As excludentes de responsabilidade dos agentes de tratamento de dados

"Se cada um de nós varresse a frente do nosso lugar, o mundo todo seria limpo."
Johann Wolfgang von Goethe

 

O presente artigo busca analisar as excludentes de responsabilização dos agentes de tratamento de dados pessoais na Lei Geral de Proteção de Dados. Nesse contexto, cabe destacar que tais excludentes estão previstas no artigo 43 da Lei Geral de Proteção de Dados¹, dividindo-se em três incisos.

O inciso I estabelece a excludente da não realização do tratamento e, por consequência, diz respeito ao dever de registro das operações de tratamento, tanto do operador, quanto do controlador, nos termos do artigo 37 dessa lei², especialmente quando fundamentado com base no legítimo interesse. Pela inversão do ônus da prova, na maior parte dos casos, este dever de registro explicitará facilmente a hipótese descrita para os fins de se afastar eventual responsabilização.³

O inciso II define a excludente da ausência de ilicitude no tratamento e, assim, designa, também, situações de "exercício regular de direito" de forma similar ao artigo 188, inciso I, do Código Civil. Este inciso deve ser lido levando em consideração os parâmetros estabelecidos pela Lei Geral de Proteção de Dados, tais como o dever de registro, nos termos do artigo 37, o dever geral de segurança, previsto no artigo 46, e os deveres de boas práticas e de governança descritas no artigo 50.

Diante da situação em que não ocorre ato ilícito – ou seja, inexiste violação à legislação de proteção de dados –, com o operador e o controlador respeitando o dever geral de segurança, não há responsabilização dos agentes de tratamento. Por exemplo, se uma decisão automatizada, baseada em critérios transparentes, sem nenhum viés, e devidamente fundamentada, negar um empréstimo a alguém, não haveria nenhuma responsabilização aos agentes de tratamento, já que não ocorreu violação à legislação de proteção de dados.⁴

Por fim, o inciso III incorpora o fato da vítima (titular de dados) e o fato de terceiros como excludentes de responsabilização – excludentes, aliás, clássicas da responsabilidade civil e já, previstas, por exemplo, na legislação consumerista (artigo 12, § 3º, inciso III, do CDC, que prevê a excludente de responsabilização do fornecedor em caso de culpa exclusiva do consumidor ou de terceiro). Diante deste contexto, conceitua-se o fato exclusivo da vítima como o evento que se identifica como causa necessária de um dano sofrido por ela, e cuja realização só possa ser a ela imputável.⁵

Destacam-se situações em que, mesmo com a diligência dos agentes para garantir a maior segurança possível no tratamento de dados, o titular dos dados, na sua pessoa, incorra ao dano – como, a título exemplificativo, ao disponibilizar seus dados, mesmo não sendo hipossuficiente, a sítios eletrônicos que claramente não são confiáveis, ou ao não atualizarem periodicamente os seus aplicativos nos seus celulares. Aliás, a esse respeito, há o entendimento de ocorrer fato exclusivo do usuário quando este, sem o devido cuidado, e havendo o cumprimento do dever de segurança daquele que prestou o serviço, contribui para o dano.⁶

Quanto ao fato de terceiro, há uma interrupção do nexo causal, na medida em que não é a conduta do agente a causa necessária à produção de danos.⁷ No presente ponto, pode-se, por exemplo, questionar a responsabilidade do encarregado, responsável por passar instruções ao controlador e a seus controladores quanto à proteção de dados, em caso de fato exclusivo deste. Causa estranheza que a responsabilização desta figura central para o controle de eventos danosos esteja omissa no artigo 42 dessa lei, que versa apenas sobre a responsabilidade civil do controlador e do operador.

Igualmente, questionável se uma invasão cibernética a um sistema que armazena dados pessoais poderia ser imputada como fato de terceiro. Considerando que o sistema de responsabilidade da Lei Geral de Proteção de Dados é centrado num dever geral de segurança⁸, entende-se que, se o controlador ou o operador demonstrarem que, à época do ataque hacker, trataram os dados com a melhor técnica de segurança da época, pode incidir essa excludente de ilicitude pela ocorrência de fato de terceiro.

Aliás, o entendimento de uma responsabilidade centrada num dever de segurança não é novidade no ordenamento jurídico brasileiro: no Código de Defesa do Consumidor, a responsabilidade pelo fato do produto e fato do serviço é fundada no defeito, em que há a possibilidade do fornecedor de afastar a sua responsabilidade quando comprovar que não faltou com a segurança e informações devidas acessíveis através da melhor técnica existente.⁹ Este é, também, o entendimento do Superior Tribunal de Justiça.¹⁰ Inclusive, as excludentes de responsabilidade civil do fabricante, construtor, produtor ou importador, disciplinadas no artigo 12, § 3º, incisos I, II e III, do Código de Defesas do Consumidor¹¹, são bastante similares às excludentes consagradas no artigo 43 da Lei Geral de Proteção de Dados.

Nesse mesmo sentido, a jurisprudência dos Tribunais brasileiros entende que, demonstrado o cumprimento do dever de segurança na colocação do produto pelo fornecedor, pode-se alegar o fato de terceiro.¹² Assim, é possível aplicar esse entendimento também ao inciso III do artigo 43 da Lei Geral de Proteção de Dados. Por se tratar de uma problemática recente, faz-se necessário cuidado especial na aplicação das excludentes de responsabilidade em processos judiciais que certamente irão interpretar o melhor formato de responsabilização dos agentes de tratamento de dados pessoais. A devida aplicação exige a consideração dos aspectos especiais da disciplina da proteção de dados pessoais e de seu regime especial de responsabilidade civil.

__________

1 Art. 43. Os agentes de tratamento só não serão responsabilizados quando provarem: