April 7, 2025

Rep. Brett Guthrie (KY-02), Chairman

Rep. John Joyce, Vice Chairman

House Committee on Energy and Commerce

Rayburn House Office Building, 2125, 

Washington, DC 20515

Response to the Request for Information for a Data Privacy and Security Framework

o Centro de Escolha do Consumidor is an independent, non-partisan consumer advocacy group championing the benefits of freedom of choice, innovation, and abundance in everyday life. We champion smart policies that are fit for growth, promote lifestyle choice, and defend technological innovation.

Herein, we will offer our comments on a future data privacy and security, albeit from a consumer-focused perspective.

The APRA

The previous attempt at comprehensive privacy legislation, the Lei Americana de Direitos de Privacidade, was flawed for several reasons. 

While this privacy bill addressed important principles, such as exigindo transparência dos dados coletados, a capacidade dos consumidores de terem acesso portátil às suas informações e mecanismos para punindo maus atores, it went too far in granting government agencies power over private contracts and business models while exempting any agency from those same privacy rules.

The particular provision creating a new direito privado de ação, unheard of in any other global privacy bill, inevitably would have created a quagmire that would litter our justice system with bogus and outrageous claims, all the while empowering politically connected trial attorneys who stand the most to gain. This would only further increase the $500 billion “lawfare liability” tax on our economy. This ultimately would have degraded the quality and raised the prices of goods and services that consumers depend on and would do nothing to safeguard user privacy.

OUR RECOMMENDATIONS:

• Inovação Campeã
• Defenda a portabilidade
• Permitir interoperabilidade
• Abrace a neutralidade tecnológica
• Evite a legislação de retalhos
• Promova e permita criptografia forte

O QUE EVITAR

Na Califórnia, o Lei de Privacidade do Consumidor de 2018 exige que as empresas calculem o valor dos dados individuais, forneçam opt-outs, exijam que as empresas informem os consumidores se seus dados estão sendo vendidos, permitam que os consumidores solicitem que seus dados sejam excluídos (direito ao esquecimento) e permitam que os consumidores acessem os dados coletados por ditas empresas em formatos legíveis.

A lei de privacidade de Vermont exige que as empresas informem diretamente os consumidores sobre violações de dados e também proíbe algumas formas de publicidade direcionada especificamente quando se trata de estudantes.

Ambas as leis contêm elementos do GDPR da UE, que já está em vigor há quase 3 anos. Como tem sido notado por vários analistas, os enormes custos e esforços de conformidade significaram uma redução significativa no investimento e na atividade de mercado de pequenas e médias empresas que se relacionam com dados. Além do mais, os usuários europeus foram cortados ou impedidos de usar muitos serviços fora da jurisdição da UE, pois as empresas estão evitando entrar em conflito do rigoroso regulamento. Isso resultou em menos produtos e serviços disponíveis para os cidadãos europeus.

Essas tentativas anteriores de leis de privacidade são falhas pelos seguintes motivos:

Primeiro, muitas partes dessas leis bloqueiam e impedem a inovação. Ao tornar mais difícil e caro para as empresas lidar com os dados do consumidor, as empresas são menos incentivadas a investir recursos em ofertas e serviços inovadores ao consumidor, resultando em menos opções para o consumidor e uma maior barreira de entrada para novos concorrentes.

Segundo, at least in the cases of Vermont and California, these laws create a patchwork of regulation that makes compliance difficult or nearly impossible for firms operating in both the national and global marketplace, thereby driving up 

costs and depriving consumers of these firms’ services irrespective of which state they reside in. A national law or widely adopted (and ideally global) industry self-regulation, which protects consumer privacy and also champions innovation, would be preferred.

Terceiro, calcular o valor dos dados para cada cliente da empresa e detalhar cada aspecto de como esses dados são usados é quase impossível, aumentando enormemente os custos dos serviços que inevitavelmente serão repassados aos consumidores.

Quarto,  these laws do not take into consideration existing business practices that already provide adequate consumer and data protection, and have thus been used as industry standards. They also thwart innovation practices such as targeted advertising, geo-targeting, and personalization, which consumers prefer.

Último, cada uma dessas leis de privacidade encoraja ainda mais a litigiosidade, provocando novos processos e julgamentos que serviriam para aumentar enormemente o custo de produtos e serviços de consumo normais.

INOVAÇÃO CAMPEÃ

Considerando que milhares de empresas protegeram e usaram os dados do consumidor de forma responsável, os legisladores devem procurar criar regras claras e uniformes que respeitem os padrões atuais, permitam a inovação e forneçam clareza às empresas e aos consumidores. As regras de privacidade que impõem um ônus indevido às empresas que seguem a lei, em vez de visar os exemplos mais flagrantes de violação de dados e impropriedade, acabarão elevando o custo de fazer negócios e, assim, aumentar os preços para os consumidores.

Deveria haver o reconhecimento de que os consumidores voluntariamente fornecem dados às empresas para receber um serviço ou bem final que lhes seja útil. Desde que os procedimentos adequados sejam seguidos e nenhum dado vaze ou mude de mãos sem autorização, não deve haver requisitos regulatórios adicionais que serviriam para complicar o relacionamento voluntário de um consumidor com uma empresa.

DEFENDER A PORTABILIDADE

Consumer-friendly data portability should be a reasonable standard applied to most firms that complete data transactions. Most of today’s firms allow personal data to be exported for review, but should also remain confidential and secure to avoid potential exploitation. If portability standards are kept too lax, this would be an 

invitation to hackers and pirates looking to profit from identity or intellectual property theft. 

Dado o ritmo acelerado que esse ambiente muda, os padrões do setor podem ser uma maneira mais ágil de impor a portabilidade em comparação com a regulamentação.

PERMITIR INTEROPERABILIDADE

Sempre que necessário, as empresas devem ser incentivadas a manter padrões de dados abertos que possam ser usados entre plataformas, quando necessário. No entanto, considerando a natureza dinâmica das estruturas e padrões de dados, os legisladores devem evitar favorecer um método específico de coleta ou exportação de dados, seja JSON, HTML ou outro. 

Em vez disso, um amplo princípio de “neutralidade tecnológica” permitiria que os melhores padrões evoluíssem naturalmente, em vez de serem determinados arbitrariamente por órgãos reguladores. A aplicação dos padrões de interoperabilidade seria, portanto, acordada pelas empresas que lidam com dados, e não necessariamente determinada por lei. Os consumidores devem, em última análise, decidir se desejam um serviço ou produto que permita a interoperabilidade ou não. A ampla aceitação de aplicativos e padrões como o Apple CarPlay mostra que a maioria das empresas prefere esses padrões que permitem que os consumidores se beneficiem ao “conectar”.

ABRACE A NEUTRALIDADE TECNOLÓGICA

Como os padrões e tecnologias mudam tão rapidamente, os legisladores devem evitar legislação que favoreça um determinado método ou tecnologia nas regras de privacidade de dados. A aplicação de uma regra uniforme sobre o formato ou processo de tecnologia serviria para limitar a quantidade de inovação e evolução natural que atualmente define nosso setor de tecnologia existente. 

Em todos os casos, a legislação deve adotar e incentivar a concorrência e a preferência do consumidor para determinar a melhor tecnologia. A tecnologia muda muito rapidamente e muitas regulamentações podem limitar o surgimento de novas tecnologias e padrões o mais rápido possível dentro de uma estrutura mais flexível.

EVITE LEGISLAÇÃO DE PATCHWORK

Due to the ever-growing consumer base across both state lines and international borders, state-by-state regulations that would impose different rules on different 

residents should be avoided. This patchwork of legislation would increase the cost of delivering services in an efficient manner, and would likely stunt the availability of various products or services to consumers in various jurisdictions. As such, a broad and agile uniform standard should be agreed to at the federal level, rather than individual states or municipalities.

PROTECT AND ALLOW STRONG ENCRYPTION

O uso de criptografia por indivíduos e empresas é essencial para nossos direitos digitais online. Muitas propostas legislativas desde a década de 1990 tentaram proibir métodos criptográficos de proteger e criptografar dados. A maioria dessas propostas foi justificada por razões de segurança nacional e aplicação da lei. Dito isso, as leis existentes sobre mandados judiciais e proteções da Quarta Emenda se aplicam a empresas, e não há razão para acreditar que a proibição da criptografia tornaria isso mais fácil ou mais produtivo.

Os legisladores devem reconhecer os direitos dos cidadãos de criptografar e proteger as informações e devem estender isso aos métodos de criptografia proprietários que as empresas e empresas usam para atender seus clientes. Proteger os direitos à criptografia é um método seguro e eficaz para garantir que a privacidade dos dados e dos consumidores possa ser mantida, sejam dados médicos, informações de identificação pessoal ou dados financeiros.

CONCLUSÃO

As we have outlined, there are examples of existing laws on data and consumer privacy that go far beyond the scope of consumer protection. Often, these laws serve to thwart innovation and slow down the progress that firms and companies can deliver to their customers. 

What’s more, a regulatory approach that is far too restrictive or cumbersome will serve large incumbent players that can afford the additional costs while locking out start-ups and new competitors.

While we cheer the focus on data and privacy framework that would benefit consumers, we hope these recommendations are taken into account.