A Diretiva de Proteção de Dados, oficialmente Diretiva 95/46/CE, promulgada em outubro de 1995, foi uma diretiva da União Europeia que regulamentou o processamento de dados pessoais na União Europeia (UE) e a livre circulação desses dados. A Diretiva de Proteção de Dados foi um componente importante da lei de privacidade e do direito internacional dos direitos humanos da UE.
Os princípios estabelecidos na Diretiva de Proteção de Dados visavam à proteção dos direitos fundamentais no processamento de dados pessoais. O Regulamento Geral sobre a Proteção de Dados, adotado em abril de 2016, substituiu a Diretiva de Proteção de Dados e entrou em vigor em 25 de maio de 2018.
Contexto O direito à privacidade é uma área do direito altamente desenvolvida na Europa. Todos os estados-membros do Conselho da Europa também são signatários da Convenção Europeia dos Direitos Humanos. O artigo 8 dessa convenção prevê o direito ao respeito pela "vida privada e familiar, seu domicílio e sua correspondência", sujeito a certas restrições. O Tribunal Europeu dos Direitos Humanos deu a esse artigo uma interpretação muito ampla em sua jurisprudência.
Em 1973, o acadêmico americano Willis Ware publicou Records, Computers, and the Rights of Citizens (Registros, Computadores e os Direitos dos Cidadãos), um relatório que influenciaria os rumos que essas leis tomariam.
Em 1980, em um esforço para criar um sistema abrangente de proteção de dados em toda a Europa, a Organização para a Cooperação e Desenvolvimento Econômico emitiu suas "Recomendações do Conselho relativas às diretrizes que regem a proteção da privacidade e os fluxos transfronteiriços de dados pessoais". Os sete princípios que regem as recomendações da organização para a proteção de dados pessoais foram:
Aviso - os titulares dos dados devem ser avisados quando seus dados estiverem sendo coletados;
Finalidade - os dados devem ser usados somente para a finalidade declarada e não para quaisquer outras finalidades;
Consentimento - os dados não devem ser divulgados sem o consentimento do titular dos dados;
Segurança - os dados coletados devem ser mantidos em segurança contra possíveis abusos;
Divulgação - os titulares dos dados devem ser informados sobre quem está coletando seus dados;
Acesso - os titulares dos dados devem ter permissão para acessar seus dados e fazer correções em quaisquer dados imprecisos;
Responsabilidade - os titulares de dados devem ter um método disponível para responsabilizar os coletores de dados por não seguirem os princípios acima.
As Diretrizes da Organização para a Cooperação e Desenvolvimento Econômico, no entanto, não eram obrigatórias, e as leis de privacidade digital ainda variavam muito na Europa. Os Estados Unidos, por sua vez, embora endossassem as recomendações da organização, não fizeram nada para implementá-las nos Estados Unidos. Entretanto, os seis primeiros princípios foram incorporados à Diretiva da UE.
Em 1981, os Estados-Membros do Conselho da Europa adotaram a Convenção para a Proteção de Indivíduos com relação ao Processamento Automático de Dados Pessoais (Convenção 108) para implementar o Artigo 8 da Convenção Europeia dos Direitos Humanos. A Convenção 108 obriga os signatários a promulgarem legislação relativa ao processamento automático de dados pessoais e foi modernizada e reforçada em 2018 para se tornar a "Convenção 108+".
Em 1989, com a reunificação da Alemanha, os dados coletados pela polícia secreta da Alemanha Oriental (Stasi) tornaram-se bem conhecidos, aumentando a demanda por privacidade na Alemanha. Naquela época, a Alemanha Ocidental já tinha leis de privacidade desde 1977 (Bundesdatenschutzgesetz). A Comissão Europeia percebeu que as legislações divergentes de proteção de dados entre os estados-membros da UE impediam o livre fluxo de dados dentro da UE e, portanto, propôs a Diretiva de Proteção de Dados.
Conteúdo A diretiva regulamenta o processamento de dados pessoais, independentemente do processamento ser automatizado ou não.
Escopo Os dados pessoais são definidos como "qualquer informação relativa a uma pessoa física identificada ou identificável ('titular dos dados'); é considerada identificável a pessoa que possa ser identificada, direta ou indiretamente, em especial por referência a um número de identificação ou a um ou mais elementos específicos da sua identidade física, fisiológica, psíquica, econômica, cultural ou social" (art. 2 a).
Essa definição tem a intenção de ser muito ampla. Os dados são considerados "dados pessoais" quando alguém é capaz de vincular as informações a uma pessoa, mesmo que a pessoa que detém os dados não possa fazer esse vínculo. Alguns exemplos de "dados pessoais" são: endereço, número de cartão de crédito, extratos bancários, registro criminal, etc.
A noção de processamento significa "qualquer operação ou conjunto de operações efetuadas sobre dados pessoais, por meios automatizados ou não, tais como coleta, registro, organização, armazenamento, adaptação ou alteração, recuperação, consulta, utilização, divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, comparação ou interconexão, bloqueio, apagamento ou destruição" (art. 2 b).
A responsabilidade pela conformidade recai sobre os ombros do "controlador", ou seja, a pessoa física ou jurídica, autoridade pública, agência ou qualquer outro órgão que, sozinho ou em conjunto com outros, determine as finalidades e os meios de processamento de dados pessoais (art. 2 d).
As regras de proteção de dados são aplicáveis não apenas quando o controlador estiver estabelecido na UE, mas sempre que o controlador usar equipamentos situados na UE para processar dados. (art. 4) Os controladores de fora da UE, que processam dados na UE, terão de seguir a regulamentação de proteção de dados. Em princípio, qualquer empresa on-line que negocie com residentes da UE processará alguns dados pessoais e usará equipamentos na UE para processar os dados (ou seja, o computador do cliente). Como consequência, o operador do site teria que cumprir as regras europeias de proteção de dados. A diretriz foi redigida antes do surgimento da Internet e, até o momento, há pouca jurisprudência sobre esse assunto.
Princípios Os dados pessoais não devem ser processados de forma alguma, exceto quando determinadas condições forem atendidas. Essas condições se enquadram em três categorias: transparência, finalidade legítima e proporcionalidade.
Transparência O titular dos dados tem o direito de ser informado quando seus dados pessoais estiverem sendo processados. O controlador deve fornecer seu nome e endereço, a finalidade do processamento, os destinatários dos dados e todas as outras informações necessárias para garantir que o processamento seja justo. (art. 10 e 11)
Os dados somente poderão ser processados se pelo menos uma das seguintes condições for verdadeira (art. 7):
quando o titular dos dados tiver dado seu consentimento.
quando o processamento for necessário para a execução ou a celebração de um contrato.
quando o processamento for necessário para o cumprimento de uma obrigação legal.
quando o processamento for necessário para proteger os interesses vitais do titular dos dados.
o processamento for necessário para o desempenho de uma tarefa realizada no interesse público ou no exercício da autoridade oficial investida no controlador ou em um terceiro a quem os dados sejam divulgados.
o processamento for necessário para os fins dos interesses legítimos do controlador ou de terceiros a quem os dados forem divulgados, exceto quando esses interesses forem sobrepostos pelos interesses dos direitos e liberdades fundamentais do titular dos dados. O titular dos dados tem o direito de acessar todos os dados processados sobre ele. O titular dos dados também tem o direito de exigir a retificação, exclusão ou bloqueio de dados incompletos, imprecisos ou que não estejam sendo processados de acordo com as regras de proteção de dados. (art. 12)
Finalidade legítima Os dados pessoais só podem ser processados para fins específicos, explícitos e legítimos e não podem ser processados de forma incompatível com esses fins. (art. 6 b) Os dados pessoais devem ter proteção contra uso indevido e respeito a "certos direitos dos proprietários de dados garantidos pela legislação da UE".
Proporcionalidade Os dados pessoais podem ser processados somente na medida em que sejam adequados, relevantes e não excessivos em relação às finalidades para as quais foram coletados e/ou processados posteriormente. Os dados devem ser precisos e, quando necessário, mantidos atualizados; todas as medidas razoáveis devem ser tomadas para garantir que os dados imprecisos ou incompletos, tendo em vista as finalidades para as quais foram coletados ou para as quais são processados posteriormente, sejam apagados ou retificados; os dados não devem ser mantidos em uma forma que permita a identificação dos titulares dos dados por mais tempo do que o necessário para as finalidades para as quais os dados foram coletados ou para as quais são processados posteriormente. Os Estados-Membros devem estabelecer garantias adequadas para dados pessoais armazenados por períodos mais longos para uso histórico, estatístico ou científico. (art. 6).
Quando dados pessoais sensíveis (podem ser: crenças religiosas, opiniões políticas, saúde, orientação sexual, raça, filiação a organizações anteriores) estiverem sendo processados, aplicam-se restrições adicionais. (art. 8).
O titular dos dados pode se opor, a qualquer momento, ao processamento de dados pessoais para fins de marketing direto. (art. 14)
Uma decisão baseada em algoritmo que produza efeitos legais ou afete significativamente o titular dos dados não pode se basear apenas no processamento automatizado de dados. (art. 15) Deve ser fornecida uma forma de recurso quando forem usados processos automáticos de tomada de decisão.
Autoridade de supervisão e registro público de operações de processamento Cada estado-membro deve estabelecer uma autoridade supervisora, um órgão independente que monitorará o nível de proteção de dados nesse estado-membro, aconselhará o governo sobre medidas e regulamentações administrativas e iniciará processos legais quando a regulamentação de proteção de dados for violada. (art. 28) Os indivíduos podem apresentar reclamações sobre violações à autoridade supervisora ou a um tribunal.
O controlador deve notificar a autoridade supervisora antes de começar a processar os dados. A notificação contém pelo menos as seguintes informações (art. 19):
o nome e o endereço do controlador e de seu representante, se houver;
a finalidade ou as finalidades do processamento;
uma descrição da categoria ou categorias de titulares de dados e dos dados ou categorias de dados relacionados a eles;
os destinatários ou categorias de destinatários aos quais os dados podem ser divulgados;
transferências de dados propostas para países terceiros;
uma descrição geral das medidas tomadas para garantir a segurança do processamento.
Essas informações são mantidas em um registro público.
Transferência de dados pessoais para países terceiros Países terceiros é o termo usado na legislação para designar países fora da União Europeia. Os dados pessoais só podem ser transferidos para um país terceiro se esse país oferecer um nível adequado de proteção dos dados. São previstas algumas exceções a essa regra, por exemplo, quando o próprio controlador pode garantir que o destinatário cumprirá as regras de proteção de dados.
O Artigo 29 da Diretiva criou o "Grupo de Trabalho sobre a Proteção de Indivíduos com relação ao Processamento de Dados Pessoais", comumente conhecido como "Grupo de Trabalho do Artigo 29". O Grupo de Trabalho fornece orientação sobre o nível de proteção na União Europeia e em outros países.