Ao redor do mundo, inúmeros governos estão se valendo da funcionalidade que os smartphones oferecem acerca da geolocalização de seus usuários, para determinar locais onde se tem uma maior aglomeração de pessoas ou, ainda, obter o location tracking daquele dispositivo, apurando se o seu usuário esteve em um local ou próximo de uma pessoa contaminada.
Não questionamos a importância dessas informações para o combate ao COVID-19 que, conforme ressaltam os especialistas, podem gerar uma solução rápida e eficaz para frear a disseminação do vírus.
Todavia, por mais grave que seja a situação atual, ela não outorga um cheque em branco para a Administração Pública, permitindo que da sua atuação resulte na mitigação de outros direitos[1]. Aliás, essa foi uma das preocupações levantadas por Veridiana Alimonti, ao afirmar que “Mesmo com padrões internacionais que autorizem o uso de dados, isso não pode significar a desconsideração de outros direitos”[2].
Mantendo essa discussão nas situações fáticas que estamos vivenciando em território nacional, temos a iniciativa adotada pelo Governo Federal, quanto ao compartilhamento de dados de usuários de serviços de telecomunicações para fins de combate ao COVID-19. Conforme nota informativa do Departamento de Serviços de Telecomunicações da Secretaria de Telecomunicações (SEI-MCTIC), “...dada a importância do uso de informações dessa natureza no enfrentamento à pandemia COVID-19, entende-se, em análise preliminar, que não parecem existir impedimentos jurídicos quanto ao compartilhamento de dados de geolocalização dos usuários de serviços de telecomunicações na forma anônima e agregada, a exemplo do que tem sido feito em alguns países europeus”[3].
Ao ser consultado acerca da viabilidade jurídica quanto à implementação dessa medida, a Advocacia-Geral da União emitiu pareceu favorável ao compartilhamento de dados de usuários de serviços de telecomunicações em comento, tecendo relevantes considerações técnicas quanto ao tema, principalmente à luz da LGPD (Lei nº 13.709/18 que, mesmo não estando em vigor, atua como norte nessas discussões).
Algumas das razões que fundamentam o posicionamento favorável da AGU quanto ao tema, pautam-se no fato de que dados agregados não serão considerados dados pessoais; e na supremacia do interesse público sobre o particular, refletido no art. 13 da LGPD, o qual permite a utilização de dados pessoais na realização de estudos em saúde pública.
Dados agregados nada mais são do que dados sumarizados, ou seja, fragmentos de parte da totalidade dos dados coletados pelos agentes de tratamento, que podem ser organizados dessa forma para fins de otimização do espaço de armazenamento; anonimização dos dados; ou propósitos negociais específicos.
Aliás, essa prática por parte dos serviços de telecomunicações não foi introduzida pela pandemia COVID-19. Além da parceria já ocorrida entre a TIM e a Prefeitura do Rio de Janeiro (que, por ocasião das Olimpíadas, ajudou a desenvolver um Mapa de Deslocamento de Massas na cidade), a iniciativa privada também se vale desses dados agregados, conforme ocorrido, por exemplo, na parceria entre a Telefônica Vivo e o Allianz Parque, para apurar o perfil de procedência de seus frequentadores.
Não há dúvidas, portanto, acerca da relevância, inclusive econômica, que os dados agregados possuem. Resta-nos, portanto, apurar se eles podem ou não serem considerados dados pessoais, ainda que forma mediata.
Nesse ponto, importante as considerações de Bruno Ricardo Bioni, para quem a proteção que a legislação busca tem como escopo “...todo e qualquer dado em que se denote um prolongamento de um sujeito. Dados pessoais não se limitam, portanto, a um tipo de projeção imediata, mas, também, a um referencial mediato que pode ter ingerência na esfera de uma pessoa”[4].
Logo, podemos dizer que dado pessoal são todos os dados que, direta ou indiretamente, têm o componente da identidade de uma pessoa natural, ainda que referida identificação não ocorra de forma imediata, mas em um segundo momento, inclusive com relação à dados que, inicialmente, eram classificados anônimos.
Daí porque, ainda que em princípio, dados agregados não possam ser considerados como dados pessoais, o processamento em conjunto desses dados com uma base de dados já preexistente do Governo, pode levar à sua categorização, em um segundo momento, como dado pessoal, tendo em vista o seu potencial em gerar inferências na esfera pessoal dos cidadãos.
Com relação ao art. 13 da LGPD que, segundo a AGU, reflete o princípio da supremacia do interesse público sobre o interesse privado, ressaltamos que esse dispositivo autoriza o acesso a bases de dados pessoais para a realização de estudos em saúde pública, por órgãos de pesquisa, definidos no art. 5º, XVIII, da mesma lei.
É dizer, a autorização de acesso a sobreditos dados está estritamente condicionada à sua adoção a uma finalidade específica, qual seja, realização de estudos em saúde pública por órgãos de pesquisa.
Assim, para que a Administração Pública possa realizar o tratamento em comento, é imprescindível que os dados agregados e anonimizados não se tornem dados pessoais; e que não se desvie do escopo que legitimou a sua coleta.
Para que haja o cumprimento desses requisitos, é impositivo a observância ao princípio da finalidade e da adequação ao realizar o tratamento dos dados fornecidos pelos serviços de telecomunicações. É dizer, a Administração deve deixar claro o escopo final do tratamento que pretende realizar, como forma de conferir previsibilidade de seu resultado, bem como impedir o seu tratamento posterior (i) dissociado da finalidade inicial; e/ou (ii) órgão distintos daqueles que originalmente realizaram o tratamento dos dados.
Deveras, caso o tratamento desses dados não fique restrito a órgãos de pesquisa voltados à estudos em saúde pública, sendo compartilhado, por exemplo, com órgãos de segurança pública, isso fará com que o tratamento desses dados ocorra para atendimento de uma finalidade distinta daquela que originalmente legitimou a sua coleta.
Outrossim, isso terá como consequência a inserção dos dados agregados em um novo banco de dados (contendo informações próprias), tendo o potencial de fazer com eles se tornem dados pessoais, diante do potencial em gerar inferências na esfera privativa dos cidadãos, ao serem analisados de forma conjunta.
Por fim, ainda que muitos se posicionem no sentido de que toda essa elucubração acerca da aplicação da LGPD na hipótese seria inócua (pois ela ainda não está em vigor), quando se trata da Administração Pública, a obrigação de observância à finalidade que originalmente legitimou o tratamento dos dados independeria daquela legislação.
Conforme bem elucidado por Fernando Antonio Tasso e Bruno Ricardo Bioni[5], os princípios da finalidade, adequação e da responsabilização e prestação de contas, previstos na LGPD, ao serem direcionados para situações onde a Administração Pública realiza o tratamento de dados, buscam fundamento de validade nos princípios constitucionais da legalidade, da impessoalidade e da moralidade (art. 37 da Constituição Federal).
Assim, a observância aos referidos princípios pela Administração Pública poderia ser exigida independentemente da sua previsão na LGPD, pois, em verdade, eles nada mais são do que reflexos dos princípios gerais aos quais a Administração Pública já está submetida.
Sem embargo, a ausência de previsão legal não impediria de se verificar a validade do ato administrativo que dissociar o tratamento dos dados da sua finalidade inicial. Com efeito, conforme lição de Celso Antônio Bandeira de Mello, o motivo do ato é um dos seus requisitos de validade, o qual consiste na “...própria situação material, empírica, que efetivamente serviu de suporte real e objetivo para a prática do ato”[6].
Logo, se a situação fática que legitimou a utilização de dados agregados, fornecidos pelos serviços de telecomunicações, foi o seu tratamento para fins de saúde pública diante do COVID-19, o aproveitamento desses dados para finalidade distinta, resultará na invalidade de seu novo tratamento, por vício de motivação do ato.
Ainda que breve, essas são apenas algumas considerações a serem ponderadas quando se trata acerca da possibilidade de a Administração Pública realizar o tratamento de dados dos particulares, quando estamos diante de situações emergenciais. Não nos opomos a utilização desses dados como uma forma de auxílio no combate à pandemia COVID-19, apenas reforçamos a necessidade de ficarmos atentos para que, mesmo em situações de excepcionalidade, não haja a mitigação de direitos dos cidadãos.
Notas
[1] Tal como defendido por Bruno Ricardo Bioni (Proteção de dados pessoais: a função e os limites do consentimento. Rio de Janeiro: Forense, 2018) e Laura Schertel Mendes (Privacidade, proteção de dados e defesa do consumidor: linhas gerais de um novo direito fundamental. São Paulo: Saraiva, 2014) os dados pessoais se inserem na categoria de direitos da personalidade. Daí a importância de tutela pelo ordenamento jurídico.
[2] Entrevista concedida ao jornal O Estado de São Paulo, publicação da edição de 12/04/2020 (Caderno B8)
[3] Nota Informativa nº 1192/2020/SEI-MCTIC.
[4] Proteção de dados pessoais: a função e os limites do consentimento. Rio de Janeiro: Forense, 2018, p. 75.
[5] Do Tratamento de Dados Pessoais pelo Poder Público. In. LGPD – Lei Geral de Proteção de Dados comentada. São Paulo: Ed. Revista dos Tribunais, 2019, pp. 275-276.
[6] Curso de Direito Administrativo. São Paulo: Malheiros, 33ª ed., 2016, p. 410.
