DSB Áustria: Schrems e Transferências de Dados
A Datenschutzbehörde (DSB) da Áustria é a autoridade reguladora de referência para o NOYB. NOYB significa None of Your Business. Max Schrems fundou a organização. Ela apresentou mais de 1.000 reclamações do RGPD desde 2018. A DSB tratou 422 desses casos entre 2022 e 2024.
Esse histórico importa. A DSB está no centro de duas batalhas jurídicas que já reformularam o direito de transferências da UE.
NOYB e a DSB: Um Padrão
Schrems I (2015): Schrems apresentou uma reclamação sobre os fluxos UE-EUA do Facebook. O TJUE anulou o Safe Harbor. Mais de 4.000 empresas usavam essa estrutura.
Schrems II (2020): Um segundo desafio atingiu o Privacy Shield. Mais de 5.000 empresas dependiam dele. A sua anulação forçou novas negociações. O resultado foi o Quadro de Privacidade de Dados UE-EUA (DPF). O DPF entrou em vigor em 2023.
Schrems III antecipado (2025–2026): O NOYB contestou a decisão de adequação do DPF. O argumento: a Secção 702 da FISA continua incompatível com o RGPD. Uma remissão ao TJUE é esperada.
78% dos casos da DSB envolvem transferências transfronteiriças ou ferramentas de terceiros. Esse foco distingue as autoridades austríacas dos demais reguladores da UE.
A Decisão DSB sobre o Google Analytics
A decisão da DSB de janeiro de 2022 sobre o Google Analytics definiu o modelo para os casos de transferência.
Três conclusões principais surgiram dela:
- Os endereços IP são dados pessoais. Mesmo IPs truncados podem permitir a reidentificação nos sistemas do Google. Os registos de sessão agravam o problema.
- O acesso de um fornecedor dos EUA conta como transferência. Quando engenheiros americanos podem aceder a registos de utilizadores da UE, esse acesso é uma transferência ao abrigo do RGPD. Isso inclui suporte, manutenção e ordens legais.
- As SCCs sem TIA não chegam. As Cláusulas Contratuais Padrão precisam de uma Avaliação de Impacto da Transferência. A TIA deve mostrar que as leis de espionagem dos EUA não anulam as proteções das SCC.
A DSB considerou o operador austríaco do site responsável — não o Google. O operador era o responsável pelo tratamento. Isso aplica-se a cada empresa da UE que integra scripts de terceiros. Consulte o nosso guia de conformidade com o RGPD para as obrigações do responsável.
Medidas Técnicas Adicionais
Após o Schrems II, o CEPD publicou orientações sobre medidas técnicas adicionais. Estas aplicam-se quando as SCCs por si só são insuficientes. A DSB aplica estas orientações.
Três abordagens passam pelo escrutínio da DSB:
Encriptação com chaves na UE. Encriptar os registos antes de saírem da UE. Manter as chaves de desencriptação na UE. Se as autoridades dos EUA obrigarem o fornecedor a entregar ficheiros, obtêm texto cifrado ilegível.
Pseudonimização antes da transferência. Enviar apenas tokens pseudónimos para o estrangeiro. Manter a chave de reidentificação na UE. Os ficheiros transferidos não contêm informação pessoal direta.
Processamento local. Executar todo o processamento em servidores alojados na UE. Transferir apenas estatísticas agregadas e verdadeiramente anónimas. Nenhum registo pessoal cruza fronteiras.
A DSB confirmou esta posição. Os grupos que usam fornecedores SaaS dos EUA para dados pessoais da UE devem aplicar pelo menos uma destas abordagens. Ou devem provar que o conteúdo transferido é verdadeiramente anónimo.
O Risco do Schrems III
As empresas que dependem apenas do DPF enfrentam um risco claro. Se o recurso do NOYB no TJUE tiver êxito, essas firmas devem encontrar novos mecanismos de transferência rapidamente. Foi exatamente o que aconteceu em 2015 e 2020.
Os grupos que usam medidas técnicas adicionais estão protegidos. Se o conteúdo for verdadeiramente anónimo, não ocorre nenhuma transferência ao abrigo do RGPD. Uma invalidade do DPF não muda nada para eles.
Para operações na Áustria: as ferramentas de análise (Google Analytics, Mixpanel, Amplitude) criam exposição à DSB. O mesmo vale para CRMs com empresas-mãe nos EUA (Salesforce, HubSpot). As plataformas de nuvem onde o pessoal dos EUA tem acesso de administrador carregam o mesmo risco.
A solução é a mesma em cada caso. Garantir que os dados pessoais sejam verdadeiramente anónimos antes de chegarem ao fornecedor. Ou encriptá-los com chaves que apenas o responsável da UE detém. A nossa visão geral de segurança e conformidade explica como a anonym.legal processa o texto na UE (Hetzner, Falkenstein).
Fontes
- DSB: Autoridade Austríaca de Proteção de Dados — VERIFIED-EXTERNAL
- NOYB: Litígios Estratégicos — VERIFIED-EXTERNAL
- TJUE: Acórdão Schrems II C-311/18 (2020) — VERIFIED-EXTERNAL
- CEPD: Recomendações 01/2020 sobre medidas de transferência — VERIFIED-EXTERNAL