Como uma mulher do seu tempo, com os olhos cravados no futuro, a ministra Rosa Weber deixa-nos um legado inestimável nos temas que marcam o início deste milênio: a proteção da privacidade e do tratamento de dados pessoais e, no que interessa a quem escreve este texto, justamente no âmbito penal, excluído da regulamentação direta da Lei Geral de Proteção de Dados (art. 4º, III, adiante LGPD).

Esse legado foi construído, especialmente, nestes seus últimos anos no mais alto posto da magistratura nacional quando, ao lado de seus colegas, foi convocada a defender a democracia contra os ataques mais graves de que foi vítima desde o último período de ditadura.

Se foram anos marcados por essa difícil missão, foi a dificuldade que tornou explícito aquilo que sua discrição sempre buscou obscurecer: suas excepcionais qualidades. A modo de homenagem, mas também de agradecimento, faço adiante um breve apanhado cronológico que explicita sua atuação decisiva em prol do futuro de nossos direitos fundamentais e do regime democrático.

Dados pessoais em computador funcional e a proteção do direito à privacidade (RHC 132062, 2016)

Em 2016, atuando no âmbito da Primeira Turma, votou vencida em caso que já mostrava a importância da reserva legal na proteção da privacidade^[1] diante do acesso a dados armazenados em computadores. Tratava-se de determinação de busca e apreensão de computador de ente público em investigação dirigida contra determinado servidor, cuja entrega fora feita por quem não utilizava o equipamento e, portanto, não era titular dos dados pessoais ali armazenados.

A ministra entendeu que os dados armazenados em computadores diziam respeito à vida privada do indivíduo e, portanto, estavam protegidos pelo artigo 5º, X, da CF, havendo, assim, uma “expectativa de privacidade [que] protege os bens de uso especial integrantes dos gabinetes funcionais de órgãos públicos, inclusive os computadores e respectivos dados neles armazenados” (p. 8^[2]), sendo irrelevante o fato de o equipamento pertencer à administração pública, pois a proteção refere-se à privacidade de quem se acha sob investigação.

Foi no decorrer de 2020, porém, que o STF se deparou com uma série de casos emblemáticos no âmbito da proteção da privacidade e do tratamento de dados pessoais. Lembremos que, até meados de 2020, a LGPD ainda estava parcialmente em período de vacatio legis e que a inclusão de um direito fundamental à proteção de dados pessoais na Constituição ainda não surgia no horizonte próximo.^[3] Foi um período marcante de nossa jovem democracia, no qual a Suprema Corte teve papel fundamental ao fincar, de uma vez por todas, que o respeito à privacidade e à proteção de dados pessoais são condições essenciais para a sobrevivência da democracia nas sociedades atuais. Destaco a seguir o papel da Min. Rosa Weber no julgamento desses casos.

Compartilhamento massivo de dados pessoais com o IBGE (ADI 6387-MC, 2020)

Em 7 de maio de 2020, o plenário do STF referendou a cautelar concedida pela homenageada na ADI 6387 MC-Ref/DF^[4]. Nesse precedente, considerado um marco no âmbito da proteção do direito à privacidade e de dados pessoais no Brasil, a insurgência dirigia-se à Medida Provisória 954/2020, que determinava o compartilhamento de dados pessoais de todos os brasileiros com acesso à telefonia fixa e móvel com o IBGE.

Foi nessa oportunidade que o STF reconheceu, a partir do voto da relatora, a autonomia do direito fundamental à proteção de dados pessoais e suspendeu a vigência da MP por violação do princípio da proporcionalidade.^[5] Apesar de a LGPD ainda estar parcialmente em período de vacatio legis e de a inclusão de um direito fundamental à proteção de dados pessoais na Constituição ser apenas uma esperança, a ministra Rosa Weber não só reconheceu o status constitucional desse direito com lhe atribuiu sentido concreto, escrutinando passo-a-passo a MP.

Fundou-o nas “cláusulas constitucionais assecuratórias da liberdade individual (art. 5º, caput), da privacidade e do livre desenvolvimento da personalidade (art. 5º, X e XII)” da CF (item 2, ementa), e invocou a garantia do devido processo legal informacional (art. 5º, LIV) para delinear os limites do tratamento de dados pessoais (p. 25). Sendo o compartilhamento uma das formas de tratamento e, portanto, de intervenção nesse direito individual, exigiu que os dados “sejam ‘adequados, relevantes e não excessivos em relação a esse propósito’ e ‘conservados apenas pelo tempo necessário’” (item 3, ementa).

Apoiada nesse arcabouço, analisou a MP 954/2020, concluindo que a medida não estabeleceu a finalidade do tratamento, nem a necessidade, nem medidas de segurança e proteção, julgou excessivo seu armazenamento em prazo superior à situação de emergência de saúde pública e considerou como agravante a “ausência de garantias de tratamento adequado e seguro dos dados compartilhados a circunstância de que, embora aprovada, ainda não vigora a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/2018), definidora dos critérios para a responsabilização dos agentes por eventuais danos ocorridos em virtude do tratamento de dados pessoais” (item 8, ementa).

Ao fundar o direito fundamental à proteção de dados pessoais em normas constitucionais, estendeu-o à matéria penal, expressamente excluída do âmbito da LGPD (art. 4º, III).

Direito à privacidade nas comunicações privadas, o caso do bloqueio de aplicação de mensageria (ADI 5527, 2020)

Poucos dias depois, em 28 de maio de 2020, a homenageada apresentou seu voto na ADI 5527^[6]. No caso, discute-se a invocação dos arts. 10, § 2º, e 12, III e IV, do Marco Civil da Internet (Lei 12.965/2014, adiante MCI) como fundamento para a determinação da suspensão temporária de serviços de mensageria como sanção pelo descumprimento de ordem judicial de disponibilização do conteúdo das comunicações, especialmente daquelas protegidas por criptografia.

É neste caso, parece-me, que a ministra Rosa Weber toma uma posição que reverberará nas suas ulteriores manifestações sobre a matéria^[7]: a proteção à privacidade e aos dados pessoais são elementos-chave do regime democrático. Em seu voto, coloca em evidência a estreita conexão entre privacidade e liberdade de expressão, como “dimensões da personalidade humana”, reconhecendo-as como “fatores de limitação do poder das autoridades constituídas sobre os cidadãos” essenciais ao regime democrático, afinal, se “aos cidadãos não for assegurada uma esfera de intimidade privada, livre de ingerência externa, um espaço onde o pensamento independente e novo possa ser gestado com segurança, de que servirá a liberdade de expressão?” (p. 13).

Como mulher de seu tempo, reconheceu na “proliferação de sistemas de vigilância”, na “emergência das mídias sociais, juntamente com a manipulação de dados pessoais em redes computacionais por inúmeros, e frequentemente desconhecidos, agentes públicos e privados” os perigos do tratamento de dados para direitos fundamentais sobre os quais se funda o regime democrático (p. 13), pois o “conhecimento de que a comunicação é monitorada por terceiros interfere em todos esses elementos componentes da liberdade de informação: os cidadãos podem mudar o modo de se expressar ou até mesmo absterem-se de falar sobre certos assuntos, no que a doutrina designa por efeito inibitório (chilling effect) sobre a liberdade de expressão” (p. 10). “Nessas condições”, advertiu, “não podem a hermenêutica constitucional e o desenvolvimento legislativo ficar alheios a essas mudanças no tempo, tendo em vista a manutenção do equilíbrio entre proteção da privacidade e os limites da atuação do Estado” (p. 14, grifos originais), sendo imperiosa uma tradução da Constituição “para o mundo digital, de modo a preservar, neste, os interesses, os direitos e as liberdades que originalmente preservava” (p. 15, grifos originais).

Decidiu, então, que a obrigação de guarda de metadados (art. 15, MCI) não se estende ao conteúdo (p. 22), que a disponibilização do conteúdo de comunicações privadas deve ser feita com base em lei e decisão judicial nela fundada, para fins de investigação criminal ou instrução processual (p. 26) e que o sancionamento do oferecimento de serviço de mensageria com tecnologia voltada ao incremento de suas segurança e privacidade (criptografia) seria avesso à preservação da liberdade de expressão (p. 11).

Compartilhamento de dados com a Abin (ADI 6529, 2020)

Já em 13 de agosto de 2020, viram-se os ministros do STF diante de mais uma investida do Poder Executivo sobre dados pessoais, agora no âmbito da atividade de inteligência, e deferiram, por maioria e parcialmente, medida cautelar para dar interpretação conforme ao disposto no art. 4º, parágrafo único, da Lei 9.883/99.^[8]

Tratava-se de caso envolvendo as atividades da Agência Brasileira de Inteligência (Abin). A corte se atentou para a necessária separação informacional entre órgãos ligados à law enforcement, especificamente, entre atividade de inteligência e atividade de investigação, ao excluir do compartilhamento “os dados referentes às comunicações telefônicas ou dados sujeitos à reserva de jurisdição” em respeito aos direitos fundamentais, exigindo a implementação de medidas de segurança e controle no acesso aos dados.

Foi de seu voto nesse caso que colhi o excerto que nomeia este texto: “tivesse eu nascido em Timbuktu, lá no deserto do Mali, na África, eu seguramente teria outra visão de mundo. Mas sou fruto do meu tempo e tenho que ter os olhos voltados para o futuro”, escreveu a homenageada (p. 3).

Formação de dossiês, privacidade e democracia (ADPF 722, 2020)

Ainda em agosto de 2020, a ministra Rosa Weber proferiu voto no caso da confecção sigilosa de dossiês sobre funcionários públicos, federais e estaduais, e professores universitários.^[9]

Reconhecendo a importância da atividade de inteligência, a ministra chamou a atenção para a exigência de harmonia entre essa atividade e a finalidade que legitima sua existência, especialmente em um ambiente jurídico que privilegia as liberdades. A “bisbilhotice” ou a “perseguição político-ideológica” (p. 8) não constituem interesse legítimo e distanciam-se do que determina o art. 3º da Lei 9.883/1999, “que submete expressamente a legitimidade das atividades de inteligência à observância irrestrita dos direitos e garantias individuais, à fidelidade às instituições e aos princípios éticos que regem os interesses e a segurança do Estado” (p. 8).

Em um ambiente jurídico ainda desacostumado a pensar em termos de separação informacional, circunscreveu a atividade de inteligência a “condutas objetivas e comportamentos específicos potencialmente atentatórios à segurança pública, às instituições democráticas e aos direitos fundamentais”, considerando ilegítimo e atentatório ao regime democrático o tratamento de dados pessoais “contra pessoas apenas em razão do que pensam” (p. 10). E ao delimitar a atividade de inteligência, convocou a aplicação das regras fundamentais da LGPD, pois a “hipótese sequer comporta aplicação da excludente do art. 4º, III, da LGPD, já afastada a viabilidade de se correlacionar, por implausível, qualquer relação entre o ato impugnado e os legítimos fins de segurança pública, defesa nacional, segurança do Estado ou investigação e repressão de infrações penais” (p. 24).

Aqui, como fizera em seu voto na ADI 5527, retornou à demonstração da íntima relação entre privacidade e liberdade de expressão e sua essencialidade para regimes democráticos, que, no caso de monitoramento de dados pessoais para confecção de dossiês, poderia também resultar em um efeito inibitório prejudicial, aqui, ao pleno exercício legítimo dos direitos fundamentais de livre manifestação do pensamento, expressão, reunião e associação (p. 24).

Compartilhamento de dados pessoais entre órgãos públicos (Cadastro Base do Cidadão, ADPF 695 e ADI 6649, 2022)

Em 15 de setembro de 2022, a Suprema Corte deparou-se com duas medidas de controle abstrato de constitucionalidade contra o massivo compartilhamento de dados pessoais instituído pelo Decreto 10.046/2019 (Cadastro Base do Cidadão).

Além de avaliar, naturalmente, a questão do compartilhamento de dados pessoais via interoperabilidade de bases de dados, a corte assentou um pressuposto fundamental na relação entre Administração Pública e pessoas naturais no âmbito da proteção de dados pessoais.

Em seu voto, a ministra afirmou que o “interesse público” não justifica, per se, a intervenção nos direitos fundamentais à privacidade e à proteção de dados pessoais. A corte compreendeu e rechaçou o argumento, comumente implícito nesse tipo de raciocínio, de que as intervenções nos direitos fundamentais seriam sempre justificadas desde que orientadas a favorecer um grupo maior de pessoas (a “coletividade”) ou um indefinido “interesse público”, pois tal argumento poderia justificar – e já justificou ao longo da história recente, com consequências devastadoras  o desrespeito a qualquer direito fundamental, invertendo a lógica valorativa que abre a Constituição, que toma como ponto de apoio central não a coletividade, mas as unidades intocáveis em sua dignidade que a formam: as pessoas humanas (art. 1º, III, CF).^[10]

Sob essa lógica, a Corte, por maioria, deu interpretação conforme ao ato do Poder Executivo, exigindo a “eleição de propósitos legítimos, específicos e explícitos para o tratamento de dados”, a “compatibilidade do tratamento com as finalidades informadas”, a limitação ao mínimo necessário e atendimento aos “demais dos requisitos, garantias e procedimentos estabelecidos na Lei Geral de Proteção de Dados, no que for compatível com o setor público”^[11].

Do voto da homenageada, destaco um ponto que considero fundamental: a exigência de que as intervenções nesses direitos sejam veiculadas pelo legislador, representante que é dos que serão afetados por essas intervenções^[12]. Em outras palavras, a exigência de reserva legal para intervenções em direitos fundamentais. Afirmou que o Estado não pode “angariar arbitrariamente os dados pessoais, sem respaldo normativo específico”, ou seja, “lei em sentido formal” (voto vogal, p, 8 e 20). Para a proteção de dados pessoais contra forma de tratamento que implica na agregação “dos mais variados dados”, isso implica exigir que essas pretensões “tenham vazão na esfera legislativa, com subsequente regulamentação” (p. 11).

Cravada a exigência da reserva legal em seu aspecto formal, não deixou de reconhecer também, exigências substanciais, como a necessidade de respeito à autodeterminação informativa  a “possibilidade de as pessoas saberem o que está acontecendo com os seus dados, na linha do que dispõe a LGPD” em seu art. 6º (p. 16), da qual são servidores os cinco parâmetros que apresenta para “a tutela do direito fundamental à proteção de dados na seara do compartilhamento na Administração Pública”: os perfis finalístico (finalidade), objetivo (minimização), estrutural e funcional (segurança), e, finalmente, informativo (transparência) (p. 16 e 17).

Obtenção de dados pessoais de empresas localizadas no exterior (ADC 51, 2023)

Em 23 de fevereiro de 2023, o tema da proteção de dados pessoais na esfera penal foi retomado no julgamento da ADC 51, no qual se questionava a “constitucionalidade da exigência do cumprimento de instrumentos de cooperação jurídica internacional para a obtenção de dados e informações armazenados no exterior, ainda que custodiada por empresa com operações no Brasil”, envolvendo normas do Decreto 3.810/20012, CPC, CPP, MCI e Convenção de Budapeste.

Nessa ocasião, a ministra observou que o Acordo de Assistência Judiciária em Matéria Penal celebrado entre Brasil e EUA fora-o “em um mundo no qual a Internet vivia sua primeira infância, quando a perspectiva de intenso intercâmbio de dados em escala global configurava ainda uma promessa” (p. 3). Num mundo em que “cada vez maior das nossas relações privadas ocorre em meio digital, e em plataformas cuja arquitetura é global, o acesso a dados situados além de fronteiras se torna cada vez mais comum e presente mesmo em investigações criminais corriqueiras” (p. 5), desde que o compartilhamento “observe parâmetros de garantia da privacidade de dados pessoais, proteção de direitos humanos e respeito ao devido processo legal” (p. 5). Porque se a arquitetura é global, igualmente global deve ser a “proteção dos direitos humanos na era digital”, observados “padrões de proteção de dados pessoais”, com “limites claros e objetivos à obtenção de dados por autoridades públicas”, como manifestação da “exigência do devido processo legal” (p. 6).

Conclusão

Todo esse legado foi, então, consolidado, com maior rigor e firmeza, em voto paradigmático, apresentado dias antes de sua aposentadoria, em caso que tratava do fornecimento de endereços de IP’s e de Devices ID’s com base em termos pesquisados em provedores de aplicação.

A ilegalidade da medida, deduziu a ministra da “inexistência de lei própria, clara e precisa associada à ausência de normativo que atenda os princípios e as obrigações decorrentes do direito fundamental à proteção de dados pessoais (CF, art. 5º, LXXIX)”, e da “inadmissibilidade de devassa indevida sobre o direito fundamental à privacidade (CF, art. 5º, X) de pessoas sobre as quais ausentes quaisquer suspeitas da prática de delitos previamente determinados” (RE 1.301.250, apresentado em 22/09/2023, p. 49).

Termino a homenagem com uma provocação. Há uma tarefa urgente, que surge quase que como um chamado nas linhas e nas entrelinhas do legado da ministra Rosa Weber, e para cujo sucesso suas qualidades e sua experiência seriam determinantes: a implementação de uma Lei Geral de Proteção de Dados em matéria penal. Tarefa pendente e da mais alta importância em um País com uma legislação herdada, em grande parte, de legado autoritário, e que teria muito a ganhar com o engajamento dessa grande “mulher de seu tempo, que tem de ter os olhos voltados para o futuro”.

O subtítulo deste artigo é um excerto do voto da ministra Rosa Weber na ADI 6529. Este texto é uma versão mais enxuta e atualizada daquele publicado com o mesmo título em ROCHA, Maria E. T., SILVA, Christine O. P. da, SILVA, Cristina M. N. da (et al.). Ela pede vista: estudos em homenagem à Ministra Rosa Weber. Londrina: Thoth, 2023.

[1] Esse tema foi retomado com maior vigor em seu voto-vogal na ADI 6649, cf. adiante.

[2] Todos os números indicados ao longo deste texto referem-se à paginação dos próprios votos.

[3] A EC 115 foi promulgada apenas em 10 de fevereiro de 2022.

[4] Que tramitou em conjunto com as ADIs 6388, 6389, 6390 e 6393.

[5] Em 19/11/2020, a ADI foi julgada prejudicada por perda superveniente do objeto, pois a MP não foi convertida em lei.

[6] A ADI está sendo apreciada juntamente com a ADPF 403, sob relatoria do Min. Edson Fachin.

[7] Cf. adiante, especialmente, ADPF 722.

[8] Em sessão virtual do Plenário de 1.10.2021 a 8.10.2021 a cautelar foi confirmada nos mesmos termos.

[9] Cautelar ratificada no julgamento final, Plenário, Sessão Virtual de 6.5.2022 a 13.5.2022.

[10] ADI 6649, acórdão publicado em 19/06/2023, item 3 da ementa: “O tratamento de dados pessoais pelo Estado é essencial para a prestação de serviços públicos. Todavia, diferentemente do que assevera o ente público, a discussão sobre a privacidade nas relações com a Administração Estatal não deve partir de uma visão dicotômica que coloque o interesse público como bem jurídico a ser tutelado de forma totalmente distinta e em confronto com o valor constitucional da privacidade e proteção de dados pessoais.”

[11] ADI 6649, acórdão publicado em 19/06/2023, trechos do item 4 da ementa.

[12] Exigência retomada com toda sua força no voto no RE 1.301.250, cf. adiante.

O legado de Rosa Weber na proteção da privacidade e tratamento de dados pessoais

'Sou fruto do meu tempo e tenho que ter os olhos voltados para o futuro'