Como você pode bloquear usuários do GDPR de sites dos EUA?

Question

(Eu originalmente fiz esta pergunta sobre falha do servidor com tag GDPR, mas devido à resposta mínima, fui aconselhado a tentar perguntar aqui)

Pelo que entendi, o GDPR é uma legislação europeia promovida com o objetivo de proteger a privacidade dos cidadãos da UE e conceder aos cidadãos da UE direitos de controlar como os sites usam os dados / se os sites podem armazenar esses dados.

Minha impressão inicial do GDPR é que se um cidadão da UE deseja direitos GDPR, ele deve usar apenas servidores residentes na UE que estariam sujeitos à legislação GDPR.

No entanto, aparentemente há alguma noção de que a legislação da UE pode de alguma forma afetar os servidores fora da UE? Não sou advogado, mas espero que cada nação defina e aplique suas próprias leis - que podem ou não estar de acordo com a legislação de outra nação. Como o GDPR é aplicável a servidores residentes nos EUA (ou em qualquer outro país fora da UE)?

Com base em vários artigos que li online, parece que de alguma forma os EUA permitem que a legislação GDPR da UE seja aplicada em solo americano.

Como não quero lidar com dores de cabeça do GDPR, aparentemente não tenho escolha a não ser bloquear TODOS os cidadãos da UE (e qualquer pessoa que acesse meus sites / serviços dentro da UE) de usar meus sites e serviços. Posso proteger todo o espaço de endereço IP da UE para capturar a maioria dos usuários da UE, mas há cidadãos da UE que poderiam usar VPN ou acessar meu site de um ISP fora da UE.

Existe uma abordagem jurídica que pode ser usada para bloquear os cidadãos da UE? Por exemplo, "Acessar este site ou serviço como residente na UE é ilegal", de modo que, se alguém violasse a diretiva legal, a expectativa do GDPR seria anulada? Não me importo se eles usarem meus sites e serviços, contanto que entendam que não estou jogando o jogo GDPR e que qualquer coisa que eles enviarem aos meus servidores não estará sujeito a isso.

Answer 1

Isso pode ser baseado em um mal-entendido do GDPR. O GDPR se aplica em três circunstâncias:

• Artigo 3 (1): você (o controlador de dados) está estabelecido / vive na UE.
• Artigo 3.º, n.º 2, alínea a): oferece bens ou serviços a pessoas na UE.
• Artigo 3.º, n.º 2, alínea b): monitoriza o comportamento das pessoas que se encontram fisicamente na UE.

O que não é um fator:

• qual a cidadania dos visitantes do seu site (ver Considerando 14).
• se o seu site pode ser acedido a partir da UE (ver Considerando 23).

A parte crucial é o que significa “oferta de bens ou serviços”. A EDPB emitiu orientações oficiais sobre a interpretação deste critério de direcionamento ( orientações 03/2018 sobre o âmbito territorial do RGPD ). Algumas notas importantes:

• A oferta de bens ou serviços não tem que envolver qualquer compensação. O acesso gratuito a um site também pode ser um serviço.
• O GDPR aplica-se ao direcionamento de pessoas atualmente na UE. Os turistas dos EUA na UE estão protegidos, os turistas da UE nos EUA não.
• O momento de oferecer o serviço é importante. Por exemplo, uma pessoa dos EUA que usa um serviço dos EUA não pode reivindicar proteção GDPR contra o serviço dos EUA enquanto viaja para a UE.
• Em vez de olhar para os usuários do serviço, devemos olhar para o mercado-alvo do serviço: se o serviço não atende a pessoas na UE, o GDPR não se aplica.
• A questão essencial é se o prestador do serviço “prevê” oferecer serviços a pessoas na UE. O fornecedor de serviços pretende que os titulares dos dados da UE utilizem o serviço?
• As orientações reúnem uma lista não exaustiva de indicações da jurisprudência, em particular o caso Pammer e Alpenhof . Um trecho de indicações de que o GDPR pode ser aplicado:
  • a UE ou os estados membros são mencionados na oferta de serviços
  • o site tem marketing direcionado a um público da UE
  • a atividade em questão é de natureza internacional, por exemplo, turismo
  • mencionando detalhes de contato especiais para o mercado da UE
  • usando um nome de domínio de nível superior associado à UE ou aos estados membros
  • instruções de viagem ao visitar da UE
  • menções de uma clientela internacional, incluindo pessoas / empresas da UE
  • uso de um idioma ou moeda diferente do seu
  • oferecendo entrega de mercadorias para a UE

Portanto, se o GDPR se aplica, depende do assunto do seu site e se você pretende participar do mercado da UE (mesmo que apenas online, mesmo que seu serviço seja gratuito).

Se o GDPR fosse aplicado, bloquear pessoas da UE seria questionável. Também pode ser ilegal, mas não com base no GDPR.

Se o GDPR não se aplicar, bloquear pessoas da UE já é desnecessário.

No entanto, o bloqueio geográfico seria uma indicação muito forte de que você não pretende oferecer seus serviços para pessoas na UE. Não existe uma boa jurisprudência sobre se o bloqueio geográfico é necessário ou suficiente. Presumo que o geobloco seja suficiente (mesmo que possa ser facilmente contornado, por exemplo, com uma VPN), mas não é necessário em primeiro lugar.

Você também pode enfatizar novamente que não está almejando o mercado da UE ao considerar as indicações acima. Por exemplo, uma loja na web pode esclarecer que eles enviam apenas para a América do Norte, mas não internacionalmente.

Novamente: o direcionamento do seu site é o fator crucial, não a origem dos visitantes. Portanto, mesmo que haja um visitante ocasional da UE, isso não significa que você precise cumprir o GDPR.

Answer 2

Você não pode

Em primeiro lugar, a Califórnia tem uma lei muito semelhante ao GDPR que se aplica a seus residentes, independentemente de onde estejam. Isso é diferente do GDPR, que se aplica a todas as pessoas na UE, independentemente de onde residam. Portanto, um californiano residente na Europa é coberto por ambas as leis e um alemão em Nebraska não é coberto por nenhuma delas.

Em segundo lugar, algumas leis permitem que as partes concordem em obedecer a regras diferentes, por exemplo, as leis de arbitragem permitem que as partes abram mão de seu direito de usar os tribunais. Outros não, por exemplo, você não pode concordar em um contrato que está ok para dirigir em semáforos vermelhos. O GDPR (e a lei da Califórnia) são explícitos de que você não pode terceirizar, qualquer tentativa de fazê-lo é simplesmente nula (sem efeito) e em si mesma uma ofensa.

Terceiro, mesmo se você pudesse bloquear de forma confiável todos os quais as leis se aplicam, o que você faria quando as circunstâncias do usuário que você permitiu mudar? Sou australiano na Austrália, portanto não estou coberto por nenhuma lei (embora haja leis de privacidade australianas que se apliquem a mim), se você coletar meus dados pessoais e, 5 anos depois, eu me mudar para a Áustria, o GDPR agora se aplica a isso dados.

Como você disse, “a tecnologia melhorou muito” - o mesmo aconteceu com as proteções legais à privacidade.