GDPR - Regulamento Geral sobre a Proteção de Dados

O Regulamento Geral sobre a Proteção de Dados (GDPR) é uma das reformas mais influentes da legislação de proteção de dados no mundo, adotado pela União Europeia para estabelecer regras uniformes sobre o tratamento de dados pessoais dentro do espaço de atuação da UE e do Espaço Econômico Europeu (EEE). Implementado em 2018, o GDPR substituiu diretrizes nacionais dispersas por normas harmonizadas que priorizam a privacidade, a transparência e o controle individual sobre dados pessoais. Seu escopo é amplo e não se limita a entidades sediadas na UE; ele pode alcançar organizações com sede fora da UE que ofereçam bens ou serviços a indivíduos na UE ou monitorem o comportamento dessas pessoas dentro da UE. Assim, o GDPR impõe obrigações de governança de dados a operadores (controladores) e encargos (processadores), bem como estabelece direitos fundamentais para os titulares de dados, com consequências relevantes para empresas em diversas jurisdições, incluindo o Brasil, cuja LGPD tem sido fortemente influenciada por esse modelo europeu.

O núcleo do GDPR gira em torno de princípios como licitude, lealdade e transparência; limitação de finalidade; minimização de dados; precisão; limitação do armazenamento; integridade e confidencialidade; e accountability, exigindo que os controladores demonstrem conformidade de forma contínua. Os direitos dos titulares incluem acesso, retificação, exclusão (direito ao esquecimento), restrição de processamento, portabilidade de dados e objeção, bem como o direito a decisões automatizadas com salvaguardas. O regulamento também introduz bases legais para o tratamento, como consentimento específico e informado, execução de contrato, cumprimento de obrigação legal, interesses vitais, tarefas de interesse público ou exercício de autoridade pública, e interesses legítimos que devem ser balanceados com os direitos do titular.

Além disso, o GDPR impõe obrigações de proteção desde a concepção (privacy by design) e por padrão (privacy by default), a necessidade de avaliações de impacto à proteção de dados (DPIA) para operações de alto risco, a figura do Data Protection Officer (DPO) em determinadas circunstâncias, e a exigência de notificação de violações de dados em 72 horas quando possível, com comunicação aos titulares conforme o impactos. O regime sancionatório é rigoroso, com multas administrativas proporcionais à gravidade da infração, podendo chegar a percentuais significativos do faturamento global da empresa, o que estimula conformidade abrangente e contínua, bem como a cooperação entre autoridades de proteção de dados de diferentes estados membros.

Em síntese, o GDPR estabelece um regime de proteção de dados de alta exigência, com alcance extraterritorial, direitos robustos para indivíduos e obrigações rigorosas para organizações, servindo de referência para padrões globais de privacidade e influenciando legislações nacionais, inclusive reformas no Brasil, como a LGPD.