O desenvolvimento avançado da tecnologia permitiu aos seres humanos contar com benefícios e vantagens que facilitam o cotidiano. No entanto, ele expõe as informações através de inúmeros meios eletrônicos e plataformas que coletam dados direta e/ou indiretamente; é assim que a impressão digital solicitada para acesso em um prédio inteligente, o uso de aplicativos como Waze, que informa a geolocalização em tempo real, as transações realizadas pela internet de compra e venda de produtos, bem como os estados de espírito compartilhados em redes sociais, fornecem um conjunto de dados que podem ser coletados e tratados para diferentes fins, conforme a necessidade de quem os captura.
Pode-se afirmar então categoricamente que todo serviço que entra no âmbito tecnológico traz consigo um impacto no âmbito legal, onde é preciso analisar e determinar os riscos associados em primeira instância à incerteza que gera perder o controle sobre os dados hospedados na internet, e neste caso as dúvidas geradas sobre o tratamento de dados pessoais em serviços de nuvem ou cloud computing.
Proteção de dados com Cloud Computing
Os serviços de computação em nuvem ou cloud computing são aqueles que, seguindo o conceito do Instituto Nacional de Estándares e Tecnologia (NIST-National Institute of Standards and Technology. U.S. Department of Commerce), são definidos como o “modelo que permite, quando solicitado, acesso ubíquo e conveniente à rede, a um grupo compartilhado de recursos informáticos configuráveis (Ex.: redes, servidores, armazenamento, aplicações e serviços) que podem ser provisionados e liberados rapidamente com mínimo esforço de administração ou interação por parte do provedor de serviços”.
O Serviço de Nuvem pode ser dividido em três tipos de serviços: IaaS, PaaS e SaaS, cada um com diferentes níveis de controle de usuário, segurança e escalabilidade.
Por ser um espaço virtual que permite sua gestão remotamente através da rede de Internet, não deve gerar dúvidas sobre a privacidade ou proteção de dados pessoais, já que o responsável pelo tratamento dessas informações deve mitigar os riscos associados a este tipo de serviços.
Como este artigo não pretende abordar conceitos técnicos, nos concentraremos em identificar a importância do tratamento de dados pessoais para determinar seu escopo nos serviços de nuvem.
Tratamento de dados na Colômbia
A lei estatutária colombiana 1581 de 2012 define os dados pessoais como: “c)Dado pessoal:Qualquer informação vinculada ou que possa ser associada a uma ou várias pessoas naturais determinadas ou determináveis”. Na palavra da entidade destinada à vigilância e controle do tratamento de dados pessoais na Colômbia; esta aponta: “Quando falamos de dados pessoais, referimo-nos a toda informação associada a uma pessoa e que permite sua identificação. Por exemplo, seu documento de identidade, local de nascimento, estado civil, idade, local de residência, trajetória acadêmica, laboral ou profissional. Existe também informações mais sensíveis como seu estado de saúde, suas características físicas, ideologia política, vida sexual, entre outros aspectos”.
Sobre este último conceito, de maneira mais ilustrativa, são citados exemplos de dados classificados como pessoais e também incorpora o esclarecimento de uma categoria mais especial que contém informações e/ou dados sensíveis, os quais são considerados uma categoria de atenção crítica, já que seu tratamento inadequado pode gerar discriminação e afetação aos direitos fundamentais; por exemplo, em países fundamentalistas, um banco de dados pessoais que contenha informações detalhadas sobre a corrente religiosa poderia atentar contra a vida mesma de seus habitantes.
A lei 1581 de 2012 menciona os princípios norteadores do tratamento de dados pessoais; a seguir são detalhados sob oito termos correspondentes à legalidade em matéria de tratamento de dados, a finalidade, a liberdade, a veracidade ou qualidade, a transparência, o acesso e circulação restrita, a segurança e a confidencialidade dentro do escopo exposto no gráfico seguinte:
Por quanto antes, o contrato de Nuvem deve indicar de forma transparente os controles e as medidas adotadas pelo provedor em termos de responsabilidade, acesso e circulação, segurança e confidencialidade, particularmente com violações à segurança de dados, devolução e/ou eliminação da informação quando for o caso.
Seguindo a regulamentação colombiana, o legislador previu que quando o tratamento de dados for realizado fora do território colombiano, o contrato deve contemplar a proteção contida no numeral 2.2.2.25.5.2 do Capítulo 25, Seção 5, do Decreto Único 1074 de 2015, de modo que o controle e responsabilidade no tratamento de dados estejam sempre sob o Responsável, que estabelece o seguinte:
ARTIGO2.2.2.25.5.2. Contrato de transmissão de dados pessoais.O contrato que o Controlador assinar com os encarregados para o tratamento de dados pessoais sob seu controle e responsabilidade indicará o escopo do tratamento, as atividades que o encarregado realizará em nome do controlador para o tratamento dos dados pessoais e as obrigações do Encarregado perante o titular e o Controlador.
Por meio deste contrato, o Encarregado se comprometerá a aplicar as obrigações do Controlador sob a política de Tratamento da informação estabelecida por ele e a realizar o Tratamento de dados de acordo com a finalidade que os Titulares tenham autorizado e com as leis aplicáveis.
Além das obrigações impostas pelas normas aplicáveis no referido contrato, devem ser incluídas as seguintes obrigações do respectivo encarregado:
1. Realizar o Tratamento, em nome do Controlador, dos dados pessoais de acordo com os princípios que os protegem.
2. Salvaguardar a segurança das bases de dados onde estão contidos dados pessoais.
3. Manter confidencialidade em relação ao tratamento dos dados pessoais.
(Decreto 1377 de 2013, art. 25)
Do ponto de vista da regulamentação sobre tratamento de dados, as empresas que fornecem serviços em Nuvem são usualmente os “Encarregados do Tratamento” definidos pela norma como “Pessoa natural ou jurídica, pública ou privada, que por si mesma ou em associação com outros, realize o tratamento de dados pessoais em nome do Controlador.
A SUPERINTENDÊNCIA DE INDÚSTRIA E COMÉRCIO, atua como encarregado do tratamento de dados pessoais nos casos em que por si mesma ou em associação com outros, realize o tratamento de dados pessoais em nome de um controlador.”.
Recomendações ao contratar um serviço de Nuvem
Por isso, todos os provedores de Nuvem devem considerar as seguintes considerações, e o Cliente que necessitar deste tipo de serviços também deve:
- Identificar o país e a jurisdição que governarão a proteção dos seus dados pessoais. Isso permitirá saber quão rigorosas serão as medidas tomadas pelo provedor em relação à divulgação de informações a terceiros, confidencialidade e segurança das mesmas.
- Informar quando ocorrer qualquer grau de violação da informação e as medidas aplicáveis.
- Não realizar transferência internacional de dados pessoais, a menos que isso seja autorizado e sob os preceitos legais definidos para esse fim.
- Após o término da relação jurídica, devolver, eliminar, suprimir ou comunicar a um novo encarregado designado pelo responsável os dados pessoais objeto de tratamento.
