Desde a sua implementação em 2018, uma das questões mais colocadas sobre a GDPR tem sido: ela se aplica fora da União Européia? E mais especificamente: aplica-se a empresas dos EUA?
Neste post, vamos responder a esta pergunta e explicar o que as empresas americanas podem precisar fazer para cumprir (e evitar multas!).
O GDPR aplica-se aos EUA?
Na maior parte dos casos, sim, é verdade.
O GDPR tem um âmbito extraterritorial, o que significa que também pode ser aplicado fora da União Europeia. O regulamento destina-se a proteger os usuários europeus e, portanto, pode se estender também às empresas estrangeiras.
Para ser mais preciso, para que o GDPR se aplique às suas empresas americanas, você deve atender a pelo menos um dos seguintes requisitos:
- A sua empresa está sediada na UE (note que isto se aplica mesmo no caso de uma sucursal da UE);
- não está sediada na UE, mas oferece bens ou serviços (mesmo gratuitamente) a utilizadores sediados na UE;
- não está sediada na UE, mas monitoriza o comportamento dos utilizadores sediados na UE.
Aqui está um exemplo prático, retirado da Orientações do Conselho Europeu de Proteção de Dados:
Uma start-up estabelecida nos EUA, sem qualquer presença comercial ou estabelecimento na UE, fornece uma aplicação de mapeamento de cidades para turistas. O aplicativo processa dados pessoais relativos à localização dos clientes que utilizam o aplicativo, a fim de oferecer publicidade direcionada para locais a serem visitados, restaurantes, bares e hotéis. O aplicativo está disponível para turistas enquanto eles visitam Nova Iorque, São Francisco, Toronto, Paris e Roma. A empresa americana start-up está especificamente voltada para indivíduos na União (isto é, em Paris e Roma), oferecendo seus serviços a eles quando estão na União. O processamento dos dados pessoais dos indivíduos baseados na União Européia, juntamente com a oferta do serviço, está dentro do escopo do GDPR. Além disso, ao processar os dados de localização das pessoas em causa a fim de oferecer publicidade direcionada, as atividades de processamento também se relacionam ao monitoramento do comportamento dos indivíduos na União. O processamento inicial dos EUA, portanto, também se enquadra no escopo da GDPR
Para uma explicação mais abrangente, dê uma olhada neste vídeo.
Como o GDPR pode afetar as empresas americanas?
Portanto, é um erro pensar que, sendo o GDPR um regulamento europeu, não afeta em nada as empresas americanas.
Como dissemos acima, o âmbito extraterritorial pode permitir que as Autoridades Europeias de Protecção de Dados façam cumprir o GDPR fora da União Europeia.
A aplicação da lei pode ser implementada de diferentes maneiras.
A mais “assustadora” são definitivamente as multas: elas podem chegar até 20 milhões de euros (20 milhões de euros) ou 4% do volume de negócios anual mundial (o que for maior). Mas talvez igualmente preocupantes são as outras potenciais sanções: repreensões oficiais (para violações pela primeira vez), auditorias periódicas de protecção de dados e danos de responsabilidade.
Requisitos de GDPR para empresas dos EUA: como cumprir
Para que seu negócio nos EUA esteja de acordo com o GDPR, aqui estão alguns dos passos a seguir:
- Ter uma base legal: o GDPR exige que você tenha pelo menos uma base legal para processar os dados do usuário.
- Adquirir consentimento verificável: Enquanto as legislações dos EUA geralmente permitem a coleta e o processamento de dados pessoais sem o consentimento do usuário, a GDPR exige que você colete o consentimento “livre, específico, informado e explícito” através de uma ação “opt-in” clara.
- Manter registros claros relacionados ao consentimento: a GDPR também dá aos usuários um direito específico de retirar o consentimento e, portanto, deve ser tão fácil retirar o consentimento quanto dar a ele. Como o consentimento sob a GDPR é uma questão tão importante, é vital que você documente e mantenha registros claros relacionados ao consentimento.
- Nomear um responsável pela proteção de dados (DPO): se você estiver baseado fora da UE, ainda pode precisar de um representante europeu para garantir que sua empresa esteja de acordo com o GDPR. Entretanto, a nomeação de um RPD nem sempre é obrigatória, e você deve atender a requisitos específicos (você pode lê-los aqui).
- Realizar uma Avaliação de Impacto da Proteção de Dados (DPIA): quando certas condições são cumpridas, e nos casos em que a atividade de processamento de dados é susceptível de resultar em alto risco para os usuários, o GDPR exige que seja realizada uma Avaliação de Impacto da Proteção de Dados (DPIA).
Como iubenda pode ajudar no cumprimento do GDPR
No iubenda, nós adotamos uma abordagem abrangente para o cumprimento da lei de dados. Construímos soluções com os mais rigorosos regulamentos em mente, dando-lhe opções completas para personalizar conforme necessário. Desta forma, nós o ajudaremos a cumprir suas obrigações legais, a reduzir seu risco de litígio e a proteger seus clientes – construindo confiança e credibilidade.
Você pode dar uma olhada em nosso conjunto de soluções para conformidade com a GDPR here.
