UE prepara multas pesadas para falhas de privacidade

A nova lei de proteção da privacidade, que será aprovada hoje pelo Parlamento Europeu e os governos dos 28 estados-membros da UE, irá obrigar as empresas a reportarem imediatamente quaisquer violações de dados pessoais dos utilizadores. Se não o fizerem, serão confrontadas com multas muito mais pesadas que as atuais. Os reguladores verão os seus poderes reforçados, ao mesmo tempo que o enquadramento legal se tornará homogéneo em toda a União Europeia.

As multas poderão agora ascender a 5% das receitas globais das empresas, se estas não reportarem às autoridades nacionais acessos não autorizados a dados pessoais nas 72 horas seguintes ao incidente. Da mesma forma, os potenciais afetados deverão ser informados o mais rapidamente possível.

Foram vários os episódios de falhas de segurança que deixaram expostas as informações de milhões de utilizadores nos últimos anos e tornaram visível a insuficiência das leis existentes para lidarem com estas questões. Leis diversas, forjadas nos anos noventa e com diferentes enquadramentos nos vários estados-membros, nalguns casos com multas pouco significativas (em relação ao volume de negócios das empresas) e noutros casos não permitindo sequer a sanção monetária.

“Crê-se que muitas empresas não revelam as falhas de segurança, por isso a nova diretiva irá forçá-las a isso”, disse à Reuters Jeremy King, diretor internacional do PCI Security Standards Council. A Uber, por exemplo, só revelou um acesso não autorizado que expôs as informações de 50 mil condutores cinco meses depois de descobrir o incidente, em fevereiro deste ano.

Por outro lado, no litígio que opõe a comissão de privacidade da Bélgica ao Facebook, a empresa norte-americana argumenta que só deve responder às autoridades irlandesas, onde tem a sede europeia. Com a nova lei, gigantes como Facebook, Google e outras empresas que se envolvem frequentemente em litígios relacionados com privacidade não terão de lidar com os reguladores nacionais um a um. O sistema será único.

A reforma das leis de proteção de dados e privacidade têm-se mantido na ordem do dia no Parlamento e Conselho Europeu, dado o número de incidentes e a legislação obsoleta. Em outubro, o Tribunal de Justiça invalidou mesmo o acordo de transferência de dados entre a UE e os Estados Unidos, revogando o protocolo conhecido como “safe harbor”, do qual dependem cerca de quatro mil empresas para as suas operações.