UK GDPR vs EU GDPR: O divórcio dos dados após o Brexit (e quem ficou com a torradeira)

Qual é a diferença principal entre o UK GDPR e o EU GDPR?

A diferença principal entre o UK GDPR e o EU GDPR é que, após o Brexit, o Reino Unido criou uma versão própria do regulamento, mantendo o texto base quase idêntico, mas com adaptações para operar como lei nacional independente. Enquanto o EU GDPR é um regulamento diretamente aplicável nos estados-membros da UE, o UK GDPR é uma lei britânica que incorpora o GDPR ao direito interno, com ajustes nas definições de âmbito territorial, autoridades de supervisão e regras para transferências internacionais de dados.

O divórcio dos dados: como dois regimes nasceram do mesmo texto

Imagina que tu e o teu colega de quarto decidem separar-se. Até aí, partilhavam a cozinha, o frigorífico e as regras de quem lava a loiça. De repente, cada um tem o seu próprio apartamento, mas ambos copiaram o mesmo regulamento de condomínio. Só que um decide que a visita pode ficar até às 23h, o outro até às 22h. É mais ou menos o que aconteceu com o UK GDPR e o EU GDPR.

O Reino Unido, depois de sair da UE, precisava de um regime de proteção de dados próprio para não ficar num limbo jurídico. Em vez de inventar algo novo, pegou no EU GDPR, fez um Ctrl+C, Ctrl+V e chamou-lhe UK GDPR. Mas, como em qualquer divórcio, há pequenas diferenças que fazem toda a diferença.

Âmbito territorial: quem é apanhado na rede?

No EU GDPR, qualquer empresa que trate dados de residentes na UE, mesmo que esteja sediada no Brasil ou na China, tem de cumprir o regulamento. O UK GDPR faz o mesmo, mas para dados de residentes no Reino Unido. Parece igual, mas não é: uma empresa portuguesa que vende para clientes britânicos tem de cumprir o UK GDPR, além do EU GDPR. Duas leis, duas burocracias, duas dores de cabeça.

Autoridades de supervisão: ICO vs. o clube europeu

Na UE, tens um clube de autoridades de proteção de dados (as CNPD, Garante, etc.) que coordenam entre si. No Reino Unido, o Information Commissioner's Office (ICO) é o xerife único. E o ICO tem um estilo diferente: é conhecido por ser mais pragmático e, dizem, menos agressivo nas multas do que alguns homólogos europeus. Mas não te enganes: já aplicou multas de milhões de libras a gigantes como a British Airways e a Marriott.

Transferências internacionais de dados: o passaporte complicado

Antes do Brexit, dados voavam livremente entre o Reino Unido e a UE. Agora, é como se o Reino Unido fosse um país terceiro. A UE já concedeu uma decisão de adequação (adequacy decision) ao Reino Unido, o que significa que, para já, os dados podem fluir sem restrições adicionais. Mas essa decisão tem prazo de validade (revisão a cada 4 anos) e pode ser revogada se o Reino Unido mudar as regras. É como um visto de residência temporário.

Já do lado britânico, o Reino Unido também reconhece a UE como adequada, mas com uma lista de países terceiros própria. E aqui mora o perigo: se a UE alterar as suas regras ou se o Reino Unido decidir alinhar-se com padrões diferentes (como os EUA), o fluxo de dados pode tornar-se um pesadelo burocrático.

Diferenças práticas: o diabo está nos detalhes

Há diferenças subtis que podem fazer tropeçar os incautos. Por exemplo, o UK GDPR permite que o governo britânico faça isenções para fins de imigração, algo que o EU GDPR não prevê. Também há diferenças nas regras sobre representantes legais, consentimento de crianças e nos limites para coimas (no UK GDPR, o teto máximo é de 17,5 milhões de libras ou 4% do volume de negócios anual, enquanto no EU GDPR é de 20 milhões de euros ou 4% – a diferença cambial pode ser relevante).

E agora? Como navegar neste mar de siglas?

Se a tua empresa opera tanto na UE como no Reino Unido, prepara-te para ter dois programas de compliance. O conselho é: segue sempre o regime mais rigoroso (normalmente o EU GDPR) e, se possível, nomeia um representante em cada jurisdição. E, acima de tudo, não ignores o ICO: ele pode ser mais simpático, mas não é teu amigo.

No final, a diferença entre o UK GDPR e o EU GDPR não é um abismo, mas são várias pequenas falhas que, se não cuidadas, podem transformar-se num buraco negro de multas. Mantém-te informado, porque este divórcio ainda vai dar muito que falar.