Patrícia Helena Marta Martins

Sofia Gavião Kilmar

O Código de Defesa do Consumidor (CDC) determina que os produtos e serviços ofertados ao mercado de consumo devem ser seguros. Após sua introdução ao mercado, caso se constate nocividade ou periculosidade à saúde ou à segurança dos consumidores, o fornecedor deverá proceder ao recall.
O recall de produtos envolve comunicação às autoridades competentes e também aos consumidores via anúncios publicitários. Os detalhes desse procedimento, como prazos e informações que devem constar dos comunicados exigidos, estão previstos em normativa específica (Portaria nº 618/2019 do Ministério da Justiça e da Segurança Pública).
<a href="https://conteudo.jota.info/poder-contato"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>
Chama atenção o fato de que a Lei Geral de Proteção de Dados Pessoais (LGPD) estabelece sistemática semelhante, mas obviamente para o caso de incidentes de segurança envolvendo dados pessoais.
O artigo 48 da LGPD dispõe que, constatado incidente de segurança, o controlador dos dados deverá comunicar a Autoridade Nacional de Proteção de Dados Pessoais (ANPD) e também os titulares dos dados pessoais afetados. Essa comunicação deverá acontecer em prazo razoável (mas não definido pela lei). A ANPD avaliará as informações prestadas, com poderes para inclusive determinar medidas adicionais a serem adotadas pelo controlador, a exemplo da divulgação do incidente na mídia.
<blockquote class="jota-article__eye">Há muitas semelhanças entre essa espécie de “recall” de dados pessoais estabelecida pela LGPD e o recall de produtos tradicional nos termos do CDC.</blockquote>
A primeira delas consiste no estabelecimento de premissa quanto à necessária segurança dos produtos e serviços oferecidos no mercado de consumo em geral, no caso do CDC; e no tratamento de dados pessoais, no caso da LGPD.
Ambos os diplomas também reconhecem que essa segurança não é absoluta. A despeito dos esforços e das melhores práticas adotadas em prol da segurança, em certos casos esse objetivo infelizmente será frustrado. E, assim, reconhecem que o produto disponibilizado no mercado, ou o tratamento de dados pessoais realizado, poderão implicar, respectivamente, em risco à saúde e à segurança de consumidores ou em risco de dano aos titulares de dados pessoais afetados por determinado incidente de segurança. É o caso, então, de aviso às autoridades e ao mercado.
Uma outra aproximação importante entre o recall tradicional previsto no CDC e aquele recém-estabelecido pela LGPD consiste no formato de sua previsão. As regras gerais estabelecidas pelo CDC e pela LGPD, conforme o caso, trazem requisitos essenciais, basilares, a serem atendidos nesse procedimento. No entanto, ao assim disporem, absolutamente não esgotam a sua disciplina.
O artigo 55-J, inciso XIII, da LGPD estabelece como uma das competências da ANPD “editar regulamentos e procedimentos sobre proteção de dados pessoais e privacidade”. A relevância dessa regulamentação é tanta que, mesmo após quase três anos da implementação do GDPR nos países europeus, o Conselho Europeu de Proteção de Dados permanece publicando instruções e regulamentações sobre incidentes de segurança, a exemplo da consulta pública recém-lançada pelo European Data Protection Board.
Por isso, foi em boa hora que a ANPD publicou a Portaria nº 11/2021, que torna pública a agenda regulatória da Autoridade para os dois próximos anos, com temas prioritários para regulamentação. A comunicação de incidentes de segurança de dados está entre as iniciativas cujo início do processo regulatório acontecerá em até 1 ano e está previsto para o 1º semestre de 2021. Espera-se que a ANPD regule algumas questões práticas importantes, como por exemplo o prazo para se notificar a ANPD, se outras autoridades devem também ser notificadas a depender de quão regulada é a atividade desenvolvida, quais são as informações que devem constar no comunicado aos titulares e de que forma se dará o envio dessas informações.
Nesse sentido, o paralelo entre o tradicional recall de produtos e aquele estabelecido pela LGPD em seu artigo 48 pode ser proveitoso nessa fase de regulamentação do recall de dados pessoais pela ANPD. Afinal, o recall do CDC conta com regulamentação detalhada já bem estabelecida, bem como com ampla vivência regulatória acerca das melhores práticas para saneamento do defeito sobre o produto ofertado e extinção do risco presente face aos consumidores. Mais do que isso, a experiência construída e já estabelecida representa parâmetro importante para construção de uma regulamentação prática e eficaz.
<hr />
O episódio 48 do podcast Sem Precedentes faz uma análise sobre a atuação do Supremo Tribunal Federal (STF) em 2020 e mostra o que esperar em 2021. Ouça:
https://youtu.be/-hMj5lwWXEE
<hr />

hacker-1944688_1280

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

LGPD estabelece sistemática semelhante a 'recall' em casos de vazamento de dados

Incidentes de segurança e o 'recall' de dados pessoais

LGPD estabelece sistemática semelhante a 'recall' em casos de vazamento de dados