Fundamentos de GDPR e KVKK

O GDPR (Regulamento Geral de Proteção de Dados da UE, de 2018) e a KVKK da Turquia (Lei nº 6698, de 2016) são as duas estruturas jurídicas abordadas nesta lição. A KVKK foi fortemente inspirada na abordagem da UE, por isso os princípios fundamentais estão estreitamente alinhados.

Ambas regulamentam como os dados pessoais são tratados e concedem direitos fortes às pessoas, respaldados por penalidades significativas.

As duas leis definem papéis fundamentais:

• Titular dos dados (KVKK: pessoa interessada): a pessoa a quem os dados se referem
• Controlador (KVKK: responsável pelo tratamento): decide por que e como os dados são tratados
• Operador (KVKK: operador do tratamento): trata os dados em nome do controlador

O controlador tem a responsabilidade principal, mesmo quando o trabalho é terceirizado a um operador.

O artigo 5 do GDPR estabelece princípios reproduzidos pela KVKK:

• Licitude, lealdade e transparência
• Limitação da finalidade: use os dados apenas para as finalidades declaradas
• Minimização de dados: colete apenas o que for necessário
• Exatidão
• Limitação da conservação: mantenha os dados apenas pelo tempo necessário
• Integridade e confidencialidade (segurança)
• Responsabilização: seja capaz de demonstrar conformidade

Você não pode tratar dados pessoais sem uma base legal. O artigo 6 do GDPR lista seis:

• Consentimento
• Contrato
• Obrigação legal
• Interesses vitais
• Missão de interesse público
• Interesses legítimos

A KVKK tem um conjunto comparável. O consentimento é apenas uma opção, e muitas vezes não é a melhor, porque pode ser revogado a qualquer momento.

Quando você depender do consentimento, ele deverá ser:

• Dado livremente
• Específico para uma finalidade
• Informado
• Inequívoco, mediante uma ação afirmativa clara

Caixas pré-selecionadas, consentimento agrupado e silêncio não são válidos. Revogar o consentimento deve ser tão fácil quanto concedê-lo.

As pessoas têm direitos exigíveis:

• Acesso: uma cópia de seus dados
• Retificação: correção de inexatidões
• Eliminação (direito ao esquecimento)
• Limitação do tratamento
• Portabilidade: recebimento dos dados em formato legível por máquina
• Oposição, inclusive à criação de perfis

As solicitações normalmente devem ser respondidas dentro de um prazo fixo (GDPR: um mês).

A responsabilização exige documentação. Os responsáveis pelo tratamento mantêm um Registro de Atividades de Tratamento (RoPA) que descreve quais dados são tratados, por que são tratados, para onde vão e por quanto tempo são mantidos.

Na Turquia, os responsáveis pelo tratamento que ultrapassam os limites estabelecidos devem se registrar no VERBIS, o registro de responsáveis pelo tratamento de dados. Esses registros são a primeira coisa que uma autoridade reguladora solicita.

O envio de dados pessoais para fora da EU/EEA (ou para fora da Turquia) é restrito. Os mecanismos incluem:

• Decisões de adequação (o destino oferece proteção equivalente)
• Cláusulas Contratuais-Padrão (CCPs)
• Consentimento explícito para a transferência específica

Historicamente, a KVKK exigia a aprovação do Conselho da KVKK ou o consentimento explícito para transferências transfronteiriças; portanto, verifique as regras atuais antes de transferir dados para o exterior.

Órgãos de fiscalização:

• EU: Autoridades nacionais de Proteção de Dados; multas do GDPR de até 20 milhões de euros ou 4% do volume de negócios anual global
• Turquia: o Conselho da KVKK (Kurul), com multas administrativas e poder para ordenar a interrupção do tratamento

Além das multas, as autoridades reguladoras podem determinar medidas corretivas e divulgar as violações.

Algumas organizações devem nomear um Encarregado de Proteção de Dados (DPO), por exemplo, autoridades públicas ou organizações que realizam monitoramento em larga escala ou tratamento de dados de categorias especiais segundo o GDPR.

O DPO presta orientação sobre conformidade, monitora seu cumprimento e atua como ponto de contato com a autoridade reguladora e os titulares dos dados. Ele deve atuar de forma independente.

Quando um responsável pelo tratamento utiliza um subcontratante (um fornecedor de SaaS, um provedor de nuvem ou um subcontratado), um acordo de tratamento de dados (DPA) por escrito é obrigatório. Ele obriga o subcontratante a:

• Tratar dados somente conforme instruções documentadas
• Garantir confidencialidade e segurança
• Contratar subcontratantes ulteriores somente com autorização
• Auxiliar nas solicitações dos titulares dos dados e na comunicação de violações

Escolher um fornecedor não conforme não transfere a responsabilização do responsável pelo tratamento.

Você estudou os fundamentos do GDPR e da KVKK:

• Funções e responsabilização do responsável pelo tratamento e do subcontratante
• Os princípios fundamentais, especialmente a limitação da finalidade e a minimização
• Seis bases legais; o consentimento deve ser dado livremente e poder ser revogado
• Direitos dos titulares dos dados (acesso, apagamento, portabilidade, oposição)
• Registros do RoPA/VERBIS e transferências internacionais restritas
• Autoridades reguladoras, multas elevadas e a função do DPO

A seguir: classificação e minimização dos dados que você mantém.