprovado pelo Parlamento Europeu e pelo Conselho, resultará numa grande atualização da Diretiva Europeia de Comércio Eletrónico, com o objetivo de proteger melhor os consumidores e promover um mercado digital mais equilibrado.

O texto cria obrigações significativas para os players de "tecnologia", em particular plataformas de acesso como Google ou Facebook.

Eles terão que implementar medidas de informação, relatórios, auditoria, gestão de riscos e cooperação.

Será criado um Conselho Europeu de Serviços Digitais, com um papel comparável e complementar ao do Conselho Europeu de Proteção de Dados.

Essas obrigações não devem entrar em vigor antes de 2023.

• Um homem foi condenado por assassinato na Alemanha com base em uma gravação feita pela assistente de voz Alexa, da Amazon.

O homem usou o assistente de voz na cena do crime, o que confirmou sua presença lá.

A Amazon forneceu aos juízes, a pedido deles, as gravações que estavam armazenadas em servidores no exterior.

Independentemente da questão da utilização dessas gravações para fins legais, o tratamento de dados por assistentes de voz foi objeto de um esclarecimento da CNIL, disponível no seu site.

Internacional:

• Rússia O Facebook pagou uma multa de quatro milhões de rublos (cinquenta mil dólares) por se recusar a localizar os dados de seus usuários russos na Rússia, uma exigência à qual todas as empresas estrangeiras que operam no campo de novas tecnologias estão sujeitas.

As autoridades russas bloquearam anteriormente a rede social LinkedIn pelos mesmos motivos.

• Lá China está se preparando para regulamentar o uso de biometria e reconhecimento facial em sua lei de dados pessoais.

Segundo o porta-voz da Comissão de Assuntos Legislativos, se o objetivo é respeitar os princípios de proporcionalidade e necessidade no processamento de dados, "muitas opções permanecem em aberto".

Ana Cristina Lacoste

Sócia da Olivier Weber Avocat, Anne Christine Lacoste é advogada especializada em direito de dados; foi chefe de relações internacionais da Autoridade Europeia para a Proteção de Dados e trabalhou na implementação do RGPD na União Europeia.