Caio César de Oliveira

Paulo César Tavares Filho

Vivemos em uma economia movida e orientada pelo uso de dados pessoais. Não há dúvidas de que a cada dia novas tecnologias são desenvolvidas e desafiam a dogmática jurídica. Em uma sociedade cada vez mais conectada, uma lei geral para balizar o uso de dados pessoais se mostra primordial.
Proteção de dados pessoais não se apresenta como um mero direito, mas, sim, como um direito de fundamental importância para o desenvolvimento da personalidade dos titulares de dados e o seu pleno desenvolvimento demanda transparência e mecanismos de controle por parte dos agentes de tratamento de dados pessoais. Como assegurar uma maior esfera de controle aos titulares, sem que isso prejudique o desenvolvimento de novas tecnologias e novos modelos de negócio?
<a href="https://www.jota.info/produtos/poder?utm_source=Banner%20site&amp;utm_medium=Artigos&amp;utm_campaign=CTA_Poder_materias"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>Por muito tempo acreditou-se que o consentimento do titular seria a chave-mestra para resolver essa questão. Como exemplo, o Marco Civil da Internet apresenta o consentimento como base legal que possibilita o tratamento de dados pessoais (MCI artigo 7º, incisos VII e IX).  O Brasil viveu uma fase em que predominava a cultura do consentimento. O aceite tácito do titular era suficiente para garantir o tratamento lícito de dados pessoais.
Com o desenvolvimento de modelos de negócio baseados na extração, uso e compartilhamento de dados, é preciso repensar a utilidade de tal mecanismo. O consentimento (ainda) pode ser considerado como a melhor base legal para a garantia de controle em todas as hipóteses de tratamento de dados pessoais? Existe uma hierarquia entre as bases legais previstas pela Lei Geral de Proteção de Dados (LGPD)?
<blockquote class="jota-article__eye">Por meio de uma leitura atenta da LGPD, é possível inferir que não. O consentimento passou a ser apenas uma das bases legais que possibilitam o tratamento e, em muitos casos, o consentimento não será a base legal adequada ou recomendada.</blockquote>
A LGPD busca dar maior controle ao titular sobre o uso que é feito dos seus dados pessoais. A fim de assegurar a vigência do princípio da autodeterminação informativa, é necessário que o titular seja empoderado e possa decidir como os seus dados serão tratados. Entretanto, há um paradigma que gira em torno da ideia de controle.
Para ser válido, o consentimento previsto pela LGPD deve ser (i) livre, (ii) informado, (iii) inequívoco e (iv) para uma finalidade determinada. Ocorre que, diante do uso massivo de tal base legal, o titular se vê diante de uma situação em que ele simplesmente manifesta o seu aceite para seguir adiante e utilizar o bem ou serviço e não propriamente compreende a extensão do seu ato de forma consciente.
A LGPD apresenta dez bases legais que possibilitam o tratamento de dados pessoais: (i) consentimento; (ii) cumprimento de obrigação legal ou regulatória; (iii) pela administração pública para a execução de políticas públicas; (iv) por órgãos de pesquisa para a realização de estudos; (v) para execução de contrato; (vi) para o exercício regular de direitos em contrato; (vii) para o exercício regular de direitos em processo judicial ou arbitral; (vii) para proteção da vida; (viii) para tutela da saúde por profissionais da saúde; (ix) legítimo interesse do controlador; (x) para proteção do crédito.
Nesse ponto, é importante observar que não existe hierarquia entre as bases legais previstas pela LGPD<a href="#_ftn1" name="_ftnref1">[1]</a>. Se um determinado tratamento é necessário para a execução de um contrato, ou seja, se sem determinada atividade não é possível prestar um serviço, essa atividade deve ser fundamentada na execução contratual (ou necessidade contratual).
<blockquote class="jota-article__eye">De igual modo, atividades que envolvem o legítimo interesse do controlador e passam pelo exercício de proporcionalidade previsto pela própria LGPD devem ser fundamentadas no legítimo interesse.</blockquote>
Ainda existe um certo fetiche ou cultura em acreditar que a obtenção do consentimento do titular seria o melhor caminho para possibilitar o uso dos dados pessoais. Ora, se o Titular manifestar o seu aceite, isso significa que ele está ciente e concorda com as atividades de tratamento, certo?
Não. Ao apresentar uma chuva de botões, checkboxes, e termos que necessitam de aceite, tais solicitações podem ser responsáveis por fazer com que a manifestação seja falaciosa e fruto de um total desinteresse com relação aos termos que o titular está consentindo.
Inclusive, essa busca incessante pelo consentimento dos usuários tem feito o mercado dos CMPs (Consent Management Plataform) ganhar tração. De modo geral, o objetivo dessas ferramentas é o de suportar as empresas na adequação de seus sites a partir, por exemplo, dos famosos Cookie Banners.
Partindo da constatação de que o entrelaçamento dessas plataformas e leis de proteção de dados levantam questões significativas sobre como tem sido realizada a coleta dos consentimentos dos usuários, em janeiro de 2020, pesquisadores<a href="#_ftn2" name="_ftnref2">[2]</a> analisaram CMPs presentes nos dez mil melhores sites do Reino Unido e descobriram que notificações não têm efeito e que controles mais granulares na primeira página dos sites diminui o consentimento em 8-20%.
Os usuários estão cansados e essa dificuldade para entender como tomar decisões significativas sobre suas preferências de privacidade acabou criando um fenômeno que se convencionou chamar de "fadiga do consentimento".
O termo fadiga pode ser definido como: (i) sensação penosa causada pelo esforço ou pelo trabalho intenso; (ii) trabalho excessivamente cansativo; estafa ou esgotamento e (iii) diminuição gradativa da força de um equipamento, de um mecanismo etc., causada pelo seu uso contínuo<a href="#_ftn3" name="_ftnref3">[3]</a>. Tal termo, de fato, pode ser um retrato do titular que, cansado, pelo uso contínuo e inapropiado de tal mecanismo, manifesta o seu “consentimento” de forma fatigada e em sentido totalmente oposto ao previsto pela legislação e ainda em total descompasso com que a lei visa tutelar.
A esse respeito, o “European Data Protection Board – EDPB” alerta para esse problema, que chamou de “fadiga de cliques” em sua diretriz n. 05/2020: "No contexto digital, muitos serviços precisam de dados pessoais para funcionar, portanto, os titulares dos dados recebem vários pedidos de consentimento que precisam de respostas por meio de cliques e furos todos os dias. Isso pode resultar em um certo grau de fadiga do clique: quando encontrado muitas vezes, o efeito de aviso real dos mecanismos de consentimento está diminuindo” (grifamos)<a href="#_ftn4" name="_ftnref4">[4]</a> <a href="#_ftn5" name="_ftnref5">[5]</a>.
Infere-se, portanto, que caminhamos para o início do fim da cultura do consentimento. Isso porque, resta claro que o consentimento deixou de ser a base legal mais adequada para todas as hipóteses de tratamento de dados pessoais e a escolha da correta base legal, assim como a garantia de transparência e de mecanismos de controle, faz parte da correta interpretação e implementação da LGPD.
O enquadramento apropriado das bases legais e o respeito aos princípios previstos na LGPD, em especial, o respeito ao princípio da finalidade, transparência e mínima coleta de dados pessoais, se mostram essenciais e, possivelmente, serão a chave para o desenvolvimento de mecanismos sólidos para que a norma cumpra o seu papel: controle, transparência e possibilidade de uso lícito e responsável de dados pessoais.
<div id="sdr-inbound-form-artigos-impacto-nas-instituicoes-8c5227dd4ede3347a6c6" role="main"></div>
<script type="text/javascript" src="https://d335luupugsy2.cloudfront.net/js/rdstation-forms/stable/rdstation-forms.min.js"></script> 
<script type="text/javascript"> new RDStationForms('sdr-inbound-form-artigos-impacto-nas-instituicoes-8c5227dd4ede3347a6c6', 'UA-53687336-1').createForm();</script>
BIONI, Bruno Ricardo. Proteção de dados pessoais: a função e os limites do consentimento. Forense. Rio de Janeiro, 2019
DONEDA, Danilo. Princípios de Proteção de Dados Pessoais. In: DE LUCCA, Newton. SIMÃO FILHO, Adalberto. LIMA, Cíntia Rosa Pereira de (Coord.). Direito &amp; Internet III – Tomo I: Marco Civil da Internet – (Lei nº 12.965/2015) – São Paulo: Quartier Latin, 2015
EDPB: Guidelines 05/2020 on consent under Regulation 2016/679. Disponível em: <a href="https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf" target="_blank" rel="noopener noreferrer">https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf</a>
ICO: Lawful basis for processing. Disponível em: <a href="https://ico.org.uk/for-organisations/guide-to-data-protection/key-data-protection-themes/age-appropriate-design-a-code-of-practice-for-online-services/annex-c-lawful-basis-for-processing/" target="_blank" rel="noopener noreferrer">https://ico.org.uk/for-organisations/guide-to-data-protection/key-data-protection-themes/age-appropriate-design-a-code-of-practice-for-online-services/annex-c-lawful-basis-for-processing/</a>
LEONARDI, Marcel. Legítimo Interesse. Revista do Advogado da AASP. Ano XXXIX. Nº 144. Novembro de 2019. p. 69
RODOTÀ, Stefano. A Vida na Sociedade da Vigilância: a privacidade hoje. Rio de Janeiro: Editora Renovar, 2007
<a href="#_ftnref1" name="_ftn1">[1]</a> A esse respeito, leciona Marcel Leonardi, “é extremamente importante compreender que não há hierarquia entre bases legais: todas são igualmente importantes e podem ser utilizadas, sem que qualquer delas se sobreponha ou prevaleça em relação às demais. Cabe a cada controlador definir qual base legal é a mais apropriada em cada caso, sempre de acordo com as finalidades de tratamento” (LEONARDI, Marcel. Legítimo Interesse. Revista do Advogado da AASP. Ano XXXIX. Nº 144. Novembro de 2019. p. 69).
<a href="#_ftnref2" name="_ftn2">[2]</a> Disponível em: <a href="https://arxiv.org/pdf/2001.02479.pdf" target="_blank" rel="noopener noreferrer">https://arxiv.org/pdf/2001.02479.pdf</a> - acesso em 18.06.2021
<a href="#_ftnref3" name="_ftn3">[3]</a> Disponível em: <a href="https://www.dicio.com.br/fatiga-2/" target="_blank" rel="noopener noreferrer">https://www.dicio.com.br/fatiga-2/</a> - acesso em 07.03.2021.
<a href="#_ftnref4" name="_ftn4">[4]</a> Tradução livre de: “In the digital context, many services need personal data to function, hence, data subjects receive multiple consent requests that need answers through clicks and swipes every day. This may result in a certain degree of click fatigue: when encountered too many times, the actual warning effect of consent mechanisms is diminishing”. Disponível em: <a href="https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf" target="_blank" rel="noopener noreferrer">https://edpb.europa.eu/sites/edpb/files/files/file1/edpb_guidelines_202005_consent_en.pdf</a>
<a href="#_ftnref5" name="_ftn5">[5]</a>Não por acaso, ao discorrer sobre bases legais, a autoridade de proteção de dados do Reino Unido (“Information Commissioner’s Office” - ICO), relata que em determinados casos o consentimento não é a base legal mais apropriada, bem como, que o uso de tal base legal pode incentivar a fadiga do consentimento A esse respeito, veja: “Consent is unlikely to be the most appropriate basis for processing which is necessary to deliver the core service. This is because the processing is a condition of the contract, so asking for separate consent is unnecessary and potentially confusing. It risks diluting the general concept of consent as a clear and separate choice with no strings attached, and may contribute to ‘consent fatigue’”. Disponível em: <a href="https://ico.org.uk/for-organisations/guide-to-data-protection/key-data-protection-themes/age-appropriate-design-a-code-of-practice-for-online-services/annex-c-lawful-basis-for-processing/" target="_blank" rel="noopener noreferrer">https://ico.org.uk/for-organisations/guide-to-data-protection/key-data-protection-themes/age-appropriate-design-a-code-of-practice-for-online-services/annex-c-lawful-basis-for-processing/</a> - acesso em 07.03.2021.

LGPD

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

European Data Protection Board (EDPB) alerta para a “fadiga de cliques"

A LGPD e o início do fim da cultura do consentimento

LGPD: proteção de dados pessoais não se apresenta como um mero direito, mas sim, como um direito de fundamental