Direito internacional sobre proteção de dados pessoais e implicações para o Vietname

Proteger dados pessoais não é uma questão simples, especialmente quando colocada no contexto da integração, quando as atividades de monitoramento e coleta de dados pessoais estão ocorrendo em larga escala e o sistema legal vietnamita que regulamenta essa questão ainda está em processo de construção e aperfeiçoamento.

Como um dos países com maior desenvolvimento de Internet e velocidade de aplicação no mundo , com quase 80% da população usando-a, dados pessoais de 2/3 da população do Vietnã estão sendo armazenados, publicados, compartilhados e coletados no ciberespaço em muitas formas e níveis de detalhes diferentes.

Em 2022 e 2023, o Vietnã processou 5 processos criminais envolvendo milhares de GB de dados e bilhões de informações pessoais compradas e vendidas. Isso demonstra a necessidade urgente de aprimorar a legislação sobre proteção de dados pessoais com base em pesquisas e referências ao direito internacional.

Direito internacional sobre proteção de dados pessoais

Pháp luật quốc tế về bảo vệ dữ liệu cá nhân và gợi mở cho Việt Nam

O GDPR é considerado um grande avanço legal, criando o mecanismo de proteção de informações pessoais mais rigoroso do mundo atualmente.

O Regulamento Geral de Proteção de Dados (GDPR) da União Europeia (UE) é considerado um grande avanço legal, criando o mecanismo de proteção de informações pessoais mais rigoroso do mundo atualmente e é aplicado a todas as organizações e empresas que processam dados pessoais de cidadãos da UE.

O GDPR impõe penalidades uniformes às empresas em todo o bloco. Especificamente, as multas são de até 2% do faturamento ou 10 milhões de euros para violações menores, e 4% do faturamento ou 20 milhões de euros para violações maiores. Além das multas, as empresas que violarem o GDPR também podem estar sujeitas a outras sanções, como a interrupção do processamento de dados ou a exclusão de dados que tenham sido processados em violação ao GDPR.

A autoridade de proteção de dados pessoais da UE é a Autoridade Europeia para a Proteção de Dados (EDPS), um órgão independente cujos membros incluem advogados experientes, especialistas em TI e administradores.

Este órgão tem como principal função supervisionar o processamento de dados pessoais em agências e organizações da UE, bem como aconselhar sobre questões relacionadas a dados pessoais. O GDPR também exige a criação de uma Autoridade de Proteção de Dados Pessoais em cada Estado-Membro, como uma Comissão Nacional de Proteção de Dados Pessoais (França, Irlanda...) ou uma Inspetoria de Proteção de Dados (Finlândia, Letônia...).

Juntamente com a AEPD, a UE também criou o Conselho Europeu para a Proteção de Dados (CEPD), que é composto por representantes das autoridades nacionais de proteção de dados dos Estados-membros e representantes da UE, e funciona como o principal órgão consultivo independente sobre questões de proteção de dados pessoais, responsável pela aplicação consistente do RGPD em toda a união.

O GDPR prevê sanções altamente dissuasivas, tanto materiais quanto imateriais. Além disso, a autoridade de proteção de dados pessoais da UE, que é implementada segundo o modelo Comissão/Comissário, tem poderes amplos e independentes para impor sanções caso as organizações violem os regulamentos de proteção de dados pessoais e é capaz de avaliar e decidir de forma independente sobre o tratamento de dados pessoais.

A Lei de Proteção de Informações Pessoais da China (PIPL), promulgada em 2021, é considerada a primeira lei abrangente de proteção de informações pessoais em nível nacional na China. A PIPL oferece uma visão relativamente unificada de dados pessoais/informações pessoais como informações que identificam ou identificam um indivíduo específico, visando um grupo restrito de indivíduos dentro do território chinês (Artigo 4, Capítulo 1 da PIPL). Ao mesmo tempo, regulamenta a questão de dados pessoais sensíveis para estabelecer normas sobre os direitos e obrigações das partes em relação a grupos mais específicos de dados.

As sanções por violações dos direitos de dados pessoais previstos no PIPL são muito severas, incluindo remediação forçada, confisco de rendimentos ilegais, suspensão de serviços, revogação de licenças de operação ou comerciais e multas de até 50 milhões de yuans ou 5% da receita anual de uma organização no ano fiscal anterior. Além disso, as violações também podem ser registradas no "arquivo de crédito" da unidade de processamento do sistema nacional de crédito social.

Além disso, as unidades de processamento serão responsáveis por indenizar os danos causados caso violem os direitos e interesses de organizações e indivíduos. As sanções penais para esses tipos de violações também são regulamentadas especificamente pela Lei Penal Chinesa, que estipula responsabilidade penal mais severa para aqueles que são obrigados a manter informações confidenciais, acrescenta a forma de confisco de propriedade e estipula a prisão perpétua como a pena máxima.

A Lei de Proteção de Dados Pessoais de Singapura (PDPA) foi aprovada em 2012 (alterada em 2020). A legislação de Singapura reconhece o direito à proteção de dados pessoais, bem como a necessidade de organizar a coleta, o uso e a divulgação de informações para fins apropriados em determinadas circunstâncias.

A PDPA também prevê penalidades financeiras severas para violações de dados. Os infratores individuais estarão sujeitos a multas ou prisão. As multas dependem da natureza e gravidade da violação, variando de SGD 2.000 a SGD 100.000 (equivalente a VND 1,6 bilhão) e/ou prisão de no máximo 12 meses, ou até 3 anos em casos graves1; agências e empresas que violarem a lei podem ser multadas em até 10% do seu faturamento anual.

O órgão que desempenha um papel importante na garantia da implementação da PDPA é a Comissão de Proteção de Dados Pessoais (PDPC). Trata-se de um órgão especializado com amplos poderes e amplas capacidades de execução, com o direito de solicitar a indivíduos e organizações que forneçam informações e documentos relacionados ao tratamento de dados pessoais, impor sanções financeiras por violações, bem como lidar com elas por meio de outras medidas.

A criação de uma agência especializada, a Comissão de Proteção de Dados Pessoais de Cingapura, que trabalha de forma independente e proativa na detecção, tratamento de violações e aplicação de sanções, também é uma das condições para a aplicação efetiva da proteção de dados pessoais em Cingapura.

Recomendações para melhorar as leis de proteção de dados pessoais no Vietnã

Atualmente, no Vietnã, existem 69 documentos legais diretamente relacionados à questão da proteção de dados pessoais estipulados em diferentes documentos, incluindo a Constituição, o Código (4), a Lei (39), a Portaria (1), o Decreto (2), a Circular/Circular Conjunta (4) e a Decisão do Ministro (1).

Esses documentos abordam basicamente a questão da proteção de dados pessoais na direção de promover o princípio de garantir a privacidade do titular, mas têm regulamentações diferentes sobre informações relacionadas a dados pessoais, referindo-se a questões de direitos e obrigações dos titulares, processamento de informações e métodos de proteção de dados pessoais. A lei que regulamenta a questão da proteção de dados pessoais no Vietnã alcançou alguns resultados notáveis, especialmente em 17 de abril de 2023, o Governo emitiu o Decreto nº 12/2023/ND-CP sobre proteção de dados pessoais - este é um documento separado que regulamenta esta questão em nosso país. Esses documentos legais criaram um corredor legal no trabalho de proteção de dados pessoais; especificam os direitos dos titulares dos dados, bem como das partes que os processam, prescrevem sanções para violações da proteção de dados pessoais e identificam a agência especializada em proteção de dados pessoais como o Departamento de Segurança Cibernética e Prevenção de Crimes de Alta Tecnologia do Ministério da Segurança Pública ...

O Vietnã enfrenta muitos riscos, desafios e perigos do ciberespaço, especialmente o vazamento e a apropriação de informações e dados pessoais, causando muitos efeitos prejudiciais aos cidadãos e à sociedade.

No entanto, a implementação real desses documentos também revelou muitas limitações, como os atuais documentos legais separados que estão apenas no nível de Decreto, não atendendo à importância de proteger dados pessoais, muitos conteúdos são atualmente regulamentados de forma geral e pouco claros, levando à falta de orientação específica para cada caso específico, e as sanções ainda são leves e não suficientemente dissuasivas...

Nessa situação, o aprimoramento contínuo da legislação sobre proteção de dados pessoais no Vietnã tem sido e é uma questão que precisa ser estudada com base na experiência de outros países. Especificamente:

Primeiro, elaborar uma Lei de Proteção de Dados Pessoais . No contexto da Revolução Industrial 4.0, em escala regional e nacional, 80 países emitiram documentos legais separados para proteger dados pessoais. O Vietnã precisa, em breve, pesquisar e emitir uma lei geral e especializada sobre dados, como a Lei de Privacidade de Dados, como a UE, China ou Cingapura, que identifique questões e princípios básicos para a proteção de dados pessoais. A emissão de uma lei separada sobre dados pessoais será uma base legal importante para a proteção de dados pessoais, uma vez que, atualmente, os documentos legais relacionados a essa questão em nosso país não são unificados em termos de terminologia e regulamentos de conteúdo.

Em segundo lugar, alterar e complementar as sanções por violações de dados pessoais de forma mais severa, de acordo com a natureza e a gravidade da violação. Embora as sanções por violações de dados pessoais em nosso país incluam sanções administrativas, civis e criminais, elas são geralmente bastante leves e não têm um alto efeito dissuasor. O principal método atualmente ainda é a aplicação de sanções por violações administrativas, mas as regulamentações estão espalhadas em muitos decretos com multas bastante baixas, sendo a mais alta: 100 milhões de VND para pessoas físicas e 200 milhões de VND para empresas.

Embora os danos que as violações administrativas de dados pessoais possam causar não sejam apenas danos materiais, mas também danos à honra e à dignidade. Além das sanções administrativas, as sanções penais por violações de dados pessoais estão refletidas apenas nas normas sobre privacidade e no campo da tecnologia da informação e segurança de redes, nos artigos 159 e 288 do Código Penal atual, com uma pena de prisão relativamente baixa, de no máximo 7 anos de prisão e uma multa de no máximo 1 bilhão de VND. Essa multa, quando comparada ao nível de 20 milhões de euros da UE, 1 milhão de SGD de Singapura ou a pena de prisão perpétua da China, ainda é muito baixa, não compatível com muitas violações.

Ao mesmo tempo, é necessário regulamentar muitos grupos de comportamentos que atualmente não são mencionados na lei, como negociação de dados em larga escala, criação de sistemas para violar dados, violações em negócios de serviços de marketing, etc.

Terceiro, no modelo de agência de proteção de dados pessoais do Vietnã . Atualmente, o Departamento de Segurança Cibernética e Prevenção de Crimes de Alta Tecnologia, subordinado ao Ministério da Segurança Pública, é a agência especializada em proteção de dados pessoais. Referindo-se às regulamentações internacionais, podemos considerar a criação de uma agência independente de proteção de dados pessoais responsável por aplicar a Lei de Proteção de Dados Pessoais, conduzir inspeções, exames, emitir diretrizes e recomendações e aplicar sanções por violações, se houver.

Podemos nos referir a esses modelos na UE ou em Cingapura... para aplicar efetivamente as leis de proteção de dados pessoais, equilibrando a proteção dos direitos pessoais e garantindo a segurança da rede.

Pesquisar o direito internacional sobre essa questão em referência à situação prática no Vietnã nos ajudará a construir em breve uma estrutura legal para proteção abrangente de dados pessoais, compatível com o direito internacional e com aplicação eficaz.

1 https://nhandan.vn/chu-trong-bao-ve-du-lieu-ca-nhan-post780834.html

[anúncio_2]
Fonte