Por que você não deve contar com a ADPPA e o Privacy Shield 2.0
Muito tem se falado sobre a legislação bipartidária dos EUA que pode acabar se tornando uma lei federal de proteção à privacidade de dados. Além disso, os EUA e a UE chegaram a um acordo para implementar um substituto para a estrutura invalidada do Privacy Shield.
No entanto, notamos certa confusão entre as empresas e a base de clientes com as quais a Sinch Mailgun trabalha sobre o que isso realmente significa para elas.
A nossa conclusão? Não comemore antes da hora.
Em outras palavras, já ouvimos isso antes e conhecemos o histórico do Congresso dos Estados Unidos em resolver as coisas dentro do prazo. Portanto, não dependa do que atualmente é conhecido como a Lei Americana de Proteção à Privacidade de Dados (ADPPA, na sigla em inglês) e do aguardado Marco Transatlântico de Privacidade de Dados… pelo menos não por enquanto.
Por que não? Para esclarecer as coisas, vamos analisar isso mais de perto e entender a fundo o que remetentes de e-mail e empresas precisam saber para encontrar empresas parceiras que levam a privacidade de dados a sério.
O contexto
Até agora, todo mundo já conhece o Regulamento Geral sobre a Proteção de Dados da União Europeia (GDPR). Você também já deve saber que os Estados Unidos não têm uma lei federal de privacidade de dados que chegue perto de ser tão abrangente quanto o GDPR.
E todos sabemos que vivemos e trabalhamos em uma comunidade global. Pessoas e empresas na UE fazem negócios com pessoas e empresas nos EUA o tempo todo. Por isso, as organizações dos EUA que lidam com dados de cidadãos da UE precisam estar em conformidade com o GDPR, assim como as empresas da UE também precisam que suas parcerias nos EUA estejam em conformidade. Quem lida com dados pessoais precisa garantir total conformidade com o GDPR.
Mas precisamos voltar aos primeiros dias do GDPR para entender onde estamos agora.
A saga do Privacy Shield entre UE e EUA
Antes do GDPR, existia um acordo internacional conhecido como Princípios de Privacidade de Safe Harbor, que fornecia diretrizes para o armazenamento e a proteção de dados pessoais transmitidos pelo Atlântico entre a Europa e os Estados Unidos.
Contudo, depois que o GDPR foi elaborado, ficou claro que esse acordo de Safe Harbor não seria o suficiente e o Tribunal de Justiça da União Europeia (TJUE) o invalidou em 2015. A O Privacy Shield entre UE e EUA foi a estrutura legal que entrou no lugar.
Tudo parecia muito bem por um tempo. Isso até que um ativista austríaco da área de privacidade de dados chamado Maximillian Schrems abalou as estruturas.
Cobrar grandes empresas de tecnologia pela falta de proteção à privacidade de dados é a especialidade de Max Schrems. Na faculdade, ele escreveu um trabalho sobre o desconhecimento do Facebook em relação às leis europeias de privacidade. Mais tarde, ele registrou uma denúncia contra o Facebook na Comissão de Proteção de Dados da Irlanda (esse caso é conhecido como Schrems I).
Depois que o GDPR virou lei em maio de 2018, Max Schrems abriu processos contra Google, Facebook, Amazon, Netflix, Spotify, YouTube e outras empresas, alegando violações do regulamento. Isso é conhecido como Schrems II, e foi encaminhado pelo Supremo Tribunal da Irlanda para o Tribunal de Justiça da União Europeia (TJUE).
No fim, o TJUE invalidou o Privacy Shield em 2020 como resultado do Schrems II, classificando a estrutura como um acordo de proteção inadequado entre os EUA e a UE no que diz respeito ao GDPR. O maior problema do Privacy Shield é que ele permite que as empresas compartilhem dados pessoais de cidadãos da UE com as agências de inteligência dos EUA — sem nenhuma proteção adequada para esses dados.
Mais especificamente, as leis de vigilância dos EUA (FISA, CLOUD Act) não oferecem nenhuma proteção adequada para quem não tem cidadania estadunidense. Assim, as pessoas na UE não conseguem descobrir se as autoridades policiais ou agências de inteligência estão acessando seus dados pessoais nem por que precisam deles — e não têm respaldo legal para contestar essas solicitações de vigilância. Além disso, muitas empresas dos EUA não conseguem recusar solicitações dessas agências para acessar dados de cidadãos da UE.
Fora isso, o Privacy Shield nunca foi, de fato, uma solução muito sólida para garantir a conformidade com o GDPR. Para começar, envolvia um processo de autocertificação. Basicamente, tudo que a empresa precisava fazer era preencher um formulário online com informações básicas e alguns parágrafos da sua política de privacidade para receber a certificação pela estrutura do Privacy Shield. Não havia auditorias ou checagens de verdade para comprovar a real conformidade com o GDPR.
As consequências do Schrems II
Após a invalidação do Privacy Shield, as grandes empresas de tecnologia foram alvo de críticas por usarem a estrutura como mecanismo de certificação da proteção de dados transmitidos a partir da UE. Por exemplo, O Google tem a certificação do Privacy Shield. Mas, no início deste ano, um órgão de vigilância de privacidade na França determinou que o Google Analytics viola o GDPR. A Dinamarca também baniu recentemente o Gmail, o Google Workspace e os Chromebooks nas escolas pelo mesmo motivo, tornando-se a quarta nação da UE a fazer isso.
Claro, não é só o Google nem as gigantes do GAFA. Entre janeiro de 2021 e 2022, as multas do GDPR aumentaram sete vezes, totalizando cerca de US$ 1,2 bilhão. Mas vamos ser claros…
Enquanto isso, o governo dos EUA e a UE trabalharam em uma nova estrutura, que vem sendo chamada informalmente de Privacy Shield 2.0. No entanto, a estrutura atual do Privacy Shield continua em vigor, mesmo que as Perguntas frequentes do Privacy Shield admitam que o TJUE considerou o acordo inadequado. O governo dos EUA afirma que a invalidação pela UE não isenta as empresas das suas obrigações.
Isso nos leva a onde estamos hoje…
A situação atual
Uma coisa em que quase todos os envolvidos concordam é que seria muito mais fácil gerenciar a proteção à privacidade de dados em um ambiente global se houvesse regras mais padronizadas. Um grande problema nos EUA, por exemplo, é que não há uma lei federal de privacidade de dados.
Em vez disso, cada estado tem ou está elaborando sua própria legislação local. A mais famosa entre elas é a Lei de Privacidade do Consumidor da Califórnia (CCPA, na sigla em inglês), que reflete o GDPR em muitos aspectos.
No passado, já houve tentativas de implementar uma lei federal. Mas, agora, finalmente parece que um projeto de lei está ganhando força. A Lei Americana de Proteção à Privacidade de Dados (ADPPA) foi aprovada em uma comissão da Câmara com expressiva votação bipartidária de 53 a 2. Mas tudo o que isso significa é que os legisladores decidiram que vale a pena votar. Ainda há um longo caminho pela frente até que isso se torne oficial. O projeto ainda precisa passar por uma votação completa na Câmara, de onde poderá ir para o Senado e, por fim, ser sancionado.
Ao mesmo tempo, a UE e os EUA chegaram a um acordo provisório sobre um novo mecanismo legal oficialmente conhecido como o Marco Transatlântico de Privacidade de Dados (também conhecido como Privacy Shield 2.0). Ele é baseado na estrutura do Privacy Shield entre UE e EUA, mas traz garantias adicionais em relação ao acesso das agências de inteligência dos EUA e mais proteção para os dados da UE.
No entanto, ainda será um processo de autocertificação. E isso não garante proteção contra problemas legais. Por exemplo, uma ação judicial da Comissão Federal de Comércio dos EUA (FTC) alega que, ao se autocertificar no site do Privacy Shield, o Twitter prestou informações falsas afirmando estar em conformidade com o acordo.
Ainda não vimos nenhum rascunho da nova estrutura proposta, mas a expectativa é que ela esteja alinhada à ADPPA. Até termos mais certezas ou um texto concreto, o Marco Transatlântico de Privacidade de Dados é apenas um acordo de cavalheiros entre a Comissão Europeia e os EUA. governo.
O que isso significa para os remetentes
O informativo oficial da Casa Branca sobre a nova estrutura declara:
Ou seja, é algo muito importante. Sem dúvida, há muito dinheiro envolvido.
Qualquer organização que colete ou processe endereços de e-mail de cidadãos da UE precisa levar a conformidade com o GDPR em consideração, incluindo como esses dados são transmitidos e armazenados, como são protegidos e quem pode acessá-los.
Há algumas empresas de tecnologia por aí dizendo que, com o acordo do Privacy Shield 2.0 e a ADPPA a caminho, os remetentes não têm com o que se preocupar. Mas isso simplesmente não é verdade. Como vimos no caso do Twitter, obter uma “certificação” sob essa estrutura não quer dizer muito quando você faz isso por conta própria. Além disso, essas empresas ainda não provaram como protegem os dados pessoais da UE.
O Marco Transatlântico de Privacidade de Dados vai ajudar, é claro, porque é uma solução global que resolve preocupações sobre a vigilância dos EUA. Ainda assim, empresas de ambos os lados do oceano devem assumir a responsabilidade pela total conformidade com o GDPR.
E tem mais uma coisa…
Sabe-se lá quanto tempo vai levar para a ADPPA virar lei (isso se virar mesmo) ou para o acordo do Privacy Shield 2.0 ser finalizado?
Apesar de o projeto de lei da ADPPA ser considerado bipartidário, o Congresso dos EUA não é conhecido por ser rápido e eficiente. Afinal, os legisladores têm as eleições de meio de mandato para se preocuparem em 2022. Você também pode esperar que os lobistas das grandes empresas de tecnologia tentem influenciar os detalhes do projeto à medida que ele avança no processo legislativo.
Outro possível obstáculo é que a ADPPA terá precedência sobre as leis estaduais vigentes de privacidade de dados. Ativistas em defesa da privacidade em estados como a Califórnia não estão gostando dessa ideia. Portanto, legisladores que representam estados com leis mais rigorosas que a ADPPA podem resistir.
Além disso, mesmo que o projeto seja sancionado até o fim de 2022, ainda levará tempo até entrar em vigor. Em uma entrevista ao site TheMarkUp.org, o ex-secretário de comércio dos EUA, Cameron Kerry, confirmou que as empresas teriam dois anos para entrar em conformidade com a ADPPA. Isso significa que a previsão mais otimista para os EUA esperarem qualquer efeito de uma lei federal de privacidade de dados é para 2025.
Sabe-se lá se o Marco Transatlântico de Privacidade de Dados vai resistir a avaliações minuciosas. Obviamente, todo mundo achava que as estruturas anteriores eram boas o suficiente… até que deixaram de ser.
Será que o Schrems III está a caminho? No início deste ano, o ativista divulgou um comunicado indicando que não ficou muito impressionado com a nova estrutura.
É lamentável que a UE e os EUA não tenham usado essa situação para chegar a um acordo 'sem espionagem', com garantias básicas entre democracias que pensam de forma semelhante. Empresas e clientes enfrentam mais anos de incerteza jurídica.
Você não pode depender de esperanças e expectativas. Mas você pode encontrar empresas confiáveis para trabalhar ao seu lado e dar aquela ajuda.
Em quem você pode confiar?
Como mencionamos anteriormente, sem uma alternativa ao Privacy Shield em vigor, as empresas na UE e nos EUA estão usando SCCs para delinear a conformidade com o GDPR em termos de transferências de dados pelo Atlântico. Mas isso não é tudo o que se exige.
O que você realmente precisa é de um programa de conformidade completo, que inclua as medidas complementares adotadas pelo Comitê Europeu para a Proteção de Dados (CEPD). Elas estão conectadas ao Artigo 46 do GDPR.
- Exportadores de dados devem mapear todas as transferências para outros países.
- As ferramentas usadas para transferir dados devem ser atestadas como adequadas.
- Exportadores de dados devem avaliar se há leis em países terceiros que possam violar a proteção de dados dos cidadãos da UE.
- Implementar medidas para aumentar o nível de proteção, caso existam leis que infrinjam as normas do GDPR.
- Tomar providências formais em termos de procedimentos para adotar todas as medidas complementares necessárias.
- Reavaliar regularmente a proteção de dados através de terceiros.
E quais seriam alguns exemplos dessas “medidas complementares”? Elas podem incluir uma análise interna baseada em riscos para avaliar a eficácia das SCCs. Operadores de dados nos EUA também podem impor limitações sobre quem tem permissão para acessar os dados dos cidadãos da UE. Formas eficazes de criptografia de dados e outras medidas de segurança organizacional são exemplos adicionais.
Resumindo, a situação é a seguinte:
- Os controladores de dados da UE devem encontrar parceiros nos EUA, como operadores de dados que contem com medidas para garantir a conformidade com o GDPR.
- Os controladores de dados dos EUA que tenham clientes (ou assinantes) da UE devem ter ferramentas adequadas de transferência de dados para proteger a privacidade.
- Os Operadores de dados que trabalham com empresas da UE devem assumir a responsabilidade pela conformidade com o GDPR, incluindo a segurança das transferências de dados da Europa.
A moral da história é que nenhuma empresa deve contar com uma nova estrutura legal baseada em autocertificação, e ninguém deve esperar que a ADPPA resolva todos os seus problemas de privacidade de dados.
A abordagem da Mailgun em relação à conformidade
Esta empresa leva a conformidade com o GDPR muito a sério. Nossa marca irmã, a Sinch Mailjet, foi a primeira empresa do mundo a obter a certificação AFNOR para o GDPR.
A Sinch Mailgun é sediada nos EUA, mas temos data centers localizados na União Europeia, o que nos oferece uma ótima vantagem.
Por exemplo, uma empresa que só tem data centers nos Estados Unidos seria forçada a atender a solicitações dos EUA, vindas da polícia ou de agências de inteligência, para acessar dados de cidadãos da UE e poderia não conseguir negar esse acesso. Eles precisarão fornecer o acesso porque é o que a lei exige e não teriam fundamentação jurídica para se defender de ceder o acesso. Mas esses fornecedores talvez não queiram que você se preocupe com isso. Assim, tentarão acalmar suas preocupações dizendo que a ADPPA e o Privacy Shield 2.0 vão resolver tudo. (Desculpe. Isso está incorreto. Mas valeu a tentativa!)
Contudo, como a Mailgun tem data centers na UE, conseguimos proteger esses dados de acessos indesejados que violariam o GDPR. Na verdade, a Mailgun consegue oferecer à clientela planos nos quais os dados são hospedados exclusivamente na UE (ou nos EUA, se preferirem).
Além disso, seguimos o princípio da minimização de dados, em que apenas funções limitadas e que tenham necessidade comprovada recebem acesso aos dados dos clientes.
Para provar o nosso compromisso com a conformidade com o GDPR, a Mailgun obteve certificações de terceiros (ISO 27701) e passa por auditorias SOC 2 Tipo II anualmente. Ambas incluem controles específicos do GDPR como parte da avaliação. Você pode saber mais sobre essas medidas no portal de segurança da Mailgun.
Na Mailgun, não esperamos por legislações nem estruturas. Nós nos esforçamos para estar um passo à frente quando o assunto é proteção de dados. Nossa postura é de antecipar mudanças nas regulamentações e proteções à privacidade de dados, em vez de apenas reagir a elas.
Se você tiver dúvidas sobre segurança e conformidade, estamos sempre prontos para responder. E, como Chefe de Privacidade de Dados (DPO) da Mailgun, talvez você receba uma resposta diretamente minha.
