RGPD, eDiscovery e litígios transfronteiriços – Uma transição tranquila ou uma dor de cabeça interminável?

Daqui a menos de quatro meses, o Regulamento Geral sobre a Proteção de Dados (RGPD) entrará em vigor no Reino Unido. No entanto, embora as empresas britânicas e norte-americanas partam do princípio de que cumprirão os requisitos a 25 de maio de 2018, estudos recentes sugerem que muitas delas estão a ser demasiado otimistas.

De acordo com um inquérito realizado junto de empresas do FTSE 500 e da Fortune 500, menos de metade (39 % no Reino Unido e 47 % nos EUA) criou um grupo de trabalho interno dedicado ao RGPD, apenas um terço contrata um prestador de serviços externo para realizar uma análise de lacunas no RGPD e apenas cerca de um terço contrata um consultor externo para ajudar na conformidade com a regulamentação. Estes fatores podem indicar que algumas empresas não estão tão bem preparadas como afirmam perante o mercado^[1].

O RGPD terá um enorme impacto para os juristas empresariais e advogados litigantes externos de ambos os lados do Atlântico na área do eDiscovery. Não é necessariamente verdade que a transferência de dados da UE para países terceiros, em particular para os EUA, se torne mais difícil.  Isto sempre representou um desafio, menos para as empresas sediadas no Reino Unido, mas sim para as da Europa continental, onde a ênfase sempre recaiu sobre a proteção de dados, em contraste com a priorização da divulgação nos EUA^[2]. Nos Estados Unidos, as «Federal Rules of Civil Procedure» estabelecem que o critério para a divulgação é a relevância, o que define um âmbito alargado para o que está sujeito a divulgação e o que não está^[3]. Em contrapartida, os Estados europeus consideram a proteção de dados e a privacidade como direitos humanos invioláveis.  Neste contexto, não é de admirar que o RGPD tenha surgido no Velho Mundo e não no Novo Mundo.

Se, portanto, o RGPD não dificulta necessariamente a transferência de dados para um país terceiro para fins de processamento, por que razão é então um tema tão importante? Para responder a esta questão, basta analisar as sanções aplicáveis em caso de incumprimento.  No caso de infrações graves, como, por exemplo, a omissão da notificação de uma violação de segurança ou a ausência de consentimento para o tratamento de dados, a sanção máxima ascende a 4 % do volume de negócios anual global ou a 20 milhões de euros — consoante o montante que for mais elevado. As infrações leves, como, por exemplo, a ausência de registos relativos aos consentimentos, são punidas com uma coima no valor de 2 % do volume de negócios anual global ou 10 milhões de euros.

Tenha em atenção que estamos a falar de volume de negócios, e não de lucro. Estas coimas podem prejudicar gravemente as empresas que operam com margens reduzidas ou que se encontram sobrecarregadas com dívidas existentes.

Os juristas empresariais e os advogados litigantes que lidam com litígios transfronteiriços necessitam de conhecimentos sólidos sobre o RGPD e têm de saber como garantir o cumprimento da regulamentação na condução do eDiscovery.

Uma breve visão geral do RGPD

O RGPD visa harmonizar a legislação em matéria de proteção de dados em toda a UE. O Governo britânico deixou claro que continuará a aplicar o regulamento mesmo após a saída formal do Reino Unido da UE, em 2019. As disposições visam garantir que as pessoas em causa beneficiem de uma melhor proteção e que os responsáveis pelo tratamento e os subcontratantes estejam sujeitos a obrigações de conformidade mais rigorosas e uniformes.

O RGPD aplica-se não só às organizações com presença física na UE, mas também às que têm sede em países terceiros, mas que oferecem bens e serviços a cidadãos da UE. Além disso, todas as empresas com uma sucursal na UE (como, por exemplo, um centro de atendimento ou um departamento de recursos humanos) estão também sujeitas a estas disposições.

Que impacto tem o RGPD na área do eDiscovery?

Quem realiza investigações para fins judiciais encontra-se no «ponto zero» no que diz respeito ao cumprimento do RGPD. As organizações internacionais que operam nos Estados-Membros da UE ou que aí exercem atividades comerciais têm, por isso, de levar a sério o RGPD.

Entre os temas mais importantes com que os advogados de processo em países terceiros, nomeadamente nos EUA, têm de lidar, contam-se, entre outros:

• Artigo 48.º – Este artigo proíbe a transferência de dados pessoais para fora da UE, a menos que os pedidos se baseiem em tratados internacionais, como a Convenção de Haia. Por conseguinte, qualquer decisão de um tribunal dos EUA que exija a divulgação ou a transferência de dados pessoais a partir da UE só é válida se puder basear-se num tratado ou convenção internacional.  Até à data, os tribunais dos EUA têm decidido de forma inconsistente se uma parte num processo pode recusar-se, com base no direito da UE, a cumprir uma ordem de divulgação. Os casos dependiam, regra geral, das circunstâncias específicas, por exemplo, da importância dos documentos para o desfecho do processo e se a divulgação era do interesse público.  Tendo em conta a ampla margem de discricionariedade dos tribunais, seria imprudente para qualquer parte num litígio nos EUA simplesmente desistir e alegar que o RGPD impede a divulgação — é necessário um plano B.
• O direito ao esquecimento – O n.º 1 do artigo 17.º estabelece: «A pessoa em causa tem o direito de exigir ao responsável pelo tratamento a eliminação imediata dos dados pessoais que lhe digam respeito, e o responsável pelo tratamento é obrigado a eliminar imediatamente os dados pessoais…» – seguindo-se a enumeração dos motivos correspondentes. No entanto, o artigo 17.º, n.º 3, alínea e), estabelece que o artigo 17.º, n.º 1, não se aplica se os dados forem necessários para «a invocação, o exercício ou a defesa de direitos».  É provável que surjam tensões com as empresas, que poderão argumentar que quase todos os dados são potencialmente necessários para a invocação, o exercício ou a defesa de direitos legais. As autoridades de controlo, por outro lado, deverão adotar uma abordagem mais restritiva na interpretação do termo «necessário».  Além disso, o que aconteceria se uma pessoa exercesse o seu direito ao esquecimento após ter sido recebida uma ordem judicial de conservação de dados? Será que a autoridade de proteção de dados competente da UE (no Reino Unido, trata-se do Information Commissioner’s Office) verificará se existia uma ordem de conservação antes de insistir na eliminação dos dados? É improvável que os tribunais dos EUA encarem com compreensão uma ordem de eliminação de dados que possam ser extremamente relevantes para um litígio, apenas porque se destina a proteger os direitos e a privacidade de uma pessoa.
• A obrigação de determinadas organizações nomearem um responsável pela proteção de dados (RPD) – isto poderá dar origem a conflitos, uma vez que um RPD deve ser independente dos processos de tomada de decisão da empresa e não pode ser demitido quando exerce as suas competências perante a direção, a fim de garantir o cumprimento da regulamentação. No entanto, uma vez que os tribunais internacionais ainda precisam de ser amplamente informados sobre as implicações do RGPD e do eDiscovery, os responsáveis pela proteção de dados poderão desempenhar um papel importante para garantir que os juízes e as autoridades de controlo em países terceiros compreendam os desafios que as novas normas colocam às partes num processo no que diz respeito às ordens de divulgação.

Considerações finais

Não há dúvida de que o RGPD irá colocar desafios aos advogados e às organizações, não só na UE, mas em todo o mundo. As partes envolvidas em litígios transfronteiriços têm de conhecer ao pormenor os requisitos de conformidade e garantir que dispõem de planos alternativos, caso não consigam cumprir as ordens de divulgação nacionais.  Uma forma de o conseguir é recorrer a uma solução móvel que permita a consulta e análise dos dados no local, em vez de ter de os transferir para o estrangeiro.

Infelizmente, não existe uma solução única. Resta aguardar para ver como é que os requisitos do RGPD poderão ser conciliados com a necessidade de uma divulgação justa e com a possibilidade de realizar um eDiscovery adequado em litígios transfronteiriços. Provavelmente, levará alguns anos até que os tribunais apresentem orientações nas quais os advogados litigantes se possam basear. Entretanto, é essencial que as empresas e os seus consultores jurídicos estejam plenamente preparados para cumprir as suas obrigações de conformidade a partir de maio de 2018.

A Lineal é um fornecedor líder mundial de soluções flexíveis de eDiscovery e apoio a processos judiciais. Se desejar saber mais sobre o eDiscovery e o RGPD, contacte-nos através do número +44 (0)20 7940 4799 ou envie um e-mail para info@linealservices.com.

^[1] https://www.computerweekly.com/news/450432510/Top-UK-and-US-firms-still-overestimating-GDPR-readiness

^[2] https://www.mjilonline.org/international-e-discovery-eu-privacy-protection-vs-us-broad-disclosure/

^[3] Regra Federal de Processo Civil n.º 26.