Pedro Nunes

A Lei Geral de Proteção de Dados (<a href="https://www.jota.info/tudo-sobre/lgpd">LGPD</a>) é aplicável a todos que lidam com dados de pessoas naturais, seja de forma virtual ou física, e um dos pontos de atenção diz respeito às bases legais utilizadas para justificar o tratamento. Por falta de um conhecimento mais aprofundado, muitas empresas optam pelo uso do consentimento, por parecer um termo bastante amplo.
Mas, ao contrário do que parece, as regras definidas pela LGPD aplicáveis a tratamentos a partir do consentimento do titular de dados são bastante específicas e, por isso mesmo, determinadas condições devem ser observadas para uma implementação responsável.
<h3>Definindo dados pessoais e tratamento</h3>
É importante determinar o significado de alguns termos presentes na legislação antes de falarmos sobre cada uma das bases legais para o tratamento de dados e consentimento.
A LGPD define dado pessoal como a informação relacionada a uma pessoa natural identificada ou identificável. Em outras palavras, é a informação que permite a identificação imediata de uma pessoa natural ou aquela informação que, interpretada em conjunto com outras, leva à determinação de um indivíduo específico. Ou seja, o fato de que um dado ou informação deve ou não ser considerado um “dado pessoal” para efeitos da lei é algo que precisa ser analisado caso a caso – para entendermos se os elementos disponíveis levam à determinação individualizada de uma pessoa natural ou não.
Também pode-se extrair deste conceito o fato de que só existem “dados pessoais” relacionados a pessoas naturais, e não a pessoas jurídicas. Neste sentido, a proteção desenhada pela LGPD está restrita a dados pessoais e à privacidade dos indivíduos, não de entes jurídicos.
Por sua vez, tratamento é um termo bastante abrangente que engloba uma série de operações que podem ser realizadas com dados pessoais, como armazenamento, arquivamento, utilização, reprodução, modificação, comunicação, transferência, classificação, extração, eliminação, entre outros. Assim, tratamento deve ser entendido de forma geral como uma expressão genérica que serve como referência para qualquer atividade desenvolvida a partir de dados pessoais.
<h3>As múltiplas opções de base legal</h3>
Na esteira das mais modernas legislações, as leis regulando a proteção de dados pessoais no Brasil prestigiam os titulares das informações ao conceder a eles um maior controle e direito de escolha sobre a forma como se dá o uso de seus dados. Além de estabelecer condições a serem observadas para fins do tratamento em si, a lei traz uma lista de hipóteses que podem justificar o tratamento de dados pessoais – vide Artigo 7º da <a href="https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm">Lei 13.709/2018</a>, a LGPD.
E são essas hipóteses que formam as chamadas “bases legais”. São elas que autorizam o tratamento de acordo com finalidades determinadas e a partir de condições informadas ao usuário. A pergunta de qual base utilizar é uma questão que precisa ser analisada a partir de diferentes pontos de vista, incluindo aspectos como a finalidade do tratamento e a relação entre agente de tratamento e titular de dados.
São dez as bases legais definidas pela lei brasileira – lembrando que as bases listadas aqui são as definidas pela regra geral da lei, mas, no que diz respeito ao tratamento dos chamados dados pessoais sensíveis (conforme definição legal), outras bases específicas devem ser consideradas:
<ul>
<li>Consentimento</li>
<li>Cumprimento de obrigação legal ou regulatória</li>
<li>Execução de políticas públicas</li>
<li>Realização de estudos por órgão de pesquisa</li>
<li>Execução ou criação de contrato</li>
<li>Exercício regular de direitos</li>
<li>Proteção da vida</li>
<li>Tutela da saúde</li>
<li>Legítimo interesse</li>
<li>Proteção do crédito</li>
</ul>
Percebe-se, portanto, que consentimento é apenas uma das hipóteses citadas pela lei, mas não a única. Por ter sido listada em primeiro lugar dentre as opções, o intérprete mais apressado pode ser levado a concluir que existe algum grau de prioridade ou preferência pela sua utilização em relação às demais. Porém, essa afirmação não está correta, e o entendimento que deve prevalecer é o de que não existe hierarquia sobre as bases definidas em lei. O que deve determinar qual base deve ser considerada em cada caso são, em regra, as especificidades da operação de tratamento em questão.
Desde que existam argumentos que justifiquem a adoção de uma ou outra base, caberá ao controlador tomar a decisão sobre o modelo a ser utilizado em cada caso. Além disso, o essencial é que questões relacionadas ao tratamento sejam apresentadas de forma clara e completa, garantindo ao titular seu direito de autorizar o tratamento de seus dados pessoais de acordo com sua própria vontade – a ser registrada sob a forma de aceitação da política de privacidade correspondente ou outra ação autorizada nos termos da lei.
<h3>O consentimento e suas armadilhas</h3>
Para a LGPD, o consentimento é um ato formal e exige uma ação específica do titular de dados, uma vez que é a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.
Ao criar a definição acima, a LGPD conseguiu, em poucas palavras, agregar alguns conceitos importantes e criar exigências que devem ser observadas para evitar discussões sobre a validade do consentimento do titular. E este é o grande desafio.
Por força da determinação legal, a utilização do consentimento requer cuidados especiais quanto à informação a ser disponibilizada ao titular. Além disso, é preciso que os documentos correspondentes (como a política de privacidade e eventualmente outras privacy notes aplicáveis) sejam claros e tragam informações completas que não deixem margem para dúvidas sobre como seus dados podem ser tratados.
Ainda que as melhores práticas exijam que o usuário seja sempre informado de maneira clara, correta e completa sobre tratamentos com a utilização de qualquer base, a questão é mais crítica quando utilizado o consentimento. A utilização dessa base gera uma obrigação legal para o controlador no sentido de efetuar a chamada “gestão do consentimento”, para controlar e administrar os consentimentos obtidos – além de eventuais solicitações dos titulares de dados para sua revogação e para a eliminação dos dados pessoais coletados, por exemplo. Isso porque a lei contém regras expressas mencionando a possibilidade de revogação do consentimento, bem como lista como um dos direitos dos titulares o direito de solicitar a eliminação dos dados da base tratados com seu consentimento.
Neste contexto, a utilização do consentimento para justificar tratamentos mais elaborados ou que estejam relacionados ao desenvolvimento dos negócios do controlador, por exemplo, atrai fragilidades para o modelo, tendo em vista as incertezas quanto à disponibilidade e possibilidade de utilização de tais dados pessoais. Ou seja, a solução fácil de se buscar uma autorização expressa junto ao titular pode resultar na necessidade de se adotar uma verdadeira engenharia jurídica e técnica – exigida não só para viabilizar o tratamento de dados pessoais, mas para atendimento dos requisitos legais, gerando necessidade de investimento de tempo que muitas vezes podem ser evitados.
<h3>Escolha passa por estratégia de negócio e respeito ao titular</h3>
A decisão por qual base legal utilizar para justificar um tratamento de dados pessoais específico deve ser tomada a partir de uma análise abrangente das operações a serem realizadas, as opções disponíveis e a própria finalidade do uso de dados. A revisão desses critérios pode demonstrar que nem sempre o consentimento será a base legal ideal e que, mesmo nos casos em que possa ser adotado, vai exigir uma série de cuidados extras do ponto de vista jurídico e técnico que podem acabar por desencorajar sua utilização.
Por não haver hierarquia ou prioridade entre as bases, o controlador deve optar por aquela que melhor se adequar ao tratamento e finalidades pretendidos, tendo em vista que é primordial assegurar informações claras, transparentes e completas ao titular de dados.

Aplicação da LINDB pelo Supremo e pelo STJ: o que os dados falam?

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Escolha exige gestão em uma verdadeira engenharia que envolve equipes jurídica e técnica, e principalmente tempo

Consentimento como base legal para tratamento de dados

Escolha exige gestão em uma verdadeira engenharia que envolve equipes jurídica e técnica, e principalmente tempo