Lei dos Mercados Digitais (DMA)
O Regulamento (UE) 2022/1925, mais conhecido como Lei dos Mercados Digitais, visa garantir uma concorrência justa no setor digital. Para isso, as empresas designadas pela Comissão Europeia como “controladoras de acesso” têm obrigações específicas, além das regras gerais de concorrência, de interoperar com serviços de terceiros e evitar a “dependência de fornecedor”.
A F5 não foi designada como controladora de acesso pela Comissão Europeia e não prevê que venha a receber essa designação em um futuro próximo. Embora a F5 ofereça um “serviço essencial de plataforma” por meio de suas soluções de computação em nuvem, não atingimos os limites de receita e de usuários necessários para sermos considerados uma controladora de acesso, tampouco desfrutamos de uma “posição consolidada e duradoura” no mercado de serviços de computação em nuvem. Portanto, as obrigações mais rigorosas impostas às controladoras de acesso nos termos do DMA não se aplicam à F5.
Os clientes cujo principal local de atividade esteja na Europa, no Oriente Médio ou na África (coletivamente, EMEA) recebem serviços por meio de contratos com a F5 Networks, Ltd. A F5 Networks, cuja sede fica no Reino Unido e que foi constituída de acordo com as leis desse país, é o centro das operações da F5 na região EMEA. As autoridades da UE e da Suíça reconheceram que as leis do Reino Unido oferecem proteção aos dados pessoais, atendendo integralmente aos requisitos do Capítulo V do GDPR e da legislação suíça equivalente.
Os clientes com sede na região da Ásia-Pacífico (APAC) celebram contratos com a F5 Networks Singapore Pte Ltd., em Singapura. Todos os demais clientes (inclusive aqueles com sede na América do Norte) celebram contratos com a F5, Inc., nos Estados Unidos. Para todos os serviços da F5, o Adendo de Proteção de Dados (DPA), complementado pelos Termos Específicos do Serviço, inclui as Cláusulas Contratuais Padrão e as disposições aplicáveis a todas as transferências para a F5 previstas em lei. Essas Cláusulas Contratuais Padrão são acompanhadas pelo adendo sobre transferências internacionais de dados publicado pelo governo do Reino Unido para transferências envolvendo esse país, bem como por disposições adicionais publicadas pelo Comissário Federal de Proteção de Dados e Informação da Suíça para transferências envolvendo a Suíça. Para os serviços pertinentes, a F5 também mantém certificação no âmbito do Quadro de Privacidade de Dados UE-EUA, da Extensão do Reino Unido ao Quadro de Privacidade de Dados UE-EUA e do Quadro de Privacidade de Dados Suíça-EUA.
Sim. Para os serviços pertinentes, a F5 mantém uma certificação no âmbito do Quadro de Privacidade de Dados UE-EUA, da Extensão do Reino Unido ao Quadro de Privacidade de Dados UE-EUA e do Quadro de Privacidade de Dados Suíça-EUA.
Não. Essas duas disposições legais dos EUA, que foram o foco da decisão Schrems II, não afetam a F5. De qualquer forma, devido aos aprimoramentos na legislação dos EUA após a decisão Schrems II, a Comissão Europeia determinou, em sua Decisão de Execução de 10/07/2023, nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, relativa ao nível adequado de proteção de dados pessoais no âmbito do Quadro de Privacidade de Dados UE-EUA, que as preocupações anteriores sobre essas disposições foram sanadas. O Comitê Europeu para a Proteção de Dados (EDPB) analisou a decisão da Comissão Europeia e observou (em sua Nota informativa sobre transferências de dados para os Estados Unidos nos termos do GDPR após a adoção da decisão de adequação em 10 de julho de 2023) que “todas as salvaguardas implementadas pelo governo dos EUA na área de segurança nacional (incluindo o mecanismo de recurso) se aplicam a todos os dados transferidos para os EUA, independentemente do instrumento de transferência utilizado” (ou seja, independentemente de os dados serem transferidos para os Estados Unidos por meio do Quadro de Privacidade de Dados, de Cláusulas Contratuais Padrão ou de outro instrumento de transferência).
A F5 nunca recebeu uma solicitação de acesso a dados nem qualquer outro tipo de determinação nos termos da Seção 702 da FISA. Muitos serviços da F5 não são do tipo que pode ser alvo de uma determinação nos termos da Seção 702 da FISA. Além disso, para quase todos os clientes dos serviços da F5, a F5 não processa o tipo de dado que pode ser alvo de uma determinação nos termos da Seção 702 da FISA, que se aplica a dados sobre a proliferação de armas de destruição em massa, planos de potências estrangeiras para ataques aos Estados Unidos, informações de inteligência sobre atividades clandestinas de espiões estrangeiros ou outras “informações de inteligência estrangeira” na acepção da FISA.
A F5 também não pode receber uma ordem para fornecer dados de clientes nos termos da EO 12333, pois não existe uma ordem emitida com base na EO 12333. A EO 12333 atribui determinadas responsabilidades dentro da Comunidade de Inteligência dos Estados Unidos, mas não impõe nenhuma obrigação ao setor privado. A F5 criptografa os dados em trânsito e utiliza medidas de segurança adicionais para se proteger contra as atividades teóricas de interceptação que preocupavam o tribunal no caso Schrems II antes da decisão de adequação da Comissão Europeia de 2023 mencionada acima.
O CLOUD Act não conferiu ao governo dos EUA novos poderes para exigir dados de empresas que fazem negócios nos Estados Unidos. O governo dos EUA não emite “ordens do CLOUD Act”, e a F5 nunca recebeu uma. O CLOUD Act esclareceu que, quando o governo dos EUA segue o devido processo legal já existente (como a obtenção de uma ordem de um juiz de um tribunal distrital federal) para determinar que uma empresa forneça dados específicos que estejam em sua posse, custódia ou controle, a localização dos dados não pode servir de fundamento para a empresa contestar a ordem (embora um conflito com as leis vigentes nessa localização ainda possa servir). O CLOUD Act está em vigor desde antes da decisão Schrems II, de 2020. Após a decisão Schrems II, os Estados Unidos implementaram diversas melhorias em suas regras e práticas relativas ao acesso governamental a dados. Em seguida, a Comissão Europeia avaliou essas melhorias e concluiu que a legislação dos EUA aplicável às exigências de dados pelo governo dos EUA passou a oferecer um nível de proteção adequado na acepção do GDPR. Consulte a Decisão de Execução de 10/07/2023, nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, relativa ao nível adequado de proteção de dados pessoais no âmbito do Quadro de Privacidade de Dados UE-EUA. O Comitê Europeu para a Proteção de Dados (EDPB) analisou essa decisão e observou (em sua Nota informativa sobre transferências de dados para os Estados Unidos nos termos do GDPR após a adoção da decisão de adequação em 10 de julho de 2023) que “todas as salvaguardas implementadas pelo governo dos EUA na área de segurança nacional (incluindo o mecanismo de reparação) se aplicam a todos os dados transferidos para os EUA, independentemente do instrumento de transferência utilizado” (ou seja, independentemente de os dados serem transferidos para os Estados Unidos por meio do Quadro de Privacidade de Dados, de Cláusulas Contratuais Padrão ou de outro instrumento de transferência).
Dada a natureza do relacionamento da F5 com seus clientes e a quantidade limitada de dados (normalmente criptografados) que a F5 trata em nome deles, tais solicitações são extremamente raras. A política da F5 para qualquer solicitação de dados de clientes é: (i) notificar prontamente o cliente, se permitido por lei, e então cooperar com ele para solucionar a questão; ou (ii) se a notificação ao cliente for ilegal, tentar redirecionar a autoridade solicitante ao cliente. Se essas medidas não resolverem a questão, a F5 avaliará a legalidade da solicitação e apresentará todas as contestações cabíveis (por exemplo, por meio de recurso), inclusive quanto à possibilidade de o atendimento à solicitação violar o GDPR ou outras leis pertinentes. Durante esse processo, a F5 solicitará a suspensão dos efeitos da solicitação até que a autoridade judicial competente decida sobre o mérito, inclusive durante eventuais recursos. Nessa situação, a F5 não divulgará nenhum dado, a menos e até que seja obrigada a fazê-lo de acordo com as normas processuais aplicáveis. Se esse ponto for alcançado, a F5 divulgará apenas o mínimo de dados necessário para atender ao que restar da solicitação original.
Todos os contratos de clientes relativos aos serviços da F5 (o Contrato de Serviços do Usuário Final — EUSA) incluem Termos Específicos do Serviço que incorporam e complementam o Adendo de Proteção de Dados (DPA) da F5, o qual inclui as Cláusulas Contratuais Padrão com disposições adicionais pertinentes para transferências sujeitas às leis do Reino Unido ou da Suíça. Em determinados casos, o cliente e a F5 terão um contrato diferente que incorpora essas mesmas proteções, como o contrato para serviços específicos de suporte da F5. Os clientes também podem consultar https://www.dataprivacyframework.gov/list, que mostra que a F5 possui certificação no âmbito do Marco de Privacidade de Dados UE-EUA, da Extensão do Reino Unido ao Marco de Privacidade de Dados UE-EUA e do Marco de Privacidade de Dados Suíça-EUA.
Para transferências para entidades da F5 em “países terceiros”, incluindo o Reino Unido, a F5 e seus clientes utilizam o Adendo de Transferência Internacional de Dados às Cláusulas Contratuais Padrão da Comissão Europeia, disponível no site do Information Commissioner do Reino Unido e incorporado por referência ao DPA da F5 para as transferências pertinentes regidas pela legislação do Reino Unido. Além disso, para determinados serviços, a F5 é certificada no âmbito da Extensão do Reino Unido ao Marco de Privacidade de Dados UE-EUA.
