Safe Harbor Agreement: uma análise crítica sobre a transferência de informações pessoalmente identificáveis da UE para os Estados Unidos
O que é o Acordo de Porto Seguro e por que ele é importante para a privacidade dos dados?
Imagine que você é um cidadão da União Europeia (UE) e que usa um serviço online de uma empresa americana, como o Facebook, o Google ou a Amazon. Você provavelmente sabe que essas empresas coletam e armazenam seus dados pessoais, como seu nome, endereço, e-mail, preferências, histórico de navegação, etc. Mas você sabe para onde esses dados vão e como eles são protegidos?
De acordo com a legislação da UE, os dados pessoais dos cidadãos europeus só podem ser transferidos para países que garantam um nível adequado de proteção aos dados, de acordo com os princípios da Diretiva de Proteção de Dados da UE. Esses princípios incluem o consentimento do titular dos dados, a finalidade legítima do tratamento, a limitação da coleta e do uso, a transparência, a segurança, a correção e a possibilidade de oposição ou cancelamento.
No entanto, os Estados Unidos não têm uma legislação federal abrangente sobre proteção de dados, e as leis estaduais variam muito. Além disso, as autoridades americanas podem ter acesso aos dados pessoais dos cidadãos europeus por motivos de segurança nacional, sem garantir os direitos e as garantias previstos na legislação europeia.
Para resolver esse impasse, em 2000, a Comissão Europeia e o Departamento de Comércio dos Estados Unidos criaram o Acordo de Porto Seguro (Safe Harbor Agreement), um conjunto de princípios que permitiam às empresas americanas se auto-certificarem de que aderiam aos padrões europeus de proteção de dados ao transferir e armazenar os dados pessoais dos cidadãos da UE nos Estados Unidos. As empresas que se registravam no Departamento de Comércio e obedeciam ao acordo eram consideradas pela UE como fornecedoras de proteção adequada aos dados.
O Acordo de Porto Seguro foi adotado por mais de 4 mil empresas americanas, incluindo gigantes da tecnologia como Facebook, Google e Microsoft. No entanto, ele também foi alvo de críticas e questionamentos por parte de ativistas, organizações e autoridades europeias, que duvidavam da eficácia e da fiscalização do acordo.
A situação se agravou em 2013, quando as revelações do ex-analista da Agência Nacional de Segurança (NSA) dos Estados Unidos Edward Snowden mostraram que as autoridades americanas tinham acesso indiscriminado aos dados pessoais dos cidadãos europeus coletados pelas empresas americanas, violando os princípios do Acordo de Porto Seguro.
Em 2015, o ativista austríaco Max Schrems entrou com uma ação judicial contra o Facebook na Irlanda, alegando que seus dados pessoais não estavam sendo adequadamente protegidos pela empresa nos Estados Unidos. O caso chegou até o Tribunal de Justiça da União Europeia (TJUE), que em 6 de outubro de 2015 declarou inválido o Acordo de Porto Seguro, considerando que ele não garantia um nível equivalente de proteção aos dados dos cidadãos europeus.
A decisão do TJUE causou um grande impacto no cenário internacional da privacidade dos dados, colocando em risco as operações das empresas americanas na Europa e gerando incerteza jurídica para os consumidores e os negócios. Para evitar o caos e restabelecer a confiança entre os dois blocos, a Comissão Europeia e o Departamento de Comércio dos Estados Unidos iniciaram novas negociações para estabelecer um novo marco para o fluxo transatlântico de dados.
Em 2 de fevereiro de 2016, as duas partes anunciaram a criação do Escudo de Privacidade UE-EUA (EU-US Privacy Shield), um novo acordo que substituiu o Acordo de Porto Seguro e que visa garantir um nível adequado de proteção aos dados pessoais dos cidadãos europeus transferidos para as empresas americanas. O Escudo de Privacidade UE-EUA incluiu novas salvaguardas e controles para garantir a transparência, a responsabilidade, a segurança e a aplicação dos direitos dos titulares dos dados, além de estabelecer um mecanismo de resolução de litígios e um processo de revisão anual.
O Escudo de Privacidade UE-EUA foi adotado por mais de 5 mil empresas americanas, que se comprometeram a cumprir os seus princípios e a serem auditadas por organizações independentes para verificar a sua conformidade. No entanto, o novo acordo também foi alvo de críticas e questionamentos por parte de ativistas, organizações e autoridades europeias, que ainda consideravam que ele não garantia um nível equivalente de proteção aos dados dos cidadãos europeus, especialmente após as revelações sobre a coleta em massa de dados pela NSA e outras agências americanas.
Em 16 de julho de 2020, o Tribunal de Justiça da União Europeia (TJUE) declarou inválido o Escudo de Privacidade UE-EUA, considerando que ele não oferecia garantias suficientes contra a interferência do governo americano na privacidade dos dados pessoais dos cidadãos europeus. A decisão do TJUE foi baseada no caso Schrems II, uma nova ação judicial movida por Max Schrems, que questionou a legalidade da transferência dos seus dados do Facebook para os Estados Unidos.
A decisão do TJUE teve um impacto significativo nas empresas americanas que transferem dados pessoais da UE para os Estados Unidos, especialmente aquelas que dependem do modelo de negócio de coleta massiva de dados para fins de publicidade e análise. As empresas tiveram que adotar novas estratégias e soluções para garantir a conformidade com as leis europeias de proteção de dados, como o Regulamento Geral de Proteção de Dados (RGPD).
Em resumo, o Acordo de Porto Seguro e o Escudo de Privacidade UE-EUA foram importantes marcos na história da privacidade dos dados transatlânticos, mas também mostraram os desafios e as limitações dos acordos voluntários e dos modelos de auto-regulação para proteger os direitos fundamentais dos cidadãos na era digital. A proteção da privacidade dos dados pessoais requer uma abordagem abrangente, baseada em princípios claros, normas aplicáveis, fiscalização rigorosa e cooperação internacional.
