Para além do RGPD: ePrivacy, CCPA e o que significa anonimizar em cada quadro legal

Uma organização que publica documentos, atende clientes em vários países ou partilha dados com fornecedores fora da UE opera em mais do que um quadro legal ao mesmo tempo.

RGPD (União Europeia)

O considerando 26 coloca a informação anónima fora do âmbito do regulamento, tendo em conta todos os meios razoavelmente utilizáveis para reidentificar. Os dados pseudonimizados continuam abrangidos.

Diretiva ePrivacy

Regula as comunicações eletrónicas e o acesso a informação no dispositivo do utilizador: cookies, identificadores, dados de tráfego e localização, que devem ser apagados ou anonimizados quando deixam de ser necessários.

CCPA / CPRA (Califórnia)

Usa o conceito de deidentified information: informação que não pode ser razoavelmente associada a um consumidor, desde que existam salvaguardas técnicas, proibição contratual de reidentificação e compromisso público de não a tentar.

Implicações práticas

• Documentar o método de anonimização e a revisão aplicada.
• Avaliar o risco de reidentificação por dados indiretos.
• Separar anonimização de pseudonimização e restringir o acesso à informação adicional.
• Controlar onde ocorre o processamento: cifra, registo auditável e sem treino de modelos de terceiros.

Setor público espanhol

Aplica-se ainda o Esquema Nacional de Segurança (Real Decreto 311/2022), que o fornecedor deve comprovar. A oGov tem ENS Médio e os servidores ENS Alto, com certificado de governo do dado.