A Austrália introduz penalidades mais duras para violações de privacidade, mas isso melhorará a proteção de dados?

Dec 02 2022

Parece que apenas uma semana se passa sem que uma violação significativa de dados não esteja na frente e no centro do ciclo de notícias australiano. Em setembro, a Optus anunciou a violação de 10 milhões de registros de clientes. Em outubro, a Woolworths anunciou que sua subsidiária MyDeal tinha 2 milhões de registros de clientes comprometidos e o Medibank declarou um vazamento que afetou 10 milhões de indivíduos. Em novembro, os hackers adquiriram detalhes de 5 milhões de clientes e funcionários da AirAsia. Esses são apenas os maiores hacks, com muitos incidentes de menor escala também ocorrendo a cada semana.

Certamente, é razoável esperarmos que as organizações tratem nossos dados com responsabilidade e respeito. Infelizmente, muitas empresas grandes e pequenas falham em seus deveres e traem nossa confiança. Parece uma questão de quando, não se, ocorre uma violação de dados. Medidas de segurança mais robustas não são mais agradáveis de se ter, mas são necessárias para organizações que buscam manter a confiança do cliente.

Até esta semana, a Lei de Privacidade de 1998 limitava as penalidades civis máximas em casos de violações "sérias ou repetidas" a US$ 2,22 milhões (AUD). No entanto, os possíveis danos punitivos eram triviais em comparação com o tamanho do negócio. Por exemplo, a receita da Optus foi de US$ 8 bilhões e o EBITDA foi de US$ 2 bilhões no ano encerrado em 2022, a receita da Woolworths foi de US$ 61 bilhões e a receita do Medibank foi de US$ 7 bilhões. Além disso, o Office of the Australian Information Commissioner (OAIC) raramente impõe danos.

No entanto, tudo isso pode estar prestes a mudar e as empresas estarão expostas a um risco muito maior de penalidades financeiras. Na segunda-feira, 28 de novembro, no início desta semana, o Projeto de Lei de Emenda à Legislação de Privacidade (Execução e Outras Medidas) 2022 foi aprovado em ambas as casas do parlamento com apoio bipartidário. Um aspecto central da legislação foi um aumento das penas máximas para o maior de:

$ 50 milhões;
Três vezes o valor de qualquer benefício obtido com o uso indevido de informações; ou
30% do volume de negócios ajustado de uma empresa no período relevante.

Além de penalidades mais severas, o projeto de lei também fortaleceu o poder do Australian Information Commissioner para investigar violações, incluindo:

Fornecer ao Australian Information Commissioner maiores poderes para resolver violações de privacidade;
Fortalecer o esquema de violações de dados notificáveis para garantir que o comissário de informações australiano tenha conhecimento e compreensão abrangentes das informações comprometidas em uma violação para avaliar o risco de danos aos indivíduos; e
Para equipar o Australian Information Commissioner e a Australian Communications and Media Authority com maiores poderes de compartilhamento de informações.

Alguns grupos de lobby da indústria , AWS e tanto a oposição quanto os verdes no parlamento expressaram preocupação sobre certos aspectos do projeto de lei. Estes se concentraram na falta de penalidades escalonadas para organizações de diferentes tamanhos e instituições de caridade; a falta de uma definição clara de interferência 'séria' ou 'repetida' na privacidade; e a inclusão de termos como 'benefício' no regime de penalidades, que pressupõe que as empresas sempre se beneficiam da interferência na privacidade.

Apesar das preocupações acima mencionadas, devemos saudar estas medidas, pois representam o progresso necessário e mostram uma vontade de responsabilizar as empresas. No entanto, há três razões pelas quais essas medidas isoladas, que se concentram amplamente no aumento de penalidades, não conseguirão realmente mudar o jogo e proteger os interesses dos consumidores.

Em primeiro lugar, a história fornece poucas evidências da disposição ou capacidade do governo de impor multas de acordo com a Lei de Privacidade. A menos que vejamos um afastamento radical dessa posição conservadora e a AOIC demonstre uma abordagem proativa para alavancar seu novo poder, é improvável que veremos uma mudança fundamental no sentido de dissuadir com sucesso as más práticas.

Em segundo lugar, os clientes geralmente são as vítimas reais de uma violação de dados, mas não são os destinatários das penalidades. Na melhor das hipóteses, uma violação pode ser limitada ao nome e e-mail de um indivíduo, mas, na pior das hipóteses, pode ser muito mais grave: uma família perdeu US$ 40.000 devido ao roubo de identidade após a violação da Optus , enquanto centenas de vítimas tiveram informações sobre vícios, problemas de saúde mental e abortos postados online nos registros do Medibank. Mesmo multas pesadas não podem minimizar sua dor, uma vez que suas informações pessoais foram permanentemente expostas.

Em terceiro lugar, e mais importante, a legislação não chega ao cerne da questão. Muitas organizações lutam para acompanhar o cenário em rápida mudança e não têm a capacidade de desenvolver controles mais seguros para evitar violações de dados. Mesmo as entidades governamentais lutam para se proteger totalmente contra ataques cibernéticos. Freqüentemente, a cenoura é mais eficaz do que o bastão; portanto, o governo deve fazer mais para apoiar as empresas e incentivar bons comportamentos, em vez de contar com punições como um desincentivo.

A Lei de Privacidade está sujeita a uma revisão adicional ao longo de 2023. Esperamos que algumas dessas questões sejam abordadas, mas acreditamos firmemente que as organizações precisam de mais apoio para fornecer medidas fortes de privacidade e proteção no curto prazo.