A Medida Provisória 954/2020, a Autodeterminação Informativa e a LGPD

Foi publicada no Diário Oficial da União, no dia 17 de abril de 2020, entrando em vigor na data de sua publicação, a Medida Provisória nº 954/2020, que dispõe sobre o compartilhamento de dados pessoais por empresas de telecomunicações com a Fundação Instituto Brasileiro de Geografia e Estatística (IBGE), durante a situação de emergência de saúde pública internacional decorrente do COVID-19.

Assim, as empresas de telecomunicações devem disponibilizar ao IBGE, em meio eletrônico, a relação de nomes, dos números de telefone e dos endereços de seus consumidores, pessoas físicas ou jurídicas, que serão utilizados pela Fundação para a produção de estatística oficial, visando entrevistas não presenciais no âmbito de pesquisas domiciliares. 

De acordo com a MP, os dados compartilhados terão caráter sigilosos e utilizados exclusivamente para a finalidade prevista sendo vedado ao IBGE disponibilizar os dados a quaisquer empresas públicas ou privadas ou a órgãos ou entidades da administração pública direta ou indireta. 

Por fim, dispõe que o titular dos dados terá acesso, pelo site do IBGE, a situação que se encontra o tratamento de seus dados pessoais, devendo a Fundação divulgar o Relatório de Impacto à Proteção de Dados e eliminar os dados compartilhados no prazo máximo de 30 dias após se findar a situação de emergência de saúde pública. 

É clara a inconstitucionalidade da Medida Provisória nº 954/2020, que não observa plenamente o valor da privacidade e da proteção de dados pessoais na Sociedade da Informação. 

Embora exista até mesmo a menção a Lei Geral de Proteção de Dados (Lei nº 13.709/2018) em seu texto, atendendo expressamente a alguns princípios como os da finalidade e da necessidade, ainda que não estivesse em vigor, a medida provisória deixou de atingir seu objetivo. 

Inicialmente, as primeiras legislações de proteção de dados pessoais foram redigidas em razão do medo do processamento em larga escala dos dados pelos Estados, que logo passou a abranger tanto o setor público quanto ao privado. 

O reconhecimento da proteção de dados pessoais vem da necessidade de proteger a pessoa que é titular dos dados, não estritamente os dados pessoais, sendo de suma importância, nos remetermos a Autodeterminação Informativa, que está prevista como fundamento da disciplina de proteção de dados pessoais, no Art. 2º, II da LGPD. 

O conceito de Autodeterminação Informativa, por coincidência ou não, surgiu em decisão do Tribunal Federal Constitucional da Alemanha, em 1983, que julgou, em parte, inconstitucional a Lei do Censo¹, já que para realização do censo demográfico no País, haveria a coleta excessiva de dados. 

Logo, o indivíduo é quem possui o poder sobre suas informações, podendo determinar o fluxo de seus dados pessoais na sociedade. Se o indivíduo não puder identificar quais informações a seu respeito estão sendo utilizadas e suas finalidades, não será possível que o titular seja capaz de identificar como essa operação interfere em seu dia a dia, situação que poderia de maneira imperceptível impossibilitar o exercício de sua autodeterminação informativa, violando diretamente os direitos e garantias fundamentais e o livre desenvolvimento da personalidade do indivíduo. 

Dessa forma, embora esteja em tramitação da PEC 17/19, que acrescenta o inciso XII-A, ao art. 5º, e o inciso XXX, ao art. 22, da Constituição Federal para incluir a proteção de dados pessoais entre os direitos fundamentais do cidadão e fixar a competência privativa da União para legislar sobre a matéria, vejo como de suma importância também a positivação supra legal da Autodeterminação Informativa. 

Nesse sentido, Laura Schertel Mendes² (2014, págs. 46-47) leciona que:

“[...] a regulamentação estatal deve estabelecer princípios e procedimentos para o tratamento dos dados pessoais, devendo o conteúdo desse direito ser estabelecido pelo titular dos dados pessoais.

[...]

O modelo jurídico adotado por diversos países para a proteção dos dados pessoais consiste em uma proteção constitucional, por meio da garantia de um direito fundamental, e na concretização desse direito, por meio de um regime legal de proteção de dados, na forma de uma lei geral sobre o tema”.

Em agosto de 2020 entrará em vigor a lei geral sobre proteção de dados no Brasil e, embora haja previsão sobre o direito fundamental a privacidade (lato sensu), até o momento restará ausente a positivação constitucional da proteção de dados (stricto sensu) como direito fundamental.

No mais, a MP nº 954/2020 prevê que será disponibilizado Relatório de Impacto da Proteção de Dados (RIPD), nos termos da Lei Geral de Proteção de Dados que, no entanto, é omissa quanto ao momento de sua realização ao tratar sobre tema, prevendo apenas que “deverá conter, no mínimo, a descrição dos tipos de dados coletados, a metodologia utilizada para a coleta e para a garantia da segurança das informações e a análise do controlador com relação a medidas, salvaguardas e mecanismos de mitigação de risco adotados” (Art. 38, parágrafo único).

O RIPD visa mapear os riscos que derivam da atividade de tratamento de dados pessoais objeto do relatório. Dessa forma, considerando as exigências da LGPD em conjunto com as orientações do Article 29 Working Party (órgão consultivo constituído na União Europeia), a realização e a divulgação do RIPD nos termos da MP deveria ser realizado em momento anterior o início do tratamento dos dados pessoais, seguindo os procedimentos adotados internacionalmente e adotando boas práticas, algo que ao nosso ver dificilmente irá ocorrer já que foi publicado no Diário Oficial de União, nesta quarta-feira (22/04/2020), a Instrução Normativa nº 2/2020 do IBGE, dando início ao prazo de 7 (sete) dias para que as teles forneçam os dados requisitados.

Outrossim, há omissão quanto aos direitos dos titulares dos dados, já que a MP nº 954/2020 possibilita apenas o direito de acesso aos dados pessoais, caso a LGPD já estivesse em vigor, a efetividade a Autodeterminação Informativa poderia, ao menos em tese, ter maior efetividade, já que poderia ser exercido pelo titular dos dados os demais direitos previstos nos arts. 9º e 18 da LGPD, como o direito de retificação, eliminação ou oposição ao tratamento, o que pode acarretar na violação de princípios, como, por exemplo, o Princípio da Qualidade dos Dados.

Ou seja, a Medida Provisória nº 954/2020, não observou integralmente os princípios oriundos da privacidade por padrão (privacy by default) e privacidade desde a concepção (privacy by design), previstos no Art. 46, §2º da LGPD, colocando a segurança dos dados pessoais em risco, já que deve-se ter cuidado com a privacidade em todos os momentos e não somente em fases finais do desenvolvimento.

Por fim, a entrada em vigor da Lei Geral de Proteção de Dados se faz necessária para garantir efetividade a Autodeterminação Informativa, possibilitando os titulares de dados a exercerem seus direitos, sendo de suma importância (e urgente) o início da operabilidade da Autoridade Nacional de Proteção de Dados para garantir a segurança jurídica no tocante a proteção de dados.