LGPD | Origem histórica - Vantix Cibersegurança

A LGPD – LEI GERAL DE PROTEÇÃO DE DADOS é um assunto corporativo em pauta em razão de sua data de vigência, inicialmente prevista para o dia 20/Agosto/2020.

Para um melhor entendimento do atual estágio do contexto de Gerenciamento da Privacidade dos Dados Pessoais, faz-se necessário o entendimento da origem e evolução histórica do assunto.

1890 : Louis Dembitz Brandeis:
- advogado norte-Americano e Associado de Justiça da Suprema Corte dos Estados Unidos no Supremo Tribunal dos Estados Unidos, frequentou a Escola de Direito de Harvard, e em 1890, ele ajudou a desenvolver o conceito do “direito à privacidade (Right to Privacy)” escrevendo um artigo para o Harvard Law Review com o mesmo título.
- As recentes invenções e métodos de negócios chama a atenção para o próximo passo que deve ser tomado para a proteção da pessoa e para assegurar ao indivíduo o direito de “estar sozinho”.
1948: Declaração Universal dos Direitos Humanos – DUDH / UHDR
- Declaração proclamada pela Assembleia Geral das Nações Unidas em Paris, em 10 de dezembro de 1948, como uma norma comum a ser alcançada por todos os povos e nações. estabelecendo, pela primeira vez, a proteção universal dos direitos humanos.
- Artigo XII – Ninguém será sujeito à interferência em sua vida privada, em sua família, em seu lar ou em sua correspondência, nem a ataque à sua honra e reputação. Todo ser humano tem direito à proteção da lei contra tais interferências ou ataques.

1950: Convenção Européia sobre Direitos Humanos # CARTA # – CEDH / ECHR
- Artigo 8º.: Direito ao respeito pela vida privada e familiar
  - Qualquer pessoa tem direito ao respeito da sua vida privada e familiar, do seu domicílio e da sua correspondência.
  - Não pode haver ingerência da autoridade pública no exercício deste direito senão quando esta ingerência estiver prevista na lei e constituir uma providência que, numa sociedade democrática, seja necessária para a segurança nacional, para a segurança pública, para o bem – estar econômico do país, a defesa da ordem e a prevenção das infrações penais, a proteção da saúde ou da moral, ou a proteção dos direitos e das liberdades de terceiros.

Década 70: Explosão no comércio transfronteiriço na Europa
- Progresso no processamento das informações
- Uso massivo das telecomunicações
- Novas necessidades dos indivíduos: exercer controle sobre suas informações pessoais
- Novas necessidades comerciais: fluxo internacional de informações livres.
- Desafio: equilíbrio entre as preocupações com a proteção dos liberdades dos indivíduos e os interesses do livre comércio em toda a Europa.

1981: Convenção para Proteção das pessoas relativamente ao tratamento automatizado de dados de caráter pessoal
- Convenção 108 / ETS 108 / EU Tratado de Estrasburgo
  - A Convenção 108 do Conselho da Europa para a Proteção das Pessoas Singulares no que diz respeito ao Tratamento Automatizado de Dados Pessoais, de 28 de janeiro de 1981, foi o primeiro instrumento internacional juridicamente vinculativo adotado no domínio da proteção de dados.
  - Visa «garantir […] a todas as pessoas singulares […] o respeito pelos seus direitos e liberdades fundamentais, e especialmente pelo seu direito à vida privada, face ao tratamento automatizado dos dados de caráter pessoal».
  - O Protocolo que altera a Convenção visa alargar o seu âmbito de aplicação, aumentar o nível de proteção de dados e melhorar a sua eficácia
- Desafio: apesar desta formalização, da continuidade de desenvolvimento do comércio internacional, a necessidade de uma harmonização da lei europeia sobre Privacidade e Proteção de Dados continuava latente
- Portugal – CNPD – Comissão Nacional de Protecção de Dados.
  - https://www.cnpd.pt/bin/legis/internacional/Convencao108.htm

1992 – Tratado de Maastricht – Princípio da Subsidiariedade e da Proporcionalidade
- Objetivo: garantir um determinado grau de autonomia a uma autoridade subordinada a uma instância hierarquicamente superior, ou a uma autoridade local em relação ao poder central:
  - repartição de competências entre diversos níveis de poder, princípio que constitui a base institucional dos Estados com estrutura federal;
  - exclui a intervenção da União quando uma matéria pode ser regulamentada de modo eficaz pelos Estados-Membros a nível central, regional ou local e confere legitimidade à União para exercer os seus poderes quando os objetivos de uma ação não puderem ser realizados pelos Estados-Membros de modo satisfatório e a ação a nível da União puder conferir um valor acrescentado;
  - para que as instituições da União intervenham em nome do princípio da subsidiariedade deverão estar preenchidas três condições prévias:
  - não pode tratar-se de um domínio da competência exclusiva da União (isto é, deve ser uma competência não exclusiva);
  - os objetivos da ação considerada não podem ser suficientemente alcançados pelos Estados-Membros (necessidade);
  - devido às dimensões ou aos efeitos da ação considerada, esta pode ser mais bem alcançada ao nível da União (valor acrescentado).

1995: Diretiva 95/46/EC
- Diretiva de Privacidade – válida até 25/05/2018 (vigor da GDPR)
- CEDH (EU Charter) – 24/10/1995
- Foco: uma formalização e normalização da europeia quanto a Privacidade e Proteção de Dados, frente às necessidades de negócios na Europa.
  - (1) Considerando que os objetivos da Comunidade, enunciados no Tratado, com a redação que lhe foi dada pelo Tratado da União Europeia , consistem em estabelecer uma união cada vez mais estreita entre os povos europeus, em fomentar relações mais próximas entre os Estados que pertencem à Comunidade, em assegurar o progresso econômico e social mediante ações comuns para eliminar as barreiras que dividem a Europa , em promover a melhoria constante das condições de vida dos seus povos, em preservar e consolidar a paz e a liberdade e em promover a democracia com base nos direitos fundamentais reconhecidos nas Constituições e leis dos Estados-membros, bem como na Convenção europeia para a proteção dos direitos do Homem e das liberdades fundamentais;
  - (2) Considerando que os sistemas de tratamento de dados estão ao serviço do Homem; que devem respeitar as liberdades e os direitos fundamentais das pessoas singulares independentemente da sua nacionalidade ou da sua residência , especialmente a vida privada , e contribuir para o progresso econômico e social, o desenvolvimento do comércio e o bem-estar dos indivíduos; de e Proteção de Dados continuava latente
  - https ://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=CELEX:31995L0046&from=PT
- Desafios:
  - DIRETIVA e não um REGULAMENTO
  - Comércio internacional continuava com dificuldade em função da diversidade das regras e regulamentações em cada um dos Estados-Membros, apesar do embasamento na Diretiva 95/46/EC.
- Diretiva:
  - Ato Legislativo que estabelece diretrizes para todos os países que fazem parte do Espaço Econômico Europeu (EEE) ou Área Economia Europeia (AEE), referindo-se a todos os países da União Européia, Islândia, Liechtenstein e Noruega;
  - Apesar ao Ato Legislativo aplicado, cada país membro da AEE tem a prerrogativa de decidir como adaptar e aplicar as suas próprias Leis.
  - Antes de vigorar a GDPR, existiam 28 variações de prerrogativas regionais para a Diretiva aplicada.
- Regulamento:
  - Ato Legislativo vinculativo.
  - Aplicado em sua totalidade em todos os países que fazem parte do Espaço Econômico Europeu (EEE) ou Área Economia Europeia (AEE),
  - Lei uniforme e inegociável entre os Estados-membros.

2002: Carta dos Direitos Fundamentais da União Européia – CEDH
- Preâmbulo
  - “A União contribui para a preservação e o desenvolvimento destes valores comuns, no respeito pela diversidade das culturas e tradições dos povos da Europa, bem como da identidade nacional dos Estados-Membros e da organização dos seus poderes públicos aos níveis nacional, regional e local; procura promover um desenvolvimento equilibrado e duradouro e assegura a livre circulação das pessoais, dos serviços, dos bens e dos capitais, bem como a liberdade de estabelecimento.”
  - “Para o efeito, é necessário, conferindo-lhes maior visibilidade por meio de uma Carta, reforçar a proteção dos direitos fundamentais, à luz da evolução da sociedade, do progresso social e da evolução científica e tecnológica.”
- Capítulo I: DIGNIDADE
  - Artigo 7: Respeito à vida privada e familiar:
    - Toda pessoa tem o direito à sua vida privada e familiar, sua casa e sua correspondência.
  - Artigo 8: Proteção de dados pessoais
    - Toda pessoa tem o direito à proteção dos dados pessoais que lhe digam respeito.
    - Esses dados devem ser tratados de forma justa para fins específicos e com base no consentimento da pessoa em causa ou em qualquer outra base legítima estabelecida por lei. Todos tem o direito de acessar os dados coletados sobre ele e o direito de retificá-los.
    - O cumprimento destas regras está sujeito ao controle de uma autoridade independente.

2016: GDPR / General Data Protection Regulation
- Regulamento Geral de Proteção de Dados
  - Regulamento (EU/UE) 2016/679
  - revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados)
  - Publicado: 27 de abril de 2016
  - Vigor: 25 de maio de 2018
  - Destinado a proteger a privacidade de dados pessoas de titulares de dados localizados na AEE (Área Econômica Européia), independentemente de onde o processamento estiver acontecendo.
  - Ato Legislativo vinculativo para todos os países que fazem parte do Espaço Econômico Europeu (EEE) ou Área Economia Europeia (AEE), referindo-se a todos os países da União Européia, Islândia, Liechtenstein e Noruega, considerando-se Reino Unido (saída do BREXIT).
  - Aplica-se a todas as organizações que processam dados pessoais de cidadãos pertencentes à AEE ou que possuem sede na AEE.
  - Abrange várias atividades e aspectos, incluindo coleta, processamento, transferência, armazenamento, segurança de dados e direitos dos titulares de dados.
- Considerando 171
  - A Diretiva 95/46/CE deverá ser revogada pelo presente regulamento. Os tratamentos de dados que se encontrem já em curso à data de aplicação do presente regulamento deverão passar a cumprir as suas disposições no prazo de dois anos após a data de entrada em vigor. Se o tratamento dos dados se basear no consentimento dado nos termos do disposto na Diretiva 95/46/CE, não será necessário obter uma vez mais o consentimento do titular dos dados, se a forma pela qual o consentimento foi dado cumprir as condições previstas no presente regulamento, para que o responsável pelo tratamento prossiga essa atividade após a data de aplicação do presente regulamento. As decisões da Comissão que tenham sido adotadas e as autorizações que tenham emitidas pelas autoridades de controlo com base na Diretiva 95/46/CE, permanecem em vigor até ao momento em que sejam alteradas, substituídas ou revogadas.
  - 25 de Maio de 2018
- Publicado: 27 de abril de 2016
- Vigor: 25 de maio de 2018
  - No período de dois anos entre a publicação do GDPR e o momento de entrada em vigor, o Tratamento de Dados Pessoais continuou a ser tratado de acordo com as leis nacionais embasadas na Diretiva. 95/46/EC.
  - Neste período as operações de processamento que não cumprissem os requisitos do GDPR, mas estivessem em conformidade com a Diretiva, não deveria ter sido processados até 25 de maio de 2018 (em vigor).
- Descumprimento:
  - multa de até 4% do faturamento global anual
  - 20 milhões de Euro por infração.
- GDPR consiste de:
  - 88 páginas
  - 173 considerandos (recitals)
  - 11 capítulos
  - 99 artigos
- Diretiva
  - Ato Legislativo que estabelece diretrizes para todos os países que fazem parte do Espaço Econômico Europeu (EEE) ou Área Economia Europeia (AEE), referindo-se a todos os países da União Européia, Islândia, Liechtenstein e Noruega;
  - Apesar ao Ato Legislativo aplicado, cada país membro da AEE tem a prerrogativa de decidir como adaptar e aplicar as suas próprias Leis.
  - Antes de vigorar a GDPR, existiam 28 variações de prerrogativas regionais para a Diretiva aplicada.
- Regulamento:
  - Ato Legislativo vinculativo.
  - Aplicado em sua totalidade em todos os países que fazem parte do Espaço Econômico Europeu (EEE) ou Área Economia Europeia (AEE),
  - Lei uniforme e inegociável entre os Estados-membros.

2016: Diretiva UE/CE 2016/680
- Cooperação judiciário e polícia para assuntos criminais
- Publicado: 27 de abril de 2016
- Vigor: maio de 2018
- Respeito ao tratamento de dados pessoais pelas autoridades competentes para efeitos de prevenção, investigação, detecção ou repressão de crimes ou execução de sanções penais e à livre circulação desses dados
- A diretiva protege o direito fundamental dos cidadãos à proteção de dados quando os dados pessoais forem utilizados pelas autoridades responsáveis pela aplicação da lei.
- Ela garante que os dados pessoais de vítimas, testemunhas e suspeitos de crimes são devidamente protegidos e facilita a cooperação transfronteiriça na luta contra a criminalidade e o terrorismo.

Registros de identificação de passageiros
- Publicado: 27 de abril de 2016
- Vigor: maio de 2018
- Respeito ao tratamento dos dados dos registos de identificação dos passageiros (PNR) para efeitos de prevenção, detecção, investigação e repressão das infrações terroristas e da criminalidade grave.

Diretiva 2002/58/CE – Privacidade e Comunicações Eletrônicas
- Chamada de “Lei dos Cookies”.
- Criada para consolidar diretrizes e expectativas para a privacidade das comunicações eletrônicas e identificação de localização, incluindo os “cookies” (testemunhos e conexão) e e-mail marketing.

2017/003 – Diretiva Privacidade e Comunicações Eletrônicas
- Em fase de aprovação em substituição a Diretiva 2002/58/CE
- Artigo 8.º – Proteção das informações armazenadas nos equipamentos terminais dos utilizadores finais e relacionadas com esses equipamentos.
  - A utilização das capacidades de tratamento e de armazenamento dos equipamentos terminais e a recolha de informações provenientes dos equipamentos terminais dos utilizadores finais, incluindo sobre o seu software e hardware, que não sejam efetuadas pelo utilizador final em causa são proibidas, exceto pelos seguintes motivos:
    - Se forem necessárias exclusivamente para assegurar a transmissão de uma comunicação eletrônica através de uma rede de comunicações eletrônicas; ou
    - Se o utilizador final tiver dado o seu consentimento; ou
    - Se forem necessárias para prestar um serviço da sociedade de informação solicitado pelo utilizador final; ou
    - Se forem necessárias para uma medição de audiência da web, desde que tal medição seja efetuada pelo prestador do serviço da sociedade de informação solicitado pelo utilizador final.