Constitucionalização da proteção de dados pessoais e competências legislativas à luz de análise comparativa entre Direito Pátrio e da União Europeia

O envio da PEC 17/19 à Câmara dos Deputados iniciou uma nova rodada de audiências públicas, ao longo das quais vimos florescer certas opiniões divergentes a despeito da eloquente convergência, entre os debatedores, com as visões que esposamos. Expressamo-nos¹ sobre a natureza jurídica do direito à proteção de dados pessoais, que entendemos tratar-se de direito fundamental autônomo, merecedor de figurar no rol do art. 5º da CF/88 em inciso específico, haja vista sua ampla significância para os fenômenos sociais e econômicos ínsitos à era gigital. Reconhecemos, também, a aguda relevância social da lei 13.709/18, LGPD, que justifica o dever de observância de seus postulados por parte dos entes federados, conforme dispõe seu art. 1º, parágrafo único. Ressaltamos que tal observância vinculativa se dá em face à qualidade das normas contidas na LGPD que tratam de matérias encetadas no rol do art. 22 da CF/88, dispostas como de competência legislativa privativa da União, tais como, Direitos e Garantias Fundamentais, Direito Civil, Informática e Telecomunicações. Neste mister, propugnamos a “higidez dos espaços de competência legiferante, de modo a garantir uma única lei geral ... a fim de afastar inseguranças jurídicas em matéria de tratamento de dados pessoais”¹, apoiando a inclusão do inciso XXX no art. 22 da CF/88, nos termos da dicção do Senado.

Ocorre que a concessão, em favor da União, de competência privativa para legislar sobre proteção de dados pessoais é, precisamente, a questão na qual se observa certo dissenso. Assim, avaliando as respeitáveis posições que defendem a revisão da inserção do inciso XXX no art. 22 da CF/88, pareceu-nos por bem recorrer a um exercício de direito comparado entre os sistemas jurídicos pátrio e da União Europeia, tido por muitos como inspirador e paradigma da LGPD, com vistas a: (i) investigar a natureza jurídica do direito à proteção de dados pessoais; (ii) conhecer o fundamento de validade da edição dos atos jurídicos da UE; (iii) compreender como se dá a distribuição de competências para edição de atos normativos no âmbito do Sistema Europeu; e (iv) identificar as hipóteses autorizativas conferidas aos Estados-Membros para edição de normas traçando um paralelo com a realidade do ordenamento jurídico pátrio.

Inicialmente, é relevante cotejar a forma de organização político-administrativa dos dois sistemas. A Constituição de 1988 dispõe, no art. 1º, que o Brasil é uma República Federativa, formada pela união indissolúvel dos Estados e municípios e do Distrito Federal, constituindo-se em Estado Democrático de Direito. O caput do art. 18, por seu turno, explicita a existência de relação de autonomia entre os entes federativos em sua forma de organização político-administrativa. Tal liberdade, contudo, não é plena sendo limitada naquilo que concerne às competências legiferantes, que podem ser privativas da União, art. 22, ou concorrentes entre os entes federados, art. 24. O conceito de autonomia, portanto, não há que ser confundido com o atributo de soberania, mas sim como a capacidade de autodeterminação dentro dos limites traçados pelo constituinte. A institucionalização da União Europeia, por seu turno, traz em si o conceito de supranacionalidade. Trata-se de união político-econômica constituída por Estados-Membros independentes e soberanos e, portanto, com maior grau de autonomia. As instituições comunitárias fazem surgir aquilo que a doutrina denomina de poder constituinte supranacional que tem como fonte de validade a cidadania universal, o pluralismo de ordenamentos jurídicos, a vontade de integração e a mitigação das soberanias². Souza Neto e Sarmento reconhecem a existência de um processo de constitucionalização no Direito Europeu, “pelo qual este vem ganhando características sui generis, que se aproximam daquelas tradicionalmente atribuídas às constituições estatais”. Os festejados constitucionalistas são, contudo, céticos em relação a sujeição plena dos Estados-Membros a um poder central europeu soberano quando afirmam que não há como vislumbrar, “pelo menos até o momento, a existência de um verdadeiro poder constituinte europeu, sobretudo no sentido de democrático, de um poder constituinte do povo”³. A União Europeia possui vários instrumentos normativos, dos quais destacamos os Regulamentos e as Diretivas. Um Regulamento é um ato legislativo vinculativo, devendo ser aplicado na sua totalidade em toda a UE. Uma Diretiva é ato legislativo que define metas que todos os países da UE devem alcançar. No entanto, cabe a cada país elaborar suas próprias leis sobre como alcançá-las⁴. Observamos, assim, que o Regulamento é dotado de grau de sujeição significativamente superior ao da Diretiva, na medida em que delega competência legiferante aos Estados-Membros, ou seja, a forma pela qual atingirá uma certa meta.

Ao perscrutarmos a natureza jurídica da proteção de dados pessoais no ordenamento da UE deparamo-nos com a Carta dos Direitos Fundamentais da União Europeia (CDFUE), que, em seu Artigo 8º, 1, preconiza que “todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito”⁵. A Carta esclarece, ainda, que os dados pessoais podem ser objeto de tratamento desde que a atividade seja orientada a um “objetivo leal, para fins específicos e com consentimento da pessoa interessada ou com outro fundamento legítimo previsto em lei” (artigo 8º, 2). Para conferir concretude ao instituto, o Parlamento e o Conselho Europeus, exercendo a competência normativa a eles conferida pelo Artigo 16º do Tratado de Funcionamento da União Europeia (TFUE), editaram o Regulamento (EU) 2016/679, de 27 de abril de 2016, também conhecido como General Data Protection Regulation (GDPR), que dispõe sobre a “proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados”, revogando a Diretiva 95/46/CE, que houvera introduzido o tema no ordenamento da UE. Com efeito, o GDPR é um ato jurídico de natureza derivada, do tipo regulamento, o qual possui fundamento de validade no mencionado artigo 16º do TFUE, que, por sua vez, é caracterizado como fonte primária do Direito Europeu. Klaus Dieter Borchardt explica que os tratados originários e suas modificações são os fundamentos institucionais e “contêm normas fundamentais relativas aos objetivos, à organização e ao modo de funcionamento da comunidade (...) são, pois, disposições constitucionais (...), que proporcionam às instituições comunitárias um quadro para o exercício das suas competências legislativas e administrativas no interesse da comunidade”⁶.

Observa-se, a partir desta nova normatização, uma expressiva elevação do status quo legislativo, com o consequente aumento de imponibilidade junto ao Estados-Membros. Logo no Considerando (1) do GDPR encontramos o reconhecimento do caráter de direito fundamental da proteção das pessoas singulares relativamente ao tratamento de seus dados pessoais. Esse reconhecimento no contexto do sistema europeu traz implicações relevantes para o exercício dos espaços de competência normativa de seus Estados-Membros. Os casos Internationale Handelsgeselschaft, Solange e Solange II são ilustrativos onde se discutiu o efeito direto e o primado do direito da UE sobre os direitos internos na questão da proteção comunitária dos direitos fundamentais^7 8. Após essas decisões, o processo de institucionalização dos direitos fundamentais no ordenamento da UE avançou com o progressivo “alargamento das competências da União Europeia a políticas com impacto direto nos direitos fundamentais” (Tratados de Maastricht, Amsterdã e Lisboa)⁹. A partir dessa constatação é possível concluir que as normas nacionais que eventualmente colidirem com o direito da EU, em matéria de garantias fundamentais, podem vir a ser questionadas pelo exercício de algum tipo de controle jurisdicional. A edição do GDPR veio em atendimento ao artigo 16º do mencionado TFUE e deu concretude à garantia fundamental ali insculpida, atribuindo, em seu item 2, competência ao Parlamento Europeu e ao Conselho para, em conformidade com o processo legislativo ordinário, estabelecerem as “normas relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais pelas instituições, órgãos e organismos da União, bem como pelos Estados-Membros no exercício de atividades relativas à aplicação do direito da União, e à livre circulação desses dados (...)”. A eficácia vinculativa das normas contidas nos regulamentos face aos Estados-Membros também se fundamenta nas características formais desses atos jurídicos. Borchardt explica que os regulamentos permitem às instituições comunitárias interferirem “nas ordens jurídicas nacionais”¹⁰. Ao institui-los, o TFUE, em seu artigo 288º¹¹, dispôs que, “para exercerem as competências da União, as instituições adotam regulamentos, (...), que têm caráter geral, sendo obrigatórios em todos os seus elementos e diretamente aplicável em todos os Estados-Membros”. O caráter supranacional dos regulamentos faz impor direito igual a toda comunidade, com validade uniforme e integral em todos Estados-Membros. Os “Estados não podem (...) aplicar (...) apenas parcialmente ou decidir quais as que irão aplicar para (...) excluírem as normas que sejam contrárias a certos interesses nacionais”¹². Os regulamentos também possuem aplicabilidade direta, ou seja, estabelecem direito que “não carece de normativas especiais de aplicação de caráter nacional, conferindo direitos e impondo obrigações diretamente aos cidadãos comunitários. Os Estados-Membros (...) estão vinculados ao direito comunitário (...) da mesma forma que o direito nacional”¹³, sem que, portanto, sejam “objeto de um ato nacional de transposição”¹⁴.

Ante o exposto, compreendemos haver uma prevalência do direito da UE em matéria de dados pessoais face ao direito nacional dos Estados-Membros, com lastro em dois argumentos. O primeiro circunscrito à materialidade do direito ora em análise, à qual evidenciamos tratar-se de garantia fundamental. A segunda adstrita ao fundamento de validade dos atos jurídicos emanados das instituições comunitárias, cujas características estreitam os espaços de autonomia dos entes nacionais que compõem a União Europeia. A partir dessas validações do GDPR, sob o ponto de vista material e formal, passemos a analisar como se dá a distribuição de competências para a edição de atos normativos sobre proteção de dados no âmbito do ecossistema institucional europeu, incluindo aqui os permissivos de exercício de competência atribuídos pelo regulamento aos Estados-Membros.

Norberto Bobbio¹⁵ propõe três critérios de valoração da norma jurídica que podem servir à finalidade de análise do direito nacional dos Estados-Membros no exercício da competência para editar atos dentro da “margem” garantida pelo GDPR. Sob a perspectiva da justiça, entendida como a “correspondência ou não da norma aos valores últimos (..) que inspiram um determinado ordenamento jurídico”¹⁶, é possível perquirir se o comando normativo emanado pelo Estado-Membro respeita os direitos e garantias fundamentais das pessoas singulares. Na dimensão da validade, o emissor da norma deve observar o resguardo da coerência com o paradigma (dispositivo) contido no GDPR a que se pretende especificar, trazendo-lhe os contornos finais para a sua concretização. Ao especificar um comando, um Estado-Membro deve fazê-lo dentro do círculo de incidência normativa do dispositivo contido no Regulamento. Trata-se, portanto, de juízo de compatibilidade com outras normas do sistema, neste caso, com as normas pertencentes ao direito da UE. Por fim, o problema da eficácia, qualificado por Bobbio como “o problema de ser ou não seguida pelas pessoas a quem é dirigida”¹⁷. A respeito disso, citamos o caso de Portugal que, no âmbito de sua competência normativa sobre proteção de dados pessoais, harmonizou a norma nacional ao GDPR no que toca à idade mínima do titular para fornecer o consentimento¹⁸. Esse tipo de sujeição à norma comunitária evidencia grau importante de respeitabilidade dos atores políticos nacionais aos comandos do Regulamento, encontrando na realidade as “condições adequadas para produzir seus efeitos”¹⁹ (eficácia).

A partir das características do sistema jurídico europeu, ora expostas, podemos traçar paralelos com o direito constitucional pátrio. Neste sentido, a norma contida no mencionado artigo 8º, 1 da CDFUE, que atribui às pessoas singulares o direito à proteção de seus dados pessoais, possui grau de significância jurídica semelhante à mudança que se pretende efetuar pela a inserção do inciso LXXIX no art. 5º da CF/88, assegurando o direito à proteção dos dados pessoais, inclusive nos meios digitais, conforme aludimos em nossa manifestação já mencionada. Da mesma forma, a reiteração, no artigo 16º, 1 do TFUE de que “Todas as pessoas têm direito à proteção dos dados de caráter pessoal que lhes digam respeito” e a disposição no respectivo item 2 de que “O Parlamento Europeu e o Conselho, deliberando de acordo com o processo legislativo ordinário, estabelecem as normas relativas à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais (...) e à livre circulação desses dados” têm a mesma conotação e papel jurídico da inserção do inciso XXX no art. 22º da CF/88, dispondo a competência privativa da União para legislar sobre proteção e tratamento de dados pessoais. Por fim, o GDPR, na qualidade de Regulamento, imponível a todos os Estados-Membros, incorpora papel jurídico no âmbito da União Europeia similar ao da LGPD no ordenamento pátrio, como lei federal de caráter nacional.

Em atenção à polêmica estabelecida nas discussões políticas em torno da tramitação da PEC 17/19, especialmente no que diz respeito à competência legiferante, se faz mister um aprofundamento superveniente. A Europa tem sólida tradição na busca por harmonização e padronização, entendendo tais fatores como essenciais para a integração econômica e unicidade do mercado. O exercício contínuo dessa tradição visa garantir segurança jurídica para o crescimento econômico e, por conseguinte, a busca do bem-estar social dos cidadãos europeus. Nesse sentido, é emblemático o esforço dispendido para garantir interoperabilidade das redes de telefonia celular, levada a efeito por meio do Global System for Mobile Communication (GSM), padrão aberto e digital aceito e adotado pelo European Telecommunications Standards Institute (ETSI) em 1989, bem antes, portanto, do advento do Tratado de Maastricht em 1992, marco inicial da União Europeia. Esse esforço redundou na uniformização dos espectros de radiofrequência, recurso escasso e essencial para a prestação de serviços de telecomunicações sem fio, cuja padronização deu-se em articulação com as National Regulatory Authorities – NRAs (Autoridades Regulatórias Nacionais) dos Estados-Membros.

A iniciativa de harmonização técnica e normativa do espectro a ser licenciado foi altamente exitosa, não somente pela viabilização do roaming transparente na Europa, mais pela escala atingida no mercado europeu. Tal resultado induziu vários outros países a adotar o padrão GSM, conferindo interoperabilidade e roaming em âmbito internacional, e conferindo escala global aos provedores de tecnologia, proporcionando queda dos preços, tanto dos equipamentos de rede quanto dos aparelhos celulares. Em 2002 a UE adotou o Telecoms Package, composto de quatro Diretivas, versando sobre autorização, acesso, universalização de serviço e privacidade nas comunicações eletrônicas. Em 2009, o Regulamento 1211/19 criou o Organismo de Reguladores Europeus das Comunicações Eletrônicas (BEREC), e, em 2018, por meio da Diretiva 2018/72, foi estabelecido o Código Europeu das Comunicações Eletrônicas, evidenciando a relevância de temas multifacetados com desdobres sobre direito dos consumidores e impactos econômicos.

O Brasil não ficou inerte diante das transformações da telefonia. Em 16 de julho de 1997 é pulicada a lei 9.472, conhecida como Lei Geral de Telecomunicações (LGT), que reorganiza a prestação de serviços de telecomunicações em dois regimes, público, mediante contratos de concessão, e privado, mediante contratos de autorização, criando, também, a Agência Nacional de Telecomunicações (Anatel), entidade integrante da Administração Pública Federal indireta, submetida a regime autárquico especial (...) com a função de órgão regulador das telecomunicações. Dentre as competências enumeradas no art. 19 da LGT, destaca-se a que incumbe à Anatel administrar o espectro de radiofrequências e o uso de órbitas, conforme respectivo inciso VIII. Observe-se, ainda, que tal diploma, sobremaneira estruturante, se deu sob a égide da competência legiferante privativa conferida à União pelo art. 22, IV da CF/88. Diante desses fatos, constata-se que a União Europeia e o Brasil atribuem alta relevância econômica e social à normatização das telecomunicações, tema esse, portanto, merecedor de marcos jurídicos adequados que garantam a harmonização no espaço de entes políticos, respectivamente, Estados-Membros e entes federados, sob suas respectivas jurisdições. No modelo europeu, observamos o exercício da competência normativa através de Diretivas e do engajamento cooperativo das NRAs, em observância à autonomia dos Estados-Membros; no caso Brasileiro, a abordagem contrasta por evidenciar modelo mais centralizado no exercício da competência legiferante privativa e no papel regulador desempenhado pela Anatel.

A criação do BEREC, contudo, parece indicar uma evolução institucional com a centralização dos reguladores europeus em um único fórum denominado de “Conselho de Reguladores”, que, nos termos do srtigo 4º, 2, do Regulamento 1211/09, “é composto por um membro de cada Estado-Membro, que é o dirigente ou representante de alto nível da autoridade reguladora nacional (...) em cada Estado-Membro”. As autoridades nacionais de proteção de dados (DPAs) dos Estados-Membros também foram acolhidas pelo GDPR, indicando evolução institucional idêntica ao caso das telecomunicações no Brasil. Por outro lado, a LGPD centralizou a competência para regulamentar sobre a proteção de dados pessoais na Autoridade Nacional de Proteção de Dados (ANPD), a despeito de sua condição de órgão da administração direta, natureza, esta, que poderá ser revisada para a criação de um órgão da administração pública federal indireta, nos mesmos moldes da Anatel. Assim sendo, considerando as similitudes entre os dois sistemas, é pertinente e necessário garantir, constitucionalmente, a competência legislativa privativa para a União. 

O Considerando (10) do GDPR, explicita que uma das finalidades da edição da norma protetiva de dados das pessoas singulares é a de “assegurar nível de proteção coerente” com o objetivo de “eliminar obstáculos à circulação de dados pessoais na União”. Busca, portanto, garantir “nível de proteção equivalente em todos os Estados-Membros” como forma de “assegurar (..) aplicação (...) homogênea das regras de defesa dos direitos e das liberdades fundamentais das pessoas singulares (...)”. O excerto evidencia preocupação de harmonização normativa na busca pela proteção coerente – aspecto de garantia fundamental – e na eliminação de obstáculos à circulação de dados – aspecto de regulação econômica. A proteção coerente²⁰ é, portanto, o núcleo protetivo primário do Regulamento, porquanto relacionado com os direitos e as liberdades fundamentais das pessoas singulares (GDPR, Artigo 1º, 2)²¹. Por seu turno, o núcleo protetivo primário relativo à eliminação de obstáculos à circulação de dados (GDPR, Artigo 1º, 3)²² decorre de postulados fundantes do próprio mercado comum europeu, cujos objetivos de progresso econômico e social, consolidação e convergência das economias para a constituição de um mercado interno estão no cerne da formação da comunidade europeia.

Os elementos fundamentais de coesão do direito da UE, proteção coerente e a eliminação de obstáculos à circulação de dados, evidenciam o caráter dual das normas que tutelam a coleta e o tratamento de dados pessoais²³ e são balizadores da produção de normas específicas na jurisdição dos Estados-Membros. A dogmática de proteção de dados brasileira, inspirada no ordenamento europeu, também traz dentre seus fundamentos direitos elementares constitutivos da dignidade da pessoa natural ao mesmo tempo em que reconhece o caráter indutivo das normas para o desenvolvimento econômico e tecnológico nacional (LGPD, art. 2º)²⁴. Esse equilíbrio, como vimos em artigo anterior, decorre da própria natureza do direito sob tutela que, na medida em que possui característica de direito fundamental, sofre limitações quando há o atendimento dos critérios prescritos na LGPD.

Em resumo, entendemos que o direito à proteção de dados pessoais tem natureza jurídica de direito fundamental autônomo, sendo, portanto, digno de ser inserido na CF/88, art. 5º, inciso LXXIX, com a seguinte dicção: “é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais”. Tal entendimento encontra arrimo no direito europeu na medida em que a CDFUE, Carta dos Direitos Fundamentais da União Europeia, artigo 8º, 1 a dispõe que, “as pessoas têm direito à proteção de dados de caráter pessoal que lhes digam respeito”, assertiva reiterada pelo TFUE, Tratado de Funcionamento da União Europeia, artigo 16º,1.

Na mesma linha de pensamento, entendemos essencial disposição da competência legiferante privativa da União sobre a proteção de dados pessoais, por meio da sua inserção na CF/88, art. 22, inciso XXX, conforme previsto na PEC 17/18, aprovada pelo Senado. Tal entendimento é amparado à luz do direito europeu pelo altíssimo grau de imponibilidade conferido aos Regulamentos sobre os Estados-Membros, como é o caso do GDPR, a saber, o Regulamento (EU) 2016/679, de 27 de abril de 2016, sendo também corroborado por estar em linha com a característica jurídica do ordenamento da UE sobre telecomunicações, que no direito pátrio goza de competência legislativa privativa da União e de um Órgão Regulador, a Anatel, o que se espera também seja o caso da ANPD, no prazo dois anos a partir da vigência geral da LGPD.

Este texto expressa a posição acadêmica ou pessoal dos autores, não vinculando a Brasscom ou seus Associados.