Lei dos Serviços Digitais (DSA)

Os clientes cuja sede principal está localizada na Europa, no Oriente Médio ou na África (em conjunto, EMEA) recebem serviços por meio de contratos com a F5 Networks, Ltd. A F5 Networks, cuja sede fica no Reino Unido e que foi constituída de acordo com as leis desse país, é o centro das operações da F5 na região EMEA. As autoridades da UE e da Suíça reconheceram que as leis do Reino Unido oferecem proteção aos dados pessoais, atendendo plenamente aos requisitos do Capítulo V do GDPR e da legislação suíça equivalente.

Os clientes com sede na região da Ásia-Pacífico (APAC) celebram contratos com a F5 Networks Singapore Pte Ltd., em Singapura. Todos os demais clientes (inclusive aqueles com sede na América do Norte) celebram contratos com a F5, Inc., nos Estados Unidos. Para todos os serviços da F5, o Adendo de Proteção de Dados (DPA), complementado pelos Termos Específicos do Serviço, inclui as Cláusulas Contratuais Padrão e as disposições aplicáveis a todas as transferências para a F5 sujeitas à legislação pertinente. Essas Cláusulas Contratuais Padrão são acompanhadas pelo adendo sobre transferências internacionais de dados publicado pelo governo do Reino Unido para transferências envolvendo o país, bem como por disposições adicionais publicadas pelo Comissário Federal de Proteção de Dados e Informação da Suíça para transferências envolvendo o país. Para os serviços pertinentes, a F5 também mantém uma certificação no âmbito do Marco de Privacidade de Dados UE-EUA, da Extensão do Reino Unido ao Marco de Privacidade de Dados UE-EUA e do Marco de Privacidade de Dados Suíça-EUA.

Sim. Para os serviços pertinentes, a F5 mantém uma certificação no âmbito do Quadro de Privacidade de Dados UE-EUA, da Extensão do Reino Unido ao Quadro de Privacidade de Dados UE-EUA e do Quadro de Privacidade de Dados Suíça-EUA.

Não. Essas duas disposições legais dos EUA, que foram o foco da decisão Schrems II, não afetam a F5. De qualquer forma, devido às melhorias na legislação dos EUA após a decisão Schrems II, a Comissão Europeia determinou, em sua Decisão de Execução de 10 de julho de 2023, nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, relativa ao nível adequado de proteção dos dados pessoais no âmbito do Quadro de Privacidade de Dados UE-EUA, que as preocupações anteriores relacionadas a essas disposições foram solucionadas. O Comitê Europeu para a Proteção de Dados (EDPB) analisou a decisão da Comissão Europeia e observou (em sua Nota informativa sobre transferências de dados para os Estados Unidos nos termos do GDPR após a adoção da decisão de adequação em 10 de julho de 2023) que “todas as salvaguardas implementadas pelo governo dos EUA na área de segurança nacional (incluindo o mecanismo de recurso) se aplicam a todos os dados transferidos para os EUA, independentemente do instrumento de transferência utilizado” (ou seja, independentemente de os dados serem transferidos para os Estados Unidos por meio do Quadro de Privacidade de Dados, de Cláusulas Contratuais Padrão ou de outro instrumento de transferência).

A F5 nunca recebeu uma solicitação de acesso a dados nem qualquer outro tipo de ordem nos termos da Seção 702 da FISA. Muitos serviços da F5 não se enquadram no tipo de serviço que pode ser alvo de uma ordem nos termos da Seção 702 da FISA. Além disso, para quase todos os clientes dos serviços da F5, a F5 não processa o tipo de dado que pode ser alvo de uma ordem nos termos da Seção 702 da FISA, que se aplica a dados sobre a proliferação de armas de destruição em massa, planos de potências estrangeiras para ataques aos Estados Unidos, informações de inteligência sobre atividades clandestinas de espiões estrangeiros ou outras “informações de inteligência estrangeira” na acepção da FISA.

A F5 também não pode receber uma ordem para fornecer dados de clientes com base na EO 12333, pois não existe uma ordem desse tipo. A EO 12333 atribui determinadas responsabilidades no âmbito da Comunidade de Inteligência dos Estados Unidos, mas não impõe nenhuma obrigação ao setor privado. A F5 criptografa os dados em trânsito e adota medidas de segurança adicionais para se proteger contra as atividades teóricas de interceptação que preocuparam o tribunal no caso Schrems II antes da decisão de adequação da Comissão Europeia de 2023 mencionada acima.

O CLOUD Act não conferiu ao governo dos EUA novos poderes para exigir dados de empresas que fazem negócios nos Estados Unidos. O governo dos EUA não emite “ordens do CLOUD Act”, e a F5 nunca recebeu uma. O CLOUD Act esclareceu que, quando o governo dos EUA segue o devido processo legal já existente (como a obtenção de uma ordem de um juiz de um tribunal distrital federal) para determinar que uma empresa forneça dados específicos que estejam em sua posse, custódia ou controle, a localização dos dados não pode servir de fundamento para a empresa contestar a ordem (embora um conflito com as leis vigentes nesse local ainda possa servir). O CLOUD Act está em vigor desde antes da decisão de 2020 no caso Schrems II. Após a decisão no caso Schrems II, os Estados Unidos implementaram diversas melhorias em suas regras e práticas relativas ao acesso governamental a dados. Em seguida, a Comissão Europeia avaliou essas melhorias e concluiu que a legislação dos EUA aplicável às exigências de dados pelo governo dos EUA passou a oferecer um nível de proteção adequado na acepção do GDPR. Consulte a Decisão de Execução de 10.7.2023 nos termos do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho sobre o nível adequado de proteção de dados pessoais no âmbito do Quadro de Privacidade de Dados UE-EUA. O Comitê Europeu para a Proteção de Dados (EDPB) analisou essa decisão e observou (em sua Nota informativa sobre transferências de dados para os Estados Unidos nos termos do GDPR após a adoção da decisão de adequação em 10 de julho de 2023) que “todas as salvaguardas implementadas pelo governo dos EUA na área de segurança nacional (incluindo o mecanismo de reparação) se aplicam a todos os dados transferidos para os EUA, independentemente do instrumento de transferência utilizado” (ou seja, independentemente de os dados serem transferidos para os Estados Unidos por meio do Quadro de Privacidade de Dados, de Cláusulas Contratuais Padrão ou de outro instrumento de transferência).

Dada a natureza das relações da F5 com seus clientes e a quantidade limitada de dados que a F5 trata em nome deles (normalmente de forma criptografada), tais exigências são extremamente raras. A política da F5 para qualquer exigência de fornecimento de dados de clientes é: (i) notificar prontamente o cliente, se permitido por lei, e então cooperar com ele para solucionar a questão; ou (ii) se a notificação do cliente for ilegal, tentar direcionar a autoridade solicitante ao cliente. Se essas medidas não resolverem a questão, a F5 avaliará a legalidade da exigência e apresentará todas as contestações cabíveis (por exemplo, por meio de recurso), inclusive quanto à possibilidade de o atendimento à solicitação violar o GDPR ou outras leis pertinentes. Durante esse processo, a F5 solicitará a suspensão dos efeitos da exigência até que a autoridade judicial competente decida sobre o mérito, inclusive durante eventuais recursos. Nessa situação, a F5 não divulgará nenhum dado, a menos e até que seja obrigada a fazê-lo nos termos das regras processuais aplicáveis. Se esse ponto for alcançado, a F5 divulgará apenas o mínimo de dados necessário para cumprir o que restar da exigência original.

Todos os contratos de clientes relativos aos serviços da F5 (o Contrato de Serviços do Usuário Final (EUSA) incluem Termos Específicos do Serviço que incorporam e complementam o Adendo de Proteção de Dados (DPA) da F5, que inclui as Cláusulas Contratuais Padrão com disposições adicionais pertinentes para transferências sujeitas às leis do Reino Unido ou da Suíça. Em determinados casos, o cliente e a F5 terão um contrato diferente que incorpora essas mesmas proteções, como o contrato para serviços específicos de suporte da F5. Os clientes também podem consultar https://www.dataprivacyframework.gov/list, que mostra que a F5 possui certificação no âmbito do Quadro de Privacidade de Dados UE-EUA, da Extensão do Reino Unido ao Quadro de Privacidade de Dados UE-EUA e do Quadro de Privacidade de Dados Suíça-EUA.

Para transferências a entidades da F5 em “países terceiros”, incluindo o Reino Unido, a F5 e seus clientes utilizam o Adendo de Transferência Internacional de Dados às Cláusulas Contratuais Padrão da Comissão Europeia, disponível no site do Comissário de Informação do Reino Unido e incorporado por referência ao DPA da F5 para as transferências pertinentes regidas pela legislação do Reino Unido. Além disso, para determinados serviços, a F5 possui certificação no âmbito da Extensão do Reino Unido ao Quadro de Privacidade de Dados UE-EUA.