Em 11 de janeiro de 2024, entrou em vigor o Regulamento (UE) 2023/2854, relativo à proteção de dados na UE, vinte dias após a sua publicação no Jornal Oficial da União Europeia. O Regulamento aplica-se a partir de 12 de setembro de 2025. Esta legislação impõe novas obrigações fundamentais aos fabricantes de produtos conectados e aos prestadores de serviços relacionados, afetando uma vasta gama de setores: da indústria transformadora e energética à saúde e à indústria automóvel. Qualquer pessoa que gere, processe ou utilize dados num contexto empresarial deverá analisar o âmbito desta legislação com a devida antecedência.
O que regula a Lei de Proteção de Dados?
A Lei de Proteção de Dados faz parte da estratégia europeia de dados, que visa fortalecer a posição competitiva da Europa na economia de dados. O Regulamento estabelece regras sobre quem tem acesso aos dados gerados pela utilização de produtos ou serviços e em que condições esses dados devem ser partilhados. Não se trata de um direito geral a todos os dados, mas sim de um quadro de seis categorias específicas: acesso do utilizador aos dados de produtos e serviços, partilha B2B em condições justas, acesso público em casos de necessidade excecional, alternância entre serviços de processamento de dados, proteção contra o acesso governamental internacional a dados não pessoais e interoperabilidade.
Obrigações das empresas: design de produto
Os produtos conectados devem ser projetados e fabricados de forma que os dados gerados sejam, por padrão, de maneira fácil, segura, gratuita e em um formato legível por máquina, diretamente acessíveis ao usuário. Os usuários de produtos conectados – como dispositivos domésticos inteligentes, máquinas industriais ou veículos – adquirem, assim, o direito de acessar os dados gerados pelo uso desses produtos. Fabricantes e provedores de serviços não podem mais manter esses dados exclusivamente para si.
É importante destacar que essa obrigação entra em vigor de forma gradual. Embora a Lei de Proteção de Dados como um todo seja aplicável a partir de 12 de setembro de 2025, a obrigação de projeto e fabricação de produtos conectados só se aplica a produtos colocados no mercado após 12 de setembro de 2026. Portanto, os produtos existentes ainda não estão abrangidos.
Termos justos no compartilhamento de dados B2B
O Regulamento contém regras específicas sobre termos contratuais em contratos de dados B2BUma cláusula imposta unilateralmente por uma empresa a outra não vincula a outra parte se for considerada abusiva. Considera-se que uma cláusula foi imposta unilateralmente quando, apesar de uma tentativa de negociação, a outra parte não conseguiu influenciar o seu conteúdo. O ônus da prova recai sobre a parte que impôs a cláusula.
Uma cláusula é considerada abusiva se o seu uso se desviar grosseiramente das boas práticas comerciais e for contrário à boa-fé e à lealdade contratual. O Regulamento exemplifica com cláusulas que excluem a responsabilidade por dolo ou negligência grave, impedem a outra parte de utilizar os seus próprios dados, permitem a rescisão unilateral com aviso prévio irrazoavelmente curto ou autorizam alterações significativas de preço ou outras alterações substanciais de forma unilateral. A consequência jurídica é que a cláusula abusiva não vincula a outra parte, mantendo-se em vigor as restantes disposições contratuais, na medida em que a cláusula seja divisível.
Interação com o RGPD
A Lei de Proteção de Dados coexiste com o Regulamento Geral de Proteção de Dados (RGPD), mas existe uma importante interação entre eles. O Regulamento também abrange dados pessoais, mas não os desvincula da legislação de proteção de dados. Quando o usuário não é o titular dos dados pessoais solicitados, esses dados só podem ser fornecidos se houver uma base legal válida nos termos do Artigo 6º do RGPD. Portanto, a Lei de Proteção de Dados não cria uma exceção autônoma ao RGPD: o acesso a dados nos termos da Lei de Proteção de Dados não exime as partes de suas obrigações legais. suas obrigações de acordo com o RGPDAlém disso, não fornece uma base para a retenção ou reutilização adicional dos dados fornecidos além da finalidade para a qual foram obtidos.
Portabilidade e comutação para a nuvem
Um capítulo específico exige que os provedores de serviços de processamento de dados facilitem a migração para outro provedor. Eles não podem impor quaisquer obstáculos pré-comerciais, comerciais, técnicos, contratuais ou organizacionais que impeçam os clientes de migrar. A partir de 12 de janeiro de 2027, os provedores de serviços de processamento de dados não poderão mais cobrar taxas de migração dos clientes. A transferência efetiva de dados e configurações deve ocorrer sem demora indevida e, em hipótese alguma, após um período de transição obrigatório de no máximo trinta dias. Para organizações que dependem fortemente de um único provedor de nuvem, isso oferece uma nova vantagem de negociação na renovação ou renegociação de contratos.
Acesso público em casos de necessidade excepcional.
O Regulamento confere aos organismos do setor público a possibilidade, sob condições rigorosas, de exigir o acesso a dados pessoais em casos de necessidade excepcional – como uma emergência pública. Nesse caso, os titulares de dados, com exceção das microempresas e das pequenas empresas, são obrigados a disponibilizar os dados necessários gratuitamente. Em outros casos de necessidade excepcional, o titular dos dados tem direito a uma compensação justa. Este poder está sujeito às condições de proporcionalidade e subsidiariedade previstas no Regulamento.
Fiscalização nos Países Baixos
Nos Países Baixos, a aplicação da lei foi incorporada ao Regulamento Geral de Proteção de Dados (RGPD) por meio da Lei de Implementação do RGPD (Uitvoeringswet dataverordening). A Autoridade Holandesa para os Consumidores e Mercados (ACM) é a autoridade competente para a maior parte do Regulamento, incluindo os capítulos sobre dados de produtos, compartilhamento B2B e portabilidade para a nuvem. A Autoridade Holandesa de Proteção de Dados (AP) é competente para os elementos sensíveis à privacidade e para o processamento de dados pessoais em determinados artigos e no Capítulo V. Ambas as autoridades podem tomar medidas coercitivas em seus respectivos domínios, impondo uma ordem sujeita a penalidades ou multas administrativas. A Lei de Implementação também prevê um acordo de cooperação e troca de informações entre a ACM e a AP, para que ambas as autoridades supervisoras possam atuar de forma coordenada em questões sobrepostas.
O que isso significa na prática?
As empresas que desenvolvem, importam ou distribuem produtos conectados fariam bem em rever o design dos seus produtos e a estrutura contratual em conformidade com a Lei de Proteção de Dados. Para produtos colocados no mercado após 12 de setembro de 2026, a obrigação de design e acessibilidade aplica-se integralmente. Os prestadores de serviços que processam dados em nome dos utilizadores devem avaliar quais as obrigações de partilha de dados que lhes são aplicáveis e se os contratos existentes – incluindo cláusulas de dados redigidas unilateralmente – estão em conformidade com elas.
Quem espera até que a fiscalização comece corre o risco de ficar para trás. Alinhar produtos, serviços e contratos às novas regras em tempo hábil não é apenas uma questão de tempo. uma questão de conformidademas também apresenta oportunidades: aqueles que oferecem transparência e acesso aos dados aos seus clientes se destacam em um mercado cada vez mais crítico em relação à forma como as empresas lidam com os dados.
Tem dúvidas sobre as implicações da Lei de Proteção de Dados da UE para a sua empresa ou para os seus contratos? Os advogados da [Nome da Empresa] podem ajudar. Law & More ficaremos felizes em ajudá-lo.
Perguntas frequentes
A Lei de Proteção de Dados já se aplica aos meus produtos conectados existentes?
O Regulamento aplica-se a partir de 12 de setembro de 2025, mas a obrigação de conceber produtos conectados de forma a que os dados sejam acessíveis aos utilizadores só se aplica a produtos colocados no mercado após 12 de setembro de 2026. Os produtos já comercializados antes dessa data ainda não estão abrangidos. Os fabricantes e importadores fariam bem em alinhar o desenvolvimento dos seus produtos com os novos requisitos agora, para que os futuros produtos estejam em conformidade no momento do lançamento no mercado.
O que devo fazer se meu contrato de dados contiver cláusulas que restringem o acesso aos dados?
Nos termos da Lei de Proteção de Dados, cláusulas contratuais impostas unilateralmente que impeçam a outra parte de usar ou explorar seus próprios dados podem ser consideradas abusivas e, portanto, não vinculativas. É recomendável que os contratos de dados existentes sejam revisados em busca de tais cláusulas. O ônus da prova de que uma cláusula não foi imposta unilateralmente recai sobre a parte que a incluiu. A renegociação antecipada geralmente é mais eficaz do que esperar até que a outra parte invoque o Regulamento.
Posso compartilhar dados pessoais de acordo com a Lei de Proteção de Dados sem uma base legal do GDPR?
Não. A Lei de Proteção de Dados não prevê uma base legal autónoma para a divulgação de dados pessoais. Quando o utilizador não é o titular dos dados pessoais solicitados, estes só podem ser fornecidos se existir uma base legal válida ao abrigo do Artigo 6.º do RGPD. Além disso, o acesso aos dados ao abrigo da Lei de Proteção de Dados não prevê qualquer fundamento para a retenção ou reutilização dos dados pessoais divulgados para além da finalidade original. Consequentemente, é necessário assegurar simultaneamente o cumprimento do RGPD e da Lei de Proteção de Dados.
Posso continuar a cobrar taxas de mudança de provedor de serviços em nuvem?
A partir de 12 de janeiro de 2027, os fornecedores de serviços de processamento de dados estão proibidos de cobrar taxas de portabilidade aos clientes. Além disso, a partir de 12 de setembro de 2025, não poderão ser impostos obstáculos técnicos, contratuais ou organizacionais que dificultem a portabilidade. A transferência efetiva dos dados após a portabilidade também deverá ocorrer sem demora indevida e ser concluída em um prazo transitório de, no máximo, trinta dias. Contratos existentes com prazos mais longos ou que prevejam taxas de portabilidade devem ser revistos.
Qual autoridade supervisora é competente para fazer cumprir a Lei de Proteção de Dados nos Países Baixos?
A fiscalização é dividida entre a Autoridade Holandesa para os Consumidores e Mercados (ACM) e a Autoridade Holandesa para a Proteção de Dados (AP). A ACM é competente para a maior parte do Regulamento, incluindo as disposições sobre dados de produtos, compartilhamento B2B e portabilidade na nuvem. A AP é competente para os elementos sensíveis à privacidade e o processamento de dados pessoais em determinados artigos e no Capítulo V. Ambas as autoridades podem impor uma ordem sujeita a penalidade ou multa administrativa. Os recursos administrativos usuais estão disponíveis contra tais decisões, incluindo objeção, recurso e medidas cautelares.
A Lei de Proteção de Dados também se aplica a pequenas empresas?
O Regulamento faz distinções por porte da empresa em alguns pontos. Por exemplo, microempresas e pequenas empresas estão isentas, em casos de pedidos de dados de emergência pública, da obrigação de disponibilizar os dados gratuitamente; nesses casos, têm direito a uma compensação justa. Para as demais obrigações – incluindo a obrigação de acessibilidade para produtos conectados e o teste de equidade para termos B2B – não há isenção geral para pequenas e médias empresas. Os fornecedores menores de produtos conectados ou serviços em nuvem devem, portanto, adequar suas operações ao Regulamento em tempo hábil.
