Canadá propõe nova legislação de privacidade de dados

Na última quarta-feira (18), o Ministro da Inovação, Ciência e Indústria do Canadá, Navdeep Bains, apresentou uma proposta de legislação no Parlamento que visa atualizar e modernizar a legislação federal de privacidade do setor privado do Canadá.

O projeto de lei foi oficialmente chamado de Lei de Proteção à Privacidade do Consumidor (CPPA). Tal proposta representa uma das maiores mudanças na lei de privacidade do Canadá em décadas.

A lei vigente (PIPEDA)

A lei de proteção de dados vigente no país, a Lei de Informações Pessoais e Documentos Eletrônicos (PIPEDA), foi inicialmente aprovada em 2001 e entrou em vigor em 2004. A proposta de nova lei, por sua vez, criaria novas obrigações de privacidade de dados e manteria os princípios do PIPEDA.

Alterações na lei vigente

A primeira parte da proposta de lei altera e renomeia o PIPEDA, que será conhecido como Lei de Proteção à Privacidade do Consumidor. A Parte 2 estabelece um tribunal especializado em privacidade e proteção de dados por meio da Lei do Tribunal de Proteção de Dados e Informações Pessoais. Aqui são algumas das alterações mais significativas da proposta:

Consentimento

Em primeiro lugar, o CPPA imporia novos requisitos para obter o consentimento dos indivíduos a fim de coletar e tratar seus dados pessoais. As organizações devem obter o consentimento dos titulares antes da coleta de dados, a menos que uma organização possa demonstrar que o consentimento implícito é suficiente dadas as circunstâncias. Esses consentimentos devem ser redigidos em linguagem simples, de fácil compreensão por leigos. As organizações não podem pedir que os indivíduos autorizem a coleta de dados além do estritamente necessário para os propósitos dessas organizações. Além disso, os titulares podem retirar seu consentimento a qualquer momento, sujeito a algumas limitações.

Direitos do titular seriam expandidos

Em segundo lugar, sob o CPPA, os indivíduos teriam seus direitos expandidos aos seus dados controlados por organizações. Sujeito a algumas exceções, a pedido de um indivíduo, uma organização teria o dever de informar ao titular se possui alguma informação pessoal sobre ele, como a informação está sendo usada e se houve compartilhamento da mesma.
Ademais, as organizações seriam obrigadas a excluir as informações pessoais do titular mediante solicitação

Decisão automatizada

O PIPEDA não era adequado para lidar com a tomada de decisão automatizada ou algorítmica. A nova lei, contudo, fornece transparência algorítmica e o direito dos indivíduos de exigir uma explicação acerca de como as decisões automatizadas foram tomadas sobre eles.

Tribunal de Informações Pessoais e Privacidade de Dados

No contexto da lei vigente, o órgão fiscalizador de normas de proteção de dados, o Office of the Privacy Comissioner of Canada (OPC), detém poderes sancionadores limitados. Ele tem autoridade para investigar e relatar reclamações, fazer recomendações e firmar acordos de compliance com organizações, mas não está na sua alçada a cobrança de multas em casos de infração.

Na nova prposta de lei, o CPPA corrige esse fato, criando a possibilidade do órgão realizar pedidos, incluindo o de cessão de atividades de processamento, bem como aplicação de multas e advertências.

Nesse sentido, o Tribunal de Informações Pessoais e Privacidade de Dados seria potencialmente um caminho “mais rápido” e menos burocrático para a execução das ordens do OPC, uma vez que agora ganha o efeito de uma efetiva ordem do Tribunal Federal.

Penalidades

As penalidades para algumas infrações administrativas podem chegar a 3% das receitas globais de uma organização ou US $ 10 milhões, o que for maior. As infrações mais graves sob o CPPA podem ser punidas em até 5% das receitas globais de uma organização ou $ 25 milhões, o que for maior. Se transformadas em lei, essas penalidades seriam as mais severas de seu tipo em qualquer país do G7.

Sistema Federativo: desafio de integração da nova legislação

Um grande desafio para qualquer sistema federal consiste em respeitar as divisões constitucionais de poder ao mesmo tempo em que fornece uma estrutura nacional que apoia o comércio provincial.

No Canadá, diversos movimentos de regulamentação de proteção de dados estão ocorrendo concomitantemente à tramitação do CPPA. Quebec apresentou mudanças para tornar sua lei muito semelhante ao GDPR; A Colúmbia Britânica, antes de sua recente eleição, também estava considerando mudanças; e Alberta anunciou recentemente planos para atualizar sua lei de privacidade de saúde.

As discussões acerca do CPPA estão longe de terminar. É notório, contudo, que, independentemente das especificidades das leis provinciais, uma vez aprovado, o CPPA mudará fundamentalmente o panorama da privacidade no Canadá de costa a costa.

Fonte: https://www.dataprotectionreport.com/2020/11/bill-c-11-canada-proposes-new-data-privacy-legislation/