1. Evolução da proteção de dados pessoas na cena internacional

Por serem informações capazes de identificar, direta ou indiretamente, um indivíduo, é natural que os titulares de dados pessoais⁴  gozem de direitos e garantias em relação ao seu tratamento por terceiros, independentemente de qualquer aspecto geográfico. Afinal, o uso inadequado de tais informações é capaz de gerar impactos sobre outros direitos relevantes assegurados ao detentor do dado, como os direitos à privacidade, à liberdade, à segurança e à igualdade. 

A proteção dos dados pessoais não é uma novidade para diversos sistemas jurídicos do mundo. Pelo contrário, textos legais preveem tal proteção há décadas. No entanto, mesmo esses textos necessitaram se adaptar com o passar dos anos para garantir que a proteção jurídica atribuída aos dados pessoais acompanhe a evolução do lugar ocupado por eles na sociedade da informação na qual vivemos. 

A Europa, por exemplo, por razões históricas e políticas, é um continente muito atento à proteção dos direitos humanos e fundamentais dos indivíduos. Os países do continente não tardaram a alçar, individual ou coletivamente, a proteção aos dados pessoais à categoria de direito fundamental. Não por acaso, o continente europeu exerce grande influência na delimitação do arcabouço de proteção de dados na esfera internacional.

A construção de um sistema jurídico de proteção de dados na Europa se iniciou com a adoção de leis nacionais que regulavam o assunto: uma tradição inaugurada pela Alemanha e seguida por outros Estados, como a França. A adoção de leis da referida natureza pela Alemanha ⁵e pela França ⁶ ocorreu no final da década de 1970 e foi motivada, principalmente, por uma rejeição popular ao aumento da intervenção do Estado na vida privada dos cidadãos, propiciada pelo uso de sistemas automatizados para o processamento de informações. ⁷ Tal rejeição foi estimulada pela experiência recente dos europeus com o intervencionismo que caracterizou os governos totalitários na primeira metade do século XX, especialmente o nazista.

As discussões iniciadas no continente causaram seu primeiro impacto formal no âmbito internacional em 1980, quando a Organização para a Cooperação e Desenvolvimento Econômico (OCDE) adotou as Diretrizes para a Proteção da Privacidade e dos Fluxos Transfronteiriços de Dados Pessoais, ⁸ vigentes até os dias de hoje. Tal documento, ainda que sem caráter vinculante, estabeleceu os princípios que deveriam guiar o tratamento de dados pessoais e inspiraram diversos textos legais adotados posteriormente no mundo. 

Na sequência, o Conselho da Europa reconheceu em 1981, por meio da Convenção 108, ⁹ disponível para adesão por países europeus e não europeus, que a proteção à privacidade e aos dados pessoais são fundamentais à manutenção dos direitos dos homens. Trata-se do primeiro texto legal internacional sobre o tema de natureza vinculante, que em 2021 conta com 55 ratificações, das quais 9 por países não-europeus.¹⁰  Em 2018, o Conselho da Europa propôs a modernização da Convenção 108 (Convenção 108+), sob a justificativa da necessidade da adaptação do texto original às novas tecnologias de informação e comunicação e para reforçar sua implementação efetiva. ¹¹

Em momento posterior à adoção da Convenção 108+, nos anos 2000, a União Europeia reconheceu o caráter de direito fundamental da proteção de dados pessoais por meio do artigo 8º da Carta de Direitos Fundamentais da União Europeia. ¹²

Não obstante o fato de que o reconhecimento do direito em referência como direito fundamental constitui uma etapa relevante na história da proteção dos dados pessoais, na União Europeia a proteção de dados pessoais já havia sido regulada de maneira aprofundada por meio da Diretiva 95/46/CE ¹³ adotada em 1995, relativa à proteção e ao tratamento de dados pessoais e à livre circulação dessas informações.

A Diretiva 95/46/CE foi integrada aos sistemas jurídicos dos Estados-membros da União Europeia e previa os direitos e garantias que deveriam ser atribuídos aos indivíduos quando do tratamento de suas informações por terceiros, de forma geral. Por muito tempo, tratou-se do texto principal regulando o tema na União Europeia, que em 2018 foi substituído pelo Regulamento Geral sobre a Proteção de Dados¹⁴ (RGPD), mais atento às particularidades do tratamento de dados pessoais na atual conjuntura.

Na esteira dos movimentos do continente europeu, a segunda metade do século XX e o início do século XXI foram marcados pela adoção de legislações para regular a proteção de dados pessoais ao redor de todo o mundo. Segundo o mapa das legislações de proteção de dados ao redor do globo ¹⁵, disponibilizado pela Conferência das Nações Unidas sobre Comércio e Desenvolvimento (UNCTAD), em 2020, 66% dos países reconhecidos pela Organização das Nações Unidas possuíam legislação regulando, de forma setorial ou geral, a matéria, enquanto 10% dos países estavam no processo de adoção de um diploma legal nesse sentido. 

Ainda que os textos legais que tratam de proteção de dados já adotados nos mais diferentes níveis tenham abordagens regulatórias distintas, o que será melhor detalhado na próxima seção deste verbete, há uma certa concordância ao redor do mundo sobre os princípios que devem reger o tratamento de dados pessoais, em linha com as Diretrizes da OCDE.¹⁶  O relatório intitulado “Regulação de Proteção de Dados e  Fluxos Internacionais de Dados: Implicações para o Comércio e o Desenvolvimento” da Seção de Análise de Tecnologias de Informação da Divisão de Tecnologia e Logística da UNCTAD,¹⁷  publicado em 2016,  trata do assunto de forma muito precisa: 

“Embora numerosas iniciativas nacionais, regionais e internacionais [de proteção de dados] tenham adotado abordagens regulatórias bastante diferentes, existe um grau notável de harmonização e coerência em torno dos princípios fundamentais que as sustentam, como discutido abaixo. 

Os princípios comuns incluem a necessidade de ter uma razão legítima para qualquer atividade de processamento, obtida através de consentimento ou de alguma outra justificativa que equilibre os interesses privados e públicos que possam se sobrepor. As obrigações relativas à qualidade dos dados pessoais que estão sendo processados é outro princípio fundamental, exigindo que os dados sejam precisos, completos e mantidos atualizados. O cumprimento deste princípio deve ser mutuamente benéfico tanto para o sujeito do processamento quanto para o processador. 

O papel da segurança dos dados é fundamental. Seja física, lógica ou organizacional, as medidas de segurança devem proteger contra atos deliberados de uso indevido, bem como a perda ou destruição acidental de dados. Assim como em relação às questões de qualidade dos dados, a implementação de medidas de segurança apropriada deve combinar as necessidades dos indivíduos, da entidade que processa os dados pessoais e, de fato, da sociedade em geral. Os formuladores de políticas reconhecem cada vez mais a Internet tanto como uma "infra-estrutura nacional crítica", sobre a qual uma proporção crescente das atividades econômicas e sociais diárias é realizada, quanto como uma fonte de vulnerabilidade e ameaça. Abordar esta dualidade e implementar medidas adequadas de segurança de dados deve ser um componente central da resposta política”. [tradução livre] [grifou-se]

O atual cenário da regulação de proteção de dados pessoais no mundo demonstra o lugar de relevância que passou a ser ocupado pelo assunto no âmbito do direito e do desenvolvimento de políticas nacionais e internacionais. Além de proteger direitos humanos e civis, as normas sobre o assunto também têm sido vistas por muitos atores da sociedade como necessária para o desenvolvimento da inovação e para garantir o bom desenvolvimento das relações internacionais.

2. Principais abordagens regulatórias de proteção de dados pessoais ao redor do mundo

A regulação da proteção de dados pessoais ao redor do mundo ocorre a partir de diferentes abordagens, a depender de diversos fatores, como a forma pela qual os países se organizam internamente e seus costumes jurisdicionais.  A principal diferença dessas abordagens se baseia no alcance material das normas de proteção de dados. Nesse sentido, os modelos mais recorrentes são os de regulação setorial ou geral. 

O primeiro modelo se baseia na propositura de legislações esparsas que regulam o tratamento de dados pessoais com foco em elementos específicos. As regulações podem ser direcionadas, por exemplo, ao setor público ou ao privado, a determinados setores do mercado (saúde, financeiro etc.), e a categorias de titulares de dados distintos (pacientes, consumidores, crianças etc.).

Referido modelo apresenta como ponto positivo a abordagem mais detida de aspectos característicos que podem surgir no tratamento de dados pessoais na esfera regulada. Por outro lado, países que adotam apenas regulações setoriais geralmente possuem brechas na sua legislação, deixando tratamentos de dados relevantes que ocorrem em outros contextos desguarnecidos de regras. ¹⁸ Ainda, entidades que estão sujeitas a mais de uma lei setorial em uma jurisdição podem ter maior dificuldade para garantir um nível satisfatório de adequação, uma vez que precisam estar atentas a diplomas distintos e observar que, ao cumprir um deles, não irá descumprir o(s) outro(s). 

O exemplo mais relevante de jurisdição que atualmente se baseia em uma abordagem setorial de regulação da proteção de dados pessoais é a dos Estados Unidos da América, país que, na esfera federal, não possui uma lei geral para regular o tema.  Por outro lado, há inúmeros textos legais que se aplicam a setores regulados ou que protegem categorias de titulares distintos. A título exemplificativo, o Gramm Leach Billey Act (GLBA) ²⁰governa o tratamento de dados pessoais pelo setor financeiro, o Health Information Portability and Accountability Act (HIPAA)²¹  protege dados pessoais tratados por entidades do setor da saúde, e dados pessoais de crianças são protegidos pelo Children Online Privacy Protection Act (COPPA)²². Austrália e Canadá são outros exemplos de países que se guiam pela abordagem setorial. ²³

O segundo modelo propõe que um mesmo regime de proteção de dados se aplique a todos os tratamentos de dados pessoais independentemente de elementos específicos. Desse modo, todas as entidades – públicas ou privadas – que tratem dados pessoais estarão, via de regra, sujeitas às mesmas obrigações, enquanto todo titular de dados terá acesso às mesmas garantiras e direitos. 

A grande vantagem dessa abordagem é que ela tende a atribuir maior segurança jurídica tanto às entidades que tratam dados pessoais – que passam a ter maior previsibilidade quanto às suas possibilidades e limites -, quanto aos titulares dos dados. Assim, embora regulações gerais requeiram um esforço generalizado de adequação, elas contribuem com um ambiente mais propício para o desenvolvimento econômico e tecnológico de sociedades e para a segurança de seus titulares. 

O grande representante desse modelo é o RGPD da União Europeia ²⁴, que versa sobre os princípios e determina as regras, obrigações e direitos que deverão ser comuns a todos os tratamentos de dados pessoais levados a cabo por qualquer entidade, pública ou privada, sujeita à jurisdição do bloco político-econômico. Além da União Europeia, países como Brasil, com a Lei Geral de Proteção de Dados (Lei Federal 13.709/2018 ou LGPD) ²⁵, a Argentina, com a Ley de Protección de los Datos Personales (Lei 25.326/2000 ou PDPA),²⁶ e o Japão, com o Act on the Protection of Personal Information (Lei  57/2003 ou APPI), ²⁷seguem o modelo de regulação geral em relação à proteção de dados pessoais. 

Importante ressaltar que essa abordagem regulatória não impede que Estados baseados em leis gerais emanem também leis específicas que regulem o tratamento de dados pessoais de forma setorial. Na realidade, esse modelo híbrido é bastante recorrente, principalmente diante do fato de que muitos países já possuíam leis setoriais quando adotaram regulações gerais e, na maioria dos casos, não optaram pelo caminho da revogação das primeiras. 

Apenas como referência, na União Europeia, por exemplo, a Diretiva 2002/58 CE ²⁸, conhecida como “e-Privacy” regula a proteção da privacidade no âmbito do setor de comunicações eletrônicas, enquanto a Diretiva (UE) 2016/680 ²⁹regula o tratamento de dados pessoais para fins de prevenção, investigação, detecção ou repressão de infrações penais ou execução de sanções penais. No Brasil o tratamento de dados pessoais  também é objeto de outros diplomas normativos, como do Código de Defesa do Consumidor (Lei Federal 8.078/1990)³⁰, que regula a proteção dos consumidores, do Marco Civil da Internet (Lei Federal 12.965/2014)³¹ , que disciplina o uso da internet no Brasil, e do Código de Ética Médica (Resolução CFM 2.217/2018)³², que determina as normas a serem seguidas pelos médicos no exercício de sua profissão no país.

O maior desafio da abordagem híbrida de regulação consiste em garantir coerência entre os diplomas gerais e setoriais. Garantir tal consistência na adoção de leis setoriais posteriores às leis gerais é tarefa possível, bastando, para tanto, a atenção dos legisladores na propositura dos diplomas mais recentes. As antinomias jurídicas envolvendo leis setoriais e gerais já incorporadas pelo ordenamento jurídico, no entanto, precisarão ser resolvidas por meio dos processos de interpretação a serem conduzidos pelos operadores do direito. Os conflitos de lei em modelos regulatórios híbridos representam um contraponto à segurança jurídica típica das abordagens gerais de regulação de proteção de dados. 

Não há dúvidas de que a principal diferença de abordagens de regulação ao redor do mundo se relaciona com o alcance material das normas legais. De todo modo, outra diferença relevante que merece conhecimento diz respeito ao método para aplicação das leis. Enquanto algumas leis são exercidas pelos próprios indivíduos e por seus representantes por meio do ajuizamento de ações individuais ou coletivas, outras atribuem a autoridades públicas o ofício de fiscalizar e garantir o respeito aos direitos dos titulares de dados. Comumente, as jurisdições que adotam o segundo modelo, também garantem a aplicação das leis por meio do primeiro. 

As diferentes abordagens regulatórias existentes evidenciam que, embora a proteção de dados pessoais tenha se tornado um assunto internacional devido aos fluxos transfronteiriçoes de informações potencializados pela internet e que haja um consenso sobre os princípios que devem reger tal proteção, as entidades e os indivíduos poderão estar sujeitos a regimes distintos e, frequentemente, de aplicação concorrente, a depender dos seus escopos de aplicação territorial e material. Os desafios e questões que decorrem dessa realidade necessitam de reflexão, caso a sociedade intencione alcançar uma proteção de dados pessoais verdadeiramente internacional que ao mesmo tempo garanta proteção satisfatória aos indivíduos e o fluxo livre de informações.

3. Proteção internacional de dados em prática: aspectos relevantes

3.1. A extraterritorialidade das normas de proteção de dados e o conflito de leis

Com o decorrer do tempo, os reguladores perceberam que não atribuir um alcance extraterritorial às leis de proteção de dados frustraria o objetivo de normas dessa natureza, uma vez que a internet permite (i) que entidades tratem dados pessoais de indivíduos a partir de qualquer lugar do mundo, independentemente de onde estiverem estabelecidas fisicamente; e (ii) o fluxo de informações para além de fronteiras geográficas. 

Já que parte significativa dos Estados reconhece a proteção aos dados pessoais como elemento que compõe os direitos humanos, é natural que os legisladores vislumbrem que tal proteção acompanhe os dados pessoais em qualquer lugar do mundo. O fato de que agentes de tratamento não estejam fisicamente estabelecidos no território do qual a norma é emanada não deveria ser um obstáculo à proteção reconhecida a essas informações. 

Esse raciocínio é incitado ainda pelo fato de que a proteção conferida aos dados pessoais em determinado local nem sempre encontrará proteção correspondente no exterior. Assim, países (ou blocos político-econômicos, como a União Europeia) podem se expor a situações onde os dados pessoais de indivíduos situados no seu território estão sujeitos a uma proteção inferior àquela conferida internamente. 

Por esses motivos, as normas jurídicas de proteção de dados pessoais atentas ao impacto da internet no tratamento de tais informações foram promulgadas com previsão de aplicação extraterritorial.  O RGPD na União Europeia, a LGPD no Brasil e o COPPA nos Estados Unidos são exemplos de regulações com previsão de alcance direto a entidades não estabelecidas nos seus respectivos territórios.

A extensão unilateral do alcance territorial da jurisdição não é um fenômeno raro no direito. Pelo contrário, trata-se de mecanismo usual adotado sobretudo em matérias penal e consumerista como forma de garantir a eficácia de determinadas previsões jurídicas e a ampla tutela de direitos.  Em relação à extraterritorialidade das normas de proteção de dados, o Article 29 – Working Party Group ³⁴ (WP29) emitiu uma opinião em 2002 concluindo que o fluxo internacional de dados pessoais deve ser objeto do direito internacional.³⁵  Trata-se de conclusão esperada, tendo em vista as características dos fluxos de dados na internet, conforme mencionado anteriormente. Na prática, no entanto, o escopo de aplicação material dessas normas gera questões relevantes de direito.

A adoção de múltiplas normas com alcance extraterritorial versando sobre proteção de dados pessoais por países distintos e seu reconhecimento pelas regras de direito internacional dão ensejo a conflitos positivos de leis, o que pode gerar insegurança jurídica às entidades sujeitas a mais de uma norma concomitantemente e, também, entraves para a circulação de dados de forma propícia a atender os diversos interesses envolvidos em tal circulação. 

A problemática envolvendo conflitos positivos de lei foi examinada pelo W29 em relação a leis de proteção de dados, conforme abaixo: ³⁶

“Uma pesquisa do direito internacional sugere que os Estados têm tendência a utilizar vários critérios alternativos para determinar extensivamente o escopo de aplicação do direito nacional, a fim de cobrir o maior número possível de casos no interesse de proteger o mais amplamente possível os consumidores e a indústria nacional. Inevitavelmente, esta tendência resulta na aplicação de várias leis nacionais a uma situação que envolve um elemento transfronteiriço. Os instrumentos jurídicos internacionais, portanto, tentam determinar os critérios relevantes de forma neutra e não discriminatória. Entretanto, a mais recente tentativa de progredir em uma minuta convenção sobre a lei aplicável aos contratos sob os auspícios da "Haia A "Conferência" falhou, porque os países não conseguiram chegar a acordo sobre o critério decisivo. Isto indica o cerne do problema ao discutir a lei aplicável: um equilíbrio justo tem a serem atingidos entre os vários interesses dos países envolvidos”. [tradução livre – grifou-se]

Um exemplo bastante emblemático de conflitos de leis versando sobre dados pessoais decorre da sobreposição entre o Cloud Act³⁷, adotado pelos Estados Unidos dois meses antes da entrada em vigor do RGPD, e a norma europeia. Em suma, o Cloud Act permite que autoridades americanas requeiram dados pessoais a empresas americanas, independentemente de onde os dados estejam localizados, por meio de simples ordens judiciais e mandados no âmbito de investigações. A norma americana dispensa a necessidade de que haja um Acordo de Cooperação Internacional (MLAT) entre os Estados Unidos e o país onde estejam localizadas as informações para que haja sua divulgação. 

Ocorre que o RGPD estabelece que, para que haja o tratamento de dados pessoais – incluindo transferências internacionais -, deve haver uma base legal válida que o justifique. Ainda, a norma europeia estabelece que a transferência internacional de dados fundada em uma ordem judicial apenas poderá ocorrer se baseada em um acordo internacional ³⁸, como um MLAT. ³⁹ Ao examinar esses requisitos à luz do Cloud Act, o European Data Protection Board (EDPB) ⁴⁰ concluiu que seria ilegal a disponibilização de dados pessoais por empresas americanas sujeitas ao RGPD com base na norma americana,  uma vez que não haveria uma base legal válida para justificar tal disponibilização e que não há, entre a União Europeia e os Estados Unidos, acordo internacional que viabilize a execução de decisões fundamentadas pelo Cloud Act. Em outras palavras, o RGPD e o Cloud Act seriam incompatíveis entre si.

A conclusão do EDPB representa desafios às entidades sujeitas concomitantemente aos dois textos legais. Afinal, se uma empresa americana é intimada a disponibilizar dados pessoais coletados e armazenados na União Europeia no âmbito de uma investigação nos Estados Unidos, ela dificilmente conseguirá atender à ordem sem violar o RGPD.  Esse é apenas um caso de conflitos entre leis, mas situações similares com outras jurisdições tendem a ocorrer. 

O cerne da questão é que o conflito positivo de leis cria ônus aos entes privados com atuação internacional (que representam, cada vez mais, parcela relevante das empresas no mercado), que mesmo que não meçam esforços para se adequar às leis às quais estão sujeitos, se deparam com impasses jurídicos de impossível solução.  

O cenário em destaque reforça o debate sobre a necessidade de iniciativas mundiais e coerentes na regulação de aspectos de proteção de dados pessoais. A esse respeito, Paul Hert e Michal Czerniawski escreveram: ⁴²

“O trabalho não deve parar aí e também deve se voltar para conflitos de jurisdições envolvendo partes não pertencentes à UE. Tanto Thornauer quanto Reed enfatizam a necessidade de complementar abordagens unilaterais com as abordagens multilaterais para buscar normas e regras comuns para resolver conflitos jurisdicionais. Isto não só é garantido pelo interesse do indivíduo (seja o controlador/processador ou o sujeito dos dados), mas também pelos interesses do Estado em coexistir. Conflitos de jurisdição dentro da União colocam em perigo o processo de integração europeia, os conflitos de jurisdição com países terceiros são igualmente perigosos”. [tradução livre] [grifou-se]

A adoção de normas com efeito extraterritorial que imponham obrigações incompatíveis e concorrentes às mesmas entidades, é um desestímulo à dinamicidade dos fluxos internacionais de dados que ocupam papel de destaque no desenvolvimento da sociedade, além de poder gerar embates entre Estados soberanos.

3.2. Cooperação internacional e proteção de dados

Para que conflitos positivos de leis sejam cada vez menos recorrentes, é necessário que haja  estímulo à cooperação internacional no âmbito da proteção de dados. Trata-se, sem dúvidas, de um meio para a pavimentação de um caminho comum na regulação da matéria pelos diversos Estados com participação relevante na cena internacional, garantindo maior segurança jurídica aos indivíduos e entidades privadas e maior fluidez para os fluxos transfronteiriços. 

Nesse sentido, a Convenção 108, anteriormente mencionada, é sem dúvida o principal diploma internacional a reconhecer e estimular a assistência mútua entre seus signatários, objetivando dar eficiência à proteção aos dados pessoais de forma global. 

O artigo 13 da Convenção 108 determina que todos os signatários deverão se auxiliar mutuamente com o objetivo de implementá-la (art. 13.1.) e deverão designar uma ou mais autoridades nacionais como responsáveis para tal missão (art. 13.2.).  Do referido dispositivo legal, decorrem na prática duas principais atribuições aos Estados signatários (art. 13.3): (a) o fornecimento mútuo de informações sobre as leis e práticas administrativas internas relacionadas ao campo de proteção de dados pessoais; e (b) a adoção de medidas para fornecer, na extensão permitida pela lei nacional, informações factuais relacionadas a processamentos de dados pessoais que ocorram em seu território (o compartilhamento dos dados pessoais objetos dos processamentos está fora do escopo da obrigação). 

Já o artigo 14 da Convenção 108 estabelece a obrigação dos Estados signatários de dar assistência aos indivíduos estrangeiros no exercício de seus direitos relativos à proteção de dados pessoais, inclusive quanto aos direitos reconhecidos no Estado de origem do indivíduo, por meio da cooperação entre as autoridades (art. 14.2). 

A Convenção 108+, se adotada, também conterá previsões importantes para reforçar a cooperação internacional prevista no texto original da Convenção 108. ⁴³ O aumento da eficiência da cooperação entre os Estados foi, na verdade, um dos motivos que levou à proposta de modernização desta última. ⁴⁴

Dentre as novidades propostas está a obrigação de cooperação na coordenação de investigações e na tomada de medidas conjuntas pelas autoridades nacionais de proteção de dados, nos casos que envolvam fluxos sujeitos às jurisdições de mais de um Estado signatário.  A Convenção 108+ também prevê a criação de um fórum envolvendo tais autoridades para organizar a cooperação e as obrigações previstas na norma. ⁴⁵

Além da Convenção 108, outras iniciativas e mecanismos velam pela cooperação internacional para a proteção à privacidade e aos dados pessoais.

A OCDE possui um grupo de trabalho em segurança e privacidade na economia digital (“Working Party on Security and Privacy in the Digital Economy”) que reúne especialistas em políticas públicas dos países membros e parceiros da OCDE, de empresas, da sociedade civil e de técnicos em internet, para compartilhar experiências sobre segurança e privacidade em um ambiente interconectado aberto e globalizado. ⁴⁶No  âmbito do grupo de trabalho, a OCDE emitiu uma recomendação em  2007 incentivando a cooperação entre as autoridades na execução das leis locais de proteção de dados pessoais. ⁴⁷

Outro exemplo é a Global Privacy Assembly (GPA), organização que conta com a participação de mais de 130 autoridades de proteção de dados pessoais do mundo, fundada em 1979 e que se encontra anualmente com o objetivo de incitar o desenvolvimento de lideranças em proteção de dados e privacidade. A GPA adota resoluções e possui grupos de trabalho voltados para o impacto de temas relevantes ao desenvolvimento da sociedade da informação. ⁴⁸

Grupos e iniciativas internacionais com recorte regional também se organizam com o intuito de trabalhar no desenvolvimento de entendimentos e em esforços relacionados a interesses e preocupações comuns de seus membros. A French Speaking Association of Personal Data Protection Authorities (AFAPDP) ⁴⁹ e o Asia Pacific Privacy Forum (APPA)⁵⁰  são organizações que representam essa categoria.

A cooperação internacional, não só do ponto de vista prático (por exemplo, por meio dos novos mecanismos propostos pela Convenção 108+), mas também teórico (através de grupos de estudos sobre temas relevantes e trocas de informações sobre práticas internas e leis nacionais pelas autoridades), tende a auxiliar a padronização do arcabouço jurídico de proteção de dados pessoais ao redor do mundo e a tomada de medidas coordenadas e efetivas pelas autoridades de proteção de dados. 

Isso porque a intensificação de tal cooperação em casos envolvendo a tutela de dados pessoais contribuirá para que as autoridades nacionais e, consequentemente, os próprios Estados, desenvolvam valores e regras jurídicas de proteção de dados pessoais cada vez mais alinhados. Nesse ambiente, espera-se que, ao menos de modo geral, os conflitos entre leis com dispositivos incompatíveis tornem-se cada vez mais raros, o que reforçará a segurança jurídica dos envolvidos nos fluxos internacionais de informações.

3.3. Decisões de adequação e transferências internacionais

Em linha com a mesmas motivações que levam os Estados a adotarem leis com escopo de aplicação extraterritorial, diversas regulações de proteção de dados pessoais condicionam as transferências internacionais de dados⁵¹  à existência de uma decisão de adequação que reconheça que o Estado ou organismo internacional receptor das informações possui um nível satisfatório de proteção de dados pessoais.  ⁵²O objetivo é assegurar que os dados pessoais sejam transferidos apenas para entidades ou territórios terceiros que garantam tutela adequada a essas informações . 

A União Europeia é tradicionalmente quem possui maior experiência com decisões de adequação,⁵³ uma vez que a sistemática é prevista desde a Diretiva 95/46/CE, tendo sido mantida no RGPD. De acordo com o RGPD,⁵⁴ a Comissão Europeia é a autoridade competente para tomar decisões da referida natureza, que deverá se atentar a determinados elementos relacionados ao Estado ou organismo estrangeiro na verificação da adequação⁵⁵, sendo eles, em resumo: o primado do Estado de Direito, a existência de uma autoridade de proteção de dados pessoais, os compromissos internacionais aos quais tenha se vinculado (especialmente os relacionados a dados pessoais).

As decisões de adequação permitem, em princípio, o fluxo internacional de dados pessoais de forma livre sem que seja necessária a adoção de medidas adicionais de salvaguarda para viabilizar a transferência (explicadas no Subcapítulo 3.4. deste verbete). 

A autodeclaração do poder de um Estado ou um bloco político-econômico para reconhecer a adequação de um Estado terceiro (ou organismo internacional) em relação à sua sistemática de proteção de dados pode gerar impactos relevantes na ordem global de regulação do tema. Isso porque, a depender do nível de influência política e econômica daquele que emite as decisões de adequação, os países terceiros tendem a buscar se alinharem com o primeiro. 

O bloco europeu ilustra bem tais impactos. Após a adoção do RGPD, que aumentou a rigidez das condições para o tratamento de dados pessoais dentro e fora da União Europeia, diversos países se movimentaram no sentido de adotar regulações também mais rigorosas sobre o tema, a exemplo do próprio Brasil. Esses movimentos foram incentivados, é claro, pelas novas demandas geradas pela intensificação dos fluxos de dados propiciada pelo uso da internet e de novas tecnologias (como visto no Capítulo 1 deste verbete), mas também pela nova norma europeia. Os países que mantêm relações estreitas com a União Europeia almejam o livre fluxo de dados com seu território, o qual permite o desenvolvimento de relações econômicas com menos obstáculos. A adoção de textos legais de proteção de dados similares ao RGPD aumenta as chances do reconhecimento de adequação pela Comissão Europeia. 

A decisão de adequação emitida pela Comissão Europeia em 2019 quanto ao Japão⁵⁶  demonstra o quanto decisões dessa natureza geralmente estão alinhadas com interesses mais amplos dos entes envolvidos. A referida decisão foi precedida de uma série de compromissos assumidos pelo Estado nipônico, tais como a adoção de regras adicionais para equalizar o sistema japonês com o sistema europeu de proteção de dados e a implementação de um mecanismo para atender a solicitações de titulares dos dados pessoais de europeus no Japão. 

À primeira vista, seria razoável questionar as razões pelas quais o Japão assumiu tantos compromissos em relação à União Europeia, apenas para ser reconhecido como um Estado com um nível satisfatório de proteção de dados. Ocorre que as negociações para o reconhecimento da adequação se desenvolveram no âmbito das tratativas de um Acordo de Parceria Econômico entre a União Europeia e o Japão ⁵⁷, no qual, dentre outros, as partes previam a abertura dos seus mercados de serviços (e.g. financeiros, e-commerce, telecomunicações e transporte), da qual decorreria um intenso fluxo de dados pessoais transfronteiriços. Para a União Europeia, a garantia da proteção dos dados pessoais advindos de seu território era, portanto, um aspecto relevante para o sucesso do acordo.

É importante notar, como contraponto, que a sistemática de decisões de adequação – assim como o próprio efeito extraterritorial de normas de proteção de dados - nem sempre é bem recebida pelos Estados terceiros. A União Europeia, por exemplo, recebeu muitas críticas por um suposto imperialismo de proteção de dados quando adotou o RGPD. De acordo com as críticas, alguns dos dispositivos da norma legal constrangeriam entidades e países fora da União Europeia a se curvarem ao sistema europeu. De todo modo, não há dúvidas de que a sistemática de decisões de adequação contribui para a uniformização do arcabouço internacional de proteção de dados. 

3.4. Mecanismos de salvaguarda para transferências internacionais

As leis de proteção de dados ao redor do mundo comumente preveem a possibilidade de adoção de mecanismos de salvaguarda para a transferência internacional de dados pelas entidades que os transferem como alternativa aos casos em que não existir uma decisão que reconheça a adequação do sistema de proteção de dados pessoais do país ou organismo receptor.  ⁵⁸

Exemplos dos referidos mecanismos são as normas corporativas globais (“binding corporate rules” ou BCRs), as cláusulas-padrão contratuais (“standard contracutal clauses” ou SCCs), os códigos de conduta e as cláusulas específicas que podem ser implementadas de acordo com a transferência. Por meio da adoção de qualquer desses instrumentos, o controlador assume o compromisso de oferecer e comprovar garantias para tratar os dados pessoais que são objeto da transferência de forma alinhada aos princípios, obrigações e direitos estabelecidos pela legislação que os estabelece. 

As leis de proteção de dados tendem a atribuir a responsabilidade pela redação ou pela aprovação dos mecanismos de salvaguarda a agentes públicos.⁵⁹ Uma vez redigidos ou aprovados, tais mecanismos são adotados pelos entes privados de acordo com as transferências internacionais a que derem origem. Os mecanismos de salvaguarda fornecem certo grau de flexibilidade para a iniciativa privada que, dentre as diversas opções disponíveis, pode eleger aquela que melhor atenda aos interesses e peculiaridades de determinado fluxo ou atividade⁶⁰.

Em um primeiro momento, diante do escopo extraterritorial cada vez mais comum às leis de proteção de dados pessoais, a imposição da adoção dos referidos mecanismos pode não parecer necessária.⁶¹ Afinal, a sujeição pelo agente de tratamento à norma em sua integralidade (efeito decorrente da referida extraterritorialidade) representa, em tese, maior proteção aos titulares dos dados pessoais, quando comparada à proteção resultante da adoção de mecanismos específicos de salvaguarda. No entanto, a existência de tais mecanismos cumpre papel importante na proteção de dados na esfera internacional. 

De fato, diversos são os casos em que, ainda que uma entidade não tenha um estabelecimento no país de onde emana a lei de aplicação extraterritorial, suas atividades são claramente voltadas para o mercado do país e sua presença no território, ainda que virtual, é de grande relevância. Nessas hipóteses, a aplicação direta da lei na prática é mais provável e a tendência de que a entidade se adeque ao diploma legal aplicável é maior (já que a inadequação pode causar, além de sanções, impactos reputacionais). 

Em outras ocasiões, no entanto, entidades sediadas no exterior prestam serviços que envolvem o tratamento de dados pessoais advindos do país de origem da norma de forma indireta e/ou bastante discreta (como, por exemplo, quando empresas monitoram o comportamento de indivíduos na internet em benefício de terceiros). Em casos dessa natureza, os titulares de dados e mesmo as autoridades têm pouca visibilidade das atividades de tratamento de dados desenvolvidas, ainda que elas possam atrair a aplicação integral da lei de proteção de dados. Por consequência, são remotas as chances de que tais empresas tomem medidas para se adequar ostensivamente à norma. Os mecanismos de salvaguarda têm a capacidade de alcançar essas entidades e de impor a elas o tratamento dos dados pessoais de maneira adequada à luz da norma legal que determina sua adoção.

A título de exemplo, imagine-se o cenário em que uma empresa americana de relevante presença global contrate uma empresa de atuação local nos Estados Unidos da América para prestar serviços que envolvam, indiretamente, o tratamento de dados pessoais coletados no Brasil ⁶².  Ainda que, diante do âmbito de aplicação extraterritorial do da LGPD, a empresa local devesse se adequar à lei, na prática, as chances para tanto são remotas.  Nesse cenário hipotético, portanto, a imposição da adoção de mecanismos de salvaguarda como as SCCs para a transferência pela empresa de atuação global – que estaria mais exposta em caso de violação da LGPD –, assegurará, em algum grau e ainda que pela via contratual, que o tratamento ulterior pela prestadora de serviços local ocorra em consonância com os preceitos básicos da lei brasileira. 

Outro aspecto decorrente da adoção de mecanismos de salvaguarda diz respeito à inclinação à adoção dos critérios mais rígidos de proteção de dados por todas as empresas de um mesmo grupo econômico multinacional. Nos casos de empresas com presença na União Europeia, por exemplo, para que a unidade localizada no bloco possa transferir dados para uma outra entidade sediada em país terceiro não reconhecido por uma decisão de adequação, as duas deverão adotar um mecanismo de salvaguarda. No caso da execução de BCRs, é muito comum que, ainda que as demais unidades do grupo econômico não estejam envolvidas na transferência sujeita ao RGPD, todas as unidades sejam parte do documento. Isso ocorre porque, para fins de governança, muitas vezes é mais eficiente que todas as unidades do grupo adotem de forma padronizada os mesmos processos e padrões em relação a um tema (como a proteção de dados pessoais). Nesses casos, tende a prevalecer o regime mais rigoroso. Em um cenário dessa natureza, as regulações de proteção de dados acabam alcançando entidades com as quais não se relacionam diretamente.

Os mecanismos de salvaguarda demonstram, assim, ser importantes aliados na proteção internacional dos dados pessoais. Afinal, a implementação de mecanismos dessa natureza aumenta o alcance das normas legais de proteção de dados, além de instigar a autorregulação do setor privado no que se refere ao tema.

4. Conclusão

Como visto, o ecossistema internacional de proteção de dados pessoais se transformou ao longo de décadas. Nos últimos anos, as discussões envolvendo a necessidade da uniformização das regulações de proteção de dados pessoais ao redor do mundo ganharam tração. Garantir a segurança e a privacidade dos titulares dos dados sem, no entanto, criar óbices ao desenvolvimento da sociedade (em suas mais diferentes esferas: econômica, tecnológica, social e política) demonstra-se um verdadeiro desafio.

Os Estados de Direito alçaram a proteção aos dados pessoais à categoria de direito fundamental. Não por outro motivo, regulações de proteção de dados pessoais são adotadas com escopos visando a proteger tais informações independentemente de sua localização geográfica. Esse movimento gera conflitos positivos de leis – algumas vezes incompatíveis – causando atritos envolvendo a soberania dos Estados, pondo à prova a eficácia dos textos adotados e gerando insegurança jurídica àqueles que se veem sujeitos a mais de um diploma de forma concorrente.

Com o objetivo de mitigar essas fricções e encontrar um caminho comum de regulação para que os dados pessoais circulem livremente e possibilitem o desenvolvimento da sociedade e da economia, é importante construir um sistema internacional de cooperação internacional que se atente à sua proteção. 

Para este fim, parece crucial que os diferentes modelos de proteção de dados se articulem entre si. Isso poderá ocorrer por meio da troca de informações e conhecimentos e pela assistência mútua na execução das leis nacionais entre as autoridades de proteção de dados pessoais. As decisões de adequação e os mecanismos de salvaguarda, previstos por diferentes legislações, também demonstram força para contribuir nesse sentido. 

A forma como o arcabouço internacional de proteção de dados pessoais vem se delineando demonstra que, apesar dos inúmeros desafios, os principais players reconhecem que tal proteção deve ser atribuída de maneira alinhada a despeito de barreiras geográficas, viabilizando os fluxos livres de informações e desenvolvimentos ainda mais relevantes para a sociedade. Resta, no entanto, a reflexão sobre como esse arcabouço internacional dialogará com a soberania dos Estados, tendo em vista que, mesmo em um ambiente de cooperação, interesses e prioridades de determinados países ou blocos políticos econômicos comumente sobressaem-se a outros.