Data Governance Act: Novas Regras da Comissão Europeia para a Intermediação de Dados
Este é o terceiro informativo da nossa série especial sobre novas leis e regulamentos que abordam mercados e serviços digitais e, de forma direta ou indireta, o tratamento de dados pessoais. Não pretendemos ser exaustivos no conteúdo publicado, tampouco debater pontos controversos. Nosso objetivo é informar e trazer clareza sobre novos arcabouços legais que estão se desenvolvendo no exterior e que podem impactar empresas no Brasil. Para tanto, selecionamos as disposições que entendemos importantes a fim de esclarecer conceitos e abordar normativos complexos de forma didática. Alguns dos termos e definições foram, inevitavelmente, adaptados para que se assemelhassem a conceitos presentes em nosso ordenamento jurídico.
Nas últimas duas semanas, abordamos o Digital Services Act (Lei dos Serviços Digitais) e o Digital Markets Act (Lei dos Mercados Digitais), os quais podem ser acessados aqui e aqui. Nesta semana, abordaremos o Data Governance Act (Lei da Governança de Dados), que também pertence à União Europeia (UE) e que visa regulamentar agentes que atuam na intermediação de dados.
Data Governance Act – DGA
O Data Governance Act (DGA) entrou em vigor em maio de 2022 após aprovação pelo Conselho da UE e Parlamento Europeu, e passará a ser aplicado na UE em setembro de 2023. Em linhas gerais, o DGA busca alavancar o potencial social e econômico do uso de dados a partir da sua disponibilidade dentro da UE. Para tal, o DGA cria um arcabouço jurídico para a intermediação de dados.
O DGA regula três situações de intermediação de dados, sejam esses dados pessoais ou não: (i) a reutilização de dados legalmente protegidos que estejam sob posse do Poder Público; (ii) serviços de compartilhamento de dados; e (iii) repositórios de dados com fins altruísticos.
Destaca-se sua interconexão com o General Data Protection Regulation (GDPR) no que tange aos dados pessoais. O DGA é taxativo que suas regras não interferem naquelas estipuladas pelo GDPR, muito embora se relacionem. Não obstante, o DGA também engloba dados não pessoais, tais como dados de pessoas jurídicas legalmente protegidos.
a. Reutilização de dados protegidos sob posse do Poder Público
O DGA pressupõe que dados gerados às custas da receita pública devem beneficiar a sociedade. Logo, dados legalmente protegidos que estejam sob a posse do Poder Público deveriam ser reutilizados para fins de interesse geral, como pesquisa e inovação.
Desse modo, o DGA promove a reutilização de certas categorias de dados – pessoais e não pessoais – que estejam sob a posse do Poder Público, tais como dados pessoais regulados pelo GDPR, ou dados de pessoas jurídicas protegidos por segredo comercial ou conteúdo protegido por propriedade intelectual. Dada a sensitividade desses dados, requisitos técnicos e legais devem ser observados em sua reutilização.
Estados Membros da UE poderão estabelecer novos ou designar órgãos públicos existentes, os quais serão responsáveis por (i) fixar as condições para a reutilização dos dados, e (ii) autorizar a reutilização em casos concretos ("Órgãos Públicos Designados"). Tais órgãos podem atuar de forma setorial, conforme os dados que estejam sob sua posse. Os Órgãos Públicos Designados serão considerados controladores dos dados pessoais nos termos do GDPR, e poderão cobrar taxas pela sua reutilização dos dados. Essas taxas podem variar de acordo com cada tipo de reutilizador, por exemplo, taxas menores ou gratuidade podem ser conferidas para entidades de pesquisa científica, startups, ou estabelecimentos educacionais, em detrimento de outros agentes com fins comerciais.
Apesar de delegar essa tarefa aos Órgãos Públicos Designados, o DGA aponta para algumas medidas que podem ser tomadas para garantir a proteção dos dados. Aponta-se a anonimização em relação aos dados pessoais, ou que dados sejam modificados, agregados ou utilizados quaisquer outros métodos que permitam o controle na divulgação, de forma prévia à transferência. Na hipótese em que a aplicação de métodos de controle de divulgação não seja adequada, pode-se impor que o acesso aos dados seja feito num ambiente seguro providenciado e controlado pelo Órgão Público Designado, ou em premissas físicas que detenham altos padrões de segurança, por exemplo. Além disso, os reutilizadores são proibidos de re-identificarem os titulares de dados, restando submetidos à supervisão do Órgão Público Designado que lhes concedeu a autorização de reutilização durante o tratamento.
O DGA também estipula que cada Estado Membro da UE deve estabelecer um "ponto de informação" único, isto é, uma interface para que reutilizadores remetam seus pedidos ("Ponto de Informação"). Este Ponto de Informação será responsável por listar todos os dados disponíveis para reutilização de forma abrangente e distribuir os pedidos entre os Órgãos Públicos Designados, os quais podem autorizar a reutilização dos dados que lhes sejam pertinentes. No âmbito europeu, a Comissão Europeia estabelecerá uma interface única que envolva todos os Pontos de Informação nacionais, com o intuito de facilitar que reutilizadores acessem dados para pesquisa e inovação em toda a UE.
Em comunicado oficial, a Comissão Europeia exemplifica o Health Data Hub, iniciativa do governo da França. Trata-se de um instrumento público que disponibiliza dados de saúde para projetos de inovação e pesquisa, tal como o treinamento de inteligência artificial para o setor médico. O Health Data Hub é formado por dados pseudonimizados advindos de dados de saúde pertencentes ao Sistema Nacional de Dados de Saúde francês (e.g. consultas médicas, tratamentos hospitalares, operações). Pesquisadores, empresas privadas, dentre outros, podem submeter projetos ao Health Data Hub, adquirindo, eventualmente acesso aos dados necessários para o seu desenvolvimento.
b. Provedores de serviços de compartilhamento de dados
Sobre os provedores de serviços de compartilhamento de dados (PSCDs), o DGA engloba intermediários que fornecem suporte à transação de dados entre seus detentores – pessoas físicas ou jurídicas que detém legalmente os dados ("Detentores") – e seus utilizadores ("Utilizadores"). Os Utilizadores dos dados se valem dos serviços de compartilhamento para obterem acesso aos dados disponibilizados, eventualmente por meio de um pagamento aos Detentores. O PSCD ocupa uma função intermediária, dando suporte a essa relação.
Esse suporte pode ter natureza comercial, técnica e/ou jurídica, e deve estabelecer uma relação direta entre os Detentores e os Utilizadores dos dados. Disto resulta que serviços de armazenamento em nuvem, data analytics ou navegadores de internet não são PSCDs sob o DGA. Isto porque, apesar de fornecerem meios para o compartilhamento de dados entre Detentores e Utilizadores de dados, tais serviços não visam criar uma relação direta de natureza comercial entre ambos. Por outro lado, são PSCDs os marketplaces de dados ou repositórios de dados criados a fim de licenciar seu uso para os Utilizadores.
O DGA descreve três possíveis PSCDs:
PSCDs que são intermediários entre pessoas jurídicas e Utilizadores de dados não pessoais (e.g. protegidos por segredo comercial ou conteúdo protegido por propriedade intelectual);
PSCDs que são intermediários entre titulares e Utilizadores de dados pessoais. O DGA descreve esses PSCDs como agentes que auxiliam os titulares no controle e na gestão de seus próprios dados pessoais, permitindo sua monetização como uma contraprestação dos Utilizadores; e
PSCDs cooperativas que visam fortalecer a posição dos titulares em escolhas informadas antes de concederem seu consentimento ao tratamento de dados pessoais, negociando termos e condições para o fornecimento do consentimento em nome de um grupo.
c. Obrigações dos PSCDs
Dentre as obrigações aplicáveis aos PSCDs, o DGA determina que:
PSCDs somente podem utilizar os dados fornecidos com a finalidade de colocá-los à disposição dos Utilizadores. Isto inclui uma separação estrutural entre o serviço de compartilhamento de dados e quaisquer outros serviços do PSCD;
Dados coletados por meio das atividades do titular durante sua interação com o PSCD (e.g. data, horário, geolocalização, duração da atividade) apenas podem ser usados no desenvolvimento do próprio serviço;
PSCDs devem adotar procedimentos para evitar práticas abusivas e fraudulentas no acesso a dados por meio do seu serviço. Sobre dados pessoais, o DGA exemplifica a realização de due diligence sobre os Utilizadores antes de fornecer-lhes acesso aos dados; e
PSCDs devem agir no interesse dos titulares ao facilitarem o exercício dos seus direitos, aconselhando-os.
d. Registro dos PSCDs
Todos
PSCDs devem notificar sua operação para uma autoridade competente dentro da UE
(“Autoridade Competente”). Cada Estado Membro da UE deverá designar ou estabelecer
uma Autoridade Competente responsável pelo registro e pelo monitoramento dos
PSCDs. Caso um PSCD tenha mais de um estabelecimento na UE, o PSCD deve notificar
a Autoridade Competente do Estado Membro no qual tenha seu principal
estabelecimento. Por outro lado, se um PSCD não possuir estabelecimento, mas
fornecer seus serviços na UE, ele deverá designar um representante legal em
algum Estado Membro no qual preste seus serviços, notificando a respectiva Autoridade Competente.
Para além da notificação, PSCDs podem requerer a avaliação de sua conformidade com o DGA a fim de obterem um certificado da UE, expondo, assim, uma logo oficial. Este sinal visa permitir que os Detentores de dados identifiquem os PSCDs em conformidade com o DGA, aumentando a confiança na disponibilização dos dados.
Essas Autoridades Competentes também serão responsáveis pelo monitoramento do cumprimento do DGA, podendo aplicar penalidades pecuniárias ou suspender os serviços dos PSCDs. Contudo, o DGA delega tais disposições sancionatórias a cada Estado Membro da UE. Quando envolver dados pessoais, autoridades de proteção de dados deverão ser consultadas previamente.
e. Organizações altruísticas de dados
O DGA reconhece um forte potencial dos dados cedidos voluntariamente para fins de interesse geral, tais como pesquisa e inovação sobre saúde ou combate às mudanças climáticas a partir de machine learning ou data analytics. Logo, busca fomentar a concessão voluntária de dados para fins altruísticos. Para tal, o DGA regula as organizações altruísticas de dados (OADs) que intermediam a relação entre Detentores e eventuais Utilizadores dos dados para fins altruísticos.
Essa disponibilização deve ocorrer por meio do consentimento do próprio titular de dados pessoais, ou pela autorização da pessoa jurídica no caso de dados protegidos por segredo comercial, ou conteúdo protegido por propriedade intelectual. O DGA utiliza termos diferentes para cada tipo de permissão ao tratamento de dados: titulares dão seu consentimento ao tratamento de dados pessoais, enquanto pessoas jurídicas dão sua autorização ao tratamento de dados.
Para tal, emprega-se uma estratégia similar aos PSCDs: OADs recebem um certificado oficial da UE, podendo expô-lo como uma logo, a fim de aumentar a confiança dos Detentores na disponibilização de seus dados.
f. Registro das OADs
Para qualificar-se como uma OAD, a entidade deve:
Ser uma pessoa jurídica voltada a objetivos de interesse geral, de acordo com as leis do Estado Membro da UE;
Conduzir atividades altruísticas de dados;
Ter fins não lucrativos e ser independente de qualquer entidade que os tenha;
Conduzir suas atividades altruísticas de forma funcionalmente apartada de outras atividades; e
Cumprir com regras a serem emitidas pela Comissão Europeia sobre o altruísmo de dados em, no máximo, 18 meses após sua entrada em vigor.
Essas últimas regras complementam o DGA e tratam sobre: (i) requisitos de transparência para que Detentores sejam informados de forma clara e pormenorizada sobre o uso altruístico dos seus dados; (ii) instrumentos que permitam aos titulares retirarem seu consentimento, e às pessoas jurídicas retirarem sua autorização ao tratamento de dados; (iii) requisitos técnicos de segurança para o armazenamento e o tratamento de dados; e (iv) medidas adotadas para evitar o uso indevido dos dados disponibilizados para fins altruísticos. Cumpridos esses requisitos, OADs podem obter sua certificação oficial mediante as Autoridades Competentes dos Estados Membros da UE.
g. Obrigações das OADs
Conforme mencionado, OADs que tenham sido certificadas na UE deverão cumprir com obrigações de transparência. Em caso de descumprimento dessas obrigações, OADs podem perder seus certificados. O monitoramento dessas obrigações é similar aos PSCDs: Estados Membros da UE deverão designar ou criar Autoridades Competentes para a certificação e monitoramento das OADs.
Dentre as obrigações de transparência, estão as seguintes:
OADs deverão manter registros completos sobre: (i) todos os Utilizadores que tiveram acesso aos dados; (ii) a data e a duração do tratamento realizado; (iii) a finalidade declarada dos tratamentos; e (iv) as taxas pagas, se existirem;
OADs deverão encaminhar um relatório anual à Autoridade Competente sobre, dentre outros: (i) como o interesse geral buscado pela OAD fora promovido; (ii) todos os tratamentos realizados, descrevendo o interesse geral buscado em cada qual, e os meios técnicos empregados para a proteção de dados; bem como e (iii) um sumário dos resultados atingidos pelos Utilizadores dos dados da OAD; e
OADs deverão informar os Detentores de dados sobre eventuais países terceiros nos quais permita o tratamento dos dados de seu repositório.
h. Consentimento altruístico de dados
A Comissão Europeia implementará o "Formulário Europeu de Consentimento para o Altruísmo de Dados" com o fim de coletar o consentimento ou autorização dos Detentores de forma uniforme, fomentando sua disponibilização na UE. Esse formulário deve permitir a customização para que os Detentores forneçam seu consentimento ou autorizem o tratamento de dados para setores e finalidades específicas.
