Uma política de privacidade é uma declaração ou documento legal que divulga algumas ou todas as maneiras pelas quais uma parte coleta, usa, divulga e gerencia os dados de um cliente. Informações pessoais constituem qualquer coisa que possa ser usada para identificar um indivíduo, não se limitando ao nome da pessoa, endereço, data de nascimento, estado civil, informações de contato, emissão de identidade e data de validade, registros financeiros, informações de crédito, histórico médico, para onde se viaja e intenções de adquirir bens e serviços.McCormick, Michelle. "New Privacy Legislation." Beyond Numbers 427 (2003): 10-. ProQuest. Web. 27 Oct. 2011 Ela informa ao cliente quais informações específicas são coletadas e se elas são mantidas em sigilo, compartilhadas com parceiros ou vendidas a outras firmas ou empresas. As políticas de privacidade geralmente são mais amplas, ao contrário das declarações de uso de dados, que tendem a ser mais detalhadas e específicas.
O conteúdo exato de uma política de privacidade dependerá da lei aplicável e talvez precise atender a requisitos de fronteiras geográficas e jurisdições legais. A maioria dos países possui legislação e diretrizes próprias em relação a quem está coberto, quais informações podem ser coletadas e para que podem ser usadas. Por exemplo, as leis de proteção de dados na Europa abrangem o setor privado, bem como o setor público. Suas leis de privacidade se aplicam não apenas a operações governamentais, mas também a empresas privadas e transações comerciais.
História Uma das primeiras leis de privacidade promulgadas na história foi a Lei de Dados (Data Act) da Suécia, em 1973, seguida pela Lei de Proteção de Dados (Data Protection Act) da Alemanha Ocidental, em 1977 e pela Lei Francesa de Informática, Bancos de Dados e Liberdades (Informatique et Libertés), em 1978.
OCDE Em 1968, o Conselho da Europa começou a estudar os efeitos da tecnologia sobre os direitos humanos, reconhecendo as novas ameaças representadas pelo computador, que podia se conectar e transmitir informações de maneiras não existentes até então. Em 1969, a Organização para Cooperação e Desenvolvimento Econômico (OCDE) começou a examinar as implicações das informações pessoais que saíam dos paísese isso levou o conselho a recomendar que fosse desenvolvida uma política para proteger os dados pessoais mantidos pelos setores público e privado. As discussões geraram a Convenção 108, implementada em 1981 e intitulada Convenção para a Proteção de Indivíduos com relação ao Processamento Automático de Dados Pessoais (Convention for the Protection of Individuals with Regard to Automatic Processing of Personal Data em inglês). A convenção implementou diretrizes gerais a serem usadas na implementação nacional de regulamentação acerca de políticas de privacidade e proteção de dados. Em 2013 essas diretrizes foram atualizadas.
Estados Unidos e Canadá Nos Estados Unidos, a preocupação com a política de privacidade, iniciada no final dos anos 1960 e 1970, levou à aprovação da Lei de Relatórios Justos de Crédito (Fair Credit Reporting Act). Embora essa lei não tenha sido projetada para ser uma lei de privacidade, ela deu aos consumidores a oportunidade de examinarem seus arquivos de crédito e corrigir erros. No final da década de 1960, vários grupos de estudo do Congresso Estadunisense examinaram a crescente facilidade com que as informações pessoais automatizadas podiam ser coletadas e combinadas com outras informações. Um desses grupos foi um comitê consultivo do Departamento de Saúde e Serviços Humanos dos Estados Unidos, que em 1973 elaborou um código de princípios chamado Práticas de Informações Justas (Fair Information Practices). O trabalho do comitê consultivo deu origem à Lei de Privacidade (Privacy Act) em 1974.
Em 1995 a Comissão Federal de Comércio dos EUA (FTC) publicou os Princípios de Informações Justas (Fair Information Principles)U.S. Federal Trade Commission Fair Information Practice Principles, FTC.gov , que forneciam um conjunto de princípios de governança não obrigatórios para o uso comercial de informações pessoais. Embora não sejam uma política obrigatória, esses princípios forneceram orientação sobre as preocupações em desenvolvimento de como elaborar políticas de privacidade.
No Canadá, o Privacy Commissioner of Canada (Comissário de Privacidade do Canadá) foi criado pela Lei Canadense de Direitos Humanos (Canadian Human Rights Act) em 1977. Em 1982, a nomeação de um Comissário de Privacidade fez parte da nova Lei de Privacidade. O país assinou as diretrizes da OCDE em 1984.
União Europeia Em 1995, a União Europeia (UE) introduziu a Diretiva de Proteção de Dados (Diretiva 95/46/EC)Overview of the Data Protection Directive, EC.europa.eu para seus Estados-membros. Como resultado, muitas organizações que fazem negócios na UE começaram a elaborar políticas para cumprir essa diretriz.
Legislação aplicável
Estados Unidos Embora não exista nenhuma lei aplicável de forma geral, algumas leis federais regem as políticas de privacidade em circunstâncias específicas, como, por exemplo:
A COPPA, Children's Online Privacy Protection Act (Lei de Proteção à Privacidade On-line das Crianças)The Children's Online Privacy Protection Act, FTC.gov afeta os sites que conscientemente coletam informações sobre crianças com menos de 13 anos de idade ou que são direcionadas a elas.COPPA Safe Harbors discussed, Cybertelecom Federal Internet Law & Policy – an Educational Project. Krohn & Moss Consumer Law Center, Cybertelecom.org Esses sites devem publicar uma política de privacidade e aderir a restrições enumeradas de compartilhamento de informações.Discussion of compliance with the Children's Online Privacy Protection Act, FTC Privacy Initiatives, FTC.gov A COPPA inclui uma cláusula de "porto seguro"Uma disposição de uma lei ou regulamentação especificando que determinada conduta será considerada como não violadora de uma determinada regra. para promover a autorregulação do setor.Data Privacy, A Safe Harbor Approach To Privacy: TRUSTe Recommendations, Center for Democracy and Technology, CDT.org A Lei Gramm-Leach-BlileyGramm-Leach-Bliley Act, Loc.gov exige que as instituições "significativamente envolvidas""The Financial Privacy Requirements of the Gramm-Leach-Bliley Act", FTC Facts for Business", FTC.gov em atividades financeiras forneçam "declarações claras, visíveis e precisas" sobre suas práticas de compartilhamento de informações. A lei também restringe o uso e o compartilhamento de informações financeiras.Information Regarding the Gramm-Leach-Bliley Act of 1999, US. Senate Committee on Banking, Housing, and Urban Affairs. Senate.gov As regras de privacidade da Lei de Portabilidade e Responsabilidade de Seguros de Saúde (Health Insurance Portability and Accountability Act, HIPAA)Understanding HIPAA Privacy, HHS.gov Health information privacy, HHS.gov exigem aviso por escrito das práticas de privacidade dos serviços de saúde, e essa exigência também se aplica se o serviço de saúde for eletrônico.Notice of HIPAA Privacy Practices. Privacy/ Data Protection Project, Miller School of Medicine Miami University, Miami.edu
Alguns estados implementaram normas mais rigorosas para políticas de privacidade. A Lei de Proteção à Privacidade On-line da Califórnia de 2003 (California Online Privacy Protection Act of 2003, CalOPPA) - seções 22575-22579 do Código de Negócios e Profissões - exige que "quaisquer sites comerciais ou serviços on-line que coletem informações pessoais de residentes da Califórnia por meio de um site da Web publiquem de forma visível uma política de privacidade no site".Privacy Laws, State of California Department of Justice Office of the Attorney General Tanto Nebraska quanto a Pensilvânia têm leis que tratam declarações enganosas em políticas de privacidade publicadas em sites como práticas comerciais enganosas ou fraudulentas.Deceptive Trade Practices, Enotes.com
Canadá A Lei de Privacidade federal do Canadá aplicável ao setor privado é formalmente chamada de Personal Information Protection and Electronic Documents Act (PIPEDA). O objetivo da lei é estabelecer regras para governar a coleta, o uso e a divulgação de informações pessoais por organizações comerciais. A organização tem permissão para coletar, divulgar e utilizar a quantidade de informações para os fins que uma pessoa razoável consideraria apropriada.
A lei estabelece o Privacy Commissioner of Canada (Comissário de Privacidade do Canadá) como ombudsman para tratar de quaisquer reclamações apresentadas contra organizações. O Comissário trabalha para resolver os problemas por meio de conformidade voluntária, em vez de aplicação pesada. O Comissário investiga reclamações, realiza auditorias, promove a conscientização e realiza pesquisas sobre questões de privacidade.
União Europeia
O direito à privacidade é uma área do direito altamente desenvolvida na Europa. Todos os Estados-membros da União Europeia (UE) também são signatários da Convenção Europeia dos Direitos Humanos (ECHR). O artigo 8º da CEDH prevê o direito de respeito à "vida privada e familiar, ao domicílio e à correspondência", sujeito a certas restrições. A Corte Europeia de Direitos Humanos deu a esse artigo uma interpretação ampla em sua jurisprudência.
Em 1980, em um esforço para criar um sistema abrangente de proteção de dados em toda a Europa, a Organização para a Cooperação e Desenvolvimento Econômico (OCDE) emitiu suas "Recomendações do Conselho relativas às diretrizes que regem a proteção da privacidade e os fluxos transfronteiriços de dados pessoais". Os sete princípios que regem as recomendações da OCDE para a proteção de dados pessoais são:
Notificação- os titulares dos dados devem ser avisados quando seus dados estiverem sendo coletados; Finalidade - os dados devem ser usados somente para a finalidade declarada e não para quaisquer outras finalidades; Consentimento - os dados não devem ser divulgados sem o consentimento do titular dos dados; Segurança - os dados coletados devem ser mantidos em segurança contra possíveis abusos; Divulgação - os titulares dos dados devem ser informados sobre quem está coletando seus dados; Acesso - os titulares dos dados devem ter permissão para acessar seus dados e fazer correções em quaisquer dados imprecisos; e Responsabilidade - os titulares de dados devem ter um método disponível para responsabilizar os coletores de dados por não seguirem os princípios acima. Em 1995, a União Europeia adotou a Diretiva de Proteção de Dados (Diretiva 95/46/EC), que regulamenta o processamento de dados pessoais na UE. Esses padrões devem ser atendidos não apenas pelas empresas que operam na UE, mas também por qualquer organização que transfira informações pessoais coletadas sobre um cidadão da União Europeia.
Em 2001, o Departamento de Comércio dos Estados Unidos passou a garantir conformidade legal para as organizações americanas sob um Programa "Porto Seguro" (Safe Harbor Program) opcional.Safe Harbor Compliance, Export.gov A Comissão Federal de Comércio aprovou uma certificação de conformidade com o Safe Harbor EUA-UEPrincípios desenvolvidos entre 1998 e 2000 para evitar que organizações privadas da União Europeia ou dos Estados Unidos, que armazenam dados de clientes, divulguem acidentalmente ou percam informações pessoais. por provedores norte-americanos. Desde 2010, o Safe Harbor é criticado especialmente por protetores de privacidade alemães nomeados publicamente, pois a vontade da comissão de fazer valer as regras definidas não foi implementada de forma adequada, mesmo depois de desarmonias terem sido reveladas.