Em relação à tomada de subsídios que foi aberta pela Autoridade Nacional de Proteção de Dados acerca do tratamento de dados de crianças, procuramos compartilhar a visão do PK Advogados acerca do estudo técnico que foi feito para embasar a proposta de enunciado que consta no material disponibilizado pela ANPD.
O estudo técnico que, embora robusto, nos traz uma linguagem extremamente acessível a qualquer leitor, traz em seu bojo as vertentes que tratam sobre a base legal para o tratamento de dados pessoais, que são: a) Mais conservadora: O tratamento do dado pessoal de criança só pode ser feito com base no consentimento tratado no art. 14 §1º da LGPD; b) Meio termo: Dados de crianças devem ser equiparados a dados sensíveis, com observância do tratamento às bases legais do art. 11 da LGPD; c) Agregadora: Busca compatibilizar o tratamento do dado de criança com outras bases legais.
O estudo técnico feito, se coaduna com a terceira vertente, por diversos fundamentos e, em razão deles, foi elaborado o esboço de enunciado que “O tratamento de dados pessoais de crianças e adolescentes poderá ser realizado com base nas hipóteses legais previstas no art. 7º ou, no caso de dados sensíveis, no art. 11 da Lei Geral de Proteção de Dados (LGPD), desde que observado o seu melhor interesse, a ser avaliado no caso concreto, nos termos do caput do art. 14 da lei.”
Na esteira do que as Jornadas de Direito Civil de 20221 já trouxeram, nos parece que a pedra de toque é o melhor interesse da criança, o que, nos termos do estudo técnico da ANPD, que citou os Comentário Geral 25 sobre os direitos das crianças em relação ao ambiente digital, do Comitê dos Direitos da Criança da ONU, “melhor interesse” trata-se de um conceito dinâmico que deve ser avaliado no contexto fático do tratamento de dados pessoais.
É de se notar ainda e, na linha do que esse escritório sempre concordou, em que pese o consentimento tenha sido criado como ferramenta para controle dos dados pessoais pelo seu titular ou responsável legal, é notório que na prática esse controle jamais existiu, haja vista que o Marco Civil da Internet sempre trouxe tal ferramenta em seu art. 7º e, não é surpresa que o brasileiro médio jamais tenha tomado conhecimento a respeito disso e, muito ao contrário, as empresas jamais tomaram o devido cuidado para que de fato o consentimento válido fosse coletado para o tratamento dos dados.
Outro fato que ressalta a postura ponderada da ANPD no estudo técnico, é de que restringir o tratamento dos dados de crianças ao consentimento de quem quer que seja, implicaria em conflitos que, ao contrário do que a lei preconiza, somente prejudicariam o melhor interesse da criança, visto que, usando o mesmo exemplo adotado pela Autoridade, para o cadastro da criança para acesso ao wi-fi de um ambiente escolar, seria necessário o consentimento, o que poderia impedir o acesso a tal ferramenta.
Aliado a isso, este escritório tem visto com certa frequência que as empresas têm enfrentado desafios na prática em que o interesse da criança estaria claramente atendido a exemplo de a) A criança ser beneficiária de um seguro de vida; b) A criança ser beneficiária da remessa internacional de dinheiro, muitas vezes feita pelo próprio representante legal; c) Contratação de plano de saúde; d) Tratamento de dados de crianças para fins de imposto de renda; e) Inclusão de criança em benefício de empregado como dependente; f) Comunicação à Autoridade competente acerca de maus tratos realizados pelos pais ou responsável legal.
Acerca dessa última situação, em que pese seja para a proteção das crianças, cuja omissão inclusive é apenada nos termos do art. 245 do Estatuto da Criança e do Adolescente2, sendo portanto, uma obrigação legal, o que encontraria guarida nas exceções previstas no art. 14 §3º da LGPD3, ainda assim, estaria impedida visto que, para todas as exceções, haveria a vedação de compartilhamento dos dados com terceiros.
Não obstante a possível dispensa do consentimento, é importante ressaltar que isso não implica na diminuição do nível de segurança do tratamento, uma vez que ao agente de tratamento incumbe analisar todas as variáveis que possam fragilizar o tratamento, a fim de lançar mão das medidas técnicas e administrativas para garantir a segurança do dado pessoal e, considerando que o tratamento de dados de crianças pode ser considerado como um fator de risco, sobretudo a depender da finalidade do tratamento, podemos ter diversas ferramentas para garantir a segurança, a exemplo de um processo de Privacy by design bem feito, relatório de impacto, segregação de acesso, minimização dos dados, entre outras providências.
Não é de se esquecer ainda, a exemplo do que foi tratado pela ANPD, que até mesmo a base legal mais abrangente de todas – legítimo interesse – pode ser compatibilizada com o tratamento dos dados de crianças.
Isso porque, a exemplo do que vem sendo sustentado por esse escritório, a base legal do legítimo interesse, per se, não traz risco ao tratamento, mas sim o contexto do tratamento do dado. Nessa linha, o contexto do tratamento do dado pessoal deve ser compatível ou, ao menos, não oferecer risco às liberdades fundamentais do titular dos dados, nesse caso a criança, conforme determinado no art. 10, I da LGPD.
Ressalte-se ainda que o próprio dispositivo citado acima, além de exigir a proteção das liberdades fundamentais, ainda exige maior maturidade do agente de tratamento quando determina que a transparência e a minimização devem ser prestigiadas além do comum, bem como que a ANPD pode solicitar RIPD, caso enxergue na atividade de tratamento risco exacerbado.
Nesse contexto, nos parece que as razões da Autoridade foram de extrema ponderação e se coadunam com as necessidades de fato dos agentes de tratamento, os quais, em que pese a possível dispensa do consentimento, devem guardar toda a cautela possível e lançar mão de todas as medidas necessárias para garantir a segurança do dado pessoal, observando como regra geral sempre o melhor interesse da criança ou, ao menos, não prejudicar as suas liberdades fundamentais e, quando adotado o consentimento como base legal adequada, atender aos requisitos previstos no art. 14 §1º da LGPD.4
1 Enunciado ID 4796 – O art. 14 da Lei Geral de Proteção de Dados (lei 13.709/13), não exclui a aplicação das outras bases legais, se cabíveis, observado o melhor interesse da criança.
2 Art. 245. Deixar o médico, professor ou responsável por estabelecimento de atenção à saúde e de ensino fundamental, pré-escola ou creche, de comunicar à autoridade competente os casos de que tenha conhecimento, envolvendo suspeita ou confirmação de maus-tratos contra criança ou adolescente: Pena - multa de três a vinte salários de referência, aplicando-se o dobro em caso de reincidência.
3 § 3º Poderão ser coletados dados pessoais de crianças sem o consentimento a que se refere o § 1º deste artigo quando a coleta for necessária para contatar os pais ou o responsável legal, utilizados uma única vez e sem armazenamento, ou para sua proteção, e em nenhum caso poderão ser repassados a terceiro sem o consentimento de que trata o § 1º deste artigo.
4 § 1º O tratamento de dados pessoais de crianças deverá ser realizado com o consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal.