Projeto de lei federal de privacidade que impediria leis estaduais de privacidade enfrenta futuro incerto

Uma nova lei nacional de privacidade que promete aos americanos muitos dos mesmos direitos de privacidade do consumidor que o Regulamento Geral de Proteção de Dados da União Europeia (GDPR) está tramitando no Congresso dos EUA. No entanto, o projeto de lei proposto fica aquém das proteções de privacidade de dados já consagradas nas leis e regulamentos estaduais de privacidade existentes.

O objetivo da legislação federal é fornecer uma base nacional única para privacidade de dados para os consumidores, ao mesmo tempo em que fornece supervisão e fiscalização governamental pelo Federal Trade Commission (FTC). Na realidade, a proposta Lei americana de privacidade e proteção de dados não cumpre os parâmetros estabelecidos no Lei de Privacidade do Consumidor da Califórnia (CCPA) de 2018, ou na substituição Lei de Direitos de Privacidade da Califórnia (CPRA), que entra em vigor em 1º de janeiro de 2023, dizem os críticos.

A lei estaria sob a alçada do Federal Trade Commission (FTC), o que significa que abrange apenas as questões já abordadas pela FTC. Isso inclui fraude ao consumidor, roubo de identidade, privacidade de crianças e alguns problemas de segurança cibernética.

Nancy Pelosi, uma representante da Califórnia que, como presidente da Câmara, tem o poder de impedir que o projeto chegue ao plenário da Câmara para votação, emitiu uma declaração
em 1º de setembro, observando que “o American Data Privacy and Protection Act não garante as mesmas proteções essenciais ao consumidor que as leis de privacidade existentes da Califórnia”. Sua declaração está sendo interpretada por especialistas para significar que ela não apoiará o projeto sem uma nova linguagem de prevenção para proteger as leis da Califórnia, e o mataria em vez de levá-lo a votação.

Em um carta aberta para os líderes do Congresso, 10 procuradores-gerais representando estados que atualmente têm leis de privacidade encorajaram o Congresso a aprovar uma legislação que estabeleça apenas uma linha de base para a privacidade. “Incentivamos o Congresso a adotar legislação que estabeleça um piso federal, não um teto, para direitos críticos de privacidade e respeite o importante trabalho já realizado pelos estados para fornecer fortes proteções de privacidade para nossos residentes”, escreveram. Eles citaram as linhas de base federais existentes para outras leis, incluindo proteções de privacidade do consumidor existentes, privacidade de crianças e privacidade de saúde e HIPAA. “Qualquer estrutura federal de privacidade deve deixar espaço para os estados legislarem de forma responsiva às mudanças na tecnologia e nas práticas de coleta de dados”, escreveram os procuradores-gerais na carta. “Isso ocorre porque os estados estão mais bem equipados para se ajustar rapidamente aos desafios apresentados pela inovação tecnológica que pode escapar da supervisão federal”.

A Electronic Frontier Foundation também enviou uma carta ao deputado Frank Pallone, presidente do Comitê de Energia e Comércio da Câmara e patrocinador do projeto de lei, pedindo que as disposições do projeto federal sejam reforçadas e que a preempção dos projetos estaduais de privacidade seja eliminada. O Illinois Information Privacy Act, CCPA e o Data Broker Act de Vermont já protegem os consumidores, e outros estados estão analisando propostas semelhantes. “Embora a EFF apoie a legislação federal que realmente protege a privacidade dos dados do consumidor, há muito nos opomos a fazê-lo se o preço for a antecipação de leis estaduais mais fortes”, escreveu a EFF na carta.

Califórnia se opõe a proteções enfraquecidas

O projeto também atraiu fortes críticas da Califórnia, onde a Agência de Proteção à Privacidade da Califórnia emitiu um memorando que recomenda que a delegação do Congresso da Califórnia, que compõe 12% da Câmara dos Deputados, se oponha ao projeto.

Os legisladores e funcionários estaduais da Califórnia citam várias áreas em que alegam que a lei federal reduziria as proteções de privacidade atualmente fornecidas pelas leis estaduais existentes. Isso inclui a redução das proteções de privacidade para indivíduos que consultam serviços relacionados ao aborto e saúde mental de adolescentes.

O projeto de lei federal, conforme escrito atualmente, não permite que a Califórnia recupere as penalidades monetárias associadas à aplicação da lei federal. Em contraste, a CCPA atualmente permite a recuperação de penalidades significativas para as violações da lei estadual.

Outras mudanças que a ADPPA faria para a Califórnia, atualmente coberta pela CCPA:

• Removendo a atual desativação da tomada de decisão automatizada
• Substituindo a definição da Califórnia de Informações Pessoais com uma definição de dados cobertos que não inclui alguns "dados derivados e identificadores exclusivos" de acordo com a lei da Califórnia
• Remoção de certas proteções em relação à não retaliação pelo exercício dos direitos de privacidade
• Adicionando um requisito para autenticar solicitações globais de desativação – a lei da Califórnia exige que as empresas honrem os sinais de privacidade do navegador como uma desativação, enquanto a ADPPA exige uma aceitação explícita para categorias confidenciais

Debbie Reynolds, especialista global em privacidade e proteção de dados e CEO e diretora de privacidade da Debbie Reynolds Consulting, diz que o projeto de lei federal limita os direitos de privacidade apenas ao consumidor original de um dispositivo. Por exemplo, se um assistente digital, como o Alexa, estiver em um escritório, apenas a empresa que adquiriu o serviço Alexa terá sua privacidade protegida. Qualquer funcionário que esteja sobrecarregado pelo dispositivo discutindo informações privadas não seria protegido pela lei, pois não era o consumidor do serviço do dispositivo.

Fiona Campbell-Webster, diretora de privacidade da MediaMath e ex-diretora jurídica e diretora de proteção de dados global do Beeswax baseado em nuvem, um aplicativo SaaS adquirido pela Comcast, diz que há consequências na vida real.

“Acho que precisamos estar atentos, antes que essas leis sejam finalizadas, o que isso vai significar para a experiência de consumo de conteúdo de interação na Internet”, diz ela. “As preocupações sobre… as consequências não intencionais das grandes plataformas, em última análise, controlando tudo.”

Ela adverte que a privacidade tem um preço. “Acho que seria uma pena ver um mundo em que fomos penalizados se não pudéssemos pagar por todos esses serviços diferentes que agora recebemos gratuitamente de uma certa maneira.” Algumas consequências não intencionais da lei de privacidade, ela alertou, podem impactar negativamente as pequenas empresas, forçando-as a pagar custos mais altos para atender aos novos regulamentos de privacidade.

Canadá considera legislação semelhante

Os EUA não são o único país norte-americano a trabalhar para criar uma nova lei nacional de privacidade. O Canadá introduziu a tão esperada Lei de Implementação da Carta Digital de 2022 — Bill C-27 — que substitui um projeto de lei semelhante que não foi aprovado no Parlamento canadense em agosto de 2021. O projeto de lei promulgaria a Lei de Proteção à Privacidade do Consumidor (CPPA), a Lei do Tribunal de Proteção de Dados e Informações Pessoais e a Lei de Inteligência Artificial e Dados, bem como alterar outros atos existentes.

“Esta é uma lei muito importante para o Canadá”, diz David Goodis, sócio da INQ Law em Toronto. “Ele será aplicado em todas as províncias e territórios, exceto na Colúmbia Britânica, Alberta e Quebec. Quebec aprovou sua própria lei nova e atualizada no início deste ano. BC e Alberta estão considerando atualizar suas leis agora muito antigas. Além de Quebec, a CPPA será a lei de privacidade mais moderna e rigorosa do Canadá, e aproximadamente no mesmo nível da GDPR da Europa e da CCPA da Califórnia.”

Existem algumas diferenças significativas entre o antigo Bill C-11 e o novo Bill C-27, diz Goodis. “Existem várias novas obrigações impostas às organizações que podem atrair multas pecuniárias se não forem cumpridas. Por exemplo, as organizações precisarão implementar um programa de gerenciamento de privacidade, garantir que seus provedores de serviços tenham proteção de privacidade equivalente ao transferir informações pessoais da empresa para o provedor de serviços e garantir que um provedor de serviços que descubra uma violação de segurança notifique a organização. Há também uma parte inteiramente nova da legislação que trata das preocupações específicas em torno da proteção da privacidade das crianças”, explica ele.

Além disso, de acordo com análise
do escritório de advocacia empresarial global DLA Piper, o antigo projeto de lei não substituiu as leis provinciais que são “substancialmente semelhantes” à lei federal, o que significava que as províncias de Quebec, Alberta e Colúmbia Britânica poderiam aplicar suas leis. do federal. Embora o novo projeto de lei permita que o governo federal decida se as leis provinciais são substancialmente semelhantes e, portanto, permitidas, ainda não está claro se Alberta e Colúmbia Britânica serão aprovadas - Quebec, que atualizou sua lei de privacidade em 2021, espera-se que seja isento.