Califórnia delete act e data brokers

O Estado Norte-Americano da Califórnia foi o primeiro a impor uma legislação sobre privacidade no país, sendo notoriamente conhecido por encabeçar discussões e normas para resguardar a privacidade dos seus residentes. O Estado Dourado possui diversas legislações sobre o tema como, California Consumer Privacy Act - CCPA (2020), California Privacy Rights Act - CPRA (2023), Data Broker Registration Law (2019) e terá uma nova legislação que será o Delete Act (2023), que possui como foco principal a possibilidade para os consumidores californianos de conseguirem, via um único canal, realizar solicitação de exclusão dos seus dados pessoais tratados por data brokers.

Data Brokers

Na nova legislação data broker está definido como: "business that knowingly collects and sells to third parties the personal information of a consumer with whom the business does not have a direct relationship."¹

Oficialmente na Califórnia existem registrados junto ao Procurador Geral do Estado² o número de 500 data brokers, nesse Estado a obrigatoriedade de registro dessas empresas acontece em razão da legislação denominada Data Broker Registration Law. E as informações das empresas são disponibilizadas para acesso.

Califórnia Delete Act

O projeto de lei procura suplementar uma questão indicada no CCPA, que possui a previsão de exclusão dos dados pessoais, mediante solicitações individuais, mas esse direito está relacionado aos dados coletados diretamente com o titular de dados, não garantindo a exclusão dos dados coletados por outras fontes, como data brokers³. A ideia da nova lei é desenvolver um canal exclusivo que possibilite aos californianos de realizarem em uma única solicitação o descarte de seus dados, permitindo assim, um controle maior sobre os dados pessoais por parte dos consumidores.⁴ A previsão legal para criação deste mecanismo de exclusão tem como prazo final 01 de janeiro de 2026.⁵

A mecânica da exclusão dos dados tem como estrutura a obrigatoriedade dos data brokers de acessar o canal de solicitação a cada 45 dias para verificar as solicitações de descartes. Uma vez realizada a exclusão, as empresas estarão proibidos de vender ou compartilhar novos dados desses consumidores no futuro, ou seja, a relação entre data broker e consumidor será encerrada de modo definitivo.

Outra obrigatoriedade criada para os data brokers, será a obrigação da realização, a cada três anos, de uma auditória independente e o envio de relatório para Autoridade Californiana de Privacidade (California Privacy Protection Agency - CPPA). Inclusive, a lei modifica o órgão responsável pelo registro dessas empresas, sendo a nova autoridade responsável pelos registros a CPPA, substituindo o Procurador Geral.

No momento do registro, além de compartilhar as informações básicas da empresa como, nome, endereço, e-mail e site, ela deverá fornecer novas informações como, sobre a realização de coleta de dados de menores de idade, localização geográfica e informações sobre dados relacionados a saúde reprodutiva.  

Críticas ao PL

O Delect Act já possui diversas críticas, entre elas existe o apontamento da inviabilidade orçamentária para criação deste canal de solicitação, os riscos de fraudes em razão da dificuldade na confirmação da identidade dos solicitantes, prejuízo para pequenas empresas que não terão estrutura para cumprir com os requisitos da lei, e eventuais problemas para as organizações, sem finalidades lucrativas, que dependem dos bancos de dados de terceiros para realização de suas atividades.

O PL foi assinado pelo Governador Gavin Newsom.

Perspectiva brasileira

Trazendo para o cenário brasileiro, em relação às obrigações criadas pelas legislações da Califórnia para as empresas que comercializam banco de dados como, a realização obrigatória de registro, publicização das informações dos data brokers, realização periódica de auditórias e envio de relatórios informando sobre os dados pessoais tratados por essas empresas, podem ser uma forma de aumentar a régua da proteção dos direitos dos titulares de dados no Brasil, aumentando a segurança, criando visibilidade e transparência na relação com essas empresas.

O Brasil pode se inspirar no modelo americano com objetivo de reforçar a segurança jurídica de práticas realizadas pelo mercado. Diariamente, os titulares de dados são surpreendidos com contatos indesejados de empresas que utilizam banco de dados de terceiros para a realização de suas atividades, acarretando ao titular uma falta de controle sobre seus dados pessoais, insegurança e a sensação de invasão de privacidade.

Além disso, uma regulamentação específica pode criar um reforço para aplicação da LGPD, favorecendo tanto os titulares como as empresas na relação com os dados pessoais.