João Rodrigo Stinghen

Como <a href="https://www.jota.info/opiniao-e-analise/artigos/cartorios-e-protecao-de-dados-introducao-27022020" target="_blank" rel="noopener noreferrer">visto no artigo anterior</a>, a proteção de dados é matéria que está dentre as mais importantes na sociedade contemporânea. Assim, é natural que os diversos países busquem implementar seu próprio sistema de proteção de dados, de maneira adaptada aos princípios e valores de seu povo.
Noutro viés, considerando que o tratamento de dados pessoais atualmente se vale da internet (a World Wide Web), que ocorre num mundo globalizado e que é praticado em grande medida por empresas multinacionais é evidente seu caráter transnacional. Portanto, as entidades supranacionais têm papel fundamental na criação de um arcabouço normativo sobre essa matéria com integração e efetividade.
<ul class="jota-article__internal-links">
<li>+JOTA <a href="https://www.jota.info/degustacao/contato-poder">Sua organização está preparada para 2020? Com o JOTA PRO, milhares de profissionais antecipam o impacto de decisões judiciais no seu planejamento do ano. Entre em contato e faça um diagnóstico!</a></li>
</ul>
Sem dúvidas, a General Data Protection Regulation (GPDR) é a normativa mais influente, convindo uma análise mais detalhada no que puder contribuir ao estudo da proteção de dados no âmbito das serventias extrajudiciais. É evidente que a GDPR não se aplica em solo brasileiro, mas levando em consideração sua influência mundial – bem como o fato de que a LGPD ter se baseado nela em vários aspectos –, é interessante ao menos orientar-se segundo seus princípios mais basilares.
Todavia, antes de analisar esse diploma, convém rápido vislumbre da proteção de dados em outras nações, a fim de alargar o espectro de conhecimentos sobre a matéria, possibilitando um juízo mais crítico sobre os institutos que envolvem a proteção de dados.
***
Na América Latina, dos diversos países que contemplam legislações sobre proteção de dados, o Brasil é um tanto quanto atrasado, pois passou a prever sistematicamente tal matéria apenas em 2018 (em norma com vigência apenas para 2020), enquanto noutros países já havia legislação muito antes.
No Chile a Lei nº 19.628 (de 1999) prevê direitos ARCO (acesso, retificação, cancelamento e oposição), além da responsabilização de controladores de dados em caso de danos. Existe uma diferenciação, na lei, entre o tratamento feito para fins particulares e pelo Poder Público, bem como a limitação da divulgação de dados sensíveis, como relacionados a condenações (após certo lapso temporal).
Na Argentina a Lei nº 25.326 (de 2000) também contempla direitos clássicos, assim como o consentimento (livre e expresso), o qual é dispensado para utilização de dados pelo Estado por questão de interesse público (sobretudo no caso de segurança nacional ou segurança pública). A legislação foi atualizada em 2018, para se adequar aos padrões da GPDR.
No México, a Ley Federal de Protección de Datos Personales (de 2010) prevê uma estrutura ampla de proteção de dados, que abrange os clássicos direitos ARCO e a criação do Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales.  O INAI é muito ativo e rigoroso, pois – segundo dados divulgados em sua página institucional – a cada ano instaura dezenas de procedimentos para proteção de dados, impondo sanções que, somadas, chegam a milhões de dólares.
<blockquote class="jota-article__eye">No Brasil, a Constituição Federal de 1988 contempla alguns direitos associados ao sigilo e à privacidade como direitos fundamentais.</blockquote>
Ao longo do tempo, foi ocorrendo a regulamentação de alguns direitos ligados à privacidade de modo não sistemático, por meio de leis esparsas. Os artigos 43 e 44 do CDC (Lei nº 8.078/1990), por exemplo, preveem direitos clássicos mas se circunscrevem a relações consumeristas. Já o Código Civil (Lei nº 10.406/2002) é importante por enquadrar a privacidade como direito da personalidade (em seu art. 21), mas não especifica mais direitos nesse sentido. A Lei de Acesso à Informação (Lei nº 12.527/2011) previu alguns direitos relativos ao sigilo, ao acesso a dados pessoais e a sua integridade, dentre outros.
De modo mais abrangente, o Marco Civil da Internet (Lei nº 12.965/2014) previu a proteção da privacidade e dos dados pessoais como princípios do uso da internet (art. 3º, incisos II e III respectivamente), bem como o direito dos titulares a informações claras e completas sobre o tratamento de seus (art. 7º, VIII). Ademais, previu a nulidade para cláusulas contratuais que impliquem ofensa à inviolabilidade e ao sigilo das comunicações privadas (art. 8º, parágrafo único).  Como se sabe, a sistematização ocorreu apenas em 2018 com a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei 13.709/2018), e ainda com dois anos de vacatio legis. Essa norma, contudo, será objeto de análise dos próximos artigos.
Voltando aos países estrangeiros, nos EUA não existe uma legislação federal sobre a proteção de dados em geral, mas apenas sobre temáticas específicas. Há décadas o Privacy Act of 1974 fixa as diretrizes para o tratamento de informações de identificação pessoal por agências governamentais, cuja coleta de é condicionada ao consentimento expresso e escrito, salvo em hipóteses taxativamente previstas na lei. Já o Electronic Communications Privacy Act of 1986  proíbe a interceptação de mensagens telefônicas ou eletrônicas, garantindo o sigilo em todas as etapas comunicativas, deste a transmissão até o armazenamento.
O Children's Online Privacy Protection Act of 1998 (COPPA), por sua vez, garante a privacidade de crianças e adolescentes de até 13 anos na internet. A lei contempla o dever de empresas disponibilizarem políticas de privacidade para este público, bem como de coletarem informações mediante consentimento dos pais, a quem compete exercer os direitos de privacidade dos filhos (acesso, correção, eliminação, etc).
Na Rússia a proteção de dados é um tanto quanto rigorosa. A Lei Federal nº 149-FZ (Lei da Informação) prevê o dever de as operadoras de telefonia móvel manterem o registro das gravações de todas as chamadas telefônicas e mensagens de texto por doze meses, com possibilidade de repasse à polícia e à inteligência russas – o que talvez revele certo comprometimento autoritário da privacidade nesse país quando se trata de questões de segurança pública.
A Roskomnadzor é a agência governamental responsável pela proteção de dados, tendo competências regulatórias e sancionatórias muito amplas, pois pode delimitar indenizações em âmbito civil sem necessidade de decisão judicial. A Lei Federal nº 242-FZ (Lei de Localização de Dados) gerou controvérsias ao obrigar os operadores de dados a armazenarem dados pessoais de cidadãos russos em servidores fisicamente localizados na Rússia. Tornou-se célebre o caso da rede Linkedin que, por se recusou a cumprir essa exigência legal, foi bloqueada no país.
É a proteção de dados tem especificadas em relação a cada país da Europa Ocidental, mas a GPDR é a normativa que mais tem repercussão mundial atualmente por diversas razões. Primeiramente, pelos conceitos que estabelece, que influenciam a interpretação dos institutos de proteção de dados mundialmente. De modo ainda mais concreto, a GPDR acaba aplicada além das fronteiras europeias pela mudança de política geral que provocou em diversas empresas multinacionais. Obrigadas a aderir aos termos da normativa para operarem no continente europeu, por questões de operacionalidade muitas empresas preferiram estender os direitos europeus a todos os seus usuários.
<blockquote class="jota-article__eye">Com efeito, a GDPR possui 99 artigos, sendo dividida em 11 capítulos, que contemplam conceitos e princípios relativos à proteção de dados, direitos dos titulares, responsabilizações por danos, agentes de tratamento, dentre vários outros temas.</blockquote>
No que ora interessa, convém mencionar os conceitos do artigo 4º, notadamente o de dados pessoais (informação relativa a uma pessoa singular identificada ou identificável) e o de tratamento de dados (operação ou um conjunto de operações efetuadas sobre dados pessoais por meios automatizados ou não automatizados).
Para fins de proteção de dados no âmbito dos cartórios, destaca-se a interessante concepção de arquivos de interesse público, pois aparentemente tais arquivos se assemelham ao que armazena em serventias extrajudiciais. Pois bem. A GDPR faculta um tratamento especial a tais arquivos, o que pode envolver o afastamento de algumas garantias dos titulares de dados. Segundo o item 3 do art. 89 da GDPR, podem ser afastados os direitos previstos nos artigos 15 (acesso), 16 (retificação), 18 (limitação do tratamento), 19 (a notificação de tratamento), 20 (portabilidade) e 21 (oposição).
Outra limitação envolve a relativização do princípio da finalidade. Como regra geral o artigo 5º 1, “b” da GDPR prevê que os dados não podem ser tratados de uma forma incompatível com as finalidades determinadas, explícitas e legítimas para os quais foram coletados. Porém, a segunda parte desse dispositivo prevê que não é considerado incompatível a ulterior utilização dos dados “para fins de arquivo de interesse público”.
É também relativizada a vedação ao tratamento de dados sensíveis (sobre: raça, etnia, opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, genética e biometria). Como regra geral, o item 1 do artigo 9º veda o tratamento desses dados, mas a alínea “j" o permite em arquivos de interesse público, desde que respeitada a “essência do direito à proteção dos dados pessoais” e tomadas as “medidas adequadas e específicas para a defesa dos direitos fundamentais e dos interesses do titular”.
Portanto, a respeito dessas limitações de direitos, algumas ressalvas precisam ser feitas. Isso porque o item 3 do art. 89 da GDPR: (i) possui funtor permissivo, aludindo que o tratamento dos arquivos de interesse público pode ou não envolver tais limitações; (ii) condiciona as limitações a previsão em normativas específicas; (iii) prevê que são reservados aos titulares dos dados as condições e garantias previstas no item 1 do artigo 89 (tais garantias envolvem a minimização do uso de dados e sua pseudonimização, desde que isso não torne impossível ou não prejudique gravemente a realização dos fins específicos do tratamento).
***
A partir dessa leitura das normativas alienígenas, é possível extrair algumas considerações para a prática de tratamento de dados nos cartórios brasileiros.
No caso da GDPR, apesar de prever uma série de limitações a vários direitos dos titulares tendo em vista o interesse público do tratamento de dados, a normativa sempre ressalva que deve ser respeitado o núcleo essencial do direito à proteção de dados, sobretudo quando há tratamento de dados sensíveis. Além disso, prevê que eventuais limitações aos direitos previstos como regra geral devem ser contempladas em legislações específicas.  Em suma: as ressalvas a título de interesse público não são “cartas brancas” para que direitos sejam arbitrariamente violados pelos agentes públicos de tratamento de dados, mas uma exceção a direitos que pode ocorrer sob hipóteses restritas, taxativamente previstas.
O núcleo desse direito é aquele que sempre aparece em todas as legislações, extraído dos direitos ARCO, dos princípios típicos da proteção de dados (finalidade, qualidade, consentimento, etc.), assim como do corpo básico de direitos humanos e fundamentais pertinentes a cada ordenamento.
Ainda, contemplando os demais sistemas de proteção de dados, sobretudo do México e da Rússia, é interessante notar o importante papel das agências de proteção de dados para a efetivação concreta desse direito, com repercussões que podem ser bem severas. No Brasil, embora a Autoridade Nacional de Proteção de Dados ainda não tenha saído do papel, é interessante ter em mente quais as sanções a que os agentes delegados podem estar sujeitos. Nesse contexto, convém recordar que os agentes delegados são equiparados a pessoas jurídicas de direito público para fins de tratamento de dados pessoais (art. 23, § 4º, LGPD). Além disso, no caso das serventias, o Poder Judiciário (em sua função fiscalizatória da atividade notarial e de registro) possivelmente desempenhará papel importante na proteção de dados pessoais, o que também pode gerar reflexos disciplinares e regulatórios (sobretudo no tocante ao CNJ).
Essas e outras questões, todavia, serão abordadas em detalhes nos artigos subsequentes desta série, bastando por ora o comparativo a título de direito comparado.
<h3>Bibliografia</h3>
Legislação de proteção de dados já é realidade em outros países, Agência Brasil, 07 mai. 2018. Disponível em: https://bit.ly/39rYOht. Acesso em: 04 mar. 2020.      
UENO. GDPR em Português.Disponível em: https://bit.ly/2ToJsVp. Acesso em: 04 mar. 2020.
República do Direito. Proteção de Dados Pessoais - Federação Russa. Disponível em: https://bit.ly/2wtrCHU. Acesso em: 04 mar. 2020.
ANTONIALLI, Denney; OLIVA, Thiago. Alteração do modelo de responsabilização dos intermediários de internet. JOTA. Opinião e análise. Disponível em: https://bit.ly/2IpzKfb. Acesso em: 04 mar. 2020.

europe-3220293_1920

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Fontes internas/externas sobre privacidade em cotejo com a estrutura jurídica dos cartórios. Texto 2 da série

Cartórios e proteção de dados: contexto normativo internacional

Fontes internas/externas sobre privacidade em cotejo com a estrutura jurídica dos cartórios. Texto 2 da série