Laura Matta

Iasmine Favaro

A recente publicação do Decreto de Estrutura Regimental da Autoridade Nacional de Proteção de Dados (ANPD) (o Decreto Nº 10.474, de 26 de agosto de 2020), complementado pela indicação de seus membros constituintes, foi uma notícia agridoce para os profissionais, pesquisadores e ativistas da área da proteção de dados pessoais.
Por um lado, a entrada em vigor da LGPD em 18 de setembro sem a consolidação da estrutura da Autoridade responsável por regular e versar sobre as questões relativas à interpretação da Lei - e de papel educacional essencial para a adequação das entidades públicas e privadas - crescia como uma preocupação relevante para os profissionais da área, de forma que a estruturação “emergencial” da ANPD foi bem recebida como uma espécie de medida de contenção de danos. Por outro lado, o conturbado processo de decisão no Poder Legislativo a respeito da data de entrada em vigor demonstrava o receio por parte dos diferentes setores em se adequar à Lei.
A composição do Conselho Diretor da ANPD também foi criticada quanto à sua capacidade de regular os mais diferentes temas que permeiam a proteção de dados pessoais, uma vez que três dos cinco diretores escolhidos pela Presidência da República têm histórico de atuação focado em questões específicas de cibersegurança e segurança pública. Nesse sentido, instalou-se uma inquietação quanto ao papel da ANPD e a insegurança jurídica que poderá permear o campo - visto que, apesar das sanções administrativas só serem aplicadas a partir de agosto de 2021, as gavetas do Poder Judiciário estão cada vez mais cheias de processos ligados à LGPD.
<script type="text/javascript" src="https://d335luupugsy2.cloudfront.net/js/rdstation-forms/stable/rdstation-forms.min.js"></script> 
<script type="text/javascript"> new RDStationForms('pro-poder-c9be31516b66ee6ab567', 'UA-53687336-1').createForm();</script>
Buscamos, portanto, abordar rapidamente alguns dos pontos de difícil interpretação no texto legislativo. Estes pontos provavelmente exigirão dedicação da ANPD - em articulação do seu Conselho Diretor e do Conselho Nacional de Proteção de Dados<a href="#_ftn1" name="_ftnref1">[1]</a> - para aumentar o nível de segurança jurídica que podemos esperar da LGPD. É nossa opinião que as controvérsias a respeito destes pontos deverão ser solucionadas o mais rápido possível, preferencialmente pela agência, em constante diálogo com as organizações da sociedade civil e o setor privado, uma vez que é ela o órgão de maior autoridade e qualificação técnica para a atividade de uniformização e esclarecimento dos conceitos da lei.
Definições de “controlador” e “operador” de dados
Um dos casos mais óbvios para o qual é necessária uma definição oficial é: quem exatamente será considerado operador de dados? Apenas entidades contratadas especificamente para realizar um tratamento pontual, de escopo contratualmente definido (por exemplo, para atividades de enriquecimento de dados ou uso dos dados para uma finalidade contratual particular)? Ou serão os provedores de aplicações, de forma geral, também considerados como operadores de dados? Sendo assim, provedores de ferramentas relacionadas a redes sociais ou ferramentas de gestão de trabalho serão responsabilizados solidariamente por violações à lei?
<ul class="jota-article__internal-links">
<li>+JOTA: <a href="https://www.jota.info/tudo-sobre/lei-geral-de-protecao-de-dados-pessoais" target="_blank" rel="noopener noreferrer">Tudo sobre LGPD</a></li>
</ul>
O entendimento pelos estudiosos da área é de que os provedores de aplicações de internet e sistemas de TI não deverão ser abrangidos pela categoria de “operadores de dados”, uma vez que isso teria o potencial de gerar uma cadeia quase infinita de responsabilização (sem mencionar que os deveres de registro em RoPA<a href="#_ftn2" name="_ftnref2">[2]</a> a respeito da relação controlador-operador poderiam tornar-se totalmente inviáveis).
Porém, a textura aberta dos termos na lei abre espaço para uma interpretação arbitrária por parte do Judiciário, que poderia optar por responsabilizar ou não responsabilizar as partes de um caso concreto de forma desordenada e casuística. É necessário que a ANPD se antecipe com a definição precisa do termo “operador de dados”, inclusive prevendo as hipóteses de exclusão de determinados agentes (por exemplo, os provedores de aplicações), a fim de evitar um turbilhão de controvérsias a esse respeito.
A responsabilidade civil do controlador e operador
O esclarecimento dos artigos relacionados à responsabilidade por danos na LGPD é de maior importância, dado que irá impactar diretamente (e financeiramente) as empresas cuja atividade depende do tratamento de dados pessoais. A ausência de responsabilidades claras pelos danos poderá dar origem a um deslocamento do poder de regular a questão para o Poder Judiciário, uma vez que os atores já litigam, de forma individual ou coletiva, enquanto a ANPD não trouxe, até o momento, nenhuma instrução a respeito da responsabilidade estabelecida na Lei.
Assim, fica à critério dos atores da Justiça, tais como o Ministério Público, juízes e desembargadores, fazer a integração regulatória e decidir acerca da interpretação dada à Lei Geral de Proteção de Dados, o que seria prerrogativa da Autoridade, especialmente pela sua natureza multissetorial.
Responsabilidade subjetiva ou objetiva
A responsabilidade na LGPD será subjetiva ou objetiva? O Código Civil estabelece que “aquele que, por ato ilícito (arts. 186 e 187), causar dano a outrem, fica obrigado a repará-lo”. Porém, em seguida, temos a ressalva “haverá obrigação de reparar o dano, independentemente de culpa, nos casos especificados em lei, ou quando a atividade normalmente desenvolvida pelo autor do dano implicar, por sua natureza, risco para os direitos de outrem”<a href="#_ftn3" name="_ftnref3">[3]</a>.
Ou seja, o modo normal de responsabilização do Código Civil se dá pela demonstração de culpa do agente em produzir o dano, por responsabilização subjetiva. Os casos de responsabilidade objetiva são excepcionais, e devem ser determinados, seja pela lei ou pelo Judiciário, quando da determinação de que uma atividade implica, por sua natureza, riscos para os direitos de outrem.
São as chamadas atividades de risco - como aquelas que representam riscos, por exemplo, à segurança ou à saúde dos funcionários encarregados de realizá-la. Por um lado, podemos perguntar se o mero tratamento de dados pessoais, a despeito da sua penetração em basicamente todos os setores de atividade econômica, será considerado uma atividade de risco, acarretando a responsabilização objetiva. Alguns estudiosos já se manifestaram no sentido de que sim, devido à importância da tutela dos direitos fundamentais que justificam a proteção de dados pessoais.
E ainda ressaltam que podemos conceber que as irregularidades no tratamento de dados e a forma da relação entre agente de tratamento e titular se assemelham, em muito, aos danos por fato do produto em uma relação de consumo (matéria que é objetivamente responsabilizada no Código de Defesa do Consumidor). Uma definição da ANPD quanto às atividades específicas envolvendo o tratamento de dados que se enquadrem como “atividades de risco” certamente seria benéfica para solucionar esta controvérsia.
Operador “solidariamente responsabilizado”
Literalmente, a LGPD estabelece que “o operador responde solidariamente pelos danos causados pelo tratamento quando descumprir as obrigações da legislação de proteção de dados ou quando não tiver seguido as instruções lícitas do controlador”.
O que isto quer dizer? É certo que a responsabilidade civil por danos causados a terceiros em virtude do descumprimento contratual, em qualquer contrato padrão, caberia à parte que ocasionou o dano - sem qualquer necessidade do instituto da “responsabilidade solidária”. A não ser que os contratos estabeleçam uma cláusula de isenção de responsabilidade em sentido contrário, este seria sempre o padrão. Se não houver responsabilização objetiva na LGPD (como seria esperado), em virtude da lei civil, cada um dos agentes de tratamento responderia proporcionalmente, na medida em que cometer ato ilícito ou descumprir o contrato. Por que então falar sobre “responsabilidade solidária”?
<blockquote class="jota-article__eye">Será que a “responsabilização solidária” do operador significa que as cláusulas de isenção de responsabilidade que poderiam ser pactuadas entre controlador e operador deverão ser nulas?</blockquote>
Colocado de outra forma, por que se utilizar da figura da responsabilidade solidária, quando, nas hipóteses de ato ilícito ou descumprimento citadas no inciso, a responsabilização do operador poderia ser feita normalmente, a partir da demonstração de sua culpa? Se o operador é responsabilizado apenas quando age contrariamente à lei ou ao contrato com o operador, trata-se de uma hipótese normal de responsabilidade civil, sem de nenhuma forma incorrer em solidariedade.
Talvez a LGPD tenha feito mau uso do termo “responsabilidade solidária”, visando apontar, apenas, que em caso de responsabilidade do operador em relação ao dano, este poderá ser integralmente responsabilizado pelo titular ainda que, de alguma forma, deseje exercer direito de regresso perante o controlador de dados - imputando-lhe um maior grau de responsabilidade pela atividade de tratamento em questão. Se é isto que a LGPD visou determinar, a matéria deverá ser esclarecida, de modo que as empresas entendam o nível de risco em que incorrem ao entrar em contratos controlador-operador e possam estabelecer as cláusulas necessárias à sua proteção e conformidade legal.
Controlador “diretamente envolvido”
A LGPD também estabelece que os controladores de dados serão solidariamente responsáveis “quando estiverem diretamente envolvidos no tratamento do qual decorreram danos ao titular dos dados respondem solidariamente”. O que a lei quer dizer com “diretamente envolvidos”? Sabemos pela própria redação da lei que a relação entre operador e controlador de dados só se dá de maneira lícita e regular quando o operador realiza tratamento “em nome do controlador”[1] e “segundo [suas] instruções”[2].
Sendo assim, não está o controlador sempre diretamente envolvido no tratamento de dados? É necessária regulação no sentido de dar conteúdo aos termos empregados, delineando o que será considerado pela ANPD como envolvimento direto ou indireto do controlador no tratamento de dados.
As bases legais para o tratamento de dados
Também é de fundamental importância a regulação a respeito das bases legais para o tratamento de dados, encontradas nos artigos 7 e 11 da LGPD. As bases legais definem as únicas hipóteses em que uma atividade de tratamento poderá ser feita de maneira lícita, e alguns parágrafos estabelecem diferentes restrições conforme a justificativa de tratamento apresentada. Portanto, para determinar se os agentes de tratamento agem de maneira regular e legal, é imperativo que tenhamos boas definições sobre o que quer dizer cada uma das bases legais da LGPD. Vamos nos focar em algumas bases especialmente críticas.
Consentimento
O consentimento do titular é uma das bases legais para o tratamento de seus dados. Mas quais tipos de atividades poderão ocorrer apenas mediante o consentimento do titular? De certa forma, quase qualquer tratamento que gere algum tipo de benefício ao titular poderia ser justificado como um tipo de ”contrato informal” entre controlador e titular. Da mesma forma, o tratamento que ocorrer por interesse exclusivo do controlador poderia, em tese, ser sempre enquadrado como “legítimo interesse”.
Porém, é possível que algumas formas de tratamento se revelem danosas demais para serem justificadas por estas bases, exigindo o consentimento prévio e explícito do titular. A jurisprudência certamente terá um papel definitivo em especificar as hipóteses de consentimento obrigatório para a aplicação da lei a longo prazo, mas cabe à ANPD apontar as diretrizes que deverão orientar a satisfação destas exigências.
Execução de contrato
Quais os limites daquilo que será definido como uma atividade “necessária ao cumprimento de um contrato”? A avaliação de risco de um fornecedor anterior à contratação poderá ser enquadrada como atividade preliminar à execução de contrato? Ou seria este um caso paradigmático de interesse legítimo do agente de tratamento?
Em que medida contratos não verbais (serviços rotineiros prestados a clientes, promoções, etc.) se enquadram neste inciso? Também é importante que sejam melhor definidos os contornos do que será considerado um “procedimento preliminar relacionado a [um] contrato” em termos daquilo que for julgado como essencial ou meramente anterior à sua celebração.
Legítimo Interesse
O “legítimo interesse” é o maior tipo em branco da LGPD e não há dúvidas de que a ANPD estará atenta a regulá-lo e defini-lo com maior precisão. A experiência europeia, inclusive, nos mostra a eficiência desta técnica legislativa. É certo que o interesse legítimo será avaliado, tal como delineado pelos padrões internacionais de proteção de dados, por uma avaliação de proporcionalidade entre os interesses do controlador e o interesse dos titulares no sentido de proteger seus direitos de privacidade.
Mas este também segue como um dos principais pontos de atenção a serem endereçados pelas normas e regulamentos da ANPD. Algumas atividades que poderão ser incluídas ou excluídas do “legítimo interesse” por definição regulatória no Brasil serão: publicidade direcionada, avaliação de risco de crédito, retenção de documentos para defesa de interesses das empresas em contextos que não envolvem os procedimentos judiciais, administrativos e arbitrais citados no inciso VI do art. 7º.
Também cabe dizer que a adoção da base legal do legítimo interesse traz consigo a necessidade de realização de uma série de etapas de validação, além de demandar a produção de um Relatório de Impacto à Proteção de Dados (RIPD) que, mesmo em países com autoridades nacionais de proteção de dados consolidadas, tem sido uma ferramenta de difícil implementação - sendo também responsabilidade da autoridade estabelecer as diretrizes e parâmetros específicos para a elaboração do relatório em cada setor.
Dados Pessoais Sensíveis
Há alguns termos empregados na definição dos “dados pessoais sensíveis” que podem suscitar dúvidas quanto à aplicação da lei<a href="#_ftn4" name="_ftnref4">[4]</a>. Por exemplo, “organização de caráter político” inclui dados relacionados à nacionalidade? Neste caso, grande parte dos registros meramente cadastrais incluiriam informação de natureza sensível, sujeitas a um regime especialmente restritivo. Também podemos perguntar, por exemplo, se a identidade de gênero será considerada como dado sensível - embora o artigo mencione apenas a informação “referente à vida sexual” dos indivíduos.
O que será considerado como dado biométrico? Sabe-se que os dados biométricos são aqueles que identificam uma pessoa a partir de uma característica física imutável, ou seja, é um tipo especial de dado na medida em que um indivíduo não pode apenas livrar-se daquela informação ou alterá-la, como poderia fazer, por exemplo, com uma senha de smartphone. Nesse sentido, é de extrema importância que a ANPD regule as salvaguardas que devem ser adotadas ao se processar dados biométricos, como, por exemplo, em tecnologias de reconhecimento facial.
Diversas outras questões podem ser suscitadas quanto aos termos pretendidos na LGPD. A ANPD ainda terá que definir, por exemplo, (i) os requisitos para registro das atividades de tratamento exigido no art. 37, (ii) as diretrizes para interpretação do que constitui a “transferência internacional de dados” indicada no art. 33 e seguintes, (iii) as normas e padrões para retenção e descarte de dados pessoais, (iv) as hipóteses de direito e formas aceitáveis de revisão da decisão automatizada, entre outros tópicos de maior ou menor relevância para as empresas, os titulares e os aplicadores da lei.
Esperamos, no entanto, que a tentativa de resumir e apontar alguns dos maiores pontos de potencial controvérsia possa servir para um melhor conhecimento da LGPD e algumas de suas indeterminações e obscuridades.
<hr />
O episódio 46 do podcast Sem Precedentes discute se o contrato de trabalho intermitente é ou não constitucional. Ouça:
https://youtu.be/o8E3sXtx7j0
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> O Conselho Nacional de Proteção de Dados será de extrema importância para a boa produção regulatória intersetorial que será esperada da ANPD, pois conterá representantes de todos os setores interessados na regulação da proteção de dados.
<a href="#_ftnref2" name="_ftn2">[2]</a>RoPA é a sigla em inglês para Record of Processing Activities, um documento de registro centralizado de atividades de tratamento de dados pessoais, exigido na LGPD em seu artigo 37. Os modelos oficiais para RoPA (também, por vezes, referidos como “Mapeamentos” ou “Inventários” de dados pessoais) ainda não foram definidos pela ANPD, mas os modelos internacionais adequados à GDPR já exigem a indicação de quaisquer operadores que acessem os dados de um fluxo em específico.
<a href="#_ftnref3" name="_ftn3">[3]</a> Artigo 927 e seu inciso I do Código Civil.
<a href="#_ftnref4" name="_ftn4">[4]</a>O Art. 5º, inciso II da LGPD diz: “dado pessoal sensível: dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural”.

Telefonia

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Instalou-se uma inquietação quanto ao papel da ANPD e a insegurança jurídica que poderá permear o campo

A ANPD está constituída. E agora?

A ANPD está constituída. E agora? Instalou-se uma inquietação quanto ao papel da ANPD e a insegurança jurídica que poderá permear o campo