É difícil achar um tema sobre privacidade e proteção de dados pessoais que já não tenha sido objeto de discussão no Brasil. Desde a entrada em vigor do Regulamento Geral de Proteção de Dados da União Europeia (RGPD) e da Lei Geral de Proteção de Dados Pessoais (LGPD), inúmeros foram os seminários, palestras, livros e lives que trataram sobre os variados aspectos das legislações, incluindo seus pontos controvertidos¹ e omissões. No entanto, ao menos um debate - importante e promissor - permanece inédito (ou insuficientemente enfrentado²) em solo nacional: a proteção dos dados pessoais sob a ótica dos deveres fiduciários informacionais.

Para facilitar a leitura, a presente exposição foi divida em duas partes. A primeira foca nos pontos centrais da teoria, incluindo sua origem, conceitos, alcance e atrativos. Já a segunda trata dos riscos, das críticas e da sua potencial aplicação no direito brasileiro, tanto do ponto de vista da base normativa e complementaridade com a LGPD, quanto dos aspectos práticos dos modelos regulatórios possíveis. Feita essa nota introdutória, passamos ao estudo do tema.

O modelo fiduciário de proteção de dados pessoais foi originalmente pensado por Jack Balkin, professor de Direito da Yale Law School, em 2014³. Em uma publicação em seu blog⁴, Balkin esboçou as primeiras linhas do que viria a ser uma proposta inovadora de proteção da privacidade e dos dados pessoais nos EUA. Desde então, o conceito foi ampliado e desenvolvido em uma série de artigos⁵, com a colaboração de Jonathan Zittrain, professor de Direito da Harvard Law School⁶, tendo influenciado, ainda, o projeto de lei intitulado "Data Care Act of 2018", apresentado no Senado Federal em 12/12/2018.⁷

Mas no que consiste a teoria dos deveres fiduciários informacionais? Segundo Balkin e Zittrain, vivemos em uma era em que a informação tem um papel central no desenvolvimento econômico e na organização social, de modo que as organizações têm um incentivo de maximização de coleta de dados dos seus usuários, no intuito de usá-los em benefício próprio. Nesse ambiente, quando o titular fornece seus dados em troca de bens e serviços, ele se vê obrigado a confiar no prestador, já que, em regra, ele não compreende a complexidade do mundo virtual e de que maneira seus dados podem ser usados contra os seus interesses. Ainda que entenda, raramente terá a faculdade de não utilizar o serviço ou o poder de barganha para mudar os termos do contrato.⁸

É justamente por conta dessa relação de sujeição e confiança "cega", aliada aos problemas de assimetria informacional, de vulnerabilidade do consumidor e de incentivo econômico ao abuso no tratamento dos dados pessoais, que Balkin sugere que os provedores de aplicação de internet deveriam ser tratados como fiduciários informacionais, os quais deveriam obedecer a três deveres legais: lealdade, confidencialidade e cuidado. No entanto, antes de minudenciar o conteúdo desses deveres, é preciso entender o porquê da analogia proposta por Balkin.

A palavra fiduciário vem do verbo latim fidere, que significa confiar.⁹ Conceitualmente, fiduciário é alguém que mantém uma relação de confiança com um terceiro (conhecido como "beneficiário", "principal" ou "cliente") e que está autorizado a manter e gerir algo valioso - como dinheiro, propriedade e informações - em nome deste beneficiário. Nessa relação, o beneficiário deposita sua confiança no fiduciário, que, por sua vez, tem o dever (fiduciário) de não trair essa confiança. Esses "deveres fiduciários" já são amplamente reconhecidos em uma gama bem ampla de relações jurídicas, como, por exemplo, nas relações que os clientes têm com os seus advogados, médicos e psicólogos, que devem utilizar tais informações em benefício do cliente/paciente ou, na pior das hipóteses, de modo que não prejudique os seus interesses ou as suas expectativas legítimas. Deveres fiduciários existem para proteger indivíduos que estão numa posição de fraqueza numa relação jurídica e servem, sobretudo, para regular os casos de interesses conflitantes entre as partes.

No Brasil, por exemplo, advogados não podem violar seu sigilo profissional, estabelecer entendimento com a parte adversa sem autorização do cliente, locupletar-se às custas deste ou receber valores, da parte contrária ou de terceiro, relacionados com o objeto do mandato, sem expressa autorização do constituinte¹⁰. Médicos também devem resguardar o sigilo profissional e se valer dos seus conhecimentos técnicos sempre em benefício do paciente¹¹. Psicólogos não podem induzir a convicções políticas, filosóficas, morais ou religiosas, ou receber vantagens por encaminhamento de serviços, e devem "considerar as relações de poder nos contextos em que atuam e os impactos dessas relações sobre as suas atividades profissionais"¹².

A lista de exemplos é extensa, mas todos os casos possuem os mesmos elementos em comum: (i) desequilíbrio de poder entre as partes e assimetria informacional; (ii) inabilidade do cliente/paciente para supervisionar, controlar ou monitorar as atividades do profissional; (iii) a relação de sujeição que se estabelece entre o profissional e o interessado; e (iv) a consequente vulnerabilidade associada à necessidade de confiança naquele prestador.

A ideia, portanto, é que os agentes de tratamento, no geral, e as plataformas, no particular, sejam compelidas a agir de maneira confiável, tal como fiduciários tradicionais, rentabilizando seus serviços dentro dos limites impostos não só pela legítima expectativa dos clientes, mas também pela natureza da relação fiduciária, que pressupõe que o agente fiduciário não se locupletará em detrimento do próprio beneficiário, ainda que este possa não ter o conhecimento técnico necessário para identificar e mensurar a dimensão do dano.

É nesse cenário que exsurgem os três deveres fundamentais do fiduciário informacional. O primeiro deles é o dever de lealdade, que requer que as organizações ajam de modo a satisfazer os interesses e as expectativas do usuário, evitando práticas que permitam um benefício próprio em detrimento do titular de dados. O segundo é o dever de confidencialidade, que exige que o provedor do serviço não divulgue ou compartilhe os dados em desconformidade com a legítima expectativa de privacidade dos seus usuários. O terceiro é o dever de cuidado, que exige que a organização proteja os dados pessoais sob sua guarda e não os compartilhe com terceiros que não assumam deveres fiduciários informacionais de igual estatura. Todos esses deveres convergem em um dever geral de confiança, que impede que as organizações se aproveitem de uma situação privilegiada em uma relação assimétrica para coletar, processar, usar e compartilhar dados de uma forma que seja prejudicial aos interesses e legítima expectativas dos seus usuários.¹³

Vale dizer que essa construção do Balkin é teórica e contextual, muito como a definição de privacidade enquanto "integridade contextual"¹⁴. Ela se inspira nos fundamentos dos deveres fiduciários tradicionais para criar um sistema equivalente de tutela da privacidade e dos dados pessoais, sem entrar nas minúcias regulatórias envolvendo cada tipo de negócio. A proposta é, portanto, deliberadamente aberta, se limitando às diretrizes que devem guiar as relações sociais em um mundo conectado, sem fechar as portas para futuros serviços e modelos de negócio que ainda não conhecemos.

E o que essa teoria traz de novo para o debate sobre privacidade e proteção dos dados pessoais? Em que medida ela se compara (e se compatibiliza) com o RGPD e a LGPD? É possível dizer que ambas as propostas comungam dos mesmos diagnósticos a respeito dos problemas relacionados à violação da privacidade e mercantilização dos dados pessoais, mas propõem vias alternativas de solução. Assim como a proposta legislativa de Balkin, o GDPR e a LGPD também admitem a existência de uma assimetria informacional entre titulares de dados e controladores. No entanto, enquanto o GDPR e a LGPD dão ênfase ao empoderamento e à autodeterminação informativa do titular do dado pessoal, a proposta de Balkin foca na relação em si e na mudança de status jurídico que traz obrigações próprias ao seu controlador.

Apesar das suas diferenças, parece não haver incompatibilidade entre os modelos. Em um dos seus artigos, Balkin contrastou a sua proposta com o GDPR, concluindo que "existe uma sobreposição razoável entre os dois, sendo que a principal diferença é a base para a proteção da privacidade - enquanto o GDPR foca no consentimento do usuário em um modelo contratual, a abordagem fiduciária se afasta dos termos de uso e obriga os provedores de serviço na internet a agirem em boa-fé e de modo não manipulativo."¹⁵

A ausência de incompatibilidade entre os modelos é, na realidade, um dos atrativos da teoria de Balkin. Os deveres fiduciários informacionais podem (e devem) dialogar com outras fontes do ordenamento jurídico, como as normas oriundas do direito do consumidor, do direito da concorrência e das leis gerais de proteção de dados pessoais. Além dessa versatilidade, outras vantagens dessa teoria podem ser notadas: 

Diminuição da fadiga do usuário e da pressão sobre o seu consentimento - Muitos titulares de dados têm dificuldade para entender o complexo fluxo de informações no ambiente virtual e as consequências práticas das suas escolhas de privacidade. Não só isso, seu consentimento raramente é livre e informado, sendo influenciado por vieses cognitivos e pela própria arquitetura de escolha. Assim, ao fim do dia, o usuário-médio não está preocupado com o aviso de privacidade da plataforma. Ele apenas espera usar o serviço, não ser prejudicado e não ter a sua confiança abusada (o que é um dos objetivos almejados pelos deveres fiduciários informacionais).

 

Abordagem menos formalista - Enquanto soluções baseadas em consentimento¹⁶ ignoram a realidade de desinteresse do usuário (que, normalmente, consente com os termos de uso sem ler), a teoria dos deveres fiduciários informacionais impõe às organizações um dever de atuação contínua em prol dos interesses do usuário. Em outras palavras, a teoria traz um novo padrão de conduta para os provedores, e não apenas uma camada artificial de conformidade regulatória.

 

Deslocamento do paradigma de proteção do "contratual" para o "regulatório" - Modelos contratuais se mostram pouco protetivos se o usuário-médio for incapaz de avaliar o dano e o risco cumulativo das suas escolhas de privacidade. Portanto, os deveres fiduciários informacionais seriam um modelo de imposição regulatória, que traria maior confiança, previsibilidade e estabilidade nas expectativas de privacidade, já que os direitos dos usuários não ficariam sujeitos aos simples termos de uso das plataformas, que podem mudar subitamente. 

À luz de todos esses traços e características originais, a proposta de Balkin merece, no mínimo, debate e consideração pela academia brasileira. É uma perspectiva nova e instigante, sem precedente no direito positivo, mas com vasto potencial a ser explorado. Em síntese, é mais uma ferramenta à disposição do Estado para a tutela efetiva do direito fundamental à proteção de dados pessoais.

Agora, há espaço para adoção da teoria dos deveres fiduciários informacionais no Brasil? Há base normativa (na LGPD ou no ordenamento jurídico pátrio) para adoção dessa ferramenta de tutela dos dados pessoais? Quais são as suas principais críticas e riscos? Qual seria o melhor desenho regulatório, no caso de sua eventual implementação? Essas são algumas das questões que serão tratadas na segunda parte desta exposição.

__________

1 Especial ênfase deve ser dada à discussão a respeito dos limites das bases de tratamento de dados pelo "consentimento" e "legítimo interesse", já que se conectam diretamente com a presente discussão sobre a teoria dos deveres fiduciários informacionais.