Opinião e Análise

Ana Frazão

As controvérsias observadas no cenário europeu, traçadas nas <a href="https://www.jota.info/opiniao-e-analise/colunas/constituicao-empresa-e-mercado/nova-lgpd-direito-a-portabilidade-07112018" target="_blank" rel="noopener">Partes XI</a> e <a href="https://www.jota.info/opiniao-e-analise/colunas/constituicao-empresa-e-mercado/nova-lgpd-ainda-sobre-o-direito-a-portabilidade-14112018" target="_blank" rel="noopener">XII</a> <a href="https://www.jota.info/opiniao-e-analise/colunas/constituicao-empresa-e-mercado" target="_blank" rel="noopener">desta série</a>, ajudam a criar algumas balizas interpretativas do direito à portabilidade no contexto brasileiro, no qual as limitações, como também já visto, são o segredo de negócio e a regulamentação do controlador.
No que toca ao segredo de negócio, a interpretação compatível com os direitos dos titulares de dados pessoais é aquela que, em conformidade com a sistemática do GDPR, inclui no objeto do direito os dados oferecidos direta ou indiretamente pelo titular – em relação aos quais obviamente não se pode falar em segredo de negócio do controlador -, afastando do seu objeto tão somente os dados inferidos pelo controlador a partir de meios que estão protegidos pelo segredo de negócio.
<ul class="jota-article__internal-links">
<li>+JOTA:<a href="https://www.jota.info/cadastre-se"> Faça o cadastro e leia até dez conteúdos de graça por mês! 
</a></li>
</ul>
Maior dúvida existirá em relação aos dados gerados por decisões totalmente automatizadas, em relação aos quais os controladores provavelmente invocarão o segredo de negócio. Todavia, como se verá mais adiante, em relação a tais dados, o titular, nos termos do art. 20 da LGPD, tem direito de explicação e mesmo de oposição. Daí por que tudo leva a crer que deverá haver uma simetria entre os dois direitos, de forma que possa ser objeto da portabilidade tudo aquilo que esteja contido no direito previsto no art. 20.
No caso brasileiro, a LGPD ainda condicionou a portabilidade à regulamentação do controlador. Entretanto, tal questão precisa ser vista com cuidado, pois não se pode admitir que o controlador restrinja indevidamente os direitos dos titulares. Logo, embora a regulamentação do controlador possa ser importante no que diz respeito a questões como a escolha da técnica, do formato e dos procedimentos pelos quais as informações serão transmitidas ao novo controlador, não poderá interferir no próprio objeto do direito. Afinal, até diante do princípio da boa-fé objetiva, que deve se aplicar ao tratamento de dados (LGPD, art. 6º, caput), é defensável que não se deve frustrar a legítima expectativa do titular em relação aos dados que podem e devem ser objeto da transmissão.
De toda sorte, o art. 18, V, da LGPD, parece impor ao controlador o dever de regulamentar adequadamente o direito à portabilidade, esclarecendo os meios técnicos e os procedimentos por meio dos quais viabilizará o exercício do direito por parte do titular.
Também no caso brasileiro, há evidente paralelismo entre o direito à portabilidade e o direito ao acesso, uma vez que, diante dos princípios já previstos no art. 6º da LGPD, pode-se concluir que o usuário tem o direito de receber os dados de maneira estruturada e de leitura automática, seja para o seu conhecimento e uso pessoal, seja para transmiti-los a outro responsável.
Dessa maneira, a ausência de previsão específica quanto à maneira como a portabilidade deve ocorrer não pode prejudicar ou dificultar o exercício do direito, pois há boas razões para se cogitar da aplicação das mesmas regras que estão previstas para o direito de acesso, diante da proximidade entre os dois direitos. Apenas é importante lembrar que, tal como já acentuado na <a href="https://www.jota.info/opiniao-e-analise/colunas/constituicao-empresa-e-mercado/nova-lgpd-direito-a-portabilidade-07112018">Parte XI</a>, tal direito não assegura ao titular a interoperabilidade, que talvez seja um dos maiores óbices para a plena eficácia do direito à portabilidade.
Ao mencionar, no que diz respeito aos requisitos para o exercício da portabilidade, apenas a questão do requerimento expresso por parte do titular, a LGPD pode tornar o procedimento excessivamente amplo e dificultoso para os controladores. A situação não seria tão distinta da europeia, em que se cogita do fato de que, como qualquer empregado do controlador poderia receber o requerimento relativo à portabilidade, o exercício do direito poderia gerar muitos ônus e custos, o que precisa ser visto com cuidado.
Essa é mais uma razão pela qual a aplicação, ao direito à portabilidade, dos procedimentos previstos para o direito ao acesso, seja feita sempre de forma razoável, levando em consideração as características específicas do controlador, a começar pelo porte da empresa. Entretanto, todas as discussões já apontadas, somadas à omissão do legislador brasileiro em prever expressamente os procedimentos de exercício do direito à portabilidade, podem gerar problemas interpretativos ou dificuldades para a eficácia do direito.
Ainda resta mencionar importantes questões que demandam maior reflexão no que diz respeito à portabilidade. Uma delas é a discussão sobre a possibilidade jurídica – além da possibilidade técnica -, da transmissão de dados, o que exigiria perquirir se o receptor dos dados adota os padrões de segurança exigidos pela LGPD. Por essa razão, no contexto europeu, Lucio Studiero<a href="#sdfootnote1sym" name="sdfootnote1anc">1</a> sustenta que, se o controlador para o qual os dados serão transferidos não assegura os padrões de seguranca impostos pela lei, é legítimo que o controlador original não faça a transferência, concluindo que a possibilidade da migração de dados deve ser vista tanto pelo aspecto técnico, como também pelo aspecto jurídico.
É claro que, se a transmissão dos dados for para o próprio usuário, não se justifica a recusa do controlador sob o fundamento da inexistência de um sistema de segurança compatível, até porque o titular estaria lidando com o seu próprio patrimônio, sendo legítimo que assuma os riscos respectivos. Todavia, em casos assim, pode-se cogitar da obrigação do controlador de advertir os indivíduos sobre como proteger seus dados adequadamente.
Outra questão importante diz respeito às exceções à portabilidade. No caso brasileiro, uma delas é expressa no § 7º do art. 18, segundo o qual "A portabilidade dos dados pessoais a que se refere o inciso V do caput deste artigo não inclui dados que já tenham sido anonimizados pelo controlador." Daí por que, em princípio, não se afastaria o direito diante de dados pseudonimizados, ainda que isso possa gerar algumas dificuldades operacionais.
Todavia, além da hipótese de anonimização, discute-se na doutrina também os casos em que os dados precisam ser retidos pelo controlador original para performance de determinadas tarefas ou cumprimento de determinados deveres, especialmente diante do interesse público, bem como os casos que envolvam direitos de terceiros, como é a hipótese de uma foto que contenha a imagem de diversos titulares de dados.
No que diz respeito aos primeiros casos, o art. 16 da LGPD, ao tratar do direito à eliminação de dados após o fim do tratamento, já apresenta as referências que poderão ser observadas em casos de portabilidade, quando impliquem o término do tratamento de dados para o controlador anterior. Aliás, é importante que o direito à portabilidade possa ser exercido concomitantemente ao direito ao esquecimento perante o controlador original. Já nos casos de direitos de terceiros, as discussões são mais delicadas.
Além disso, ainda merecem ser destacadas as preocupações relacionadas à compatibilidade entre o direito à portabilidade e os deveres de segurança a que está sujeito o controlador original, especialmente diante dos riscos inerentes ao procedimento de transferência, tais como ataques de hackers, dentre outros.
Por fim, não se pode esquecer que há casos específicos que, em razão das suas peculiaridades, poderão exigir cuidados e reflexões adicionais no que diz respeito à portabilidade, tal como dados de estudantes entre instituições de ensino ou dados de pacientes entre instituições de saúde.
Consequentemente, a partir dos pontos ora explorados, fica claro que, embora se trate de importantíssimo direito, o direito à portabilidade envolve complexas discussões, motivo pelo qual a sua efetiva implementação dependerá do equacionamento de muitos impasses, a fim de que se possa viabilizá-lo de forma razoável, tanto sob a perspectiva dos direitos dos usuários, como também sob a perspectiva das limitações técnicas e dos custos envolvidos para os controladores.
------------------------------------
<div id="sdfootnote1">
<a href="#sdfootnote1anc" name="sdfootnote1sym">1</a> Op.cit.
</div>

businessmen-3607535_1280

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Série analisa as repercussões para a atividade empresarial

Nova LGPD: considerações finais sobre o direito à portabilidade

Série analisa as repercussões para a atividade empresarial