Em junho deste ano, pouco menos de um mês antes da publicação da aguardada lei geral de proteção de dados – LGPD (lei federal 13.709/18), no âmbito do Estado de São Paulo foi sancionada a lei 16.758/18, que torna obrigatória a informação sobre cor ou identificação racial em todos os cadastros, bancos de dados e registros de informações assemelhados, públicos e privados.
Sim, é exatamente o que parece: qualquer formulário de coletar de dados pessoais no Estado de São Paulo agora, por lei, precisa requerer informação sobre cor ou identificação racial do individuo.
Além disso, a lei obriga que tais informações coletadas sejam semestralmente enviadas para a CPPNI, ligada à Secretaria da Justiça e da Defesa da Cidadania.
A ideia é municiar o Governo Estadual com um cadastro atualizado de sua população no que tange aos atributos raciais, de maneira que possa desenvolver uma gestão inteligente e certeira, visando formulação de políticas mais eficazes aos seus cidadãos.
Embora a intenção pro trás da iniciativa seja, na teoria, positiva e elogiável, orientada pelos princípios da igualdade e dignidade, há aspectos relativos à proteção de dados dos titulares que careceram de maiores reflexões e, de fato, preocupam qualquer pessoa antenada no assunto.
Um primeiro ponto que merece destaque é o fato de a lei estadual em comento caminhar totalmente na contramão de alguns dos princípios gerais de tratamento de dados consagrados na LGPD, em especial o princípio da adequação e da necessidade (art. 6º, II e III), que orientam que o tratamento de dados seja compatível com as finalidades e limitado ao mínimo necessário para a realização destas, com abrangência de dados pertinentes, proporcionais e não excessivos.
E não é só isso. A informação em questão (cor ou identificação racial), no bojo da LGPD, é considerada dado pessoal sensível, nos termos da definição do artigo 5º, II, o que impõe uma maior restrição ao seu tratamento, justamente em razão do risco de discriminação do titular a partir da má utilização ou abuso dessas informações.
Na verdade, parece contrário ao espírito da LGPD exigir que toda e qualquer coleta de dados em âmbito estadual - seja o ato realizado por uma empresa multinacional de tecnologia ou por um pequeno negócio de bairro (que pode nem sempre contar com estrutura de segurança adequada) - inclua dados pessoais sensíveis e, assim, dê origem a um banco de dados de risco alto, tanto às organizações afetadas pela obrigação legal, quanto próprio titular da informação que se pretende proteger.
O contexto em análise nos remonta ao emblemático julgamento do Tribunal Constitucional Federal Alemão que considerou inconstitucional lei que ordenava o recenseamento geral da população em 1983, vez que o governo local, à época, determinava a coleta de dados sobre profissão, moradia e local de trabalho. Basicamente, o que se tutela com leis de proteção de dados é o direito do indivíduo ao livre desenvolvimento da personalidade, que passa pela decisão quanto aos limites de revelação de dados (autodeterminação informativa), potencialmente ameaçados à luz das condições da moderna tecnologia de processamento de informação, que pressupõe armazenamento ilimitado, transmissão instantânea e consulta irrestrita de dados (SCHWABE, 2005, p. 237)1.
O raciocínio por trás desse conhecido precedente é de simples compreensão: embora o dado possa ter sido coletado com assento em premissas legítimas (como é o intento de combate à discriminação da lei 16.758/18), não há como prever que uso tais informações podem ter no futuro.
Fato é que o tratamento indevido de informações sensíveis como origem racial pode – inclusive – ofender diretamente a própria razão de sua coleta, sujeitando o indivíduo a sofrer algum tipo de discriminação que talvez inexistisse não fosse a coleta obrigatória e massiva daquele seu dado. No caso em pauta, se tais bancos de dados forçadamente construídos forem acessados por pessoas ou grupos que, de algum modo, pretendam incentivar a discriminação, os já ameaçados titulares poderão se ver submetidos a níveis de marginalização ainda mais graves e preocupantes.
Já caminhando para a conclusão, perceba-se que a lei Estadual comentada vai na contramão do que dispõe a recém aprovada LGPD, representando um retrocesso à cultura de proteção de dados pessoais no país, que passa pela minimização da coleta de informações, especialmente em relação àquelas consideradas sensíveis. Não se questiona aqui a necessidade de desenvolvimento de políticas públicas de inclusão social, cada vez mais essenciais para redução da desigualdade em nosso país. No entanto, há várias maneiras de fazer estudos e mapeamentos relacionados às pautas de inclusão social que não passam por determinar que dados sensíveis sejam coletados e expostos em larguíssima escala, sem qualquer garantia de controle da finalidade ou mesmo segurança de seu armazenamento. Exemplos disso são os tradicionais estudos realizados com base em dados estatísticos e anonimizados, que afastam riscos aos titulares da informação.
O papel da Administração Pública deveria ser buscar alternativas efetivas de se promover inclusão social sem demandar a coleta e exposição, massiva e compulsória, daquele atributo pessoal que, uma vez mal utilizado, pode se tornar a própria ferramenta da discriminação. Portanto, a iniciativa legislativa ora analisada é uma evidência de que não só as empresas privadas precisam se adequar à nova realidade da cultura da proteção de dados no país, mas também o Poder Público, especialmente o Legislativo. Tanto projetos empresariais como projetos de lei precisam ter, como um de seus principais e constantes pilares, a preservação da privacidade e dos dados pessoais (privacy by design). Só assim garantiremos que a recém aprovada LGPD não correrá o risco de perder seu sentido e, de fato, protegerá indivíduos, ao mesmo tempo em que garantirá certo grau de segurança jurídica na sociedade moderna (movida a dados).
____________________
1 SCHWABE, Jürgen. 50 anos de jurisprudência do Tribunal Federal Constitucional Alemão. Tradução: Beatriz Hennig et all. Montevidéu: Fundacion Konrad-Adenauer, 2005. Disponível em: clique aqui. Acesso em: 03.10.2018.
____________________
____________________
*Paulo Vidigal é advogado integrante da área de privacidade e proteção de dados do escritório Opice Blum, Bruno, Abrusio e Vainzof Advogados Associados.
*Luis Fernando Prado Chaves é head da área de privacidade e proteção de dados do escritório Opice Blum, Bruno, Abrusio e Vainzof Advogados Associados.