Vivemos hoje uma situação completamente atípica. Não só pelo avanço exponencial da tecnologia, mas, principalmente, pela pandemia causada pelo coronavírus (COVID-19) que alterou o modo de vida das pessoas. Sendo assim, qual seria o impacto desta pandemia na legislação de proteção de dados pessoais? Pergunta de difícil resposta, com importantes questões a serem debatidas neste momento.
A China, como todos sabem, é líder global em tecnologia, em aplicativos móveis e em inteligência artificial e para conter a crise causada pelo coronavírus utilizou muitos destes recursos para coletar, tratar e armazenar dados pessoais de pessoas infectadas ou de suspeitos em terem sido infectados sem a obtenção do consentimento expresso e sem prestar os esclarecimentos necessários sobre a finalidade do seu tratamento.
Em razão da pandemia, a China aumentou muito a quantidade de dados pessoais e sensíveis coletados sem a devida autorização, como revela o jornal chinês South China Morning Post em artigo intitulado Coronavirus accelerates China’s big data collection, but privacy concerns remain¹.
Com o aumento exponencial do tratamento de dados pessoais, a preocupação com a privacidade também aumentou, pois, a maciça coleta, o tratamento e a divulgação não autorizada ou sem os devidos esclarecimentos e cuidados necessários com a manipulação de dados de saúde (dados sensíveis), podem gerar uma onda discriminatória aos portadores do vírus como também àqueles que ainda aguardam o resultado e confirmação dos exames laboratoriais.
Conforme, relatado no artigo citado acima, as províncias chinesas começaram a utilizar os registros de nomes reais de pessoas e do reconhecimento facial para compras de medicamentos sem receita médica e em todas as formas de transporte público. Por exemplo, na província de Guangdong, as autoridades locais passaram a exigir que todos os residentes deveriam se registrar nas farmácias quando fossem comprar medicamentos para febre e tosse, com o intuito de permitir o acompanhamento de seus funcionários.
O mesmo artigo ainda cita que na província Shenzhen, os passageiros do metrô estão sendo obrigados a fornecerem os seus nomes completos para poderem utilizá-lo.
A empresa China Mobile consegue rastrear, a pedidos dos assinantes, os lugares por eles visitados nos últimos quinze dias fornecendo dados importantes às autoridades locais, que podem ser usadas para colocá-los em quarentena caso tenham estado em área infectada. Outro exemplo citado no artigo, é o caso da maior empresa de cibersegurança chinesa Qihoo 360 que está disponibilizando um aplicativo que permite aos usuários verificar se eles estiveram em um trem ou avião com alguém que tenha contraído o vírus.
Certamente, a coleta dos dados pessoais de forma massificada na China ajudou muito para conter o crescimento do vírus no país e o aumento do contágio na população.
Portanto, grande parte destes dados pessoais foram coletados sem autorização dos seus titulares com o objetivo de proteger e preservar a saúde de toda a população chinesa, ou seja, dados que foram utilizados para salvar pessoas em um momento de crise.
Obviamente que nos exemplos citados poderia ocorrer, como de fato ocorreu, discriminação de pessoas infectadas ou ainda que estariam à espera de confirmação de diagnóstico, razão pela qual, mesmo em situações como esta de extrema urgência, os controladores de dados pessoais deveriam zelar pela segurança e preservação para evitar vazamentos.
O mesmo artigo supracitado relatou ainda que na província de Wuhan (onde o primeiro caso de coronavírus foi detectado) houve vazamento de uma quantidade enorme de dados pessoais de pessoas infectadas que foram disponibilizadas na internet, gerando todo o tipo de discriminação.
Sendo assim, o que se busca é um equilíbrio entre a privacidade e a necessidade. E em momentos como este, a necessidade acaba prevalecendo.
No Brasil a Lei Geral de Proteção de Dados, lei 13.709/18, que entrará em vigor em agosto de 2020, prevê a proteção dos dados pessoais e dos dados sensíveis e tem como premissa básica a proteção da privacidade e intimidade como direitos fundamentais.
Além disso, a LGPD tem como um dos princípios mais importantes o da não discriminação, que proíbe o tratamento de dados para fins discriminatórios ilícitos ou abusivos, como preceitua o artigo 6, IX.
O artigo 5, II da LGPD conceitua o que são dados pessoais sensíveis: "são dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural".
Portanto, os dados de saúde são considerados dados sensíveis e como tal devem ser protegidos, mesmo que a própria lei brasileira estabeleça em seu artigo 11, II, "e" e "f" que o tratamento de dados sensíveis poderá ocorrer sem o consentimento do titular quando destinado para a proteção da vida ou da incolumidade física do titular e de terceiro ou quando destinado para a tutela da saúde.
Porém, mesmo na hipótese acima, os titulares deverão ter ciência sobre a existência do tratamento dos seus dados pessoais e o que será feito com eles, bem como onde serão armazenados e quem será o encarregado ou responsável por eles.
Sendo assim, mesmo não sendo obrigatória a solicitação expressa do consentimento do titular para os fins assinalados acima, em hipótese alguma, a coleta, tratamento ou armazenamento de dados pessoais poderiam ser usados para fins discriminatórios, principalmente, os dados sensíveis de saúde de pessoa infectada ou que ainda esteja aguardando o diagnóstico de qualquer doença. E tal situação somente poderá ser evitada, se os controladores² e operadores³ seguirem com responsabilidade os fundamentos e princípios da Lei Geral de Proteção de Dados, implementando internamente as políticas de governança e de boas práticas por ela estabelecidas.
A Lei Geral de Proteção de Dados - LGPD entrará em vigor em agosto de 2020 e grande parte das empresas brasileiras ainda não se adequaram a ela. As multas estabelecidas por ela são elevadas podendo alcançar o valor de R$ 50.000.000,00 (cinquenta milhões de reais) por infração. Portanto, não deixem para a última hora para se adequar à nova legislação.
_____________________________________________________________________
2 Pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais (art. 5, VI da Lei 13.709/2018);
3 Pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador; (art. 5, VII da Lei 13.709/2018).
_____________________________________________________________________