Bruna Manhago Serro

A recente entrada em vigor da Lei 13.709/18 (Lei Geral de Proteção de Dados – LGPD) no Brasil acompanha um movimento mundial<a href="#_ftn1" name="_ftnref1">[1]</a> de edição de legislações de proteção de dados. Diversas são as novas obrigações impostas aos controladores e operadores de dados, incluindo-se neste conceito de agentes do tratamento grande parte das empresas brasileiras, públicas ou privadas.
Para atender a complexidade da nova Lei estas empresas vêm passando por processos de compliance e implementação dos requisitos inerentes aos processos de tratamento de dados. Um destes requisitos é a legitimação de bases de dados pessoais já existentes, como, por exemplo, listas de e-mails que eram utilizadas por empresas, organizações e entidades para comunicação, informação e oferecimento de produtos e serviços aos titulares.
<a href="https://conteudo.jota.info/poder-contato"><img class="aligncenter wp-image-244336 size-full" src="https://www.jota.info/wp-content/uploads/2020/04/cta-risco-politico.png" alt="" width="1080" height="1080" /></a>
A base mais comumente utilizada para legitimação deste tipo de envio de informações é o consentimento. Por esta razão, nas últimas semanas, tornou-se comum receber e-mails de empresas nas quais os titulares tem cadastros, informando a estes a entrada em vigor da LGPD, a existência dos dados nas bases da empresa, a finalidade do uso destes dados e dando ao titular a opção de consentir ou não com a continuidade do envio de informações com aquela finalidade determinada.<a href="#_ftn2" name="_ftnref2">[2]</a>
A opção de consentimento em avisos de privacidade é normalmente vinculada a um link para que seja possível registrar tecnicamente o consentimento, o que também é uma exigência da LGPD, e permite, caso haja posterior pedido de esclarecimentos pelo titular, responder a solicitação apresentando as informações quanto ao consentimento específico concedido.
Ocorre que este pedido de consentimento, em diversos casos, vem sendo requerido através do procedimento de envio de e-mails com opção apenas de retirada do consentimento, presumindo o controlador que, caso não haja “opt-out” do titular, este estaria de acordo com o tratamento dos seus dados naqueles moldes. Assim optaram algumas empresas, possivelmente de modo a evitar perder boa parte de suas bases, por gerenciar um consentimento por omissão dos titulares.
Em que pese a LGPD não referir claramente a impossibilidade do consentimento ser validado por omissão, diversos requisitos inerentes à utilização desta base legal para o tratamento dos dados pessoais nos fazem concluir que o procedimento não encontra respaldo legal.
<blockquote class="jota-article__eye">Ou seja, bases validadas por omissão dos titulares não possuem, de fato, consentimento lícito.</blockquote>
Isto porque o consentimento, para ser válido, precisa ser manifestado livremente, informado e inequívoco (art. 5º XII da LGPD), sendo o modo pelo qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada.
Caso haja mais de uma finalidade, e sendo o consentimento a base legítima para o tratamento, todas deverão ser identificadas conforme cada uma das operações de tratamento que se pretende realizar.
Para o consentimento ser livre e inequívoco, não pode haver qualquer tipo de indução ou coação por parte dos controladores no momento da coleta do consentimento. Ou seja, não cabe presumir o consentimento e requerer do titular que este o negue, esperando que seja este ato entendido como livre.
Outro ponto controverso seria a execução dos direitos do titular, especialmente o dever do controlador em fornecer ao titular confirmação da existência de tratamento, informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa, além da possibilidade de revogação do consentimento.
Para a confirmação quanto à base legal que estaria pautando o tratamento, o controlador teria que apresentar prova da omissão do titular, o que não se presta em nenhuma forma aos preceitos do consentimento livre e inequívoco.
A Autoridade Nacional de Proteção de Dados ainda não está agindo em defesa dos titulares no Brasil para elucidar questões como a validade do consentimento por omissão e fiscalizar as empresas, mas há casos similares já analisados no âmbito de aplicação do Regulamento Geral de Proteção de Dados Europeu (GDPR). Exemplo é o julgamento do caso da caixa pré-marcada no consentimento para coleta de dados pessoais por cookies em páginas de internet, ocorrido em outubro de 2019.
A Federação Alemã de Organizações de Consumidores contestou perante os tribunais alemães a ação de uma empresa que disponibilizava caixa de seleção pré-marcada para oferecimento de jogos promocionais, através da qual os usuários do site que desejassem participar poderiam consentir com o armazenamento de cookies com finalidades pouco informadas.<a href="#_ftn3" name="_ftnref3">[3]</a> Os cookies em questão visavam coletar informações para fins de publicidade de produtos dos parceiros da empresa.
O Tribunal Federal de Justiça da Alemanha requereu ao Tribunal de Justiça Europeu que interpretasse a GDPR para analisar a legalidade da ação. No julgamento, o Tribunal Europeu decidiu que o consentimento que um usuário do site deve dar ao armazenamento e o acesso a cookies em seu equipamento não pode ser validamente constituído por meio de uma caixa de seleção pré-marcada em que o usuário deve desmarcar para recusar seu consentimento. Em trecho do dispositivo do julgado, é expressa afronta aos preceitos legais na prática de caixas pré-marcadas para coleta de dados utilizando cookies:
O artigo 2º, alínea f), e o artigo 5º, nº 3, da Diretiva 2002/58/CE do Parlamento Europeu e do Conselho, de 12 de julho de 2002, relativa ao tratamento de dados pessoais e à proteção da privacidade no setor das comunicações eletrónicas (Diretiva relativa à privacidade e às comunicações eletrónicas), conforme alterada pela Diretiva 2009/136/CE do Parlamento Europeu e do Conselho, de 25 de novembro de 2009, lidos conjuntamente com o artigo 2º, alínea h), da Diretiva 95/46/CE do Parlamento Europeu e do Conselho, de 24 de outubro de 1995, relativa à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, bem como com o artigo 4º, ponto 11, e o artigo 6º, nº 1, alínea a), do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46 (Regulamento Geral sobre a Proteção de Dados), devem ser interpretados no sentido de que o consentimento a que essas disposições se referem não é validamente dado quando o armazenamento de informações ou o acesso a informações já armazenadas no equipamento terminal do utilizador de um sítio Internet, por intermédio de cookies, são autorizados mediante uma opção pré-validada que esse utilizador deve desmarcar para recusar o seu consentimento. (Grifo nosso).
A decisão destaca, ainda, que o consentimento deve ser específico para que o usuário selecione a opção para participar de uma loteria promocional, não sendo suficiente que o usuário valide seu consentimento para o armazenamento de cookies em uma caixa com opção pré-marcada.
Esta importante decisão rompeu barreiras há muito tempo utilizadas pelas empresas como forma de induzir o titular a consentir com a coleta de cookies e demais dados pessoais e pode ser aplicada por analogia ao caso dos e-mails que pretendem legitimar bases de dados por omissão no contexto da LGPD. Os dados pessoais, que antes deste posicionamento da Corte Europeia eram coletados com base na passividade dos titulares ao não executarem a desmarcação para desautorizar a coleta de cookies, passaram a ter sua coleta através dos cookies possível somente com a participação ativa do usuário.
O julgamento do Tribunal de Justiça Europeu trouxe a consagração de que o consentimento livre e informado não inclui qualquer medida que altere a percepção e o contexto do titular de dados na tomada de decisões, inadmitindo que esta aconteça em um ambiente formatado para que haja indução a uma escolha que não esteja baseada no mais claro conhecimento de suas consequências, como é o caso de validar consentimento por omissão na legitimação de bases de dados.
Por esta razão, entende-se que, no processo de adequação à LGPD, caso a empresa opte por validar bases já existentes através do envio de avisos ou e-mails aos titulares, deverá (i) informar aos titulares qual o propósito do procedimento, (ii) determinar de forma clara e inequívoca para que os dados serão utilizados, (iii) fornecer meios para consentimento livre, sem induzir ou presumir a vontade do titular e (iv) garantir que o titular possa retirar seu consentimento livre a qualquer tempo.
&nbsp;
<hr />
O novo episódio do podcast Big Data Venia analisa privacidade, direito, negócios e as opções do Brasil na guerra fria digital entre EUA e China. Assista:

https://www.youtube.com/watch?v=napoUdij_Pw
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> Levantamento realizado pelas Nações Unidas aponta que em 2020 cerca de 66% dos países do mundo possuem legislação vigente específica para a proteção de dados pessoais. Em 2019 este mesmo levantamento apontava 58%. Conferência das Nações Unidas sobre Comércio e Desenvolvimento. Data Protection and Privacy Legislation Worldwide. Disponível em: &lt;https://unctad.org/page/data-protection-and-privacy-legislation-worldwide&gt;
<a href="#_ftnref2" name="_ftn2">[2]</a> Há discussão referente a este tipo de aviso de privacidade caracterizar tratamento de dados desde o seu envio, pois utiliza endereços de e-mails cadastrados e sem procedência legítima. Entretanto, diversas empresas vêm optando por este procedimento para legitimar suas bases após entrada em vigor da LGPD, tendo sido utilizado também por empresas Europeias quando da entrada em vigor da GDPR.
<a href="#_ftnref3" name="_ftn3">[3]</a> UNIÃO EUROPEIA. TRIBUNAL DE JUSTIÇA DA UNIÃO EUROPEIA. Caso C-673/17. 2019. Disponível em: &lt;http://curia.europa.eu/juris/document/document.jsf;jsessionid=35027DD22DC66638F3CDFE7E0C45F5FB?text=&amp;docid=221353&amp;pageIndex=0&amp;doclang=pt&amp;mode=req&amp;dir=&amp;occ=first&amp;part=1&amp;cid=8708672&gt;. Acesso em: 18 de dezembro de 2019.

pexels-photo-1458283

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Validar bases de dados através de opções 'opt-out' aos titulares pode caracterizar consentimento inválido

Consentimento por omissão como base para tratamento de dados pessoais

Consentimento por omissão: Validar bases de dados através de opções 'opt-out' aos titulares pode caracterizar consentimento inválido