O Reino Unido Projeto de Lei de Uso e Acesso a Dados (DUA) foi apresentado à Câmara dos Lordes do Reino Unido em 24 de novembro de 2024, para reformar a estrutura de proteção de dados existente, especificamente a Lei de Proteção de Dados, Regulamentos de Privacidade e Comunicações Eletrônicas (PECR)e RGPD do Reino UnidoO Projeto de Lei DUA visa equilibrar a inovação orientada por dados e proteger os direitos individuais de privacidade. No entanto, ele tem o potencial de criar contrastes conflitantes com os padrões de privacidade de dados da UE, o que pode impactar o status de adequação de dados do Reino Unido.
O que é o Projeto de Lei DUA?
O Conta de Dados (Uso e Acesso) é uma proposta legislativa para estabelecer uma estrutura para sistemas de identificação digital e regular o uso e o acesso a dados no país. O Projeto de Lei DUA foi publicado em 24 de outubro de 2024 para substituir o projeto fracassado do governo anterior. Projeto de Lei de Proteção de Dados e Informações Digitais (DPDI).
O DUA tem como objetivo “desbloquear o uso seguro e eficaz de dados para o interesse público” Ao mesmo tempo em que impulsiona o crescimento econômico e melhora a vida dos residentes do Reino Unido, o projeto de lei busca modernizar as práticas de dados, promover a inovação digital e garantir medidas robustas de proteção de dados.
Principais reformas definidas no projeto de lei DUA
O Projeto de Lei DUA impacta substancialmente a proteção de dados no Reino Unido, com foco na redução dos encargos regulatórios para pequenas e médias empresas (PMEs), simplificando as solicitações de acesso de titulares de dados (DSARs) e aprimorando o alinhamento com as políticas de dados da UE. Essas mudanças propostas têm implicações e continuam sendo cruciais para as organizações que se preparam para futuros desenvolvimentos legislativos.
O Projeto de Lei DUA propôs diversas alterações significativas ao cenário de proteção de dados do Reino Unido:
Interesses Legítimos e Processamento
- Interesse legítimo: O Projeto de Lei propõe que os controladores não precisem realizar uma Avaliação de Interesses Legítimos (LIA) quando o processamento se enquadrar em "interesses legítimos reconhecidos". Isso inclui cenários como salvaguardar a segurança nacional, proteger os vulneráveis ou responder a uma emergência.
Além disso, o Projeto de Lei DUA fornece exemplos específicos de atividades de tratamento que podem ser consideradas necessárias para interesses legítimos, incluindo marketing direto, compartilhamento interno de dados e segurança cibernética. O Projeto de Lei proporciona a clareza necessária, garantindo que os controladores entendam quando podem legalmente se basear em interesses legítimos como base para o tratamento de dados.
- Processamento adicional de dados pessoais: O Projeto de Lei reforça as normas sobre o processamento posterior de dados pessoais, enfatizando sua compatibilidade com a finalidade original da coleta. As organizações devem realizar avaliações mais rigorosas para garantir que qualquer novo uso de dados pessoais permaneça alinhado com sua intenção inicial.
DSARs e tomada de decisão automatizada
- DSARs: O Projeto de Lei DUA aprimora o tratamento de Solicitações de Acesso de Titulares de Dados (DSARs), exigindo que os controladores realizem buscas "razoáveis e proporcionais", embora não defina esses termos explicitamente. Ele introduz isenções para informações protegidas pelo privilégio profissional legal e esclarece os prazos de resposta com base na verificação de identidade ou em detalhes adicionais de processamento. Diferentemente do Projeto de Lei DPDI, ele não permite que os controladores recusem solicitações de reclamação, mas fornece respaldo legal para as limitações do escopo de busca, garantindo que os controladores sejam obrigados a fornecer informações apenas com base em um esforço razoável e proporcional. Isso oferece maior clareza e segurança jurídica para organizações que gerenciam a conformidade com o DSAR.
- Tomada de decisão automatizada: O Projeto de Lei estabelece regras mais rigorosas para decisões significativas tomadas exclusivamente por meio de processamento automatizado, garantindo justiça e transparência na tomada de decisões algorítmicas. Ele restringe a proibição da tomada de decisões automatizadas a casos que impactem significativamente os titulares dos dados e envolvam dados de categorias especiais. Além disso, introduz novos direitos para os titulares dos dados, incluindo o direito de receber informações sobre decisões automatizadas e solicitar intervenção humana no processo de tomada de decisão.
Consentimento e Cookies
- Regulamentação do Consentimento de Cookies: O projeto de lei altera o Regulamento de Privacidade e Comunicações Eletrônicas (PECR), que visa reduzir pop-ups e banners de cookies, permitindo certos tipos de biscoitos ser colocado sem consentimento explícito do usuário. Isso inclui cookies usados para funcionalidades essenciais do site, segurança, prevenção de fraudes e medição de audiência. Além disso, o Projeto de Lei incentiva o desenvolvimento de configurações baseadas no navegador ou no dispositivo que permitam aos usuários gerenciar seus dados. preferências de cookies de forma mais eficaz, reduzindo a necessidade de solicitações repetidas de consentimento.
- Esclarecimento de Consentimento: O Projeto de Lei define "consentimento livremente dado" para abordar preocupações sobre serviços que exigem consentimento como condição de acesso. Essa mudança promove mais transparência e práticas gerais de dados amigáveis ao usuário.
- Pesquisa científica: O projeto de lei altera o GDPR do Reino Unido para permitir que controladores de dados processem dados para pesquisas científicas a fim de obter consentimento para uma área específica de pesquisa. Isso permite que os titulares dos dados consintam apenas em determinados aspectos da pesquisa, e não no estudo completo.
Novas adições do Projeto de Lei DUA
O Projeto de Lei DUA inclui novos elementos não incluídos no Projeto de Lei DPDI, como:
- Dados de categoria especial: De acordo com a Cláusula 74, o Secretário de Estado tem autoridade para emitir regulamentos que expandam as categorias especiais de dados previstas no Artigo 9 do GDPR do Reino Unido. Esses regulamentos podem introduzir novas categorias de dados, refinar as condições aplicáveis, proibir o processamento e adicionar definições para adaptação aos avanços tecnológicos e sociais.
- Dados das crianças: O Projeto de Lei DUA reforça a proteção de dados de crianças ao exigir que o Information Commissioner's Office (ICO) do Reino Unido priorize a vulnerabilidade das crianças no processamento de dados ao aplicar as leis de proteção de dados.
- Reclamações dos titulares dos dados: O Projeto de Lei DUA exige que os titulares dos dados primeiro enviar reclamações diretamente ao controlador relevante antes de encaminhá-los ao ICO, caso não sejam resolvidos, visando reduzir a carga de trabalho do ICO. As organizações devem estabelecer um procedimento formal de reclamações e manter um registro de reclamações sobre proteção de dados, que deve ser compartilhado com o ICO mediante solicitação.
- Transferências internacionais de dados: O projeto de lei altera o GDPR do Reino Unido, permitindo que o Secretário de Estado aprove transferências de dados usando um novo “teste de proteção de dados”, garantindo que os padrões de outros países não sejam significativamente inferiores aos do Reino Unido.
- Serviços de verificação digital: O projeto de lei estabelece regulamentações para serviços de verificação digital, incluindo um registro de provedores e uma estrutura de confiança, que visa aumentar a confiança na verificação de identidade online.
Como o BigID pode ajudar organizações a se alinharem ao Projeto de Lei DUA
BigID capacita organizações a cumprir a nova Lei de Uso e Acesso a Dados (DUA) do Reino Unido, fornecendo recursos avançados de descoberta, classificação, governança e IA de dados. Com digitalização e catalogação automatizadasA BigID auxilia organizações a identificar e gerenciar dados pessoais e sensíveis, agilizando a conformidade com regulamentações mais rigorosas sobre processamento de dados, interesses legítimos, consentimento e direitos dos titulares dos dados. Os recursos de monitoramento de segurança e conformidade da BigID também ajudam a mitigar riscos associados a transferências de dados, tomada de decisões automatizada e proteção de dados de crianças — alinhando as organizações aos requisitos regulatórios em evolução do Projeto de Lei DUA.
Com o BigID, as organizações podem:
- Obtenha visibilidade de dados: Classifique, categorize, marque e etiquete automaticamente dados pessoais e confidenciais de forma precisa, granular e dimensione por pessoa, sensibilidade, tipo, contexto e conteúdo.
- Descubra dados: Descubra e catalogue seus dados confidenciais, incluindo estruturados, semiestruturados e não estruturados, em ambientes locais e na nuvem.
- Minimizar dados: Garanta a minimização de dados por meio de descoberta e correlação de duplicatas para remover automaticamente dados ROT e reduzir sua superfície de ataque.
- Automatize o gerenciamento de direitos de dados: Automatize solicitações individuais de cumprimento de direitos de dados pessoais, como acesso, atualizações, recursos e exclusão.
- Gerenciar consentimento e preferências universais: Gerencie e ajuste o consentimento e as preferências do consumidor de forma universal e centralizada em vários canais com facilidade.
- Simplifique o gerenciamento do ciclo de vida dos dados: Aplique uma abordagem baseada em políticas para automatizar o gerenciamento do ciclo de vida de dados durante a coleta, retenção e exclusão.
- Monitorar transferências transfronteiriças de dados: Crie políticas e atribua residência a fontes de dados e dados de indivíduos para impor requisitos de residência de dados, além de monitorar e alertar sobre transferências de dados.
- Avalie o risco de privacidade: Iniciar, gerenciar, documentar e concluir várias avaliações, incluindo PIA, DPIA, AI, TIA, LIA e fornecedor, para manter a conformidade e reduzir riscos.
- Obtenha conformidade com o projeto de lei DUA: Simplifique os processos de conformidade com recursos e estruturas de privacidade e segurança de ponta a ponta para aplicar políticas, atender a requisitos regulatórios e proteger dados pessoais, confidenciais e regulamentados.
Entre em contato com os especialistas em privacidade da BigID para ver como otimizar o gerenciamento de privacidade e, ao mesmo tempo, fortalecer a conformidade. Agende sua demonstração hoje mesmo!
Autor
