Que impacto vai ter o Brexit no RGPD?

Depois da saída do Reino Unido da UE, muitas organizações ficaram a pensar que impacto é que o Brexit vai ter no RGPD e que medidas devem ser tomadas para cumprir as novas leis e regulamentos.

Quando o RGPD entrou em vigor a 25 de maio de 2018, marcou a maior mudança nas leis de privacidade de dados dos últimos 20 anos. A legislação foi concebida para uniformizar as regras de proteção de dados em toda a União Europeia e para reconhecer os direitos das pessoas no que diz respeito à utilização dos seus dados pessoais.

As organizações dedicaram muito tempo e esforço nos últimos dois anos a melhorar os processos de proteção de dados e a implementar novas medidas para cumprir esta legislação marcante.

Este compromisso com a proteção de dados não foi em vão, já que muitas das medidas adotadas vão continuar a ser relevantes e não vão alterar a forma como as empresas sediadas no Reino Unido tratam os dados dos titulares neste país.

No entanto, agora que o Reino Unido saiu formalmente da UE, as organizações vão ter de avaliar que alterações é preciso fazer para garantir o cumprimento da legislação aplicável em matéria de proteção de dados.

Para responder a quaisquer perguntas que possas ter, preparámos um pequeno guia que explica o que estas mudanças podem significar para o teu negócio.

Brexit e RGPD – Tudo o que precisas de saber

O RGPD vai continuar a aplicar-se no Reino Unido?

A^{1 de} janeiro de 2021, o RGPD da UE deixou de se aplicar no Reino Unido, uma vez que se trata de um regulamento da UE. No entanto, se a tua empresa operar no Reino Unido, vais continuar a ter de cumprir a legislação britânica em matéria de proteção de dados. O governo britânico incorporou o RGPD na legislação do Reino Unido, dando-lhe o nome de RGPD do Reino Unido.

Na prática, isto significa que quase nada mudou. Foram feitas algumas alterações para refletir a situação do Reino Unido fora da UE, mas, no essencial, os princípios fundamentais de proteção de dados, os direitos e as obrigações do RGPD permanecem os mesmos e foram consagrados no RGPD do Reino Unido.

O RGPD continuará a aplicar-se se a tua empresa operar no Espaço Económico Europeu (EEE)?

Sim. Se a tua empresa opera na Europa, oferece bens ou serviços a pessoas na Europa ou se monitorizas o comportamento de pessoas na Europa, então o RGPD da UE continua a aplicar-se. Se a tua organização realizar atividades de tratamento tanto na UE como no Reino Unido, terás de cumprir tanto o RGPD do Reino Unido como o RGPD da UE.

Como é que o Brexit afeta as transferências internacionais de dados?

No âmbito do novo acordo comercial, a UE concordou em adiar as restrições à transferência por um período limitado de até quatro meses, que pode ser alargado para seis. Este mecanismo de transição vai permitir que os dados pessoais circulem livremente do Espaço Económico Europeu (EEE) para o Reino Unido até que se chegue a uma decisão de adequação.

Como o Reino Unido já saiu da UE, é considerado um «país terceiro» em relação à Europa, ao abrigo do RGPD. Os países terceiros são os Estados que não fazem parte do âmbito de aplicação do RGPD da UE. As transferências de dados da UE para países terceiros estão sujeitas a restrições, a menos que a Comissão Europeia conceda um estatuto chamado «adequação».

A Comissão Europeia concede o estatuto de adequação aos países se considerar que estes têm um nível adequado de proteção de dados. Outros países a quem a UE já concedeu o estatuto de adequação incluem a Argentina, a Nova Zelândia, Israel e o Japão. Se o Reino Unido receber o estatuto de adequação, a livre circulação de dados pessoais vai continuar sem quaisquer novas restrições.

A UE vai ser adequada para as transferências de dados do Reino Unido?

Sim. O governo do Reino Unido confirmou que, numa fase de transição, vai reconhecer a UE como adequada para permitir a transferência de dados a partir do Reino Unido sem quaisquer mecanismos de transferência adicionais.

A tua empresa vai precisar de um representante na Europa?

Se a tua empresa oferece bens ou serviços a pessoas no EEE ou se monitorizas o comportamento de pessoas no EEE, então podes ter de nomear um representante na UE. Da mesma forma, se a tua empresa não estiver sediada no Reino Unido, mas tratares dados pessoais de cidadãos britânicos, podes ter de nomear um representante no Reino Unido, ao abrigo do RGPD do Reino Unido.

Qual vai ser o papel da ICO?

A ICO continuará a ser o órgão de supervisão independente responsável pela legislação de proteção de dados do Reino Unido. No entanto, deixará de ser uma autoridade de supervisão da UE; por isso, se processares dados de cidadãos da UE, terás de nomear um representante na UE. A ICO deixou bem claro que, se lidas com dados de cidadãos da UE, vais continuar a ter de cumprir o RGPD.

A quem vais notificar em caso de violação de dados?

Em caso de violação de dados, uma empresa sediada no Reino Unido entraria em contacto com a ICO. Após o Brexit, a ICO só investigará incidentes relacionados com a proteção de dados que envolvam cidadãos do Reino Unido. Se a violação envolver várias nacionalidades, a ICO abrirá uma investigação e colaborará com as autoridades de supervisão de cada um dos territórios afetados. Se estiverem envolvidos titulares de dados da CEE, terás de contactar diretamente as autoridades de supervisão da UE relevantes.

Será que outras regulamentações sobre proteção de dados vão ser afetadas?

DPA

A Lei de Proteção de Dados do Reino Unido de 2018 (DPA 2018) vai continuar a aplicar-se, complementando o RGPD do Reino Unido.

PECR

O Regulamento de Privacidade e Comunicações Eletrónicas de 2003 (PECR) estabelece regras relativas ao marketing, aos cookies e às comunicações eletrónicas. Trata-se de um regulamento específico do Reino Unido, derivado de uma lei da UE conhecida como diretiva «e-privacidade» (existem planos em curso para substituir a diretiva «e-privacidade» pelo regulamento «e-privacidade»). O PECR vai, portanto, continuar em vigor e não é afetado pela saída do Reino Unido da UE.

NIS

A Diretiva relativa à Segurança das Redes e dos Sistemas de Informação (NIS) também decorre do direito da UE, mas está consagrada na legislação do Reino Unido. Como tal, as regras atuais vão continuar a aplicar-se. No entanto, se fores um prestador de serviços digitais com sede no Reino Unido a oferecer serviços na UE, podes ter de nomear um representante num dos Estados-Membros da UE onde prestas serviços.

eIDAS

O regulamento relativo aos serviços de identificação, autenticação e confiança eletrónicos também é uma lei da UE, mas já não se aplica no Reino Unido. No entanto, o governo britânico afirmou que vai incorporar as regras do eIDAS na legislação do Reino Unido, pelo que, se fores um prestador de serviços de confiança no Reino Unido, continuarás a ter de cumprir essas regras. Além disso, se prestares serviços na UE, também terás de cumprir as regras do eIDAS nos Estados-Membros da UE.

FOIA

A Lei da Liberdade de Informação de 2000 faz parte da legislação do Reino Unido e vai continuar a ser aplicada.

EIR

Os Regulamentos sobre Informação Ambiental estão previstos na legislação do Reino Unido, pelo que continuarão a aplicar-se, a menos que sejam revogados ou alterados.

Que medidas devem as empresas tomar depois do Brexit?

As organizações vão ter de fazer uma análise detalhada da privacidade de dados para avaliar se é preciso fazer alguma alteração. Se a tua empresa estiver sediada no Reino Unido e oferecer bens e serviços principalmente a clientes do Reino Unido, então não terás de fazer quase nada. No entanto, se forneceres bens e serviços tanto à UE como ao Reino Unido, poderá ser necessário fazer algumas alterações. Para garantir o cumprimento da legislação relevante em matéria de proteção de dados, a tua organização deve:

Mapeia os fluxos de dados para garantir que a tua empresa cumpra tanto o RGPD do Reino Unido como o RGPD da UE.
Atualiza os registos de tratamento de dados para cumprir os requisitos do RGPD da UE e do RGPD do Reino Unido.
Verifica se existe alguma autoridade de supervisão da UE que passe agora a ser considerada uma autoridade de supervisão principal (LSA).
Atualiza os planos de resposta a violações de segurança para que seja possível notificar a ICO e a LSA da UE, caso ocorra uma violação.
Pensa se a tua empresa precisa de nomear um representante no Reino Unido e/ou na UE.
Atualiza as declarações de privacidade para garantir que descrevem em pormenor os fluxos de dados e cumprem os requisitos relevantes de ambas as legislações.
Altera os contratos e modelos existentes para incluírem as referências adequadas tanto ao RGPD do Reino Unido como ao RGPD da UE.
Pensa se as avaliações de impacto em matéria de proteção de dados e as avaliações de interesse legítimo vão precisar de ser atualizadas para estarem em conformidade com o RGPD do Reino Unido.
Certifica-te de que existem as salvaguardas adequadas para os fluxos transfronteiriços de dados.
Avalia se precisas de nomear um responsável pela proteção de dados distinto para o Reino Unido e para a UE.