O tribunal superior da União Europeia invalidou um protocolo importante de compartilhamento de dados que permite às empresas americanas transferirem informações pessoais sobre cidadãos da UE para os EUA para processamento. O tribunal diz que o regulamento, conhecido como Privacy Shield, não é confiável, pois não protege os cidadãos da UE de programas de vigilância em massa operados por agências de inteligência dos EUA, como a NSA.
UM CHOQUE ENTRE O DIREITO À PRIVACIDADE DA UE E O DESEJO DOS EUA POR VIGILÂNCIA
A decisão no caso hoje (conhecido como Schrems II, em homenagem a seu reclamante, ativista de privacidade e advogado Max Schrems) terá um efeito sério em uma série de empresas dos EUA, mas será de preocupação especial para empresas de tecnologia e mídia social como o Facebook que processam grandes quantidades de dados pessoais - exatamente as informações que a UE deseja proteger.
O julgamento não é, de forma alguma, abrangente. Não tem efeito sobre o que a UE chama de transferências de dados "necessárias" - que cobrem tudo, desde e-mails enviados entre os EUA e a UE a reservas para férias e transações comerciais - nem significa que as transferências de dados pessoais da UE para os EUA devem parar imediatamente.
Em vez disso, milhares de empresas americanas que usam o Privacy Shield agora terão que encontrar novos mecanismos legais para garantir a segurança de todos os dados da UE que processam ou movem para onde processam esses dados, muito provavelmente para centros de dados na UE. Em termos mais gerais, o julgamento mostra que a UE continua a ver a vigilância em massa dos EUA como uma violação dos direitos fundamentais do bloco - garantindo que haverá muito mais desafios legais por vir.
Uma história de vigilância
A história da decisão de hoje é complexa, mas em seu cerne está a raiva europeia em relação à espionagem americana.
O homem que abriu o caso, Max Schrems, originalmente entrou com uma queixa contra o Facebook em 2013 após revelações sobre o programa de vigilância PRISM da NSA. O PRISM, que começou em 2007 sob o pretexto de vigilância anti-terrorismo, coletou dados de usuários das maiores empresas de tecnologia da América, incluindo Microsoft, Yahoo, Google, YouTube, Skype, Apple e Facebook. O argumento é que, ao coletar as informações pessoais de Schrems e transferi-las para os EUA para processamento, o Facebook o estava expondo à vigilância em massa indiscriminada, o que é ilegal de acordo com a Carta dos Direitos Fundamentais da UE.
O caso de Schrems se espalhou por vários tribunais da UE desde 2013, quando os juízes validaram e, em seguida, invalidaram as decisões de seus pares, criando e destruindo novas regulamentações à medida que avançam. O caso já levou à anulação de um protocolo anterior de privacidade de dados entre a UE e os EUA, conhecido como Safe Harbor Principles, e agora é reivindicado outro couro cabeludo: o Privacy Shield, introduzido em 2016 para substituir o Safe Harbor.
Em sua decisão, porém, os juízes do tribunal superior da UE, o Tribunal de Justiça, sugerem que não estão convencidos de que nenhum acordo de privacidade possa manter os dados pessoais de cidadãos da UE protegidos da vigilância americana, desde que sejam processados nos EUA sob leis atuais do país.
“As limitações à proteção de dados pessoais decorrentes da legislação nacional dos Estados Unidos [...] não são circunscritas de uma forma que satisfaça requisitos que são essencialmente equivalentes aos exigidos pela legislação da UE”, escreveram eles.
Em outras palavras: a lei dos EUA foi projetada para facilitar a vigilância em massa de uma forma que está em desacordo com as proteções de privacidade garantidas aos cidadãos da UE. Notavelmente, embora os Estados Unidos tenham aprovado alguma reforma na vigilância para proteger a privacidade de seus próprios cidadãos, eles não aplicam essas mesmas salvaguardas ao resto do mundo.
[Conheça o Avance Network a rede social/comunidade mais segura da Internet conheça nosso projeto e junte-se a nós]
Reagindo à decisão, Schrems foi inflexível de que só há um caminho a seguir para as empresas americanas agora: “reforma da vigilância”.
“É claro que os EUA terão que mudar seriamente suas leis de vigilância, se as empresas americanas quiserem continuar a desempenhar um papel importante no mercado da UE”, disse ele em um comunicado . “Como a UE não mudará seus direitos fundamentais para agradar à NSA, a única maneira de superar esse conflito é os EUA introduzirem direitos de privacidade sólidos para todas as pessoas - incluindo os estrangeiros.”
“NUNCA ESCONDEMOS QUE GOSTARÍAMOS DE VER MAIS CONVERGÊNCIA.”
Em uma coletiva de imprensa após o anúncio, a Comissão Europeia sugeriu que se sentia da mesma maneira. Věra Jourova, vice-presidente de Valores e Transparência, disse a repórteres que a UE trabalharia com os Estados Unidos para substituir o Privacy Shield, mas acrescentou que esperava que os EUA "refletissem" sobre as diferenças subjacentes entre a legislação dos dois países.
“Nunca escondemos que gostaríamos de ver mais convergência”, disse Jourova, de acordo com o TechCrunch. “Gostaríamos de ver do lado americano a lei federal sobre proteção de dados que seria equivalente ou muito semelhante ao GDPR, que estipularia salvaguardas equivalentes e fortes para a proteção de dados privados dos cidadãos.”
O diabo está nos dados
Então, os fluxos de dados através do Atlântico estão agora proibidos? De modo nenhum. Mas a decisão do Tribunal Europeu de Justiça deixa algumas grandes questões sem resposta, especialmente para as empresas de tecnologia dos EUA, devido à sua posição única em relação à vigilância americana.
Em primeiro lugar, embora o Privacy Shield tenha sido invalidado, o julgamento de hoje também confirmou outro protocolo de transferência de dados muito mais amplamente usado, conhecido como Standards Contractual Clauses, ou SCCs. Essas cláusulas são amplamente utilizadas por gigantes da tecnologia nos Estados Unidos, como Facebook e Microsoft, e também por outras empresas, como bancos, lojas e companhias aéreas. Agora que o Privacy Shield é inválido, os SCCs permanecem para transferências de dados entre a UE e os EUA legalmente em boas condições.
Como a Microsoft disse em uma postagem no blog esta manhã: “Durante anos, fornecemos aos clientes proteções sobrepostas de acordo com as cláusulas contratuais padrão (SCCs) e estruturas do Privacy Shield para transferências de dados. Embora a decisão de hoje tenha invalidado o uso do Privacy Shield no futuro, os SCCs permanecem válidos. Nossos clientes comerciais já estão protegidos pelos SCCs. ”
No entanto, embora os SCCs mantenham as transferências de dados legais no futuro previsível, a decisão de hoje sugere que as empresas de tecnologia dos EUA também estarão abertas a futuros desafios legais.
Como o NOYB grupo privacidade sem fins lucrativos (fundada pelo próprio Schrems) observou : “O TJUE já deixou claro em sua decisão que, mesmo dentro dos SCCs um fluxo de dados deve ser interrompido se uma empresa dos EUA cai sob esta lei de vigilância. Isso se aplica a praticamente todas as empresas de TI (como Microsoft, Apple, Google ou Facebook) que se enquadram no FISA 702. ”
Wouter Seinen, sócio da firma de advocacia Baker McKenzie, disse ao The Verge que concordava com a avaliação da decisão. “A decisão do Tribunal abre caminho para o escrutínio individual desses acordos de transferência de dados por [autoridades] em cada um dos 27 estados membros da UE”, disse Seinen. “Deve-se adotar uma abordagem caso a caso.”
Para ser claro, a maioria das empresas dos EUA que processam dados pessoais da UE (incluindo bancos, lojas e companhias aéreas, por exemplo) não será afetada. Apenas as empresas que se enquadram em certas leis de vigilância dos EUA agora parecem estar abertas a desafios legais futuros. Como é típico da UE: parece que tudo isso vai voltar aos tribunais, mais uma vez.
O Avance Network é uma comunidade fácil de usar que fornece segurança de primeira e não requer muito conhecimento técnico. Com uma conta, você pode proteger sua comunicação e seus dispositivos. O Avance Network não mantém registros de seus dados; portanto, você pode ter certeza de que tudo o que sai do seu dispositivo chega ao outro lado sem inspeção.
