Conformidade com o GDPR após o Brexit: o UK GDPR e o EU GDPR

GDPR é a lei de privacidade e segurança de dados da Europa. Ela determina um conjunto de regras para coletar e usar os dados pessoais de cidadãos da UE, tanto para empresas da UE quanto para estrangeiras.

GDPR cobre as regras principais para coleta e uso de dados pessoais. Exige que sua empresa seja justa e clara sobre como você usa os dados coletados de seus clientes. Você também deve coletar e usar os dados apenas para os propósitos sobre os quais informou sua base de clientes.

As diretrizes do GDPR também se aplicam ao armazenamento de dados pessoais e regulam por quanto tempo você pode armazená-los, além de como mantê-los protegidos. A segurança dos dados envolve o uso de medidas técnicas como criptografia e autenticação de dois fatores. Também inclui medidas organizacionais como treinamento de equipe e limitação de acesso aos dados.

O Reino Unido, antes do Brexit, também estava sujeito ao GDPR. No entanto, após o Brexit, o Reino Unido criou seu próprio conjunto de regras para GDPR. Agora, é comumente referido como UK GDPR.

Portanto, é importante entender o que é o UK GDPR se você deseja coletar e usar os dados de cidadãos do Reino Unido. Vamos abordar como ele difere do EU GDPR e quais são as leis e regulamentos que regem os dados no Reino Unido.

O que é o EU GDPR?

EU GDPR é uma lei de proteção de dados que entrou em vigor em 2018 na UE. A lei tem como objetivo dar às pessoas controle sobre seus dados pessoais. Também responsabiliza as empresas por como usam e armazenam os dados de seus clientes. É também um aspecto importante da folha de pagamento internacional, portanto, é importante familiarizar-se com suas regulamentações.

O EU GDPR possui sete regras e responsabilidades principais que cada empresa deve seguir. Elas incluem:

1. Legalidade, Justiça e Transparência

O GDPR exige que: "os dados pessoais sejam processados de forma legal, justa e transparente." Sua empresa deve ter uma razão válida para usar os dados de alguém. Pode ser a permissão da pessoa, necessidade legal ou interesse legítimo.

Você não pode coletar dados simplesmente porque é conveniente. O GDPR exige uma razão legal, e você deve ser claro e honesto com seus clientes sobre por que precisa deles.

2. Limitação de Propósito

Quando sua empresa coleta dados pessoais, você deve ter uma razão específica e usá-los apenas para esse propósito. Também deve informar seus clientes sobre a razão da coleta de seus dados e ter documentos explicando o uso pretendido. É importante revisar o processamento de dados regularmente. Quando necessário, atualizar prontamente a documentação e os procedimentos.

3. Minimização de Dados

Sob GDPR, as empresas devem coletar apenas os dados de que realmente precisam. Coletando menos dados, você reduz o risco de problemas em caso de violação de dados. Isso exige não solicitar informações desnecessárias, mas apenas as essenciais para cumprir um propósito específico.

4. Precisão

Os dados que você coleta devem ser precisos e atualizados. Se alguém informar que seus dados mudaram, você deve atualizá-los. Isso significa verificar e corrigir os dados regularmente para garantir que estejam sempre corretos.

5. Limitação de Armazenamento

Não mantenha dados pessoais por mais tempo do que o necessário. Assim que não precisar mais dos dados para o motivo pelo qual foram coletados, você deve excluí-los ou torná-los anônimos. Isso garante que as informações das pessoas não sejam mantidas para sempre, o que poderia ser arriscado.

6. Integridade e Confidencialidade (Segurança)

Você deve proteger os dados pessoais contra perda, roubo ou acesso por pessoas não autorizadas. Isso inclui usar senhas fortes, criptografar dados e garantir que apenas certas pessoas possam ver ou usar os dados. Se ocorrer uma violação de dados, você deve relatá-la em até 72 horas para minimizar danos.

7. Responsabilidade

As organizações devem assumir responsabilidade pelos dados que coletam. Também devem provar que estão seguindo as regras do GDPR. Isso significa ter políticas claras, treinar a equipe e ser capaz de mostrar como protegem os dados. Se houver alto risco de problema com os dados, devem realizar uma Avaliação de Impacto à Proteção de Dados para identificar e corrigir possíveis problemas antes que aconteçam.

Essa lei também torna difícil para as empresas enganar os consumidores com linguagem confusa ou vaga. Garante que as empresas notifiquem os visitantes de seus sites de que estão coletando seus dados.

Sob GDPR, clientes e consumidores consentem explicitamente com essa coleta de informações. Os sites devem solicitar consentimento pedindo que eles cliquem em um botão ou tomem alguma outra ação. Além disso, os sites devem notificar rapidamente os visitantes se seus dados pessoais forem comprometidos devido a uma violação.

Por fim, a lei também exige uma avaliação da segurança dos dados do site. Ela também determina se a empresa precisa contratar um Encarregado de Proteção de Dados (DPO). Em alguns casos, um membro da equipe existente pode desempenhar esse papel.

O que é o UK GDPR?

O Regulamento Geral de Proteção de Dados do Reino Unido (UK GDPR) é a lei do Reino Unido que regula a proteção de dados. Ele é baseado no EU GDPR e possui muitas semelhanças com ele. O GDPR do Reino Unido pós-Brexit mantém os valores centrais do EU GDPR, garantindo que os padrões de proteção de dados sejam preservados.

Para quais casos o UK GDPR se aplica?

Uma das principais diferenças entre UK GDPR e EU GDPR está na sua aplicabilidade. O EU GDPR se aplica a todas as organizações, tanto dentro quanto fora da UE. Toda empresa que deseja coletar e processar os dados de cidadãos da UE deve cumprir o EU GDPR, independentemente de onde a empresa esteja sediada.

Por outro lado, o UK GDPR tem uma aplicação muito mais restrita. Ele se aplica a qualquer empresa que colete dados pessoais de cidadãos do Reino Unido. Aplica-se a empresas registradas no Reino Unido e fora das fronteiras do Reino Unido.

Empresas que coletam dados de cidadãos tanto do Reino Unido quanto da UE devem seguir tanto o EU GDPR quanto o UK GDPR.

Quem são as Autoridades Reguladoras relevantes?

As autoridades reguladoras responsáveis por fazer cumprir as regras e regulamentos do GDPR também diferem.

Na UE, cada país deve estabelecer uma ou mais entidades reguladoras que supervisionem e façam cumprir as regras do EU GDPR. Essas são conhecidas como Autoridades de Supervisão.

Além de pelo menos uma Autoridade de Supervisão em cada país membro, o EU GDPR também é governado pelo Conselho Europeu de Proteção de Dados (EDPB). O conselho garante que todos os países membros apliquem o GDPR de forma consistente. Também resolve quaisquer disputas que possam surgir entre eles. O EDPB também promove a cooperação entre diferentes Autoridades de Supervisão.

No Reino Unido, a autoridade reguladora que governa, supervisiona e faz cumprir o UK GDPR é o Office do Comissário de Informação (ICO). O ICO tem funcionalidades semelhantes às de uma Autoridade de Supervisão. O Departamento de Ciência, Inovação e Tecnologia do Reino Unido apoia a operação do ICO.

Qual é a diferença entre UK GDPR e EU GDPR?

Existem várias diferenças entre o UK GDPR e o EU GDPR. As duas primeiras, aplicabilidade e autoridades de supervisão, são abordadas em detalhes. No entanto, há várias outras diferenças que uma empresa que coleta dados de clientes tanto no Reino Unido quanto na UE deve considerar.

UK GDPR é Adaptado ao quadro jurídico do Reino Unido

Como o EU GDPR abrange múltiplos países sob o mesmo guarda-chuva, sua legislação GDPR faz referências às instituições da UE. O UK GDPR localiza isso para instituições dentro do país.

O EU GDPR foca em todos os países sob sua jurisdição. O UK GDPR descreve processos de cooperação entre as instituições do Reino Unido e da UE.

A maioria dos padrões de proteção de dados é a mesma no EU GDPR e no UK GDPR, mas o UK GDPR possui várias diferenças. Tem isenções para certas autoridades públicas. Também exige a nomeação de encarregados de proteção de dados. O Reino Unido também possui requisitos mais rígidos para notificações de violação de dados do que seu equivalente na UE.

Transferências de dados pessoais

As transferências de dados pessoais na UE são muito mais simples sob o EU GDPR. Em essência, o EU GDPR considera todos os países sob sua jurisdição como um único mercado. Isso significa que empresas na UE podem transferir dados para outros países da UE. No entanto, precisam estar em conformidade com os princípios gerais de proteção de dados.

O Brexit fez com que o Reino Unido fosse considerado uma jurisdição separada aos olhos do EU GDPR, semelhante ao Canadá ou aos EUA. Como resultado, mais salvaguardas foram estabelecidas para transferir dados entre as duas entidades. Por exemplo, empresas que transferem dados para o Reino Unido podem precisar usar cláusulas padrão de proteção de dados ou regras corporativas vinculantes para manter os dados seguros.

Diferenças para representantes

Outra diferença significativa entre as duas leis está na forma como tratam os representantes. Ou seja, o EU GDPR exige que empresas de terceiros países que coletam dados pessoais de seus cidadãos tenham um representante no país onde coletam os dados.

O Reino Unido exige um representante, mas ele não precisa estar localizado no Reino Unido. Semelhante ao EU GDPR, esse representante atua como ponto de contato. Seu objetivo principal é garantir uma cooperação tranquila entre a organização e os órgãos reguladores relevantes. Mas, o Reino Unido não exige uma presença local.

Empresas que operam sob ambos os GDPRs podem precisar estabelecer representantes separados, dependendo das jurisdições envolvidas.

Mecanismos OSS

Empresas que navegam pelo EU GDPR frequentemente se preocupam em estar envolvidas com várias Autoridades de Supervisão. No entanto, o EU GDPR possui uma disposição chamada mecanismo OSS, que permite um processo mais simplificado para as empresas.

O mecanismo OSS permite que as empresas lidem com apenas uma Autoridade de Supervisão. Ainda assim, o processo permanece aberto a sugestões de outra Autoridade de Supervisão, se a situação exigir.

O UK GDPR não possui tais disposições, sendo localizado para um único país. O Office do Comissário de Informação (ICO) é a única entidade equivalente à Autoridade de Supervisão. Ele é responsável por todas as decisões do UK GDPR.

Alterações e atualizações

O processo de alterar e atualizar o GDPR também varia. Com o EU GDPR, todas as mudanças ocorrem por meio do processo legislativo da UE. É um processo que envolve decisão coletiva e várias entidades reguladoras.

Já o UK GDPR está sob o governo do Reino Unido. O governo do Reino Unido tem autoridade para fazer alterações e atualizações no GDPR. Embora busque manter um alto nível de segurança de dados semelhante ao oferecido pelo EU GDPR, pode fazer alterações de forma independente.

Penalidades e multas

A última diferença está nas penalidades e multas. Tanto o EU GDPR quanto o UK GDPR podem decidir multar empresas que ignoram as regras do GDPR com taxas fixas. Ou podem aplicar uma porcentagem da receita anual da empresa. A taxa dependerá de qual for maior.

Sob EU GDPR, as empresas podem ser multadas em €10 milhões ou 2% para infrações menores. A multa pode chegar a €20 milhões ou 4% para infrações mais graves.

O UK GDPR reconhece infrações menores e maiores também. Infrações menores podem ser multadas em £8.700.000 ou 2%. Infrações mais graves podem custar à empresa £17.500.000 ou 4%.

Considerações e Desafios de Conformidade

Navegar pelo EU GDPR e UK GDPR pode ser desafiador, portanto, as empresas devem estar cientes em detalhes das diferenças entre ambos. Aqui estão alguns desafios que você pode enfrentar ao navegar pelo GDPR nesses dois países:

1. Aplicabilidade Dual

Embora haja muitas semelhanças, é importante considerar ambos ao criar a política de segurança de dados. Empresas que operam tanto no Reino Unido quanto na UE devem garantir que suas práticas de proteção de dados sigam ambos os padrões.

2. Transferências de Dados

Como não há termos previamente acordados sobre transferência de dados entre o Reino Unido e a UE, você deve tentar implementar um mecanismo adequado de transferência de dados. Isso pode significar criar regras corporativas vinculantes ou confiar em cláusulas contratuais padrão.

3. Requisitos Diferentes

Existem diferenças significativas entre os dois GDPRs, portanto, é importante entender quais são. Ao coletar dados de cidadãos do Reino Unido e da UE, você precisa estar atento a ambos os GDPRs e suas diferenças para manter a conformidade.

4. Responsabilidade Aumentada

A principal razão para seguir o GDPR pode ser que você deseja que seus clientes e consumidores confiem em você. Para outras empresas, é evitar multas pesadas. Se este for o seu caso, deve planejar e se preparar para ser responsável sob ambos os GDPRs.

Por que é importante manter conformidade com o EU GDPR e UK GDPR?

Como mencionado anteriormente, é importante manter conformidade com o EU GDPR e UK GDPR se você estiver coletando dados de residentes do Reino Unido ou da UE.

Uma das principais razões para seguir o GDPR na sua empresa é que isso ajuda a construir confiança com seus clientes. Também promove transparência e boa comunicação entre vocês. Boa comunicação e confiança serão benéficas para a reputação do seu negócio.

O GDPR também pode ajudar a simplificar seus processos de proteção e coleta de dados. Com seu foco em coletar apenas os dados necessários, pode orientar sua empresa pelas melhores práticas de segurança e armazenamento. Isso ajudará a evitar coletar e gerenciar dados desnecessários, além de economizar na implementação de processos complexos e caros para gerenciá-los.

No entanto, provavelmente o maior benefício para as empresas é manter a conformidade com a lei. Em outras palavras, ajuda a evitar multas pesadas e penalidades que podem ocorrer. Se seus clientes e consumidores ficarem insatisfeitos com a forma como você lida com seus dados, eles podem iniciar ações legais contra você.

No Reino Unido, as penalidades por não conformidade com o GDPR podem chegar a £17,5 milhões. Na UE, as multas podem chegar a €20 milhões.

Melhores práticas para empresas que navegam pelo UK GDPR e EU GDPR

Como uma empresa que precisa navegar por ambos os GDPRs, há algumas melhores práticas que você pode seguir para manter a conformidade. Claro que há diferenças significativas dependendo do tipo de negócio que você administra, mas, em geral, você deve:

1. Entender profundamente as diferenças entre o UK e o EU GDPR

2. Determinar se sua empresa exige conformidade com ambos, ou apenas com o UK ou EU GDPR.

3. Implementar quaisquer medidas de proteção de dados necessárias. Mantê-las alinhadas às recomendações estabelecidas pelas regras e regulamentos relevantes do GDPR.

4. Por fim, revisar e atualizar regularmente suas políticas de segurança de dados, e acompanhar quaisquer mudanças no GDPR.

Se você não tiver certeza de qual GDPR se aplica à sua empresa e linha de negócio, também pode considerar contratar especialistas para cuidar disso por você. Consulte as autoridades relevantes para garantir que seu negócio esteja em conformidade com o UK GDPR, EU GDPR ou ambos, se necessário.

Perguntas Frequentes

O Reino Unido ainda segue o EU GDPR?

O Reino Unido segue o UK GDPR, que compartilha muitas semelhanças com o EU GDPR. Se você é uma empresa que opera no Reino Unido, mas coleta dados sobre clientes da UE, ainda precisará cumprir o EU GDPR.

Quais são os 7 princípios do GDPR no Reino Unido?

Os sete princípios do GDPR no Reino Unido incluem Legalidade, Justiça e Transparência, Limitação de Propósito, Minimização de Dados, Precisão, Limitação de Armazenamento, Integridade e Confidencialidade, e Responsabilidade.

O UK GDPR se aplica apenas a cidadãos do Reino Unido?

Sim, o UK GDPR se aplica aos cidadãos do Reino Unido. Toda empresa precisa seguir os requisitos do UK GDPR ao processar os dados de residentes do Reino Unido.

O que é considerado consentimento conforme o UK GDPR?

O UK GDPR possui padrões claros sobre o que significa consentimento válido. O pedido de consentimento deve ser claro e inequívoco. Deve envolver os usuários e visitantes do site clicando em uma opção de adesão (opt-in). O UK GDPR proíbe estritamente caixas de seleção pré-marcadas. Também exige que os sites ofereçam opções de consentimento “granulares” para diferentes tipos de processamento.