Ricardo Campos

Rony Vainzof

A dinâmica da era digital exige regulações versáteis que proporcionem e fomentem, equilibradamente, segurança jurídica para os agentes econômicos e a proteção de direitos e garantias individuais.
Especialmente em legislações de proteção de dados pessoais, códigos de conduta setoriais e órgãos privados de monitoramento (monitoring body), que podem ser reconhecidos por autoridades públicas, representam importantes instrumentos regulatórios de forma a absorver melhor incertezas e desenvolver parâmetros consolidados de eficácia legal mediante a atuação de organizações especializadas nas práticas específicas do seu respectivo setor.
<a href="https://www.jota.info/produtos/poder?utm_source=Banner%20site&amp;utm_medium=Artigos&amp;utm_campaign=CTA_Poder_materias"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>
É necessário repensar as categorias e institutos centrais do Estado a partir das condicionantes fáticas da nova sociedade informacional. Já há alguns anos anuncia-se, por exemplo, dentro do direito administrativo, uma tendencial mudança do seu significado<a href="#_ftn1" name="_ftnref1">[1]</a>, pois, especialmente em âmbitos dinâmicos, tende a perder a tradicional estrita referência à norma como programa condicional, passando a ser mais um instrumento de estruturação procedimental de geração de conhecimento social.<a href="#_ftn2" name="_ftnref2">[2]</a>
Isso significa que, dada a alta complexidade de determinados setores da sociedade, em certas áreas do direito público, a administração e o Estado devem primeiramente gerar conhecimento necessário para a aplicação do regime jurídico que as governam.<a href="#_ftn3" name="_ftnref3">[3]</a>
Seguindo a conhecida formulação de Peter Häberle<a href="#_ftn4" name="_ftnref4">[4]</a>, no plano hermenêutico e estrutural, no ambiente digital, o direito necessitaria de uma “sociedade aberta de produtores de normas” e não apenas uma “sociedade aberta de interpretes da constituição”, no qual o Estado e a sociedade estariam mais próximo de relação de complementariedade normativa do que de um modelo tradicional, no qual o Estado propriamente dito impõe padrões próprios através de programas condicionais aos setores da sociedade<a href="#_ftn5" name="_ftnref5">[5]</a>.
A produção de padrões normativos de forma cooperativa entre Estado e sociedade significa que entes privados e particulares, nos ordenamentos jurídicos modernos, não surgem apenas como destinatários da produção regulatória estatal, mas atuam como parceiros e atores ativos na construção conjunta de um sistema de governança adequado para setores dinâmicos da sociedade<a href="#_ftn6" name="_ftnref6">[6]</a>. Isso se vê claramente no caminho europeu da proteção de dados sob influência alemã e que tem se acentuado nos últimos anos<a href="#_ftn7" name="_ftnref7">[7]</a>.
Dois importantes exemplos práticos recentes da Europa, especificamente o “Privacy Code of Conduct on mobile health apps”<a href="#_ftn8" name="_ftnref8">[8]</a> e o “EU Cloud Code of Conduct”<a href="#_ftn9" name="_ftnref9">[9]</a>  são precedentes relevantes para que o instituto importado do direito europeu, constante no Art. 50 da LGPD<a href="#_ftn10" name="_ftnref10">[10]</a>, possa realmente lograr efetividade jurídica.<a href="#_ftn11" name="_ftnref11">[11]</a>
O “Code of Conduct on privacy for mobile health applications”, adotado pela Comissão da União Europeia em 07.06.16, foi elaborado com base em um amplo processo de definição de normas moderado pela Comissão Europeia e envolvendo um grande número de diferentes stakeholders seguindo os parâmetros do Artigo 27 (3) da Diretiva de Proteção de Dados de 1995 (46/95). Seu escopo abrange as aplicações mHealth nas quais os dados pessoais de saúde são processados e comunicados a terceiros para fins medicinais.<a href="#_ftn12" name="_ftnref12">[12]</a> Em termos de padrões de proteção de dados, o código tornou claro para o setor como as diretrizes e princípios fundamentais de proteção de dados, ou seja, os princípios de consentimento livre e esclarecido, limitação da finalidade e minimização de dados, seriam aplicáveis às particularidades destes aplicativos influenciando também a perspectiva dos seus desenvolvedores. Entretanto, o Working Party 29, ao receber requisição de parecer oficial pela Comissão Europeia, não reconheceu o referido código de conduta por considerar não estar em conformidade com o novo Regulamento Geral de Proteção de Dados europeu (RGPD) e por não dispor de um arranjo institucional abrangente com sistema e mecanismos de enforcement setorial do código de conduta (monitoring body).<a href="#_ftn13" name="_ftnref13">[13]</a>
O segundo caso (EU Cloud Code of Conduct - CoC) é o mais atual, promissor e instigante exemplo prático de código de conduta dentro do regime de proteção de dados. Foi aprovado em 19 de maio deste ano pelo Conselho Europeu de Proteção de Dados e autorizado formalmente pela Autoridade Belga, órgão líder de acordo com o regime de competências do RGPD. O código gira em torno da criação de níveis de confiança para provedores de serviços em nuvem. A aprovação não decorreu unicamente da qualidade do código de conduta em si, mas especialmente do sistema de governança independente montado em torno do monitoring body. Este tem a função constante de garantir real eficácia e aplicabilidade do código de conduta dentro da rede de associações e empresas parte no código de conduta. O órgão de supervisão setorial tornou-se o pilar central do instituto do código de conduta se distanciando assim da primeira onda de códigos de conduta na Europa, sem real eficácia jurídica.
A entidade privada supervisora chancelada pela autoridade belga foi a Scope Europe, que opera como órgão de monitoramento do código para garantir a conformidade dos membros, com as seguintes funções:
<ul>
<li>Revisar e verificar a conformidade das organizações declaradas aderentes ao Código;</li>
<li>Monitorar regularmente se as organizações aderentes estão em conformidade com o Código;</li>
<li>Analisar e decidir reclamações sobre violações ao Código por parte das organizações aderentes;</li>
<li>Estabelecer procedimentos e estruturas para lidar com reclamações sobre infrações ao Código, ou a forma como o Código foi/está sendo implementado pelas organizações, e comunicar com transparência esses procedimentos e estruturas;</li>
<li>Implementar procedimentos e estruturas que evitem conflitos de interesses;</li>
<li>Tomar as medidas adequadas contra uma organização em caso de violação ao Código ou no caso de não fornecimento das informações necessárias para analisar uma possível violação; e</li>
<li>Atuar como mediador entre as associadas e autoridades de proteção de dados, de maneira centralizada e independente.</li>
</ul>
O Brasil, seguindo a tradição europeia<a href="#_ftn14" name="_ftnref14">[14]</a>, introduziu a possibilidade de coprodução normativa setorial em proteção de dados. O art. 50 da LGPD elenca diversos elementos e balizas para o instituto dentro da ordem jurídica da norma brasileira. Já em seu §3º, estabelece que regras de boas práticas e de governança poderão ser reconhecidas e divulgadas pela autoridade nacional. A LGPD não prevê, mas também não veda a criação do monitoring body.
Há paradoxalmente um perigo e uma oportunidade do instituto dentro do contexto brasileiro pela ausência de previsão do monitoring body. Seguirmos a infeliz primeira onda europeia de códigos de conduta como, parafraseando Ferdinand Lassalle, uma mera folha de papel. Ou a chance, como ocorreu com o Cloud Act na Europa, em reconhecer que um código de conduta com uma estrutura de governança independente do setor econômico, além da própria Autoridade Nacional de Proteção de Dados, faz-se parte essencial para garantir a efetividade da regulação setorial.
Esse desenvolvimento traz consigo consequências regulatórias evidentes para o Estado, para a economia setorial e acima de tudo para a ANPD. Com a operacionalização do código de conduta por um monitoring body independente, ocorre uma clara diminuição de custos para a autoridade de proteção de dados com relação à sua atividade fiscalizadora<a href="#_ftn15" name="_ftnref15">[15]</a> uma vez que uma primeira fiscalização já ocorre no plano privado setorial do código de conduta. Nesse contexto, a autoridade de dados, no caso brasileiro a ANPD, se transforma em um metarregulador, operando numa segunda ordem de observação se o sistema de governança do monitoring body de fato está agindo de forma eficiente e eficaz. Também gera-se, concomitantemente, segurança jurídica para um cadeia de operadores, controladores e nos indivíduos titulares dos dados<a href="#_ftn16" name="_ftnref16">[16]</a>.
Portanto, códigos de conduta e o monitoring body modernizam modelos regulatórios subvertendo o cenário baseado em comando e controle do Estado, que deixa de ter o monopólio da regulamentação e fiscalização econômica e dos bens jurídicos, porém permanece como observador/garantidor do cumprimento normativo.
Qual será o caminho a ser tomado pelo Brasil nesse assunto?
<div id="sdr-inbound-form-artigos-impacto-nas-instituicoes-8c5227dd4ede3347a6c6" role="main"></div>
<script type="text/javascript" src="https://d335luupugsy2.cloudfront.net/js/rdstation-forms/stable/rdstation-forms.min.js"></script> 
<script type="text/javascript"> new RDStationForms('sdr-inbound-form-artigos-impacto-nas-instituicoes-8c5227dd4ede3347a6c6', 'UA-53687336-1').createForm();</script>
<hr />
&nbsp;
<a href="#_ftnref1" name="_ftn1">[1]</a> Antes visto como uma ciência das normas (Verwaltungsrechtswissenschaft als Normwissenschaft), que por conta de sua necessária referência à realidade em constante transformação, tem transformado sua própria natureza para se adequar às demandas do seu objeto (realidade).
<a href="#_ftnref2" name="_ftn2">[2]</a> Burkard Wollenschläger, Wissensgenerierung im Verfahren. Mohr Siebeck 2009, p. 37 e ss. Ver também Ricardo Campos, Prozeduralisierung als Wissens-Fertigung im Recht, em: Kritische Justiz, 2019, p. 400 e ss.
<a href="#_ftnref3" name="_ftn3">[3]</a> Tradicionalmente, a administração se valia de categorias centrais como Pessoa, atividade para cumprimento de fins públicos na relação entre individuo e Estado. Atualmente cada vez mais comunicação, conhecimento e informação passam a figura como conceitos chaves na administração pública da sociedade informacional. Para os conceitos tradicional de administração pública ver W. Jellinek, Verwaltungsrecht, 3 edição 1931, reimpressão de 1966, p. 1 ss. E também Ernst Forsthoff, Lehrbuch does Verwaltungsrechts, tomo 1, parte geral, 10 edição, passim.
<a href="#_ftnref4" name="_ftn4">[4]</a> Peter Häberle, Die offene Gesellschaft der Verfassungsinterpreten, JZ 1975, p. 297 ss.
<a href="#_ftnref5" name="_ftn5">[5]</a> Dentro da tradição jurídica ocidental, a questão a produção ou competência para produção de normas por privados sempre foi tema controverso e constante. Para tanto ver Stefan Meder, Ius non scriptum – Traditionen privater Rechtsetzung, Mohr Siebeck 2008, p. 10 ss. : „[…] es wäre wohl kaum übertrieben, die Frage nach den Rechtsetzungskompetenzen von Privaten als eines der wichtigsten Probleme von Rechtsbildung und juristischer Entscheidungsfindung zu bezeichnen.“
<a href="#_ftnref6" name="_ftn6">[6]</a> Wolfram Höfling, Professionelle Standards und Gesetz, em: Hans-Heinrich Trute, Thomas Groß, Hans Christian Röhl, Christoph Möllers (Orgs.), Allgemeines Verwaltungsrecht – zur Tragfähigkeit eines Konzepts, (2008), p. 45 e 48.
<a href="#_ftnref7" name="_ftn7">[7]</a> Martini, Do it yourself im Datenschutzrecht. Der „GeoBusiness Code of Conduct“ als Erprobungsfeld regulierter Selbstregulierung, NVwZ 2016, 353, 354.
<a href="#_ftnref8" name="_ftn8">[8]</a> <a href="https://digital-strategy.ec.europa.eu/en/policies/privacy-mobile-health-apps">https://digital-strategy.ec.europa.eu/en/policies/privacy-mobile-health-apps</a>.
<a href="#_ftnref9" name="_ftn9">[9]</a> <a href="https://eucoc.cloud/en/home/">https://eucoc.cloud/en/home/</a>
<a href="#_ftnref10" name="_ftn10">[10]</a> Art. 50. Os controladores e operadores, no âmbito de suas competências, pelo tratamento de dados pessoais, individualmente ou por meio de associações, poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais.
<ul>
<li>
3º As regras de boas práticas e de governança deverão ser publicadas e atualizadas periodicamente e poderão ser reconhecidas e divulgadas pela autoridade nacional.
</li>
</ul>
<a href="#_ftnref11" name="_ftn11">[11]</a> Esse desenvolvimento é antigo e já ocorria mesmo antes do Regulamento Geral de Proteção de Dados de 2016 (RGPD) seguindo a tradição alemã do instituto da autorregulação regulada ou corregulação. Para tanto ver Alexander Roßnagel, Das neue Datenschutzrecht, Baden-Baden, Nomos 2019, Capitulo 3 notas marginais 36 e seguintes, 53 e seguintes, l. No Brasil, sobre autorregulação regulada ver Ricardo Campos e Georges Abboud, A autorregulação regulada como modelo do Direito proceduralizado. Em: Ricardo Campos, Georges Abboud, Nelson Nery Jr (Orgs.) Fake News e Regulação. RT 2018, p. 19 ss.
<a href="#_ftnref12" name="_ftn12">[12]</a> Gassner, Software als Medizinprodukt – zwischen Regulierung und Selbstregulierung, Medizin Produkte Recht (2016), 109, 114.
<a href="#_ftnref13" name="_ftn13">[13]</a> <a href="https://digital-strategy.ec.europa.eu/en/policies/privacy-mobile-health-apps">https://digital-strategy.ec.europa.eu/en/policies/privacy-mobile-health-apps</a>
<a href="#_ftnref14" name="_ftn14">[14]</a> Art. 27 da diretiva de 1995 e dos arts. 40 e ss. do RGPD.
<a href="#_ftnref15" name="_ftn15">[15]</a> Ver ST 5419 2016, REV 1 ADD - 2012/2011 (OLP), cifras 5.6
<a href="#_ftnref16" name="_ftn16">[16]</a> Kranig, Peeintinger Zeitschrift für Datenschutz, 2014, p. 8.

proteção de dados

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

É necessário repensar as categorias e institutos centrais do Estado a partir das condicionantes fáticas da nova sociedade informacional

Códigos de conduta e a segurança jurídica em proteção de dados

Códigos de conduta setoriais representam importantes instrumentos regulatórios, especialmente em legislações de proteção de dados pessoais