Especialistas em direitos humanos da ONU emitiram uma mensagem clara: leis de privacidade no papel não são suficientes. Em uma declaração divulgada em Genebra, os especialistas afirmaram que a independência das autoridades de proteção de dados e o acesso efetivo aos tribunais são essenciais para salvaguardar o direito à privacidade, particularmente quando empresas de tecnologia poderosas estão envolvidas. Para qualquer pessoa cujos dados pessoais estejam em bancos de dados corporativos, o ponto é prático. Autoridades independentes de proteção de dados e direitos de privacidade andam de mãos dadas, e quando uma é fraca, a outra sofre.

O que os especialistas da ONU disseram sobre supervisão e justiça

A declaração, publicada pelo Escritório do Alto Comissariado das Nações Unidas para os Direitos Humanos (ACNUDH), centra-se em um princípio simples. Nas palavras dos especialistas, "os direitos de privacidade não podem ser protegidos apenas por leis". O trecho publicado do comunicado é breve, portanto limitamos este relatório ao que os especialistas afirmaram diretamente: que os órgãos de supervisão devem ser independentes e que as pessoas devem poder recorrer aos tribunais quando seus direitos forem violados.

Essas são duas salvaguardas separadas que funcionam em conjunto. Uma autoridade de proteção de dados investiga reclamações, audita organizações e pode impor penalidades. Os tribunais oferecem uma via para que os indivíduos busquem reparação e contestem decisões de empresas ou até mesmo dos próprios reguladores. Se qualquer uma das camadas estiver ausente ou comprometida, uma pessoa cujos dados tenham sido usados indevidamente pode não ter para onde recorrer de forma significativa.

Por que as leis sozinhas falham diante de empresas de tecnologia poderosas

A maioria dos países agora tem alguma forma de legislação de proteção de dados. Mas uma lei é tão forte quanto as instituições que a aplicam. Grandes empresas de tecnologia detêm enormes quantidades de informações pessoais e possuem recursos jurídicos e financeiros significativos. Um usuário individual diante de uma delas está em uma posição desigual.

Esse desequilíbrio é a razão pela qual os especialistas destacaram a independência e o acesso à justiça. Um regulador que esteja sob pressão política ou comercial pode relutar em processar grandes empresas. Um regulador sem poderes ou recursos adequados pode ser incapaz de fazê-lo. E se os tribunais forem caros demais, lentos ou inacessíveis, os indivíduos podem simplesmente desistir de fazer valer seus direitos, mesmo quando a lei está do seu lado.

Na prática, isso significa que o texto de uma lei de privacidade conta apenas parte da história. Quem nomeia o regulador, como ele é financiado, se pode agir contra governos além de empresas e se as pessoas podem recorrer de suas decisões — tudo isso molda quanta proteção existe na realidade.

Quando os reguladores carecem de independência: o exemplo da Lei DPDP da Índia

A Lei de Proteção de Dados Pessoais Digitais da Índia oferece um estudo de caso útil sobre por que essas preocupações importam. Quando a lei foi aprovada em 2023, grande parte da discussão pública concentrou-se em notificações de violações, penalidades e requisitos de consentimento para empresas. Menos atenção foi dada a como a Lei interage com as regras de transparência. Nosso explicador sobre como a Seção 44(3) da Lei DPDP da Índia afeta o acesso sob a lei RTI examina como uma disposição pode restringir a capacidade do público de obter informações, o que por sua vez limita o escrutínio sobre como os dados são tratados.

A lição se encaixa no alerta dos especialistas da ONU. Um marco de proteção de dados pode incluir regras de consentimento e penalidades e ainda assim deixar lacunas se isenções enfraquecerem a responsabilização ou se a supervisão carecer de independência. Leitores que acompanham o debate em qualquer país podem usar as mesmas perguntas: O regulador é separado dos órgãos que supervisiona? Os cidadãos podem contestar decisões? Existem exceções que reduzem a transparência?

O que isso significa para você

Você pode não controlar como seu país estrutura seus reguladores, mas pode tomar medidas que façam as proteções existentes valerem.

  • Use seus direitos legais. Dependendo de onde você vive, você pode solicitar acesso aos dados que uma empresa mantém sobre você, pedir correção ou exclusão e opor-se a certos usos. Essas solicitações também criam um registro caso você precise reclamar posteriormente.
  • Conheça seu regulador. Descubra qual autoridade de proteção de dados cobre você e como registrar uma reclamação. As reclamações são uma das principais formas pelas quais os reguladores tomam conhecimento de problemas.
  • Mantenha registros. Guarde avisos de privacidade, correspondências e capturas de tela quando acreditar que seus dados foram tratados indevidamente. Eles são úteis se uma disputa chegar a um regulador ou tribunal.
  • Fique atento às isenções. Quando uma nova lei de privacidade é proposta ou aprovada, olhe além das proteções anunciadas. Isenções e disposições de aplicação fracas frequentemente determinam o quão bem ela funciona.
  • Combine suas defesas. Os direitos legais funcionam após os dados terem sido coletados. As ferramentas técnicas funcionam antes. Criptografia, senhas fortes e exclusivas, autenticação de dois fatores e uma VPN para limitar o que seu tráfego de rede revela podem reduzir a quantidade de dados expostos desde o início. Uma VPN não substitui proteções legais, e proteções legais não substituem bons hábitos de segurança.

Principais conclusões

A declaração dos especialistas da ONU é um lembrete de que a privacidade é tanto uma questão técnica quanto institucional. Autoridades independentes de proteção de dados e direitos de privacidade dependem umas das outras: leis fortes precisam de reguladores que possam agir sem pressão, e os indivíduos precisam de tribunais que possam realisticamente acessar.

Para os leitores, a resposta mais útil é combinar abordagens. Exerça seus direitos de acesso, exclusão e reclamação, use criptografia e ferramentas de privacidade para reduzir a exposição de dados e fique atento a como as leis são escritas e aplicadas. Para ver como a supervisão fraca e as isenções podem erosionar tanto a privacidade quanto a transparência na prática, leia nosso estudo de caso sobre a Lei DPDP da Índia e seu efeito no acesso à RTI.