Existe um Direito ao Conhecimento do Início do Tratamento dos Dados Pessoais?

Há um descontrole informacional (principalmente no meio digital), porque os titulares não sabem com quem estão os seus dados pessoais e que atividades são realizadas com eles.

Entre os direitos previstos no art. 18 da LGPD, o direito de conhecimento compreende, de forma inicial, o direito do titular de saber se determinada pessoa coletou, armazena ou realiza qualquer atividade de tratamento com seus dados pessoais (art. 18, I, da LGPD).

Com base nele, o titular tem o direito de obter do controlador informações sobre a existência – ou não – de alguma atividade de tratamento dos seus dados pessoais.

Este direito decorre do princípio da transparência (art. 6º, VI, da LGPD), que assegura ao titular a prestação de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento (ressalvada a proteção dos segredos comercial e industrial).

Antes da LGPD entrar em vigor, já existiam leis no Brasil que impunham ao controlador a comunicação inequívoca do titular sobre o início do tratamento de seus dados pessoais (em especial, o art. 43, caput e § 2º, do Código de Defesa do Consumidor, e o art. 4º, § 4º, I a III, da Lei do Cadastro Positivo), ou seja, quando o consentimento não for utilizado como a base legal do tratamento, deve ser cumprido o direito de conhecimento do titular sobre o início do tratamento.

A LGPD não tem regra específica e expressa sobre a necessidade de o controlador informar o titular sobre o início do tratamento.

As outras duas leis citadas estabelecem esse dever ao controlador.

De acordo com o § 2º do art. 43 do Código de Defesa do Consumidor (Lei nº 8.078/90), “a abertura de cadastro, ficha, registro e dados pessoais e de consumo deverá ser comunicada por escrito ao consumidor, quando não solicitada por ele”.

Por essa razão é que, por exemplo, a inclusão dos dados pessoais do devedor no banco de dados dos órgãos de proteção de crédito é precedida de sua notificação prévia, para conhecimento dessa nova atividade de tratamento e para se manifestar previamente sobre ela (e, eventualmente, comprovar o pagamento ou outro fato que impeça a negativação).

De forma semelhante, o inciso I do § 4º do art. 4º da Lei do Cadastro Positivo (Lei nº 12.414/2011) determina: “A comunicação ao cadastrado deve: I - ocorrer em até 30 (trinta) dias após a abertura do cadastro no banco de dados, sem custo para o cadastrado”. Em complemento, o inciso III do mesmo dispositivo legal impõe ao controlador o dever de “informar de maneira clara e objetiva os canais disponíveis para o cancelamento do cadastro no banco de dados”.

Assim, de acordo com as regras do CDC, da LCP e da LGPD, a abertura de qualquer espécie de banco de dados ou a coleta (ou outra operação de início, como a recuperação) dos dados pessoais deve ser informada de forma clara ao titular.

Portanto, pode-se afirmar que, quando a base legal de tratamento não for o consentimento, deve ser assegurado ao titular o direito de conhecimento de início das atividades com os seus dados pessoais.

A ausência de norma expressa e semelhante na LGPD deve levar a controvérsias, especialmente sobre se consiste em uma ausência de imposição desse dever (logo, não é necessária a informação ao titular sobre o início do tratamento, quando ele não tiver consentido) ou se é uma omissão que pode ser preenchida com a aplicação subsidiária do CDC e da LCP.

Logo, nas relações de consumo (o que compreende as relações reguladas pela Lei do Cadastro Positivo) o titular de dados pessoais tem o direito de conhecimento do início do tratamento, sempre que for utilizada uma base legal diversa do consentimento).

Por outro lado, quando o início do tratamento de dados pessoais ocorrer em uma relação que não se enquadrar como sendo de consumo, os controladores deverão analisar a necessidade de informar os titulares e os riscos derivados da ausência de comunicação, considerando a falta de clareza da LGPD.