Os tempos parecem de tréguas nas relações económicas entre os EUA e a União Europeia (UE), mas há uma “nuvem negra” que tem passado despercebida: a suspensão iminente da Privacy Shield, o acordo celebrado entre os EUA e a UE que permite a transferência livre de dados pessoais para os EUA.
Não é novidade o iminente declínio da Privacy Shield. Na realidade, era praticamente um entendimento pacífico que, se nada mudasse por iniciativa das autoridades norte-americanas, era só uma questão de tempo. Assim, no passado dia 5 de julho, o Parlamento Europeu fez o ultimato: se até ao dia 1 de setembro os EUA não garantirem os níveis de proteção exigidos pela UE, a Privacy Shield fica suspensa.
Mas afinal, o que acontece com as organizações se a Privacy Shield cair?
Ainda que não se perca a esperança no sucesso da revisão da Privacy Shield, é recomendável que as empresas afetadas iniciem o quanto antes processos de conformidade que garantam que, no pior dos cenários, os seus procedimentos técnicos e organizacionais não venham a ser afetados. Antes de mais, importa esclarecer que apenas as organizações que, de alguma forma, exportem dados pessoais para os EUA poderão ser afetadas.
O conceito de transferência de dados é amplo, bastando, por exemplo, que uma empresa armazene dados pessoais de forma regular e sistemática em servidores sediados nos EUA para que se possa entender estarmos perante uma transferência de dados. Da mesma forma, uma permissão de acesso regular e sistemático de uma organização norte-americana a dados recolhidos e armazenados no Espaço Económico Europeu (EEE) implica uma transferência de dados.
Significa isso que todas as empresas que, de alguma forma, estejam a transferir dados pessoais para os EUA terão de deixar de o fazer?
Não necessariamente. Em primeiro lugar, importa dar nota que os grandes prestadores de serviços de armazenamento em cloud têm recentemente procurado manter os dados dentro da UE, de forma a prestar maiores garantias de proteção de privacidade e de integridade nos seus serviços de armazenamento e de partilha de dados. Por isso, e antes de equacionar a implementação de medidas de segurança adicionais, convém que a organização verifique se, de facto, está ou não neste momento a exportar dados para os EUA. Mesmo que esteja a operar com um fornecedor de cloud norte-americano, pode dar-se o caso de este fornecedor ter servidores no EEE, situação que deve ser verificada junto do próprio fornecedor e que habitualmente constam nas respetivas políticas de proteção de dados.
De recordar que uma transferência ilícita de dados pode resultar numa violação de dados, punível com coimas que podem chegar, ou mesmo ultrapassar, os 20 milhões de euros.
