Augusta Scheer

Ao longo das últimas décadas, a tecnologia tem possibilitado novas formas de comunicação, o que propicia e estimula as pessoas a estarem cada vez mais conectadas. As redes sociais introduziram alternativas inéditas de socialização e, com a prevalência crescente dessas plataformas, já não resta dúvida quanto à sua relevância no acesso, disseminação e compartilhamento de conteúdo e informações.
Com a promulgação da Lei 13.709 de 14.8.2018 – a Lei Geral de Proteção de Dados (LGPD) – o Brasil aderiu à tendência mundial inaugurada pela União Europeia por ocasião da adoção, em 2016, de seu General Data Protection Regulation (GDPR), abrindo um leque de questões, cujas soluções ainda estão sendo construídas, dentre as quais – aqui se destaca – a situação jurídica do usuário das plataformas de redes sociais.
<a href="https://www.jota.info/produtos/poder?utm_source=Banner%20site&amp;utm_medium=Artigos&amp;utm_campaign=CTA_Poder_materias"><img class="size-medium wp-image-292717 aligncenter" src="https://www.jota.info/wp-content/uploads/2021/01/jota-pro-poder.jpg" alt="" width="688" height="688" /></a>À primeira vista, o mais natural é considera-lo apenas como titular de dados em relação à plataforma por ele utilizada, mas o ordenamento europeu, já mais amadurecido, evidencia situações em que as atividades do usuário não permitem enquadra-lo nessa caracterização mais corriqueira, podendo figurar como responsável por tratamento de dados (controlador).
Isso traz uma série de consequências legais, posto que pesam, sobre o controlador, princípios e obrigações que visam a garantir a proteção completa e efetiva dos titulares de dados.
Antes de mais nada é preciso ter em mente as limitações de natureza material à incidência das leis de proteção de dados, tanto no ordenamento europeu quanto no brasileiro. Ambos afastam do âmbito de incidência das leis protetivas o tratamento de dados praticado para fins puramente jornalísticos (Consideranda 153 e artigo 85 do GDPR; Art. 4o, II, “a” da LGPD), devidamente resguardado pelo direito à liberdade de expressão.
Além dessa hipótese, ambos os ordenamentos excepcionam da incidência geral de suas respectivas leis o tratamento de dados perpetrado por pessoa natural no contexto de atividades exclusivamente pessoais ou particulares (artigo 2(2)(c) do GDPR; Art. 4o, I da LGPD).
Essa exceção se circunscreve às atividades atinentes ao contexto da vida puramente familiar ou doméstica da pessoa humana, notadamente aquelas com propósito inequivocamente não-econômico.
Assim, as atividades desempenhadas pelos usuários no âmbito das redes sociais, quando envolverem tratamento de dados, se mostram, em maioria, abarcadas por essa exceção de incidência e, portanto, afastadas das responsabilidades e obrigações impostas ao controlador pelas leis protetivas de dados.
Entretanto, a própria legislação determina que se as atividades de tratamento de dados tiverem caráter profissional ou comercial, a hipótese já não se ajusta à exceção antes mencionada (Consideranda 18 do GDPR) e termina por submeter o usuário de redes sociais às obrigações da lei de proteção de dados.
Nesse passo, retumba a necessidade de, no contexto das tais redes, estabelecer-se a identificação das situações que se colocam fora do contexto puramente particular ou pessoal. Grosso modo, é possível inferir que tais hipóteses são aquelas em que o usuário não utiliza a plataforma apenas para fins particulares – ou puramente domésticos, como diz a lei – mas a utiliza para outros fins, em geral com objetivos econômicos, promocionais, políticos, filantrópicos, dentre outros.
Ocorre que, no contexto atual, a identificação precisa dessas situações nem sempre é obvia. Nesse sentido, o direito europeu vem estabelecendo alguns critérios indicativos de atividades do usuário cuja finalidade não se enquadra na definição da exclusivamente particular ou pessoal.
O Tribunal de Justiça da União Europeia (TJUE) considerou que a chamada exceção para atividades puramente pessoais ou domésticas “deve, portanto, ser interpretada como tendo unicamente por objeto as atividades que se inserem no âmbito da vida privada ou familiar dos particulares, o que manifestamente não é o caso do tratamento de dados de caráter pessoal que consiste na sua publicação na Internet de maneira que esses dados são disponibilizados a um número indefinido de pessoas.”<a href="#_ftn1" name="_ftnref1">[1]</a>
<blockquote class="jota-article__eye">Dessa forma, se os dados pessoais tratados por um particular no âmbito de uma rede social forem tornados acessíveis ao público, sem qualquer restrição de acesso, esse fator sinaliza no sentido de que o tratamento em questão não se enquadra na exceção para atividades puramente particulares.</blockquote>
Nesse passo, é notável a expansão que vem sendo dada ao conceito de controlador no contexto europeu – que, como já mencionado, há mais tempo vem implantando o tratamento à matéria – para identificar as situações tendentes a operar o deslocamento do usuário de redes sociais, quando realiza tratamento, da condição de titular de dados para controlador.
Sob essa ótica, a análise do nível de influência exercido pelo agente sobre o tratamento de dados é fundamental para caracterizar a figura do controlador. Sobre isso, o extinto Grupo de Trabalho do artigo 29, antecessor do Comitê Europeu para a Proteção de Dados – órgão dentre cujas atribuições se inclui a disponibilização de orientações gerais para interpretação do GDPR – emitiu opinião (Opinion 1/2010) no sentido de que, frequentemente, a análise dos elementos factuais e circunstanciais do caso concreto é o ponto de partida para a avaliação do nível de influência exercido pelo agente de tratamento de modo a qualificar, ou não, determinado agente como controlador.
Nessa linha, o TJUE, no julgado Google Spain contra AEPD e Costeja González<a href="#_ftn2" name="_ftnref2">[2]</a> (que consiste em grande marco na matéria de proteção de dados), assegurou “através de uma definição ampla do conceito de ‘responsável’, uma proteção eficaz e completa” dos titulares de dados, sinalizando para uma significativa expansão da definição de controlador. 
Tal entendimento foi confirmado pelo TJUE em outro julgado<a href="#_ftn3" name="_ftnref3">[3]</a>,  no qual a Corte atribuiu a condição de controlador a administradores de páginas do Facebook, por ter sopesado certos poderes ou atividades destes, tais como “participar, através da definição de parâmetros (…) na determinação dos propósitos e meios de tratamento de dados pessoais dos visitantes da página.” 
O Tribunal verificou que as ferramentas disponibilizadas pelo Facebook aos administradores de página podem permitir – e propiciar – ao administrador o exercício de um nível de influência sobre o tratamento dos dados dos visitantes que se mostra compatível com aquele exercido pelo controlador, daí o TJUE, no contexto do tratamento dos dados pessoais dos titulares visitantes da página, ter reconhecido a controladoria conjunta do administrador da página com a rede social Facebook.
Nas situações em que o usuário e a plataforma da rede social decidem, conjuntamente, sobre a finalidade da coleta de dados e os meios do tratamento a eles conferidos, há mais de um controlador atuando sobre um mesmo tratamento, ficando configurada a controladoria conjunta (artigo 26 do GDPR), com a consequente responsabilidade solidária entre os agentes pelos danos que causarem ao usuário, titular de dados (artigo 82(4) do GDPR).
Nesse ponto cabe frisar que embora não haja, na lei brasileira, o conceito de controladoria conjunta com o nível de detalhamento constante do direito europeu, é francamente admitido o controle pluralístico, já que a LGPD prevê a responsabilidade solidária entre controladores envolvidos num mesmo tratamento (Art. 42, §1º, II da LGPD).
No que diz respeito a tal solidariedade, o ordenamento europeu determina que haja a fixação prévia – não oponível a terceiros – da repartição das responsabilidades (Consideranda 79 do GDPR), a ser firmada entre os controladores pela via de acordo entre os eles.<a href="#_ftn4" name="_ftnref4">[4]</a>
Importa ainda mencionar a possibilidade de, ainda que fique configurada a controladoria conjunta, a plataforma de rede social se valer da exceção de sua responsabilidade em virtude de sua atuação como mero intermediário, desempenhando apenas atividades de armazenamento e distribuição (artigo 2(4) do GDPR e artigos 12 a 15 da Diretiva 2000/31/CE). Nessa hipótese, resta ao usuário responder sozinho pelos danos que causar a terceiros.
Assim, tanto a disciplina imposta pela LGPD e pelo GDPR, quanto a interação sistemática entre o texto legal e a jurisprudência que vem sendo construída no direito europeu, permitem concluir que,  não apenas pela natureza do uso que faz da rede social, como também pela amplitude do conceito de controlador, o usuário que realiza tratamento de dados nas redes sociais pode vir a atrair as obrigações associadas à controladoria, tais como o dever de atender aos princípios do sistema legal de proteção de dados e de resguardar os direitos do titular de dados.
<div id="teste3-99b6e4ed7825b47581be" role="main"></div>
<script type="text/javascript" src="https://d335luupugsy2.cloudfront.net/js/rdstation-forms/stable/rdstation-forms.min.js"></script> 
<script type="text/javascript"> new RDStationForms('teste3-99b6e4ed7825b47581be', 'UA-53687336-1').createForm();</script> 
<script type="text/javascript">
setTimeout(function(){
 const btn = document.getElementById("rd-button-knf3ol7n")
 const check = document.getElementById("rd-checkbox_field-knj7ibbg")
 btn.disabled = true;
 btn.style.opacity = 0.7;
 check.addEventListener("click", function() {
 if (check.checked){
 btn.disabled = false;
 btn.style.opacity = 1;
 } else {
 btn.disabled = true;
 btn.style.opacity = 0.7;
 }
 });
}, 3000);
</script>
<hr />
<a href="#_ftnref1" name="_ftn1">[1] </a>Caso C-101/01, processo penal contra Bodil Lindqvist, parágrafo 47: &lt;<a href="http://curia.europa.eu/juris/document/document.jsf;jsessionid=ADCADA3B5FAD29ACB24B1B4365A78999?text=&amp;docid=48382&amp;pageIndex=0&amp;doclang=pt&amp;mode=lst&amp;dir=&amp;occ=first&amp;part=1&amp;cid=3584523">http://curia.europa.eu/juris/document/document.jsf;jsessionid=ADCADA3B5FAD29ACB24B1B4365A78999?text=&amp;docid=48382&amp;pageIndex=0&amp;doclang=pt&amp;mode=lst&amp;dir=&amp;occ=first&amp;part=1&amp;cid=3584523</a>&gt;.
<a href="#_ftnref2" name="_ftn2">[2]</a> Caso C-131/12, Google Spain contra AEPD e Mario Costeja González, parágrafo 34: &lt;<a href="http://curia.europa.eu/juris/document/document.jsf?text=&amp;docid=152065&amp;pageIndex=0&amp;doclang=PT&amp;mode=lst&amp;dir=&amp;occ=first&amp;part=1&amp;cid=3585479">http://curia.europa.eu/juris/document/document.jsf?text=&amp;docid=152065&amp;pageIndex=0&amp;doclang=PT&amp;mode=lst&amp;dir=&amp;occ=first&amp;part=1&amp;cid=3585479</a>&gt;.
<a href="#_ftnref3" name="_ftn3">[3]</a> Caso C-210/16, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contra Wirtschaftsakademie Schleswig-Holstein GmbH, parágrafo 39: &lt;<a href="http://curia.europa.eu/juris/document/document.jsf?text=&amp;docid=202543&amp;pageIndex=0&amp;doclang=PT&amp;mode=lst&amp;dir=&amp;occ=first&amp;part=1&amp;cid=3585751">http://curia.europa.eu/juris/document/document.jsf?text=&amp;docid=202543&amp;pageIndex=0&amp;doclang=PT&amp;mode=lst&amp;dir=&amp;occ=first&amp;part=1&amp;cid=3585751</a>&gt;.
<a href="#_ftnref4" name="_ftn4">[4]</a> Ainda no que respeita ao caso das páginas de Facebook, veja-se o adendo de controladoria conjunta para os administradores que fazem uso da ferramenta Page Insights: &lt;<a href="https://www.facebook.com/legal/terms/page_controller_addendum">https://www.facebook.com/legal/terms/page_controller_addendum</a>&gt;.

Redes sociais

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Para Tribunal de Justiça da União Europeia, há fatores que podem caracterizar como controlador um mero usuário

O usuário de redes sociais como controlador no tratamento de dados pessoais

Para Tribunal de Justiça da União Europeia, há fatores que podem caracterizar como controlador um mero usuário