A entrada em vigor do Regulamento Geral sobre a Proteção de Dados (Regulamento 2016/679 – RGPD) na União Europeia levantou diversas discussões sobre a segurança do indivíduo em um mundo cada vez mais digitalizado. Mas esse não é um tema novo. Em especial na Alemanha, que é reconhecida por ser a terra natal da proteção de dados¹, existe uma rica história por trás do desenvolvimento da noção de defesa do indivíduo contra o uso indesejado e ilegal das informações que lhe dizem respeito.

Além disso, o país foi pioneiro no reconhecimento do direito e responsável por elaborar os conceitos estruturantes que conhecemos hoje. Então, se queremos compreender o estado atual de desenvolvimento do direito europeu da proteção de dados, devemos passar necessariamente pela compreensão dos caminhos traçados pela Alemanha – desde as primeiras aproximações até a europeização e fracionamento do direito da proteção de dados.

Proteção de dados pressupõe, antes de tudo, assimetria de poder informacional.² O papel desse direito é, por essa perspectiva, estabelecer um equilíbrio entre a proteção do indivíduo, na dimensão informacional da sua privacidade, e o tratamento legítimo dos seus dados, seja pelo Estado ou mesmo por pessoas privadas. Nessa concepção ampla, a proteção dos dados não depende da existência de tecnologia ou mesmo de um tratamento automatizado ou eletrônico das informações, mas de situações em que o indivíduo se vê especialmente debilitado com relação à manipulação de seus dados por terceiro.

+JOTA: Assine o JOTA e não deixe de ler nenhum destaque!

A primeira grande manifestação de assimetria de poder informacional foi o nascimento do Estado Moderno, que por meio de sua burocracia – que coleta e trata dados pessoais ou não – consegue exercer poder sobre seu território. Mesmo assim, as atividades estatísticas ou a criação de livros de registro pelas instituições religiosas não levantaram grandes discussões até a eclosão de regimes autoritários.

Se a utilização de dados pessoais significa poder sobre os indivíduos, o controle da população e consequente manutenção da ordem dependeria de uma coleta massiva de dados. Esse controle serviria para identificar formas de vida degeneradas, grupo de pessoas desleais ao ideário estabelecido, bem como toda e qualquer situação que representasse alguma ameaça à continuidade e exercício do poder.

Por conta disso, os regimes autoritários adotam atividades de vigilância massiva sobre a população. Quanto mais se sabe, melhor se pode controlar. Como manifestação concreta dessa vigilância, a burocracia estatal cria órgãos especializados nessa tarefa de controle político da população por meio da coleta e tratamento de dados pessoais. Os grandes exemplos, que marcaram a história alemã nesse sentido, são a Geheime Staatspolizei (Gestapo – Polícia Secreta do Estado) durante o período do Nazismo, ou então a Staatssicherheitsdienst (Stasi – Serviço de Segurança do Estado) na Alemanha oriental durante o Governo da Deutsche Demokratische Republik (DDR – República Democrática Alemã).

Com a superação dos regimes autoritários e a fundação de um Estado Democrático de Direito na Alemanha, levantou-se uma questão central: qual seria o ponto de equilíbrio entre a demanda por dados pessoais, para executar a administração estatal, e a proteção dos indivíduos contra os abusos?

Estava claro que as atividades de vigilância precisavam ser controladas pelo Direito e, em especial, por meio da Constituição.

A Grundgesetz (Lei Fundamental Alemã), de 1949, começou então, a traçar a ponderação necessária entre as atividades administrativas e a proteção de dados pessoais, ainda que não tenha sido citado, expressamente, esse direito.

Para entender como a Lei Fundamental Alemã endereçou essa questão, a Polizeibrief (Carta sobre a Polícia, em tradução livre), de 1949, fornece grande ajuda. O governo militar da Alemanha ocidental encaminhou, meses antes da aprovação do texto constitucional, a citada Carta aos parlamentares. Os militares propuseram o seguinte equacionamento entre atividades estatais e informação do cidadão: a separação orgânica entre as atividades de polícia e a atividade de inteligência do Estado; e independência das polícias estaduais perante a polícia federal.

Esse plano tinha como pano de fundo o princípio da separação informacional dos poderes (informationelle Selbstbestimmung), segundo o qual cada órgão público deveria ter acesso apenas às informações necessárias ao exercício de sua atividade pública. Como o nome sugere, o princípio é um desdobramento da separação dos poderes. A competência de cada órgão público, prevista em lei, não estabeleceria só a sua atividade, mas também quais informações ele poderia ter acesso de forma legítima. A Lei Fundamental Alemã adotou, então, a estrutura proposta, mesmo que o princípio não conste expressamente no texto constitucional. De qualquer maneira, estabeleceu-se, já nesse momento, um nível mínimo de proteção de dados pessoais,³ fornecendo um substrato para os desenvolvimentos posteriores.

Se olharmos com atenção, percebemos que nasceu aqui o princípio da finalidade no tratamento de dados pessoais,⁴ tão destacado no debate do RGPD.

Uma vez que a coleta e tratamento de dados por órgãos públicos está vinculada às atividades que lhes compete, há a necessidade de se explicitar a finalidade de cada tratamento. Sendo assim, a legalidade do tratamento depende sempre da sua aderência à execução da tarefa pública. Por exemplo, um órgão competente para conceder assistência social não pode exigir a apresentação de dados que não tenham relação com os requisitos legais dos benefícios, por lhe escapar da finalidade do tratamento.

O reconhecimento legislativo expresso do direito à proteção de dados se deu em 1970, com a Lei de Proteção de Dados do Estado de Hesse (hessisches Datenschutzgesetz). Poucas semanas depois, o Estado da Bavária publicou sua Lei sobre a Organização do Tratamento Eletrônico dos Dados (Gesetz über die Organisation der elektronischen Datenverarbeitung im Freistaat Beyern – bayrisches EDVG). As duas leis apresentavam estruturas e lógicas diferentes para tratar do controle do tratamento de dados, sendo que o modelo de Hesse acabou prevalecendo, como mostra a publicação da Lei Federal de Proteção de Dados (Bundesdatenschuzgesetz – BDSG) em 1977, com entrada em vigor em 1979.

As regras gerais estabelecidas pela BDSG não excluíram a competência dos estados federados de publicar suas próprias leis, inclusive para regular a proteção de dados quando o tratamento é realizado pela administração estadual ou municipal. Vale notar que não é por acaso que diversas leis de proteção de dados foram publicadas na Alemanha em um curto período de tempo. Elas são reações a projetos estatais para implementar bancos de dados centralizados sobre a população, em meio à euforia tecnológica que marcou o pós-guerra. O choque entre a recente lembrança (ou presença) dos governos autoritários e a iminência de tais projetos levou ao reconhecimento expresso da proteção de dados perante às pretensões públicas de aumentar seu poder informacional. O objetivo dessas leis era, acima de tudo, estabelecer limites e garantir a transparência na criação de bancos de dados.

A tensão entre a demanda estatal por informações e os limites jurídicos que vinham sendo impostos continuou com o passar dos anos.

Em 1983, o reconhecimento do direito fundamental à autodeterminação informativa (informationelles Selbstbestimung) pelo Tribunal Constitucional Alemão (Bundesverfassungsgericht – TCA) foi mais um epsódio desse atrito. No conhecido julgamento sobre a Lei do Censo (Volkszählungsurteil – 1 BvR 209/83, de 15.02.1983) foi discutida a constitucionalidade de uma lei federal que permitia a coleta e tratamento de dados para fins estatísticos, bem como a transmissão anonimizada desses dados para a execução de atividades públicas.

Os juízes do TCA entenderam que a lei era parcialmente constitucional. Seria constitucional a permissão para a coleta e tratamento de dados pessoais dos cidadãos, independente do seu consentimento, bastando a permissão legal. Entretanto, a permissão geral dada pela lei de comparação e troca de dados pessoais entre órgãos públicos, bem como a fixação da competência, foi considerada inconstitucional, por violar o princípio da autodeterminação informativa. O reconhecimento desse novo direito fundamental decorreu de uma interpretação do direito de personalidade e da dignidade da pessoa humana.

O ponto central da discussão era a transparência do tratamento dos dados pessoais. Sem que a lei fixe de forma clara como os dados serão tratados, os cidadãos, obrigados a entregarem suas informações pessoais, não poderiam saber quem teria acesso e para quais finalidades seriam utilizados, vivendo uma situação de constante vigilância. A autodeterminação informativa, dessa forma, não estaria ligada ao controle total do titular sobre o tratamento de seus dados, mas de poder verificar a legalidade das atividades daqueles que utilizam seus dados, independentemente do consentimento. O julgamento teve grande repercussão no Direito alemão, o que resultou na alteração da BDSG, em 1990, além de ter sido desenvolvida uma sólida construção dogmática.

É interessante notar, por outro lado, que a despeito da importância desse julgamento, com influências inclusive no Brasil, o direito à autodeterminação informativa não foi recepcionado nos outros países europeus. Na Alemanha, o direito da proteção de dados acabou assumindo o papel de opção política (dentre outras) para operacionalizar esse novo direito fundamental de autoderminação informativa. Proteção de dados, em si, não seria um bem jurídico em si, mas um instrumento para a realização de outro. Essa construção doutrinária, no entanto, é ausente nos outros países europeus e também no RGPD.

Ainda que a União Europeia não tenha absorvido o direito à autodeterminação informativa, ela sofreu influência da Alemanha no reconhecimento da proteção de dados. No caso Strauder,⁵ de 1969, o Tribunal de Justiça Europeu (TJEU) tratou pela primeira vez, mesmo que de forma implícita, desse direito. Na época, a Decisão nº 69/71/CEE da Comunidade Europeia permitiu a venda de manteiga a preços menores para pessoas beneficiárias de assistência social. Para viabilizar a venda, a Alemanha criou cupons individualizados com o nome para os beneficiários, e que deveriam ser entregues aos comerciantes no momento da compra.

Como haveria a divulgação do nome do beneficiário ao comerciante, questionaram o TJEU se o direito europeu reconheceria a violação ao direito fundamental. Esquivando de tratar diretamente do tema, o TJEU entendeu que a norma europeia não exigia a divulgação do nome do beneficiário, não havendo que se falar em violação de direitos e negando, assim, a proteção no caso concreto.

Um importante desdobramento na perspectiva europeia ocorreu apenas depois, com a Diretiva 95/46/CE sobre a proteção de dados pessoais, e posterior reconhecimento no art. 8º da Carta dos Direitos Fundamentais da União Europeia de 2000 e no art. 16, parágrafo 1º, do Tratado de Funcionamento da União Europeia. A Diretiva não gerava efeitos diretos nos países membros, sendo necessária a implementação em cada um dos direitos nacionais. Na Alemanha, a implementação se deu com adaptação da BDSG.

Em 2008, outro julgamento do TCA tocou na temática do uso de tecnologia pela Administração Pública e avançou a temática da proteção de dados.

Na oportunidade, o TCA reconheceu o direito fundamental à garantia da confidencialidade integridade dos sistemas de informação (Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme – IT-Grundrecht, 1 BvR 370/07, de 27.02.2008). Trata-se de um direito fundamental de defesa do indivíduo contra intromissão estatal indevida a uma chamada esfera de intimidade digital.

A proteção se estende aos dados e informações pessoais salvas em sistemas de informação, que não podem ser acessados ou alterados pelo Estado, proibindo, assim, uma vigilância massiva e preventiva de computadores para investigação criminal. Uma exceção a esse direito seria apenas os casos de perigo concreto para proteger bens jurídicos relevantes, como o corpo, a vida ou a liberdade da pessoa. Essa decisão foi duramente criticada, principalmente pelo argumento que a proteção já decorreria dos direitos fundamentais reconhecidos anteriormente, não sendo necessário mais um. De qualquer maneira, ele é considerado subsidiário aos direitos de sigilo das comunicações, inviolabilidade da casa e, enfim, da autodeterminação informativa. Na perspectiva da proteção de dados, nota-se a tentativa de adaptar a proteção do indivíduo aos novos desafios colocados pelo desenvolvimento tecnológico.

Em 2016, por fim, ocorreu a última grande alteração do quadro jurídico da proteção de dados pessoais na Alemanha, com a aprovação do RGPD.

Em comparação com a antiga Diretiva, o RGPD representou pouca alteração de conteúdo. Na verdade, o grande impacto decorreu da estrutura criada com o RGDP, uma vez que a partir de 2018 todas as regras passaram a vigorar diretamente em todos os países membros.

As legislações nacionais perderam, dessa forma, sua função de implementar a norma europeia, sendo substituída pela função de complementação. Com aplicação direta em todas as jurisdições, o RGPD visou uniformizar as regras de proteção, o que não havia sido bem sucedido pela norma anterior (como expresso nos Considerando nº 9 e 10 do RGPD). O impacto imediato na Alemanha foi claro: houve nova alteração no BDSG para adaptar a complementar as normas europeias.

Não se sabe de que forma o direito da proteção de dados irá se desenvolver nos próximos anos. A aplicação direta do direito europeu na Alemanha vem sendo anunciada como uma alteração profunda nos moldes tradicionais, uma vez que a interpretação desse direito deverá partir de uma dogmática europeia, e não mais alemã. Por isso, questões como a continuidade do direito à autodeterminação informativa, que não tem reconhecimento europeu, estão sendo colocadas em dúvida.

É discutível, além disso, até que ponto o RGPD conseguirá realizar seu citado objetivo de uniformização. Ao deixar mais de 70 pontos em aberto que precisam ser complementadas pelas respectivas legislações nacionais, uma unificação completa ficou comprometida, deixando espaço ainda para um protagonismo individual dos países.

Independentemente do caminho a ser tomado na europeização da proteção de dados pessoais, não se pode negar as contribuições essenciais da Alemanha para estruturar a defesa dos indivíduos perante os desafios de um mundo digitalizado. Que ela continuará influenciando os próximos desenvolvimentos, só nos resta esperar.

--------------------------

1 ALBRECHT, Jan Philipp. Das neue EU-Datenschutzrecht - von der Richtlinie zur Verordnung. Überblich und Hintergründe zum finalen Text für die Datenschutz-Grundverordnung der EU nach der Einigung im Trilog. CR, 2016 p. 89.

2 AUERHAMMER, Herbert, et. al. DS-GVO, BDSG. 5. Auf. Köln: Carl Heymanns, 2017, Einführung, Rn. 2.

3 FRITSCHE, Ingo. Datenschutz im öffentlichen Bereichen. LKV, 1991, p. 84.

4 BULL, Hans Peter. Sinn und Unsinn des Datenschutzes. Persönlichkeitsrecht und Kommunikationsfreiheit in der digitalen Gesellschaft. Tübingen: Mohr Siebeck, 2015, p. 19.

5 http://curia.europa.eu/juris/liste.jsf?language=pt&num=C-29/69&td=ALL

Criação e desenvolvimento da proteção de dados na Alemanha

A tensão entre a demanda estatal por informações e os limites jurídicos impostos