Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido e Lei de Proteção de Dados (DPA) de 2018

O Reino Unido possui seu próprio Quadro de Proteção de Dados que rege como as organizações coletam, usam e gerenciam dados pessoais. Este quadro é baseado em duas legislações principais: o Regulamento Geral de Proteção de Dados do Reino Unido (RGPD) e a Lei de Proteção de Dados (DPA) de 2018.

O Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido entrou em vigor após o Brexit, substituindo o Regulamento Geral sobre a Proteção de Dados da UE No Reino Unido, embora espelhe a regulamentação da UE em muitas áreas, a versão britânica dá ao governo flexibilidade para introduzir alterações adaptadas às prioridades nacionais.

A Lei de Proteção de Dados de 2018 (DPA 2018) funciona em conjunto com o Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido como a lei nacional de proteção de dados do Reino Unido. Ela abrange áreas específicas não contempladas pelo RGPD, como aplicação da lei, segurança pública e isenções para segurança nacional.

O GDPR e a DPA 2018 do Reino Unido criam um sistema completo para proteger informações pessoais em diferentes situações, e o cumprimento de ambos é obrigatório para organizações que lidam com dados pessoais no Reino Unido.

O que é o GDPR do Reino Unido?

O Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido é a principal lei que rege o tratamento de dados pessoais no Reino Unido. Aplica-se a qualquer organização, sediada no Reino Unido ou no estrangeiro, que recolha, armazene ou processe informações pessoais de residentes no Reino Unido. Isto inclui tanto sistemas digitais como registos manuais.

Em vigor desde 1º de janeiro de 2021, após a saída do Reino Unido da UE, o RGPD (Regulamento Geral de Proteção de Dados) do Reino Unido foi estabelecido por meio do Regulamento de Proteção de Dados, Privacidade e Comunicações Eletrônicas (Alterações etc.) (Saída da UE) de 2019. Ele mantém os princípios fundamentais do RGPD da UE, que entrou em vigor em toda a Europa em 2018, com foco no tratamento de dados de forma lícita, justa e transparente.

O Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido protege os direitos individuais ao estabelecer regras claras para o uso responsável de dados, desde informações de clientes até registros de funcionários. Embora esteja alinhado com o RGPD da UE, permite alterações futuras para atender às necessidades do Reino Unido, portanto, as organizações devem ficar atentas às atualizações para se manterem em conformidade.

Essa lei promove a confiança ao exigir que as organizações lidem com informações pessoais com cuidado, equilibrando a responsabilidade com o uso prático dos dados.

O que é a Lei de Proteção de Dados (DPA) de 2018?

A Lei de Proteção de Dados de 2018 (DPA 2018) complementa o Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido, formando uma estrutura completa de proteção de dados para o país. Ela adiciona regras específicas, adaptadas às necessidades legais e políticas do Reino Unido, abrangendo áreas em que o RGPD, por si só, não é suficiente.

A Lei de Proteção de Dados de 2018 (DPA 2018) aborda situações específicas, como:

• Processamento de dados para aplicação da leiO documento estabelece regras específicas sobre como os dados pessoais podem ser tratados pela polícia e pelos órgãos de justiça criminal. Isso busca equilibrar os direitos à privacidade com a segurança pública.
• Controle de imigração: A lei introduz isenções específicas relacionadas a questões de imigração.
• Segurança nacionalPermite certas isenções quando o processamento de dados está relacionado a serviços de segurança ou inteligência.

Além disso, a Lei de Proteção de Dados de 2018 (DPA 2018) define as funções e poderes do Gabinete do Comissário de Informação (ICO), o regulador independente de proteção de dados do Reino Unido responsável por fazer cumprir as leis de proteção de dados, investigar violações e fornecer orientações às organizações.

A Lei de Proteção de Dados de 2018 (DPA 2018) também esclarece as regras para o processamento de dados sensíveis, como informações de crianças, e estabelece as bases legais para o uso de dados em casos específicos. Juntamente com o Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido, ela forma um sistema claro que as organizações devem seguir para operar legalmente.

GDPR do Reino Unido vs. DPA 2018: Qual a diferença?

O Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido e a Lei de Proteção de Dados de 2018 (DPA 2018) apresentam algumas sobreposições. No entanto, cada lei desempenha uma função diferente dentro da estrutura mais ampla de proteção de dados.

O Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido estabelece os principais princípios, direitos e obrigações para o processamento de dados pessoais. Ele espelha a estrutura do RGPD original da UE, com foco no uso justo, lícito e transparente dos dados. Protege os direitos individuais e promove a responsabilização entre as organizações.

A Lei de Proteção de Dados de 2018 (DPA 2018) complementa o Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido, adicionando disposições específicas ao ambiente jurídico e político do país. Ela esclarece como o RGPD se aplica em determinados contextos e introduz regras adicionais quando necessário.

‍Principais diferenças

As principais diferenças entre o GDPR do Reino Unido e a DPA 2018 são as seguintes:

• Processamento de dados para aplicação da lei e justiça criminal: A Lei de Proteção de Dados de 2018 (DPA 2018) contém uma seção específica que aborda o processamento de dados pessoais para fins de aplicação da lei. Essas regras visam equilibrar a segurança pública com a proteção da privacidade.
• isenções de segurança nacionalA Lei de Proteção de Dados de 2018 (DPA 2018) inclui isenções específicas para o processamento de dados pessoais relacionados à segurança nacional, serviços de inteligência e atividades afins.
• Tratamento de dados de categoria especial: Ambas as leis impõem requisitos rigorosos ao processamento de dados sensíveis, como informações de saúde, origem racial ou étnica e opiniões políticas. No entanto, a Lei de Proteção de Dados de 2018 (DPA 2018) fornece mais detalhes sobre como essas regras se aplicam no Reino Unido.
• Códigos de conduta do ICOA Lei de Proteção de Dados de 2018 (DPA 2018) confere ao ICO a autoridade para emitir códigos de conduta e orientações que auxiliem as organizações a aplicar a lei na prática.

As organizações devem cumprir ambas as leis em conjunto, pois cumprir apenas uma delas deixaria lacunas, acarretando riscos de penalidades e perda de confiança.

Quem deve cumprir o RGPD (Regulamento Geral de Proteção de Dados) e a Lei de Proteção de Dados de 2018 do Reino Unido?

O Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido e a Lei de Proteção de Dados de 2018 aplicam-se a uma ampla gama de organizações que processam dados pessoais. Essas leis visam proteger os direitos de privacidade dos indivíduos e estabelecem regras claras sobre como as informações pessoais são coletadas, armazenadas e utilizadas.

As duas leis se aplicam a:

• organizações sediadas no Reino UnidoQualquer organização estabelecida no Reino Unido que processe dados pessoais deve cumprir esta norma. Isso se aplica a empresas, autoridades públicas, instituições de caridade e outras organizações, independentemente de seu porte ou setor de atuação.
• Organizações não britânicasAs regras também se aplicam a organizações sediadas fora do Reino Unido se estas oferecerem bens ou serviços a indivíduos no Reino Unido (mesmo que gratuitamente) ou monitorarem o comportamento de indivíduos no Reino Unido.

Os tipos de dados abrangidos são:

• Processamento automatizado de dados (ex.: bancos de dados de clientes e sistemas CRM).
• Conjuntos de dados estruturados (por exemplo, arquivos organizados ou planilhas).
• Alguns dados não estruturados, especialmente se estiverem em poder de autoridades públicas.

Resumindo, tanto organizações do setor privado quanto do setor público, independentemente de sua localização, podem estar sujeitas a essas leis se processarem dados pessoais de residentes do Reino Unido.

O que é considerado dado pessoal segundo o RGPD e a DPA do Reino Unido?

O Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido e a Lei de Proteção de Dados de 2018 definem dados pessoais como qualquer informação relativa a uma pessoa singular identificável. Isto inclui informações que podem identificar alguém diretamente, como o seu nome, ou indiretamente quando combinadas com outros dados.

Alguns exemplos de dados pessoais incluem:

• Nome e dados de contato.
• Números de identificação (ex.: número do Seguro Nacional ou número do passaporte).
• Dados de localização e identificadores online (por exemplo, endereços IP).
• Dados biométricos e genéticos utilizados para identificar indivíduos.

Se uma informação puder ser usada para identificar uma pessoa, sozinha ou em conjunto com outros dados, ela é considerada dado pessoal de acordo com a legislação do Reino Unido.

Certos tipos de dados pessoais são considerados mais sensíveis e exigem proteção adicional. Esses dados são conhecidos como dados de categoria especial e incluem:

• Origem racial ou étnica.
• Crenças religiosas ou filosóficas.
• Opiniões políticas.
• Filiação sindical.
• Informações sobre saúde.
• Dados genéticos e biométricos utilizados para identificação.
• Detalhes sobre a vida sexual ou a orientação sexual de uma pessoa.

As organizações precisam de uma base legal mais sólida para processar dados de categoria especial, e salvaguardas adicionais geralmente são aplicadas.

É importante também observar o que de fato constitui "processamento" de acordo com o GDPR do Reino Unido e a DPA 2018. Essencialmente, refere-se a qualquer operação realizada com dados pessoais, como:

• Colecionando
• Armazenando
• Organizando
• Usando
• Compartilhamento
• Apagar ou destruir

As leis aplicam-se tanto ao processamento automatizado (como registros digitais) quanto aos sistemas de arquivamento manual, desde que os dados pessoais estejam organizados de forma estruturada.

Quais são os 7 princípios da proteção de dados?

O Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido define sete princípios fundamentais que orientam a forma como as organizações lidam com dados pessoais. Esses princípios constituem a base do sistema de proteção de dados do Reino Unido e aplicam-se a todo o processamento de dados.

Os 7 Princípios da Proteção de Dados

1. Legalidade, equidade e transparência.

Os dados devem ser tratados de forma legal e justa, com informações claras fornecidas aos indivíduos sobre sua utilização, como por meio de avisos de privacidade.

2. Limitação de finalidade

Os dados devem ser coletados apenas para fins específicos e claros e não devem ser usados ​​para nada incompatível com esses fins, a menos que o indivíduo concorde.

3. Minimização de dados

Minimização de dados A empresa coleta apenas os dados pessoais que as organizações realmente precisam para os fins declarados. Por exemplo, solicita o nome e o endereço de um cliente para entregar um produto, sem pedir detalhes desnecessários.

4. Precisão

Devem ser tomadas medidas razoáveis ​​para manter os dados pessoais precisos e atualizados. Isso inclui, por exemplo, fornecer meios para que os indivíduos corrijam informações de contato incorretas.

5. Limitação de armazenamento

Os dados pessoais não devem ser conservados por mais tempo do que o necessário para os fins para os quais foram coletados. Por exemplo, as organizações devem excluir registros antigos de clientes que não sejam mais necessários por motivos comerciais ou legais.

6. Integridade e confidencialidade (segurança)

Devem ser implementadas medidas de segurança adequadas para proteger os dados pessoais contra acesso não autorizado, perda ou dano. Isso inclui o uso de criptografia para proteger informações confidenciais armazenadas nos sistemas da empresa.

7. Responsabilidade

As organizações devem demonstrar conformidade mantendo registros das atividades de dados e treinando a equipe.

Esses sete princípios se aplicam a todas as organizações que processam dados pessoais e formam a base para a construção de uma abordagem de proteção de dados lícita e transparente.

Direitos do titular dos dados ao abrigo do RGPD e da DPA de 2018 no Reino Unido

O Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido e a Lei de Proteção de Dados de 2018 (DPA 2018) conferem aos indivíduos direitos claros sobre seus dados pessoais e maior controle sobre como as informações são coletadas, usadas e compartilhadas.

As organizações devem compreender e respeitar esses direitos. Também precisam responder às solicitações dos indivíduos dentro dos prazos estabelecidos.

Aqui estão os principais direitos dos titulares de dados que organizações e indivíduos precisam conhecer:

• Direito à informaçãoOs indivíduos têm o direito de saber como seus dados pessoais estão sendo utilizados. As organizações devem fornecer informações claras, geralmente por meio de avisos de privacidade.
• Direito de acessoAs pessoas podem solicitar acesso aos dados pessoais que uma organização detém sobre elas. Isso geralmente é chamado de Solicitação de Acesso do Titular dos Dados (SAR, na sigla em inglês). A organização deve fornecer as informações, geralmente dentro de um mês.
• Direito à retificação: Caso os dados pessoais estejam incorretos ou incompletos, os indivíduos podem solicitar a sua correção.
• Direito ao apagamento (direito ao esquecimento): Em determinadas situações, os indivíduos podem solicitar a eliminação dos seus dados pessoais. Este direito aplica-se, por exemplo, quando os dados deixam de ser necessários para a finalidade original ou quando o consentimento foi revogado.
• Direito de restringir o processamentoOs indivíduos podem solicitar que seus dados sejam armazenados e não utilizados para outros fins apenas em circunstâncias específicas, como quando a exatidão dos dados for contestada.
• Direito à portabilidade de dadosAs pessoas podem solicitar o recebimento de seus dados pessoais em um formato estruturado, de uso comum e legível por máquina. Elas também podem solicitar que os dados sejam transferidos para outra organização.
• Direito de objeçãoOs indivíduos podem opor-se à utilização dos seus dados pessoais para determinados fins, incluindo o marketing direto.
• Direitos relativos à tomada de decisões automatizadas e à criação de perfis.As pessoas têm proteção quando as decisões são tomadas exclusivamente por processos automatizados, especialmente se a decisão tiver efeitos significativos (por exemplo, elegibilidade para crédito ou emprego).

A Lei de Proteção de Dados de 2018 (DPA 2018) introduz isenções a alguns direitos em situações específicas, incluindo:

• Dados processados ​​para fins de aplicação da lei
• Dados processados ​​para controle de imigração
• Processamento relacionado à segurança nacional

Nesses casos, certos direitos podem ser limitados para equilibrar a privacidade individual com o interesse público ou requisitos de segurança.

Principais obrigações comerciais de acordo com o GDPR e a DPA do Reino Unido de 2018

Organizações, entidades públicas, instituições de caridade e outros grupos e empresas que lidam com dados pessoais no Reino Unido devem cumprir responsabilidades específicas de acordo com o GDPR e a DPA 2018 do Reino Unido.

Estabelecer uma base legal para o processamento.

As organizações devem ter um motivo válido para coletar e usar dados pessoais. As bases legais previstas no GDPR do Reino Unido incluem:

• Consentimento do indivíduo
• Cumprir um contrato
• Proteger interesses vitais (por exemplo, salvar a vida de alguém)
• Cumprir uma obrigação legal
• Executar uma tarefa de interesse público.
• Interesses legítimos perseguidos pela organização ou por terceiros (a menos que sejam sobrepostos por direitos individuais)

Implementar medidas de segurança de dados

Devem ser tomadas medidas técnicas e organizacionais adequadas para proteger os dados pessoais. Isso inclui o uso de criptografia, o controle de acesso aos sistemas e a proteção dos dados contra perda ou uso não autorizado.

Nomeie um Encarregado da Proteção de Dados (DPO), se necessário.

Algumas organizações precisam nomear um DPO, especialmente se:

• São uma autoridade pública
• Realizar monitoramento em larga escala de indivíduos
• Processar grandes volumes de dados de categoria especial

Manter registros das atividades de processamento (ROPA)

A maioria das organizações precisa manter registros internos dos dados pessoais que processam, como são usados ​​e a base legal para o processamento. Isso ajuda a demonstrar responsabilidade.

Realizar avaliações de impacto sobre a proteção de dados (AIPD) para processamento de alto risco.

Se uma organização realizar um processamento de dados que possa resultar em alto risco para os direitos de um indivíduo, ela deve realizar uma Avaliação de Impacto sobre a Proteção de Dados (AIPD) antes de iniciar a atividade. Por exemplo, uma AIPD seria necessária quando uma empresa realiza o uso em larga escala de dados sensíveis ou a criação de perfis.

Responder a solicitações de acesso do titular dos dados e direitos de dados

As organizações devem responder às solicitações de indivíduos que exercem seus direitos sob a lei de proteção de dados, como solicitações de acesso ou retificação. Na maioria dos casos, a resposta deve ser fornecida dentro de um mês.

Caso uma organização não cumpra essas responsabilidades, isso pode resultar em medidas coercitivas, danos à reputação e penalidades significativas.

Como lidar com violações de dados de acordo com o GDPR do Reino Unido

Uma violação de dados pessoais pode ocorrer quando informações são perdidas, acessadas sem permissão, alteradas ou destruídas. De acordo com o GDPR do Reino Unido, as organizações devem seguir procedimentos claros para responder a esses incidentes.

Em caso de violação de dados, estas são as etapas que as organizações devem seguir:

• Notifique o ICO dentro de 72 horas: Caso uma violação represente um risco para os direitos ou liberdades individuais, a organização deve comunicá-la à ICO no prazo de 72 horas após tomar conhecimento do fato.
• Informar Indivíduos afetados: Caso a violação de segurança possa resultar em alto risco para os indivíduos, a organização também deve informar os afetados sem demora injustificada.
• Documente a violação.Mesmo que uma violação de segurança não precise ser relatada, as organizações devem manter registros internos do que aconteceu, como foi gerenciada e quaisquer medidas corretivas tomadas.
• Compreendendo funções e responsabilidades: Tanto os controladores quanto os processadores de dados têm responsabilidades durante uma violação de segurança. Os processadores devem notificar o controlador sem demora, e os controladores são responsáveis ​​por avaliar o impacto e decidir sobre os próximos passos.

A preparação para violações de dados deve ser parte essencial da estratégia de qualquer organização. prontidão para conformidadeIsso significa ter procedimentos claros, planos de resposta e treinamento de pessoal em vigor para lidar com incidentes de forma eficaz e reduzir possíveis danos.

Transferências internacionais de dados de acordo com a legislação do Reino Unido

O Regulamento Geral de Proteção de Dados (RGPD) do Reino Unido impõe restrições à transferência de dados pessoais para países fora do Reino Unido. Essas regras existem para garantir que as informações dos indivíduos permaneçam protegidas quando saem da jurisdição do Reino Unido.

As organizações devem utilizar as salvaguardas apropriadas, a menos que o destino seja aprovado como adequado pelo governo do Reino Unido.

Estes são os mecanismos legais para transferências internacionais:

• decisões de adequaçãoO governo do Reino Unido pode determinar que um país, território ou organização internacional oferece um nível de proteção de dados comparável aos padrões do Reino Unido. As transferências para esses locais são permitidas sem medidas adicionais.
• Cláusulas Contratuais Padrão (CCPs)As Cláusulas Contratuais Padrão (SCCs) são acordos legais aprovados pelo governo do Reino Unido. Elas estabelecem obrigações contratuais para proteger dados pessoais quando estes são transferidos para países sem uma decisão de adequação.
• Acordos Internacionais de Transferência de Dados (IDTAs): Os IDTAs são concebidos especificamente para organizações do Reino Unido que transferem dados internacionalmente. Eles oferecem uma alternativa às Cláusulas Contratuais Padrão (SCCs), fornecendo um conjunto padrão de termos para proteger os dados pessoais.
• Regras Corporativas Vinculativas (BCRs): As BCRs permitem que organizações multinacionais transfiram dados dentro de seu grupo de empresas. No entanto, isso só pode ser feito se elas possuírem políticas aprovadas e aplicáveis ​​que atendam aos requisitos do GDPR do Reino Unido.

Em alguns casos excepcionais, as organizações podem transferir dados pessoais sem esses mecanismos. Por exemplo:

• O indivíduo dá seu consentimento explícito após ser informado dos riscos potenciais.
• A transferência é necessária para a execução de um contrato.
• Existem importantes razões de interesse público.

As transferências internacionais acarretam riscos legais e de reputação. Portanto, as organizações devem avaliar as circunstâncias cuidadosamente e utilizar as salvaguardas apropriadas.

Fiscalização e Penalidades

O ICO é responsável pela aplicação do RGPD (Regulamento Geral de Proteção de Dados) e da Lei de Proteção de Dados de 2018 do Reino Unido. O ICO tem autoridade para investigar organizações, emitir orientações e tomar medidas quando a lei é violada. Seus poderes específicos incluem:

• Investigar denúncias ou suspeitas de descumprimento.
• Realização de auditorias e inspeções.
• Emitir advertências ou repreensões.
• Impor multas por violações da lei de proteção de dados.

O ICO pode aplicar multas significativas com base na gravidade da violação:

• Multas de até £8,7 milhões ou 2% do faturamento anual global (o que for maior) para infrações menos graves.
• As multas podem chegar a £17,5 milhões ou 4% do faturamento anual global (o que for maior) para violações mais graves. Isso inclui práticas como processamento ilegal de dados ou desrespeito aos direitos individuais.

As organizações frequentemente enfrentam penalidades por:

• Coletar ou usar dados pessoais sem o devido consentimento.
• Não implementar medidas de segurança adequadas para proteger os dados.
• Ignorar os pedidos de acesso do titular dos dados (DSARs) ou não responder dentro do prazo estipulado.

Os órgãos reguladores esperam que as organizações levem a proteção de dados a sério. O não cumprimento das obrigações legais pode acarretar penalidades financeiras, danos à reputação e ações judiciais.

Como criar um programa de proteção de dados em conformidade

A criação de um programa eficaz de proteção de dados ajuda as organizações a cumprirem suas responsabilidades de acordo com o GDPR do Reino Unido e a DPA 2018.

Aqui estão os principais passos para garantir a conformidade:

• Crie uma política de privacidade clara e concisa: Sua política de privacidade deve explicar quais dados pessoais você coleta, como os utiliza, a base legal para o processamento e como os indivíduos podem exercer seus direitos.
• Treinar a equipe sobre responsabilidades e tratamento de dados: Todos os envolvidos no tratamento de dados pessoais devem compreender o seu papel. Isto inclui saber como reconhecer e comunicar potenciais riscos ou violações.
• Implementar processos de gestão de fornecedores: As organizações devem avaliar e gerenciar os riscos associados a fornecedores terceirizados que processam dados pessoais. Isso inclui ter contratos claros e termos de proteção de dados em vigor.
• Realizar avaliações de risco de dadosUm regular avaliação de risco de dados Ajuda as organizações a identificar vulnerabilidades, avaliar a probabilidade de incidentes e aplicar controles adequados para proteger os dados pessoais.
• Manter registros e trilhas de auditoriaManter registros precisos das atividades de processamento de dados demonstra responsabilidade. Isso inclui documentar as bases legais para o processamento, os fluxos de dados e as medidas de segurança.
• Acompanhe as atualizações do GDPR do Reino Unido e das diretrizes da DPA de 2018.A legislação de proteção de dados evolui com o tempo. As organizações devem verificar regularmente as atualizações da ICO (Information Commissioner's Office) e revisar os processos internos para refletir as mudanças nos requisitos legais.

Ao adotar essas práticas, as organizações podem atender aos padrões legais, proteger dados pessoais e construir confiança com seus usuários, clientes e consumidores.