O Regulamento Geral de Proteção de Dados da União Europeia (GDPR) abriu precedente para aplicação de multas significativas por descumprimento dos requisitos da lei. As autoridades europeias de proteção de dados podem aplicar multas de até 4% do volume de negócios anual global ou no valor de 20 milhões de euros (o que for mais alto). Neste artigo, comentamos quais lições podem ser aprendidas desde o início da aplicação da lei em 2018.

Números

Até 2021, mais de 900 multas foram aplicadas pelas autoridades europeias de proteção de dados.

É importante ressaltar que na Europa existe uma autoridade de proteção de dados presente em cada um dos 26 países europeus, mais 17 autoridades estaduais na Alemanha, totalizando 43 autoridades, cada uma responsável por uma determinada região geográfica. Em média, isso representa 20 multas por autoridade ou cerca de 1 multa por autoridade a cada dois meses.

As multas variam entre 200 euros, aplicados para uma pequena empresa, até 20 milhões de euros, aplicados à rede de hotéis Marriott, em 2020. 

Alvos

As autoridades de proteção de dados têm capacidade limitada. Em razão de não conseguirem controlar cada uma das 25 milhões de empresas europeias, em nossa experiência, percebemos que elas trabalham com três estratégias:

1. As grandes primeiro - as autoridades verificam sistematicamente as empresas mais famosas, como Facebook e Google;
2. Acompanhamento das reclamações - as autoridades acompanham as reclamações feitas diretamente a elas; 
3. Amostragem - as autoridades divulgaram que executam verificações por tipo de indústria de tempos em tempos, de forma que a cada período um determinado ramo seja auditado. 

Como as multas são definidas

Independentemente de qual das três estratégias tenha sido o gatilho, a ação das autoridades parece ser a mesma: elas enviarão uma carta formal para a empresa auditada solicitando documentação padrão e possivelmente uma declaração.

Após analisarmos as 900 multas aplicadas até hoje, e com base em relatos de nossos clientes, a lição é a de que negócios que se comportam de forma cooperativa e agem rapidamente para sanar os déficits identificados não são multados ao final.

Muitas autoridades continuam lembrando que preferem desempenhar o papel de conselheiros benevolentes do que de punidores ferozes. Nenhuma autoridade deseja ser vista emitindo multas simplesmente para "encher seus cofres".

Nota sobre Direito Civil

Na Europa, uma empresa não pode ser processada com base em uma violação de proteção de dados. Somente as autoridades dedicadas são responsáveis pela emissão de multas. Em outros países, pessoas que buscam indenização de empresas por meio de ações coletivas ou outras ações judiciais representam um sério risco.

Conclusão

Embora milhares de reclamações tenham sido registradas e milhares de empresas tenham sido auditadas por amostragem, poucas multas foram de fato aplicadas. Isso ocorre porque as autoridades geralmente ficam satisfeitas com cooperação e boa documentação.

A ECOMPLY apoia o entendimento de que a proteção de dados não é uma questão de perfeição, mas sim de esforço. Quer descobrir como a ECOMPLY pode ajudá-lo a estar pronto para a próxima auditoria de forma descomplicada? Entre em contato conosco hoje.

‍

Image Credit: https://unsplash.com/photos/SAYzxuS1O3M