Opinião e Análise

Bianca Mendes Pereira Richter Boscatto

DA DISCRIÇÃO
Não te abras com teu amigo 
Que ele um outro amigo tem. 
E o amigo do teu amigo 
Possui amigos também…
Mario Quintana
&nbsp;
<h3>O caso em si: RW v. <a href="https://curia.europa.eu/juris/document/document.jsf?text=&amp;docid=269146&amp;pageIndex=0&amp;doclang=EN&amp;mode=lst&amp;dir=&amp;occ=first&amp;part=1&amp;cid=87333">Österreichische Post AG</a></h3>
O caso se origina na Áustria entre um cidadão e a empresa de correios acerca do conteúdo do direito de acesso a dados. O Regime Geral de Proteção de Dados (RGPD) em português, ou GDPR (General Data Protection Regulation) como restou mundialmente conhecido, estabelece, em seu artigo 15, que o cidadão tem direito de obter do controlador a informação sobre os destinatários de seus dados ou sobre as categorias de destinatários de seus dados.
A partícula alternativa “ou” é utilizada no dispositivo sem qualquer indício se haveria preferência no fornecimento da informação: ou destinatários específicos dos dados, ou categorias de destinatários. A pergunta que emerge deste dispositivo legal é: deveria o controlador dos dados informar ao cidadão sobre todos os destinatários de seus dados que foram tratados ou essa informação pode ser passada de maneira genérica através de categorias?
Em 15 de janeiro de 2019, o cidadão em questão, que chamaremos de Beltrano, buscou os correios austríacos para obter informações específicas sobre o tratamento e o compartilhamento de seus dados. Na resposta, os correios indicaram o compartilhamento de dados de usuários com clientes comerciais para finalidades de marketing, organizações não governamentais, organizações de caridade, partidos políticos, dentre outros, mas não indicou quem seriam essas pessoas e/ou empresas.
Em razão da resposta genérica, Beltrano processou os correios, pedindo a condenação do réu ao fornecimento de mais informações, nos termos do artigo 15 da GDPR, ou seja, com a indicação expressa de quem teriam sido os destinatários de seus dados pessoais.
As instâncias ordinárias austríacas julgaram o pedido improcedente em razão da partícula “ou” presente no mencionado dispositivo da regulamentação, conferindo ao responsável pelo tratamento a possibilidade de indicar somente a categoria de destinatários como resposta suficiente. O feito seguiu para a instância superior do Judiciário austríaco e, em razão das dúvidas sobre a interpretação do art. 15, o caso foi remetido às instâncias judiciárias europeias para indagação sobre o seguinte ponto:
<blockquote class="jota-article__citation">Deve o artigo 15.o, n.o 1, alínea c), do [RGPD], ser interpretado no sentido de que o direito de acesso [do titular dos dados] se limita à informação sobre as categorias de destinatários quando os destinatários concretos das divulgações planeadas ainda não estão determinados, ao passo que, quando os dados já tiverem sido divulgados, o direito de acesso deve obrigatoriamente abranger também os destinatários dessas divulgações?</blockquote>
<h3>Conceitos relevantes para a compreensão do caso</h3>
Antes de avançarmos sobre o caso, sua interpretação e possíveis impactos sobre alguns atores do cenário de dados, convém mencionar conceitos centrais para a compreensão da presente discussão.
Os dados fluem em nossa sociedade a todo momento. A partir do momento em que fornecemos nossos dados a empresas ou a entidades de caridade, há a possibilidade de esses dados serem compartilhados e isso ocorre por diversos motivos: entrega de produtos, estatísticas e a lista poderia seguir bastante. Por sermos titulares de dados, temos direito sobre eles, que passam pela transparência de saber por onde nossos dados transitam.
Dessa maneira, saber se uma empresa remete meus dados para a empresa ABC de marketing ou para empresas de marketing em geral teria consequências nas minhas ações subsequentes como titular de dados a priori. Por outro lado, na prática dos controladores de dados de terceiros, a informação sobre quais dados precisam estar prontos a serem fornecidos aos titulares de dados é relevante para que empresas, por exemplo, possam estar alinhadas à prática de compliance com a proteção de dados, evitando-se multas em razão da fiscalização.
Ainda, dentro do contexto em que dados são usados e compartilhados, há a categoria de “controlador de dados” e a de “processador de dados”. Perceber a diferença entre elas é fundamental para a compreensão do que aqui se discute. Enquanto o controlador de dados é aquele que decide os propósitos e os meios do processamento de dados pessoais, ele também pode ser responsabilizado por prover informações e manter as informações atualizadas, por exemplo.
Por outro lado, o processador de dados cuida do fluxo e da utilização dos dados de acordo com as orientações transmitidas pelo controlador. Cabe ao processador manter a segurança dos dados recebidos e o registro do uso desses dados, por exemplo. Perceber que a legislação atribui diferentes responsabilidades para essas figuras é essencial dentro do contexto de exercício de direitos pelo titular de dados pessoais. A partir dessas breves considerações, passamos a analisar as implicações práticas deste julgado da Corte Europeia de Justiça e suas implicações também no cenário brasileiro.
<h3>Julgamento no caso C-154/21 da Corte Europeia de Justiça</h3>
Argumento relevante no caso envolve ser o mencionado dispositivo a regulamentação de um direito. Assim, cabe ao titular do direito escolher se pretende receber uma lista minuciosa dos destinatários de seus dados ou se pretende ver essa informação organizada por categorias gerais.<a href="#_ftn1" name="_ftnref1">[1]</a> Caso o cidadão não especifique como deseja receber essa informação, deve o controlador de dados fornecê-la da forma mais detalhada possível, segundo o mencionado julgado, o que cria espaço para algumas considerações, a seguir compartilhadas.
Fortalecimento da transparência no tratamento de dados
No julgado, prevalece o argumento de que possibilitar o acesso aos destinatários específicos dos dados permite a verificação da licitude do tratamento de dados, além de viabilizar o exercício de outros direitos também previstos na GDPR, como o direito à retificação, o direito a ser esquecido e o direito à limitação do tratamento, segundo a argumentação legal exarada na opinião do advogado geral e da própria Corte ao decidir o caso.<a href="#_ftn2" name="_ftnref2">[2]</a>
Argumenta-se que caso o cidadão não soubesse quem seriam os destinatários de seus dados, o direito ao esquecimento, o direito a retificação, dentre outros<a href="#_ftn3" name="_ftnref3">[3]</a> direitos previstos na GDPR seriam esvaziados, levando à necessária interpretação do seu artigo 15 no sentido de que os destinatários específicos precisam ser listados (efeito útil).  Dessa maneira, a interpretação do art. 15 da GDPR no sentido de ter o sujeito de dados o direito de receber a lista de destinatários de seus dados acabaria por fortalecer o sistema de direitos construído na legislação. Entretanto, os mencionados direitos que restariam esvaziados são exercidos contra o controlador de dados.<a href="#_ftn4" name="_ftnref4">[4]</a> Saber se meus dados foram compartilhados com outros processadores de dados não afeta esses direitos que contra o processador não podem ser exercidos.
Em nossa opinião, a justificativa para a interpretação que ao final foi dada ao caso encontra guarida em outro cenário. Igualmente nobre, mas menos pragmática. Trata-se da transparência de dados per se, relacionada ao fortalecimento da proteção de dados para indivíduos na sequência de inúmeros julgados da ECJ<a href="#_ftn5" name="_ftnref5">[5]</a> que vão ao encontro deste objetivo e ao posicionamento do indivíduo como titular de seus dados no amplo sentido do seu termo, tendo ciência de sua divulgação, transmissão e uso por terceiros, circundada pelo aumento da responsabilidade daqueles que recebem dados para o seu controle, tratamento e processamento.
Afinal, dados não devem circular por controladores e processadores como segredos contados dos quais os titulares pouco sabem. A fala de Quintana trazida no começo não se aplica para os dados sob a GDPR ou sob a <a href="https://www.jota.info/tudo-sobre/lgpd">LGPD</a>. Titulares de dados pessoais são sujeitos de direitos. Dados são objetos que precisam ser resguardados para além de interesses pessoais e comerciais<a href="#_ftn6" name="_ftnref6">[6]</a> que circulam entre amigos, parceiros comerciais e agentes estatais sem a ciência de seu titular.
Limites ao direito de acesso à informação sobre compartilhamento detalhado de dados
Ao tratar dos possíveis aspectos negativos deste julgado, sobrevém destacar as duas limitações ao direito de acesso a dados estampado no art. 15 da GDPR de acordo com a interpretação a ser dada a partir deste julgamento, que são essencialmente duas: (1) impossibilidade de acesso à informação pelo controlador dos dados; ou, (2) pedido manifestamente infundado ou excessivo.
Pergunta-se: quando será impossível ter acesso a essa informação?
A impossibilidade resta bastante clara em situações do futuro, assim como os pedidos manifestamente infundados costumam ser aqueles exemplos limítrofes de dezenas ou centenas de pedidos repetidos. Entretanto, para situações nebulosas quanto ao seu posicionamento, convém que o controlador de dados bem justifique a sua negativa com base nas possíveis limitações caso tenha que explicar a sua recusa em eventual processo judicial e/ou administrativo.
Repercussões para controladores de dados
Controladores de dados pessoais precisam se organizar para ter essas informações prontas, se requeridas, se atuarem dentro da UE de alguma maneira. A questão é se essa demanda valeria também para outras localidades. Embora a legislação no Brasil seja outra, a LGPD, a sua inspiração está na GDPR, que motivou a decisão ora em análise. Dessa maneira, esse entendimento tende a ser altamente persuasivo para conflitos em terras brasileiras.
Entretanto, uma questão subsequente é se esse entendimento precisa chegar a ser usado dentro do contexto brasileiro, que na própria legislação já estabelece o direito do usuário de dados de acessar a “informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados”<a href="#_ftn7" name="_ftnref7">[7]</a>.
O legislador brasileiro, por sua vez, ao mesmo tempo em que prevê o princípio da transparência para as atividades de tratamento de dados pessoais (art. 6º, VI, LGPD) e regulamenta o direito de acesso às informações acerca do uso compartilhado de dados pelo controlador e a finalidade (art. 9º, V, LGPD), estabelece que o titular dos dados pessoais tem direito a obter do controlador a qualquer momento e mediante requisição a informação das entidades públicas e privadas com as quais o controlador realizou o uso compartilhado de dados (Art. 18, VII, LGPD).
Assim, na legislação brasileira, não há dúvidas de que o controlador deve fornecer ao titular de dados pessoais informações das entidades públicas e privadas com as quais os dados foram compartilhados. Não menciona a legislação o termo “categoria” de entidades. Logo, em interpretação literal do mencionado dispositivo, somente haveria uma interpretação possível para a concretização desta regra que concretiza o princípio da transparência no tratamento de dados pessoais.
Para controladores que lidam com grande volume de acessos e pedidos de informações sobre dados, é importante considerar a publicização de suas políticas de compartilhamento de dados, de forma a filtrar pedidos individuais na fase inicial como forma de lidar com a grande carga de trabalho por pedidos individuais pelos titulares de dados.
<hr />
<a href="#_ftnref1" name="_ftn1">[1]</a> A íntegra do julgado pode ser consultada aqui: <a href="https://curia.europa.eu/juris/document/document_print.jsf?mode=req&amp;pageIndex=0&amp;docid=269146&amp;part=1&amp;doclang=PT&amp;text=&amp;dir=&amp;occ=first&amp;cid=1636241">https://curia.europa.eu/juris/document/document_print.jsf?mode=req&amp;pageIndex=0&amp;docid=269146&amp;part=1&amp;doclang=PT&amp;text=&amp;dir=&amp;occ=first&amp;cid=1636241</a>. Acesso em: 08.06.2023.
<a href="#_ftnref2" name="_ftn2">[2]</a> Esses direitos estão nos artigos 16 a 18 da GDPR.
<a href="#_ftnref3" name="_ftn3">[3]</a> Os outros direitos mencionados na decisão são o direito de oposição ao tratamento dos seus dados pessoais (art. 21, GDPR) e o direito de recurso quando presente um prejuízo (arts. 79 e 82, GDPR).
<a href="#_ftnref4" name="_ftn4">[4]</a> Exemplo disto é o direito de notificação para terceiros com quem os dados foram compartilhados. Essa notificação cabe ao processador de dados segundo o art. 17, GDPR.
<a href="#_ftnref5" name="_ftn5">[5]</a> Para mencionar somente alguns, podemos lembrar de Roche v. UK (2005), Haralambie v. Romania (2009), Godelli v. Italy (2012).
<a href="#_ftnref6" name="_ftn6">[6]</a> Nesse sentido são as recomendações para a interpretação da transparência na GDPR. O arquivo está disponível em: https://ec.europa.eu/newsroom/article29/items/622227. Acesso em 12/06/2023.
<a href="#_ftnref7" name="_ftn7">[7]</a> LGPD, Art. 18. “O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição: [...] VII - informação das entidades públicas e privadas com as quais o controlador realizou uso compartilhado de dados”.

dados pessoais

https://images.jota.info/wp-content/uploads/2021/09/copy-of-jota-logo-high-cmyk.jpeg

JOTA

Reflexões sobre julgamento da Corte Europeia de Justiça e seus impactos para quem lida com dados em face da LGPD

O direito de acesso a dados pessoais e a seus destinatários

Reflexões sobre julgamento da Corte Europeia de Justiça e seus impactos para quem lida com dados pessoais em face da LGPD