Rafhael Camargo

Uma das exigências que a <a href="https://www.jota.info/tudo-sobre/LGPD">LGPD</a> trouxe para adequação das empresas foi a atribuição de bases legais, hipóteses que possibilitam a realização das atividades de tratamento de dados pessoais dentro da legalidade.
Nesse contexto, é essencial categorizar os dados envolvidos em cada atividade de tratamento adequadamente, uma vez que existem algumas diferenças entre as bases legais previstas nos art. 7º e 11 da Lei quanto ao tratamento de dados pessoais sensíveis e não sensíveis.
Uma das bases legais que costumeiramente geram mais dúvidas e desafios é o consentimento. Apesar de não haver hierarquia entre as bases legais, quando falamos de dados sensíveis, a sugestão de ter o consentimento como regra foi discutida desde os debates anteriores à promulgação da LGPD, muito embora a redação final da lei não dê margens para que o consentimento seja priorizado ou sequer sugerido quando houver outras bases legais mais apropriadas.
É importante destacar que a norma prevê que o consentimento equivale à autorização do titular que, para ser juridicamente válida, deve atender a três requisitos básicos: ser livre, informado e inequívoco.
Para ser caracterizado como livre, o consentimento do titular do dado pessoal não pode sofrer nenhum tipo de coação para dar sua autorização. Por exemplo, em <a href="https://blog.camargoevieira.adv.br/o-consentimento-nos-contratos-e-na-relacao-de-trabalho-com-o-advento-da-lgpd/">relações de trabalho</a><a href="#_ftn1" name="_ftnref1">[1]</a>, a situação de hipossuficiência do empregado dificulta o uso dessa base legal, já que o funcionário pode sofrer consequências negativas em caso de recusa.
O consentimento é informado quando o titular recebe as informações necessárias para compreender o que será feito com seus dados pessoais em comunicação simples e compreensível, oferecidas informações suficientes para avaliar se o tratamento de dados se adequa a finalidade proposta.
Por fim, dizer que o consentimento será inequívoco significa dizer que não poderá haver dúvida quanto a uma destacada autorização, uma vez que ela não poderá ser presumida em si mesma.
É necessário um pequeno exercício de técnica legislativa para uma análise da questão da prioridade da base legal do consentimento. Verifica-se que o legislador estabeleceu no art. 7º que o “tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses (...)” e no inciso primeiro, determinou que a primeira base legal possível seria a hipótese da coleta do dado mediante o “fornecimento de consentimento pelo titular”, seguido pelas demais bases legais estabelecidas na legislação taxativamente determinadas no inciso segundo.
Já no parágrafo quarto do mesmo artigo, existe a possibilidade de dispensar “a exigência do consentimento previsto no caput deste artigo para os dados tornados manifestamente públicos pelo titular, resguardados os direitos do titular e os princípios previstos nesta Lei”. Ocorre que não existe “consentimento previsto no caput”, mas sim no inciso primeiro, o que nos leva a crer ter havido uma perda de conexão com os dispositivos incluídos desde o primeiro texto da LGPD com aquele que foi efetivamente promulgado.
Aliás, após diversos requerimentos dos membros das comissões de elaboração da LGPD para estudar outras legislações de privacidade ao redor do mundo, percebe-se que houve um aprofundamento justamente na lei que mais se parece com a nossa: o General Data Protection Regulation (GDPR). Na referida legislação europeia, existe a possibilidade expressa de tratar dados sensíveis dos titulares sem o consentimento quando o dado tiver sido manifestamente publicado pelo próprio titular (art. 9, “e”, do GDPR).
Já na LGPD, a permissibilidade do uso do dado publicado pelo próprio titular sem a necessidade da coleta do consentimento está disposta somente no artigo 7º, aquele que dispõe sobre os dados “comuns” ou não-sensíveis. Assim, alguém poderia deduzir que tal liberalidade não se estenderia aos dados sensíveis, já que as hipóteses legais para o tratamento desses dados estariam restritamente estipuladas em rol do art. 11.
No entanto, em análise mais criteriosa sobre a inserção do §4º do art. 7º, houve uma falta de técnica legislativa. O correto seria o legislador prever expressamente que a exceção de possibilidade de tratamento dos dados publicados pelo próprio titular se estende aos dados sensíveis, desde que utilizados para a finalidade para qual ele foi publicado, bem como os princípios basilares da legislação de proteção de dados pessoais.
De uma análise prática, verifica-se que existem ocasiões nas quais os titulares publicam informações pessoais, muitas vezes sensíveis, nas quais a base legal mais adequada para o tratamento seria o legítimo interesse, no entanto está não se aplica para dados sensíveis.
Por exemplo, influenciadores, jornalistas e artistas estão a todo momento dando opiniões políticas em suas redes sociais, seja para atrair seguidores alinhados às suas posições ideológicas e ser mais “influente” (gerando, consequentemente, mais possibilidades comerciais), seja para exercer alguma atividade profissional. Muitas dessas pessoas, inclusive, vivem profissionalmente de fazer publicidade para marcas que monitoram essas postagens diariamente.
Em um mesmo sentido, no <a href="https://www.gov.br/anpd/pt-br/documentos-e-publicacoes/guia_lgpd_final.pdf">guia orientativo no âmbito eleitoral</a> publicado pela ANPD, foi trazido o exemplo do tratamento de “dados pessoais de indivíduos filiados a partidos políticos ou da formação de perfis que incluem a classificação da pessoa titular conforme sua opinião política”. Pela sugestão da própria ANPD, o agente de tratamento necessariamente deverá caracterizar a atividade em uma das bases legais estabelecidas no art. 11.
No entanto, verifica-se que a base legal que deve ser evitada em situações dessa natureza é justamente o consentimento, uma vez que todos os seus requisitos estariam eivados de vícios, a começar pelo próprio tratamento inicial dos dados. Isto é, quando o agente de tratamento acessou os dados públicos do titular, já realizou o tratamento sendo que para cumprir a regra do consentimento válido, a autorização do titular deve ser concedida anteriormente ao tratamento dos dados.
Se o titular publica seus dados sensíveis para uma finalidade específica e o agente de tratamento respeita essa finalidade, utilizando os meios de proteção e segurança, respeitando os princípios da LGPD e fazendo o bom uso do dado, de acordo com as expectativas do próprio titular, hipótese que passaria facilmente pelo teste do legítimo interesse<a href="#_ftn2" name="_ftnref2">[2]</a>.
No entanto, nos exemplos citado o agente de tratamento de dados fica de mãos atadas, já que não pode usar nem a base legal do legítimo interesse, nem a base legal do consentimento.
Inevitavelmente, a <a href="https://www.jota.info/tudo-sobre/ANPD">ANPD</a> terá que se pronunciar sobre essas hipóteses. Acreditar que o consentimento possa ser válido nessas e em outras hipóteses é uma utopia, criando uma insegurança jurídica para os agentes de tratamento e dificultando a difusão da cultura de proteção de dados de uma forma pragmática.
Com o conhecimento do histórico que levou a promulgação da LGPD, a compreensão mais assertiva é a extensão exceção trazida no art. 7º, §4º, para os dados sensíveis, exatamente como foi estabelecido no GDPR, texto legal que é a maior inspiração da legislação brasileira no tema.
<hr />
<a href="#_ftnref1" name="_ftn1">[1] </a>Relações trabalhistas pressupõem subordinação e exercício de poder hierárquico, em acordo com os requisitos da CLT, logo a utilização da base legal do consentimento é inviabilizada. Tal questão é explicada na minúcia em artigo disponível no link: <a href="https://blog.camargoevieira.adv.br/o-consentimento-nos-contratos-e-na-relacao-de-trabalho-com-o-advento-da-lgpd/">https://blog.camargoevieira.adv.br/o-consentimento-nos-contratos-e-na-relacao-de-trabalho-com-o-advento-da-lgpd/</a>.
<a href="#_ftnref2" name="_ftn2">[2]</a> O teste do legítimo interesse (LIA - Legitimate Interest Assesstment) é uma avaliação realizada pelas empresas para determinar se têm uma base legal para processar os dados pessoais dos indivíduos. Ele avalia se os interesses comerciais ou legítimos da empresa justificam a coleta e o processamento dos dados pessoais dos indivíduos. O LIA é uma exigência da LGPD que condiciona o uso da base legal do legítimo interesse.

pexels-ready-made-3850262

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Dados sensíveis publicados pelos próprios titulares

Acreditar que o consentimento possa ser válido em diferentes hipóteses é uma utopia e cria uma insegurança jurídica para os agentes de tratamento.

Dados sensíveis publicados pelos próprios titulares

A desnecessidade do consentimento