Resumo: Dados pessoais são insumos essenciais para praticamente todas as atividades econômicas e são cada vez mais usados na criação de novas tecnologias e modelos de negócios. Em razão de tal uso, grandes empresas de tecnologia começaram a tratar uma quantidade cada vez maior de dados pessoais, para impulsionar seus negócios. Esse tratamento desregulado de dados pessoais começaram a trazer enormes prejuízos para os titulares de dados e para a sociedade como um todo. Através da ferramenta que possibilita a sistematização de imensos volumes de informação são os bancos de dados, os quais tiveram seu potencial significativamente avançado com o advento da informática. Bancos de dados é, em sua concepção fundamental, um conjunto de informações estruturado de acordo com uma determinada lógica utilitarista, que procura propiciar a extração do máximo de proveito possível a partir desse conjunto. Nesse sentido, conclui na noção dos riscos relativos à utilização dos dados pessoais no contexto tecnológico, partindo para a análise dos princípios norteadores da proteção dos dados pessoais, os denominados fair information principles, elencados como os seguintes: princípio da publicidade (ou da transparência); princípio da exatidão; princípio da finalidade; princípio do livre acesso; e o princípio da segurança física e lógica. Em seguida, analisam-se as legislações pertinentes à proteção de dados no Brasil, seu histórico a partir de outros ordenamentos jurídicos. Tais legislações, além de estabelecerem padrões e normas de tratamento, responsabilizam as empresas que não seguem as normas e causem prejuízos aos titulares dos dados. Para tanto, o objetivo é evidenciar a importância do surgimento da LGPD no cenário brasileiro, bem como demonstrar através de pesquisas doutrinárias, a responsabilidade civil dos agentes nos tratamentos de dados pessoais. Portanto diante dessa problemática o presente artigo busca oferecer bases introdutórias para uma reflexão em torno dos fundamentos que justificam a proteção dos dados pessoais com a responsabilização civil.
Palavras-chave: Dados Pessoais; LGPD; Responsabilidade Civil; Autodeterminação do Titular.
INTRODUÇÃO
O tratamento de dados pessoais existe desde o início da sociedade. Quando pessoas preenchiam fichas cadastrais para uma vaga de emprego, por exemplo, muito antes de se utilizar a tecnologia a favor da empresa essas fichas eram armazenadas em armários no setor do RH, da mesma forma quando as pessoas faziam uma consulta médica, disponibilizando seus dados em um formulário médico, e assim por diante.
Com o surgimento das novas tecnologias, sobretudo as que envolvem o uso da internet, os dados pessoais que antes eram acessíveis por poucas pessoas, passaram a se tornar mundial.
Muitas empresas começaram a armazenar dados sobre pessoas e através da convergência desses dados, começaram a adquirir informações sobre os titulares e utilizar tais informações para os intuitos econômicos e retirar valores dos dados pessoais, trazendo aos titulares certa vulnerabilidade por não terem direito de se preservar contra ações que julgassem injustas.
Contudo, surgiu a necessidade de definir novos padrões de operações com dados pessoais, no qual transigiu aos indivíduos o exercício do controle sobre tais dados. Outro ponto levado em conta é que não deveriam existir restrições em excesso ao fluxo de dados pessoais, pois isso provocaria um enorme prejuízo a todos os países do mundo, impedindo o desenvolvimento econômico e tecnológico.
Um dos dispositivos da lei Europeia de proteção de dados, o GDPR, determina que só possa haver transferência de dados pessoais para países que possuí leis de proteção de dados com padrões legais similares aos da supracitada lei.
Por isso e outros fatores, o Brasil editou a Lei 13.709/2018, conhecida como Lei Geral de Proteção de Dados Pessoais, ou simplesmente LGPD.
Tal lei traz um arcabouço legislativo extremamente amplo, que busca estabelecer padrões de tratamento de dados pessoais adequados à nova realidade tecnológica em que nos encontramos nos dias de hoje.
Sua principal novidade é a inserção, no ordenamento jurídico brasileiro do fundamento da autodeterminação informativa, que se constitui na faculdade que toda pessoa tem de exercer, de algum modo, controle sobre seus dados pessoais, garantindo-lhe, em determinadas circunstâncias, decidir se a informação pode ser objeto de tratamento (coleta, uso, transferência) por terceiros, bem como acessar bancos de dados para exigir correção ou cancelamento de informações.
Hornung e Schnabel, prelecionam que:
O direito à autodeterminação informativa, como âncora constitucional da proteção de dados, integra o denominado direito geral da personalidade. O direito geral da personalidade na Alemanha teve origens na doutrina de Otto Von Gierke, no final do Século XIX, e posteriormente foi reconhecido pioneiramente pelo Tribunal Superior Federal (Bundesgerichtshof - BGH), em decisão de 1954. Na sequência, foi e vem sendo e desenvolvido pelo Tribunal Constitucional Federal (Bundesverfassungsgericht), sendo derivado da combinação do art. 1º, I (dignidade da pessoa) e art. 2º, I (livre desenvolvimento da personalidade) da Lei Fundamental, ou seja, a sua atuação em conjunto garante a cada indivíduo a possibilidade de desenvolver a sua própria personalidade. (HORNUNG, Gerrit, SCHNABEL, Christoph. 2009, página. 84).
A LGPD traz padrões de governança de dados pessoais a serem seguidos, sugerindo a adoção de diversas medidas técnicas e administrativas para garantir a segurança e o adequado tratamento dos dados pessoais dos titulares.
A referida lei impõe aos terceiros que tratam dos dados pessoais que de agora em diante serão denominados agentes de tratamento, onde há diversas sanções para casos em que os agentes desrespeitem os padrões de governança e segurança impostos pela lei. Tais sanções variam de uma simples advertência até a proibição total e permanente de o agente infrator tratar quaisquer dados pessoais.
Trazendo esse conceito para o âmbito do Direito Privado, a noção jurídica de responsabilidade conjectura a atividade danosa de um indivíduo que atuando a priori ilicitamente, viola uma norma jurídica preexistente, subordinando-se dessa forma, as consequências do ato (obrigação de reparar). Através desse instituto, pessoas físicas e jurídicas são punidas, de acordo com a responsabilidade que possuem sobre suas ações.
Existe a responsabilidade civil objetiva, bastando apenas à existência da conduta humana, do dano e do nexo de causalidade. Embasa-se, na teoria do risco, que o risco proveito está fundado no princípio ubi emolumentum ibi onus, que se traduz na responsabilidade daquele que tira proveito ou vantagem do fato causador do dano é obrigado a repará-lo. Na qual toda pessoa que exerce alguma atividade que gera risco de danos a terceiros, se o dano for ocorrido, deve ser reparado, mesmo que não haja concorrido com culpa. Isso significa dizer que a responsabilidade civil se desloca da noção de culpa para a ideia de risco.
A responsabilidade objetiva está presente no art. 927, parágrafo único do Código Civil de 2002, no qual:
Art. 927. Aquele que, por ato ilícito (arts. 186 e 187), causar dano a outrem, fica obrigado a repará-lo.
Parágrafo único. Haverá obrigação de reparar o dano, independentemente de culpa, nos casos especificados em lei, ou quando a atividade normalmente desenvolvida pelo autor do dano implicar, por sua natureza, risco para os direitos de outrem.
Ao lado da responsabilidade civil decorrente do ilícito civil ou do abuso de direito, inseridas nos artigos 186 e 187 do CC/02, referindo-se a ideia de culpa, em determinados casos analisados pelo magistrado, poderá reconhecer a responsabilidade civil do infrator, sem a indagação de culpa, isto é, responsabilidade civil objetiva, através de duas situações mencionadas acima.
O conceito de responsabilidade civil subjetiva estava consolidado no Código Civil de 1916, no art. 159, na ocasião resulta em da fusão de dois dispositivos legais presentes nos artigos 186 e 927 do CC/02. No art. 186 do CC/02 estabelece um preceito segundo o qual: “aquele que, por ação ou omissão voluntária, negligência ou imprudência, violar direito e causar dano a outrem, ainda que exclusivamente moral, comete ato ilícito”, ao passo que o caput do art. 927 do CC/02 prevê as consequências jurídicas do caso em questão “aquele que, por ato ilícito (artigos. 186 e 187), causar dano a outrem, fica obrigado a repará-lo”.
Entretanto, o antigo art. 159 do CC/1916 falava em violar direito, ou causar prejuízo a outrem, a nova cláusula refere “violar direito e causar dano a outrem”. Se a alteração fosse a sentido contrário, poder-se-ia sustentar que o legislador estaria acolhendo a ideia de uma responsabilidade civil de cunho punitivo ou eventualmente dissuasório, e não de natureza reparatório ou compensatório. Isto porque a obrigação de indenizar poderia decorrer, em tal hipótese, tanto do fato de ter sido causado um prejuízo, quanto da hipótese de uma mera violação do direito.
Portanto, quanto a esse aspecto, a alteração foi mais de forma do que de conteúdo. De acordo com a vontade do legislador, a responsabilidade subjetiva continua sendo o fundamento básico de toda a responsabilidade civil: o agente só será responsabilizado, em princípio, se tiver agido com culpa.
Existe uma enorme dúvida acerca de qual seria o regime de responsabilidade civil a ser aplicado aos agentes de tratamento quanto a sua responsabilidade com relação aos titulares de dados. A própria doutrina nacional encontra-se dividida com relação ao tema, existindo argumentos que buscam comprovar os dois lados.
No presente ensaio, faremos uma análise histórica do surgimento das normas de proteção de dados pessoais no mundo, com especial enfoque nas normas europeias, faremos exposição do surgimento da Lei Geral de Proteção de Dados no Brasil, breves exposições sobre os dois regimes de responsabilidade civil no direito brasileiro e por fim demonstrar-se-á qual o regime adotado pela LGPD.
1. SURGIMENTO DAS NORMAS DE PROTEÇÃO DE DADOS NO MUNDO
A matéria jurídica de proteção de dados pessoais vem sendo construída há pelo menos cinco décadas. Em meados de 60, através da ARPA - (Advenced Research Projects), um projeto colocado em pratica por Robert Taylor, com objetivo primário de conectar a comunidade acadêmica e científica dos estados americanos, na época os computadores eram supercomputadores: grandes, caros e espalhados por todo o país.
A proposta desse projeto era de que cada universidade tivesse computadores para determinadas especialidades e o restante da comunidade acadêmica pudesse utilizá-los para se conectar com a rede de computadores.
O desafio se revelava na medida em que era necessário fazer com que os computadores conversassem, levando em consideração que utilizavam linguagens diferentes. A internet teve início, assim, com esforços para tornar possível a comunicação entre quatro redes locais: Universidade da Califórnia/Los Angeles, Stanford Research Institute, Universidade de Utah e Universidade da Califórnia/Santa Bárbara.
Em busca de promover a comunicação entre as redes locais, foram criados conceitos e protocolos fundamentais, desenvolvidos nos anos seguintes, para processamento de mensagens e divisão dos dados em pacotes fragmentados. Nos anos 60 foi dado início à comercialização de equipamentos para permitir a estruturação de pequenas redes privadas.
Nesta ocasião fez-se essencial diferenciar o termo internet (inicial minúscula) com a Internet (inicial maiúscula). Por internet, interpreta-se qualquer rede privada e fechada de computadores, conectados através do uso de protocolos TCP/IP. Em contrapartida, Internet, relaciona-se da rede pública, federal e ampla, integrada das várias internets reunidas pela ARPA.
Observa-se ainda que, naquele momento o conceito de Internet como a rede mundial de computadores ainda era ausente, e seria sucedido apenas 10 anos depois, com o surgimento do WWW (Word Wide Web) na década de 90.
No ano de 1995, os primeiros anos de uso importante do World Wide Web, existiram aproximadamente 16 milhões de usuários no mundo. Seis anos depois, o número de usuários atingia 400 milhões. Observa-se que, a internet demorou quase 40 anos para se tornar a rede mundial de computadores. (Década de 60 à década de 90), com menos de 10% deste tempo já percebia uso visivelmente inexpressivo frente aos números atuais, transformava a vida em sociedade e chamava atenção de sociólogos e filósofos.
A exposição de um crescimento exponencial para o progresso tecnológico, posteriormente se tornou conhecida como a Lei de Moore e foi ampliada para abranger também a memória do computador, a capacidade de armazenamento de dados e as telecomunicações.
Desta forma, a acelerada disseminação global de inovação e sua agregação ao cotidiano da sociedade interferem ou deveria interferir na concepção da regulação do direito. O desafio de saber o que, quando e como regular parece ter se tornado ainda mais difícil.
Essa dificuldade, traduzida em desafio, pôde transforma-se em estopim para a tarefa de aproximar o ordenamento do novo perfil que assume a personalidade em uma sociedade que muda velozmente, na qual os centros de poder e o espaço para a atuação do direito na regulação social são menos claros.
1.1. O IMPULSO DAS NORMAS DE PROTEÇÃO DE DADOS
A tecnologia ganhou novo impulso com o aumento na velocidade do seu desenvolvimento em diversas áreas, como a eletrônica, as telecomunicações e tantas outras.
Essas tecnológicas passaram a condicionar imediatamente a sociedade, com a sua filosofia de trabalho, seus instrumentos de produção, sua distribuição do tempo e de espaço, além de se detectar diretamente com a matéria dos instrumentos e mecanismos de controle que podem causar a corrosão da privacidade. A proporção que a tecnologia tornou-se motivo de reflexão para as ciências sociais, entre elas o direito.
A base dos debates doutrinários sobre o direito à privacidade aconteceu não por coincidência, mas como consequência direta da utilização de novas técnicas e instrumentos que estabeleceram uma época na qual a privacidade era posta em xeque justamente pela tecnologia. O direito de privacidade antes era tido como um direito, mas em razão das novas tecnologias e o seu uso, ‘rastros’ das atividades humanas na rede começaram a ser deixados no mundo online.
Em razão disso e das tecnologias de big data, os rastros no mundo online passaram a ser utilizados como atividade econômica.
Neste cenário, buscamos demostrar como a tecnologia deixou de ser vista como uma mera situação de fato, isolada de uma condição, para ser um vetor limitante da sociedade e, em efeito, do próprio direito.
Os reflexos, dessa dinâmica são imediatos para o direito, pois esse deve se mostrar apto a responder a novidade proposta pela tecnologia com a reafirmação de seu valor fundamental - a pessoa humana - ao mesmo tempo em que fornece a segurança necessária para que haja a previsibilidade e segurança devidas para a viabilidade das estruturas econômicas dentro do da tábua axiológica constitucional.
O verdadeiro problema não é saber sobre o que o direito deve atuar, mas sim de como interpretar a tecnologia e suas possibilidades em relação aos valores presentes no ordenamento jurídico.
O aparecimento da rede internet, por exemplo, definitivamente expandiu as possibilidades de comunicação e fez surgir um grande número de questões ligadas à privacidade.
A República Federal da Alemanha contava, desde 1977, com uma lei federal de proteção de dados pessoais, a Bundesdatenschutzgesetz (BDSG).
Fato marcante ocorreu na Alemanha, com a Lei do censo de 1983. Essa lei previa que cada cidadão deveria responder a 160 perguntas, a serem submetidas a tratamento informatizado, fazendo assim gerar alguns pontos de controvérsias dessa lei, como a existência de multa pecuniária, relativamente elevada, para os que não respondessem ao questionário, possibilidade de que os dados obtidos pelo censo fossem confrontados com os dados do registro civil para uma eventual retificação do próprio registro.
Então foi a causa de uma célere sentença da Corte Constitucional Alemã (BDSG), que até hoje é uma forte referência no campo da proteção de dados pessoais. O alvo da sentença foi à própria lei que organizava o censo, aprovado em 1982.
Esses e outros pontos estimularam um sentimento generalizado de insegurança, adepto à impressão de que o governo poderia se valer dos dados obtidos, que inicialmente, ajudariam a finalidades estatísticas, para realizar um gerenciamento das atividades e da condição pessoal dos cidadãos. Alguns agentes de proteção de dados e entidades da sociedade civil chamaram a atenção para o problema que o censo na forma que foi planejado, poderia causar aos alemães. Essa discordância deu origem a um processo que provocou uma sentença da Corte Constitucional, cessando provisoriamente o censo e declarando que a lei que o instituí era inconstitucional em relação aos artigos 1.1 e 2.1 da Lei Fundamental, justamente a base sobre a qual se estruturava o direito geral da personalidade.
Antes disso, a tutela dos dados pessoais no âmbito europeu foi consolidada com a Diretiva 95/46, além de debates que tiveram espaço na segunda metade da década de 1960 foram imensamente ricos e fundamentais para definir o perfil dessa disciplina, que hoje está presente de forma mais concreta e precisa.
Atualmente, o entendimento que se tem sobre a proteção de dados pessoais, tornou-se mais efetivos, através do resultado direto no volume e na própria importância do tratamento de dados pessoais para a sociedade, que desde então, opera em ritmo incessante com o uso da tecnologia que trata dados de forma intensiva. Esse avanço traz em sua bagagem, marcos regulatórios, que reconhecem os dados pessoais e o seu tratamento como fenômeno juridicamente relevante, estabelecendo direitos e garantias para os cidadãos.
O marco regulatório reconhece os dados pessoais e o seu tratamento como fenômenos juridicamente relevantes, estabelecendo direitos e garantias para os cidadãos, encontrando limites para a utilização por empresas e organizações e mecanismos que procuram mitigar o risco proporcionado pelo tratamento de dados. Esses elementos têm como objetivo proporcionar maior controle e proteção ao cidadão sobre seus dados, indo além de um avanço ligado meramente à proteção da privacidade e ainda têm uma de suas tomadas mais importantes, a consolidação de espaços dentro dos quais os dados possam ser tratados licitamente. Buscando referência ao direito à privacidade e de forma geral ao fortalecimento aos direitos individuais, a proteção de dados passou a se estruturar com maior autonomia no momento em que o processamento automatizado de dados passou a representar por si só, um fator de risco para o indivíduo.
O atual perfil da proteção de dados está ligado aos marcos regulatórios Europeu. No entanto, seu caráter global é amplamente verificável, além de que pode ser observado que a gênese de alguns dos institutos característicos se deu nos Estados Unidos, e não na Europa, resultado de uma dinâmica de influencias mútuas entre vários sistemas jurídicos, principalmente na Europa e Estados Unidos, através do desenvolvimento econômico e tecnológico mais cedo nessas regiões proporcionou condições para que problemas diretamente ligados à privacidade e dados pessoais fossem levados em consideração estabelecendo instrumentos regulatórios e jurídicos.
No nosso país, a Constituição Federal de 1988 tutela a intimidade e a vida privada, o sigilo da correspondência e das comunicações telegráficas, de dados e das comunicações telefônicas (art. 5º, X e XII), e assegura a concessão de habeas data (art. 5º, LXIX e LXXII) e o Código de Defesa do Consumidor. Existe algo para a proteção aos dados pessoais, mas em um grau insuficiente e faz-se a necessidade de uma legislação específica sobre o tema.
Entender que de forma alguma a utilização dos dados não é um problema, na realidade ela torna possível várias atividades em infindáveis áreas, porém umas das análises a ser deixada neste presente artigo, é a atividade do tratamento de dados pessoais que requer harmonização com os parâmetros da proteção da pessoa humana presentes nos direitos fundamentais e regulamentações que possibilitem aos cidadãos um efetivo controle sobre seus dados pessoais.
Conforme as ponderações realizadas até o momento, o volume de dados disponíveis e a qualidade de seu tratamento por meio de sistemas informatizados, altamente capazes, transformaram dados pessoais em verdadeiros comanditados. Onde modelos de negócios são sistemicamente pautados e rentabilizados, cada vez mais, no tratamento de dados pessoais.
De tal modo, pensar, que o cidadão possa ter o controle sobre seus próprios dados parece, atualmente, absurdo. Contudo, a autodeterminação informativa se apresenta como fundamento da LGPD.
