A Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018) tem nas suas disposições preliminares uma relação de fundamentos (art. 2º) que norteiam todas as normas sobre a proteção de dados pessoais e devem ser compreendidos para a interpretação e a aplicação adequadas da lei.
Os fundamentos são as normas que compõem a estrutura da proteção de dados pessoais e, entre eles, estão quatro vinculados aos titulares dos dados pessoais: os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais (art. 2º, VII, da LGPD).
Esses fundamentos não foram inseridos na lei por acaso e refletem, diretamente, nas regras de proteção dos direitos dos titulares e nas atividades de tratamento dos dados pessoais.
Por exemplo, as normas sobre os cadastros negativos e positivos devem observar os fundamentos previstos no art. 2º, VII, da LGPD.
Os cadastros negativos não possuem uma regulação legal específica, mas foram criados com fundamento no art. 43, § 2º, da Lei nº 8.078/90 (Código de Defesa do Consumidor), que trata da inclusão dos dados pessoais do consumidor em alguma espécie de base de dados: “a abertura de cadastro, ficha, registro e dados pessoais e de consumo deverá ser comunicada por escrito ao consumidor, quando não solicitada por ele”.
Em resumo, esse regra estabelece que (a) o consumidor titular de dados tem o direito de ser informado sempre que houver a inclusão de seus dados pessoais em cadastros, fichas, registros ou banco de dados, quando tiver sido aberto sem o seu consentimento; (b) e a abertura de qualquer espécie de banco de dados deve ser informada de forma clara ao consumidor, para que haja o seu consentimento informado e inequívoco (art. 5º, XII, da LGPD), ou, quando a base legal utilizada não for o consentimento, que sejam observados os direitos inerentes à autodeterminação informativa (art. 2º, II, da LGPD).
Os cadastros negativos contêm dados sobre as dívidas não pagas dos consumidores e são mantidos em bancos de dados de pessoas jurídicas de direito privado que prestam esses serviços para os fornecedores nas relações de consumo, como o Serviço de Proteção ao Crédito (SPC Brasil), o Serviço Central de Proteção ao Crédito (SCPC) e a Serasa Experian. Enquanto os dois primeiros têm bancos de dados formados principalmente por comerciantes e outros prestadores de serviços, a terceira é voltada especialmente para as instituições financeiras.
Por sua vez, os cadastros positivos são regulados pela Lei do Cadastro Positivo (Lei nº 12.414/2011, derivada da Medida Provisória nº 518/2010 e regulamentada pelo Decreto nº 9.936/2019), elaborada com o objetivo principal de ampliar o acesso ao crédito e reduzir os encargos dos contratos bancários, a partir da análise completa do histórico dos clientes, levando em consideração não apenas a inadimplência anterior, mas, especialmente, a adimplência das pessoas em suas relações anteriores com as instituições financeiras.
Assim, além de eventual inscrição em cadastro negativo, os usuários (pessoas naturais ou jurídicas) dos serviços bancários são inscritos em cadastros positivos, que são bancos de dados mantidos pelas instituições financeiras contendo uma pontuação ou nota de cada pessoa, baseada em sua situação econômica e nas relações e contratações realizadas no sistema bancário (ou seja, o histórico de crédito).
Entre as regras sobre a proteção de dados na Lei do Cadastro Positivo, destacam-se: (a) a prestação de informações objetivas, claras, verdadeiras e de fácil compreensão (art. 3º, § 2º, da LCP), o que complementa as regras do Código de Defesa do Consumidor (arts. 31, caput, e 54, § 3º, do CDC) e deve ser utilizada como parâmetro para qualquer contrato bancário que tenha entre seu objeto o tratamento de dados; (b) a autorização para a abertura de cadastro (art. 4º, I, da LCP), que não é condicionada ao requerimento ou ao consentimento prévio do titular de dados, mas pode ser realizada pelo próprio controlador / gestor (por ser um cadastro benéfico aos usuários dos serviços bancários, inverteu-se a ordem, com a autorização do gestor para a abertura do cadastro e a permissão ao titular para requerer a sua exclusão); (c) a permissão do compartilhamento dos dados do titular entre controladores (art. 4º, III, da LCP); (d) a comunicação inequívoca do titular (art. 4º, § 4º, I a III, da LCP); (e) e as hipóteses de dispensa do dever de comunicação (art. 4º, § 5º, da LCP).
Afirmar que os cadastros negativo e positivo devem levar em consideração os fundamentos dos direitos humanos, do livre desenvolvimento da personalidade, da dignidade e do exercício da cidadania pelas pessoas naturais (art. 2º, VII, da LGPD), significa dizer que a proteção dos dados não tem apenas o caráter objetivo (proteção dos dados pessoais), mas também, um aspecto subjetivo (proteção dos titulares dos dados pessoais).