# Diretiva de Proteção de Dados

A Diretiva de Proteção de Dados, oficialmente Diretiva 95/46/CE, promulgada em outubro de 1995, foi uma diretiva da União Europeia que regulamentou o processamento de dados pessoais na União Europeia (UE) e a livre circulação desses dados. A Diretiva de Proteção de Dados foi um componente importante da lei de privacidade e do direito internacional dos direitos humanos da UE.
Os princípios estabelecidos na Diretiva de Proteção de Dados visavam à proteção dos direitos fundamentais no processamento de dados pessoais. O Regulamento Geral sobre a Proteção de Dados, adotado em abril de 2016, substituiu a Diretiva de Proteção de Dados e entrou em vigor em 25 de maio de 2018.

## Contexto

O direito à privacidade é uma área do direito altamente desenvolvida na Europa. Todos os estados-membros do Conselho da Europa também são signatários da Convenção Europeia dos Direitos Humanos. O artigo 8 dessa convenção prevê o direito ao respeito pela "vida privada e familiar, seu domicílio e sua correspondência", sujeito a certas restrições. O Tribunal Europeu dos Direitos Humanos deu a esse artigo uma interpretação muito ampla em sua jurisprudência.
Em 1973, o acadêmico americano Willis Ware publicou Records, Computers, and the Rights of Citizens (Registros, Computadores e os Direitos dos Cidadãos), um relatório que influenciaria os rumos que essas leis tomariam.
Em 1980, em um esforço para criar um sistema abrangente de proteção de dados em toda a Europa, a Organização para a Cooperação e Desenvolvimento Econômico emitiu suas "Recomendações do Conselho relativas às diretrizes que regem a proteção da privacidade e os fluxos transfronteiriços de dados pessoais". Os sete princípios que regem as recomendações da organização para a proteção de dados pessoais foram:
* Aviso - os titulares dos dados devem ser avisados quando seus dados estiverem sendo coletados;
* Finalidade - os dados devem ser usados somente para a finalidade declarada e não para quaisquer outras finalidades;
* Consentimento - os dados não devem ser divulgados sem o consentimento do titular dos dados;
* Segurança - os dados coletados devem ser mantidos em segurança contra possíveis abusos;
* Divulgação - os titulares dos dados devem ser informados sobre quem está coletando seus dados;
* Acesso - os titulares dos dados devem ter permissão para acessar seus dados e fazer correções em quaisquer dados imprecisos;
* Responsabilidade - os titulares de dados devem ter um método disponível para responsabilizar os coletores de dados por não seguirem os princípios acima.
As Diretrizes da Organização para a Cooperação e Desenvolvimento Econômico, no entanto, não eram obrigatórias, e as leis de privacidade digital ainda variavam muito na Europa. Os Estados Unidos, por sua vez, embora endossassem as recomendações da organização, não fizeram nada para implementá-las nos Estados Unidos. Entretanto, os seis primeiros princípios foram incorporados à Diretiva da UE.
Em 1981, os Estados-Membros do Conselho da Europa adotaram a Convenção para a Proteção de Indivíduos com relação ao Processamento Automático de Dados Pessoais (Convenção 108) para implementar o Artigo 8 da Convenção Europeia dos Direitos Humanos. A Convenção 108 obriga os signatários a promulgarem legislação relativa ao processamento automático de dados pessoais e foi modernizada e reforçada em 2018 para se tornar a "Convenção 108+".
Em 1989, com a reunificação da Alemanha, os dados coletados pela polícia secreta da Alemanha Oriental (Stasi) tornaram-se bem conhecidos, aumentando a demanda por privacidade na Alemanha. Naquela época, a Alemanha Ocidental já tinha leis de privacidade desde 1977 (Bundesdatenschutzgesetz). A Comissão Europeia percebeu que as legislações divergentes de proteção de dados entre os estados-membros da UE impediam o livre fluxo de dados dentro da UE e, portanto, propôs a Diretiva de Proteção de Dados.

## Conteúdo

A diretiva regulamenta o processamento de dados pessoais, independentemente do processamento ser automatizado ou não.

### Escopo

Os dados pessoais são definidos como "qualquer informação relativa a uma pessoa física identificada ou identificável ('titular dos dados'); é considerada identificável a pessoa que possa ser identificada, direta ou indiretamente, em especial por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, econômica, cultural ou social" (art. 2 a).
Essa definição tem a intenção de ser muito ampla. Os dados são considerados "dados pessoais" quando alguém é capaz de vincular as informações a uma pessoa, mesmo que a pessoa que detém os dados não possa fazer esse vínculo. Alguns exemplos de "dados pessoais" são: endereço, número de cartão de crédito, extratos bancários, registro criminal, etc.
A noção de processamento significa "qualquer operação ou conjunto de operações efetuadas sobre dados pessoais, por meios automatizados ou não, tais como coleta, registro, organização, armazenamento, adaptação ou alteração, recuperação, consulta, utilização, divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, comparação ou interconexão, bloqueio, apagamento ou destruição" (art. 2 b).
A responsabilidade pela conformidade recai sobre os ombros do "controlador", ou seja, a pessoa física ou jurídica, autoridade pública, agência ou qualquer outro órgão que, sozinho ou em conjunto com outros, determine as finalidades e os meios de processamento de dados pessoais (art. 2 d).
As regras de proteção de dados são aplicáveis não apenas quando o controlador estiver estabelecido na UE, mas sempre que o controlador usar equipamentos situados na UE para processar dados. (art. 4) Os controladores de fora da UE, que processam dados na UE, terão de seguir a regulamentação de proteção de dados. Em princípio, qualquer empresa on-line que negocie com residentes da UE processará alguns dados pessoais e usará equipamentos na UE para processar os dados (ou seja, o computador do cliente). Como consequência, o operador do site teria que cumprir as regras europeias de proteção de dados. A diretriz foi redigida antes do surgimento da Internet e, até o momento, há pouca jurisprudência sobre esse assunto.

### Princípios

Os dados pessoais não devem ser processados de forma alguma, exceto quando determinadas condições forem atendidas. Essas condições se enquadram em três categorias: transparência, finalidade legítima e proporcionalidade.

#### Transparência

O titular dos dados tem o direito de ser informado quando seus dados pessoais estiverem sendo processados. O controlador deve fornecer seu nome e endereço, a finalidade do processamento, os destinatários dos dados e todas as outras informações necessárias para garantir que o processamento seja justo. (art. 10 e 11)
Os dados somente poderão ser processados se pelo menos uma das seguintes condições for verdadeira (art. 7):
* quando o titular dos dados tiver dado seu consentimento.
* quando o processamento for necessário para a execução ou a celebração de um contrato.
* quando o processamento for necessário para o cumprimento de uma obrigação legal.
* quando o processamento for necessário para proteger os interesses vitais do titular dos dados.
* o processamento for necessário para o desempenho de uma tarefa realizada no interesse público ou no exercício da autoridade oficial investida no controlador ou em um terceiro a quem os dados sejam divulgados.
* o processamento for necessário para os fins dos interesses legítimos do controlador ou de terceiros a quem os dados forem divulgados, exceto quando esses interesses forem sobrepostos pelos interesses dos direitos e liberdades fundamentais do titular dos dados. O titular dos dados tem o direito de acessar todos os dados processados sobre ele. O titular dos dados também tem o direito de exigir a retificação, exclusão ou bloqueio de dados incompletos, imprecisos ou que não estejam sendo processados de acordo com as regras de proteção de dados. (art. 12)

#### Finalidade legítima

Os dados pessoais só podem ser processados para fins específicos, explícitos e legítimos e não podem ser processados de forma incompatível com esses fins. (art. 6 b) Os dados pessoais devem ter proteção contra uso indevido e respeito a "certos direitos dos proprietários de dados garantidos pela legislação da UE".

#### Proporcionalidade

Os dados pessoais podem ser processados somente na medida em que sejam adequados, relevantes e não excessivos em relação às finalidades para as quais foram coletados e/ou processados posteriormente. Os dados devem ser precisos e, quando necessário, mantidos atualizados; todas as medidas razoáveis devem ser tomadas para garantir que os dados imprecisos ou incompletos, tendo em vista as finalidades para as quais foram coletados ou para as quais são processados posteriormente, sejam apagados ou retificados; os dados não devem ser mantidos em uma forma que permita a identificação dos titulares dos dados por mais tempo do que o necessário para as finalidades para as quais os dados foram coletados ou para as quais são processados posteriormente. Os Estados-Membros devem estabelecer garantias adequadas para dados pessoais armazenados por períodos mais longos para uso histórico, estatístico ou científico. (art. 6).
Quando dados pessoais sensíveis (podem ser: crenças religiosas, opiniões políticas, saúde, orientação sexual, raça, filiação a organizações anteriores) estiverem sendo processados, aplicam-se restrições adicionais. (art. 8).
O titular dos dados pode se opor, a qualquer momento, ao processamento de dados pessoais para fins de marketing direto. (art. 14)
Uma decisão baseada em algoritmo que produza efeitos legais ou afete significativamente o titular dos dados não pode se basear apenas no processamento automatizado de dados. (art. 15) Deve ser fornecida uma forma de recurso quando forem usados processos automáticos de tomada de decisão.

### Autoridade de supervisão e registro público de operações de processamento

Cada estado-membro deve estabelecer uma autoridade supervisora, um órgão independente que monitorará o nível de proteção de dados nesse estado-membro, aconselhará o governo sobre medidas e regulamentações administrativas e iniciará processos legais quando a regulamentação de proteção de dados for violada. (art. 28) Os indivíduos podem apresentar reclamações sobre violações à autoridade supervisora ou a um tribunal.
O controlador deve notificar a autoridade supervisora antes de começar a processar os dados. A notificação contém pelo menos as seguintes informações (art. 19):
* o nome e o endereço do controlador e de seu representante, se houver;
* a finalidade ou as finalidades do processamento;
* uma descrição da categoria ou categorias de titulares de dados e dos dados ou categorias de dados relacionados a eles;
* os destinatários ou categorias de destinatários aos quais os dados podem ser divulgados;
* transferências de dados propostas para países terceiros;
* uma descrição geral das medidas tomadas para garantir a segurança do processamento.
Essas informações são mantidas em um registro público.

### Transferência de dados pessoais para países terceiros

Países terceiros é o termo usado na legislação para designar países fora da União Europeia. Os dados pessoais só podem ser transferidos para um país terceiro se esse país oferecer um nível adequado de proteção dos dados. São previstas algumas exceções a essa regra, por exemplo, quando o próprio controlador pode garantir que o destinatário cumprirá as regras de proteção de dados.
O Artigo 29 da Diretiva criou o "Grupo de Trabalho sobre a Proteção de Indivíduos com relação ao Processamento de Dados Pessoais", comumente conhecido como "Grupo de Trabalho do Artigo 29". O Grupo de Trabalho fornece orientação sobre o nível de proteção na União Europeia e em outros países.
O Grupo de Trabalho negociou com representantes dos Estados Unidos sobre a proteção de dados pessoais e o resultado foram os Princípios de Safe Harbour. De acordo com os críticos, os Princípios de Safe Harbour não oferecem um nível adequado de proteção, pois contêm menos obrigações para o controlador e permitem a renúncia contratual de determinados direitos.
Em outubro de 2015, a Corte Europeia de Justiça determinou que o regime Safe Harbour era inválido como resultado de uma ação movida por um ativista de privacidade austríaco em relação à exportação de dados de assinantes pela empresa europeia do Facebook para o Facebook nos Estados Unidos. As autoridades dos EUA e da Europa trabalharam em um substituto para o Safe Harbour e um acordo foi alcançado em fevereiro de 2016, levando a Comissão Europeia a adotar a estrutura do Escudo de Privacidade UE-EUA em 12 de julho de 2016. Essa estrutura também foi considerada inválida em 2020 e substituída pela Estrutura de Privacidade de Dados UE-EUA em 2023.
Em julho de 2007, um novo e controverso acordo de registro de nomes de passageiros (passenger name record) entre os EUA e a UE foi assinado.
Em fevereiro de 2008, Jonathan Faull, chefe da Comissão de Assuntos Internos da UE, reclamou da política bilateral dos Estados Unidos em relação ao registro de nomes de passageiros. Em fevereiro de 2008, os Estados Unidos assinaram um memorando de entendimento com a República Tcheca em troca de um esquema de isenção de vistos, mas sem antes consultar Bruxelas. As tensões entre Washington e Bruxelas são causadas principalmente pelo nível mais baixo de proteção de dados nos Estados Unidos, especialmente porque os estrangeiros não se beneficiam da Lei de Privacidade dos Estados Unidos de 1974. Outros países abordados para a assinatura de Memorandos de Entendimento bilaterais foram o Reino Unido, a Estônia, a Alemanha e a Grécia.

## Implementação pelos estados-membros

As diretivas da UE são dirigidas aos estados-membros e, em princípio, não são legalmente obrigatórias para os indivíduos. Os estados-membros devem transpor a diretriz para a legislação interna. A Diretiva 95/46/CE sobre a proteção de dados pessoais teve de ser transposta até o final de 1998. Todos os estados-membros haviam promulgado suas próprias legislações de proteção de dados.

## Substituição pelo Regulamento Geral sobre Proteção de Dados

Em 25 de janeiro de 2012, a Comissão Europeia anunciou que unificaria a lei de proteção de dados em uma União Europeia unificada por meio de uma legislação chamada "Regulamento Geral sobre Proteção de Dados". Os objetivos da Comissão Europeia com essa legislação incluíam:
* a harmonização de 27 regulamentações nacionais de proteção de dados em uma regulamentação unificada;
* o aprimoramento das regras de transferência de dados corporativos fora da União Europeia; e
* a melhoria do controle do usuário sobre os dados de identificação pessoal.
A proposta original também determinava que a legislação, em teoria, "se aplicaria a todas as empresas não pertencentes à UE sem qualquer estabelecimento na UE, desde que o processamento de dados fosse direcionado a residentes da UE", uma das maiores mudanças na nova legislação. Essa mudança foi mantida até a aprovação final da legislação em 14 de abril de 2016, afetando entidades em todo o mundo. "O Regulamento se aplica ao processamento fora da UE relacionado à oferta de bens ou serviços a titulares de dados (indivíduos) na UE ou ao monitoramento de seu comportamento", de acordo com W. Scott Blackmer, do InfoLawGroup, embora ele tenha acrescentado que "é questionável se as autoridades de supervisão europeias ou os consumidores realmente tentariam processar as operadoras sediadas nos EUA por violações do Regulamento." Outras alterações incluem condições mais rigorosas para o consentimento, definição mais ampla de dados confidenciais, novas disposições sobre a proteção da privacidade de crianças e a inclusão de "direitos a serem esquecidos".
A Comissão Europeia estabeleceu a data de conformidade em 25 de maio de 2018, dando às empresas de todo o mundo a chance de se preparar para a conformidade, revisar a linguagem de proteção de dados em contratos, considerar a transição para padrões internacionais, atualizar políticas de privacidade e revisar planos de marketing.

## Comparação com outras jurisdições
### Comparação com a lei de proteção de dados dos Estados Unidos

Desde 2003, os Estados Unidos não têm uma lei única de proteção de dados comparável à Diretiva de Proteção de Dados da UE.
A legislação de privacidade dos Estados Unidos tende a ser adotada de forma ad hoc, com a legislação surgindo quando determinados setores e circunstâncias exigem (por exemplo, a Lei de Proteção à Privacidade de Vídeo de 1988, o Lei de Proteção e Concorrência do Consumidor de Televisão a Cabo de 1992, o Lei de Relatórios de Crédito Justo e o Lei de Portabilidade e Responsabilidade de Seguros de Saúde de 1996). Portanto, embora certos setores já possam satisfazer partes da Diretiva da UE, a maioria não o faz. Os Estados Unidos preferem o que chamam de abordagem "setorial" para a legislação de proteção de dados, que se baseia em uma combinação de legislação, regulamentação e autorregulamentação, em vez de regulamentação governamental isolada. O ex-presidente dos EUA Bill Clinton e o ex-vice-presidente Al Gore recomendaram explicitamente em sua "Estrutura para o Comércio Eletrônico Global" que o setor privado deveria liderar e que as empresas deveriam implementar a autorregulamentação em reação aos problemas trazidos pela Internet.
O raciocínio por trás dessa abordagem tem tanto a ver com a economia americana do laissez-faire quanto com diferentes perspectivas sociais. A Primeira Emenda da Constituição dos Estados Unidos garante o direito à liberdade de expressão. Enquanto a liberdade de expressão é um direito explícito garantido pela Constituição dos Estados Unidos, a privacidade é um direito implícito garantido pela Constituição, conforme interpretado pela Suprema Corte dos Estados Unidos, embora seja frequentemente um direito explícito em muitas constituições estaduais.
A extensa regulamentação da privacidade na Europa é justificada com referência às experiências dos governos fascistas da época da Segunda Guerra Mundial e dos regimes comunistas do pós-guerra, em que houve um uso generalizado e sem controle das informações pessoais. A Segunda Guerra Mundial e o período pós-guerra foram uma época na Europa em que a revelação de raça ou etnia levou a denúncias secretas e apreensões que enviaram amigos e vizinhos para campos de trabalho e campos de concentração. Na era dos computadores, a cautela dos europeus em relação aos arquivos secretos do governo se traduziu em uma desconfiança em relação aos bancos de dados corporativos, e os governos da Europa tomaram medidas decisivas para proteger as informações pessoais contra abusos nos anos que se seguiram à Segunda Guerra Mundial. A Alemanha e a França, em particular, estabeleceram leis abrangentes de proteção de dados.
Os críticos das políticas de dados da Europa, no entanto, afirmaram que elas impediram a capacidade da Europa de monetizar os dados dos usuários na Internet e são a principal razão pela qual não há Big Techs na Europa, sendo que a maioria delas está nos Estados Unidos. Além disso, com a Alibaba e a Tencent entrando para o ranking das 10 empresas de tecnologia mais valiosas do mundo nos últimos anos, até mesmo a China está passando à frente da Europa no desempenho de sua economia digital, que foi avaliada em US$ 5,09 trilhões em 2019.
Enquanto isso, a China e a Rússia são cada vez mais identificadas pelos formuladores de políticas europeus como agressores de "ameaças híbridas", usando uma combinação de propaganda nas mídias sociais e hacking para minar intencionalmente o funcionamento das instituições europeias.

## Veja também

* Governança de dados
* Privacidade digital
* Auditoria de sistemas