O debate em torno da construção de um sistema jurídico de proteção de dados pessoais pede uma visita obrigatória à histórica decisão do Tribunal Constitucional Federal (Bundesverfassungsgericht) alemão, de 15 de dezembro de 1983. Há 38 anos, o BVerfGE extraía, do direito de personalidade, a necessidade de se impor limites ao processamento irrestrito de informações pessoais e de se assegurar ao indivíduo o poder de decidir, diante da ideia de autodeterminação e, a princípio, por si mesmo, sobre a exibição e o uso de seus dados pessoais.
A evolução tecnológica foi vista, sob um determinado prisma, como uma ameaça potencial ao direito de personalidade e, na medida em que a tecnologia de processamento de dados avançava, mais intensa deveria ser a proteção contra violações a esse direito. Isso porque, já naquela época, era perceptível o risco à privacidade e a outras liberdades diante da capacidade de integração e estruturação de sistemas da informação: o cruzamento de bancos de dados permite a formação de um quadro de personalidade bastante completo ampliando a influência daquele que detém essas informações sobre o comportamento do indivíduo “em função da pressão psíquica causada pela participação pública em suas informações privadas”.
Daí a necessidade de se compreender o alcance do direito à autodeterminação informativa, através da garantia de liberdade de decisão e de comportamento diante dessa decisão. “Quem não consegue determinar com suficiente segurança quais informações sobre sua pessoa são conhecidas em certas áreas de seu meio social, e quem não consegue avaliar mais ou menos o conhecimento de possíveis parceiros na comunicação, pode ser inibido substancialmente em sua liberdade de planejar ou decidir com autodeterminação. Uma ordem social e uma ordem jurídica que a sustente, nas quais cidadãos não sabem mais quem, o que, quando, e em que ocasião se sabe sobre eles, não seriam mais compatíveis com o direito de autodeterminação na informação.”
E todo esse racional é direcionado a um propósito: o livre desenvolvimento da personalidade. Que não é, obviamente, um direito absoluto, pois encontra limite no próprio interesse predominante da coletividade, desde que observados alguns critérios de limitação de seu alcance (como a clareza normativa, a proporcionalidade e a previsão de medidas organizacionais e processuais e de mitigação do risco de violação desse direito).
Em outras palavras, na centralidade do sistema de proteção de dados, está o titular.
É a ele que servem os direitos e obrigações impostas pelo regramento jurídico aos agentes de tratamento. Ou seja, de um lado, estão os titulares de dados pessoais; de outro, os controladores desses dados. O resultado que daí decorre é a exata medida das leis de proteção de dados: um esforço de restabelecer um equilíbrio de poder entre esses atores. E essa proposta exige fixar o titular em posição nuclear do processo decisório de tratamento de seus dados pessoais.
Uma maneira de se promover isso é através da adoção de máxima transparência, inclusive ativa, apta a evidenciar, antes mesmo de provocação, todos os aspectos que envolvem a decisão do controlador de tratar os dados pessoais.
Outra proposta é a de prever e implementar medidas organizacionais e administrativas que prevejam nível adequado de segurança e confiabilidade dos dados custodiados pelo agente de tratamento, inclusive através da prestação de contas.
Necessário ainda assegurar não somente o acesso do titular a seus dados, mas ainda franquear-lhe meios de exercer seus direitos, tais como a portabilidade, a oposição, a retificação ou mesmo a eliminação do dado desnecessário.
Por fim, propor e desenvolver soluções e ferramentas tecnológicas que possam dar aos titulares a capacidade de controlar seus próprios dados são medidas mais que bem-vindas no mercado.
Algumas ferramentas podem incluir plataformas de gerenciamento de dados pessoais que coleta, organiza e intermedia o acesso aos dados pessoais de um indivíduo por meio de aplicações e serviços de terceiros devidamente verificados e auditados; instrumentos de comunicação ponto-a-ponto descentralizada de dados pessoais em meios digitais que permita que os titulares tenham controle de acesso e local de armazenamento de seus próprios dados; aplicações que facilitem a reutilização de dados baseadas no conceito de privacy by design que facilitem a portabilidade direta dos dados do usuário ou o gerenciamento de dados de maneira uniforme, escalável e segura, e até mesmo data brokers que permitam que agem em nome dos titulares, custodiando seus dados pessoais e os ajudando a dar concretude a um sem-número de serviços que deles necessitem, mas de maneira segura e legítima.
No fim do dia, tudo parte e retorna ao centro do debate que deu origem ao conceito de direito de proteção de dados pessoais: o deslocamento do poder de decisão e controle sobre as informações de um indivíduo de volta a si mesmo, de onde jamais deveria ter partido.
E aquelas empresas e organizações que entenderem isso e adotarem um comportamento verdadeiramente compatível com as expectativas de respeito e confiança que o titular passa a exigir terá duradoura atuação no mercado de uma economia guiada por dados pessoais.