O Regulamento Geral de Proteção de Dados (“RGPD”) foi aprovado em 15 de abril de 2016 e implementado em 25 de maio de 2018 pelo Parlamento Europeu. Possui 99 artigos e um longo preâmbulo “Considerandos”, o qual estabelece toda a principiologia fundamental para a aplicação da matéria de proteção de dados.

A nova normatização surgiu para regulamentar o tratamento de dados pessoais de todos os indivíduos da União Europeia e do Espaço Econômico Europeu (“EEE”), bem como a exportação de dados pessoais para fora da UE e do EEE – a chamada transferência internacional de dados. Com isso, o RGPD proporcionou novas formas para que os cidadãos controlem seus dados, bem como unificou as normativas até então existentes, revogando a Diretiva de Proteção de Dados Pessoais de 1995 (95/46/CE).

O RGPD consolida o entendimento de que, na União Europeia, o direito à proteção de dados foi uma construção jurisprudencial, a exemplo da experiência alemã. Então, atualmente, o direito à proteção de dados está alçado à categoria de direito fundamental7 no direito comunitário europeu, estando localizado ao lado do direito à privacidade (Zanon, 2013, p. 81-82), considerando, sempre, a aplicação no caso concreto.

Tal fato se deve, em grande medida, à natureza legislativa do regulamento, que, ao contrário da diretiva, é um ato legislativo vinculativo, aplicável em todos os seus elementos em todos os países do Bloco (Döhmann, 2020, p. 14). Trata-se de uma uniformização que, uma vez aprovada, será imposta a todos e a todas, indiscriminadamente, desde que membros do Bloco. Para Schütze (2017, p. 89-90), o regulamento deve ter aplicação geral, vinculante na sua integralidade e diretamente aplicável, portanto, a todos os membros do Bloco, nos termos do art. 288 do Treaty on the Functioning of the European Union8.

Já a diretiva9, a título ilustrativo, a exemplo do que era a Diretiva nº 95/46, que anteriormente tratava da proteção de dados na União Europeia, é um ato legislativo que fixa um objetivo geral que todos os países da UE devem alcançar. Contudo, cabe a cada país elaborar a sua própria legislação para dar cumprimento a esse objetivo. Assim define Lima Filho (2006, p. 103-104) sobre a natureza dos regulamentos:

Os Regulamentos constituem atos unilaterais dotados das seguintes características: o caráter geral, a aplicabilidade direta e a obrigatoriedade em todos os seus elementos. Vale dizer: todas as pessoas – singulares ou coletivas, empresas Estados, etc. – que se encontrem no seu âmbito de aplicação – objetivo, subjetivo, temporal e espacial – estão por ele vinculadas, o que faz com que seja obrigatório em todos os seus elementos tendo, portanto, aplicabilidade direta, ou seja, prescinde de qualquer mecanismo de recepção no ordenamento jurídico dos Estados membros incorporando-se automaticamente nesse ordenamento.

Neste contexto, no âmbito na União Europeia, há, em verdade, um sistema de governança em múltiplos níveis e, por isso, a legislação, cada vez mais, vem sendo desenvolvida para ter caráter regulatório, e não redistributivo (Schütz, 2012, p. 87-90). Ou seja, os parâmetros estabelecidos pelo RGPD não comportam relativização de seus termos, justamente para favorecer um ambiente seguro de negociações comerciais10.

Merece destaque o fato de que os europeus, quando criaram o sistema detalhado de proteção de dados que hoje é o RGPD, estabeleceram uma regra que passou a ser caracterizada como aplicação extraterritorial da lei; em outras palavras, conforme sustenta Maldonado, empresas em qualquer lugar do mundo, que vierem a oferecer bens para aqueles que estiverem na União Europeia, devem obedecer ao regulamento europeu (Maldonado; Blum, 2019, p. 226) – as normas incidem sobre toda atividade de “tratamento de dados pessoais por meios total ou parcialmente automatizados, bem como ao tratamento por meios não automatizados de dados pessoais contidos em ficheiros ou a eles destinados”, nos termos do art. 2º do RGPD.

Então, hoje, os processos empresariais que tratem dados pessoais, em outras palavras, que manipulem informações dessa natureza, são obrigados a ser desenhados de raiz e por padrão com medidas que respeitem os princípios da proteção de dados por defeito11 (privacy by default) e da proteção de dados desde a concepção12. Quer dizer, os dados devem ser armazenados por meio do uso de pseudoanonimização13 ou anonimização completa14, com as mais elevadas configurações de privacidade por padrão. O regulamento ainda veda o tratamento de quaisquer dados fora do contexto legal especificado no regulamento, salvo no caso em que quem controle os dados tenha recebido consentimento explícito e opt-in15 do proprietário dos dados. Rije-se que, a qualquer momento, o proprietário ainda tem o direito de revogar essa permissão de uso.

Dito isso, nos termos do art. 3(1), o Regulamento é aplicável ao tratamento de informações pessoais realizado “no contexto das atividades de um estabelecimento” de responsável pelo tratamento ou por operador situado no território europeu, ainda que o tratamento ocorra fora dos limites territoriais da União Europeia16. Nesse aspecto, merece destaque o caso Weltimmo, no qual a Corte Europeia esclareceu que o conceito de estabelecimento se “estende a toda atividade real e efetiva – ainda que mínima – exercida mediante uma instalação estável”. Construiu-se aí uma concepção flexível – não formalista – do conceito, válida “especialmente para as empresas que se dedicam a oferecer serviços exclusivamente pela Internet”. Veja-se o teor do acórdão (European Court of Justice, 2015, p. 7):

29. [...] Assim, para determinar se uma sociedade, responsável por um tratamento de dados, dispõe de um estabelecimento, na acepção da Diretiva 95/46, num Estado-membro diferente do Estado-membro ou do país terceiro em que está registada, há que avaliar tanto o grau de estabilidade da instalação como a realidade do exercício das atividades nesse outro Estado-membro, tendo em conta a natureza específica das atividades económicas e das prestações de serviços em causa. Este entendimento vale especialmente para as empresas que se dedicam a oferecer serviços exclusivamente na Internet.

Inclusive, nos termos do Regulamento, o local onde se dá o tratamento de dado pessoal é irrelevante se o estabelecimento do responsável é situado na União Europeia. A nova normativa tem evidente pertinência em vista dos avanços da Internet. Alcança, por exemplo, empresas e entidades responsáveis pelo tratamento de dados que utilizam computação em nuvem (cloud computing), isto é, se valem de “arranjos pelos quais recursos computacionais são fornecidos de modo flexível e independentemente da localização, que permitem uma rápida e ininterrupta alocação de recursos sob demanda”17 (Millard; Fosch-Villaronga, 2019, p. 78), nas diferentes modalidades de serviço que podem ser adotadas.

Ainda, a despeito dos elementos de extraterritorialidade do RGPD e efeitos que a normativa europeia pode produzir no sistema jurídico brasileiro ou possíveis conflitos de lei, há ainda a necessidade de se observar as possíveis repercussões em relação à transferência internacional de dados pessoais, disciplinada normativamente nos arts. 44 a 50 do Regulamento Europeu.

Em termos analíticos, uma transmissão transfronteiriça de dados pessoais18 envolve pelo menos três operações de tratamento: (i) a que tornou disponível as informações pessoais ao agente responsável ou operador (cedente) – i.e., recolhimento ou coleta dos dados; (ii) a transmissão dessas informações a receptor sediado ou residente em Estado estrangeiro pelo cedente; e (iii) o tratamento que o receptor dos dados pessoais realiza em seu estabelecimento situado em país terceiro (i.e., armazenamento em base de dados) (Giménez, 2015, p. 214).

Em essência, a regra é ancorada em modelo geográfico de regulamentação do fluxo de dados entre fronteiras nacionais, porquanto “objetiva proteger contra riscos gerados pelo país ou localidade para qual os dados serão transferidos”19 (Kuner, 2011, p. 20). A Comissão Europeia tem a atribuição de analisar o nível de proteção do país terceiro e emitir uma decisão de adequação com base nos critérios apontados no art. 45(2) do Regulamento; com isso, havendo tal decisão – sujeita a revisão quadrienal –, não se demandará prévia e específica autorização para a transmissão internacional de dados.

Por esses motivos, desde já, evidencia-se a relevância da análise da forma com a qual a legislação brasileira, para fins de conformidade com o RGPD e com o disposto na própria Lei Geral de Proteção de Dados, após as alterações promovidas pela Lei nº 13.853/2019, criou a Autoridade Nacional de Proteção de Dados e questionar se, da forma como está sendo implementada, haverá afetação da efetividade do Acordo de Livre Comércio entre o Mercosul e a União Europeia. Contudo, antes, necessário tecer alguns esclarecimentos com relação ao funcionamento das Autoridades de Proteção de Dados na Europa, sob a égide do RGPD.

A Autoridade de Controle – ou Supervisory Authority – é um ente autônomo do sistema político nacional de cada País-membro do Bloco Europeu, que busca regulamentar e dar efeito aos termos estabelecidos no Regulamento Geral de Proteção de Dados20. Destaque-se que tal Autoridade já havia sido criada pela Diretiva nº 46/95/EC, bem como prevista por alguns países (levando em consideração que até 2016 a legislação sobre a matéria de proteção de dados era facultativa entre os países do Bloco)21.

Nos termos do art. 51 do RGPD, cabe aos Estados-membros da União Europeia designar uma ou mais autoridades públicas independentes, ou Data Protection Authority (“DPA”), para a fiscalização e aplicação do RGPD. A norma ressalta o papel das autoridades na defesa dos direitos e das liberdades fundamentais das pessoas singulares, relativamente ao tratamento de dados, além de atuar na livre circulação desses dados na União. Ressalta, também, a necessidade de cooperação entre as DPAs para a melhor aplicação do RGPD em todos os Estados-membros (Maldonado; Blum, 2019, p. 227).

Dito isso, Philip Schütz entende que as características da Autoridade de Controle, para serem melhor analisadas, devem ser vistas à luz das Independent Regulatory Agencies (“IRA”), as quais podem ser definidas da seguinte forma (Schütz, 2012, p. 5-6):

IRAs can be defined as “a body with its own powers and responsibilities given under public law, which is organizationally separated from ministries and is neither directly elected nor managed by elected officials. As the name already suggests, independence from governmental influence plays an essential role in the conception of IRAs.22

Quer dizer, essencialmente, esse tipo de “agência” (por falta de melhor termo para se utilizar em matéria administrativa)23 deve, para o fiel cumprimento das suas obrigações legais, ser completamente independente de Poderes Públicos – Executivo, Legislativo e Judiciário, na pessoa de seus representantes – e privados, haja vista que tem como função precípua a fiscalização do tratamento de dados por eles realizados.

Na mesma linha de raciocínio, a DPA deve seguir os mesmos rigores da IRA, conforme define o mesmo autor (Schütz, 2012, p. 2): “Data protection authorities (DPAs) operate as one of the key actors in the field of privacy regulation, safeguarding civil liberties and consumer rights by monitoring and enforcing the compliance with data protection policies”.

Das definições apresentadas, pode-se extrair que a característica central que a Autoridade de Controle deve apresentar é a de independência no exercício de suas funções. Nesse sentido, Gilardi (2002, p. 880) desenvolveu um índice para apreender a independência formal de IRA, compreendendo quatro indicadores, conforme a seguir: “The agency’s head status, the management board members’ status, the general frame of the relationships with the government and the parliament, financial and organizational autonomy, and the extent of delegated regulatory competencies”.

Tendo isso como base, o autor se utiliza de um método quantitativo de aferição da independência da autoridade, buscando medir a independência formal de agentes governamentais. Há outros autores, como Thatcher (2002, p. 956), que, partindo também de uma análise quantitativa, expande sua análise para incluir fontes de influência como política e “revolving doors”.

Por esses motivos, cabe aos Estados-membros assegurarem às DPAs recursos humanos, físicos, técnicos e financeiros, além de outros que se façam necessários à boa condução dos casos pela autoridade. Um ponto importante a ser salientado é a observação de que caberá aos Estados-membros assegurarem que o orçamento não seja um fator prejudicial à independência das DPAs, ponto que a experiência internacional comprova como relevante em outras autoridades de natureza similar (i.e., autoridades de defesa da concorrência) (Maldonado; Blum, 2019, p. 232).

No que toca ao âmbito empresarial, também objeto desse trabalho, para fins de efetividade do Acordo de Livre Comércio assinado entre representantes da EU e do Mercosul, merece destaque o fato de que o Data Protection Officer (“DPO”) não se restringe à agência24 pública de abrangência nacional, porque o RGPD prevê, também, que empresas que tratem dados, especialmente em grande escala, nomeiem um DPO, conforme os arts. 3725 e 3826 do RGPD.

Neste contexto, as empresas deverão considerar cuidadosamente se elas fazem parte do contexto no qual é exigida a designação de um Data Protection Officer (“DPO”), considerando que (i) as diretrizes contidas no RGPD deixam claro que todas as empresas devem considerar a nomeação voluntária de um DPO; e (ii) se uma empresa optar por não nomear um DPO, as diretrizes recomendam que a empresa mantenha registros dos motivos que motivaram a decisão para poder demonstrar que todos os fatores relevantes foram considerados adequadamente.

As empresas que nomeiam um DPO precisam garantir que ele tenha acesso a todos os recursos e apoio necessários para cumprir a função e garantir a sua independência e autonomia. Isso é particularmente importante quando um DPO único é designado para um grupo de empresas, pois os desafios dessa abordagem são muito maiores. Se uma empresa deixar de cumprir suas obrigações com relação à nomeação e ao suporte de um DPO, poderá sofrer multas no âmbito do RGPD até um máximo de 10 milhões de euros ou 2% do faturamento mundial (Gabel; Hickman, 2017).

Feitos tais esclarecimentos, em março de 2010, a Corte Europeia de Justiça entendeu que a Alemanha falhou em cumprir com as suas obrigações, nos termos do parágrafo segundo do artigo 28 (1) da Diretiva nº 95/46/EC, qual seja, assegurar a completa independência da autoridade de proteção de dados:

44 And indeed, the ECJ confirmed that some governments of the German Länder had appointed specific “authorities [to be] responsible for monitoring the processing of personal data by nonpublic bodies and undertakings governed by public law which compete on the market (öffentlich-rechtliche Wettbewerbsunternehmen)”.

Em outras palavras, o DPO alemão, ou Federal Comissioner, representa não somente a diretoria da autoridade de controle, mas também a autoridade em si. Nesse sentido, refere Schütz (2012, p. 13):

Though being civil servants, DPA officials are actually working directly for him/her. While the FfDF’s basic number of staff amounts to 90,48 the annual budget, which is a part of the Federal Government Budget and therefore determined by both chambers of the legislature, totals around 8.8 million Euros.

Ainda, em caso recente decidido em outubro de 201527, também pela Corte de Justiça Europeia, determinou-se que a independência da autoridade de proteção de dados húngara foi desrespeitada. Em função de uma reforma no sistema de proteção de dados promovida pelo parlamento, o Supervisor da autoridade foi substituído antes do fim de seu mandato de seis anos. O Tribunal considerou que as autoridades não podem estar sujeitas a nenhum tipo de influência externa, e que a alteração da liderança da autoridade seria uma ofensa à independência da instituição28.

Portanto, o que se buscou demonstrar até aqui é que a independência é elemento central para o bom funcionamento da autoridade de controle da proteção de dados, a qual, por sua vez, é um pilar fundamental da estrutura organizacional criada para evitar o verdadeiro varejo de dados pessoais antes existente. O futuro das relações comerciais, principalmente naquelas em que há grande fluxo de dados pessoais, está no fiel cumprimento das legislações nessa matéria, de forma a promover um ambiente de troca seguro e comprometido com o que hoje é considerado um direito fundamental – a proteção de dados, ao lado da privacidade.

Isso posto, passar-se-á a analisar, em linha com os objetivos desse trabalho, a forma com a qual a proteção de dados se dá na América Latina para, após, vincular este contexto à Lei Geral de Proteção de Dados brasileira e à efetividade do Acordo de Livre Comércio assinado entre o Mercosul e a União Europeia.

Diversos países têm legislações de proteção de dados na América Latina, como Chile, Argentina, Uruguai e Colômbia, além do próprio Brasil. Em todos os casos, há especial interesse na proteção dos direitos do titular e sobre o armazenamento e a transferência de dados, mas nem todos os regulamentos fazem menção específica à aplicação territorial, de forma que fica em aberto a abrangência da lei, para fins de comparação com a RGPD. É o que se passa a expor, por partes.

A Lei de Proteção de Dados chilena, Ley nº 19.62829, de 18 de agosto de 1999, do Ministerio Secretaría General de la Presidencia (“Ley sobre Protección de la Vida Privada” ou “LPVP”), foi a primeira regulamentação na matéria de proteção de dados na América Latina e, assim como as demais, estabelece os parâmetros para o tratamento30 de dados pessoais e garante aos titulares o direito a acessar as informações de posse de alguma pessoa jurídica ou física, corrigi-la ou eliminá-la, se o armazenamento não respeitar as exigências da lei ou o tratamento for concluído31. Todavia, diferentemente dos outros regulamentos latinos, a LPVP não estabelece um arcabouço principiológico para reger a aplicação da lei.

Ainda, a LPVP prevê a responsabilização de empresas controladoras de dados em caso de prejuízos aos titulares, prevendo a indenização por danos materiais e morais32, sendo o mecanismo adequado para tanto o recurso ao Judiciário33. O texto estabelece algumas diferenças para o Poder Público, limitando o tratamento de dados ao previsto na lei e impedindo divulgação de informações sobre condenações depois de prescreverem34.

Por fim, a LPVP não determina a criação de alguma autoridade nacional para a execução da lei e administração dos dados. Por isso, não existindo uma autoridade de controle, a legalidade do tratamento de dados pessoais é garantida em razão do regime de sanções e do procedimento de recurso judicial disposto na lei. Em última instância, o ordenamento jurídico chileno tem concedido ao Conselho de Transparência competência para fiscalizar a aplicação da lei.

Na Argentina, a Ley nº 25.32635, de 30 de outubro de 2000, do Congreso de La Nacion Argentina (“Ley de Proteccion de los Datos Personales” ou “LPDP”), regula o uso de bases de dados públicas e privadas, estabelecendo como princípio o uso limitado à finalidade para a qual foram obtidos. De forma pioneira, a LPDP estabelece que é proibida a transferência de dados pessoais36 para países ou organismos internacionais ou supranacionais, que não proporcionem níveis de proteção adequados, mas não refere que tal standard é requisito para comercialização com outros países. O tratamento está condicionado ao consentimento do titular37, que deve ser livre, expresso e informado, sendo que tal autorização não é exigida nos casos de bases públicas, no cumprimento de uma obrigação legal, no exercício de funções próprias do Estado e quando as informações se limitam a nome, identidade, profissão, data de nascimento e endereço38. Aliás, é permitido o repasse de dados a terceiros, desde que cumpram um “interesse legítimo” do ente que os estão cedendo. Já órgãos públicos têm regras especiais, como o direito de negar o acesso, a correção e a supressão das informações.

Destaque-se que a LPDP dispõe sobre a criação de órgão de controle (“Organo de Control”), que deverá empreender todas as medidas necessárias para o cumprimento dos objetivos indicados na LPDP, podendo, inclusive, solicitar informações às entidades públicas e privadas, que estão obrigadas a fornecer todos os elementos relativos ao tratamento de dados pessoais39. Aliás, a autoridade de proteção de dados deverá garantir a segurança e a confidencialidade da informação e dos elementos analisados, podendo impor as sanções administrativas correspondentes em caso de violação às normas legais, bem como se constituir querelante nas ações penais que poderão ser promovidas em função da lei40.

Por fim, destaca-se que as penalidades previstas na LPDP incluem (i) sanções administrativas, as quais podem variar de uma advertência (“apercibimiento”) até uma multa de cem mil pesos argentinos; e (ii) sanções penais, as quais foram incluídas no Código Penal argentino por meio da LPDP e que incluem a pena de prisão de 1 (um) mês a 2 (dois) anos em caso de inserção de dados sabidamente falsos em banco de dados41 e em caso de violação de sistemas de confidencialidade e de segurança de dados para invasão de bancos de dados42. Para fins de responsabilização do agente de tratamento de dados que venha a descumprir as disposições da LPDP, o requerente deverá ajuizar uma ação de proteção de dados (“acción de protección de los datos personales”) ou o habeas data43.

No Uruguai, a Ley nº 18.33144, de 11 de agosto de 2008, do Senado y la Cámara de Representantes de la República Oriental del Uruguay (“Ley de Protección de Datos Personales y Acción de Habeas Data” ou “LPDPA”), é regida de acordo com valores e forças principiológicas, como a veracidade, a segurança de dados e o prévio consentimento informado. A LPDPA é aplicada no âmbito material para as pessoas físicas e, por extensão, para as pessoas jurídicas e, no âmbito objetivo, o regime de proteção de dados se aplica aos dados pessoais registrados em qualquer base de dados que torne os mesmos suscetíveis de tratamento e a toda modalidade de uso posterior de dados por entes públicos ou privados45.

O manejo de dados nos termos da LPDPA é condicionado ao controle por órgão específico, que poderá aplicar sanções, graduadas em atenção à gravidade, reiteração ou reincidência da infração cometida. Há que se dar especial destaque para o fato de que uma das penalidades previstas em lei é a “clausura da base de dados”46 respectiva, ante decisão dos órgãos judiciais competentes, desde que comprovada infração ou transgressão da lei.

Por sua vez, a lei de proteção de dados da Colômbia, Ley Estatutaria nº 1.58147, de outubro de 2012 (“Ley Estatutaria para la Protección de Datos Personales” ou “LEPDP”), regulamentada parcialmente pelo Decreto Nacional nº 1.377/2013 e pelo Decreto nº 1.081/2015, é bastante enxuta, possuindo apenas 30 artigos. Dispõe acerca da forma de regulação mediante a apresentação da principiologia básica, do âmbito de aplicação, da categorização de dados, procedimentos, entre outros. A LEPDP possui seção específica para tratar de mecanismos de sanção, que poderá ser aplicada pela Superintendência da Indústria e Comércio48.

Ressalte-se que entre as medidas punitivas elencadas na lei está a suspensão das atividades relacionadas com o tratamento de dados por até 6 meses e o encerramento imediato e definitivo da operação que envolva o tratamento de dados sensíveis. Não obstante, a LEPDP estabelece que as sanções previstas se aplicam apenas a pessoas de natureza privada; com isso, caso a Superintendência da Indústria e Comércio apure suposta violação por autoridade pública, a ação será encaminhada para o Ministério Público da Colômbia para que este proceda à respectiva investigação49.

A LEPDP determinou a incorporação da atividade regulatória de proteção de dados à Superintendência de Indústria e Comércio, para realizar a vigilância e garantir que o tratamento de dados respeite os princípios, os direitos, as garantias e os procedimentos previstos em lei50. Ainda, criou-se o Registro Nacional de Bases de Dados51, definido como um diretório público de bases de dados sujeitas a tratamento, porque operam na Colômbia, vinculado à Superintendência. Por fim, a LEPDP proíbe a transferência de dados pessoais para países que não proporcionem níveis adequados de proteção de dados, que em nenhuma hipótese poderá ser inferior ao da lei colombiana, para fins de circulação de dados colombianos52.

O Brasil, por sua vez, promulgou a Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais ou “LGPD”), que entrou em vigor em 18 de setembro de 2020, à exceção das sanções administrativas, que passarão a ser exigíveis apenas a partir de 1º de agosto de 2021. A LGPD regulamenta o tratamento das operações envolvendo dados pessoais, seja por meio digital ou não, dentro ou fora da Internet, e abarca, entre outras questões, os direitos dos titulares dos dados, as obrigações dos agentes de tratamento e do encarregado de dados, os parâmetros para segurança da informação, os requisitos para a transferência internacional de dados e, inclusive, as instruções quanto à atuação da Autoridade Nacional de Proteção de Dados (“ANPD”). Com isso, o Brasil passou a ser incluído no grupo de países da América Latina que possui uma Lei Geral de Proteção de Dados.

Ademais, a nível latino-americano, destaquem-se os “Padrões de Proteção de Dados dos Estados Ibero-Americanos”, os quais foram aprovados pela Rede Ibero-Americana de Proteção de Dados (RIPD ou a Rede), para cumprir com um objetivo longamente almejado por todas as entidades que a integram, bem como para um dos acordos adotados na XXV Cúpula Ibero-Americana de Chefes de Estado e de Governo, celebrada nos dias 28 e 29 de outubro de 2016, na Colômbia, relacionado com solicitar à Rede a elaboração de uma proposta de cooperação efetiva com a proteção de dados pessoais e a privacidade, alterando os standards estabelecidos no documento “RIPD 2020”.

Os Padrões Ibero-Americanos conformam um conjunto de diretrizes orientadoras, que contribuem para a emissão de iniciativas regulatórias de proteção de dados pessoais na região ibero-americana para aqueles países que ainda não contam com esses ordenamentos, ou, no caso, para servir de referência na modernização e atualização das legislações existentes. Destaca-se que diversos instrumentos internacionais serviram de referência para os Padrões, tais como o Convênio nº 108 do Conselho da Europa, o Marco de Privacidade do Fórum de Cooperação Econômica Ásia-Pacífico e o Regulamento do Parlamento Europeu e do Conselho.

Entre os objetivos dos Padrões Ibero-Americanos encontram-se (i) o estabelecimento de um conjunto de princípios e direitos comuns para proteção de dados pessoais, que os Estados ibero-americanos podem adotar e desenvolver em sua legislação nacional, com a finalidade de contar com regras homogêneas na região; (ii) garantir o efetivo exercício e tutela do direito à proteção de dados pessoais de qualquer pessoa física, mediante determinação de regras comuns; (iii) facilitar o fluxo de dados pessoas entre os Estados ibero-americanos e fora de suas fronteiras, para coadjuvar o crescimento econômico e social da região; e (iv) encorajar a cooperação internacional entre as entidades de controle dos Estados com outras autoridades de controle não pertencentes à região.

Ressalte-se que os Padrões de Proteção de Dados para os Estados ibero-americanos admitem aplicação mesmo naqueles Estados que não contam com uma legislação na matéria, porque considera-se que o acelerado uso de tecnologias da informação pode afetar a preservação e o tratamento da informação a nível comunitário, havendo comunicação massiva de dados pessoais de maneira imediata e quase ilimitada.

Com efeito, os Padrões se aplicam, (i) em âmbito subjetivo, para todas as pessoas físicas ou jurídicas de índole privada, autoridades e órgãos públicos, que tratem dados pessoais no exercício de suas atividades e funções, e, (ii) em âmbito objetivo, ao tratamento de dados pessoais que estejam em suportes físicos, automatizados total ou parcialmente, ou em ambos suportes, independentemente da forma ou da modalidade de sua criação, tipo de suporte, processamento, armazenamento e organização.

Quanto à transferência internacional de dados pessoais, os Padrões elencam regras gerais para a circulação dos dados, estabelecendo que as legislações nacionais aplicáveis na matéria poderão limitar as transferências internacionais de categorias de dados pessoais por razões de segurança, segurança pública, proteção à saúde pública, proteção dos direitos e das liberdades de terceiros, bem como questões de interesse público.

Ainda, os Padrões referem, em seu Capítulo IX, o direito de indenização, de acordo com o qual a legislação nacional dos Estados ibero-americanos aplicável reconhecerá o direito do titular de ser indenizado quando tiver sofrido danos e prejuízos, como consequência de uma violação de seu direito à proteção de dados pessoais. O direito interno dos Estados indicará, nesse sentido, a autoridade competente para receber esse tipo de ações apresentadas pelo titular afetado, bem como prazos, requerimentos e termos através dos quais será indenizado, em caso de corresponder.

Com isso, percebe-se que a proteção de dados já está na pauta da política da América do Sul há tempo muito maior do que no Brasil, o que demonstra ainda mais a urgência para a implementação da Lei Geral de Proteção de Dados e a efetividade dos dispositivos nela previstos, inclusive para favorecer as futuras relações comerciais proporcionadas pelo Acordo de Livre Comércio.

Atualmente, vivemos em uma sociedade na qual os dados assumem importância crescente, necessitando de regras claras e transparência sobre a maneira com a qual os dados são tratados e manipulados, coletados e armazenados, compartilhados e descartados. Neste contexto, as leis de proteção de dados e, em última análise, as autoridades nacionais de proteção de dados trazem a confiança e a previsibilidade necessárias para uma transformação digital sustentável (Gutierrez in: Maldonado; Blum, 2019, p. 400).

A lei uruguaia criou a Agencia para el Desarrollo del Gobierno de Gestión Electrónica y la Sociedad de la Información y del Conocimiento (Agesic), dotado da mais ampla autonomia técnica, podendo realizar todas as ações necessárias para o cumprimento dos objetivos da lei. Inclusive, recentemente, o Uruguai lançou a política Datos 360º – Una Visión Integral para la Gestión de los datos en el Estado, que é uma iniciativa criada pela Agesic para promover um enfoque holístico e interdisciplinar da gestão de dados pela Administração Pública. O seu objetivo é incorporar no tratamento de dados do Estado distintas perspectivas, como a proteção de dados pessoais, o acesso à informação pública e a segurança da informação53.

A autoridade de proteção de dados argentina, por sua vez, passou por uma severa modificação em seu modelo ao longo dos anos. A sua criação foi determinada em 2000, a partir da aprovação da Lei nº 25.326/2000, e regulamentada pelo Decreto nº 1558/2001, que a batizou de Dirección Nacional de Protección de Datos Personales, um órgão da Administração direta, subordinada a uma secretaria do Ministério da Justiça. Quer dizer, a autoridade foi criada como órgão sem personalidade jurídica própria, sob o argumento de não aumentar despesas públicas (Simão; Oms; Torres, 2019, p. 36).

Anos depois, em 2017, a estrutura da autoridade de proteção de dados argentina foi modificada, para que a atividade da autoridade não sofresse riscos de “ingerências hierárquicas e menores possibilidades para investigar e sancionar as infrações do poder público” (Simão; Oms; Torres, 2019, p. 36). A Dirección foi integrada à Agencia de Acceso a la Información Publica, criada em 2016, passando a fazer parte da Administração indireta do Estado argentino (Simão; Oms; Torres, 2019, p. 12).

De outra sorte, a Lei de Proteção de Dados Pessoais da Colômbia estabeleceu que as atividades inerentes à autoridade de controle ficariam a cargo da Superintendência de Indústria e Comércio (SIC), um órgão, à época, desconcentrado54, da Administração Pública federal (Simão; Oms; Torres, 2019, p. 22). A SIC já existia anteriormente à promulgação da lei, porque já era responsável pela regulação da propriedade industrial, proteção do consumidor, proteção da concorrência e regulamentação da metrologia legal no país, motivo pelo qual o modelo da SIC lembra o da Federal Trade Commission (FTC) dos Estados Unidos55 (Simão; Oms; Torres, 2019, p. 22). De toda forma, com a promulgação da Lei de Proteção de Dados na Colômbia, em 2012, a Superintendência criou uma pasta específica nomeada “Delegatura de proteção de dados pessoais” e, “em 2015, a SIC passou a ser enquadrada como parte da administração descentralizada, deixando de ser órgão meramente desconcentrado para ganhar personalidade jurídica própria” (Simão; Oms; Torres, 2019, p. 22).

Nesse sentido, na Colômbia, apesar da autoridade ter personalidade jurídica própria – sendo, pois, da Administração indireta –, o fato de os membros serem indiretamente nomeados pelo Presidente (tal como no Uruguai) foi apontado como fator que prejudica a neutralidade dos cargos da autoridade. Por conta desse desenho, corre-se o risco de as posições deixarem de ser técnicas, para serem utilizadas com finalidades políticas.

No Brasil, a Medida Provisória nº 869/2018 (“MP”), a qual culminou na Lei nº 13.853/2019, estabeleceu os parâmetros para a criação da Autoridade Nacional de Proteção de Dados (“ANPD”), os quais foram formalizados com o Decreto nº 10.474/202056, que aprovou a estrutura regimental e o quadro demonstrativo dos cargos em comissão e das funções de confiança da ANPD. Contudo, atualmente, a ANPD se encontra vinculada à Presidência da República e possui natureza transitória57, o que coloca em xeque a independência e a imparcialidade necessárias para o bom desempenho de suas funções de fiscalização tanto das atividades públicas quanto privadas. Portanto, a forma com a qual a ANPD foi estruturada parece não ser um bom desenho institucional para o órgão; a falta de autonomia administrativa, rije-se, foi alvo de crítica tanto na Argentina quanto no Uruguai.

Tendo em vista esses exemplos, fica evidente que, no caso brasileiro, a vinculação da autoridade à Administração direta e a livre nomeação dos membros pelo Presidente da República, sem participação da oposição, influenciam sua eficácia e dificultam a concretização da independência enquanto órgão fiscalizador, em que pese na letra fria da lei estar disposta a autonomia do órgão. Como visto, todos as autoridades possuem amplos poderes de investigação conferidos pela legislação, motivo pelo qual causa estranheza a vinculação da ANPD, “que não possui poderes expressos para requisitar acesso a bases de dados e sistemas de arquivamento, tampouco para fazer busca e apreensão” (Simão; Oms; Torres, 2019, p. 37):

Além disso, a MP 869/2018 não previu a possibilidade de a ANPD realizar, como forma de fiscalização, auditorias sobre o tratamento de dados pessoais de forma ampla, em descompasso com o Projeto de Lei foi aprovado no Congresso Nacional. Dessa forma, tal possibilidade ficou restringida a casos de verificação de aspectos discriminatórios em tratamento automatizado de dados pessoais.

Diante desse cenário e já tendo sido apresentadas as principais características do RGPD e das principais legislações de proteção de dados na América Latina, inclusive no que toca às autoridades de controle, parte-se à análise do Acordo de Livre Comércio assinado entre a União Europeia e o Mercosul e sua efetividade para as relações comerciais a serem travadas com o Brasil e ante a atual estrutura da ANPD.