Fabrício Polido

Os recentes episódios envolvendo o megavazamento de dados de brasileiros levantaram a discussão sobre as enormes fragilidades institucionais do Brasil na área de privacidade e proteção de dados, expondo ainda as dificuldades de formulação de uma estratégia reativa a tempo de mitigar e impedir violações a direitos fundamentais de cidadãos. Desde a segunda metade da década de 1970, com o movimento das leis nacionais e multiplicação das autoridades de proteção de dados na Europa, países do globo se viram pressionados a participar de instituições de governança da privacidade, como no caso do Conselho da Europa, OCDE e própria União Europeia. Uma das frentes foi justamente a de trabalhar em torno de soluções comuns ao fluxo transnacional de dados e desafios trazidos para a privacidade de indivíduos. Desde então, esses temas ocupam as agendas políticas e normativas dessas organizações; contam com maior ou menor presença e influência negociadoras e capacidade técnica de países do Norte Global sobre questões relacionadas a novas tecnologias, processos de informatização e digitalização e o tratamento automatizado de dados.
Com a emergência da internet e desenvolvimento de novas tecnologias de processamento de dados e serviços em nuvem, o caminho foi justamente o de aperfeiçoamento da chamada cooperação transnacional para aplicação de leis de privacidade e proteção de dados. Esse setor surge paralelamente ao reconhecimento de que mudanças nas formas de coleta, uso, armazenamento, transferência e compartilhamento de dados, para além das fronteiras territoriais de um Estado, também trazem enormes riscos a direitos fundamentais de pessoas em mobilidade. Destacam-se, nesse sentido, os potenciais de violação de direitos de privacidade e de proteção de dados, além das demandas concretas de assistência mútua por parte de autoridades encarregadas de protegê-los. O cenário da cooperação em dados não poderia ficar, portanto, indiferente às externalidades surgidas com o desenvolvimento tecnológico e avanço das estruturas e processos de Big data.
<a href="https://conteudo.jota.info/poder-contato"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>
Em 2007, a OCDE adotou importante instrumento nessa frente — a Recomendação sobre Cooperação Transfronteiriça na Aplicação de Leis de Proteção à Privacidade, que estabelece o compromisso dos Membros de aperfeiçoar suas estruturas domésticas para a aplicação das leis de privacidade<a href="#_ftn1" name="_ftnref1">[1]</a>. A Recomendação, do ponto de vista do desenvolvimento do direito internacional econômico, refletiu entendimentos centrados nas Diretrizes de Privacidade da OCDE de 1980, ainda hoje influentes sobre bases da proteção de dados. Esses instrumentos podem ser considerados cruciais, ao lado da Convenção 108 do Conselho da Europa<a href="#_ftn2" name="_ftnref2">[2]</a>, na estruturação do regime internacional de proteção de dados e preservam, igualmente, o objetivo sistêmico de respeito à diversidade dos sistemas legais e de suas instituições domésticas.
O processo de elaboração, promulgação e entrada em vigor da Lei Geral de Proteção de Dados - a LGPD - é lembrada, dentre muitos, como resultado de espelhamento desses instrumentos e, fundamentalmente, na Diretiva Europeia de 1996, que foi substituída pelo <a href="https://eur-lex.europa.eu/legal-content/PT/TXT/HTML/?uri=CELEX:32016R0679&amp;from=PT" target="_blank" rel="noopener noreferrer">Regulamento Europeu de Proteção de Dados</a> (Regulamento 2016/679).  A LGPD, contudo, não se fechou para o apelo cooperativo internacional. Ao contrário, ele se apresenta como um dos possíveis eixos de formação de expertise e atuação jurisdicional da Autoridade Nacional de Proteção de Dados (ANPD). Como base inicial, processos de cooperação favorecem, acima de tudo, o intercâmbio de experiências entre diversas autoridades nacionais e criam espaços de atuação conjunta nos níveis administrativos, técnicos e especializados e jurisdicionais.
<blockquote class="jota-article__eye">O Art. 55-J, inciso IX, da LGPD confere poderes para a ANPD no domínio da cooperação com autoridades nacionais de proteção de dados pessoais de outros países e, também, organizações internacionais na área de proteção de dados.</blockquote>
A regra, por sua natureza e escopo, não limitaria a atuação da Autoridade ao plano governamental. Isso porque ela reconhece a centralidade, antes, do atributo “transnacional” das relações institucionais.  Tal aspecto facilita o diálogo com órgãos, autoridades, comitês em organizações internacionais, a exemplo, dentre outros, da Comissão Europeia, Autoridade Europeia para Proteção de Dados e o Comitê Europeu para Proteção de Dados<a href="#_ftn3" name="_ftnref3">[3]</a>; o Conselho da Europa; Fórum da ASEAN para Proteção de Dados e Privacidade; a Conferência Internacional de Proteção de Dados e Privacidade (atualmente Global Privacy Assembly, com sede em Londres); Privacy International, dentre outras. O próprio abandonado Mercosul, completando seus 30 anos no mês de março, já teria muito a oferecer, sobretudo pela experiência marcante dos irmãos Argentina e Uruguai.
Importante destacar que ações de cooperação transnacional em proteção de dados, mais abrangentes do que aquelas meramente interestatais internacionais, não se confundem, da perspectiva da LGPD, com atos de cooperação jurídica internacional a embasar ou exigir transferência internacional de dados. São regimes distintos, mas complementares entre si.  Os incisos III e VI do Art. 33 da LGPD, por exemplo, referem-se especificamente a casos envolvendo bases legais de transferência associada a regimes de cooperação jurídica internacional, a saber, quando “necessária para a cooperação jurídica internacional entre órgãos públicos de inteligência, de investigação e de persecução”, de acordo com instrumentos de direito internacional ou quando resultante de “compromisso assumido em acordo de cooperação internacional”.  São casos relevantes para os regimes de cooperação jurídica internacional nas esferas administrativa, civil, criminal, trabalhista e em direitos humanos de que participa o Brasil, em particular os estruturados segundo tratados e convenções processuais e tratados de direitos humanos (vide, por exemplo, Art. 26, ‘caput’ do Código de Processo Civil; Art. 1º do Código de Processo Penal e mecanismos de acionabilidade das comissões especializadas em tratados e convenções de direitos humanos).
As ações de cooperação transnacional, esperadas segundo o Art. 55-J, inciso IX, deverão estar refletidas na longa prática internacional sobre o tema; elas compreendem, em especial, as ações e experiências da OCDE, do Conselho da Europa, do antigo Grupo de Trabalho do Art. 29 (atualmente substituído pelo Comitê Europeu) nesse domínio. Entre elas podem ser indicadas: (i) a intercâmbio de informações operacionais; (ii) acesso ao teor, vigência e aplicação de leis e regulamentos estrangeiros de proteção de dados; (iii) condução de procedimentos conjuntos de investigação relativamente a práticas de agentes de tratamento (empresas e entes públicos); (iv) desenvolvimento de mecanismos de aplicação das leis nacionais para assegurar proteção dos direitos fundamentais de privacidade e de proteção de dados; (iv) redução de medidas relacionadas a interrupções injustificadas de fluxo de dados e/ou retenção de dados nos países participantes das redes e estruturas de cooperação.
As Recomendações da OCDE de 2007, por seus objetivos e especialidade, fazem referência a dois eixos que serão centrais para o espectro da cooperação a ser travada futuramente pela ANDP. Um deles é a adoção de mecanismos facilitados de cooperação transnacional para aplicação das regras de proteção da privacidade e proteção de dados (vertente do ‘enforcement’) e assistência mútua em procedimentos transfronteiriços com outras autoridades nacionais, incluindo notificações, fiscalização e aplicação de sanções, estando asseguradas as garantias processuais e administrativas às partes. Outro eixo refere-se às próprias medidas domésticas por parte do Estado brasileiro, tanto de capacitação de pessoal qualificado da ANPD para atuar nos eixos de cooperação, incluindo o desejável entrosamento com órgãos do Ministério das Relações Exteriores, o Itamaraty. E por que essa tarefa seria necessária? Precisamente para o fortalecimento do que eu tenho chamado de diplomacia estratégica de dados, que envolve o conjunto de habilidades e posicionamentos - pragmáticos, cientificamente orientados e altamente técnicos - nas intervenções de política externa relacionada à governança de dados, em respeito mesmo ao fundamento de cooperação estabelecido no Art. 4º da Constituição da República.
A expectativa de fortalecimento institucional da ANPD em todas as frentes acima mencionadas também contribuirá com a futura revisão de leis e práticas brasileiras relacionadas à cooperação. Ela também reclama o aperfeiçoamento de remédios administrativos e processuais necessários para proteger titulares de dados ou vítimas, no Brasil, de ações de violação transfronteiriça de direitos e/ou obrigações associadas à proteção de dados. A ANDP também deverá ter condições legais para utilizar provas, decisões e outras medidas obtidas de autoridades de proteção de dados ou tribunais judiciais de outros países para fins de aplicação das leis brasileiras, dentro da esfera jurisdicional administrativa que lhe é assegurada por força da LGDP e regulamentos aplicáveis.
A diplomacia estratégica de dados permitirá, ainda, que os trabalhos entre a ANPD e MRE estejam voltados para a futura habilitação do Brasil como país conferindo nível adequado de proteção de dados, para fins da adoção de uma decisão de adequação pela Comissão Europeia. Ela depende de procedimento a envolver a articulação originada de uma proposta pela Comissão, da opinião consultiva do Conselho Europeu para Proteção de Dados e da aprovação de representantes de Membros da UE<a href="#_ftn4" name="_ftnref4">[4]</a>. Não se trata de exame meramente formal ou burocrático por parte da Comissão, mas antes estabelecido por critérios que respeitam a diversidade dos sistemas jurídicos, não sejam discriminatórios ou arbitrariamente empregados para prejudicar um país terceiro, ou que constituam barreiras ao comércio internacional e ao fluxo transfronteiriço de dados.
Os esforços brasileiros terão de demonstrar que episódios relacionados ao megavazamento de dados, por exemplo, não anulam os benefícios trazidos pela aplicação da LGPD, a atuação institucional da ANPD e suas capacidades, bem como aqueles atrelados à vigência e efetividade do robusto marco legal digital brasileiro, incluindo normas constitucionais relevantes.
<hr />
O episódio 48 do podcast Sem Precedentes faz uma análise sobre a atuação do Supremo Tribunal Federal (STF) em 2020 e mostra o que esperar em 2021. Ouça:
https://youtu.be/-hMj5lwWXEE
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> OECD, Recommendation on Cross-border Co-operation in the Enforcement of Laws Protecting Privacy. 2007. Disponível em: &lt;<a href="http://www.oecd.org/digital/ieconomy/38770483.pdf" target="_blank" rel="noopener noreferrer">http://www.oecd.org/digital/ieconomy/38770483.pdf</a>&gt;. A recomendação foi desenvolvida sob os auspícios do Comitê da OCDE para Política de Informação, Computação e Comunicações (ICCP), por meio de seu Grupo de Trabalho sobre Segurança da Informação e Privacidade (WPISP). Os Comitês e Grupos de Trabalho são os principais motores de políticas normativas da Organização.
<a href="#_ftnref2" name="_ftn2">[2]</a> Convenção 108 do Conselho da Europa para a Proteção das Pessoas Singulares no que diz respeito ao Tratamento Automatizado de Dados Pessoais, de 28 de janeiro de 1981, revista e consolidada em 18 de maio de 2018. Texto oficial em: <a href="https://search.coe.int/cm/Pages/result_details.aspx?ObjectId=09000016807c65bf" target="_blank" rel="noopener noreferrer">https://search.coe.int/cm/Pages/result_details.aspx?ObjectId=09000016807c65bf</a>
<a href="#_ftnref3" name="_ftn3">[3]</a> O Comitê é organismo europeu independente, criado para promover a cooperação entre as autoridades nacionais de proteção de dados dos Membros da UE e contribuir para a aplicação consistente das normas europeias em matéria de proteção de dados. Ele não se confunde com a Autoridade Europeia de Proteção de Dados.
<a href="#_ftnref4" name="_ftn4">[4]</a> Disponível em: <a href="https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_pt" target="_blank" rel="noopener noreferrer">https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/adequacy-decisions_pt</a>

ANPD

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Processos de cooperação criam espaços de atuação conjunta nos níveis técnicos e jurisdicionais

A ANPD e a indispensável rota de cooperação transnacional em proteção de dados

Processos de cooperação criam espaços de atuação conjunta nos níveis técnicos e jurisdicionais