O Regulamento Geral sobre a Proteção de Dados (RGPD) está em vigor há cerca de uma década e uma análise recente da Compliance Week revisita uma questão que tem acompanhado a lei desde o seu início: será que a aplicação do RGPD funciona realmente da mesma forma em todos os locais onde se aplica? De acordo com o relatório, a resposta continua a ser não. Passados dez anos, as diferenças na forma como os diferentes países da UE fiscalizam e penalizam as violações da privacidade continuam a ser um problema persistente, um problema que tem consequências reais para as pessoas que a lei deveria proteger.

Uma década de RGPD: uma lei, 27 fiscalizadores diferentes

O RGPD foi concebido como um conjunto único e harmonizado de regras que abrange todos os Estados-Membros da UE, mas nunca foi aplicado por um único regulador centralizado. Em vez disso, cada país mantém a sua própria Autoridade de Proteção de Dados (APD) nacional, responsável por investigar queixas, auditar empresas e aplicar coimas dentro das suas fronteiras. Nos casos que ultrapassam as fronteiras nacionais, como uma empresa tecnológica multinacional a operar em todo o bloco, é normalmente designada uma "autoridade principal", sendo a coordenação assegurada pelo Comité Europeu para a Proteção de Dados.

No papel, esta estrutura permite conhecimentos especializados e acessibilidade a nível local, proporcionando aos residentes de cada país um regulador que fala a sua língua e compreende o seu contexto jurídico nacional. Na prática, como reitera a análise da Compliance Week, este modelo descentralizado tem produzido resultados desiguais. Algumas APD dispõem de mais financiamento, são mais assertivas e mais rápidas a agir do que outras. Esta desigualdade significa que a força das suas proteções ao abrigo do RGPD pode depender, pelo menos em parte, do local onde a empresa que trata os seus dados tem a sua sede ou do local onde vive.

Não se trata de uma crítica nova. Os defensores da privacidade e os académicos da área jurídica têm-na levantado repetidamente ao longo dos anos, e o facto de continuar a ser salientada uma década após a entrada em vigor da lei sugere que não foi totalmente resolvida. Um regulamento é tão forte quanto a sua aplicação, e quando a aplicação varia significativamente de um Estado-Membro para outro, a promessa de proteção igual em toda a UE torna-se mais difícil de garantir na prática.

Por que razão as lacunas na fiscalização são importantes para os utilizadores comuns

Uma aplicação incoerente não é apenas uma questão abstrata de conformidade para as equipas jurídicas das empresas. Tem implicações práticas no momento em que algo corre mal. Considere o que acontece após uma violação de dados: uma empresa é legalmente obrigada a notificar as pessoas afetadas e os reguladores, mas a rapidez e o rigor com que essa notificação é acompanhada e se a APD responsável procura uma responsabilização efetiva podem diferir drasticamente consoante o país que está a tratar do caso.

Um exemplo recente ilustra o que está em jogo quando as proteções falham. A reportagem sobre o ataque do ransomware Stormous a uma rede de uma igreja neerlandesa mostrou a rapidez com que dados pessoais sensíveis, neste caso associados a uma organização religiosa que opera nos Países Baixos, podem acabar expostos assim que os atacantes violam uma rede. Incidentes como este sublinham por que razão uma fiscalização consistente e bem dotada de recursos é importante: quando ocorre uma violação, a força e a rapidez da resposta das entidades reguladoras determinam frequentemente se as vítimas obtêm respostas reais, se as organizações afetadas melhoram a sua postura de segurança e se os incidentes futuros são dissuadidos de todo.

Quando a fiscalização é forte, as violações desencadeiam investigações, coimas e responsabilização pública que empurram as organizações para melhores práticas de dados. Quando a fiscalização fica para trás, seja devido a reguladores com falta de recursos, a atrasos acumulados ou a prioridades nacionais divergentes, o efeito dissuasor enfraquece e os indivíduos ficam mais expostos da próxima vez que algo correr mal.

O que isto significa para si

Se vive ou faz negócios na UE, o RGPD continua a dar-lhe direitos significativos: a possibilidade de solicitar o acesso aos seus dados, pedir a sua eliminação e exigir transparência sobre a forma como são utilizados. Mas a conclusão central do relatório é um lembrete útil de que estes direitos não são aplicados com uma uniformidade perfeita, pelo que vale a pena ser proativo, em vez de assumir que o sistema detetará sempre os problemas por si.

  • Exerça os seus direitos ao abrigo do RGPD diretamente junto das empresas, em vez de esperar que os reguladores ajam em seu nome.
  • Preste atenção às notificações de violação e faça o seu seguimento, uma vez que nem todas as respostas das APD serão igualmente rápidas ou minuciosas.
  • Utilize palavras-passe fortes e únicas e ative a autenticação de dois fatores, uma vez que as salvaguardas técnicas não dependem do país do regulador envolvido.
  • Considere a utilização de ferramentas de privacidade como uma VPN ou comunicações encriptadas ao tratar informações sensíveis, sobretudo se não tiver a certeza do rigor com que os seus dados serão protegidos a jusante.

O essencial

Dez anos após o RGPD se ter tornado lei, o quadro elevou inegavelmente o nível de base da proteção de dados em toda a Europa e influenciou a regulamentação da privacidade muito para além das fronteiras da UE. Mas a análise da Compliance Week é um lembrete oportuno de que uma lei é tão eficaz quanto o seu elo de aplicação mais fraco. Enquanto a aplicação nos Estados-Membros não se tornar mais consistente, os indivíduos continuarão a beneficiar de forma desigual das proteções que o RGPD foi concebido para garantir. O caminho mais fiável a seguir, por agora, é combinar a consciência dos seus direitos legais com hábitos sensatos de segurança pessoal, em vez de depender apenas dos reguladores para colmatar a lacuna.