Ao longo de décadas, a Organisation for Economic Co-operation and Development
(OECD) tem desempenhado um papel importante na promoção do respeito à privacidade como um valor fundamental e uma condição para a livre circulação de dados pessoais através das fronteiras. As Diretrizes para a Proteção da Privacidade e Fluxo Transfronteiras de Dados Pessoais, de 23 de setembro de 1980, da OECD (1980) representam importante conjunto de princípios sobre privacidade de dados pessoais, que influenciam o desenvolvimento da legislação para proteção de dados e códigos modelos dentre os países membros da OECD. As diretrizes também influenciaram o desenvolvimento da estrutura de privacidade da APEC, expandindo o seu alcance para além dos membros da OECD.
Estruturadas numa concisa e neutra linguagem tecnológica, as diretrizes têm provado ser adaptáveis aos países com várias estruturas governamentais e legais e com capacidade para mudar o ambiente social e tecnológico. A parte 1 das Diretrizes trata de generalidades relacionadas a definições e ao alcance do que dispõe o documento. Desse modo, para efeito das finalidades das Diretrizes são definidos os seguintes termos:
a) controlador de dados: é a parte que tem competência para decidir sobre conteúdo e utilização de dados pessoais independentemente de tais dados serem ou não coletados, armazenados, processados ou divulgados por esta parte ou por um agente em nome dela;
b) dado pessoal: é qualquer informação relacionada com um indivíduo identificado ou identificável (sujeito dos dados);
c) fluxos transfronteiras de dados pessoais: é o movimento de dados pessoais além das fronteiras nacionais.
Sobre o seu alcance, as Diretrizes aplicam-se a dados pessoais que representam, seja no setor público ou privado, uma ameaça para a privacidade e a liberdade individual em razão de seu modo de processamento, de sua natureza ou do contexto de utilização. As Diretrizes não devem ser interpretadas como impedimento: a aplicação de várias medidas de proteção a diversas categorias de dados pessoais, em função de sua natureza e do contexto em que são coletados, armazenados, processados ou divulgados; à exclusão, quando da aplicação das Diretrizes, dos dados pessoais que obviamente não representam risco nenhum para a privacidade e a liberdade individual; ou a aplicação destas Diretrizes ao processamento automatizado de dados.
A parte 2 daquele documento lista os princípios básicos:
a) limitação da coleta: a coleta de dados pessoais deve ser limitada e qualquer dos dados devem ser obtidos através de meios legais e justos, informando e pedindo o consentimento do sujeito dos dados;
b) qualidade dos dados: os dados pessoais deveriam ser relacionados com as finalidades de sua utilização e devem ser exatos, completos e permanecer atualizados;
c) definição da finalidade: os propósitos da coleta de dados pessoais devem ser indicados no momento da coleta de dados e o uso subsequente limitado à realização desses objetivos que não sejam incompatíveis com aqueles definidos tempestivamente e que sejam especificados cada vez que houver mudança no propósito;
d) limitação de utilização: dados pessoais não devem ser divulgados, comunicados ou utilizados com finalidades outras, salvo com o consentimento do sujeito dos dados ou por força de lei;
e) cópia de segurança: as cópias de segurança regulares devem proteger os dados pessoais contra riscos como perda ou acesso, destruição, uso, modificação ou divulgação não autorizados dos dados;
f) abertura: deve haver uma política geral de abertura a respeito do desenvolvimento, da prática e da política referentes a dados pessoais. Devem estar prontamente disponíveis meios para o estabelecimento da existência e da natureza dos dados pessoais, das finalidades principais de seu uso, bem como da identidade e residência habitual do controlador de dados;
g) participação do indivíduo: o indivíduo deve ter o direito de obter do controlador de dados, ou por outro meio, a confirmação de que este possui ou não dados referentes a ele; de que lhe sejam comunicados dados relacionados a ele dentro de um prazo razoável e por um preço, caso houver, que não seja excessivo, de maneira razoável e de modo prontamente compreensível por ele; obter explicações caso o pedido for rejeitado e ter meios de contestar tal recusa; e contestar dados relacionados a ele e, se a contestação for recebida, pedir que os dados sejam apagados, retificados, complementados ou modificados;
h) responsabilização: o controlador de dados terá de prestar contas pela observância das medidas que dão efeito aos princípios acima indicados. A parte 3 contempla princípios básicos de aplicação nacional relacionados ao livre fluxo e restrições legais, seguida da parte 4 que dispõe sobre a implementação nacional dos princípios. A parte 5 trata da cooperação internacional onde indica a necessidade de os países membros levar ao conhecimento de outros países membros sobre a observância dos princípios delineados nas Diretrizes.
Em 2013, o Conselho da OECD revisou as Diretrizes para Proteção da Privacidade e Fluxo de Dados Pessoas Transfronteiras, conhecida como "Diretrizes de Privacidade". Esta revisão é a primeira desde a publicação das Diretrizes originais, em 23 de setembro de 1980. No texto revisado, há algumas definições, para o propósito daquelas Diretrizes, além daquelas já existentes naquelas de 1980:
a) leis de proteção à privacidade: são leis ou regulamentos nacionais, a aplicação que tem o efeito de proteger os dados pessoais coerente com as diretrizes;
b) autoridade de aplicação da lei de privacidade: é qualquer corpo público, como determinado por cada EM, que é responsável por fazer cumprir leis de proteção à privacidade e que tem poder para conduzir investigações ou prosseguir com a aplicação de procedimentos.
São elencados, também, os objetivos das novas Diretrizes, cuja aplicação é relacionada a dados pessoais, tanto nos setores públicos ou privados, que, por conta da maneira como são processados, ou por conta de sua natureza ou contexto no qual eles são usados, representam riscos à privacidade e à liberdade individual. As Diretrizes devem ser reconhecidas como padrão mínimo que podem ser suplementadas por medidas adicionais para a preservação da privacidade e liberdade individual, que podem impactar o fluxo transfronteiras de dados pessoais. A OECD (2013a) explica que, por um número de razões, o problema para desenvolver
salvaguardas para o indivíduo em respeito ao manuseio de dados pessoais pode não ser resolvido exclusivamente no nível nacional. O tremendo aumento do fluxo de dados através de fronteiras nacionais e a criação de bancos de dados internacionais, coletas de dados com propósitos de recuperação e outros fins, têm destacado a necessidade de uma ação nacional e ao mesmo tempo argumentos de suporte em favor do livre fluxo da informação que geralmente é balanceada contra requisitos para a proteção de dados e restrições para a sua coleta, processamento e disseminação.