O Comitê Europeu de Proteção de Dados utilizou sua plenária de 21 de setembro para adotar dois conjuntos de diretrizes: um sobre quando as Autoridades de Proteção de Dados devem impor multas administrativas sob o GDPR, isoladamente ou em conjunto com outras medidas corretivas, e a versão final de suas diretrizes sobre a interação entre o Digital Services Act (DSA) e o GDPR. O anúncio está disponível no site do EDPB.

As diretrizes sobre multas são o ponto mais relevante para quem opera sistemas de identidade que tratam dados de pessoas na UE. O GDPR conferiu às DPAs um amplo conjunto de poderes corretivos, e as multas são o instrumento que aparece nas apresentações para o conselho. O que ele não forneceu foi um método compartilhado para decidir quando a multa é a ferramenta adequada em vez de uma das outras medidas. O EDPB descreve as novas diretrizes como "um passo importante no alinhamento" de como as DPAs tomam essa decisão.

"O GDPR ampliou significativamente os poderes corretivos das DPAs, com as multas servindo como instrumento relevante para uma fiscalização eficaz. As diretrizes reafirmam nosso compromisso de oferecer maior clareza e garantir a aplicação consistente do GDPR em toda a Europa", disse a Vice-Presidente do EDPB, Jelena Virant Burnik.

Quem já tentou prever resultados de fiscalização entre os Estados-Membros sabe que "consistente" tem descrito mais a ambição do que a realidade até agora. Um método documentado muda a discussão, pois oferece às organizações algo concreto a invocar quando se trata de argumentar em qual extremidade da escala elas se enquadram.

De acordo com o resumo do EDPB, as DPAs devem seguir uma metodologia de cinco etapas para decidir se aplicam uma multa:

1. Base legal para a multa. A DPA verifica se a infração pode levar a uma multa, encontrando respaldo diretamente no GDPR ou na legislação nacional.
2. Quem pode ser multado. A DPA determina se a parte sob investigação pode ser multada pela infração em questão. A responsabilidade do controlador ou do processador depende de quem está vinculado à disposição que foi violada.
3. Culpabilidade. A DPA avalia se a infração foi cometida de forma intencional ou por negligência. Uma infração culpável é condição para a imposição de multa.
4. Circunstâncias agravantes e atenuantes. A DPA pondera os fatores que tornam a infração mais ou menos grave.

O anúncio do EDPB não detalha a quinta etapa com o mesmo nível de pormenor, tampouco resume como as diretrizes tratam a escolha entre multa e outros poderes corretivos. Profissionais que precisam desse nível de detalhe devem ler as diretrizes completas, e não apenas o comunicado à imprensa.

Duas dessas etapas recaem diretamente sobre as equipes de identidade. A etapa 2 gira em torno da distinção entre controlador e processador, exatamente onde provedores de identidade, plataformas de CIAM, serviços de diretório e IAM terceirizado de força de trabalho tendem a ocupar uma zona cinzenta. Quem está vinculado à disposição violada decide quem recebe a cobrança. A etapa 3 torna a intenção ou a negligência uma condição prévia para a multa. Esse é o aspecto encorajador, ainda que de forma um tanto indireta: um teste de culpabilidade valoriza o trabalho discreto de documentar decisões, executar revisões de acesso dentro do prazo e manter os logs que comprovam que a situação foi monitorada. Evidências entediantes, porém defensáveis, raramente valeram tanto.

A segunda adoção é a versão final das diretrizes do EDPB sobre como o DSA e o GDPR interagem. O anúncio não descreve o que mudou em relação à versão anterior, portanto as organizações que seguem ambos os regimes precisarão comparar os textos por conta própria. Para plataformas sujeitas ao DSA, a questão prática é qual conjunto de obrigações rege qual atividade de tratamento, e essas diretrizes são a resposta do EDPB a essa pergunta.

Nenhum dos dois conjuntos de diretrizes cria novas obrigações para controladores ou processadores. Eles descrevem como os reguladores devem raciocinar. Mas conhecer a lógica do árbitro não é uma vantagem pequena, e o EDPB acaba de publicar a lista de verificação do árbitro.

O que eu verificaria esta semana: primeiro, revise os acordos de processamento de dados por trás do seu stack de identidade e confirme que cada um deles indica claramente se você é controlador ou processador em cada fluxo, pois a etapa 2 dessa metodologia fará exatamente essa pergunta. Segundo, certifique-se de que seus registros de revisão de acesso, cronogramas de incidentes e decisões de aceitação de risco estejam documentados e recuperáveis, já que "negligente" é o termo que uma DPA utiliza quando não há evidência de que alguém estava prestando atenção. Se o seu programa já faz as duas coisas, parabéns, você tem construído silenciosamente um dossiê de mitigação o tempo todo.