Recentemente, neste mesmo espaço, discutimos a revolução do metaverso: desafios normativos, legais e regulatórios. Hoje, juntamente com Cyntia Menezes, advogada associada da Font Advocats, e Carlos Sáiz, presidente da Cumplen e sócio do Ecix Group, analisamos a evolução da proteção de dados na América Latina, com foco em como, após a entrada em vigor do Regulamento Geral de Proteção de Dados (RGPD) da União Europeia, uma nova onda de mudanças legislativas teve início em muitos países.
Com base em suas experiências, também aprendemos qual é o maior problema com as leis de privacidade de dados na América Latina, e os especialistas especificaram ainda o que as empresas que desejam atuar no metaverso devem levar em consideração em termos de proteção de dados.
Como evoluiu a proteção de dados na América Latina nos últimos 10 anos?
Cyntia Menezes: “Na última década, vimos desenvolvimentos significativos na regulamentação da privacidade de dados na América Latina. Os primeiros países a legislar sobre o assunto, antes da onda de legislação da última década, foram o Chile (1999) e a Argentina (2000), mas a partir de 2010, começamos a ver esforços mais amplos na região, com a promulgação de leis específicas no México (2010), Peru (2011) e Colômbia (2012), por exemplo. Outros países, como o Brasil, tinham disposições legais sobre proteção de dados dispersas em diferentes legislações (proteção do consumidor, regulamentação de serviços de internet e códigos civil e penal, por exemplo), mas com a entrada em vigor do Regulamento Geral de Proteção de Dados (RGPD) da União Europeia, uma nova onda de mudanças legislativas começou na região.”
Essa situação decorre da abrangência e complexidade do RGPD, que inspira mudanças legislativas em todo o mundo, mas também de sua natureza extraterritorial. Os países que comercializam com a UE — e na América Latina, todos o fazem — foram obrigados a se adaptar para continuar operando no mercado europeu. Isso implicou uma corrida, tanto para adaptar as leis existentes aos novos critérios quanto para criar um novo arcabouço legal. Tudo isso levou países que não possuíam leis específicas de privacidade a desenvolverem seus próprios marcos regulatórios; é o caso de países como Brasil, Bolívia e Equador, por exemplo. Da mesma forma, países que já possuíam marcos regulatórios (Chile e Argentina) também estão buscando atualizá-los ou substituí-los para se adaptarem aos novos critérios do RGPD.
Carlos Sáiz: “Houve uma grande evolução. Vimos como vários países aprovaram suas próprias regulamentações, conscientes da necessidade de regulamentar a proteção de um direito fundamental na sociedade digital em que vivemos. A aprovação do Regulamento Geral de Proteção de Dados (RGPD) na Europa, em 2016, e sua plena aplicação desde 2018, tem sido uma alavanca muito importante para a proteção de dados em todo o mundo, já que muitas legislações nacionais alinharam seus próprios sistemas jurídicos aos princípios e metodologias do Regulamento Europeu.”
Quais são os desafios e as oportunidades para os próximos anos na área da proteção de dados?
Cyntia Menezes: “O mais importante a entender é que o problema da proteção de dados pessoais não termina com a promulgação de um quadro regulamentar. Quando falamos de dados pessoais, devemos ter em mente que vivemos numa sociedade profundamente marcada por constantes desenvolvimentos tecnológicos e por uma economia cada vez mais dependente de dados (o conceito de “economia de dados”). A combinação destes dois fatores exigirá um estado de vigilância quase constante, não só por parte da sociedade civil, mas também das administrações públicas.”
Diante desse cenário, os principais desafios que destacamos são o crescente volume de dados gerados pelos cidadãos (um volume que sempre tende a aumentar), o que causaA gestão de dados está se tornando cada vez mais difícil tanto para as empresas quanto para o titular dos dados (o indivíduo). Além disso, constatamos uma falta de transparência nos sistemas de grandes corporações.Empresas de tecnologia que dificultam muito para o cidadão comum entender claramente como seus dados estão sendo processados (e se seus direitos estão sendo respeitados), e que também dificultam o trabalho de supervisão e controle por parte dos órgãos reguladores; ou aproblemas jurisdicionais de transferências internacionais de dados.”
Carlos Sáiz: “O grande desafio da proteção de dados é que é necessário proteger informações pessoais, independentemente de serem verbais, em papel ou digitais em suas diferentes versões ou tecnologias. O desafio é conseguir implementar políticas de segurança adequadas em um ambiente de transformação digital que foi acelerado pela pandemia em todas as organizações. Devemos nos adaptar e trabalhar para analisar corretamente os riscos aos quais as informações estão expostas e garantir que os dados sejam protegidos nessas tecnologias e tendências que já são uma realidade e que possuem um certo grau de complexidade: nuvem, redes sociais, blockchain, reconhecimento facial, IA, computação de borda, metaverso, etc.”
Qual você acha que é o maior problema com as leis de privacidade de dados na América Latina?
Cyntia Menezes: “O principal problema não está exatamente na estrutura legal, seja ela qual for (nenhuma estrutura legal é perfeita), mas na capacidade das administrações públicas de gerir, supervisionar e fazer cumprir a lei.Em particular, as administrações públicas precisam ir além da função estritamente burocrática e trabalhar para criar um ambiente de igualdade de condições entre duas partes cujo desequilíbrio de poder é gigantesco: o cidadão comum e as grandes empresas de tecnologia. Esse deve ser o objetivo: nivelar o campo de atuação entre os pequenos e os grandes.
Carlos Sáiz: “A aprovação de leis e o reconhecimento do direito à proteção de dados são o primeiro passo, mas há duas questões-chave para o respeito efetivo à privacidade: 1) o estabelecimento de uma Autoridade Supervisora forte, com recursos adequados, capaz de servir os cidadãos, propondo diretrizes e melhores práticas para empresas e administrações públicas, com poderes de investigação e sanção, e conhecimento dos avanços tecnológicos incorporados ao nosso cotidiano; e 2) o fomento de uma cultura de privacidade em todos os níveis, tanto entre os cidadãos, para conscientizá-los sobre seus direitos, quanto entre gestores, funcionários de empresas e servidores públicos, para aumentar a conscientização sobre a necessidade de aplicar métodos de trabalho e processamento de dados com diligência e em conformidade com as normas. As organizações precisam de profissionais qualificados e tecnologia apropriada para implementar um sistema de conformidade com a privacidade, onde o processamento de dados seja controlado de acordo com critérios legais.”
A chegada do metaverso e a ascensão das fintechs trazem consigo uma série de desafios de privacidade que podem envolver a criação de novas leis de proteção de dados ou a adaptação das já existentes. Como você vê esse cenário?
Cyntia Menezes: “Como já dissemos, com a entrada em vigor do RGPD, o atual panorama regulatório já está mudando. Novas tecnologias e novos modelos de negócios digitais terão que se adaptar às regulamentações existentes e desenvolver seus processos de acordo. É de se esperar, obviamente, que esses novos modelos de negócios e os futuros avanços tecnológicos apresentem desafios dentro da estrutura regulatória existente, mas, mais do que mudanças legislativas, o que começaremos a ver com mais frequência são as ações de agências reguladoras/administrações públicas na interpretação e aplicação da estrutura existente, além de decisões judiciais. Especificamente na área de proteção de dados, é isso que esperamos ver a médio prazo.”
No entanto, todas essas novas tecnologias e a crescente concentração de poder nas mãos das grandes empresas de tecnologia estão levando ao desenvolvimento de um arcabouço regulatório para a tecnologia que, uma vezUma vez em vigor, poderá alterar significativamente o panorama atual. O Parlamento Europeu, por exemplo, está atualmente a debater uma série de regulamentos propostos sobre Inteligência Artificial, Serviços Digitais e Mercados Digitais — para citar apenas alguns — que pretende adotar nos próximos dois anos e que certamente conduzirão a alterações legislativas em todo o mundo, tal como aconteceu com o RGPD. Entendemos que, neste momento, estas são as alterações legislativas mais significativas que podemos esperar.”
Carlos Sáiz: “A proteção de dados é muito transversal e, em última análise, muitos dos processos das organizações, tanto públicas quanto privadas, envolvem o processamento de dados. Acredito que não estamos caminhando para um modelo de regulamentações específicas que governem parcial ou setorialmente as questões de proteção de dados, mas sim para regras gerais que implementem os principais valores da proteção de dados e, posteriormente, para um modelo de autorregulamentação setorial por meio de melhores práticas e padrões que detalhem medidas mais específicas aplicáveis a atividades de processamento específicas (financeiras, telecomunicações, serviços públicos, etc.). Algumas dessas ferramentas são os Códigos de Conduta ou as chamadas “Regras Corporativas Vinculativas” para grupos empresariais com transferências internacionais de dados.”
O que as empresas que desejam trabalhar no metaverso devem levar em consideração em termos de proteção de dados?
Cyntia Menezes: “Antes de mais nada, eles precisam entender que o metaverso não é um espaço “desregulamentado”, ou seja, não está sujeito a nenhuma jurisdição. Por mais sofisticado que o sistema seja, ele continua sendo um espaço de interação entre pessoas e, portanto, está sujeito às regras e leis aplicáveis a todo o ambiente digital. Em particular, as empresas devem se esforçar para garantir o respeito aos direitos e liberdades dos indivíduos, informando-os de forma clara e simples sobre seus direitos e responsabilidades, bem como sobre as regras internas de uso do sistema. Elas também devem implementar processos eficientes de atendimento ao cliente e garantir um ambiente tecnologicamente seguro, prestando especial atenção à proteção de menores e grupos vulneráveis.”
Carlos Sáiz: “O metaverso é um novo cenário digital onde o usuário terá uma experiência imersiva cuja ação gerará uma infinidade de novos dados para as empresas que gerenciam esse metaverso (porque haverá muitas) e para as empresas que vendem produtos e/ou serviços no metaverso (lojas digitais).
As empresas que operam no metaverso devem: a) realizar uma análise de risco e uma avaliação de impacto sobre a proteção de dados antes de lançar seu serviço ou produto; b) definir claramente a base legal para o processamento de dados, elaborar políticas e procedimentos adequados e solicitar claramente o consentimento apropriado do cliente, garantindo que sua rastreabilidade seja totalmente gerenciada; c) processar dados para fins comerciais corretamente e de acordo com os princípios legais; d) implementar as medidas de segurança necessárias para prevenir violações de dados; e) assinar acordos de confidencialidade adequados com quaisquer terceiros envolvidos no processamento de dados do cliente; e f) realizar auditorias e monitoramento para verificar se todo o processamento de dados é realizado de acordo com suas políticas, procedimentos e as regulamentações aplicáveis.
