COLUNAS

  1. Home >
  2. Colunas

Migalhas de IA e Proteção de Dados

Oferecer uma visão 360º sobre a Lei Geral de Proteção de Dados.

Nelson Rosenvald, Cristina Godoy Bernardo de Oliveira, Evandro Eduardo Seron Ruiz, Cintia Rosa Pereira de Lima e Newton de Lucca
O artigo 23 da Lei Geral de Proteção de Dados (LGPD) Pessoais impõe, em seus §§4º e 5º, a incidência do regime de tratamento público de dados pessoais aos serviços notariais e de registro1, embora referida lei não traga maiores detalhes em relação às peculiaridades de sua aplicação às atividades em questão2. Com o escopo de detalhar a aplicação da LGPD às serventias extrajudiciais, o Conselho Nacional de Justiça, por sua Corregedoria, publicou, no dia 24 de agosto de 2022, o Provimento n. 134, que trata especificamente das medidas a serem adotadas pelos serviços notariais e registrais. Não é novidade que a chamada "digitalização dos cartórios" tem sido fomentada em anos recentes por iniciativas como o Provimento n. 100/2020 da Corregedoria Nacional de Justiça, que criou o inovador e festejado sistema "e-Notariado"3, ou mesmo pela recentíssima Medida Provisória 1.085, de 27/12/2021, convertida na lei 14.382, de 27/06/2022, que dispõe sobre o Sistema Eletrônico de Registros Públicos - Serp e dá outras providências4. Essas são iniciativas nacionais, sem prejuízo dos avanços locais que as Corregedorias Estaduais já implementam há algum tempo, alinhando-se, assim, a um propósito maior de assimilação dos impactos da sociedade da informação sobre as atividades notariais e registrais. Na mesma linha, o aludido Provimento n. 134/2022 do CNJ5 contempla temas importantíssimos como a definição do controlador, a necessidade de indicação do encarregado de dados, a exigência de políticas de boas práticas e governança, o mapeamento das atividades de tratamento e a definição de procedimentos para o cumprimento de medidas técnicas e administrativas, além de outros, demandando análise cuidadosa de seu escopo de incidência. Definição do controlador de dados Um dos mais intricados temas relativos aos serviços notariais e de registro é a definição de quem será considerado controlador para os fins do artigo 5º, inciso VI, da LGPD e, a esse respeito, o artigo 4º do Provimento n. 134 dispõe que "os responsáveis pelas delegações dos serviços extrajudiciais de notas e de registro, na qualidade de titulares das serventias, interventores ou interinos, são controladores no exercício da atividade típica registral ou notarial, a quem compete as decisões referentes ao tratamento de dados pessoais". De modo geral, sabe-se que compete ao controlador a decisão sobre as atividades de tratamento de dados pessoais, mas, em linhas mais específicas, as atribuições do controlador, na LGPD, são inúmeras, a exemplo das seguintes: (i) elaborar relatório de impacto à proteção de dados pessoais (art. 38); (ii) comprovar o cumprimento das exigências legais para a obtenção do consentimento (art. 8º, § 2º); (iii) comunicar à Autoridade Nacional de Proteção de Dados - ANPD a ocorrência de incidente de segurança (art. 48); (iv) atender requisições para o exercício de direitos dos titulares de dados (art. 18); (v) verificar a observâncias das instruções que repassa ao operador (art. 39); (vi) cooperar para o cumprimento da legislação relativa à proteção de dados pessoais (art. 39); (vii) indicar o encarregado (art. 41). E, havendo que se apurar a ocorrência de dano por violação à lei, é definido regime de responsabilidade civil, nos artigos 42, caput, e 44, parágrafo único, da LGPD, sobre o qual pairam sonoras controvérsias doutrinárias em relação à sua natureza (se objetiva ou subjetiva), mas com regra hialina acerca da solidariedade entre controlador e operador ou entre controladores conjuntos (art. 42, §1º, I e II, LGPD). A previsão contida no Provimento 134/2022 não abre margem a dúvidas no cotejo com a recente definição do Supremo Tribunal Federal, consolidada no Tema 777, com repercussão geral, no qual se analisou os artigos 37, §6º, e 236 da Constituição da República, sendo firmada a seguinte tese: "o Estado responde, objetivamente, pelos atos dos tabeliães e registradores oficiais que, no exercício de suas funções, causem dano a terceiros, assentado o dever de regresso contra o responsável, nos casos de dolo ou culpa, sob pena de improbidade administrativa"6. Assim, embora não se negue que é o titular da serventia, o interventor ou o interino quem, de fato, tem poder de decisão sobre as atividades notariais e registrais e, ainda, sobre o tratamento de dados pessoais levado a efeito no contexto de sua serventia extrajudicial, a incidência do Capítulo IV da LGPD (arts. 23 a 32) e a definição jurisprudencial sacramentada pelo STF não deixam dúvidas de que as atividades exercidas na condição de controlador de dados não poderão implicar a sua responsabilização direta e solidária, seja em caráter objetivo ou subjetivo, com fundamento no artigo 42, caput, ou no artigo 44, parágrafo único, da LGPD. Sobre isso, em complemento à definição trazida pelo CNJ, é absolutamente fundamental que a ANPD se pronuncie, especialmente no exercício de sua competência regulatória infralegal7, para atualizar o Guia Orientativo sobre Tratamento de Dados Pessoais pelo Poder Público8, cuja primeira versão, de janeiro de 2022, nada detalha em relação aos §§4º e 5º do artigo 23 da LGPD e à peculiar situação de tabeliães e registradores. Indicação do encarregado de dados Outro tema fundamental elucidado pelo Provimento 134/2022 é o da nomeação do encarregado pela proteção de dados, incumbência do responsável pela serventia extrajudicial (artigo 6º, inc. I). Sem dúvidas, trata-se de medida fundamental, especialmente em razão da exigência contida no artigo 23, inciso III, da LGPD, que, no regime de tratamento de dados pessoais levado a efeito pelo Poder Público, impõe a indicação do encarregado, em reforço à previsão do artigo 41 da lei. De fato, por estarem os serviços notariais e de registro sujeitos ao regime de tratamento público de dados pessoais e, portanto, incumbidos de fornecer acesso aos dados, por meio eletrônico, à administração pública, por força do §5º do artigo 23 da LGPD, é de fundamental relevância o papel do encarregado, que atua como interlocutor em matéria de tratamento de dados pessoais, propiciando justamente a facilitação do intercâmbio comunicacional com a ANPD e, no caso específico, com o Estado. É de se registrar que, seguindo o entendimento acolhido pela ANPD em seu Guia Orientativo sobre Agentes de Tratamento9 (versão 2, de abril de 2022), não há óbice a que o encarregado seja pessoa natural ou jurídica ou mesmo que atue em prol de múltiplas serventias ao mesmo tempo, sendo a sua nomeação e contratação de livre escolha do titular da serventia, com possibilidade, ainda, de que seja escolhido e contratado de forma conjunta, ou mesmo de que seja subsidiado ou custeado pelas entidades de classe (art. 10, §§1º a 3º, do Provimento n. 134/2022). Políticas de boas práticas e governança Em que pese a facultatividade da definição de políticas de boas práticas e de governança no artigo 50, caput, da LGPD, o CNJ foi assertivo em relação à exigência de que sejam adotadas medidas de governança na implementação dos procedimentos de tratamento de dados para cumprimento das atribuições das serventias notariais e registrais. O artigo 6º do Provimento n. 134/2022 se alinha, em grande medida, às exigências cogentes do artigo 46 da LGPD (dever geral de segurança no tratamento de dados pessoais) e, também, do artigo 49 da LGPD (exigência de segurança dos sistemas e dispositivos informáticos empregados nas atividades de tratamento). Além dos dados pessoais sensíveis, e, ainda em matéria de governança, é imperioso que se considere a parametrização procedimental para o atendimento de requerimentos de certidões envolvendo dados restritos ou sigilosos (art. 38 do Provimento), que demandam avaliação específica. Quanto aos elementos restritos, deve-se observar o disposto nos artigos 45 e 95 da lei 6.015/1973, no artigo 6º da lei 8.560/1992, no artigo 5º do Provimento n. 73/2018, da Corregedoria Nacional de Justiça, e, quanto aos elementos sigilosos, o artigo 57, §7º, da lei 6.015/1973. Enfim, é de se destacar a relevância atribuída ao mapeamento de dados (art. 6º, inc. II, c/c art. 7º do Provimento n. 134/2022), que tem a finalidade de propiciar leitura estratégica das avaliações procedimentais relacionadas ao implemento de medidas técnicas e administrativas relacionadas ao tratamento de dados pessoais. A isso se somam algumas outras boas práticas e ações de governança estabelecidas no provimento, tais como: (i) adotar medidas de transparência aos usuários sobre o tratamento de dados pessoais (art. 6º, inc. IV); (ii) definir e implementar Política de Segurança da Informação (art. 6º, inc. V); (iii) definir e implementar Política Interna de Privacidade e Proteção de Dados (art. 6º, inc. VI); (iv) criar procedimentos internos eficazes, gratuitos, e de fácil acesso para atendimento aos direitos dos titulares (art. 6º, inc. VII); (v) zelar para que terceiros contratados estejam em conformidade com a LGPD, questionando-os sobre sua adequação e revisando cláusulas de contratação para que incluam previsões sobre proteção de dados pessoais (art. 6º, inc. VIII); (vi) treinar e capacitar os prepostos (art. 6º, inc. IX). Assinaturas eletrônicas, ICP-Brasil e digitalização de documentos Outro tema fundamental abordado pelo Provimento n. 134/2022 diz respeito aos critérios de integridade, autenticidade e confiabilidade dos registros públicos, uma vez que se definiu que é atribuição do responsável pela serventia extrajudicial a digitalização dos documentos10 físicos ainda utilizados (art. 15, inc. I) e o armazenamento dos documentos físicos que contenham dados pessoais e dados pessoais sensíveis em salas ou compartimentos com controles de acesso (art. 15, inc. II), facultando-se a eliminação de documentos físicos, depois de digitalizados, com observância ao disposto no Provimento n. 50/2015 da Corregedoria Nacional de Justiça (art. 15, parágrafo único). A previsão é bem-vinda, mas a ela devem se somar as exigências mais específicas contidas na lei 12.682/2012 (Lei da Digitalização11) e no decreto 8.539/2015 (que a regulamentou), pois categorias conceituais sobre documentos digitais (art. 2º, inc. II, do Dec. 8.539/2015) envolvem a diferenciação entre documentos nato-digitais e documentos digitalizados, sendo exigida, para esses últimos, a adoção de criptografia assimétrica de padrão ICP-Brasil para fins de arquivamento (art. 2º-A, §8º, da lei 12.682/2012, com reforma realizada pela lei 13.874/2019). A preocupação com a higidez dos requerimentos e com a segurança da informação também consta do Provimento 134/2022, como, por exemplo, verifica-se no art. 39 quanto aos requerimentos de certidões de inteiro teor, para os quais se exige assinatura eletrônica qualificada (de padrão ICP-Brasil) ou avançada (que adote os mecanismos do assinador Gov.br do Instituto Nacional de Tecnologia da Informação - ITI), denotando sintonia com as classificações definidas para assinaturas eletrônicas12 nas interações de particulares com o Poder Público, no plano federal, pelo artigo 4º da lei 14.063/2020. Por fim, a eliminação de documentos físicos que já tenham sido digitalizados demandará observância estrita ao disposto no artigo 55, §1º, do Provimento 134/2022 e reforçada cautela para evitar a duplicidade documental, inclusive para fins de governança de dados, sendo essencial que se avalie cada caso em função das exigências e dos permissivos dos artigos 15 e 16 da LGPD para fins de eliminação de dados. Das particularidades do provimento em relação às especialidades O Provimento 134/2022, em seus capítulos XI a XV, traz um detalhamento com relação a cada especialidade extrajudicial. Com relação aos Tabelionatos de Notas, o Provimento avança e uniformiza regras que eram disciplinadas de maneiras diversas nos variados Estados Brasileiros. Agora, o fornecimento de certidões de fichas de firma e testamentos, por exemplo, obedecerão aos mesmos requisitos em todo território nacional (arts. 28 a 33). No tocante às certidões do Registro Civil das Pessoas Naturais, o Provimento impõe restrições severas ao fornecimento de certidões, principalmente as de inteiro teor. A aplicabilidade, viabilidade e até mesmo a fiscalização desse controle demandarão análise profunda. Curiosamente, as certidões do Registro de Imóveis tiveram tratamento menos severo, muito embora possam refletir dados sensíveis constantes de certidões do Registro Civil. Uma questão que se coloca é a da exigência de indicação da finalidade para obtenção da certidão. Não há, nem por parte da lei, muito menos do Provimento, rol elucidativo acerca do que seria legítimo ou aceitável como finalidade para solicitação de uma certidão cujo conteúdo é, por disposição legal, público. A quem caberá a análise dessa finalidade? Por fim, no tocante aos Tabelionato de protesto, o Provimento impõe a exclusão do endereço do devedor e seu telefone da certidão (art. 51), bem como disciplina a unificação da CENPROT com facilitação de compartilhamento de endereços entre os tabeliães de modo a facilitar as intimações. Notas conclusivas O Provimento 134/2022 é repleto de nuances e detalhamentos essenciais para a adequação das serventias extrajudiciais à LGPD, especialmente em função da transformação digital que foi acentuada durante o período pandêmico de 2020-2021. Sem dúvidas, há necessidade de adequação/aperfeiçoamento por parte da Autoridade Nacional de Proteção de Dados, cujo múnus regulatório infralegal será muito beneficiado caso se acrescente, no cronograma de sua Agenda Regulatória13, para o próximo biênio (2023-2024), iniciativa voltada especificamente às atividades notariais e registrais. Temas ainda controversos, como a atuação do titular da serventia extrajudicial, na condição de controlador, e a necessidade de compatibilização de seu regime de responsabilidade civil - já sacramentado no Tema 777 do STF, com repercussão geral -, com as regras específicas dos artigos 42, caput, e 44, parágrafo único, da LGPD, bem como o delineamento de contornos mais claros para a aplicação das exigências dos demais dispositivos do Capítulo IV da LGPD aos serviços notariais e de registro são alguns dos assuntos que a ANPD terá de esmiuçar por força da competência que lhe é imposta pelo artigo 55-J, inciso XIII, da LGPD. As restrições severas à obtenção de certidões que essencialmente são públicas chocam-se com o princípio da publicidade que é essencial aos serviços notarias e de registro, e com a própria Lei n. 6.015/1973 que, em seu artigo 17, autoriza a obtenção de certidões sem informar motivo ou interesse. Curioso é que o Provimento faz menção a este artigo em seus considerandos, mas impõe a necessidade de indicação de finalidade à obtenção de determinadas certidões e até mesmo de autorização judicial. No mais, a atuação do CNJ, por sua Corregedoria Nacional de Justiça, é elogiável e muito bem-vinda, pois traz luz à aplicação da LGPD, com toda a sua complexidade, a um setor permeado por peculiaridades. Espera-se que o debate evolua ainda mais para que esclarecimentos complementares sejam trazidos à tona com máxima brevidade. Cabe agora às Corregedorias Estaduais a complementação do provimento através de Normas de Serviço, o que possibilitará a efetiva aplicabilidade do provimento em todo território nacional. __________ 1 LIMBERGER, Têmis. Comentários ao artigo 23. In: MARTINS, Guilherme Magalhães; LONGHI, João Victor Rozatti; FALEIROS JÚNIOR, José Luiz de Moura (coord.). Comentários à Lei Geral de Proteção de Dados Pessoais. Indaiatuba: Foco, 2022, p. 281-303. 2 LIMA, Cíntia Rosa Pereira de; LIMA, Marilia Ostini Ayello Alves de. Proteção de dados pessoais e publicidade registral: uma longa caminhada de um tema inesgotável. Migalhas de Proteção de Dados, 12 nov. 2021. Disponível em: https://www.migalhas.com.br/coluna/migalhas-de-protecao-de-dados/354779/publicidade-registral-uma-longa-caminhada-de-um-tema-inesgotavel Acesso em: 13 set. 2022. 3 Conferir, por todos, PERROTTA, Maria Gabriela Venturoti. Impactos jurídicos do sistema e-Notariado para as atividades notariais no Brasil. In: CRAVO, Daniela Copetti; JOBIM, Eduardo; FALEIROS JÚNIOR, José Luiz de Moura (coord.). Direito público e tecnologia. Indaiatuba: Foco, 2022, p. 327-339. 4 MIRANDA, Caleb Matheus Ribeiro de. Sistema Eletrônico de Registros Públicos (Serp). In: KÜMPEL, Vitor Frederico (coord.). Breves comentários à Lei n. 14.382/2022. São Paulo: YK Editora, 2022, p. 9-34. 5 CONSELHO NACIONAL DE JUSTIÇA. Provimento n. 134, de 24 de agosto de 2022. Estabelece medidas a serem adotadas pelas serventias extrajudiciais em âmbito nacional para o processo de adequação à Lei Geral de Proteção de Dados Pessoais. Disponível aqui. Acesso em: 13 set. 2022. 6 BRASIL. Supremo Tribunal Federal. Repercussão Geral. Tema 777 - Responsabilidade civil do Estado em decorrência de danos causados a terceiros por tabeliães e oficiais de registro no exercício de suas funções. Paradigma: RE 842.846. Relator: Min. Luiz Fux. DJe Nr. 172, de 08/07/2020. Disponível aqui. Acesso em: 13 set. 2022. 7 LIMA, Cíntia Rosa Pereira de. Comentários ao artigo 55-J. In: MARTINS, Guilherme Magalhães; LONGHI, João Victor Rozatti; FALEIROS JÚNIOR, José Luiz de Moura (coord.). Comentários à Lei Geral de Proteção de Dados Pessoais. Indaiatuba: Foco, 2022, p. 529-530. 8 AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Guia Orientativo sobre Tratamento de Dados Pessoais pelo Poder Público. Versão 1.0, 27 jan. 2022. Disponível aqui. Acesso em: 13 set. 2022. 9 AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado. Versão 2.0, 28 abr. 2022. Disponível aqui. Acesso em: 13 set. 2022. 10 Sobre o tema, conferir PARENTONI, Leonardo. Documento eletrônico: aplicação e interpretação pelo Poder Judiciário. Curitiba: Juruá, 2007, especialmente o Capítulo III. 11 MARCACINI, Augusto Tavares Rosa. Documentos digitalizados: originais, cópias e a nova Lei nº 12.682/2012. In: PAESANI, Liliana Minardi (coord.). O direito na sociedade da informação III: a evolução do direito digital. São Paulo: Atlas, 2013. p. 33-51. 12 MENKE, Fabiano. Assinatura eletrônica no direito brasileiro. São Paulo: Revista dos Tribunais, 2005, p. 30. O autor explica que "agora se vive a realidade de (...) ter de diminuir bastante a necessidade de utilização das assinaturas manuscritas. E isto de deve justamente ao desenvolvimento da criptografia assimétrica, e, com ela, a criação das assinaturas digitais". 13 AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Portaria n. 11, de 27 de janeiro de 2021. Torna pública a agenda regulatória para o biênio 2021-2022. Disponível aqui. Acesso em: 13 set. 2022.
Introdução Com a chegada e a declaração de estado pandêmico provocado pela COVID-191, questões e dúvidas relativas à privacidade e à intimidade tornaram-se mais evidentes. O Direito, como uma das ciências da vida em sociedade, viu-se questionado. Poderia, então, este ente abstrato limitar direitos e garantias em prol de uma coletividade? Muito além das meras discussões acadêmicas, essas posições e discussões mostram interferências diárias em nossas vidas. Quais são os direitos e os deveres que cabem a cada pessoa e ao Estado quando posições fáticas refletem interferências nas escolhas individuais e na própria escolha individual de cada um? Os direitos fundamentais apresentam-se como o centro do debate. Não podemos negar que, nessa segunda década do século vinte e um, discussões sobre os limites dos poderes da sociedade materializados no Estado e no governo, e os direitos e deveres individuais, se colocaram em conflito. Mas será esse conflito real, ou meramente aparente? Em um contexto geral, é a Constituição Federal a norma máxima que apresenta fundamento de validade para os demais direitos. Mas, ela seria meramente o texto positivado, ou haveria algo a mais, questões vinculadas a materialidade, isto é, a realidade das relações que se apresentam. Analisaremos nesse breve artigo algumas considerações sobre proteção de dados e privacidade. Mas o que justificaria tal esforço? A questão é simples de se observar. Se de um lado temos as garantias e deveres constitucionais impostas à autoridade com poder de coerção, de outro temos a liberdade e o direito de exercermos nossas escolhas limitados pela consecução do bem comum. O Direito é amplo e permite discussões e posicionamentos diversos, dependendo da construção dos fatos que nos levam a possíveis conclusões diversas. Tecemos, então, alguns comentários a fim de fomentar a discussão e a polêmica inerentes a este assunto. O objetivo principal deste texto é discutir e difundir essas posições. Para tanto tentaremos trazer alguns aspectos deste debate, sem, contudo, esgotar a temática. Desenvolvimento A incorporação constitucional do Direito a Proteção de Dados como proteção fundamental A Emenda Constitucional 115, de 10 de fevereiro de 2022, alterou a Constituição Federal para incluir a proteção de dados pessoais entre os direitos e garantias fundamentais e para fixar a competência privativa da União para legislar sobre proteção e tratamento de dados pessoais. Incluiu-se no rol de direitos e garantias fundamentais previstos no artigo 5º, o inciso LXXIX, segundo o qual fica assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais. Da mesma forma que acrescentou o inciso XXVI ao artigo 21, de forma que compete à União: organizar e fiscalizar a proteção e o tratamento de dados pessoais, nos termos da lei. Fixando, ainda, competência legislativa privativa àquele ente, nos termos do inciso XXX, do artigo 22, segundo o qual compete privativamente à União legislar sobre: proteção e tratamento de dados pessoais. Anteriormente a este desenvolvimento legislativo e normativo a edição da Lei Geral de Proteção de Dados - lei 13.709/2018 apresentou uma regulação legal (infraconstitucional) sobre o assunto, a despeito da ausência de um marco normativo constitucional. Ainda que esta legislação não sirva de base de justificação constitucional direta deste direito, permite-se extrair a fundamentalidade da proteção a partir do seu conteúdo e alcance associado a partir da interpretação de princípios e direitos fundamentais de caráter geral e especial já positivados como o princípio da dignidade da pessoa humana, o direito ao livre e completo desenvolvimento da personalidade. Leonardo Quintiliando, em artigo publicado neste mesmo Portal2 nos questiona, após análise dos fundamentos que implicaram em alterações constitucionais, a sua necessidade; visto que "o direito à proteção de dados já é reconhecido pela doutrina e jurisprudência como princípio implícito na Constituição". O professor e advogado analisa os fundamentos considerados pelo Congresso para a constitucionalização identificando uma omissão quanto aos motivos e fundamentos que motivaram o constituinte, não explicitando sua necessidade. Identificou ainda que ,da forma que foi constitucionalizada como norma de eficácia contida esse direito, pode vir a sofrer restrições. Em outro escrito3, Quintiliano discute o contexto histórico e a finalidade da LGPD sob o alerta da possibilidade de controle da privacidade dos cidadãos e da manipulação de seus dados para interesses ilegítimos. Compreende, pois, que a proteção da privacidade é inerente à autodeterminação pessoal como uma irradiação do princípio da dignidade humana. Sua análise percorre desde a genérica previsão ao direito à privacidade na Declaração Universal dos Direitos Humanos, passando por outros instrumentos regionais para então chegar à proteção de dados, enquanto direito. A construção argumentativa é similar à utilizada pela Ministra Rosa Weber quando do julgamento da constitucionalidade da Medida Provisória 954/2020 que declarava a emergência de saúde pública no Brasil e dentro de seu escopo estava o compartilhamento obrigatório dos dados pessoais tendo em vista a proteção a saúde pública. O STF afastou essa hipótese. A partir da ADI 63874 de Relatoria da Ministra Rosa Weber no ano de 2020 quando o Supremo Tribunal Federal passou a reconhecer a proteção de dados pessoais como um direito fundamental autônomo e implicitamente positivado.5 Para compreender a lógica doutrinária e jurisprudencial devemos considerar a existência de normas com conteúdo materialmente constitucionais, de normas com conteúdo formalmente constitucionais. Recordando: o constituinte originário compreendeu que direitos e garantias expressos presentes na Constituição não excluem outros decorrentes do regime e dos princípios por ela adotados (Art. 5§2º). Podemos afirmar a existência de direitos materialmente constitucionais fora do texto expresso da constituição, atingidos por meio da interpretação proveniente dos tribunais competentes e da mais arrazoada doutrina. O texto constitucional não é taxativo em relação ao rol de direitos fundamentais. Esses podem estar dispersos no texto constitucional, assim como podem ser extraídos pelo intérprete do direito de toda a conformação do ordenamento jurídico. De acordo com Canotilho,6 a fundamentalidade material dos direitos fundamentais decorre da abertura da Constituição a outros direitos fundamentais não expressamente constitucionalizados Podemos entender o ordenamento jurídico, segundo as lições de Norberto Bobbio7, como uma entidade unitária constituída pelo conjunto sistemático de todas as normas (2006, p. 197), objetivando superar o risco permanente de incerteza e de arbítrio (2006, p. 198) a partir de três características fundamentais: a unidade, a coerência e a completude (2006, p. 198), encontrando seu fundamento na norma hipotética fundamental que pode se  materializar na Constituição (mas que com ela não se confunde) em sua  forma dinâmica. Ainda que possa o poder constituinte originar-se de um fato social, ele é autorizado pela norma fundamental a estabelecer normas emanadas que deverão ser cumpridas por todos, não admitindo lacunas, contradições e antinomias em seu sistema; sendo, portanto:  uno, completo e coerente (BOBBIO, 2006, p.202). É dentro desta lógica sistêmica que o raciocínio vinculado à fundamentalidade do direito da proteção dos dados pessoais emergiu em decorrência dos direitos de personalidade e constitucionalmente, em especial, o respeito à privacidade e à autodeterminação informativa8. De forma que a coleta, o uso e o processamento (tratamento e manipulação) de dados relativos à identificação - efetiva ou potencial - de pessoa natural, hão de observar os limites delineados pela proteção à liberdade individual (art. 5º, caput), da privacidade e do livre desenvolvimento da personalidade (art. 5º, X e XII). O tratamento de dados pessoais tende a ser uma medida eficaz, muitas vezes essencial, para a avaliação e o manejo de riscos, sendo que apresenta implicações para o desenvolvimento de políticas públicas e sociais. Quando há interesse público legítimo no compartilhamento dos dados pessoais dos usuários de serviços, faz-se necessária a garantia de que esses dados manipulados sejam adequados, relevantes e não excessivos em relação ao propósito a que deles se espera para o uso e conservados apenas pelo tempo necessário. Em função do princípio da transparência, o uso e a coleta desses dados devem ter seus critérios de uso e da forma de coleta e tratamento definidos, expressando e protegendo também a garantia do devido processo legal (art. 5º, LIV, da CF). Na dimensão substantiva, deve oferecer condições de avaliação quanto à sua adequação, à necessidade, à compatibilidade do tratamento com as finalidades informadas e à sua limitação ao mínimo necessário para alcançar suas finalidades.  No mesmo sentido, devem ser apresentados mecanismos técnicos ou administrativos aptos à proteção de tais dados pessoais, em especial aqueles definidos como sensíveis de acessos não autorizados, vazamentos acidentais ou utilização indevida, seja na transmissão, seja no tratamento, Independentemente do cenário de urgência decorrente de crises e emergências, a necessidade de formulação de políticas públicas, que demandem dados específicos para seu desenho executivo, não pode ser invocada como pretextos para justificar investidas visando ao enfraquecimento de direitos e permitindo o atropelo de garantias fundamentais consagradas pelo sistema constitucional. Consequentemente, é relevante compreender o sentido do termo "dados pessoais" e analisar as características específicas da temática referente a dados pessoais sensíveis. Algumas Definições: Dados Pessoais e Dados Pessoais Sensíveis O Regulamento Europeu (UE 2016/679), que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados, considera que as pessoas têm direito à proteção dos dados de caráter pessoal, garantindo a realização de um espaço comum de liberdade, segurança e justiça; logo, devendo esta proteção ser considerada em equilíbrio com outros direitos fundamentais. Neste sentido, define-se Dados Pessoais como toda unidade, a qual integra uma informação pessoal, relativa a uma pessoa física que possa ser identificada, direta ou indiretamente, a partir de uma referência ou identificador, por via eletrônica ou física, que apresentem elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social da mesma9. Nota-se que a normativa europeia define algumas categorias especiais relativas aos dados pessoais, é dizer, especifica-se a proteção de dados sensíveis, sendo esses aqueles que: "revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa"10.  No direito pátrio, por sua vez o legislador seguiu os mesmos conceitos, a partir do artigo 5º da LGPD, podemos extrair que dados pessoais são informações relacionadas a pessoa natural identificada ou identificável e dados pessoais sensíveis caracterizam-se como dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. A partir destas definições conceituais, deve-se compreender os limites e as diferenças entre o direito à proteção de dados pessoais e os direitos de privacidade, já que são conceitos relacionados e interligados; porém distintos e diversos. Entre os Direitos de Privacidade e a Proteção de Dados Kevin Peroli11 afirma que a efetividade da autodeterminação do indivíduo também recai sobre a proteção dos dados pessoais e sensíveis como fundamento ao acordo entre indivíduos e instituições acerca de quais dados podem ser tratados, de forma que existe a soberania do titular desses dados sobre suas próprias informações. Conforme nos indica Leonardo Quintiliano12, o próprio parecer da Câmara dos Deputados a respeito da PEC 17/2019 traz o posicionamento de Laura Schertel Ferreira Mendes, professora da Universidade de Brasília, que de forma concisa nos apresenta as diferenças básicas sobre esses direitos. O direito à privacidade possui caráter individual, expressando-se como um direito negativo que oportuniza o uso e o gozo de direitos. De outro lado, a proteção de dados apresentar-se com um caráter mais coletivo, expressando-se como um direito positivo, manifestado na própria decisão do indivíduo de permitir ou não a coleta, o uso, a circulação e o tratamento de seus dados, de forma a garantir a igualdade por meio da não discriminação e o aproveitamento de oportunidades sociais. Considerações Finais Desta forma, fica claro que apesar de próximos, estes conceitos não se confundem. Ainda mais que, com a constitucionalização da proteção de dados, o direito de proteção aos dados pessoais se tornou um direito mais autônomo, e não mais uma mera construção interpretativa. Ainda que haja críticas sobre a constitucionalização e a sua necessidade, o fato é que com a positivação deste direito em norma constitucional expressa, torna-se mais fácil o acesso e a compreensão desta proteção dos dados pessoais. No entanto, por ser algo novo, que tem seu debate iniciado há poucos anos, a execução e a proteção de direitos derivados da proteção de dados dependem de estabilização que só ocorrerá a partir das decisões judiciais sobre o caso concreto, de forma a garantir a unidade e a coerência de todo o sistema e ordenamento jurídico. __________ 1 BRASIL, Decreto Legislativo Nª. 06 de março de 2020, que "Reconhece, para os fins do art. 65 da Lei Complementar nº 101, de 4 de maio de 2000, a ocorrência do estado de calamidade pública, nos termos da solicitação do Presidente da República encaminhada por meio da Mensagem nº 93, de 18 de março de 2020". 2 QUINTILIANO, Leonardo David. A proteção de dados pessoais como direito fundamental - (ir)relevância da PEC 17/2019?  Disponível aqui. 3 QUINTILIANO, Leonardo David. Contexto histórico e finalidade da Lei Geral de Proteção de Dados (LGPD). Instituto Avançado de Proteção de Dados - IAPD Disponível aqui. 4 EMENTA MEDIDA CAUTELAR EM AÇÃO DIRETA DE INCONSTITUCIONALIDADE. REFERENDO. MEDIDA PROVISÓRIA Nº 954/2020. EMERGÊNCIA DE SAÚDE PÚBLICA DE IMPORTÂNCIA INTERNACIONAL DECORRENTE DO NOVO CORONAVÍRUS (COVID-19). COMPARTILHAMENTO DE DADOS DOS USUÁRIOS DO SERVIÇO TELEFÔNICO FIXO COMUTADO E DO SERVIÇO MÓVEL PESSOAL, PELAS EMPRESAS PRESTADORAS, COM O INSTITUTO BRASILEIRO DE GEOGRAFIA E ESTATÍSTICA. FUMUS BONI JURIS. PERICULUM IN MORA. DEFERIMENTO. 1. Decorrências dos direitos da personalidade, o respeito à privacidade e à autodeterminação informativa foram positivados, no art. 2º, I e II, da Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), como fundamentos específicos da disciplina da proteção de dados pessoais. 2. Na medida em que relacionados à identificação - efetiva ou potencial - de pessoa natural, o tratamento e a manipulação de dados pessoais hão de observar os limites delineados pelo âmbito de proteção das cláusulas constitucionais assecuratórias da liberdade individual (art. 5º, caput), da privacidade e do livre desenvolvimento da personalidade (art. 5º, X e XII), sob pena de lesão a esses direitos. O compartilhamento, com ente público, de dados pessoais custodiados por concessionária de serviço público há de assegurar mecanismos de proteção e segurança desses dados. 3. O Regulamento Sanitário Internacional (RSI 2005) adotado no âmbito da Organização Mundial de Saúde exige, quando essencial o tratamento de dados pessoais para a avaliação e o manejo de um risco para a saúde pública, a garantia de que os dados pessoais manipulados sejam "adequados, relevantes e não excessivos em relação a esse propósito" e "conservados apenas pelo tempo necessário." (artigo 45, § 2º, alíneas "b" e "d"). 4. Consideradas a necessidade, a adequação e a proporcionalidade da medida, não emerge da Medida Provisória nº 954/2020, nos moldes em que editada, interesse público legítimo no compartilhamento dos dados pessoais dos usuários dos serviços de telefonia. 5. Ao não definir apropriadamente como e para que serão utilizados os dados coletados, a MP nº 954/2020 desatende a garantia do devido processo legal (art. 5º, LIV, da CF), na dimensão substantiva, por não oferecer condições de avaliação quanto à sua adequação e necessidade, assim entendidas como a compatibilidade do tratamento com as finalidades informadas e sua limitação ao mínimo necessário para alcançar suas finalidades. 6. Ao não apresentar mecanismo técnico ou administrativo apto a proteger, de acessos não autorizados, vazamentos acidentais ou utilização indevida, seja na transmissão, seja no tratamento, o sigilo, a higidez e, quando o caso, o anonimato dos dados pessoais compartilhados, a MP nº 954/2020 descumpre as exigências que exsurgem do texto constitucional no tocante à efetiva proteção dos direitos fundamentais dos brasileiros. 7. Mostra-se excessiva a conservação de dados pessoais coletados, pelo ente público, por trinta dias após a decretação do fim da situação de emergência de saúde pública, tempo manifestamente excedente ao estritamente necessário para o atendimento da sua finalidade declarada. 8. Agrava a ausência de garantias de tratamento adequado e seguro dos dados compartilhados a circunstância de que, embora aprovada, ainda não vigora a Lei Geral de Proteção de Dados Pessoais (Lei nº 13.709/2018), definidora dos critérios para a responsabilização dos agentes por eventuais danos ocorridos em virtude do tratamento de dados pessoais. O fragilizado ambiente protetivo impõe cuidadoso escrutínio sobre medidas como a implementada na MP nº 954/2020. 9. O cenário de urgência decorrente da crise sanitária deflagrada pela pandemia global da COVID-19 e a necessidade de formulação de políticas públicas que demandam dados específicos para o desenho dos diversos quadros de enfrentamento não podem ser invocadas como pretextos para justificar investidas visando ao enfraquecimento de direitos e atropelo de garantias fundamentais consagradas na Constituição. 10. Fumus boni juris e periculum in mora demonstrados. Deferimento da medida cautelar para suspender a eficácia da Medida Provisória nº 954/2020, a fim de prevenir danos irreparáveis à intimidade e ao sigilo da vida privada de mais de uma centena de milhão de usuários dos serviços de telefonia fixa e móvel. 11. Medida cautelar referendada. (ADI 6387 MC-Ref, Relator(a): ROSA WEBER, Tribunal Pleno, julgado em 07/05/2020, PROCESSO ELETRÔNICO DJe-270  DIVULG 11-11-2020  PUBLIC 12-11-2020) 5 SARLET, Ingo Wolfgang; A EC 115/22 e a proteção de dados pessoais como Direito Fundamental I. In Consultor Jurídico [Direitos Fundamentais]. Publicado em 11 de março de 2022. Acesso em 05 de Agosto de 2022. 6 CANOTILHO, José Joaquim Gomes. Direito constitucional e teoria da constituição. 4º ed. Coimbra: Almedina, p. 373 7 BOBBIO, Norberto. O Positivismo Jurídico: Lições de Filosofia do Direito. Coleção Elementos do Direito. São Paulo, Ícone: 2006. 8 Trata-se de um poder que cada cidadão tem sobre seus próprios dados pessoais sendo uma forma de garantir o controle sobre as próprias, permitindo o domínio sobre os dados pessoais e consequentemente implicando que o seu uso e tratamento sejam legítimos. É um dos fundamentos que norteiam a LGPD e constitui-se em uma faculdade pessoal garantida a todos para o exercício de controle da coleta, uso, tratamento e transferência desses dados por e a terceiros. 9 Artigo 4º. Do Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) 10 Artigo 9º. Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE (Regulamento Geral sobre a Proteção de Dados) 11 PEROLI, Kelvin. O que são dados pessoais sensíveis?  Instituto Avançado de Proteção de Dados - IAPD. Disponível aqui. 12 QUINTILIANO, Leonardo David. A proteção de dados pessoais como direito fundamental - (ir)relevância da PEC 17/2019?  Disponível aqui.
Introdução A LGPD não trouxe previsão expressa do direito à desindexação dentre os direitos assegurados aos titulares de dados nos artigos 17 a 22 da lei, no entanto, não se deve olvidar que este é um rol exemplificativo na medida em que a proteção de dados pessoais é um direito fundamental e integra o rol dos direitos de personalidade. Assim, o próprio art. 5º da CF/88 traz a possibilidade de outros direitos e garantias fundamentais previstos em Tratados Internacionais dos quais o Brasil seja signatário (cláusula geral de reenvio prevista no § 3º). Semelhantemente, o Código Civil menciona alguns direitos de personalidade de forma exemplificativa1 (arts. 11 a 21 do CC/02), pois a tutela privada dos direitos de personalidade impõe uma releitura dos fundamentos do Direito Privado, como alertava Orlando Gomes2. Neste sentido, Pietro Perlingieri3 afirma que o fundamento da tutela dos direitos de personalidade é único, porém as manifestações da personalidade humana são múltiplas e não se pode identificar todas estas variedades a priori.  1 Conceito e limites do direito à desindexação Pizzetti Franco4 define o direito à indexação como: "o direito de não ver facilmente encontrada uma notícia que não seja mais atual. O efeito principal da indexação e difusão da notícia por meio das ferramentas de busca é, de fato, colaborar de maneira contínua para a atualidade das informações e criar um perfil da pessoa a que se referem". Para se compreender o direito à desindexação, deve-se recordar que as ferramentas de busca coletam informações a partir dos parâmetros indicados pelos usuários, classificando-as a partir de algoritmos de relevância da informação, restando claro que estas ferramentas realizam tratamento de dados pessoais. Portanto, surge a questão sobre as hipóteses legais para sustentar esse tratamento de dados. No art. 7º da LGPD, constatam-se as hipóteses para tratamento de dados pessoais, quais sejam: o consentimento do titular de dados; cumprimento de obrigação legal ou regulatória;  pela administração pública, quando necessário à execução de políticas públicas; para a realização de estudos por órgão de pesquisa (garantida a anonimização sempre que possível); para a execução de contrato ou de procedimentos preliminares; para exercício regular de direito em processo judicial, administrativo ou arbitral; para a proteção da vida ou da incolumidade física do titular ou de terceiros; para a tutela da saúde; para atender interesses legítimos dos agentes de tratamento ou de terceiros; e para a proteção do crédito, conforme a Lei do Cadastro Positivo (lei 12.414/2011). O art. 11 da LGPD, por sua vez, estabelece as bases para o tratamento de dados pessoais sensíveis,5 a saber: consentimento; cumprimento de obrigação legal ou regulatória; pela administração pública quando necessário à execução de políticas públicas; para a realização de estudos por órgão de pesquisa (garantida a anonimização sempre que possível); exercício regular de direito; obrigação legal ou regulatória; para a proteção da vida ou da incolumidade física do titular ou de terceiro; - para a tutela da saúde; e para a prevenção à fraude e à segurança do titular de dados. Percebe-se que, embora semelhantes, as hipóteses para o tratamento de dados pessoais sensíveis são mais restritivas, não se admitindo para a execução de contrato ou de procedimentos preliminares, para atender aos interesses legítimos dos agentes de tratamento de dados e para proteção do crédito. Desta forma, a indexação somente pode se sustentar se estiver embasada em uma das hipóteses autorizadoras para o tratamento de dados pessoais acima elencadas. Uma das hipóteses é o consentimento. Muito embora não seja esta a única base para o tratamento de dados pessoais, é inegável a relevância desta hipótese legal para que o tratamento de dados seja realizado. Portanto, quando a indexação estiver embasada apenas no consentimento6, a LGPD garante ao titular de dados pessoais o direito de revogar o consentimento (art. 18, inc. IX da lei). Neste sentido, pode-se afirmar que o direito à desindexação é um direito que decorre do sistema de proteção dos dados pessoais, segundo o qual o titular dos dados pode se opor ao tratamento de dados realizado sem uma base legal que o sustente ou quando o titular de dados se oponha, revogando o consentimento manifestado de forma expressa ou inequívoca. Quanto aos limites do direito à desindexação, deve-se atentar às circunstâncias legais que autorizam o tratamento de dados pessoais, independentemente do consentimento do titular de dados. Portanto, nestas hipóteses, não caberá o direito à desindexação, pois existe um fundamento legal, que deve ser demonstrado pelo agente de tratamento de dados em função do princípio da responsabilidade e prestação de contas (accountability) nos termos do inc. X do art. 6º da LGPD. Fundamento legal do direito à desindexação em uma perspectiva civil-constitucional O direito à desindexação está intimamente ligado à autodeterminação informativa, entendida como o direito subjetivo da pessoa de poder controlar o acesso, o fluxo e o compartilhamento de suas informações pessoais, o direito à proteção de dados deve ser visto como um direito fundamental. Os desafios para a concretude deste direito no contexto das novas tecnologias, cuja capacidade de armazenamento e a perenização da informação são facilmente alcançadas, são muitos. Segundo a opinião de Viktor Mayer-Shönberger7, a "Internet precisa nos permitir esquecer". Porém, destaca o autor, que, no caso González vs. Google Spain, a informação já estava ultrapassada e era irrelevante, portanto, não era necessária a sua preservação. Viktor destaca que não resgatar eventos e notícias descontextualizadas e desatualizadas é fundamental para a evolução do ser humano e o perdão. Cumpre destacar este o direito à desindexação é próprio ao sistema de informação, pois implica na coleta, seleção e organização de dados pessoais a partir dos parâmetros de busca definidos por algoritmos. Neste sentido, Jonathan Zittrain8 entende que, na verdade, o direito que se pretende é que a sua vida não seja apresentada por uma máquina sem que haja revisão, e de maneira tão trivial, basta digitar uma palavra de busca e um clique. Segundo o autor, este direito é legítimo. E a solução mais eficaz está na arquitetura da rede, disseminando ferramentas tecnológicas que subordinam a acessibilidade de determinado dado a um lapso temporal. Portanto, o direito à desindexação tem fundamento na própria Constituição Federal, art. 1o, inc. III (dignidade da pessoa humana), além do art. 12 do Código Civil quanto à tutela privada dos direitos de personalidade. A própria Constituição Federal, §1º do art. 2209, estipula fatores que relativizam a liberdade de informação e de expressão como a proteção dos direitos da personalidade, pois cediço que nenhum direito é absoluto.  Por isso, um site de ferramenta de busca e indexação na Internet pode ser obrigado a estabelecer ferramentas de filtros para que determinado conteúdo não seja mais indexado conforme um determinado parâmetro de busca, sem, contudo, removê-la do provedor de conteúdo, da fonte primária, o que caracterizaria o direito à desindexação. Por ser o principal prejudicado, o titular do exercício do direito à desindexação, como um direito de personalidade, é a própria pessoa, detentora de suas informações pessoais veiculadas, processadas e transmitidas. Em contrapartida, excepcionalmente, a pretensão poderá ser exercida por seus sucessores nos termos do parágrafo único do art. 12 do Código Civil brasileiro, que confere tal legitimidade para a tutela dos direitos da personalidade. Conclusão: o fundamento do direito à desindexação na Lei Geral de Proteção de Dados (LGPD) Além disso, o fundamento legal para o direito à desindexação depende da hipótese em questão. Se o tratamento tiver sido realizado com base nas hipóteses legais para tal atividade, exceto o consentimento, a LGPD possibilita o direito à desindexação por meio da oposição facultada aos titulares de dados nos termos do art. 18, § 2o: "O titular pode opor-se a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, em caso de descumprimento ao disposto nesta Lei". A parte final deste dispositivo legal ("em caso de descumprimento ao dispositivo da Lei") foi acrescentada na discussão do texto da lei no Congresso Nacional. Desta forma, o legislador deixa clara a possibilidade de se opor ao tratamento de dados pessoais, que pode ser à indexação, quando o agente de tratamento de dados não demonstrar nenhuma hipótese legal para o tratamento de dados pessoais, fato que demonstraria um descumprimento à LGPD. O outro fundamento legal para o direito à desindexação é a possibilidade de revogação do consentimento pelo titular de dados pessoais prevista no inc. IX do art. 18 da LGPD. Em outras palavras, quando a indexação estiver fundamentada no consentimento expresso ou inequívoco do titular, este poderá exercer o direito à desindexação revogando o consentimento.10 __________ 1 De acordo com Gustavo Tepedino: "Deverá o interprete romper com a ótica tipificadora seguida pelo Código Civil, ampliando a tutela da pessoa não apenas no sentido de admitir um aumento das hipóteses de ressarcimento, mas, de maneira muito ampla, no intuito de promover a tutela da personalidade mesmo fora do rol de direitos subjetivos previstos pelo legislador codificador". TEPEDINO, Gustavo. Cidadania e os direitos da personalidade. In: Revista da Escola Superior da Magistratura de Sergipe. Aracaju, n. 3, 2002, p.4. 2 Introdução ao Direito Civil. 18 ed. Rio de Janeiro: Forense, 2001. p. 150. 3 Manuale di Diritto Civile. 6. ed. Napoli: Edizioni Scientifiche Italiane, 2007. p. 149. 4 Le Autorità Garanti per la Protezione dei Dati Personali e la Sentenza della Corte di Giustizia sul Caso Google Spain: è Tempo di Far Cadere il "Velo di Maya". In: Il Diritto dell'informazione e dell'informatica, 2014, fasc. 4-5, Giuffrè, pp. 805 - 829. p. 808: "[...] il diritto a non vedere facilmente trovata una notizia non più attuale. L'effetto principale della indicizzazione e diffusione delle notizie attraverso il motore di ricerca è infatti quello di concorrere in modo contino a riattualizzare tutte le informazioni, facendole diventare tutte elementi del profilo in atto della persona a cui si riferiscono." 5 Dados pessoais sensíveis são definidos no inc. II do art. 5º da LGPD, a saber: "dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural". 6 Que pode ser expresso ou inequívoco conforme estabelece o inc. XII do art. 5º da LGPD e o caput do art. 8º da LGPD. Cf. LIMA, Cíntia Rosa Pereira de. Consentimento inequívoco versus expresso: o que muda com a LGPD? In: Revista do Advogado, ano XXXIX, n. 144, pp. 60 - 66. São Paulo: AASP, 2019. 7 Entrevista pulicada no Estadao.com.br, Cultura Digital, em 08/06/2014. 8 Opinion In New York Times. Disponível em aqui, Don't Force Google to 'Forget', acesso em 15 de mar. 2021. 9 Art. 220. A manifestação do pensamento, a criação, a expressão e a informação, sob qualquer forma, processo ou veículo não sofrerão qualquer restrição, observado o disposto nesta Constituição. § 1º Nenhuma lei conterá dispositivo que possa constituir embaraço à plena liberdade de informação jornalística em qualquer veículo de comunicação social, observado o disposto no art. 5º, IV, V, X, XIII e XIV. 10 Para o estudo mais aprofundado sobre o tema, vide: LIMA, Cíntia Rosa Pereira de. O direito à desindexação em uma perspectiva civil-constitucional. In: SARLET, Gabrielle Bezerra Sales; TRINDADE, Manoel Gustavo Neubarth; MELGARÉ, Plínio. Proteção de Dados: temas controvertidos. Indaiatuba: Foco, 2021.
Na disciplina da LGPD, o tratamento de dados pessoais só pode ocorrer se estiver fundamentado em uma base legal. Desse modo, para a operacionalização de sistemas de Inteligência Artificial que envolva o tratamento de dados pessoais, a atuação do Poder Público precisará estar respaldada em uma das hipóteses autorizativas previstas nos artigos 7º e 11 da lei 13.709/2018. Deve-se buscar, em cada caso concreto, a base legal mais adequada e segura para a finalidade pretendida, com a apresentação das justificativas pertinentes pela Administração Pública, sendo certo, inclusive, que o consentimento do titular poderá ser dispensado, nos termos analisados na Parte I deste ensaio. Se é exato que a disciplina da Lei Geral de Proteção de Dados Pessoais não pode ser interpretada de forma tão estrita que paralise ou impeça a atuação estatal, também é verdade que não há um "salvo-conduto" para o desrespeito ao direito à proteção dos dados pessoais. A via hermenêutica a ser seguida deve ser, sempre, a de viabilizar a atividade pública, mas com balizamentos jurídicos fundamentais que vão moldar a atuação do agente de tratamento. Na conformação do agir administrativo pela disciplina da LGPD, portanto, destacam-se os princípios contemplados em seu artigo 6º. De acordo com tal dispositivo, o tratamento de dados pessoais deve ser realizado para finalidade legítima, específica, explícita e devidamente informada, sem possibilidade de tratamento posterior de modo conflitante com esse objetivo (princípio da finalidade). Faz-se mister que a operação prevista seja compatível com o propósito aventado e que o procedimento ocorra sem excessos, na exata medida para se alcançar tal fim. Com efeito, o tratamento de dados pessoais deve ocorrer conforme sua razão justificadora e no limite desse escopo, encerrando-se a operação tão logo haja seu cumprimento (princípios da adequação e da necessidade).1 Assegura-se ao titular acesso facilitado e gratuito à forma, à duração do tratamento e à integralidade dos dados pessoais (princípio do livre acesso). Os dados devem estar corretos, claros, atualizados e se afigurarem relevantes para o atendimento do objetivo da operação (princípio da qualidade dos dados). São garantidas ao titular informações claras, precisas e facilmente acessíveis a respeito dos tratamentos realizados e dos agentes que os promovem, respeitados os segredos comercial e industrial (princípio da transparência). A operação deve ser efetuada de acordo com medidas técnicas e administrativas seguras (princípio da segurança). Demanda-se a adoção de providências que evitem a ocorrência de danos, determinando-se aos agentes de tratamento a demonstração do implemento das normas de proteção e da eficácia das medidas cumpridas (princípios da prevenção e da responsabilização e prestação de contas). O tratamento não pode se dar para fins discriminatórios ilícitos ou abusivos (princípio da não discriminação). Além disso, com relação aos dados de crianças e adolescentes, deverá ser observado, pelo Poder Público, o princípio do melhor interesse (art. 14, caput, LGPD), que é consectário da doutrina da proteção integral (art. 227, CRFB). Cuida-se de salvaguardar os direitos fundamentais desses sujeitos vulneráveis, independentemente de qual seja a base legal de tratamento. Outra disposição a ser considerada diz respeito ao artigo 23 da lei 13.709/2018. Isso porque as bases legais elencadas nos artigos 7º e 11 devem ser lidas em conjunto com a previsão do artigo 23 da LGPD. A norma exige que o tratamento de dados pessoais atenda a uma finalidade pública e que sejam observadas as competências legais dos órgãos administrativos. Demanda, ademais, a observância do dever de publicidade por parte do Poder Público, informando, de modo claro e atualizado, em veículo de fácil acesso, preferencialmente por meio de seus sítios eletrônicos, a respeito dos tratamentos realizados. Prevê, ainda, a indicação de encarregado, que atuará como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados (art. 5º, VIII, LGPD). Também se mostra importante a elaboração de relatórios de impacto à proteção de dados pessoais, descrevendo os processos que podem gerar riscos às liberdades civis e aos direitos fundamentais e as providências que visam a mitigar os riscos envolvidos (art. 5º, XVII, LGPD). Nessa toada, "eventuais riscos à proteção de dados pessoais" devem ser levados em consideração "tanto nos relatórios de impacto de proteção de dados (RIPDs)" previstos na lei 13.709/2018 "quanto nas Avaliações de Impacto Algorítmico (AIA)", de modo a integrar o mapeamento de riscos da contratação pública de Inteligência Artificial.2 A perspectiva deve ser, portanto, a de enfoque na adoção de medidas capazes de antecipar e mitigar riscos, indo além de uma ótica tradicional que trata exclusivamente da reparação pecuniária de eventuais danos já causados. Com efeito, deve ser perseguida a tutela efetiva do direito à proteção dos dados pessoais e, consequentemente, do princípio da dignidade da pessoa humana, alicerce do sistema jurídico. Cabe observar que a LGPD prevê, na Seção "Da Responsabilidade" do Capítulo destinado ao "Tratamento de Dados Pessoais pelo Poder Público" (Seção II do Capítulo IV), contornos próprios para a atuação da Autoridade Nacional de Proteção de Dados nessa seara.3 É atribuída competência à ANPD para sugerir, ao Poder Público, a adoção de padrões e de boas práticas, para solicitar a publicação de relatórios de impacto à proteção de dados pessoais e para enviar informe com providências cabíveis para pôr fim a uma eventual violação (arts. 31 e 32). De outra parte, é certo que devem ser assegurados os direitos do titular previstos na LGPD (Capítulo III). Tratando-se de decisões automatizadas, põe-se em relevo o debate sobre o direito à explicação e o direito à revisão de tais decisões.  O artigo 20, caput, da lei 13.709/2018, prevê que o "titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade". O § 1º do mesmo dispositivo estabelece que "o controlador deverá fornecer, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial". No caso de recusa do fornecimento da informação com fundamento nos segredos comercial e industrial, a autoridade nacional poderá, nos termos do § 2º do artigo 20, "realizar auditoria para verificação de aspectos discriminatórios" no "tratamento automatizado de dados pessoais". A questão mais controvertida diz respeito a se haveria exigência de revisão humana ou se a revisão poderia ser feita por outra decisão automatizada. A redação original da LGPD continha a previsão do direito do titular de solicitar a revisão por pessoa natural, o que, todavia, foi excluído pela Medida Provisória 869/2018.  Com a conversão da Medida Provisória nº 869/2018 na lei 13.853/2019, pretendeu-se estipular, no § 3º do artigo 20, que a revisão deveria ser realizada por pessoa natural, conforme previsto em regulamentação da autoridade nacional, que levaria em consideração a natureza e o porte da entidade ou o volume de operações de tratamento de dados. O dispositivo foi, todavia, objeto de veto presidencial. A redação vigente da Lei Geral de Proteção de Dados Pessoais não contempla, portanto, previsão expressa a respeito da revisão humana de decisões automatizadas. A exclusão operada pela Medida Provisória 869/2018, convertida na Lei nº 13.853/2019, tem gerado interpretações distintas na doutrina, havendo quem sustente, por exemplo, que, "mesmo com a Lei 13.853/2019, poder-se-ia inferir, a partir da principiologia da Lei, que a intervenção humana continua a ser uma exigência em alguma fase do processo de contestação da decisão automatizada, ainda que não no primeiro pedido de revisão".4 A esse respeito, foi observado, na Estratégia Brasileira de Inteligência Artificial (EBIA), que, "nos casos em que a avaliação de risco de decisões automatizadas indica um alto risco para os indivíduos, a intervenção humana pode ser um importante fator de mitigação do risco a ser considerado pelas organizações privadas e pelo setor público". Constou, então, como uma das ações estratégicas a serem implementadas, a criação de "parâmetros sobre a intervenção humana em contextos de IA em que o resultado de uma decisão automatizada implica um alto risco de dano para o indivíduo".  Trata-se de tema ainda em construção, que certamente suscitará maiores debates doutrinários e jurisprudenciais, e demandará conformação pela Autoridade Nacional de Proteção de Dados, cabendo ao agente de tratamento acompanhar sua evolução e zelar pela atuação (sempre) em conformidade com a ordem jurídica. Por fim, cabe ressalvar os casos de tratamento de dados pessoais para fins exclusivos de segurança pública, defesa nacional, segurança do Estado e atividades de investigação e repressão de infrações penais. A ANPD afirma, em seu "Guia Orientativo sobre Tratamento de Dados Pessoais pelo Poder Público", que o inciso III do artigo 4º da lei 13.709/2018 "excepciona parcialmente a aplicação da LGPD" a tais operações. O Enunciado nº 678 da IX Jornada de Direito Civil consigna que se aplicam, aos tratamentos de dados pessoais realizados para tais fins exclusivos, "o devido processo legal, os princípios gerais de proteção e os direitos do titular previstos na LGPD, sem prejuízo de edição de legislação específica futura". A Estratégia Brasileira de Inteligência Artificial (EBIA) aduz que, "enquanto uma lei específica sobre o tema não existe, aplica-se a LGPD ainda que de forma limitada". Desse modo, "a criação e o uso de bancos de dados de segurança pública integrados a sistemas de IA devem observar o devido processo legal, os princípios gerais de proteção de dados pessoais e os direitos dos titulares de dados, conforme o art. 4º, §1º, da LGPD". Diante do exposto nas Partes I e II deste trabalho, vê-se que o tratamento de dados pessoais pelo Poder Público no bojo da operacionalização de sistemas de Inteligência Artificial envolve tanto a apreensão da finalidade pública da atividade quanto a consideração da natureza pessoal da informação. Não se pode descurar, assim, da dimensão (não já unilateral, mas) relacional do tema, demandando-se o balanceamento entre os diversos interesses incidentes em cada caso concreto.5 Por um lado, é certo que a interpretação da disciplina da Lei Geral de Proteção de Dados Pessoais não pode ser tão ferrenha a ponto de paralisar ou impedir a aplicação da Inteligência Artificial no setor público. Por outro lado, também é verdade que não se pode descurar do respeito ao direito fundamental à proteção dos dados pessoais. Não há como se conceber um "cheque em branco" ao agente para adotar a qualquer custo e sem qualquer balizamento jurídico tecnologias de Inteligência Artificial. Todavia, também não podem ser construídas amarras excessivas que impeçam a inovação no setor público, sob pena de prejuízo, em última análise, à efetivação dos direitos que assistem aos próprios cidadãos. A inovação, aliás, constitui um dos fundamentos da disciplina de proteção dos dados pessoais, como prevê o artigo 2º, V, da LGPD.  Assim, o caminho hermenêutico a ser trilhado deve ser o de viabilização da atividade pública, ao mesmo tempo em que se impõe uma conformação da atuação administrativa às regras de proteção de dados pessoais. Nesta perspectiva, desponta a superação da fantasiosa dicotomia entre direito público e direito privado, bem como da divisão estanque forjada entre os temas da Inteligência Artificial e da Proteção de Dados Pessoais. Na interseção entre todos esses campos, está o mesmo ponto de chegada: a construção da solução que melhor realize a escala axiológica constitucional. __________ 1 PERLINGIERI, Pietro. La pubblica amministrazione e la tutela della privacy. In: PERLINGIERI, Pietro. La persona e i suoi diritti: problemi del diritto civile. Napoli: Edizioni Scientifiche Italiane, 2005, p. 259. 2 FÓRUM ECONÔMICO MUNDIAL, C4IR Brasil. Guia de Contratações Públicas de Inteligência Artificial, 2022, p. 41. Disponível aqui. 3 Ilustre-se com a recente manifestação da ANPD sobre a divulgação dos microdados do Enem e do Censo Escolar pelo INEP. 4 BIONI, Bruno R.; MENDES, Laura Schertel. Regulamento Europeu de Proteção de Dados Pessoais e a Lei Geral Brasileira de Proteção de Dados: mapeando convergências na direção de um nível de equivalência. In: TEPEDINO, Gustavo; FRAZÃO, Ana; OLIVA, Milena Donato (coords.). Lei Geral de Proteção de Dados Pessoais e suas repercussões no direito brasileiro. 2. ed. São Paulo: Thomson Reuters Brasil, 2020, p. 803, E-book. 5 PERLINGIERI, Pietro, op. cit., p. 259.
Os Direitos da Personalidade são projeções do ser humano que, amparados no valor fundamental deste e no princípio maior da dignidade da pessoa humana, concedem a uma pessoa, por meio do ordenamento jurídico, a possibilidade de fruir e dispor dos atributos essenciais da sua própria personalidade.1 Em outras palavras, tais direitos irradiam do próprio ser humano, para que ele possa ser efetivamente o que é, sobreviver e se adaptar.2 A partir deste enunciado e da noção de atipicidade dos direitos privados de personalidade, cuja caracterização está intrinsicamente ligada ao desenvolvimento humano, deve-se destacar que a acepção do direito ao esquecimento na chamada era digital, ainda que não esteja limitado a esta, tem contornos ainda mais relevantes que sustentam sua caracterização como direito de personalidade autônomo. O primeiro grande desafio é construir um conceito do que vem a ser o direito ao esquecimento, podendo ser compreendido como um direito de personalidade autônomo por meio do qual o indivíduo, a fim de não ser estigmatizado como o ser humano em determinado momento de sua vida, pode pedir para excluir ou deletar as informações a seu respeito, ou mesmo impedir a propagação e divulgação de determinado conteúdo que lhe diga respeito, notadamente quando tenha passado um lapso temporal considerável desde a sua coleta e utilização ou sua ocorrência, e desde que tais informações não tenham mais utilidade ou não interfiram no direito de liberdade de expressão, científica, artística, literária e jornalística.3 Portanto, o conteúdo do direito ao esquecimento resulta de um sopesamento de princípios. Diante dessa perspectiva dinâmica que caracteriza este direito, além de considerar este mesmo pressuposto para a sociedade informacional, por ser necessária uma análise casuística e de ponderação deste com os demais direitos da personalidade e de garantias fundamentais, questiona-se a efetividade de um tema de repercussão geral, como o Tema 786 julgado pelo STF como Recurso Especial 1010606, cujo relator é o Ministro Dias Toffoli, já que fica clara a impossibilidade de estabelecer um precedente que possa ser aplicado universalmente a todos os casos. O que já foi objeto de reflexão desta coluna por Cíntia Rosa Pereira de Lima e Guilherme Magalhães Martins.4 Nota-se que tal observação consta da emenda do recurso citado, in verbis: "É incompatível com a Constituição a ideia de um direito ao esquecimento, assim entendido como o poder de obstar, em razão da passagem do tempo, a divulgação de fatos ou dados verídicos e licitamente obtidos e publicados em meios de comunicação social analógicos ou digitais. Eventuais excessos ou abusos no exercício da liberdade de expressão e de informação devem ser analisados caso a caso, a partir dos parâmetros constitucionais - especialmente os relativos à proteção da honra, da imagem, da privacidade e da personalidade em geral - e das expressas e específicas previsões legais nos âmbitos penal e cível". (RE 1010606, Relator(a): DIAS TOFFOLI, Tribunal Pleno, julgado em 11/02/2021, PROCESSO ELETRÔNICO REPERCUSSÃO GERAL - MÉRITO DJe-096  DIVULG 19-05-2021  PUBLIC 20-05-2021).5 Entretanto, no próprio julgado ficou evidente que deve ser feita análise casuística para coibir "eventuais abusos". Portanto, diante do dinamismo do direito ao esquecimento, e da sociedade informacional como um todo, a conceitualização do tema, e a maneira pela qual este será regulamentado pelo ordenamento jurídico ainda é uma incógnita, pois este direito necessita de uma vagueza semântica proposital. Nesse sentido, deve-se destacar que o Regulamento Geral Europeu sobre Proteção de Dados Pessoais (GDPR) garante este direito, no art. 17,6 sendo entendido como: "the right of individuals to have their data no longer processed and deleted when they are no longer needed for legitimate purposes".7 Para uma análise aprofundada sobre o tema, sugere-se outro texto já publicado nesta coluna de autoria da professora Maria Cristina De Cicco.8 Embora possua enorme relevância no contexto geral, isso porque não existia até então uma conceitualização legal para o direito ao esquecimento, e também pela necessidade da criação de um consenso entre os Estados sobre o que pode ser reproduzido na internet, para facilitar a tutela desse direito9, o termo ainda é muito discutido e criticado. Dessa forma, mesmo sendo um conceito criado propositalmente de forma vaga, para que pudesse acompanhar o dinamismo do constante desenvolvimento tecnológico, ainda esbarra em outros direitos como a liberdade de expressão e o direito à informação, criando a necessidade de análise caso a caso para sua implementação, além de demonstrar que a discussão desse direito não se enquadra como um tema novo, embora atual. Neste sentido, importantes as reflexões de João Alexandre Silva Alves Guimarães.10 Outra importante distinção, embora ignorada no julgado em questão, é a do direito ao esquecimento e direito à desindexação. Isso porque, mesmo que inicialmente tratado como um direito integrado a outros direitos, como a indexação, o direito à privacidade e a intimidade, o Direito ao Esquecimento é um direito autônomo, embora possa ser instrumentalizado pelos demais. Dessa forma, um dos casos mais importantes sobre o tema da desindexação, que trouxe notoriedade a discussão do tema no contexto online, é o caso González vs. Google Spain, que se originou na Espanha, em 24 de maio de 2007, quando um cidadão espanhol solicitou a desindexação de informações relativas ao fato de ter sido processado por débitos devidos à Seguridade Social. Durante a execução fiscal, o espanhol teve alguns imóveis vendidos publicamente, o que culminou na publicação da notícia por um grande veículo de comunicação na Espanha. Ademais, embora o fato tivesse ocorrido há mais de dez anos, o espanhol foi surpreendido com a indexação desta notícia pelo crawler da ferramenta de busca Google. Sendo assim, foi solicitada a desindexação da informação do site de busca, mesmo que a informação veiculada seja verdadeira, isso porque o tempo transcorrido à tornava irrelevante. Por conseguinte, esse caso deve ser considerado um marco no processo de reconhecimento do direito ao esquecimento, pois, embora tenha tratado do direito à desindexação, este além de ser, por muito tempo, considerado análogo ao direito ao esquecimento, exerce uma função instrumentalizadora do primeiro. Além disso, o Tribunal europeu interpretou, a partir da Diretiva 95/46/CE, que as ferramentas de busca realizam o tratamento de dados pessoais, pois esses dados inseridos na rede mundial de computadores são coletados, armazenados e disponibilizados aos usuários11 segundo uma ordem de classificação imposta pelo crawler. Sendo assim, o direito à desindexação dessa informação decorre do sistema de proteção de dados, já que o titular desses dados deve consentir com o tratamento de informações que lhe corresponda, discussão de alta valia na sociedade informacional, e para a tutela do direito ao esquecimento online. Como já afirmamos em outra ocasião nesta coluna, a "desindexação envolve a possibilidade de se se pleitear a retirada de certos resultados (conteúdos ou páginas) relativos a uma pessoa específica de determinada pesquisa, em razão de o conteúdo apresentado ser prejudicial ao seu convívio em sociedade, expor fato ou característica que não mais se coaduna com a identidade construída com a pessoa ou apresente informação equivocada ou inverídica."12 Consequentemente, embora existam correntes contrárias ao direito ao esquecimento, demonstrado pelos argumentos utilizados pela maioria dos ministros no Recurso Extraordinário 1010606, como por exemplo a fala do Ministro Ricardo Lewandowski, "A humanidade, ainda que queira suprimir o passado, ainda é obrigada a revivê-lo,"13 quando este afirma que o direito ao esquecimento só poderia ser aplicado a partir de uma ponderação de valores, que pese os direitos fundamentais da liberdade de expressão e os direitos da personalidade, acaba por abrir importante brecha ao reconhecimento tanto do direito ao esquecimento quanto ao direito à desindexação. Outrossim, a principal consequência da aplicação do direito ao esquecimento não resulta na supressão da liberdade de expressão e na liberdade jornalística de veicular fatos históricos e de notoriedade social, mas sim na dignidade da pessoa humana e na sua possibilidade de desenvolvimento pessoal, quando dá respaldo a exclusão de fatos que digam respeito a vida privada do indivíduo para que a sociedade não os eternize. Uma decisão contrária a tal argumento se choca com todo o ordenamento jurídico que prioriza o bem-estar do indivíduo em sua esfera privada, além de minimizar sua relevância para a sociedade e para o tratamento de dados, quando resume sua supressão a necessidade de reparação de danos. Sendo assim, o Recurso Extraordinário 1010606 julgado pelo Supremo Tribunal Federal, no qual não foi reconhecido o direito ao esquecimento de forma ampla e irrestrita, pois esse significaria um corte a liberdade de imprensa pela relevância do caso: familiares da vítima de um crime de grande repercussão nos anos 1950 no Rio de Janeiro buscavam reparação pela reconstituição do caso por um programa televisivo, sem a sua autorização, mesmo após um significativo tempo ter transcorrido entre o fato criminoso e o programa televisivo. Entretanto, as opiniões não foram uníssonas e não descartaram a possibilidade de ser reconhecer o direito ao esquecimento em determinado caso concreto. Assim, para o presidente do STF, ministro Luiz Fux, o direito ao esquecimento é uma decorrência lógica do princípio da dignidade da pessoa humana, e "quando há confronto entre valores constitucionais, é preciso eleger a prevalência de um deles."14 Para o ministro, esse direito pode ser aplicado, porém, no caso em questão, por possuir grande notoriedade e por ser de domínio público, não poderia sofrer essa censura simplesmente pelo decorrer do tempo, o que abre diversas lacunas que, mesmo também deixadas pela LGPD, não impedem o reconhecimento do direito ao esquecimento como um direito de personalidade autônomo, aplicado as exceções casuísticas citadas pelos ministros no acórdão, que deverão sempre ter como norte o princípio mor estabelecido pelo art. 1º, inciso III da Constituição Federal e art. 12 do Código Civil. Sendo assim, o Supremo Tribunal Federal fala em exceções para a aplicação do direito ao esquecimento, e não sua total anulação, não sendo essa discrepância uma contradição em si mesma, já que é possível verificar que, na colisão de direitos mencionada, é necessário a análise das peculiaridades de cada caso. Por fim, um ponto não enfrentado nessa questão é como a Lei Geral de Proteção de Dados Pessoais, interpretada à luz dos referidos dispositivos da CF/88 e do CC/02, pode dar guarida seja ao direito à desindexação, além do direito ao esquecimento. Tema que será enfrentado com mais detalhes em outra oportunidade nesta coluna. __________ 1 LIMA, Cíntia Rosa Pereira de. Autoridade Nacional de Proteção de Dados e a Efetividade da Lei Geral de Proteção de Dados. Editora Almedina Brasil, SP abril, 2020, p. 84. 2 DINIZ, Maria Helena. Curso de Direito Civil Brasileiro, 13 ed. São Paulo: Saraiva,1997. P. 99. 3 LIMA, Cíntia Rosa Pereira de. Direito ao esquecimento e internet: o fundamento legal no Direito Comunitário Europeu, no Direito Italiano e no Direito Brasileiro. In: CLÊVE, Clêmerson Merlin; BARROSO, Luis Roberto. Coleção Doutrinas Essenciais em Direito Constitucional: direitos e garantias fundamentais, volume VIII, São Paulo, Revista dos Tribunais, 2015, p. 511 - 544. 4 A figura caleidoscópica do direito ao esquecimento e a (in)utilidade de um tema em repercussão geral. Migalhas de Proteção de Dados. 29 de setembro de 2020. Disponível aqui. Acesso em: 16/08/2022. 5 BRASIL, Supremo Tribunal Federal (Plenário), Recurso extraordinário com repercussão geral 1.010.606/RJ. "Aplicabilidade do direito ao esquecimento na esfera civil quando for invocado pela própria vítima ou pelos seus familiares", Relator Min. Dias Toffoli, julgamento: 11/02/2021. Publicação: 20/05/2021. Jurisprudência do Supremo Tribunal Federal. Brasília, DF: Supremo Tribunal Federal. Disponível aqui. Acesso em: 03/06/2021. 6 LIMA, Cíntia Rosa Pereira de. Direito ao Esquecimento e Marco Civil da Internet: o fundamento legal no Direito brasileiro do direito ao esquecimento. Direito ao Esquecimento e Marco Civil da Internet: O fundamento legal no direito brasileiro do direito ao esquecimento. 2014. Disponível aqui. Acesso em: 02/03/2021. 7 EUROPEAN COMMISSION. General Data Protection Regulation, 2016. On the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC. Disponível aqui. Acesso em: 22/03/2021. 8 Esquecer, contextualizar, desindexar e cancelar. O que resta do direito ao esquecimento. In: Migalhas de Proteção de Dados. 23 de abril de 2021. Disponível aqui. Acesso em: 17/08/2022. 9 LAUPMAN, Clarisse. MENDES, Thiago Alcantara. A Privacidade, o Esquecimento e a Fragmentação do Direito Internacional: Conexões Necessárias. O Direito na Sociedade da Informação V, Editora Almedina Brasil, SP abril, 2020. Pg. 35. 10 O direito ao esquecimento: a última chance de sermos nós mesmos? In: Migalhas de Proteção de Dados. 03 de setembro de 2021. Disponível aqui. Acesso em 17/08/2022. 11 LIMA, Cíntia Rosa Pereira de. Direito ao Esquecimento versus Direito à Desindexação. O Direito na Sociedade da Informação V, Editora Almedina Brasil, SP abril, 2020. Pg. 59. 12 LIMA, Cíntia Rosa Pereira de. MARTINS, Guilherme Magalhães. A figura caleidoscópica do direito ao esquecimento e a (in)utilidade de um tema em repercussão geral.  Migalhas, setembro, 2020. Disponível aqui. Acesso em: 03/06/2021. 13 LEWANDOWSKI, Ricardo. STF conclui que direito ao esquecimento é incompatível com a Constituição Federal. Portal do Supremo Tribunal Federal. Disponível aqui. Acesso em: 17/03/2021. 14 FUX, Luiz. STF conclui que direito ao esquecimento é incompatível com a Constituição Federal. Portal do Supremo Tribunal Federal. Disponível aqui. Acesso em: 17/03/2021.
A Sociedade da Informação O uso e a popularização da internet e das redes sociais influenciam e afetam as mais diversas áreas da vida presentes no nosso dia a dia. Atualmente, o trabalho, a saúde, a política, a educação, o lazer, o jornalismo e tantos outros âmbitos das estruturas sociais se encontram entremeados pela digitalização, sofrendo suas influências e alterando também o ambiente on-line em retorno. Em conjunto com isso, houve também a ascensão da telefonia móvel, que possibilitou o acesso à internet de maneira remota e portátil, facilitando a criação de uma cultura de interconexão e compartilhamento de ideais em tempo real, a todo momento emaranhados em teias coletivas de produção e troca incessantes. Portanto, a forma de conexão que temos atualmente é muito mais dinâmica e dialoga em muitos aspectos com as nossas novas relações sociais, novos padrões de comunicação e interação. Neste sentido, houve uma alteração no paradigma comunicacional, passamos de uma comunicação tradicional, em que poucos falavam em nome da grande mídia, para uma comunicação muitos-para-muitos1, em que o usuário é o principal difusor e produtor de conteúdo, mediado pelas plataformas, havendo, portanto, muitos emissores e muitos receptores de comunicação. Em paralelo a essa tendência de digitalização da vida, há um movimento de mercantilização dos dados, transformando a atenção e interação dos usuários em um modelo de negócios, de modo que quanto mais tempo um indivíduo gasta em uma determinada plataforma, e quanto maior o seu volume de interação neste ambiente, mais dados podem ser coletados a seu respeito. A propósito, o documentário The Social Dilemma (O Dilema das redes - em tradução livre), disponível na Netflix, retrata como é a engrenagem utilizada pelas grandes plataformas que "espia" os passos dos usuários enquanto navegam por horas nas redes sociais e quais são os mecanismos empregados para que os usuários fiquem cada vez mais conectados. O Mercado da Economia da Atenção A transformação de dados brutos disponibilizados pelos indivíduos em um fluxo de negócios altamente rentável é caracterizada por Shoshana Zuboff como "capitalismo de dados" ou até mesmo "capitalismo de vigilância". De acordo com a autora, "o capitalismo de vigilância reivindica de maneira unilateral a experiência humana como matéria-prima gratuita para a tradução em dados comportamentais"2. Sendo, portanto, os dados insumos para inúmeras atividades econômicas, tornando-se objetos de pujante e crescente mercado. Neste sentido, Newton De Lucca, afirma que "no corrente século XXI, tanto a terra, quanto a maquinaria, ficarão irreversivelmente para trás, passando os dados ao lugar de ativo principal do planeta, concentrando-se o esforço político no controle do fluxo desses dados".3 Na atual "sociedade informacional", verificamos que "a produtividade e a competitividade de unidades ou agentes dependem basicamente de sua capacidade de gerar, processar e aplicar de forma eficiente a informação baseada em conhecimentos"4, exprimindo uma nova estrutura social, denominada por Manuel Castells de "capitalismo informacional" em que considera que a atividade econômica e a nova organização social se baseiam, material e tecnologicamente na informação5. Neste novo modelo de capitalismo podemos perceber o "efeito dos jardins murados", conceito em que o usuário é mantido o máximo de tempo possível dentro de uma plataforma específica para que seja facilitado o tratamento de seus dados pessoais. Segundo Salil K. Mehra6: O termo "jardim murado" tem sido usado repetidamente para se referir a restrições de acesso ou habilidades do usuário de alguma forma limitados. As "paredes" não precisam ser absolutas. Em vez disso, podem ser restrições à saída ou entrada, ou restrições "parciais" a certas categorias de atividade. A concepção mais ampla de restrições para incluir restrições parciais ecoa definições usadas em antitruste. O "jardim" em questão geralmente é algum tipo de plataforma que permite a atividade do usuário - uma rede ou dispositivo que permite que os usuários se conectem com uns aos outros."7 Ainda, as redes sociais digitais reforçam a distribuição dos usuários em bolhas ou câmaras de eco, porque esses ambientes reverberam e reforçam a discussão de pontos de vista semelhantes e mantém o usuário mais tempo conectado. Dessa forma, a probabilidade de que diversos usuários tenham acesso a conteúdos totalmente personalizados para as suas opiniões e de que estes usuários acabem sendo alvos de uma percepção distorcida da realidade aumenta consideravelmente. Sobre este ponto, Eli Pariser foi bem claro ao afirmar que: O código básico no seio da nova internet é bastante simples. A nova geração de filtros on-line examina aquilo de que aparentemente gostamos - as coisas que fazemos, ou as coisas das quais as pessoas parecidas conosco gostam - e tenta fazer extrapolações. São mecanismos de previsão que criam e refinam constantemente uma teoria sobre quem somos e sobre o que vamos fazer ou desejar a seguir. Juntos, esses mecanismos criam um universo de informações exclusivo para cada um de nós - o que passei a chamar de bolha dos filtros - que altera fundamentalmente o modo como nos deparamos com ideias e informações.8 Essa nova sistemática de engajamento, disputa de atenção e consequentemente, o novo modal de consumo de conteúdo intelectual, político, educacional, dentre outros, passando pelo filtro mercantilizado do capitalismo de dados pode consciente ou inconscientemente modular e influenciar opiniões, liberdades e ações dos indivíduos imersos nessa realidade murada. Algumas empresas de tecnologia podem conhecer o perfil emocional de um número enorme de usuários, o que os torna vulneráveis as investidas para a manipulação de seus comportamentos. Podendo conduzi-los a apoiar determinada causa, partido político, ou mesmo candidato, ou seja, o ambiente on-line se tornou uma potente arma de manipulação, seja para o consumo, ou ainda para outros interesses, ao que parecem, não tão democráticos9. Também, aliado a esse mapeamento psicológico e comportamental dos indivíduos, vemos nas redes a figura dos "Robôs Sociais", ferramentas automatizadas de publicações, através de contas controladas por softwares e algoritmos, que atuando nas redes sociais como se fossem outros usuários reais, participam ativamente de discussões, e são verdadeiros instrumentos para a disseminação de conteúdo direcionado, com o objetivo de convencimento e com a publicação de conteúdo de maneira extremamente veloz, além de todo aparato relacionado à desinformação e às fake news que inundam o ambiente digital na atualidade. A proteção dos dados pessoais Frente à toda essa atmosfera favorável ao compartilhamento massivo de informações, opiniões, sentimentos e dados, e em face deste novo arcabouço exploratório dos nossos dados houve a necessidade de criação e implementação de novos direitos fundamentais, sob a lente tecnológica da sociedade conectada. É nesta linha de raciocínio que implementamos o tão esperado direito fundamental à Proteção dos Dados Pessoais10 na Constituição Federal (EC 115), como um direito individual e autônomo, que não se confunde com o direito fundamental à privacidade e vem para tutelar e fornecer salvaguardas para estes novos ativos digitais, que certamente se configuram como extensões de nossa personalidade. Para além, a lei 13.709 de 14 de agosto de 2018, Lei Geral de Proteção de Dados (LGPD), que tem forte influência do Regulamento Geral de Proteção de Dados 2016/679 do Parlamento Europeu, consagra, em nosso ordenamento jurídico, o microssistema de proteção de dados, que deve ser interpretada à luz da Carta Magna. A LGPD disciplina o tratamento de dados pessoais, inclusive nos meios digitais, por pessoa natural ou por pessoa jurídica de direito público ou privado. O seu objetivo é "proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da pessoa natural", conforme preceitua seu art. 1°. Os fundamentos da proteção de dados pessoais estão relacionados no art. 2° da LGPD, dentre os quais, damos especial destaque à autodeterminação informativa (inciso II), que busca conceder ao indivíduo o poder para que ele possa decidir acerca da divulgação e utilização de seus dados pessoais. Há, portanto, algumas frentes em que a proteção de dados pessoais pode ser efetiva quando se trata de modulação comportamental no meio digital. Uma delas é o investimento em medidas de transparência, responsabilização e prestação de contas, no sentido de instrumentalizar os cidadãos nesta relação com as plataformas. Estas medidas correspondem a princípios que estão traduzidos em diversas legislações no Brasil e no mundo, tendo especial destaque na Lei Geral de Proteção de Dados, em seu art. 6º, VI, que prevê que o direito à transparência consiste na "garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial", além do inciso X, que trata a responsabilização e prestação de contas como a "demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas." Uma medida possível para facilitar as atividades de controle e proteção de dados pessoais no ambiente digital é a implementação de relatórios de transparência e accountability por parte dos provedores de aplicação. Há ainda que se falar no que a Lei Geral de Proteção de Dados chamou, em seu artigo 20, de "direito à explicação". Este possui especial relação com o princípio da transparência e preceitua que o titular de dados deve ter direito à revisão das decisões tomadas exclusivamente com base na análise de dados, por mecanismos automatizados. Este direito reverbera consequências principalmente naquilo que se refere às decisões ligadas a mecanismos de inteligência artificial e ainda aos fluxos algorítmicos, que muitas vezes são repletos de vieses e possuem uma opacidade característica. Com isso, a legislação resguarda o direito a uma análise humanizada, que leve em conta fatores menos inteligíveis e claros para um mecanismo que não é dotado de inteligência emocional, social e muito menos de raciocínio crítico que demande a compreensão e a interpretação de outros fatores que não sejam dados brutos.11 Neste sentido, é possível implementar um canal de atendimento ao usuário com a finalidade específica de contestação desse tipo de decisão, contando com pessoas especializadas e preparadas para atender a demanda. Essas medidas, com destaque aos relatórios de transparência, são fundamentais para guarnecer os cidadãos na relação com as plataformas e possibilitar um acompanhamento mais efetivo da atuação das plataformas por parte da sociedade e por instituições públicas na fiscalização desses entes privados, para que suas atividades não interfiram em liberdades e direitos individuais e coletivos. Neste cenário, buscando uma saída para mirar horizontes de transparência e proteção de dados de fato, o princípio da responsabilização e prestação de contas é muito importante em uma futura regulação destas plataformas, buscando não uma transparência literal e sem propósito, apenas por expor seus mecanismos e lógicas, mas uma transparência qualificada, por intermédio dos relatórios de transparência, direito à explicação e a instrumentalização do titular de dados nesta relação em que está em clara posição de hipossuficiência. Considerações Finais Por fim, é necessário entender que um processo de regulação prematuro e que não leve em consideração os princípios da proteção de dados, livre concorrência, não discriminação, respeito aos direitos humanos, explicabilidade, segurança e desenvolvimento tecnológico pode trazer mais riscos aos direitos fundamentais e frear a evolução de um ecossistema digital, sendo importante que caso necessário, esse processo de regulação e aplicação de regras conte com a participação de todas as partes interessadas, criando uma câmara multissetorial de discussão com representantes do estado, dos provedores de aplicação e principalmente da sociedade civil. A integração entre estas três figuras é imprescindível para a construção de um arcabouço regulatório equilibrado e sólido para todas as partes, sendo certo que, atualmente, a regulamentação existente no Brasil sobre proteção de dados pessoais já fornece ferramentas para combater movimentos coordenados e movimentos aleatórios que podem influenciar decisões, opiniões e convicções. __________ 1 BRITO CRUZ, Francisco (coord.); MASSARO, Heloisa; OLIVA, Thiago; BORGES, Ester. Internet e eleições no Brasil: diagnósticos e recomendações. InternetLab, São Paulo, 2019, pp. 10-11.  2 ZUBOFF, Shoshana. A Era do Capitalismo de Vigilância: A Luta por um Futuro Humano na Nova Fronteira do Poder. Tradução George Schleisinger - 1.ed - Rio de Janeiro: Editora Intrínseca, p.18.  3 DE LUCCA, Newton. Coluna Migalhas de Proteção de Dados. Yuval Noah Harari e sua visão dos dados pessoais de cada um de nós. Disponível aqui. Acesso em: 20/07/2022.  4 CASTELLS, Manuel. A sociedade em rede: economia, sociedade e cultura. V. 1 São Paulo: Paz e Terra, 2013, p. 119.  5 LIMA, Marilia Ostini Ayello Alves e FLAUZINO, Ana Clara Gonçalves. Coluna Migalhas de Proteção de Dados. Aplicabilidade da teoria do desvio produtivo a partir da LGPD - "O tempo vital do titular de dados como bem juridicamente tutelado". Disponível aqui. Acesso: 30/07/2022.  6 MEHRA, Salil K., Paradise is a Walled Garden? Trust, Antitrust and User Dynamism. 2011. George Mason Law Review, Forthcoming. Disponível aqui. Acesso em: 09 de Agosto de 2022. P.08.  7 Citação Original: The term "walled garden" has been deployed repeatedly to refer to restrictions on user access or abilities are in some way limited. The "walls" need not be absolute. Instead, they can be restrictions on exit or entry, or "partial" restrictions on certain categories of activity. The broader conception of restraints to include partial restrictions echoes definitions used in antitrust. The "garden" in question is generally some kind of platform enabling user activity - a network or device that allows users to connect with each other.  8 PARISER, Eli. O filtro invisível: o que a internet está escondendo de você. Editora Schwarcz-Companhia das Letras, 2012, p.12.  9 LIMA, Marilia Ostini Ayello Alves e GUEDES, Tathiane Módolo Martins. Perspectivas sobre o comportamento humano nas redes sociais e os mecanismos de manipulação dos usuários. In LIMA, Cíntia Rosa Pereira de (Coord.) ANPD e LGPD: desafios e perspectivas 1° Ed. São Paulo: Almedina, 2021.  10Cf LIMA, Cíntia Rosa Pereira de. Políticas de proteção de dados e privacidade e o mito do consentimento. Migalhas de Proteção de Dados. Disponível aqui. Acesso em: 10/07/2022.  11 MULHOLLAND, Caitlin; FRAJHOF, Z. Isabella. Inteligência Artificial e a Lei geral de Proteção de Dados Pessoais: Breves Anotações sobre o Direito à Explicação Perante a Tomada de Decisões por meio de Machine Learning. In FRAZÃO, Ana; MULHOLLAND, Caitlin. Inteligência Artificial e Direito: ética, regulação e responsabilidade. 1ª ed. São Paulo: Thomson Reuters Brasil, 2019. p. 265 e 266.
Introdução Em junho de 2022, o Future of Privacy Forum (FPF)1, em conjunto com a LGBT Tech, apresentaram o relatório intitulado The Role of Data Protection in Safeguarding Sexual Orientation and Gender Identity Information discutindo os novos riscos criados privacidade pessoal de membros da comunidade LGBT. É evidente que o uso de tecnologias digitais fornece mais poder aos indivíduos desta comunidade, permitindo uma melhor interconexão comunitária e um acesso a serviços diversos. Para membros desta comunidade, a Internet é o único espaço onde se sentem seguros para expressar sua sexualidade e se conectar com seus iguais. Todavia, o processamento de dados dessas populações tradicionalmente marginalizadas deve também fornecer proteção contra possíveis danos que podem ser potencializados pelo contexto presente e passado de perseguição deles. Isto ocorre, pois a despeito da maior aceitação social desta comunidade, a proteção de direitos, incluindo o direito à privacidade e à proteção de dados pessoais, é constantemente violada com instrumentos protetivos atrasados e insuficientes para a efetiva proteção destes indivíduos. Indivíduos LGBTQ+ são mais impactados por violações de privacidade online; enfrentando barreiras e preconceitos significativos, violência e discriminação, prejudicando seu direito à igualdade e dignidade. Saltam aos olhos as violações aos direitos fundamentais a partir da publicação de conteúdos online descritos como homofóbicos, bifóbicos ou transfóbicos, além de danos à privacidade na forma de exposições públicas não desejadas e assédios. Ainda que o relatório tome por pressuposto fatos históricos, normas e julgados que conformam o direito á privacidade a estas pessoas, é nítido seu viés crítico em relação à onda conservadora que vem minando direitos de minorias, incluindo aí o direito à privacidade e o direito à proteção de dados pessoais. Cabe ainda observar a ausência de uma regulamentação federal unificada nos EUA em relação aos dados pessoais sensíveis de orientação sexual e identificação de gênero. A partir do relatório publicado, cabe-nos questionar o que ocorre no Brasil, se os principais tópicos indicados no relatório referentes à proteção de dados pessoais e o uso dessas informações sensíveis da população LGBTIA+ encontra guarida ante aos problemas sociais enfrentados. Além disso, cumpre-nos questionar se as proteções existentes são suficientes e se há outras medidas cabíveis para reforçar a proteção a este grupo social. O questionamento trazido no relatório, que será analisado, desenvolveu-se ante a ausência de lei federal nos EUA que regule compreensivelmente a proteção de dados pessoais de forma geral, a despeito de diversas normatizações setoriais existentes, as quais são insuficientes para oferecer a proteção adequada. Ainda que haja proteção a dados pessoais relativos à crédito, saúde, finanças e dados coletados de crianças2, faz-se ausente uma disciplina jurídica específica para coleta e para o uso de dados relativos à orientação sexual e a identificação de gênero que podem colocar pessoas LGBTIA+ em posições que podem sujeitar-lhes a prejuízos e riscos vinculados a perda de oportunidades sociais e profissionais, perdas econômicas, exclusão de círculos sociais e em alguns casos perda de liberdade. Dados e Informações Sensíveis sobre Orientação Sexual e Identidade de Gênero. Antes de continuarmos cabe definirmos exatamente o que seria Orientação Sexual e Identidade de Gênero, para tanto faremos uso de definições provenientes dos Princípios de Yogyakarta sobre a aplicação da legislação internacional de direitos humanos em relação a orientação sexual e a identidade de gênero. Vejamos, segundo este documento internacional: (1) Orientação Sexual como referência à capacidade de cada pessoa de ter uma profunda atração emocional, afetiva ou sexual por indivíduos de gênero diferente, do mesmo gênero ou de mais de um gênero, assim como ter relações íntimas e sexuais com essas pessoas. (2) Identidade de Gênero como a profundamente sentida experiência interna e individual do gênero de cada pessoa, que pode ou não corresponder ao sexo atribuído no nascimento, incluindo o senso pessoal do corpo (que pode envolver, por livre escolha, modificação da aparência ou função corporal por meios médicos, cirúrgicos ou outros) e outras expressões de gênero, inclusive vestimenta, modo de falar e maneirismos. Isto é a base interpretativa de direitos humanos; mais além disto devemos compreender seus usos a partir da política de proteção de dados e como isto pode afetar diretamente a população LGBTQIA+. A coleta e o processamento de dados individuais por uma vasta gama de atividades e empresas podem ou não aludir diretamente a estas questões relativas à intimidade pessoal e sexual, podendo ser obtidas de três formas diversas: a auto-apresentação, a inferência direta e a inferência indireta. (1) As informações auto-reportadas dizem respeito a informações e dados diretamente coletados a partir de informações prestadas ou de ações advindas do próprio indivíduo, como as autodeclarações em redes sociais e aplicativos de relacionamentos. (2) As informações diretamente inferidas são extraídas de ações e comportamentos afirmativas dos indivíduos como assinaturas e cadastros em listas e redes exclusivos para membros de comunidades determinadas. (3) Já as informações indiretamente inferidas não dependem de ações afirmativas advindas do indivíduo, são extraídas da análise de dados e metadados que permitem identificar hábitos e preferências como hábitos de compras, históricos de navegação e de lugares frequentados. Está coleta e uso de dados relacionados a populações minoritárias e vulneráveis podem identificar desigualdades sociais e evidenciar situações de exclusão e discriminação.  Estamos diante de informações e dados pessoais sensíveis que se de um lado podem, positivamente, ser utilizados para providenciar acesso a produtos e serviços especializados e personalizados; promover a saúde pública integral, física e mental, da população LGBTQIA+, fortalecendo estas comunidades por meio da mitigação dos efeitos da divisão e exclusão social e da identificação de vácuos na garantia de direitos fundamentais e, consequentemente, combatendo de forma efetiva a discriminação. Por outro, o uso destes dados e informações pessoais dependem do seu uso ético, visto que podem reforçar relações tóxicas e desiguais, assim como potencializar a violência pelo uso da tecnologia. O crescimento do uso de algoritmos potencializa perigos e novas formas de discriminação para os indivíduos LGBTs. São os algoritmos essenciais no desenvolvimento de ferramentas, serviços e comerciais personalizados; todavia, podem refletir conceitos e pré-conceitos sociais enraizados na estrutura social, escalando a discriminação e impossibilitando seu combate. Esses algoritmos podem moderar, limitar ou mesmo mudar os conteúdos e informações que as pessoas de determinada comunidade têm acesso. Limita-se habilidades e competências em relação a difusão e a monetização de temas vinculados a comunidades específicas, impedindo seu crescimento, permitindo que comportamentos odiosos advindos do desconhecimento e da ignorância assumam papel de destaque no mainstream. Dessa forma, experiências injustas e discriminatórias podem ser amplificadas quando do uso de ferramentas automatizadas de tomada de decisões utilizando os dados pessoais sensíveis relativos à orientação sexual e a identidade de gênero, implicando em limitações relativas à moradia, emprego, oportunidades financeiras entre outras limitações de acesso a serviços e direitos. Riscos e Perigos Implicados no Uso de Dados e Informações Sensíveis da População LGBTQIA+  Compreendido os elementos, os conceitos técnicos e as implicações tecnológicas do uso dos dados e informações pessoais sensíveis vinculadas à orientação sexual e identificação de gênero, devemos agora analisar os elementos reais, os riscos e prejuízos sentidos por estes indivíduos em seu dia a dia, para no tópico seguinte, conformar estas conclusões embasadas na realidade estadunidense com a legislação brasileira. A coleta, o uso e o armazenamento de dados pessoais dos indivíduos LGBTs trás consigo riscos potenciais e inerentes a esta comunidade, lidando com diferenças de tratamento que levam a impactos e prejuízos no pleno desenvolvimento destas pessoas. A exposição e o mal uso destes dados podem levar a situações desconfortáveis, de violência tanto em nível familiar, como social e profissional. A partir do relatório de mesma autoria publicado no ano de 2017, podemos categorizar estes danos em 4 categorias tipológicas: perda de oportunidades, perdas econômicas, exclusão social e perda de liberdade, apresentando tanto aspectos coletivos como individuais, com consequências tanto injustas, como até mesmo ilegais. Vejamos um a um exclusivamente. (1) Perda de Oportunidades: materializa-se socialmente na diferença de acesso a oportunidades de trabalho, a seguros e benefícios, moradia e educação. Ocorrendo por meio de filtragem indevidas e exclusão de minorias, limitando acesso a direitos chegando à negação a direitos de moradia e educação. (2) Perdas Econômicas: são uma consequência lógica da perda de oportunidades, ainda que não negados em sua totalidade, é evidente a diferença de acesso e custos, em outros termos, evidencia-se a discriminação creditícia e a diferença em preços de produtos e serviços. (3) Exclusão Social: implica-se, portanto, na formação de bolhas sociais, com prejuízos evidentes à dignidade inerente a cada ser humano, constrangendo e limitando o exercício de direitos. (4) Perda de Liberdade: é o caso mais extremo, e com origem nas diversas discriminações e preconceitos que a comunidade LGBT sofre/sofreu no decorrer da história. Há um elemento higienista de exclusão do diferente, de não aceitação do ser humano, que podem em último caso representar a perda da própria vida. E no Brasil, este contexto se aplica? Quais as conclusões que podemos chegar? Diferentemente dos EUA, onde o relatório foi desenvolvido, no Brasil, desde o ano de 2018, há a lei 13.709, a Lei Geral de Proteção de Dados (LGPD), com o objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural. Referida norma fundamenta-se no respeito à privacidade, na autodeterminação informativa, na inviolabilidade da intimidade, da honra e da imagem, nos direitos humanos individuais e sociais entre outros. O fundamento último de validade, como em todo sistema jurídico é a Constituição Federal, está prega a igualdade entre todos os indivíduos independentemente de qualquer condicionante3. Ainda que o Poder Judiciário tenha, por meio de decisões e resoluções em sede de controle de constitucionalidade, garantido e expandido o direito à igualdade de acesso a serviços e direitos públicos a população LGBTQIA+, estas decisões são precárias. A precariedade das decisões que garantem direitos está vinculada à manutenção de posições jurisprudenciais que dependem, a despeito do princípio de não regressão dos Direitos Humanos, da composição dos Tribunais Superiores, notadamente, o STF. Há, de fato, uma violação de direitos por omissão consciente e querida do Poder Legislativo de fazer as adequações normativas necessárias a incluir e garantir de forma positiva e comissiva esses direitos. Desta sorte, ainda que tenha havido avanços em relação aos direitos desta população, cabe ainda, grande desenvolvimento para que essa comunidade tenha seus direitos efetivamente garantidos. Ainda que a LGPD proteja de forma geral esta população a partir de seus princípios e fundamentos norteadores, os preconceitos e prejuízos sociais e discriminatórios advêm da estrutura de desenvolvimento e evolução social, e a sua proteção extrapola os limites normativos dependendo da atuação ética e consciente dos operadores destes dados pessoais sensíveis. Referencial Bibliográfico  AMATO, Andre L. V. ; CASTRO, C. D. . A legalização dos casamentos entre pessoas do mesmo sexo no Brasil como forma de efetivação dos Objetivos de Desenvolvimento Sustentável das Nações Unidas. In: Guilherme Vítor de Gonzaga Camilo, Vivianne Wanderley Araújo Tenório e Wanda Helena Mendes Muniz Falcão. (Org.). Ensaios Direito Internacional e Relações Internacionais: Reflexões a partir de estudos transnacionais. 1ed.Erechim/RS: Editora Deviant, 2017, v. 1, p. 150. BRASIL. Constituição (1988). Constituição (da) República Federativa do Brasil. Brasília: Senado Federal, 1988. Disponível aqui. Acesso em 02 de agosto de 2022.  BRASIL. Lei nº 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Brasília, DF: Presidência da República. Disponível aqui. Acesso em 02 de agosto de 2022. BRASIL. Supremo Tribunal Federal. Acesso em 02 de agosto de 2022.  FPF (Future Privacy Forum); LGBT Tech. THE ROLE OF DATA PROTECTION in Safeguarding Sexual Orientation and Gender Identity Information. Disponível aqui. Acesso em 02 de agosto de 2022. DENSA, Roberta; DANTAS, Cecília. Proteção de dados de criança em meio digital: análise dos riscos conforme a Organização para a Cooperação e Desenvolvimento (OCDE). In Migalhas de Proteção de Dados [online], 10 jun. 2922. Disponível aqui. Acesso em: 03 ago. 2022. QUINTILIANO, Leonardo. Contexto histórico e finalidade da Lei Geral de Proteção de Dados (LGPD). In Instituto Avançado de Proteção de Dados (IAPD) [online], Ribeirão Preto, 15 mar. 2021. Disponível aqui. Acesso em: 03 ago. 2022.  PRINCÍPIOS DE YOGYAKARTA. Disponível aqui. Acesso em 02 de Agosto de 2022. __________ 1Trata-se de uma importante Think Tank integrada por advogados, empresários, acadêmicos e consumidores, situanda em Washington DC, nos EUA. O objetivo principal é enfrentar os desafios impostos pela inovação tecnológica para o desenvolvimento de proteções à privacidade, de normas éticas e de boas práticas corporativas. 2 Vd., DENSA, Roberta; DANTAS, Cecília. Proteção de dados de criança em meio digital: análise dos riscos conforme a Organização para a Cooperação e Desenvolvimento (OCDE). In Migalhas de Proteção de Dados [online], 10 jun. 2922. Disponível aqui. Acesso em: 03 ago. 2022. 3 Vd., QUINTILIANO, Leonardo. Contexto histórico e finalidade da Lei Geral de Proteção de Dados (LGPD). In Instituto Avançado de Proteção de Dados (IAPD) [online], Ribeirão Preto, 15 mar. 2021. Disponível aqui. Acesso em: 03 ago. 2022.
sexta-feira, 29 de julho de 2022

Twitter e a desvalorização dos robôs

Preliminares Tudo começou em abril deste ano quando o magnata dos negócios Elon Musk, então a pessoa mais rica do planeta1, ofereceu US$ 43 bilhões para adquirir a empresa de mídia social Twitter, Inc. Recordo que Musk já era seu maior acionista individual possuindo 9,1% das ações da empresa. Ainda em abril, Musk recusa o convite para participar do Conselho de Administração. No dia 25 do mesmo mês, esse mesmo Conselho aceitou a oferta de compra de Musk de US$ 44 bilhões, vinculando o valor a privatização da empresa. Tudo parecia ir bem até que em 8 de julho Musk anunciou que pretendia desmanchar o negócio afirmando que o Twitter violou parte do acordo de compra ao se recusar a reprimir contas de spambot. spambot é tipo de software, um robô, projetado para auxiliar no envio de mensagens de spam. Os spambots criam contas fictícias e enviam mensagens de spam usando essas contas. A empresa entrou com uma ação contra Musk no Tribunal da Chancelaria do estado de Delaware em 12 de julho. Negócio congelado, por enquanto. Mas será que, de fato, essa manifestada ingerência dos spambots sobre a empresa pode ter sido a causa do bloqueio dessa negociação bilionária? Veremos. About Twitter Twitter é uma rede social focada em microblog, ou seja, textos curtos voltados para interações rápidas do usuário com o público via web. A empresa foi criada em 2006 e liderada pelo empresário norte-americano Jack Dorsey. No ano passado o Twitter gerou uma receita de US$ 5 bilhões, sendo que 92% desta receita foi proveniente de anúncios publicitários. Essa plataforma conta ainda com 206 milhões de usuários ativos diariamente, sendo que 38 milhões estão nos Estados Unidos2. Em janeiro deste ano, 19,05 milhões de brasileiros acessaram o Twitter3. Twitter é só mais uma mídia social? Como outros serviços web aparentemente grátis, o valor pago para se utilizar uma mídia social for free são os dados dos usuários. Os meus, os seus, os nossos dados são a moeda. Neste sentido, cabe dizer que nem todas as mídias sociais são iguais. Facebook, Twitter e Instagram são as plataformas de mídia social mais populares e usadas mundialmente. No entanto, cada uma atrai tipos ligeiramente distintos de usuários e também oferecem serviços e recursos exclusivos. O Facebook, por exemplo, tem um amplo apelo: das 7,6 bilhões de pessoas no planeta, 2,5 bi usam essa plataforma ao menos uma vez ao mês. Ainda, 68% dos americanos adultos relatam usar essa plataforma, sendo que aproximadamente 80% dos usuários está na faixa etária entre 18 a 49 anos de idade.  Os usuários do Instagram tendem a ser jovens. A rede social para compartilhamento de fotos e vídeos é mais popular entre os jovens de 18 a 24 anos. Nessa faixa etária, 71% dos norte-americanos dizem ter uma conta no Instagram. Cerca de 1 bilhão de usuários fazem check-in mensalmente nesta plataforma4. Já pelo Twitter, seus usuários são mais propensos a serem graduados, ricos e terem uma vida urbana. Aparentemente o Twitter é um "partidão". Twitter bots Outra diferença importante entre essas mídias é que o Twitter é a única destas mídias sociais que tem uma API aberta, ou seja, uma Interface de Programação de Aplicação aberta. Uma API é uma forma de ligação entre dois sistemas computacionais. Neste caso, o Twitter disponibiliza uma API para seus usuários que os possibilita usar recursos do Twitter por um software que eles tenham criado. Em outras palavras, um programador pode, tendo uma conta no Twitter, escrever um código próprio que envia e recebe tweets a partir do seu programa particular de computador. Ou seja, um programador pode programar as funções do Twitter sem necessariamente usar a interface do Twitter no computador ou no aplicativo. Essa possibilidade permite, por exemplo, que muitos acadêmicos (como eu) criem bots (robots) que captam mensagens do Twitter constantemente para fazer análises. Análises essas das mais variadas. Por exemplo, analisar quem posta, o que posta, sobre o que escreve, quem são seus seguidores e quem eles seguem; além de, por exemplo, responder ou criar e enviar tweets. E qual seria o real valor destas mensagens? Explico: uma mensagem enviada por esta plataforma pode ter, além dos 280 caracteres, ou seja, o conteúdo da mensagem em si, 150 outros atributos vinculados a ela5. Esses atributos vão desde o codinome do usuário, até a sua localização geográfica quando enviou a mensagem, o dia, o horário, seus seguidores e até a cor e a imagem que você pode usar no seu perfil. São todas informações valiosíssimas que certamente diferenciam e deixam únicos cada usuário do serviço. Todas essas informações poderiam ser usadas para criar um perfil de cada usuário, mesmo que essa tarefa não seja ética e permitida, por exemplo, pela LGPD. Poderia, mas não pode. O valor dos bots Essa preocupação do Elon Musk em conhecer exatamente quantas são as contas fakes do Twitter e quantos são os eventuais spambots que as criaram e as manipulam é antiga. Nos idos de 2009 já se afirmava, por meio de um estudo da famosa Harvard Business Review, que 10% dos usuários do Twitter eram responsáveis por 90% de sua atividade6,7. Nesta época, nas demais redes sociais 10% dos usuários respondiam por 30% do conteúdo. Ou seja, a relação 10% para 90% é uma clara indicação de postagens mecanizadas, programadas. Por outro lado, neste mesmo ano, o valor de mercado desta empresa estava estimado em US$ 250 milhões. Percebam a diferença de valor de mercado em 2009 para os atuais US$ 44 bilhões8. Recentemente o Twitter afirmou que menos de 5% de suas contas são fakes ou spambots. Sabemos também que o próprio Twitter oferece a possibilidade de compra de seu "firehose", ou seja, o fluxo massivo total dos aproximados 500 milhões de tweets enviados diariamente pela plataforma. Dezenas de empresas têm acesso a esses "firehose" para diversas análises destes microblogs trocados. Este fluxo de dados está disponível há anos para empresas que pagam ao Twitter pela capacidade de analisá-lo para encontrar padrões e insights nas conversas diárias. É estranho o fato de se desejar gastar essa fortuna de US$ 44 bilhões, praticamente o mesmo valor de mercado da Ambev hoje9, sem antes fazer uma avaliação independente usando esses dados de terceiros, mesmo tendo condições para tal. Alguns analistas dizem que Musk está usando seu argumento como pretexto para sair do acordo ou negociar um preço mais baixo. Existe também a alegação que essa eventual atividade de spam deve ser quantificada exatamente pela equipe de Musk pois, se o Twitter estiver subestimando o spam em seu serviço, as estimativas da empresa sobre quantos usuários poderiam de fato ver anúncios seriam menores, afetando a receita. Os bots e as "leis" humanas Em 1942 o aclamado escritor de ficção científica Isaac Asimov publica seu livro intitulado Runaround o qual influenciou muitas outras obras do mesmo gênero. Neste livro, Asimov descreve explicitamente as três leis da robótica10, que são: Um robô não pode ferir um ser humano ou, por omissão, permitir que um ser humano sofra algum dano; Um robô deve obedecer às ordens dadas por seres humanos, exceto quando tais ordens entrarem em conflito com a Primeira Lei; Um robô deve proteger sua própria existência desde que tal proteção não entre em conflito com a Primeira ou Segunda Lei. Mais tarde, Asimov acrescentou outra lei, conhecida como quarta ou lei zero, que substituiu as outras. Ele afirmou que "um robô não pode prejudicar a humanidade ou, por inação, permitir que a humanidade sofra algum mal". Percebam que, do ponto de vista computacional, os bots, como uma criação humana, são meios modernos de mecanização de tarefas, entre elas, destaca-se neste caso a panfletagem midiática moderna, ou seja, a distribuição de material digital de merchandising aqui com o codinome de spam. Pode-se até alegar que esta atividade está entre os custos a serem absorvidos pelos usuários por utilizam um serviço aparentemente gratuito. Considerando-se ainda a possibilidade (reforço, apenas a possibilidade) destes mesmos bots usarem mecanismos de inteligência artificial (IA) nas suas tarefas de criação de textos, escolhas de destinatários e até eventuais respostas automatizadas aos tweets recebidos, cabe aqui a mea culpa de que esses métodos de IA hoje empregados pertencem a classe das weak IA, ou seja, métodos ainda nos níveis mais elementares de IA e que, mesmo que aprimorados, talvez nunca cheguem a se aproximar das características da inteligência humana11. Sob esta ótica, muito embora os bots do Twitter, façam todo um trabalho intenso de panfletagem para garantir os sucessivos lucros da empresa e sua valorização impressionante ao longo dos anos, o que realmente tem valor de mercado ao final do dia são quantos seres humanos pensantes e potenciais consumidores leram e se atentaram para esses anúncios. Robôs são bons trabalhadores, mas infelizmente não colocam a mão no bolso. Referências bibliográficas 1 Bloomberg Billionaires Index. Disponível aqui. Último acesso em 25 de julho de 2022. 2 Twitter Revenue and Usage Statistics (2022). Disponível aqui. Último acesso em 25 de julho de 2022. 3 Brasil tem a quarta maior base de usuários do Twitter no mundo. Disponível aqui. Último acesso em 25 de julho de 2022. 4 Twitter vs. Facebook vs. Instagram: What's the Difference? Disponível aqui. Último acesso em 25 de julho de 2022. 5 Data dictionary: Premium v1.1. Disponível aqui. Último acesso em 25 de julho de 2022. 6 Twitter bots are hard to track, and focusing on the amount misses the point. Here's what matters more, according to 2 researchers. Disponível aqui. Último acesso em 25 de julho de 2022. 7 10% Of Twitter Users Account For 90% Of Twitter Activity. Disponível aqui. Último acesso em 25 de julho de 2022. 8 Fall 2008, Facebook tries to acquire Twitter. Disponível aqui. Último acesso em 25 de julho de 2022. 9 Quais são as maiores empresas do Brasil em receita, lucro e valor de mercado? Disponível aqui. Último acesso em 25 de julho de 2022. 10 Three laws of robotics: concept by Asimov. Disponível aqui. Último acesso em 25 de julho de 2022. 11 FJELLAND, Ragnar. Why general artificial intelligence will not be realized. Humanities and Social Sciences Communications, v. 7, n. 1, p. 1-9, 2020.
"Este prefácio, apesar de interessante, inútil. Alguns dados. Nem todos. Sem conclusões. Para quem me aceita são inúteis ambos. Os curiosos terão prazer em descobrir minhas conclusões, confrontando obra e dados. Para quem me rejeita trabalho perdido explicar o que, antes de ler, já não aceitou."Mário de Andrade. Pauliceia Desvairada. São Paulo: Casa Mayença, 1922, p. 07. Introdução Municípios, uma brasilidade federativa, são entes com contextos muito variados: entre Serra da Saudade, Minas Gerais, o menos habitado do Brasil, e São Paulo, a "Pauliceia Desvairada", de Mário de Andrade, não há como serem as políticas públicas tratadas como blocos de construção HTML, já pré-fabricadas e prontas a serem implementadas pelos agentes públicos. A proteção de dados pessoais, como direito fundamental1 a ser efetivado por todos os entes, está nesse âmbito. Sem a estruturação de ações conectadas com a realidade ou, como diria a jusfilósofa Helen Nissenbaum2, com os distintos contextos3, o que restaria seria, sem dúvidas, dados e resultados à maneira como escreveu Mário de Andrade, há 100 anos, em seu "Prefácio Interessantíssimo", de "Pauliceia Desvairada": "Alguns dados. Nem todos. Sem conclusões." São Paulo, 22/7/22 Em "Pauliceia", a Prefeitura do Município de São Paulo, por meio do decreto municipal 59.767/204, regulamentou a aplicação da LGPD no âmbito do administração pública municipal, designando ao seu controlador geral do município a atribuição de encarregado pela proteção de dados pessoais5. Entre as atribuições dispostas à figura do encarregado, está a de emissão de diretrizes, cogentes para os órgãos e orientativas às entidades da administração pública, que disponham sobre a elaboração de seus planos de adequação à efetividade da proteção de dados pessoais no âmbito do Poder Executivo do município6. Em 22/7/22, a 100 metros do Theatro Municipal de São Paulo, no também centenário cruzamento entre Viaduto do Chá e Rua Líbero Badaró, o Poder Executivo do município publicou, por meio de sua controladoria geral do município, a sua instrução normativa CGM/SP 01/227, que estabelece disposições referentes ao tratamento de dados pessoais no âmbito da administração pública municipal. A instrução normativa delimita, como um primeiro passo rumo à sua padronização do plano de adequação da prefeitura do município à efetividade da proteção de dados pessoais, a  implementação de registros de operações de tratamento de dados pessoais, relatórios de impactos à proteção de dados pessoais e mapeamentos de fluxos de dados pessoais por todos os seus órgãos e entidades, o que, por sua eficácia horizontal, ou seja, por sua aplicação a todos os órgãos e entidades, otimiza, ao controle interno do município e aos seus controles externo e social, a análise de conformidade de suas políticas públicas quanto à proteção de dados pessoais. Conforme dispõe o seu art. 14, os órgãos da administração pública municipal deverão e suas entidades poderão realizar registros de operações de tratamento de dados pessoais que contenham, materialmente: (i) a identificação dos processos ou atividades da prefeitura do municípios nos quais há o tratamento de dados pessoais; (ii) a identificação dos agentes de tratamento e do encarregado; (iii) as fases do ciclo de vida do tratamento de dados pessoais; (iv) a natureza e o escopo do tratamento de dados pessoais; (v) a finalidade do tratamento de dados pessoais; (vi) as categorias de dados pessoais tratados, inclusive com a descrição das subcategorias de dados pessoais sensíveis; (vii) o volume das operações de tratamento e das categorias de dados pessoais tratados; (viii) categorias de titulares de dados pessoais envolvidos nos tratamentos; (ix) o compartilhamento e uso compartilhado de dados pessoais, inclusive com a descrição dos agentes de tratamento com os quais os dados pessoais são compartilhados; (x) os contratos de serviços e soluções de tecnologia da informação que tratam os dados pessoais dos processos mapeados; (xi) descrições sobre eventuais transferências internacionais de dados pessoais; e (xii) medidas de segurança e de proteção de dados pessoais já adotadas a fim de mitigar os riscos à segurança da informação e aos dados pessoais tratados. O seu art. 15, por sua vez, ao tratar da elaboração de relatórios de impacto à proteção de dados pessoais, que servirão de subsídio à elaboração de único relatório de impacto à proteção de dados pessoais dos órgãos da administração pública municipal, estabelece, materialmente, como requisitos: (i) a identificação dos agentes de tratamento e do Encarregado; (ii) a necessidade de sua elaboração ou atualização; (iii) a descrição do tratamento de dados pessoais, com base no mapeamento de dados pessoais; (iv) a  natureza e o escopo do tratamento de dados pessoais; (v) o contexto e a necessidade do tratamento de dados pessoais; (vi) a finalidade do tratamento de dados pessoais; e (vii) a identificação, análise e gestão de riscos praticadas pela Prefeitura do Município com relação à segurança da informação e à proteção de dados pessoais. Também foi estabelecida a necessidade da elaboração de programas de capacitação dos servidores da administração pública municipal que objetive a conscientização sobre os processos que se utilizam do tratamento de dados pessoais e das medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer outra forma de tratamento inadequado ou ilícito. Por fim, destaca-se o texto de seu art. 108, que dispõe a necessidade da aposição, em sites e em lugares visíveis ao público, como prédios públicos e praças de atendimento, das hipóteses de tratamento de dados pessoais contidas nos arts. 7º e 11 da LGPD. As disposições da instrução normativa se inspiram, com as adaptações necessárias à realidade do município de São Paulo, em metodologia de registro das operações de tratamento de dados pessoais já utilizada pela administração pública Federal e que foi desenvolvida, principalmente, pela autoridade nacional de proteção de dados pessoais da França, a "Commission Nationale de l'Informatique et des Libertés" - CNIL9, no âmbito de sua implementação do RGPD - regulamento geral sobre proteção de dados pessoais da União Europeia, cuja sistemática está em harmonia com o que propõe, no Brasil, a LGPD. Conclusão Apesar de não prevista na obra de Mário de Andrade, "Pauliceia Desvairada", a conclusão é que, por ora, está o Poder Público paulistano munido de instrumentos que, consolidados, serão aptos a elevar o seu nível de adequação à proteção de dados pessoais. Aos leitores munícipes do entorno do Vale do Anhangabaú, os próximos passos rumo à proteção de sua vida privada, intimidade e dados pessoais poderão ser acompanhados no curso da história que se desenvolve no edifício Matarazzo, Viaduto do Chá, 15. _____ 1 BRASIL. EC 115/22. Altera a Constituição Federal para incluir a proteção de dados pessoais entre os direitos e garantias fundamentais e para fixar a competência privativa da União para legislar sobre proteção e tratamento de dados pessoais. Brasília, Diário Oficial da União, 11/2/22. Disponível aqui. 2 NISSENBAUM, Helen. Privacy in Context. Technology, Policy, and the Integrity of Social Life. Stanford, EUA: Stanford University Press, 2010, passim. 3 FALCÃO, Daniel; PEROLI, Kelvin. As novas abordagens da privacidade: contextos, tipos e dimensões. Migalhas, 30/12/21. Disponível aqui. 4 SÃO PAULO (Município). Prefeitura do município de São Paulo. Decreto municipal 59.767/20. Regulamenta a aplicação da lei Federal 13.709/18 - LGPD - no âmbito da Administração Municipal direta e indireta. São Paulo, Diário Oficial da Cidade de São Paulo, 16/9/22. Disponível aqui. 5 Art. 5º, caput, do decreto municipal 59.767/20: "Art. 5º Fica designado o Controlador Geral do Município como o encarregado da proteção de dados pessoais, para os fins do art. 41 da lei Federal 13.709/18." 6 Art. 6º, inc. IV, do decreto municipal 59.767/20: "Art. 6º São atribuições do encarregado da proteção de dados pessoais: [...] IV - editar diretrizes para a elaboração dos planos de adequação, conforme art. 4º, inciso III deste decreto". 7 SÃO PAULO (município). Prefeitura do município de São Paulo. Controladoria Geral do Município. Instrução Normativa CGM/SP 01/22. São Paulo, Diário Oficial da Cidade de São Paulo, 22 jul. 2022. 8 Art. 10 da instrução normativa CGM/SP 01/22: "Art. 10. As Secretarias e Subprefeituras deverão disponibilizar, em seus sítios eletrônicos e em lugares visíveis das respectivas instalações físicas, as hipóteses de tratamento de dados pessoais, nos termos do art. 11, inciso II, do Decreto Municipal 59.767/20, e do art. 2° desta Instrução Normativa, bem como fornecer instrumentos adequados para que o titular de dados pessoais manifeste o seu consentimento, quando necessário, de forma livre, informada e inequívoca, conforme o art. 5º, inciso XII, da lei Federal 13.709/18." 9 FRANÇA. Commission Nationale de l'Informatique et des Libertés. La CNIL publie un nouveau modèle de registre simplifié. Paris, Commission Nationale de l'Informatique et des Libertés, 25/7/19. Disponível aqui. Referências bibliográficas 1 ANDRADE, Mário de. Pauliceia Desvairada. São Paulo: Casa Mayença, 1922, p. 07. 2 BRASIL. Emenda Constitucional 115/22. Altera a Constituição Federal para incluir a proteção de dados pessoais entre os direitos e garantias fundamentais e para fixar a competência privativa da União para legislar sobre proteção e tratamento de dados pessoais. Brasília, Diário Oficial da União, 11/2/22. Disponível aqui. 3 FALCÃO, Daniel; PEROLI, Kelvin. As novas abordagens da privacidade: contextos, tipos e dimensões. Migalhas, 30/12/21. Disponível aqui. 4 FRANÇA. Commission Nationale de l'Informatique et des Libertés. La CNIL publie un nouveau modèle de registre simplifié. Paris, Commission Nationale de l'Informatique et des Libertés, 25/7/19. Disponível aqui. 5 NISSENBAUM, Helen. Privacy in Context. Technology, Policy, and the Integrity of Social Life. Stanford, EUA: Stanford University Press, 2010, passim. 6 SÃO PAULO (município). Prefeitura do município de São Paulo. Decreto municipal  59.767/20. Regulamenta a aplicação da lei Federal 13.709/18 - LGPD - no âmbito da Administração Municipal direta e indireta. São Paulo, Diário Oficial da Cidade de São Paulo, 16 set. 2022. Disponível aqui. 7 SÃO PAULO (município). Prefeitura do Município de São Paulo. Controladoria Geral do Município. Instrução Normativa CGM/SP 01/22. São Paulo, Diário Oficial da Cidade de São Paulo, 22/7/22.
Não se desconsidera a dificuldade de fiscalização de abusos que geram lesões a direitos em uma lógica estritamente baseada em custo e benefício. Todavia, o incremento de atividades econômicas na internet conduziu ao amadurecimento do conceito de 'perfilização', que, para o recorte proposto, se desdobra em duas práticas distintas: precificação personalizada e precificação dinâmica. O termo "perfilização" - extraído do vocábulo inglês profiling - é mais complexo do que parece. Segundo Rafael Zanatta, "profiling (expressão inglesa de perfilização) significa 'o ato ou processo de extrapolar informação sobre uma pessoa baseado em traços ou tendências conhecidas'".1 A intenção, em essência, é prever cenários e traçar perfis2, que, nas relações de consumo, viabilizam a predição comportamental a partir de parâmetros heurísticos. Em pleno século XXI, vivencia-se o apogeu da era marcada pela ampla conectividade estudada por Schwab3. Os debates jurídicos decorrentes desse fenômeno já se elasteceram para além das regras contidas no Código de Defesa do Consumidor (Lei nº 8.078/1990), uma vez que o ritmo galopante da inovação impõe reformulações aos modelos tradicionais de regulação pela lei e de engessamento das estruturas econômicas. Nesse contexto, abriu-se largo campo à exploração de modelos de negócio baseados em algoritmos capazes de processar grandes acervos de dados, trazendo sofisticação ao tradicional comércio eletrônico e viabilizando a implementação de estruturas negociais baseadas em dados e na identificação de perfis e tendências para a potencialização de lucros a partir da oferta de produtos e serviços mais personalizados ao consumidor final. A "precificação personalizada" é usualmente identificada pelas expressões geo-pricing e geo-blocking. Entretanto, o conceito é mais abrangente e engloba essas duas práticas como espécies que, quando implementadas, levam em conta a localização geográfica para propiciar a precificação algorítmica, mas com nuances próprias. O tema ganhou muita relevância, no Brasil, após atuação pioneira do Ministério Público do Estado do Rio de Janeiro, em razão de denúncia formalizada, à época dos Jogos Olímpicos do Rio de Janeiro, em 2016, por uma empresa que explora atividades de reservas de quartos de hotel e compra e venda de passagens aéreas. Na denúncia formalizada, a denunciante narrou ter identificado que uma concorrente exibia preços diversos em seu sítio eletrônico, a depender da localização de onde o potencial consumidor acessava a plataforma. Houve grande repercussão midiática, com veementes reações e sancionamento administrativo levado a efeito pelo Departamento de Proteção e Defesa do Consumidor (DPDC), órgão do Ministério da Justiça4, além de imediata investigação, pelo Ministério Público, que culminou na instauração de inquérito civil e na subsequente propositura de ação judicial5, levando a discussões sobre os limites da captura de metadados de navegação para fins de exibição de preços e de sua utilização.6 Sabe-se que a captura dos dados de navegação é robustecida por metadados (a partir dos chamados cookies7), em conjugação, ainda, com dados pessoais usualmente cadastrais, coletados para o fim de, traçando o perfil do potencial consumidor, viabilizar a elevação ou redução do preço final do produto ou serviço que lhe é apresentado, maximizando lucros.8 O potencial de discriminação de preços, condições negociais, qualidade e quantidade, além de outras informações relevantes, nessas práticas, depende de variáveis complexas e dos substratos valorados (com maior ou menor 'peso') pelos algoritmos que operacionalizam a coleta e o processamento de dados. E, além da violação flagrante às relações de consumo e à boa-fé que deve reger as contratações eletrônicas, tem-se em pauta uma questão fundamentalmente ética9, pois seria possível programar o algoritmo para indicar preços mais elevados para usuários perfilados como 'pessoas com maior poder aquisitivo'. O principal traço distintivo da prática em questão diz respeito ao objeto da precificação personalizada: um quarto de hotel é um espaço físico específico e dotado de características bem delimitadas; da mesma forma, um assento em uma aeronave que realiza o transporte aéreo entre pontos de partida e destino previamente escolhidos terá por objeto o mesmo voo, na mesma aeronave, na data e no horário definidos. O cumprimento obrigacional, portanto, tem contornos totalmente previsíveis, bem delimitados e contempla um único objeto. Desse modo, ainda que se possa discutir a precificação diferenciada para quartos de maiores dimensões ou com comodidades adicionais, ou mesmo para passagens aéreas de "classes" melhores e que ofereçam maior conforto, é certo que o objeto será diverso e, por consequência, será justa a diferenciação de preço em razão do objeto que, mesmo possuindo múltiplas categorias, continuará sendo lícito, possível e determinado (art. 104, II, do Código Civil). O que se repudia - e que se tornou objeto da veemente reação no Brasil - é a discriminação de preços de caráter subjetivo, isto é, que leva em conta elementos que permitam traçar o perfil pessoal, profissional ou de consumo do potencial consumidor. Na hipótese, o mesmo objeto (seja um quarto de hotel ou um assento em aeronave) será comercializado para consumidores diferentes, por preços diferentes e em função de decisão automatizada (art. 20, caput, LGPD), gerando um vício de forma, porquanto defesa, em lei, a perfilização discriminatória nesse contexto específico (art. 20, §2º, LGPD). Contornos diversos são os da chamada precificação dinâmica, há tempos utilizada para regionalizar preços em mercados digitais, sem gerar, necessariamente, discriminação ou até mesmo a perfilização. Quando se emprega o adjetivo 'dinâmica' para categorizá-la, tem-se em vista traços distintivos circunstanciais, mas não necessariamente relacionados ao conceito desenvolvido anteriormente, qual seja, a predição do perfil pessoal, profissional, de consumo, de crédito ou aspectos relacionados à personalidade. Não se 'personaliza' o produto ou o serviço para moldá-lo ao perfil que se traçou do consumidor em potencial; o que se faz, em singela descrição, é adaptar preços a realidades regionais que possam sofrer os impactos de circunstâncias de cariz tributário, inflacionário ou de conversão de moeda. No comércio eletrônico, trata-se de prática habitual de empresas que comercializam software para download imediato (sem mídia física, caracterizável como produto). No mercado digital de jogos eletrônicos, já se tornou regra. Grandes empresas se valem da prática designada como regional pricing support para equacionar disparidades de conversão de moeda e regionalização de acordo com a localização geográfica do consumidor. O objetivo, naturalmente, é potencializar vendas, pois, a partir de tal prática, um consumidor norte-americano, por exemplo, paga proporcionalmente mais por um mesmo jogo eletrônico vendido digitalmente do que um consumidor residente no Brasil, se considerada apenas a precificação comparada pela conversão da moeda (do dólar americano para o real, neste exemplo).10 Noutros termos, se o software fosse vendido ao comprador brasileiro em dólares, este teria que suportar os ônus da conversão de moeda (além de tributos, como o Imposto sobre Operações Financeiras). O consumidor brasileiro, por sua vez, pagaria proporcionalmente menos do que um consumidor argentino (se considerada a conversão do dólar, aqui tomado como paradigma, para pesos), em razão da desvalorização mais acentuada da moeda argentina em relação ao real brasileiro. Há imperfeições, no contexto da precificação dinâmica levada a efeito no comércio de licenças de software, pois a utilização de Virtual Private Networks - VPNs permite alterar o Internet Protocol - IP e "ludibriar" a plataforma para que determinado consumidor pareça estar noutro país. Com isso, medidas de limitação à alteração do país de residência nessas plataformas de comércio de jogos eletrônicos têm sido implementadas.11 Mesmo imperfeita, apesar de parecer muito clara a diferença conceitual, tal prática gerou a aplicação de vultosa multa, de ? 7.8 milhões, pela Comissão Europeia, às empresas Valve, Capcom, Bandai Namco, Focus Home, Koch Media e ZeniMax.12 A própria notícia sinaliza a discriminação por localização georreferencial como fundamento para a sanção, em confusão com o já analisado geo-blocking. Contudo, não se faz referência ao regional pricing support. Para que se possa compreender melhor a diferença, é importante que se elucide que o objeto da relação de consumo, nesta segunda hipótese, é a licença de uso do software, cuja natureza é replicável, porquanto acessado mediante pagamento para que se viabilize o download, a instalação em dispositivo informático e, feitas algumas verificações de idoneidade dos arquivos, sua fruição. Caso o episódio tivesse ocorrido no Brasil, o tema produziria polêmica, pois a extensão da proteção jurídica conferida ao software é debatida, pela doutrina, há décadas13, mas foi legislada de forma específica somente com a Lei nº 7.646/1987, posteriormente revogada pela Lei nº 9.609, de 19 de fevereiro de 1998.14 Não há dúvidas de que se trata do resultado do complexo e altamente técnico trabalho de programadores e desenvolvedores, que só é possível pelo emprego de conhecimentos específicos, além de experiências e competências pessoais ligadas, essencialmente, à parametrização de funções "in abstracto".15 Significa dizer que, pelo conceito, para estruturar um conjunto de funções direcionadas à realização de tarefa específica, cria-se um código-fonte que obedecerá aos comandos previamente estabelecidos e matematicamente inseridos na build respectiva. O produto final, portanto, tem contornos de produção intelectual prototipada e usualmente sujeita a pivotagem e testagem. Porém, consolidado o código, este se torna um produto acabado e idêntico, que será acessado de forma ubíqua por todos aqueles que o adquirirem via download. Eis o traço distintivo mais interessante: a relação de consumo relativa à comercialização de passagens aéreas ou reservas de quartos de hotel cuida de objetos estáticos; por outro lado, a comercialização do software considera objeto ubíquo. Logo, não faz sentido que a precificação, no primeiro caso, leve a distinções entre consumidores; já no segundo, faz todo sentido. Como visto, a diferença primordial que se identifica entre os exemplos da geodiscriminação realizada para a comercialização de passagens aéreas ou para a reserva de quartos de hotel, em comparação com as plataformas de comercialização de jogos eletrônicos, é o objeto da precificação e não o uso de algoritmos para isso. Pela análise empreendida, está claro que a reserva de quartos de hotel ou a compra de passagens aéreas deve representar prestação de serviços idêntica para todo consumidor, sem distinção subjetiva, embora se admita a definição de categorias de produtos ou serviços conforme seus aspectos qualitativos (v.g., quartos maiores ou assentos mais confortáveis). É totalmente diferente do download de software que está hospedado em um mesmo servidor, mas que é realizado por consumidor residente num ou noutro país. O hotel ou o voo são os mesmos, são objetos estáticos; o jogo eletrônico, licenciado para venda, varia, é ubíquo.16 O art. 20, §2º, in fine, da LGPD faz referência aos 'aspectos discriminatórios' do tratamento automatizado de dados pessoais. De fato, a perfilização discriminatória é vedada, mas o ponto central da norma está no objeto da relação jurídica estabelecida, e não na prática algorítmica em si. Realizando-se o cotejo analítico dessa forma, evitar-se-á disparidade de entendimentos e a solução aplicada a cada caso refletirá, com maior exatidão, suas particularidades, evitando distorções, interpretações equivocadas ou soluções sem efeito prático. ____________ 1 ZANATTA, Rafael. Perfilização, Discriminação e Direitos: do Código de Defesa do Consumidor à Lei Geral de Proteção de Dados. ResearchGate. fev. 2019. Disponível em: https://bit.ly/3hQe5wM. Acesso em: 12 jul. 2022.  2 Segundo Danilo Doneda, os "dados, estruturados de forma a significarem para determinado sujeito uma nossa representação virtual - ou um avatar - podem ser examinados no julgamento de uma linha de crédito, de um plano de saúde, a obtenção de um emprego, a passagem livre pela alfândega de um país, além de tantas outras hipóteses". DONEDA, Danilo. Da privacidade à proteção de dados pessoais. Rio de Janeiro: Renovar, 2006, p. 2.   3 SCHWAB, Klaus. A quarta revolução industrial. Tradução de Daniel Moreira Miranda. São Paulo: Edipro, 2016, p. 115. 4 De fato, logo que o caso veio a público, em decisão inédita no Brasil, o Departamento de Proteção e Defesa do Consumidor (DPDC) condenou a fornecedora supracitada, na esfera administrativa, ao pagamento de multa no valor de R$ 7.500.000,00 (sete milhões e quinhentos mil reais) por diferenciação de preço de acomodações e negativa de oferta de vagas em hotéis, quando existentes, de acordo com a localização geográfica do consumidor. 5 O caso específico teve início a partir da atuação ministerial do Promotor de Justiça Dr. Guilherme Magalhães Martins, à época da 5ª Promotoria de Tutela Coletiva do Consumidor da Capital, do Ministério Público do Estado do Rio de Janeiro, e seguiu, com a instauração de inquérito civil (nº 347/2016) e a propositura de ação civil pública (nº 0111117- 27.2019.8.19.0001) - que também contou com a atuação do Promotor de Justiça Dr. Pedro Rubim Borges Fortes - em face da empresa "Decolar.com". Mais detalhes sobre o caso e sobre a emblemática atuação ministerial podem ser obtidos em: FORTES, Pedro Rubim Borges; MARTINS, Guilherme Magalhães; OLIVEIRA, Pedro Farias. O consumidor contemporâneo no Show de Truman: a geodiscriminação digital como prática ilícita no direito brasileiro. Revista de Direito do Consumidor, São Paulo, n. 124, p. 235-260, jul./ago. 2019; MARTINS, Guilherme Magalhães. O geo-pricing e geo-blocking e seus efeitos nas relações de consumo. In: FRAZÃO, Ana; MULHOLLAND, Caitlin (Coord.). Inteligência artificial e direito: ética, regulação e responsabilidade. São Paulo: Thomson Reuters Brasil, 2019, p. 633-650. 6 EDER, Niklas. Privacy, non-discrimination and equal treatment: developing a fundamental rights response to behavioural profiling. In: EBERS, Martin; GAMITO, Marta Cantero (Ed.). Algorithmic governance and governance of algorithms: Legal and ethical challenges. Cham: Springer, 2021, p. 44-47. 7 Sobre os cookies e seus impactos quanto ao direito à privacidade, conferir: ZIMMERMAN, Rachel K. The way "cookies" crumble: Internet privacy and data protection in the Twenty-First Century. NYU Journal on Legislation and Public Policy, Nova York, v. 4, p. 439-464, 2000. 8 CUMMINGS, Rachel; DEVANUR, Nikhil R.; HUANG, Zhiyi; WANG, Xiangning. Algorithmic Price Discrimination. Proceedings of the Thirty-First Annual ACM-SIAM Symposium on Discrete Algorithms, Nova York, p. 2432-2451, jan. 2020. 9 SCHOLZ, Lauren H. Algorithmic contracts. Stanford Technology Law Review, Stanford, v. 20, n. 2, p. 128-168, set./dez. 2017, p. 144. 10 Sobre isso, cf. JANSKÝ, Petr; KOLCUNOVA, Dominika. Regional differences in price levels across the European Union and their implications for its regional policy. The Annals of Regional Science, Cham, v. 58, p. 641-660, 2017. 11 PARKER, Jason. Steam Region Change Now Limited to Enforce Regional Pricing. E-sportsTalk, 24 jun. 2021. Disponível em: https://www.esportstalk.com/news/steam-region-change-now-limited-to-enforce-regional-pricing/. Acesso em: 12 jul. 2022. 12 EUROPEAN COMMISSION. Antitrust: Commission fines Valve and five publishers of PC video games ? 7.8 million for "geo-blocking" practices. 20 jan. 2021. Disponível em: https://ec.europa.eu/commission/presscorner/ detail/en/ip_21_170 Acesso em: 12 jul. 2022. 13 Em 1985, Orlando Gomes escreveu: "Entendo que o 'software' é uma expressão criativa do trabalho intelectual e pessoal de quem o prepara. Essa criação da inteligência, materializando-se num corpus mechanicum que torna comunicável sua expressão, adquire individualidade definitiva, tal como se fosse um romance, um filme cinematográfico ou uma composição musical. Para ser protegido como tal basta a criatividade subjetiva, entendida como trabalho pessoal do programador - como se admite quando na obra protegida o elemento da criatividade consiste na idealização do seu plano." GOMES, Orlando. A proteção jurídica dos programas de computador. In: GOMES, Orlando; WALD, Arnoldo; ASCENSÃO, José de Oliveira; LOBO, C.A. da Silveira; ULMER, Eugen; KOLLE, Gert. A proteção jurídica do software. Rio de Janeiro: Forense, 1985, p. 15. Nessa época, a doutrina se baseava em parco repertório normativo para estruturar uma base compreensiva sobre o tema, a exemplo do Decreto-Lei nº 239/1967 e do Decreto nº 75.225/1975, relativos à política nacional de desenvolvimento científico e tecnológico; do decreto-lei 1.418/1975, relativo à tributação de contratos de software no exterior; do Decreto-Lei nº 1.996/1976, que incentivava a exportação de software; da Lei nº 5.772/1971, que instituiu o Código de Propriedade Industrial da época; da Lei nº 5.988/1973, que regulava os direitos autorais. Foi somente em 1987, com a Lei nº 7.646, que se definiu um marco normativo "quanto à proteção da propriedade intelectual sobre programas de computador e sua comercialização no País". 14 O conceito de software (programa de computador, como se convencionou designá-lo a partir de então) é apresentado logo no artigo 1º: "Art. 1º Programa de computador é a expressão de um conjunto organizado de instruções em linguagem natural ou codificada, contida em suporte físico de qualquer natureza, de emprego necessário em máquinas automáticas de tratamento da informação, dispositivos, instrumentos ou equipamentos periféricos, baseados em técnica digital ou análoga, para fazê-los funcionar de modo e para fins determinados." 15 FALEIROS JÚNIOR, José Luiz de Moura. A responsabilidade civil de programadores e desenvolvedores de software: uma análise compreensiva a partir do conceito jurídico de 'operador de dados'. In: FRAZÃO, Ana; CUEVA, Ricardo Villas Bôas (Coord.). Compliance e políticas de proteção de dados. São Paulo: Thomson Reuters Brasil, 2021, p. 815-818. 16 Segundo Maria Luiza Kurban Jobim: "O traço distintivo, portanto, entre o preço dinâmico e o preço personalizado, por mais difícil, na prática, que estes possam se demonstrar, é a relação direta entre a disponibilidade para pagamento inferida pelo fornecedor - a partir de dados pessoais e comportamentais do consumidor - com a fixação do preço. A DAP [disposição a pagar] reflete o valor atribuído pelo indivíduo às mercadorias e serviços que deseja adquirir e se refere ao maior valor monetário que as pessoas estão dispostas a pagar. (...) A lógica adjacente à implementação do preço personalizado tal como concebido no presente é relativamente recente, sendo viabilizada sobretudo pela coleta maciça de dados hoje possível no ambiente virtual." JOBIM, Maria Luiza Kurban. Precificação personalizada (personalised pricing): progresso ou retrocesso? Definições e reflexões preliminares a partir da Lei Geral de Proteção de Dados (LGPD) e da Análise Econômica do Direito (AED). In: SARLET, Gabrielle Bezerra Sales; TRINDADE, Manoel Gustavo Neubarth; MELGARÉ, Plínio (Coord.). Proteção de dados: temas controvertidos. Indaiatuba: Foco, 2021, p. 257.
A operacionalização de sistemas de Inteligência Artificial envolve, no mais das vezes, o tratamento de conjunto expressivo de dados pessoais. Nessa toada, a Inteligência Artificial e a Proteção de Dados Pessoais constituem campos de estudo que se atravessam mutuamente. De outra parte, também se sustenta, de há muito, a superação definitiva da dicotomia entre direito público e direito privado, proporcionando a interpenetração das searas e a redefinição permanente da noção de ordem pública. Sobressai, nesse sentido, a necessidade de tutela e de promoção, em todas as relações intersubjetivas, dos valores que emanam da escala constitucional. O direito à proteção dos dados pessoais, previsto expressamente como direito fundamental no novo inciso LXXIX do artigo 5º da Constituição da República de 1988, é aplicado tanto na relação entre indivíduo e Poder Público quanto entre particulares. Assim, a atuação dos agentes sociais públicos e privados, como na hipótese de aplicação de tecnologias de Inteligência Artificial, só terá lugar na medida em que for merecedora de tutela à luz da legalidade constitucional. O objeto deste ensaio se situa na zona de interseção entre esses campos de estudo: cuida-se do exame das contratações públicas de Inteligência Artificial, com enfoque no tratamento de dados pessoais pelo Poder Público. O trabalho se dividirá em duas partes. Nesta primeira, a análise recai sobre a relação imbricada entre Inteligência Artificial e Proteção de Dados Pessoais, bem como sobre os conceitos e bases legais previstos na disciplina da lei 13.709/2018 (LGPD). Na Parte II, será abordada a conformação imposta pela ordem jurídica ao tratamento de dados pessoais pelo Poder Público no bojo da operacionalização de sistemas de Inteligência Artificial. Como visto, a Constituição da República de 1988 contempla, como direito fundamental, o direito à proteção dos dados pessoais. O inciso LXXIX do artigo 5º da Carta Magna, incluído pela Emenda Constitucional nº 115, de 10 de fevereiro de 2022, prevê que "é assegurado, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais". Todavia, mesmo antes do advento da EC nº 115/2022, o Supremo Tribunal Federal já havia reconhecido, em 2020, a autonomia desse, por assim dizer, novo direito fundamental, ao referendar a medida cautelar deferida para suspender a eficácia da MP 954/2020 (ADIs 6.387, 6.388, 6.389, 6.390 e 6.393). Em essência, o direito à proteção dos dados pessoais é diretamente informado pelo princípio da dignidade da pessoa humana, fundamento do sistema jurídico (art. 1º, III, CRFB). Se a proteção dos dados pessoais constitui direito fundamental e se a utilização de tecnologias de Inteligência Artificial no setor público envolve, em geral, o tratamento de conjunto expressivo de dados pessoais, revela-se inequívoca a relação umbilical entre os dois campos de estudo. A operacionalização de sistemas de Inteligência Artificial deverá respeitar o direito fundamental à proteção dos dados pessoais, como tem sido colocado em evidência nas regulamentações e nos estudos sobre o tema. Vejam-se alguns exemplos. Na Estratégia Brasileira de Inteligência Artificial (EBIA), afirma-se que se afigura "fundamental que os princípios da IA estejam alinhados com os da LGPD e que os valores da proteção de dados sejam considerados tanto na aquisição quanto no desenvolvimento e uso dessas tecnologias", considerando o tratamento massivo de dados (big data) (anexo da Portaria MCTI 4.617, de 6 de abril de 2021, alterado pela Portaria MCTI 4.979, de 13 de julho de 2021). No texto do PL 21/2020, submetido pela Câmara dos Deputados à apreciação do Senado Federal, ainda em trâmite, são previstos como fundamentos do desenvolvimento e da aplicação da Inteligência Artificial no Brasil a proteção de dados pessoais e a harmonização com a LGPD (art. 4º, VIII e XV). Também é contemplado como princípio a "centralidade do ser humano", consubstanciada no "respeito à dignidade humana, à privacidade, à proteção de dados pessoais e aos direitos fundamentais" (art. 5º, II). Na relação entre direito e tecnologia, a resolução 332, de 21 de agosto de 2020, do Conselho Nacional de Justiça (CNJ), que "dispõe sobre a ética, a transparência e a governança na produção e no uso de Inteligência Artificial no Poder Judiciário", toma por premissa que a operacionalização de tais sistemas "deve respeitar a privacidade dos usuários, cabendo-lhes ciência e controle sobre o uso de dados pessoais". Além disso, estipula-se que "quando o desenvolvimento e treinamento de modelos de Inteligência exigir a utilização de dados", as amostras deverão "ser representativas e observar as cautelas necessárias quanto aos dados pessoais sensíveis e ao segredo de justiça" (art. 6º, caput). Dentre os estudos sobre o tema, no "Guia de Contratações Públicas de Inteligência Artificial", elaborado pelo Centro para a 4ª Revolução Industrial do Brasil (C4IR Brasil), fruto de uma parceria entre o Fórum Econômico Mundial, a União, o Estado de São Paulo e a iniciativa privada, a incorporação de "todas as exigências da legislação referente à proteção de dados e boas práticas aplicáveis à solução de IA" consta como uma das diretivas incidentes no âmbito público. Isso porque a "adoção de tecnologias como IA e aprendizado de máquina no setor público pressupõe acesso e tratamento de um conjunto expressivo de dados, internos e/ou externos à organização". Já no relatório "Recomendações de governança: uso de Inteligência Artificial pelo Poder Público", elaborado pela Transparência Brasil, a "efetiva proteção dos dados pessoais do cidadão" é prevista como uma das quatro recomendações aplicáveis. Destaca o estudo que "o emprego de tecnologias de IA" demanda, no mais das vezes, "o processamento de grande quantidade de dados para o treinamento do modelo, impulsionando a criação e/ou a disponibilização de bancos de dados pessoais massivos". O tema da proteção de dados pessoais, até 2018, era objeto apenas de tutela legislativa esparsa no direito brasileiro. Todavia, como se sabe, em 14 de agosto de 2018 foi editada a lei 13.709/2018, que contempla disciplina específica para o tratamento de dados pessoais por pessoa natural ou por pessoa jurídica de direito público ou privado (art. 1º). A Lei Geral de Proteção de Dados Pessoais aplica-se, portanto, direta e imediatamente, à atuação estatal. Desse modo, a operacionalização de sistemas de Inteligência Artificial que envolva o tratamento de dados pessoais pelo Poder Público deverá guardar observância à disciplina da LGPD. A lei 13.709/2018 conceitua dado pessoal como aquele titularizado por pessoa natural identificada ou identificável, excluindo de sua proteção a informação relativa à pessoa jurídica (art. 5º, I e V). Tutela-se, assim, a noção de personalidade como valor, isto é, conjunto de predicados da pessoa humana, sempre concebida como fim em si mesma, a qual se diferencia do conceito de subjetividade, que diz com a aptidão para ser sujeito de direito, e incide para a pessoa natural e para a pessoa jurídica. A premissa de inaplicabilidade às pessoas jurídicas da proteção conferida pela LGPD foi, aliás, consignada no Enunciado 693, aprovado na IX Jornada de Direito Civil do Conselho da Justiça Federal (CJF), realizada em 19 e 20 de maio de 2022. Por outro lado, com relação ao dado pessoal sensível, a LGPD traz lista exemplificativa em seu artigo 5º, II: informação sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural. A qualificação de determinado dado pessoal como sensível deve ocorrer concretamente, conforme a identificação da maior probabilidade de uso discriminatório por terceiros. São denominadas de bases legais as hipóteses autorizativas de tratamento de dados pessoais elencadas na LGPD. O consentimento é apenas uma das bases legais, inexistindo hierarquia entre elas, como reconhecido pelo Enunciado nº 689 da recente IX Jornada de Direito Civil. Assim, quando o tratamento a ser realizado pelo Poder Público se enquadrar em uma das hipóteses previstas na LGPD que autorizam operações com dados pessoais independentemente de consentimento, este estará dispensado. Caberá, portanto, à Administração Pública fundamentar o tratamento pretendido em uma das bases legais previstas nos artigos 7º e 11. O artigo 7º da Lei Geral de Proteção de Dados Pessoais contempla como bases legais, em linhas gerais: (i) consentimento; (ii) cumprimento de obrigação legal ou regulatória; (iii) execução de políticas públicas; (iv) realização de estudos por órgão de pesquisa; (v) execução de contrato ou de procedimentos preliminares relacionados a contrato; (vi) exercício regular de direitos em processo judicial, administrativo ou arbitral; (vii) proteção da vida ou da incolumidade física do titular ou de terceiro; (viii) tutela da saúde; (ix) legítimo interesse; (x) proteção do crédito. De outro giro, o artigo 11 da lei 13.709/2018 fornece disciplina específica para os dados pessoais sensíveis e prevê, resumidamente, as seguintes bases legais: (i) consentimento; (ii) cumprimento de obrigação legal ou regulatória; (iii) execução de políticas públicas; (iv) realização de estudos por órgão de pesquisa; (v) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo e arbitral; (vi) proteção da vida ou da incolumidade física do titular ou de terceiro; (vii) tutela da saúde; (viii) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos. No caso de tratamento de dados de crianças, coloca-se em questão a previsão do artigo 14, § 1º, da LGPD, que demanda a obtenção de consentimento específico e em destaque de um dos pais ou do responsável legal do menor. Todavia, insista-se, inexistindo hierarquia entre as bases legais e sendo o consentimento apenas uma das hipóteses autorizativas, a interpretação sistemática a ser dada à legislação é a de que também podem incidir, para dados de crianças, as bases legais previstas nos artigos 7º e 11, respeitado o princípio do melhor interesse (art. 14, caput, LGPD). Este entendimento foi, aliás, adotado no Enunciado nº 684 da já referida IX Jornada de Direito Civil. De outra parte, a lei 13.709/2018 autoriza a transferência internacional de dados pessoais nos casos expressamente previstos em seu artigo 33. Destacam-se, em tema de tratamento de dados pessoais pelo Poder Público, as hipóteses em que a transferência internacional for necessária: (i) para a execução de política pública ou atribuição legal do serviço público, sendo dada publicidade, nos termos do artigo 23, caput, inciso I, da lei e (ii) para o cumprimento de obrigação legal ou regulatória pelo controlador (arts. 33, VII e IX, c/c art. 7º, II, LGPD). Dispensa-se a obtenção de consentimento do titular. Por outro lado, também se admite o compartilhamento de dados pessoais com outros entes públicos ou com entidades privadas. Tanto no caso de compartilhamento público-público (art. 26, caput, LGPD) quanto na hipótese de compartilhamento público-privado (arts. 26, § 1º, e 27, LGPD), o consentimento do titular poderá ser dispensado. O compartilhamento público-público está previsto no caput do artigo 26 da lei 13.709/2018. O dispositivo exige que o uso compartilhado de dados pessoais pelo Poder Público atenda a finalidades específicas de execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, bem como respeite os princípios elencados no artigo 6º da lei, quais sejam, finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas. Registre-se que, quando empresas públicas e sociedades de economia mista estiverem operacionalizando políticas públicas, e no âmbito da execução delas, receberão o mesmo tratamento dado aos órgãos e às entidades do Poder Público (artigo 24, parágrafo único, LGPD). Já o compartilhamento público-privado demandará a observância das regras previstas nos artigos 26, § 1º, e 27 da Lei nº 13.709/2018, que devem ser interpretadas à luz das bases legais elencadas nos artigos 7º e 11. Nos termos do artigo 26, § 1º, da LGPD, faz-se, em regra, vedada a transferência pelo Poder Público de dados pessoais constantes das bases a que tenha acesso a entidades privadas, com exceção das hipóteses a seguir sintetizadas: (i) execução descentralizada de atividade pública que exija a transferência, exclusivamente para esse fim específico e determinado; (ii) dados acessíveis publicamente; (iii) previsão legal ou respaldo em contratos, convênios ou instrumentos congêneres; (iv) se objetivar exclusivamente a prevenção de fraudes e irregularidades, ou proteger e resguardar a segurança e a integridade do titular dos dados, desde que vedado o tratamento para outras finalidades. De acordo com o artigo 27 da Lei Geral de Proteção de Dados Pessoais, a comunicação ou o uso compartilhado de dados pessoais de pessoa jurídica de direito público a pessoa de direito privado demanda consentimento do titular, a não ser que: (i) reste configurada hipótese de dispensa de consentimento prevista na lei; (ii) ocorra o uso compartilhado de dados, caso em que será dada publicidade nos termos do artigo 23, caput, inciso I, da LGPD; (iii) incidam as exceções elencadas no referido artigo 26, § 1º. Há uma certa dificuldade interpretativa neste artigo 27, que pode ser solucionada por meio do recurso às bases legais previstas nos artigos 7º e 11.1 A análise até aqui efetuada pode ser ilustrada a partir das duas bases legais que guardam significativa afinidade com o agir administrativo: cumprimento de obrigação legal e execução de políticas públicas. À luz da disciplina da LGPD, nestas duas hipóteses, poderá ocorrer, independentemente de consentimento do titular: (i) tratamento de dado pessoal; (ii) tratamento de dado pessoal sensível; (iii) tratamento de dado de criança e adolescente; (iv) transferência internacional de dado pessoal; (v) compartilhamento público-público; (vi) compartilhamento público-privado. Isso posto, a Parte II do trabalho examinará como o tema do tratamento de dados pessoais pelo Poder Público se coloca no bojo da operacionalização de sistemas de Inteligência Artificial. Até lá! __________ 1 Miriam Wimmer. O regime jurídico do tratamento de dados pessoais pelo Poder Público. In: Laura Schertel Mendes; Danilo Doneda; Ingo Wolfgang Sarlet; Otavio Luiz Rodrigues Júnior; Bruno Bioni (coords.). Tratado de proteção de dados pessoais. Rio de Janeiro: Forense, 2021, p. 295, E-book.
Introdução A democratização do mercado de crédito no Brasil, iniciado a partir do Plano Real, permitiu o acesso facilitado ao crédito no país, fomentando o mercado de consumo, ao mesmo tempo que contribuiu para o incremento do número de consumidores superendividados (MARTINS, 2017, p. 38). Atualmente, o advento das fintechs proporciona desburocratização no acesso ao crédito, garantindo maior autonomia do consumidor, por outro lado, também pode resultar em aumento de dívidas e agravamento da sua condição de vulnerabilidade (OLIVEIRA, C., 2020, p.19). Um os fatores que contribuem para a situação de superendividamento da população brasileira é a qualidade do crédito concedido. Quanto mais baixo o grau de qualidade do crédito tomado, mais sacrifícios o consumidor terá de realizar para honrar a dívida, seja por conta de altas taxas seja pelos riscos dos negócios (MARTINS, 2017, p. 41). O custo do crédito, por sua vez, é calculado a partir do risco de inadimplência do tomador e o risco assumido pelo cedente. Tais cálculos de custo são afetados pelas informações disponíveis às instituições financeiras quando do momento da contratação. Ocorre que, em razão da assimetria informacional no contexto bancário, as instituições passam a exigir altas taxas de juros resultante da falta de previsibilidade de adimplência, especialmente quando o tomador do crédito possui menor renda (SOUTO, 2019, p. 76). Tendo em vista a baixa qualidade do crédito esses consumidores, então, estão mais vulneráveis e propícios ao fenômeno do superendividamento. Nesse contexto, cabe a investigar o papel das fintechs, com o emprego de tecnologias disruptivas de Big Data e análise de crédito, como estratégia de prevenção ao superendividamento e melhoria do mercado de consumo creditício. LGPD e CDC: proteção ao crédito e superendividamento A Lei Geral de Proteção de Dados (LGPD - lei 13.709/2018) estabelece as hipóteses que autorizam o tratamento de dados pessoais, as chamadas "bases legais". As hipóteses de tratamento previstas na LGPD estão divididas em dois artigos: (i) o artigo 7º, dedicado às bases legais para tratamento de dados pessoais, e (ii) o artigo 11º, dedicado às bases legais que autorizam o tratamento de dados pessoais sensíveis. Entre as bases legais que autorizam o tratamento de dados pessoais, destaca-se a base legal de proteção do crédito, prevista no art. 7º, inc. X, da LGPD. Trata-se de uma inovação da legislação brasileira em comparação com o Regulamento Geral de Proteção de Dados Europeu (GDPR - General Data Protection Regulation), que inclui o tratamento de dados pessoais objetivando a proteção do crédito e do sistema financeiro. Considera-se que o tratamento de dados pessoais realizados com fundamento nesta base legal busca ampliar e facilitar a concessão de crédito, contribuindo para melhorar a análises de risco e impulsionar o mercado de consumo (TEFFÉ; VIOLA, 2020, p. 27). Uma das aplicações diretas da base legal de proteção ao crédito é o credit scoring, sistema de pontuação utilizado por instituições financeiras que tem por finalidade auxiliar na toma de decisões relativas à concessão de crédito (TEFFÉ; VIOLA, 2020, p. 27). Essa base também fundamenta outras atividades de tratamento de dados pessoais relacionadas à redução do risco de crédito como a definição e o gerenciamento de limites de crédito e o desenvolvimento ou consulta a scores e informações de bureaux de crédito. Nesse caso, a base deverá ser adotada em harmonia com as normas do Código de Defesa do Consumidor (CDC - lei 8.078/90) e da Lei do Cadastro Positivo (lei 12.414/11) e demais legislações aplicáveis. O tratamento de dados pessoais baseado na base legal de proteção ao crédito coaduna com as regras de prevenção e tratamento do superendividamento introduzidas no CDC pela lei 14.181/2021. Nesse sentido, o art. 54-D, inc. II, do CDC dispõe que, na oferta de crédito, o fornecedor ou o intermediário deverá "avaliar, de forma responsável, as condições de crédito do consumidor, mediante análise de informações disponíveis em bancos de dados de proteção ao crédito". Aliás, o CDC já prevê a criação de bancos de dados e cadastros de consumidores como serviços de proteção ao crédito (art. 43). Open Banking: a lógica da autodeterminação informativa do consumidor O Open Banking foi criado com a intenção de padronizar o compartilhamento de dados bancários entre clientes e instituições financeiras, instituições de pagamento e demais instituições autorizadas a funcionar pelo Banco Central do Brasil (BCB).  O sistema Open Banking se traduz numa plataforma que permite a integração de APIs (Application Programming Interfaces) e, a partir desses protocolos de integração, proporciona certo grau de comunicação e compartilhamento entre instituições de maneira robusta, ágil e conveniente. Assim, o Open Banking estabelece a padronização de APIs para viabilizar a interoperabilidade entre sistemas de instituições financeiras e de pagamento. Com o advento da LGPD e o avanço tecnológico no mercado financeiro, observa-se a alteração do raciocínio legislativo, assim o dever de sigilo bancário começa a abrir espaço para a autodeterminação informativa, visando garantir ao usuário maior controle sobre o tratamento de dados pessoais. Tal é o sentido da autorização do compartilhamento por trás do Open Banking. A partir da concessão de informações claras e precisas a respeito dos dados coletados e dos serviços oferecidos, o titular pode exercer o direito de controlar suas informações pessoais, assim como protegê-las. A lógica da autodeterminação informativa e da defesa do consumidor permite, assim, a construção de novos produtos e serviços no mercado financeiro, em especial, a partir do Open Banking e Open Finance, enquanto prevê maior controle aos consumidores em relação às suas finanças e informações. A autodeterminação informativa constitui-se, assim, um direito do indivíduo em decidir livremente sobre o uso de seus dados pessoais, incluindo para quem serão repassados e com que finalidade serão tratados (SOUSA; SILVA, 2020, p. 11). Independentemente de o tratamento de dados pessoais se basear na base legal do consentimento (art. 7º, inc. I, da LGPD), a autodeterminação informativa é um dos fundamentos da LGPD (art. 2º, inc. II) e deve ser observada em todas as operações de tratamento de dados pessoais, revelando-se também nos princípios do livre acesso e da transparência (art. 6º, inc. IV e VI). O tratamento de dados pessoais como estratégia de concessão de crédito responsável A ampla disponibilização de informação às instituições financeiras pode tornar as operações de crédito menos arriscadas, proporcionando a redução da necessidade de garantias de alto valor e a redução da taxa de juros, gerando uma maior oferta de crédito com melhor qualidade no mercado (SOUTO, 2019, p. 78). O adequado tratamento dos dados pessoais disponíveis contribui, assim, para a concessão de crédito seguro e personalizado às necessidades e qualidades do consumidor, também servindo de medida de prevenção ao superendividamento. O Open Banking, ao permitir o acesso às fintechs de maior quantidade de dados pessoais dos consumidores, conduz a melhorias na capacidade de triagem dos algoritmos de análise de dados (screening), especialmente por permitir o acesso a diversas fontes de dados, como birôs de crédito, por exemplo (HE; HUANG; ZHOU, 2020, p. 02). A melhoria na capacidade de screening das fintechs possui dois efeitos: (i) identificar de maneira mais eficaz o tipo de tomador de empréstimo, o que implica no aumento dos empréstimos de qualidade; e (i) aumenta o grau de competitividade no mercado de crédito (HE; HUANG; ZHOU, 2020, p. 02). Desse modo, seguindo-se a lógica da autodeterminação informativa da centralidade da proteção de dados no contexto do Open Banking, é possível construir um ecossistema de crédito seguro e competitivo, contribuindo para a diminuição do superendividamento. É evidente que a oferta do crédito deve ser acompanhada de informações claras, precisas e de fácil acesso aos consumidores a fim de permitir a manifestação livre e consciente da vontade, devendo-se aplicar medidas regulatórias e fiscalizatórias para coibir a prática de marketing predatório. Considerações finais As fintechs alimentadas pelo amplo compartilhamento de dados permitido a partir do Open Banking, contribuem para a democratização do acesso ao crédito e maior controle dos consumidores quanto às opções de produtos creditícios. O acesso aos dados pessoais permite maior segurança na decisão de concessão de crédito, diminuindo a assimetria informacional característica do setor bancário tradicional, o que permite menor taxas de juros. As tecnologias apresentadas pelos novos serviços do mercado creditício devem ser acompanhadas pela centralidade da autodeterminação informativa e proteção dos dados pessoais dos consumidores, além de oferecer transparência a respeito do tratamento de dados envolvido e das condições de crédito concedidas. Deve-se garantir, portanto, o equilíbrio entre o open finance, acompanhado de serviços de crédito disruptivos, e a preservação da dignidade e autonomia dos consumidores. Tal equilíbrio inicia-se pela interpretação harmoniosa entre as legislações aplicáveis sobre o tema, em especial a Lei Geral de Proteção de Dados, o Código de Defesa do Consumidor e as regulações setoriais do Banco Central. Referências HE, Zhigou; HUANG, Jing; ZHOU, Jidong. Open Banking: credit market competition when borrowers own the data. National Buerau of Economic Research, working paper nº 28118, 2020. Disponível aqui. Acesso em: 09 jan. 2022. LABORATÓRIO DE POLÍTICAS PÚBLICAS DA INTERNET (LAPIN). Relatório Open Banking & LGPD: Entraves e Eficiências. Brasília, 2020. 45f. Disponível aqui. Acesso em: 27 dez. 2021. MARTINS, Lucas Rafael. O superendividamento do consumidor de crédito: um estudo de fatores desencadeadores do endividamento crônico e análise dos principais modelos de recuperação e do PL 283/2012. 2017. 65 f. Trabalho de Conclusão de Curso (Bacharel em Direito) - Faculdade Nacional de Direito, Universidade Federal do Rio de Janeiro, Rio de Janeiro, 2017. OLIVEIRA, Cecília Franco Vieira de. O superendividamento bancário na era das Fintechs. 2020. 30 f. Trabalho de Conclusão de Curso (Bacharel em Direito) - Escola de Direito, Pontifícia Universidade Católica do Paraná, Curitiba, 2020. SOUSA, R. P. M. de; TAVARES DA SILVA, P. H. Proteção de dados pessoais e os contornos da Autodeterminação Informativa. Informação & Sociedade: Estudos, [S.l], v.30, n. 2, p. 1-19, 2020. Disponível aqui. Acesso em: 09 jan. 2022. SOUTO, Gabriel Araújo. O Cadastro Positivo: a solução para o combate à assimetria informacional no setor bancário brasileiro? Revista da PGBC, v.13, n. 1, p. 75-88, jun. 2019. Disponível aqui. Acesso em: 09 jan. 2022. VIOLA, Mario. TEFFÉ, Chiara Spadaccini de. Tratamento de dados pessoais na LGPD: estudo sobre as bases legais dos artigos 7º e 11. In: BIONI, Bruno (coord.) Tratado de proteção de Dados Pessoais. Rio de Janeiro: Forense, 2021.
1. IAPD e GENE na cooperação técnica nos setores de energia e de Proteção de Dados O Instituto Avançado de Proteção de Dados -  IAPD é uma organização de caráter científico, técnico e pedagógico, sem fins lucrativos ou econômicos, fundada em 2019 com a missão de centralizar as propostas sociais de estudos avançados nesta área, com reflexos positivos nos mais diversos setores da economia do país, a partir do Desenvolvimento de pesquisas  multidisciplinares, em âmbito nacional e internacional, relacionadas à proteção de dados, sejam de natureza social, econômico-financeira, tecnológica, urbanístico-ambiental ou político-institucional, além de quaisquer outros levantamentos para projetos de seu interesse, visando enfrentar os desafios comuns ao desenvolvimento social, de forma a contribuir para com as políticas públicas inerentes à aplicabilidade da LGPD e das normas a serem implantadas pela Autoridade Nacional de Proteção de Dados (ANPD). A entidade é presidida pela Professora Cintia Rosa Pereira de Lima e, entre os seus associados, encontram-se pesquisadores e professores de destaque, além de profissionais especializados na área temática.1 O Grupo de Excelência em Negócios de Energia - GENE é órgão fundado em 2016 e operado por especialistas, professores, pesquisadores e profissionais da área de energia que tem entre os seus objetivos a disseminação de conhecimento e o estímulo ao Administrador para a compreensão matriz energética como elemento essencial para a organização das nações e das atividades. A energia ocupa um papel de destaque no processo de definição de estratégias empresariais e institucionais, ensejando o debate e a pesquisa nas diferentes dimensões que envolvem o tema na atualidade, com ênfase na gestão de negócios em energia Capitaneado pelo Professor Fernando Mario Rodrigues Marques, o GENE opera no âmbito do Conselho Regional de Administração de São Paulo - CRA-SP. 2 Estas entidades se uniram no início de 2021 para elaborarem pesquisas e programas específicos voltados para a proteção de dados no âmbito no setor energético brasileiro, que possam ser implantados em sintonia com os ditames da ANPD Autoridade Nacional de Proteção de dados e da ANEEL - Agência Nacional de Energia Elétrica. Pretendem prestar auxílio institucional e gerar aproximação com órgãos que executem a fiscalização e controle da aplicação da LGPD no setor de energia elétrica, observando também, os reflexos junto aos consumidores e as políticas governamentais voltadas para o desenvolvimento econômico e social e o meio ambiente, num contexto de gestão sustentável da energia e proteção de dados. Esta proposta institucional, se alinha com as funções cooperativas da ANPD - Autoridade Nacional de Proteção de Dados,  como se observa do  Art. 55-J da LGPD e seus parágrafo, nos seguintes termos:  "§ 3º A ANPD e os órgãos e entidades públicos responsáveis pela regulação de setores específicos da atividade econômica e governamental devem coordenar suas atividades, nas correspondentes esferas de atuação, com vistas a assegurar o cumprimento de suas atribuições com a maior eficiência e promover o adequado funcionamento dos setores regulados, conforme legislação específica, e o tratamento de dados pessoais, na forma desta Lei.  § 4º A ANPD manterá fórum permanente de comunicação, inclusive por meio de cooperação técnica, com órgãos e entidades da administração pública responsáveis pela regulação de setores específicos da atividade econômica e governamental, a fim de facilitar as competências regulatória, fiscalizatória e punitiva da ANPD." As reflexões conjuntas que ora são trazidas à lume, fazem parte desta cooperação institucional que se pretende prestar ao setor de energia, no âmbito da proteção de dados pessoais.     2. O setor de energia e sua função econômica na era da digitalização É muito difícil imaginar uma vida cotidiana sem a presença da energia que movimenta a economia, nos mais diversos seguimentos, entre os quais a indústria, comercio, serviços, saúde, além dos vários meios de transporte, permitindo os mais expressivos usos que proporcionam desde iluminações totais das residências e cidades, como também dos equipamentos que auxiliam na qualidade de vida, como eletrodomésticos e os voltados para as transações bancárias e acesso à internet. A energia movimenta a economia global, permitindo que sejam produzidos todos os produtos que temos hoje e que sejam realizados os mais variados tipos de serviços. As próprias atividades de produção, transmissão e distribuição de energia são extremamente relevantes para a economia, gerando investimentos, riqueza e empregos diretos e indiretos. Para gerar a energia são utilizadas as mais variadas fontes: hidráulica, eólica, solar, térmica e química. "Petróleo, óleo diesel e carvão foram os grandes insumos da sociedade industrial que necessitava de energia para atender as demandas de produção. Inclua-se também nesse pacote a energia nuclear. Por muito tempo, essas fontes geradoras cumpriram um papel fundamental no desenvolvimento econômico e social do mundo."3  Ainda hoje, tais fontes são muito relevantes na matriz energética mundial. Enquanto o mundo tem, em média, 84% de energia primária gerada por fontes fósseis, o Brasil tem 43% do seu mix energético gerado por fontes renováveis.4 No entanto, além de finitas, tais fontes de geração de energia são muito poluentes e podem comprometer o direito das gerações futuras a um meio ambiente saudável e equilibrado, tornando-se motivo de preocupação da comunidade internacional. Em função disso, o setor energético tem buscado soluções para melhorar sua eficiência e seus negócios. "No bojo dessa transformação, destacam-se três aspectos. O primeiro é a descentralização dos sistemas de geração de energia, aproximando-os dos locais de consumo, além dos avanços nas tecnologias de armazenamento. Em segundo lugar, observa-se a proliferação de tecnologias digitais, que permite que a energia seja produzida, transmitida e consumida de forma mais inteligente e eficiente. Por fim, evidencia-se o crescimento de fontes de energia renováveis para descarbonização do sistema energético, como parte dos esforços globais de mitigação das mudanças climáticas."5 No que se refere à crescente digitalização dos processos e uso massivo de dados (incluindo dados pessoais), isso permite que a energia seja produzida, transmitida e consumida de forma mais inteligente e eficiente, com a descentralização da produção, armazenamento e distribuição da energia por meio dos Recursos Energéticos Distribuídos (REDs), aproximando-os dos locais de consumo, bem como a preocupação com a sustentabilidade ambiental e econômica.6 As smart grids, ou redes elétricas inteligentes estão entre as principais transformações digitais do setor elétrico. São redes de transmissão e distribuição de energia caracterizadas pelo uso de tecnologias de informação e comunicação que usam sistemas de medidores inteligentes atrelados por dispositivos de comunicação à computação para coleta e análise de dados, com uso de big data e inteligência artificial. Essa realidade permitirá que máquinas, equipamentos, residências, edifícios e até mesmo cidades sejam geridos e programados remotamente e de forma coordenada para uma melhor gestão da entrega da energia. Nesse sentido, já está em discussão hoje a chamada tokenização da energia. As transações financeiras dessa atividade econômica envolvem a troca da energia, que é um produto físico, transportado pela rede de transmissão e distribuição. "A economia da eletricidade é moldada por sua física, como por exemplo pelo fato da eletricidade ser consumida quase no mesmo instante de sua geração, pois armazenar eletricidade ainda é muito caro, o que faz com que seu preço flutue amplamente."7 Além disso, a energia elétrica, tal qual é encontrada na natureza é algo homogêneo. Não se pode diferenciar o Kwh gerado em um painel solar fotovoltaico do Kwh gerado por uma usina termina a carvão. Tais características são propícias para que utilize as tecnologias baseadas em blockchain para representar determinada transação de energia elétrica de maneira mais confiável, rápida e econômica para validar e registrar transações financeiras e operacionais, inclusive podendo discriminar a fonte da energia transacionada, de modo que o produto energia passaria de homogêneo para heterogêneo. O resultado disso seria uma maior customização dos modelos de contratos e de precificação da energia8, a aplicação para resposta da demanda9, a comercialização de energia ponto a ponto10, e a certificação da origem da energia11. Nota-se, assim, que o uso de dados passa a ser um elemento importantíssimo para o novo modelo de negócios que vem se estruturando no setor de energia elétrica. Dentre os dados usados pelas tecnologias de digitalização empregadas no setor de energia elétrica, existem muitos que são dados pessoais o que gera a crescente preocupação com a adequação das atividades de tratamento de dados pessoais, nos termos da Lei 13.709/2018 (Lei Geral de Proteção de Dados - LGPD). 3. A adequação da LGPD aos negócios de energia Quanto mais as redes de geração, sobretudo a geração distribuída, transmissão e distribuição vão entrando na era digital, um volume cada vez maior de dados passa a ser coletado, armazenado e analisado pelos atores do mercado energético (distribuidores, transmissores, geradores, comercializadores, além dos agentes regulatórios e o Poder Público). Nesse contexto, os dados pessoais também passam a ser objeto de coleta e análise. Em um panorama  de uso constante e progressivo de recursos energéticos distribuídos, as pessoas naturais que geram energia própria (notadamente a energia solar fotovoltaica) passam de simples consumidores a produtores de energia (prossumidores) e, nesta condição,  enviam uma quantidade importante de dados às distribuidoras de energia, responsáveis pela medição e compensação dos valores relacionados à energia gerada em excesso e disponibilizada  na rede de distribuição,  para que esta energia possa ser utilizada no  consumo de outras pessoas. Por sua vez, as smart grids podem coletar e armazenar dados gerando os seguintes impactos: a)    definição de tarifas diferenciadas, de acordo com as variações no horário de consumo ou no perfil do consumidor. Com um processo avançado de tokenização pode-se até mesmo ter uma diferenciação de preços sobre a origem da energia consumida, o que implica em mais um dado sobre o perfil do consumidor; b)    disponibilização do formato pré-pago para a compra de energia elétrica ou do fornecimento por mais de uma empresa distribuidora; c)    leitura digital remota dos quadros de energia, com monitoramento do consumo tanto pela distribuidora quanto pelo consumidor; d)    ativação e desativação remota do fornecimento de energia elétrica; e)    uso de sistemas de inteligência artificial para mapear os padrões de consumo, tornando possível a identificação de fraudes; f)     acionamento remoto e monitoramento do consumo dos aparelhos conectados à rede de energia elétrica, entre outras possibilidades.12 Além disso, conforme Arturo Jordão Cortez e Adriano Marcolino, "As redes inteligentes envolvem todas as oportunidades relacionadas à tecnologia da informação. Na era da informação, a mesma pode ser monetizada, criando, por exemplo, anúncios pagos e marketing direcionado para certos consumidores de acordo com o perfil de consumo. Este tipo de oportunidade ainda é pouco explorado e as possibilidades são muitas."13 Trata-se de um ponto de grande importância para o sistema de proteção de dados pessoais estabelecido pela LGDP, posto que a coleta e uso de dados de consumo visando o direcionamento de ações de marketing deve contar com o consentimento dos titulares dos dados, uma vez que tal uso foge às finalidades estritamente relacionadas com os negócios relacionados às atividades das redes inteligentes. O setor de distribuição de energia trabalha com um grande fluxo de dados incluindo dados pessoais de seus consumidores, funcionários, fornecedores de bens e serviços, inclusive dados sensíveis, como no caso dos consumidores que possuem doenças que necessitam de aparelhos elétricos, previsto nos artigos 6, parágrafo único e 659, VII da REN 1.000/2021 da ANEEL1, além dos próprios dados de consumo. Esses dados chegam às Concessionárias por vários canais de atendimento e se prestam a cumprir várias finalidades, tais como o fornecimento de energia, a compensação de valores nos termos da cobrança das contas, atendimento de chamadas técnicas e enquadramento dos consumidores de baixa renda. Além disso, elas compartilham dados com empresas prestadoras de serviços de manutenção de rede e instalações, empresas do mesmo grupo econômico e até mesmo no caso de transações e alterações societárias envolvendo a Companhia, hipótese em que a transferência das informações seria necessária para a continuidade dos serviços. Quando a empresa pertence a um grupo estrangeiro, poderá, em certas condições contratualmente estabelecidas, haver transferência internacional de dados. Todas essas operações de coleta, armazenamento e transferência de dados devem ser realizadas, observando-se os principios e fundamentos previstos na LGPD. Além disso, esse tratamento de dados pessoais, deve estar estritamente vinculado às finalidades que justifiquem o acesso e uso de tais dados. Não se pode tratar dados pessoais que não estejam vinculados às finalidades previstas. Por exemplo: para o cumprimento do contrato de fornecimento de energia, orçamento de conexão e demais atividades que precisem a identificação do consumidor, a REN 1000/21 da ANEEL prevê a coleta dos seguintes dados cadastrais: Nome completo conforme cadastro da Receita Federal, CPF, RG ou outro documento de identidade oficial com fotografia, Registro Administrativo de Nascimento de Indígena (RANI), Endereço da instalação. Além disso, para atendimento aos consumidores, outros dados poderão ser solicitados para tratamento, tais como Telefone, Endereço de e-mail, Data de nascimento, estado civil. Conforme se nota, temos dois dados sensíveis: o RANI, que se refere diretamente à etnia, e a informações sobre pessoas usuárias de equipamentos elétricos destinados à manutenção da vida. Para esses, há que se tomar todos os cuidados previstos nos artigos 11 e 12 da LGPD. Outro ponto importantíssimo para o setor elétrico está na participação das agências reguladoras setoriais juntamente com a Autoridade Nacional de Proteção de Dados (ANPD - órgão regulador e fiscalizador do cumprimento da LGPD) no que se refere à fiscalização e à regulamentação. Isso significa que a ANEEL terá um papel importante junto à ANPD, podendo, inclusive, passar a ser responsável por fiscalizar o cumprimento da lei no setor elétrico. Com a tendência de descentralização de atividades de geração e distribuição, por meio da crescente tendência de uso da geração distribuída, inclusive permitindo-se a realização de negócios ponto a ponto, conforme mencionamos, haverá, também, uma maior presença de atores que farão tratamento de dados pessoais. Esses casos precisarão estar bem regulados pela ANEEL do ponto de vista da adequação à LGPD. 4. Conclusão É preciso olhar a questão da proteção de dados como uma oportunidade para que as empresas públicas e privadas que atuam no setor energético, possam especializar a coleta  de forma  tal  que , ao atenderem aos principios protetivos da LGPD, inclusive com relação aos novos produtos colocados ao consumidor, contribuirão para a harmonização do mercado e  gerarão a partir da coleta de dados,   informações  de qualidade e transparência,  com reflexos no  desenvolvimento do setor e do próprio  negócio. Em razão do volume de dados pessoais  coletados pelos diversos agentes que operam no setor energético, e, verificada a hipótese de compartilhamento  de dados pessoais, urge que se respeite a vontade do consumidor e que a coleta não seja  precedida de um tratamento tecnológico que envolva inteligência artificial de tal forma que possibilite a  formação de um viés negativo  na perfilação do consumidor, decorrente de  interferência ou interpretação  algorítmica que possa de alguma forma gerar prejuízos ao consumidor titular dos dados pessoais ou, ainda, perdas de oportunidades ou pressão de ofertas advindas exatamente da análise e classificação de seus dados coletados. Enfim, se estas empresas do setor energético, devem coletar os dados pessoais dos seus clientes e fornecedores, para o exercício pleno de suas atividades, devem pela coleta e tratamento destes dados, se responsabilizar e adotar a necessária proteção e tratamento, na exata forma preconizada na lei. E, deste ponto de vista, não será nada mais justo que, possam se utilizar dos dados pessoais coletados, uma vez resguardado o sentido finalista ou a base legal desta coleta, no benefício do desenvolvimento de seus negócios, desde que o faça de forma ética e responsável, sem desprezar os direitos dos consumidores titulares destes dados.  Nesses termos,  a necessidade de  adequação das empresas públicas e privadas  que atuam no setor energético, às regras principiológicas e fundamentos  da  LGPD,  pode ser vista não como uma externalidade negativa que gera custos, mas sim  como investimento, pois, ao  passarem por um processo de conhecimento e de reorganização dos dados por imposição legal, obterão melhor governança protetiva e, via de consequência, um controle de gestão de forma tal que refletirá na competitividade e na responsividade social  adequada do mercado, onde  também se incluem os usuários titulares dos dados pessoais. _________________ 1 https://iapd.org.br/ 2 https://www.crasp.gov.br/centro/site/grupos-de-excelencia/negocios-de-energia 3 Associação Brasileira dos Comercializadores de Energia (Abraceel). Energia Livre: como a liberdade de escolha no setor elétrico pode mudar o Brasil - Luiz Chinan e Thiago Nassa - São Paulo - 2014, 44 p., p. 13. 4 https://fgvenergia.fgv.br/dados-matriz-energetica 5 BARBATO, Humberto. Artigo: A era digital já é realidade no setor elétrico. Publicado em 22/04/2019. Disponível em https://www.energiaquefalacomvoce.com.br/2019/04/22/artigo-a-era-digital-ja-e-realidade-no-setor-eletrico/. Acesso em 26/05/2022. 6 Conforme COSTA JR, Arlei. A digitalização do setor elétrico brasileiro, in Revista Brasileira de Pesquisa Jurídica (Brazilian Journal of Law Research), Avaré: Eduvale, v. 1, n. 3, p. 119-138, 2020. DOI: 10.51284/rbpj.01.cj., p. 122. Disponível em: https://ojs.eduvaleavare.com.br/index.php/rbpj/article/view/20. Acesso em: 26/05/2022. E também conforme BARBATO, Humberto. Op. Cit. 7 COSTA JR, Arlei. Op. Cit., p. 128. 8 COSA JR, Arlei. Op. Cit., p. 128-129. 9 "A resposta da demanda é um mecanismo para gerenciar o consumo dos clientes em resposta às condições de oferta, como por exemplo, realizar a redução ou deslocamento do consumo de energia em momentos críticos por meio de pagamentos ou em resposta a preços de mercado, adicionando estabilidade ao sistema, pois a geração e o consumo devem estar equilibrados em tempo real, o que é dificultado em uma rede bidirecional de geração e consumo, onde ambos estão em constante oscilação e com a introdução das energias renováveis e intermitentes." (COSTA JR., Op. Cit., p. 129) 10 "A comercialização de energia ponto a ponto ou peer-to-peer (P2P) é o foco da maioria das empresas de blockchain para o setor de energia. O termo se refere a possibilidade de comprar e vender energia entre vizinhos. Os prosumidores com excesso de energia podem vender seu excedente localmente ou exportar para a rede ou armazenamento. A grande quantidade existente dos REDs não é suportada pela atual estrutura da Câmara de Comercialização de Energia Elétrica (CCEE), que é a responsável por viabilizar e gerenciar a comercialização de energia elétrica no Brasil. A maior parte da geração residencial é de origem fotovoltaica e seus excedentes geram margens pequenas nessas transações, o que torna esse mercado pouco atraente e provavelmente inviável para as comercializadoras, abrindo espaço para a tecnologia blockchain." (COSTA JR., Op. Cit. p. 131). 11 COSTA JR., Op. Cit., p. 133. 12 IEBT. Disponível em https://iebtinovacao.com.br/entenda-como-as-tecnologias-digitais-transformarao-o-setor-eletrico-brasileiro/ Acesso em 31/05/2022. 13 CORTEZ, Arturo Jordão e MARCOLINO, Adriano. Oportunidades e desafios para a implementação de smart grid no setor elétrico brasileiro. FGV Energia, Agosto 2019, p. 7. 14 A RES 1000/2021, consolidou as normas de Prestação do Serviço Público de Distribuição de Energia Elétrica e revogou as Resoluções Normativas ANEEL nº 414, de 9 de setembro de 2010, a qual continha regras mais específicas (e abrangentes) sobre o cadastro dos consumidores. Na atual Resolução, as normas estão dispersas. No entanto, as distribuidoras podem colher outros dados dos consumidores não previstos expressamente (e que antes estavam previstos na Resolução 414), desde que atentem para as diretrizes da LGPD, notadamente sobre as bases legais para o tratamento de dados pessoais.
A Organização para Cooperação e Desenvolvimento (OCDE) é organização internacional que tem por objetivo constituir políticas públicas para melhoria da qualidade de vida dos cidadãos, trabalha o estabelecimento de padrões internacionais baseados em evidências científicas e busca de soluções para os desafios sociais, econômicos e ambientais1. Em maio de 2011, o órgão publicou as primeiras diretrizes a respeito dos cuidados e das ferramentas relacionadas aos riscos do uso da internet por crianças e adolescentes, denominadas "The Protection of Children Online: risks faced by children online and policies to protect them"2. Na mesma linha, em maio de 2020, o órgão emitiu novas diretrizes com o título "Protecting children online an overview of recent developments in legal frameworks and policies OCDE digital economy papers"3. O objetivo desse texto é trazer o mapeamento dos riscos relacionados aos dados de crianças e adolescentes conforme o documento.  Do mapeamento dos riscos  Para iniciar o estudo, a OCDE analisa as classificações de riscos que foram desenvolvidas por diversos órgãos internacionais que distinguem entre riscos relacionados a conteúdo nocivo e aqueles relacionados a interações nocivas e, grosso modo, classifica os riscos em três categorias: i) riscos de tecnologia na internet; ii) riscos relacionados ao consumo; e iii) privacidade da informação e riscos de segurança. O risco relacionado à informações e dados pessoais diz respeito, justamente, ao compartilhamento de dados pessoais de crianças e adolescentes na internet. Nesse sentido, o documento afirma que as crianças são um grupo particularmente vulnerável, visto sua capacidade reduzida de prever perigos e consequências da exposição de suas informações no meio digital. Conforme o estudo, as crianças correm riscos relacionados à privacidade das informações quando seus dados são coletados sem que percebam, através de cookies, ou ainda por meio da contratação de serviços on-line. Assim como o comportamento dos adultos, as crianças aprovam os termos de privacidade dos serviços on-line sem fazer a leitura (e compreender todos os seus termos), já que, muitas vezes, são longos e escritos em linguagem técnica o que os torna ainda mais difíceis de serem compreendidos pelas crianças. Nesse sentido, os serviços on-line populares entre crianças quase sempre falham em oferecer procedimentos que assegurem aos pais as informações quanto ao tratamento dos dados de seus filhos, bem como em obter autorização expressa para tanto. Essa situação dificulta o controle dos pais no tratamento de dados dos filhos em meio digital. Informação pessoal como commodity As informações pessoais tornaram-se uma espécie de commodity no meio digital, e essa também é uma realidade para as crianças. O estudo trazido pela OCDE aponta que 95% (noventa e cinco por cento) dos adolescentes britânicos estão cientes desse fato e demonstram preocupação com as informações coletadas por websites. Além disso, ainda de acordo com o documento, de quarenta websites constantemente acessados por crianças, quase dois terços requerem dados pessoais para acesso e navegação4. Nesse contexto, algumas campanhas publicitárias, com objetivo de atingir o seu público-alvo, têm como forma de cativar as crianças o uso de jogos, questionários e outros conteúdos, que acabam coletando informações pessoais (da criança e de sua família), muitas vezes sem requerer o consentimento dos pais. A possibilidade de ganhar um prêmio ou receber conteúdo on-line gratuito é, muitas vezes, a motivação para que crianças forneçam seus dados. Dessa forma, o documento ressalta a maior vulnerabilidade das crianças em fornecer seus dados em meio digital. Isso porque, diante da sua percepção ainda imatura sobre a vida, é extremamente difícil para elas compreenderem a intenção comercial e os riscos nela envolvidos quando do fornecimento de dados pessoais5. Por conseguinte, o grande desafio nesse contexto é informar adequadamente tanto os pais quanto as crianças sobre o propósito e a extensão do uso desses dados, além de não permitir qualquer tipo de utilização de dados sem o conhecimento e a permissão dos pais ou responsáveis. Compartilhamento de dados pessoais e socialização em meio online Conforme o relatório da OCDE, estudos recentes apontam que crianças consideram os contextos da vida on-line e offline parte de uma mesma realidade: isso porque elas usam a internet primariamente como forma de socializar com pessoas que já conhecem pessoalmente, compreendendo o mundo on-line um espaço privado de atividade social entre seus pares. Uma forma muito utilizada de compartilhar informações pessoais nessa faixa etária se dá por meio de mídias sociais, plataformas de blog e outros meios e aplicações comuns ao cotidiano. Através da postagem contendo informações, imagens e vídeos, essas crianças compartilham uma gama de informações, não só sobre elas, como também sobre seu meio social e sua família. Nesse sentido, elas podem presumir, de forma incorreta, que todas as informações submetidas ao universo digital são restritas às pessoas imediatamente próximas a elas, sem contar com a possibilidade de ter seus dados compartilhados com uma imensidão de pessoas. Dessa forma, existe o risco de crianças concederem informações on-line, o que pode colocá-las em situações de risco. Tal risco advém da sensação de pertencimento quando presentes nas redes sociais. Dados mostram que o uso dessas redes por jovens é cada dia menos cuidadoso e cresce aceleradamente6. Nesse contexto, estudos demonstram que, apesar de jovens acreditarem ter privacidade na vida on-line, um número grande deles compartilha, cada vez mais, suas informações pessoais nas redes. De acordo com dados trazidos pelo estudo, entre 2000 e 2005 a porcentagem de jovens americanos que compartilha informações pessoais nas redes cresceu cerca de 24% (vinte e quatro por cento). Ainda nesse sentido, outro estudo americano concluiu que 81% (oitenta e um por cento) dos jovens inscritos na rede MySpace postavam com frequência fotos suas, e que, desses jovens, 93% (noventa e três por cento) indicavam sua cidade natal em tais postagens. Ressalta-se ainda que, de acordo com informações do relatório da OCDE, apesar de muitas mídias sociais como Facebook, Bebo e MySpace requisitarem idade mínima (classificação etária) de 13 (treze) anos para o registro na rede, um número crescente de crianças abaixo dessa idade tem criado contas nas mencionadas redes. Nesse sentido, a falsa sensação de privacidade que a opção de perfis fechados dá nessas redes sociais faz com que os jovens se sintam cada vez mais seguros para postar fotos, vídeos e informações pessoais. Esse fato também traz uma falsa sensação de segurança aos pais, já que 93% (noventa e três por cento) dos pais de crianças que utilizam essas redes estão cientes das referidas postagens. Ressalta-se, nesse contexto, que as informações pessoais de usuários podem ser postadas por outras pessoas. Como exemplo, citamos as tags, que são marcações de outros indivíduos em fotos, vídeos e informações em perfis variados. Tal prática é comum entre jovens, e, na maior parte das vezes, não é necessária a permissão da pessoa "marcada" para que as informações apareçam em seu perfil7. Ainda nessa toada, importante destacar que o uso de informações e dados pessoais de crianças na internet pode também ser um risco em relação a terceiros com intenções criminosas. Segundo estudo trazido pela OCDE, em 2006 a Comissão Federal do Comércio dos Estados Unidos reportou 1.498 denúncias de vazamento de dados de pessoas menores de 18 (dezoito) anos; isso representa 2% de todas as ações criminosas envolvendo roubos de identidade naquele ano. Destaca-se que os dados de crianças e adolescentes podem ser usados também como forma de conhecer os locais acessados por eles, dando informações a respeito de sua casa, escola e locais de lazer, não só por outros indivíduos com intenções maliciosas, mas também pelos próprios websites, tais como Facebook, Google e outros, que utilizam essas informações para finalidades diversas. No caso do uso de celulares, tal fato pode ser ainda mais evidente, gerando o rastreio de todos os passos dados pela criança, sem qualquer limite em relação à sua privacidade. Notas conclusivas  Tendo o Brasil sido convidado a integrar8 a OCDE, é de extrema relevância que a fiquemos atentos aos estudos e orientações feitas pelo órgão. Trata-se de importante  passo para que as políticas públicas brasileiras fiquem alinhadas aos países desenvolvidos e democráticos que integram o grupo. Sem dúvidas, os riscos apresentados pelos estudo são reais e as crianças brasileiras estão expostas a eles (e outros) já que a realidade brasileira em termos de educação e conscientização da população pode ser diferente da dos países estudados. Nota-se que, por outro lado, que a legislação brasileira tem avançado significativamente na proteção da criança em ambiente digital e que o Estatuto da Criança e do Adolescente traz regras e princípios úteis para enfrentar os desafios que as novas gerações hoje vivenciam. Da mesma forma, o Marco Civil da Internet, a Lei Geral de Proteção de Dados, o Código Penal, o Código de Defesa do Consumidor, bem como a autorregulação publicitária trazida pelo CONAR através do Código Brasileiro de Autorregulamentação Publicitária, pode resolver boa parte das questões debatidas no relatório da OCDE. __________ *O presente texto é um extrato do texto que foi publicado na obra "Infância, adolescência e tecnologia: o Estatuto da Criança e o Adolescente na sociedade da informação", publicado pela Editora Foco. 1 Disponível aqui. Acesso: 31/10/2021. 2 OCDE (2011-05-02), "The Protection of Children Online: Risks Faced by Children Online and Policies to Protect Them", OCDE Digital Economy Papers, No. 179, OCDE Publishing, Paris.  Disponível aqui. Acesso: 31/10/2021.  3 Disponível aqui. Acesso: 31/10/2021. 4 Conforme o estudo, em 70%, é requerido o nome; em 53%, o endereço de e-mail; em 43%, a data de nascimento; em 40%, o código postal; em 24%, o endereço residencial; em 24%, o telefone celular. 5 O estudo cita pesquisa trazida pelo Escritório Australiano Comissário de Privacidade (Australian Office of the Privacy Commissioner) indicou que australianos jovens são mais suscetíveis em prover dados pessoais em detalhes em vista de receber algum desconto ou prêmio on-line. 6 De acordo com a pesquisa, o uso das redes sociais pelos adolescentes é bem conhecido pela sociedade atual. Em 2007, 51% dos adolescentes americanos criaram um perfil em alguma rede social e 21% fazem uso regular dessa plataforma. Nesse sentido, o número é maior entre meninas (69% de meninas contra 50% de meninos, com idade entre 15 e 17 anos). O uso de redes sociais aumenta conforme a criança cresce: 27% das crianças têm entre 8 e 11 anos, 55% têm entre 12 e 15 anos e 67% têm entre 16 e 17 anos. 7 Ainda nesse sentido, estudos comprovam que pouco mais de 40% dos jovens tiveram suas fotos postadas em perfis diversos sem sua permissão. Outro estudo revela ainda que 6% dos jovens reportam fotos embaraçosas postadas em redes sociais sem suas devidas permissões. 8 Disponível aqui.
Introdução No Considerando 4 do Regulamento Geral Europeu de Proteção de Dados (GDPR), estabeleceu-se que o sistema de processamento de dados deve ser desenhado para servir aos seres humanos, não o contrário (QUINTILIANO, 2021). Consequentemente, com o elevado uso de inteligência artificial com o objetivo de automatizar decisões, diversos questionamentos estão surgindo sobre a interpretação do art. 22 do GDPR, notadamente, no que se refere às decisões tomadas por meio da definição de perfil (profiling). Nesse sentido, poderíamos abordar diversas questões relacionadas ao art. 22 do GDPR que estão sendo apresentadas ao Poder Judiciário, no entanto, o objetivo desse texto é apresentar a problemática sobre a compreensão da natureza do artigo 22(1) do GDPR: trata-se de uma proibição a priori, devendo o controlador evitar o uso de decisões automatizadas qualificadas, salvo nas exceções apresentadas pelos itens seguintes do art. 22 do GDPR, ou se trata apenas de um direito a ser invocado pelo titular dos dados pessoais? Como o Tribunal de Justiça da União Europeia deverá enfrentar em 2022 essa questão, por causa do Caso SCHUFA, torna-se relevante compreender o debate envolvendo o mencionado artigo do GDPR. Por conseguinte, primeiramente, apresentaremos os requisitos necessários para que a decisão automatizada seja qualificada, logo, objeto de aplicação do art. 22 do GDPR. Em seguida, falaremos sobre o caso SCHUFA e as possíveis intepretações dadas ao art. 22(1) do GDPR. Além disso, o Comitê Europeu de Proteção de Dados (EDPB) já emitiu o seu posicionamento quanto a essa discussão, restando verificar se ele se manterá ou será modificado pela corte europeia. As 3 condições para a aplicação do Art. 22 do GDPR O artigo 22(1) do GDPR estabelece alguns requisitos para ser aplicado em hipóteses de automatização das decisões. Ao se verificar a existência das condições necessárias impostas pelo supracitado dispositivo do GDPR, será possível dizer que se trata de uma decisão automatizada qualificada. Consequentemente, torna-se importante apresentar as exigências do GDPR para as decisões automatizadas e as respectivas interpretações. De acordo com o artigo 22(1) do Regulamento Geral Europeu de Proteção de Dados, para que haja a sua incidência é necessário que o processo de automatização de decisões seja baseado em dados pessoais e preencha 3 requisitos: 1) Exista uma decisão: é preciso que haja uma decisão tomada a partir do processamento dos dados pessoais e que se refira a um indivíduo que será impactado pela decisão. Dessa maneira, deve-se distinguir do processo de preparação, suporte e complementação da tomada de decisão (BYGRAVE, 2020, p. 398); 2) Baseada unicamente no processo automatizado: embora exista o termo "unicamente", o Comitê Europeu de Proteção de Dados (EDPB) esclareceu que não se deve realizar uma intepretação restritiva do termo "unicamente", ou seja, deve-se compreender esse requisito como sendo a inexistência de um envolvimento significativo de um ser humano no processo de decisão (SILVA; OLIVEIRA, 2021). Assim, os controladores não poderão se furtar da aplicação do artigo 22(1) do GDPR se a participação humana não for expressiva e não houver a possibilidade de modificação da decisão automatizada (EDPB/WP29, 2019, p. 20-21); 3) Os efeitos devem ser jurídicos ou de similar impacto significativo: De acordo com o entendimento do EDPB (2019, p. 21), a decisão automatizada preenche esse requisito: 1) quando os direitos ou o status jurídico dos indivíduos são afetados (inclusive em relações contratuais); 2) quando o comportamento, as escolhas e as circunstâncias dos indivíduos são impactadas; 3) quando o titular dos dados pessoais é impactado de forma prolongada ou permanente; e/ou 4) quando ocasiona a discriminação ou a exclusão de um indivíduo. O Considerando 71 do GDPR fornece dois exemplos relativos à natureza dos efeitos das decisões automatizadas para a aplicação do art. 22(1) do GDPR: denegação do pedido de concessão de crédito ou recrutamento eletrônico sem a intervenção humana de maneira significativa. Já o EDPB foi um pouco mais longe e forneceu como exemplo algumas formas de propagandas online que influenciam comportamentos; contudo, ressaltou-se que isso dependerá de cada caso, uma vez que é necessário verificar o quão invasivo foi o profiling e se houve uso das vulnerabilidades dos titulares dos dados pessoais para influenciarem comportamentos de determinada maneira (EDPB/WP29, 2019, p. 22). Neste sentido, pode-se notar que, embora o art. 22(1) do GDPR estabeleça parâmetros para ser aplicado em situações que se usam decisões automatizadas, há muito debate quanto à interpretação dos requisitos disciplinados pela lei, sendo que a doutrina e a jurisprudência contribuirão para entendermos como o mencionado artigo será aplicado em casos específicos. Além disso, como as tecnologias estão em constante modificação, nota-se que o entendimento acerca do art. 22(1) do GDPR não será estático e evoluirá conforme se desenvolverem novas aplicações envolvendo decisões automatizadas. A interpretação do Artigo 22 do Comitê Europeu de Proteção de Dados (EDPB) Apesar da questão concernente à automatização das decisões ser disciplinada desde 1995 pela União Europeia, por meio do artigo 15 da Diretiva de Proteção de Dados (DPD) a qual recebeu influência da Lei de Proteção de Dados da França de 1978, apenas recentemente verificamos o elevado número de casos levados ao Poder Judiciário sobre a matéria que é regida pelo art. 22 do Regulamento Geral Europeu de Proteção de Dados (GDPR). A frequência de casos relacionados ao art. 22 do GDPR deve-se, notadamente, pelo fato de ser cada vez mais frequente o uso da automatização de decisões nos diversos setores da vida cotidiana. Diante do exposto, torna-se importante mencionar que vários questionamentos relativos à interpretação do Art. 22 do GDPR estão sendo realizados, sendo importante, primeiramente, apresentarmos o texto do supracitado dispositivo: Art. 22 - Decisões individuais automatizadas, incluindo definição de perfis 1.   O titular dos dados tem o direito de não ficar sujeito a nenhuma decisão tomada exclusivamente com base no tratamento automatizado, incluindo a definição de perfis, que produza efeitos na sua esfera jurídica ou que o afete significativamente de forma similar. 2.   O n.o 1 não se aplica se a decisão: a) For necessária para a celebração ou a execução de um contrato entre o titular dos dados e um responsável pelo tratamento; b) For autorizada pelo direito da União ou do Estado-Membro a que o responsável pelo tratamento estiver sujeito, e na qual estejam igualmente previstas medidas adequadas para salvaguardar os direitos e liberdades e os legítimos interesses do titular dos dados; ou c) For baseada no consentimento explícito do titular dos dados. 3.   Nos casos a que se referem o n.o 2, alíneas a) e c), o responsável pelo tratamento aplica medidas adequadas para salvaguardar os direitos e liberdades e legítimos interesses do titular dos dados, designadamente o direito de, pelo menos, obter intervenção humana por parte do responsável, manifestar o seu ponto de vista e contestar a decisão. 4.   As decisões a que se refere o n.o 2 não se baseiam nas categorias especiais de dados pessoais a que se refere o artigo 9.o, n.o 1, a não ser que o n.o 2, alínea a) ou g), do mesmo artigo sejam aplicáveis e sejam aplicadas medidas adequadas para salvaguardar os direitos e liberdades e os legítimos interesses do titular. Conforme apresentado por Bygrave (2020), o debate acadêmico sobre o artigo 22 do GDPR começa com a dúvida relativa à natureza do dispositivo: trata-se de uma proibição (com algumas exceções) ou é um direito que pode ser exercido pelos indivíduos para torná-lo efetivo? Em virtude das indagações suscitadas, o Comitê Europeu de Proteção de Dados (EDPB) emitiu a sua Opinião em 2018 (EDPB/WP29, 2019): O termo direito no Regulamento Geral Europeu de Proteção de dados não quer dizer que o Artigo 22(1) apenas se aplica quando o titular dos dados pessoais o invoca ativamente. O Artigo 22(1) estabelece uma proibição geral para uma tomada de decisão baseada em um processo de automatização. Essa proibição aplica-se quer o titular dos dados adote alguma ação, quer não, no que se refere ao processamento de seus dados pessoais. (Tradução livre) Em relação ao Tribunal de Justiça da União Europeia (CJEU), que possui a autoridade para interpretar os dispositivos do GDPR; ainda não se manifestou sobre o conteúdo do art. 22(1). No entanto, deve-se mencionar que questionamentos preliminares sobre esclarecimentos acerca do conteúdo e da finalidade do Art. 22(1) do GDPR foram enviados ao Tribunal de Justiça da União Europeia em 2021 pelo Tribunal Administrativo de Wiesbaden (Alemanha) no Caso SCHUFA (C-634/21). No caso C-634/21, o Tribunal de Wiesbaden foi provocado a analisar o modelo de negócio da agência de crédito da Alemanha (SCHUFA), pois a SCHUFA está fornecendo informação aos bancos quanto à confiabilidade dos indivíduos conforme decisões automatizadas de classificação dos titulares dos dados pessoais por meio de um sistema de pontuação (scores). De acordo com o Tribunal alemão, trata-se de uma questão que deve ser analisada sob o ponto de vista do processo em si de automatização para a concessão de crédito por meio do score, não se restringindo a avaliar os casos em que o crédito é denegado a determinado indivíduo (FPF, 2022, p. 47). Como esse caso influenciará as demais decisões do Poder Judiciário que impactarão os titulares de dados pessoais de forma substancial, o Tribunal de Wiesbaden pretende confirmar com o Tribunal de Justiça da União Europeia a interpretação dada ao artigo 22(1) do GDPR. Diante do exposto, nota-se que, em 2022, provavelmente, verificaremos se o Tribunal de Justiça da União Europeia confirmará o entendimento emitido pelo Comitê Europeu de Proteção de Dados de que o artigo 22(1) deve ser interpretado como uma proibição a priori; devendo o controlador, portanto, evitar utilizar decisões automatizadas que possuam efeitos significativos jurídicos ou similares (decisões automatizadas qualificadas) sobre os titulares dos dados pessoais, salvo nas exceções apresentadas no artigo 22 do GDPR. Conclusões Ao se verificar que a proteção fornecida pelo GDPR é destinada ao titular dos dados pessoais, não aos dados em sim, pode-se notar que a tendência é existir a confirmação do posicionamento do EDPB pelo CJEU, ou seja, a natureza do artigo 22(1) do GDPR será considerada como uma proibição a priori (salvo as exceções apresentadas no Art. 22(2) do GDPR), pois se deve evitar ao máximo o uso recorrente de decisões automatizadas baseadas no uso do profile dos indivíduos, já que se trata de uma elevada concentração de poder nas mãos das empresas e do poder público. Assim, cumpre-nos observar e acompanhar os desdobramentos desse debate, pois, certamente, impactará, ainda que de forma tangencial, o Brasil. Referências BYGRAVE, L.A.. The EU General Data Protection Regulation (GDPR) - A Commentary. Oxford: Oxford Press, 2020, p. 530-532. EDPB/WP29. Guidelines on Automated individual decision-making and profiling for the purposes of Regulation 2016/679 (WP251rev.01), Brussels: EU, 2018, p. 19. FPF (Future of Privacy Forum). Automated Decision-making under the GDPR: practical cases from courts and data protection authorities. Washington: FPF, 2022. QUINTILIANO, Leonardo. Contexto histórico e finalidade da Lei Geral de Proteção de Dados (LGPD). SILVA, Rafael Meira; OLIVEIRA, Cristina Godoy Bernardo de. Inteligência Artificial e proteção de dados: definição de perfil e desafios. Migalhas de Proteção de Dados, 22 jan. 2021. Disponível aqui. Acessado em 01 de junho de 2022.
"Se cada um de nós varresse a frente do nosso lugar, o mundo todo seria limpo."Johann Wolfgang von Goethe   O presente artigo busca analisar as excludentes de responsabilização dos agentes de tratamento de dados pessoais na Lei Geral de Proteção de Dados. Nesse contexto, cabe destacar que tais excludentes estão previstas no artigo 43 da Lei Geral de Proteção de Dados1, dividindo-se em três incisos. O inciso I estabelece a excludente da não realização do tratamento e, por consequência, diz respeito ao dever de registro das operações de tratamento, tanto do operador, quanto do controlador, nos termos do artigo 37 dessa lei2, especialmente quando fundamentado com base no legítimo interesse. Pela inversão do ônus da prova, na maior parte dos casos, este dever de registro explicitará facilmente a hipótese descrita para os fins de se afastar eventual responsabilização.3 O inciso II define a excludente da ausência de ilicitude no tratamento e, assim, designa, também, situações de "exercício regular de direito" de forma similar ao artigo 188, inciso I, do Código Civil. Este inciso deve ser lido levando em consideração os parâmetros estabelecidos pela Lei Geral de Proteção de Dados, tais como o dever de registro, nos termos do artigo 37, o dever geral de segurança, previsto no artigo 46, e os deveres de boas práticas e de governança descritas no artigo 50. Diante da situação em que não ocorre ato ilícito - ou seja, inexiste violação à legislação de proteção de dados -, com o operador e o controlador respeitando o dever geral de segurança, não há responsabilização dos agentes de tratamento. Por exemplo, se uma decisão automatizada, baseada em critérios transparentes, sem nenhum viés, e devidamente fundamentada, negar um empréstimo a alguém, não haveria nenhuma responsabilização aos agentes de tratamento, já que não ocorreu violação à legislação de proteção de dados.4 Por fim, o inciso III incorpora o fato da vítima (titular de dados) e o fato de terceiros como excludentes de responsabilização - excludentes, aliás, clássicas da responsabilidade civil e já, previstas, por exemplo, na legislação consumerista (artigo 12, § 3º, inciso III, do CDC, que prevê a excludente de responsabilização do fornecedor em caso de culpa exclusiva do consumidor ou de terceiro). Diante deste contexto, conceitua-se o fato exclusivo da vítima como o evento que se identifica como causa necessária de um dano sofrido por ela, e cuja realização só possa ser a ela imputável.5 Destacam-se situações em que, mesmo com a diligência dos agentes para garantir a maior segurança possível no tratamento de dados, o titular dos dados, na sua pessoa, incorra ao dano - como, a título exemplificativo, ao disponibilizar seus dados, mesmo não sendo hipossuficiente, a sítios eletrônicos que claramente não são confiáveis, ou ao não atualizarem periodicamente os seus aplicativos nos seus celulares. Aliás, a esse respeito, há o entendimento de ocorrer fato exclusivo do usuário quando este, sem o devido cuidado, e havendo o cumprimento do dever de segurança daquele que prestou o serviço, contribui para o dano.6 Quanto ao fato de terceiro, há uma interrupção do nexo causal, na medida em que não é a conduta do agente a causa necessária à produção de danos.7 No presente ponto, pode-se, por exemplo, questionar a responsabilidade do encarregado, responsável por passar instruções ao controlador e a seus controladores quanto à proteção de dados, em caso de fato exclusivo deste. Causa estranheza que a responsabilização desta figura central para o controle de eventos danosos esteja omissa no artigo 42 dessa lei, que versa apenas sobre a responsabilidade civil do controlador e do operador. Igualmente, questionável se uma invasão cibernética a um sistema que armazena dados pessoais poderia ser imputada como fato de terceiro. Considerando que o sistema de responsabilidade da Lei Geral de Proteção de Dados é centrado num dever geral de segurança8, entende-se que, se o controlador ou o operador demonstrarem que, à época do ataque hacker, trataram os dados com a melhor técnica de segurança da época, pode incidir essa excludente de ilicitude pela ocorrência de fato de terceiro. Aliás, o entendimento de uma responsabilidade centrada num dever de segurança não é novidade no ordenamento jurídico brasileiro: no Código de Defesa do Consumidor, a responsabilidade pelo fato do produto e fato do serviço é fundada no defeito, em que há a possibilidade do fornecedor de afastar a sua responsabilidade quando comprovar que não faltou com a segurança e informações devidas acessíveis através da melhor técnica existente.9 Este é, também, o entendimento do Superior Tribunal de Justiça.10 Inclusive, as excludentes de responsabilidade civil do fabricante, construtor, produtor ou importador, disciplinadas no artigo 12, § 3º, incisos I, II e III, do Código de Defesas do Consumidor11, são bastante similares às excludentes consagradas no artigo 43 da Lei Geral de Proteção de Dados. Nesse mesmo sentido, a jurisprudência dos Tribunais brasileiros entende que, demonstrado o cumprimento do dever de segurança na colocação do produto pelo fornecedor, pode-se alegar o fato de terceiro.12 Assim, é possível aplicar esse entendimento também ao inciso III do artigo 43 da Lei Geral de Proteção de Dados. Por se tratar de uma problemática recente, faz-se necessário cuidado especial na aplicação das excludentes de responsabilidade em processos judiciais que certamente irão interpretar o melhor formato de responsabilização dos agentes de tratamento de dados pessoais. A devida aplicação exige a consideração dos aspectos especiais da disciplina da proteção de dados pessoais e de seu regime especial de responsabilidade civil. __________ 1 Art. 43. Os agentes de tratamento só não serão responsabilizados quando provarem: I - que não realizaram o tratamento de dados pessoais que lhes é atribuído; II - que, embora tenham realizado o tratamento de dados pessoais que lhes é atribuído, não houve violação à legislação de proteção de dados; ou III - que o dano é decorrente de culpa exclusiva do titular dos dados ou de terceiro. 2 Art. 37. O controlador e o operador devem manter registro das operações de tratamento de dados pessoais que realizarem, especialmente quando baseado no legítimo interesse. 3 DRESCH, Rafael de Freitas Valle; FALEIROS JÚNIOR, José Luiz de Moura. Reflexões sobre a responsabilidade civil na Lei Geral de Proteção de Dados (lei 13.709/2018). In: ROSENVALD, Nelson; DRESCH, Rafael de Freitas Valle; WESENDONCK, Tula (Coords.). Responsabilidade civil: novos riscos. Indaiatuba: Foco, 2019, p. 81. 4 CAPANEMA, Walter Aranha. A responsabilidade civil na Lei Geral de Proteção de Dados. Cadernos Jurídicos, São Paulo, ano 21, nº 53, p. 163-170, jan.-mar. 2020, p. 167. 5 MIRAGEM, Bruno Nubens Barbosa. Direito civil: responsabilidade civil. São Paulo: Saraiva, 2015, p. 241. 6 TJRS, 12a. Câmara Cível, Apelação Cível n. 70083485789, Rel. Des. Ana Lúcia Carvalho Pinto Vieira Rebout, j. 10/06/2020. 7 ROSENVALD, Nelson; FARIAS, Cristiano Chaves de; BRAGA NETTO, Felipe Peixoto. Curso de direito civil: responsabilidade civil. Salvador: Juspodvm, 2017, v. 3, p. 431. 8 DRESCH, Rafael de Freitas Valle; FALEIROS JÚNIOR, José Luiz de Moura. Reflexões sobre a responsabilidade civil na Lei Geral de Proteção de Dados (lei 13.709/2018). In: ROSENVALD, Nelson; DRESCH, Rafael de Freitas Valle; WESENDONCK, Tula (Coords.). Responsabilidade civil: novos riscos. Indaiatuba: Foco, 2019, p. 82. 9 DRESCH, Rafael de Freitas Valle. Fundamentos da responsabilidade civil pelo fato do produto e do serviço: um debate jurídico-filosófico entre o formalismo e o funcionalismo no Direito Privado. Porto Alegre: Livraria do Advogado Editora, 2009, p. 126. 10 STJ, REsp. 1.095.271/RS, T4, Rel. Min. Felipe Salomão, j. 07/02/2013, DJe 05/03/2013. 11 Art. 12. O fabricante, o produtor, o construtor, nacional ou estrangeiro, e o importador respondem, independentemente da existência de culpa, pela reparação dos danos causados aos consumidores por defeitos decorrentes de projeto, fabricação, construção, montagem, fórmulas, manipulação, apresentação ou acondicionamento de seus produtos, bem como por informações insuficientes ou inadequadas sobre sua utilização e riscos. (...) § 3° O fabricante, o construtor, o produtor ou importador só não será responsabilizado quando provar: I - que não colocou o produto no mercado; II - que, embora haja colocado o produto no mercado, o defeito inexiste; III - a culpa exclusiva do consumidor ou de terceiro. 12 TJPR, 9ª Câmara Cível, Apelação Cível n. 1727103-5, Rel. Des. Domingos José Perfetto, j. 30/11/2017, DJ 23/01/2018.
A ambiência do metaverso e suas perspectivas  Este despretensioso artigo tem a função de buscar a reflexão sobre o desenvolvimento das relações entre   pessoas e de negócios e os seus possíveis desdobramentos jurídicos em metaverso, com os consequentes desafios inerentes, além de pretender ser o piloto de uma série temática específica destinada a esta coluna de proteção de dados, coordenada com excelência pelos nobres professores.  Preocupa-nos, entre outros temas que serão colocados ao longo deste artigo, a questão da proteção dos titulares de dados pessoais, enquanto usuários dos espaços e ambientes de metaverso.  Há uma incógnita sobre a  coleta e a utilização de dados pessoais que formam o rastro digital deixado pelo usuário em sua navegação nestes espaços virtuais, sejam dados estruturados não estruturados, gerando uma possível coleta para  conjugação com várias bases contidas em  bancos de dados públicos, privados e redes sociais e inserção em sistemas de processamento no modelo big data analytics, possibilitando o fomento do perfilamento, classificação  e interpretação que possa realçar a construção de um potente perfil deste usuário ou gerar a sua ressignificação, a partir da análise da tendência de consumo e de suas preferências, refletindo na vida real e podendo gerar discriminação algorítmica.1 A terminologia metaverso  foi originariamente  grafada no  romance de ficção científica intitulado  "Snow Crash" (Nevasca), de Neal Stephenson, lançado em 1992 e é  utilizada na atualidade  para indicar um tipo de mundo virtual construído a partir de plataformas tecnológicas  que buscam replicar a realidade, formando  um espaço coletivo e virtual compartilhado, constituído pela soma de "realidade virtual", "realidade aumentada" e "Internet".2 Estas plataformas estão capacitadas para as mais diversas especificidades e características, formando espaços não territoriais onde há imersão e interação de pessoas, por meio de imagens criadas e projetadas ou, ainda, por instrumental disponibilizado para as mais diversas atividades, gerando-se ambientes e mundos paralelos reverberados em realidade virtual, que podem ter inúmeros  pontos de contato e interação com o mundo real, possibilitando experiências intelectuais, neurológicas, visuais e, recentemente, sensoriais e olfativas. Acreditando que o metaverso possa ser o caminho futuro provável  da internet e da tecnologia, Mark Zuckerberg, CEO do Facebook, combinou aspectos de realidade virtual com dados sociais da mencionada rede, aliado à  promessa de gerar uma nova experiência de uso do espaço virtual,  e , a partir do ano 2021, realizou a modificação estrutural de sua empresa que passou a denominar-se Meta Platforms Inc., caminhando  mais assertivamente para a construção de tecnologias voltadas para a ampliação de atividades interativas em metaverso.   A ambiência de metaverso e a expansão da experiência de uso e interação entre pessoas de forma tal que se possa replicar as atividades e negócios dos mundos reais, além de ampliar as redes de relacionamento, decorre da evolução tecnológica das plataformas, com o concurso de tecnologias informacionais e de inteligência artificial que proporcionam a experiência da realidade aumentada. Via de regra, estas experiências são concretizadas e exteriorizadas através da possibilidade de o usuário criar o seu próprio Avatar, vocábulo que advém de crença hinduísta que prega a materialização de um ser supremo, divino e celeste na terra, que pode assumir forma humana ou animal. São espíritos de divindades que ocuparão corpos terrestres, como exemplo Krishna e Rama, que são avatares do Deus Vixnu (Vishnu), responsável pela sustentação do universo.3 A palavra avatar foi apropriada em seu sentido figurativo, para significar o processo metamórfico de transformação e mutação onde o ingressante ao metaverso cria uma persona interativa que será dirigida em todas as extensões de sua personalidade neste mundo paralelo, a partir de ferramentas e Inteligência Artificial (I.A), que contribuem para desenvolver as tarefas e atividades quotidianas deste ambiente, gerando a interação e interface entre a realidade aumentada e o mundo real.   Metaverso como campo de interação e desenvolvimento de relações sociais e negócios Entre o final dos anos noventa e início deste século,  foram  comercialmente desenvolvidas e implantadas as plataformas que buscavam gerar as  atividades e experiências em metaversos, entre os quais situam-se Active worlds em 1995, There.com;  Blaxxun  e  a denominada Second Life (S.L) que foi criada no ano de 2003  pela Linden Lab - empresa   fundada por Philip Rosedale em 1999, além de outras voltadas para a simulação de realidade como a OpenSimulator de 2007.   Muito embora no curso do tempo, se tenha pretendido transformar o S.L em um ambiente ativo e tecnológico de realidade virtual,  com o concurso de   parceria  desenvolvida com a empresa  Sansar Social Reach, recentemente houve  modificação  desta trajetória, com o  anúncio  da venda da  plataforma S.L. para a startup  Wookey Project Corp. que seguirá na operação, como noticiado.4 Com o propósito de  criar uma realidade paralela onde usuários poderiam jogar, socializar, trabalhar, comprar e vender propriedades, entre outras atividades, houve muito interesse destes nos primeiros anos de atividades e, dependendo do tipo de uso,  a plataforma funcionava como um jogo, um mero simulador, um comércio virtual ou uma rede social. Com experiências gráficas de tridimensionalidade, havia premissa de liberdade  na oferta deste ambiente, incentivando o usuário a ingressar em uma  nova vida paralela onde poderia ser e se transformar  no que pretendesse,  sem limites para a criatividade, em ambiente de liberdade e  economia virtual própria, complementado com o elemento de rede  social que  possibilitava interação estrita,  relacionamentos amorosos virtuais e reais. O sistema era  formado por duas partes: o cliente que ingressava  através de um download no site oficial, passando a operar e construir os seus  espaços  interativos e o servidor. Na comemoração dos 10 anos do lançamento do jogo, a Linden Lab anunciou que o Second Life ganharia conexões externas. Com isso, trouxe suporte oficial do Facebook, em uma tentativa de criar uma experiência melhor integrada entre a vida real e virtual, das pessoas que poderiam compartilhar as suas fotos, entre outros interesses. Este metaverso possuía jornal interno (S.L.Herald), negócios  e economia própria e nestes tantos anos de funcionamento, passou por dezenas de patchs de atualização, gerando evolução tecnológica com reflexos na percepção do usuário, tanto nos efeitos  visuais  e de iluminação dos ambientes, como nas feições e características dos avatares, que passaram a ser dotados de mais animação e de vozes. Mesmo que hoje se expandam negócios virtuais de criptoativos ou criptomoedas, é fato que o sistema  S.L, desde seu inicio de operação, criou uma  moeda própria denominada Linden Dollar (também grafado como L$), levando o mesmo nome da empresa mantenedora (Linden), que obviamente não teria valor algum direto no "mundo real". Todavia, apesar de não ter valor real direto, o Linden Dollar poderia ser convertido para dólares americanos e também era  possível  comprar Linden Dollar através do sites especificos e com o uso de cartão de crédito internacional, respeitando sempre os limites pré-estabelecidos pela administração do sistema. A moeda virtual possuía valor flutuante em relação ao dólar americano, ou seja, seu valor poderia variar a qualquer momento. Em 25 de maio de 2007 cada Linden Dollar estava valendo aprox. R$ 0,0077 (menos de um centavo de real) e hoje um  Linden Dollar é igual a $0.00313 (USD).5 Do ponto de vista jurídico, a empresa servidora destas plataformas, pode ser vista como provedora de conteúdo multidisciplinar onde há relação de consumo entre usuários (operadores de avatares) e o criador do sistema operacional. Há também uma relação de consumo entre fornecedores de produtos e serviços em ambiente virtual quando estes se refletem no mundo material, após a aquisição efetivada no ambiente de metaverso, por meio de avatar, mas operada por consumidor real. Há relação contratual entre as partes sempre que esta for a natureza das mesmas e houver a vontade de se efetivar negócios jurídicos com repercussão interna ou externa. Pode haver relações assemelhadas às existentes em mundo real, quando da interação entre estes dois mundos. (Exemplo. Compra e venda de bens e imóveis em espaço virtual ou no mundo real.  Direito sucessórios sobre eventuais direitos de uso ou apossamento de bens e áreas virtuais obtidos em metaversos e que foram instrumentalizados pela pessoa através de seu avatar, etc.) Não são poucos os demais exemplos de metaversos destinados às inúmeras atividades especificas, entre os quais se apresentam Star Wars Galaxies- Lineage- Ever Quest - GuildWars- Torneo Poker. Há ainda o Decentreland, a   VRChat que  é uma plataforma online de mundos virtuais, criada pela VRChat, Inc em 2014 para permitir a  interação direta entre os usuários através de voz e gestos, possibilitando maior imersão com o uso de Óculos de R.V. e a criação de seu próprio mundo ou avatar semelhantes ao usuário  na vida real, ou destoando da realidade, podendo criar personagens fictícios, monstros, dentre outros, como também criar mundos que simulem um ambiente real, como um bairro ou escritório. E, finalmente, tanto o  Roblox que  foi criado em 2006 como metaverso de múltiplos jogos e atividades integradas a outros desenvolvedores, como o  Fortnite, que a partir da Battle royale, permite assistir a curtas animados e apresentações musicais, são metaversos utilizados mundialmente  também por crianças e adolescentes, ensejando o necessário cuidado e a proteção adequada. Inúmeras experiências culturais e educacionais foram testadas e implementadas em metaversos desde a criação destes ambientes. O Museu de História Natural de Florença apresentou em S.L. a mostra Maskio-La Natura dell"uomo que somente aconteceria no mundo real, tempos depois. A Universidade de Harvard implantou em metaverso uma unidade, em experiência seguida à época no Brasil, por inúmeras universidades públicas e privadas brasileiras que pretendiam instalar neste metaterritorio, um ponto de presença visando a ampliação de suas atividades e serviços educacionais.6 Segundo informes da época (19/08/2007) em busca de experiências no mundo virtual 3D e relacionamentos com empresas e instituições de ensino internacionais, as Universidades USP, PUC-SP, Cásper Líbero e Mackenzie, ao lado da UNB e da Universidade Federal de Minas, ganharam auditório e terreno, numa parceria com a IG/Kaizen, para desbravar o mundo virtual.7 Talvez ainda não se tenham elementos concretos e análises de resultados destas experiências educacionais, todavia é fato que estas são reais e alvissareiras e, com o incremento tecnológico, ampliam-se as possibilidades de ensino mais assertivo da experiencia de sala de aula, a partir de ambiente possibilitado pelas inovações e evolução tecnológica de metaverso. Registra-se neste campo, o produto desenvolvido pela Meta, consistente da idealização de luvas hápticas sensíveis ao tato, capazes de transmitir sensações interativas ao usuário, com relação aos objetos virtuais para o mundo real, que podem ser ampliadas quando aliadas ao uso dos óculos RV, gerando experiência visual e sensorial inimaginável.8  No campo dos negócios empresariais, também foram inúmeros os projetos e as experiências implantadas em metaverso, desde as experiências pioneiras como a da Petrobras que transmitiu palestra técnica simultânea ao mundo real, em S.L. em auditório virtual composto por avatares funcionários e executivos convidados. No segmento dos negócios imobiliários, Incorporadoras, construtoras e comercializadoras, criaram cópias virtuais de edifícios que lançariam no mundo real onde os consumidores poderiam interagir em três dimensões e decorar os apartamentos além de terem a experiência de realidade ampliada. Instituições Financeiras como o Banco Wells Fargo, constituíram ferramentas hábeis para operação e ofertas em metaverso. Empresas como a IBM aceleraram o seu ingresso nos mundos virtuais, com um investimento de cerca de milhões de dólares para a expansão de sua presença no popular universo tridimensional. A loja da Bumbum Ipanema foi uma das primeiras lojas virtuais a se instalarem em SL, para oferta de produtos de marca real da moda brasileira. A potencialidade de negócios em metaverso com reflexos no mundo real, já era conhecida desde seu lançamento. Tornou-se emblemático à época, o caso Anshe Chung Studios instalado em S.L para operações relacionadas ao mercado imobiliário por meio de seu avatar de mesmo nome, operado por Ailin Graef como proprietária virtual de imóveis e realizadora de negócios de compra, desenvolvimento, aluguel ou revenda de terrenos virtuais, contabilizando uma fortuna de mais de US$ 1 milhão nestas operações, culminando por ser objeto de matérias em diversos periódicos mundiais.9 As empresas operadoras destas plataformas, estão permitindo que indivíduos criem e titularizem avatares que possam se candidatar a empregos e construir carreiras no metaverso, ganhando dinheiro real. As oportunidades empreendedoras em metaverso são incontáveis, a exemplo da realização de operações de tokenização de avatares e de bens internos. Recentemente foi noticiado que a empresa sediada em Cingapura OWNFT World planeja lançar o projeto 'Guardiões da Moda', ou GOF, fruto de sua parceria com a Warner Music Group e com redes de streaming e marcas de moda, para produzir vídeos e shows.  Fruto desta operação, serão criados 6.888 tokens não fungíveis de avatares (Non-Fungible Token - NFTs) construídos na blockchain Ethereum, onde cada usuário poderá lançar seu avatar NFT - que custará 0,18 ETH (R$ 2,7 mil) cada - para estrelar em desfiles de moda virtuais, videoclipes e séries animadas. Segundo noticiado, quando um avatar é lançado em um programa ou vídeo, seu proprietário recebe uma parte da receita por meio de tokens da comunidade GOF, que podem ser trocados por outros ativos digitais como stablecoins, uma classe de criptomoedas atrelada a um ativo de reserva 'estável' como dólar americano, por meio de uma bolsa descentralizada.10 Serviços jurídicos e de justiça operados em metaverso Já no campo dos serviços jurídicos, o exercício da advocacia por meio de escritórios instalados em ambiente virtual nos moldes SL, não é novidade. A Seção de São Paulo da Ordem dos Advogados do Brasil emitiu posição no Proc. E-3.472/2007 de 18/07/2007 que foi ementada da seguinte forma: "Exercício da advocacia - escritório em ambiente virtual second life - sigilo profissional e inviolabilidade do escritório inexistentes - ausência de relação de pessoalidade - vedação - publicidade por meio da prestação de serviços advocatícios em jogo virtual - impossibilidade." O ponto fulcral desta questão, residiu no fato do reconhecimento pela entidade de classe de que   o Second Life, além de um jogo, constitui um ambiente de relacionamento online que oferece a possibilidade de realização de negócios com repercussão econômica e jurídica no mundo real. A utilização do referido ambiente por advogados para mero relacionamento ou jogo, escapa à competência da OAB. No entanto, afirmou a OAB/SP que se o advogado utiliza o referido ambiente virtual para obter clientes, com ou sem remuneração, a quem serão prestados, no ambiente eletrônico ou fora dele, serviços advocatícios efetivos, as regras legais e éticas aplicáveis aos advogados, sem sombra de dúvida, hão de incidir. Entendeu o órgão  de classe que, além da quebra do princípio da pessoalidade que deve presidir a relação cliente-advogado,  não há como garantir-se o sigilo profissional do advogado, o que inviabiliza a abertura e manutenção de um escritório virtual de advocacia, por sua própria natureza, pois não se revestiria da basilar inviolabilidade e do indispensável sigilo dos seus arquivos e registros, contrariando o direito-dever previsto no art. 7º, II, do EAOAB , além do que a  publicidade,  não se coadunaria com os princípios insculpidos no CED e no Prov. 94/2000 do Conselho Federal.11 Recentemente a ConJur retomou o tema e ouviu especialistas da matéria  que foram unânimes no sentido de se manter cautela nas atividades de advocacia em metaverso, apresentando os desafios futuros decorrentes da preservação da privacidade, dos valores éticos da classe e da proteção dos dados dos titulares.12 Mas, é fato que, se a tecnologia prosseguir em expansão, muitos dos negócios do mundo real serão replicados nos metaversos concernentes e apropriados, gerando a ampliação de redes de distribuição de produtos e de serviços de forma globalizada. Neste contexto, escritórios prestadores de serviços jurídicos sediados em países que possuam menor potencial restritivo à advocacia, terão destaque na oferta e na captação de demandas, além de proporcionar aos clientes, novas formas e experiências de atendimento eficiente, sem desprezo da qualidade. Considerando-se que metaversos situam-se em espaços não territoriais, importante discussão sobre níveis de eticidade e de cumprimento de regras locais nos países de origem, com relação aos seus órgãos de classe ocorrerão. Todavia, como a OAB se flexibiliza em vários pontos, a exemplo da publicidade e informação da advocacia, consoante se depreende do provimento nº 205/2021 que trata, inclusive, de marketing jurídico na publicidade, decerto a visão inicial mencionada, passará também por transformação para possibilitar o exercício de atividades especificas de advocacia em metaverso, respeitados os regramentos éticos.13  Já no tocante às atividades voltadas para a solução de conflitos em metaverso ou, ainda, o uso deste ambiente para facilitar a realização da justiça, observamos que  há experiências pioneiras como a levada à efeito pelo Ministério da Justiça de Portugal que lançou no ano de 2.007, uma plataforma para operar em metaversos o que denominou de "E-Justice Centre", que era consistente de uma corte com atendimento diário e aberta a todos os residentes do mundo virtual  Second Life. Esta experiência contemplou também um centro de mediação e arbitragem, que visava gerar a segurança necessária para transações comerciais e outros tipos de relações virtuais.14 Tratava-se de uma espécie de tribunal exclusivo para causas "intramundo", que julgava avatares, e não seus representantes no mundo real. Em notícias da época, observou-se que o serviço era prestado em português, e deveria atrair avatares brasileiros. O lançamento foi feito pelo Secretário de Estado da Justiça da época, João Tiago Silveira que informou que o "E-Justice Centre" seguiria as leis do país de origem dos avatares. Em caso de nacionalidades diferentes, se levaria em conta a legislação norte-americana (onde estavam os servidores da Linden Lab à época) e o direito internacional.  Não se tem notícias atuais acerca da evolução destes modelos buscando a solução de conflitos em metaverso, mas, pode ser um dos tantos caminhos e uma tendência na busca da pacificação social.15  Já no que tange ao uso do metaverso no cenário judicial brasileiro,  o Conselho Nacional de Justiça (CNJ)  pretende construir uma plataforma blockchain até 2030, para gerar mais eficiência e transparência nas atividades jurisdicionais. A utilização de tecnologia e de I.A., possibilitará que certas atividades do dia a dia possam ser desenvolvidas também em metaversos, como sistemas de audiência judicial. Recentemente, o Conselho Nacional de Justiça realizou uma audiência pública com vistas a buscar a padronização dos Portais dos Tribunais para uniformizar a linguagem para uma comunicação integrada entre os tribunais e atingir o maior acesso dos cidadãos aos serviços da Justiça.16  A possibilidade de exploração das tecnologias voltadas ao metaverso e de blockchain, também é estudada em vários tribunais brasileiros.  Em evento recente realizado no Tribunal de Justiça de Santa Catarina (TJSC), voltado para a discussão de um Judiciário Exponencial como desafio para a justiça, estes temas foram tratados com acuidade, com destaque para o potencial de uso das criptomoedas e blockchain, além da Regulação do metaverso como um dos novos desafios da justiça.17  Onde há economia, deve estar também o Direito na sua principiologia e amplitude protetiva. Os desafios do metaverso são relevantes e merecem amplo debate temático, visando a possibilidade de sua utilização para fomentar riquezas e desenvolver atividade empresarial ordenada, sem se afastar de conquistas sociais e dos direitos à privacidade, proteção do titular de dados pessoais e dignidade da pessoa humana. Além dos cuidados específicos para se detectar preventivamente que metaversos se transformem em bolhas sistêmicas que possam gerar prejuízos incomensuráveis aos usuários, há que se ter atenção para com a possibilidade de criação de metaversos em ambientes hostis no modelo "deep web", gerando ou visando ilicitudes das mais diversas. Temas desafiadores merecem o olhar dos pesquisadores, entre os quais elencamos a  solução de  controvérsias  e a  prestação de serviços  jurídicos em metaterritório, arbitragem em ambiente virtual, jurisdição e  legislações aplicáveis  em  caso de conflito, questões voltadas para a relação de trabalho e Inclusão social em geral e de pessoas portadoras de necessidades especiais; relação de consumo e oferta  em metaverso; cybercrimes, lavagem de dinheiro e pedofilia em ambiente digital, no sentido de se coibir a prática por meio de sistema de informática ou telemático, fotografia, vídeo ou outro registro que contenha cena de sexo explícito ou pornográfica envolvendo criança ou adolescente, nos termos do Art. 241-A do ECA. Enfim, aliado ao movimento de robotização algorítmica de tribunais como forma de gerar melhor resposta da justiça, na replicação de modelos jurídicos usuais para ambientes externos como metaversos, independente das ferramentas tecnológicas deve-se observar as premissas e pressupostos de cidadania. Conclusão Se através do metaverso e das tecnologias, se pode criar uma vida paralela e um "persona" que se animará nestes "mundos", deve-se guardar sintonia para que nestas interações, não se reduzam as conquistas sociais e econômicas do "mundo real", afastando-se os padrões negativos e hostis que geram tanta destruição e desconformação.   Caberá aos usuários de  nosso tempo e aos criadores desta ambiência virtual, guardar comprometimento com as conquistas sociais e princípios constitucionais, objetivando a  evolução social,  em qualquer dos mundos que se resolva habitar ou interagir, sempre preservadas as suas característica criadoras e objetivos, contribuindo para o aperfeiçoamento das instituições e, consequentemente, a melhoria do mundo real, sempre com a certeza de que o metaverso,  na forma como ora se instituiu e se apresentou, é  tudo o que pode ser e ainda não é. Referências 1 Disponível aqui 2 Disponível aqui 3 Disponível aqui 4 Disponível aqui 5 Disponível aqui 6 Disponível aqui 7 Disponível aqui 8 Disponível aqui 9 Disponível aqui 10 Disponível aqui 11 Disponível aqui  12 Conjur 13 Conjur 14 Disponível aqui. 15 Disponível aqui. 16 Disponível aqui. 17 Disponível aqui.
O PL 21/20201 - que estabelece fundamentos, princípios e diretrizes para o desenvolvimento e aplicação da inteligência artificial no Brasil, e dá outras providências - dispõe no inciso VI do artigo 6º, que "Art. 6º Ao disciplinar a aplicação de inteligência artificial, o poder público deve observar as seguintes diretrizes: VI - responsabilidade: normas sobre responsabilidade dos agentes que atuam na cadeia de desenvolvimento e operação de sistemas de inteligência artificial devem, salvo disposição em contrário, se pautar na responsabilidade subjetiva, levar em consideração a efetiva participação desses agentes, os danos específicos que se deseja evitar ou remediar, e como esses agentes podem demonstrar adequação às normas aplicáveis por meio de esforços razoáveis compatíveis com padrões internacionais e melhores práticas de mercado". Partindo do micro para o macro, nos limites desta coluna, pretendo perfilhar seis argumentos que demonstram o equívoco de uma opção legislativa datada e descontextualizada, na expectativa de que o conjunto de Audiências Públicas da Comissão de Juristas dos Senado destinada a elaborar substitutivo de Projeto de Lei possa alcançar uma racionalidade distinta. O equívoco de se acolher uma responsabilidade subjetiva em abstrato Este é o pecado original. De forma açodada a comunidade jurídica é informada que o legislador pretende submeter a responsabilidade civil a um grau máximo de simplificação, em flagrante contradição à complexidade inerente ao desafio que se quer regular. Algoritmos são contextualizados e demandam soluções específicas para problemas específicos. Fato é que as tecnologias digitais emergentes dificultam a aplicação de regras de responsabilidade subjetiva, devido à falta de modelos bem estabelecidos para seu funcionamento adequado e à possibilidade de seu desenvolvimento como resultado de aprendizado sem controle humano direto, o que impede o conhecimento das consequências concretas. Necessário se faz, considerar, a tipologia e a autonomia em concreto da IA envolvida no dano. Ilustrativamente, a responsabilidade civil veste distintos figurinos para smart contracts, cirurgias robóticas e carros autônomos. a complexidade dos sistemas de Inteligência Artificial. Aliás, "Uma mesma tipologia, como é o caso dos carros autônomos, pode ter diversos graus de autonomia em relação ao condutor humano. Significa dizer que eventualmente pode haver diferentes regimes aplicáveis dentro de uma única tipologia".2 A Europa caminha prudentemente. A Resolução do Parlamento Europeu, de 3 de maio de 2022, sobre a inteligência artificial na era digital (2020/2266(INI), não pretende exaurir o debate, porém pretende avançar na discussão transnacional, salientando que: "146. devido às características dos sistemas de IA, como a sua complexidade, conectividade, opacidade, vulnerabilidade, possibilidade de sofrer alterações através de atualizações, capacidade de autoaprendizagem e potencial autonomia, bem como à multiplicidade de intervenientes envolvidos na sua criação, implantação e utilização, a eficácia das disposições do quadro de responsabilidade nacional e da União enfrenta desafios consideráveis; considera, por conseguinte, que, embora não haja necessidade de proceder a uma revisão completa dos regimes de responsabilidade funcionais, é necessário proceder a ajustamentos específicos e coordenados dos regimes de responsabilidade europeus e nacionais para evitar que as pessoas que sofrem danos ou cujos bens são danificados acabem por não ser indemnizadas; especifica que, embora os sistemas de IA de alto risco devam ser abrangidos pela legislação em matéria de responsabilidade objetiva, a que se deve juntar um seguro obrigatório, todas as outras atividades, dispositivos ou processos baseados em sistemas de IA que causem danos ou prejuízos devem continuar a estar sujeitos à responsabilidade culposa; considera que as pessoas afetadas devem, contudo, beneficiar da presunção de culpa por parte do operador, a menos que este seja capaz de provar que respeitou o seu dever de diligência".3 A simples alusão a apenas um extrato da recente Resolução do Parlamento Europeu, evidencia inequivocamente que o substitutivo ao PL 21 de 2020 coloca-nos na superfície de um contexto que oferece múltiplas camadas, algumas visíveis, outras um tanto quanto sutis. Para não sermos injustos em termos de rotular a responsabilidade subjetiva como única alternativa da proposta, o art. 6o, § 4o reproduz a redação do art. 37, §6o da CRFB/1988, ao estatuir a responsabilidade objetiva das pessoas jurídicas de direito público e as de direito privado prestadoras de serviços públicos. Nada mais natural do que compatibilizar o PL com o texto constitucional, na linha da teoria do risco administrativo. Na mesma toada, seguindo o desenvolvimento dos artigos 12 e 14 do CDC, o § 3º preconiza que quando a utilização do sistema de inteligência artificial envolver relações de consumo, o agente responderá independentemente de culpa pela reparação dos danos causados aos consumidores. A convocação das normas constitucional e consumerista reproduz dois paradoxos: a um, uma evidente contraposição de regimes de responsabilidades desprovida de justificativa, realçando a fragilidade do modelo subjetivo; a dois, a própria inaplicabilidade prática da responsabilidade subjetiva, pois para além das hipóteses de atribuição de danos ao Estado ou a fornecedores - em vista do conceito lato de consumidor - dificilmente observaríamos potenciais vitimas de sistemas de IA fora de tal binômio. A imprecisão da expressão "responsabilidade subjetiva" A utilização da expressão "responsabilidade subjetiva" no projeto por si só já acarreta insegurança jurídica. O Direito é uma ciência linguisticamente convencionada e os conceitos jurídicos também. O termo francês "faute", por vezes se torna um conceito inatingível, prestando-se a múltiplos significados. A Culpa se tornou uma expressão polissêmica. Se é certo que dentro de um sistema encontramos significado para as palavras, foi a partir de IHERING, que passamos a compreender que a responsabilidade civil tem a ver com ilicitude e culpa. Esta é uma incursão de muitas décadas, inclusive no sistema Lusófano, que prestigiou a base da responsabilidade aquiliana de matriz alemã. Portanto, ilícito e culpa são conceitos que não se confundem. A objetiva violação de um dever de cuidado (ilicitude) é pré-requisito para a culpa, mas dela se aparta em quase todos os sistemas jurídicos. A exceção é o Código Civil Francês. Ao contrário do Código Alemão, que expressamente requer a ilicitude como condição de responsabilidade - com anterioridade à culpa - na perspectiva francesa, a ilicitude não se autonomiza da culpa, tornando-se elemento dela, pois o legislador requer a existência de culpa sem que se faça referência normativa à ilicitude. O Código Reale exige da doutrina uma atitude de balizamento do fato ilícito como pressuposto da responsabilidade civil autônomo ao da culpa, ao estipular em seu artigo 927: "Aquele que, por ato ilícito (arts. 186 e 187), causar dano a outrem, fica obrigado a repará-lo". O legislador não apenas autonomizou, como agregou dois preceitos qualificadores do conceito da ilicitude. Os artigos 186 e 187 são duas pequenas cláusulas gerais de responsabilidade que concretizam as situações de ilicitude que fundamentam a responsabilidade civil do agente.  Enquanto o artigo 186 do CC estabelece que a ilicitude decorre da violação de um direito subjetivo, o artigo 187 estatui que ilícitos também se qualificam pelo abuso do direito. Como apartar culpa e ilicitude dentro de nossas especificidades? Um ato é qualificado como antijurídico por objetivamente divergir da conduta exterior que a norma indicava como correta, sem que isto tenha relação com o processo psicológico que orienta a atividade humana. O juízo moral de censura sobre o comportamento do agente (culpa) - que podia e devia ter agido de outro modo conforme as circunstâncias do caso - não se confunde com contrariedade da conduta lesiva a um comando legal.  A ilicitude em nada conflita com a culpa. São distintos pressupostos da teoria subjetiva da responsabilidade civil. Aliás, a responsabilidade subjetiva pretendida no projeto sequer se iguala com a residual culpa presumida da Resolução do Parlamento Europeu, de 20 de outubro de 2020. A teoria da culpa presumida foi uma primeira evolução na concepção da responsabilidade subjetiva pura, proporcionando uma inversão do ônus da prova. Com efeito, pode haver problemas com a comprovação do ilícito derivado das tecnologias digitais emergentes. Geralmente, a vítima deve provar que o agente (ou alguém cuja conduta lhe é atribuível) foi culpado. Portanto, a vítima não precisa apenas identificar quais deveres de cuidados o réu deveria ter cumprido, mas também provar ao tribunal que esses deveres foram violados, fornecendo evidências de como ocorreu o evento que deu origem ao dano. Tal racionalidade apenas beneficia o agente algorítmico, a final, quanto mais complexas as circunstâncias que levam ao dano, mais difícil será identificar evidências relevantes. Daí a importância das presunções de culpa. Cabe ao suposto ofensor demonstrar que o dano estava fora de sua esfera de previsibilidade.  O fetiche da dicotomia responsabilidade subjetiva x objetiva Há uma disseminada ideia quanto ao fato de que as responsabilidades subjetiva e objetiva representam distintos paradigmas do direito de danos. Trata-se de um equívoco. Na verdade, o que há é um "continuum", sendo que as imputações subjetiva e objetiva de danos consistem apenas em dois extremos de uma longa linha reta, em um perímetro que acomoda várias figuras intermediárias com distintos nexos de imputação, até que se alcance a teoria do risco integral. Aliás, algumas hipóteses legais que o senso comum já traduziu como incidências de responsabilidade objetiva não se acomodam verdadeiramente à exatidão que esse conceito demanda, em verdade, são cidades que se encontram no caminho. A responsabilidade objetiva é uma responsabilidade independente da existência de um ilícito. Tanto faz se o agente praticou um comportamento antijurídico ou não, pois esse debate é infenso ao objeto da sentença. Para o magistrado só importa o nexo causal entre a conduta/atividade do agente e o dano. Nada obstante, muitos insistem em compreender a obrigação objetiva de indenizar como uma espécie de "responsabilidade sem culpa". Todavia, os conceitos não se equivalem. Tradicionalmente a culpa representa o elemento psicológico do agente. Por isso, somente será possível avançar na perquirição do estado anímico do ofensor se, conforme a cláusula geral do art. 186 do Código Civil, ficar previamente assentado que o comportamento de A foi a causa ilícita adequada do dano a B. Mais precisamente, a aferição da culpa necessariamente requer a prévia afirmação da ilicitude do fato danoso. O que ocorre é que, nas reais hipóteses de incidência da teoria objetiva, essa questão não está em jogo, pois o legislador ou o tribunal consideram que o fator de atribuição da obrigação de compensar danos (nexo de imputação) recebe justificação diversa do fato ilícito (v.g. equidade, dever de cuidado, risco da atividade). A precisão técnica é abandonada quando o civilista insiste em descrever como hipóteses de responsabilidade objetiva, a responsabilidade do fornecedor por danos derivados de produtos e serviços defeituosos (arts. 12 e 14, CDC). Talvez, seja melhor compreendê-la como uma "responsabilidade civil subjetiva com alto grau de objetividade".4 O "defeito" é um fato antijurídico, uma desconformidade entre um padrão esperado de qualidade de um bem ou de uma atividade e a insegurança a que efetivamente foi exposta a incolumidade psicofísica do consumidor. O CDC abole a discussão da culpa, mas sem que se evidencie a ilicitude do defeito (sujeita a inversão do ônus probatório), inexiste responsabilidade, mesmo se evidenciado o dano patrimonial e/ou moral. Em sentido diverso, no Código Civil, a responsabilidade objetiva pelo risco pede apenas que a atividade danosa seja indutora de um risco anormal, excessivo no cotejo com as demais atividades, por ser apta a produzir danos quantitativamente numerosos ou qualitativamente graves, independentemente da constatação de um defeito ou perigo. Isto é, por mais que seja exercitada com absoluto zelo, não se indaga se A exercia uma "atividade de risco", pois pela própria dinâmica dos fatos, mesmo que exercida por B, C ou D, os danos decorreriam do "risco intrínseco da atividade". Em complemento, a responsabilidade vicária dos patrões pelos fatos danosos de seus auxiliares, é alheia a um ilícito do empregador (art. 933, CC). Aplica-se o princípio, "let the superior answer", desde que o representante esteja agindo em nome do representado e em benefício deste. Todavia, somente será possível imputar obrigação de indenizar em face da pessoa jurídica, caso seja previamente comprovado o ilícito culposo do funcionário. Se o dano produzido pelo empregado não corresponde à violação de um dever de cuidado, fecha-se a via de acesso ao empregador. Alguns chamariam isso de responsabilidade objetiva "impura", por demandar aferição de culpa no antecedente (empregado) e a sua dispensa no consequente (patrão). Contudo, a autêntica responsabilidade objetiva requer tão somente a violação de um interesse jurídico protegido, elidindo-se considerações sobre a antijuridicidade. Esta discussão é relevante para fins de IA, pois se cogitarmos das hipóteses de responsabilidade civil indireta pelo fato de outrem (patrões por empregados, pais por filhos menores, curadores por curatelados), e responsabilidade pelo fato da coisa - seja esta uma coisa inanimada ou um dano provocado por animal - pela primeira vez, sistemas jurídicos responsabilizarão humanos pelo que a inteligência artificial "decide" fazer. Além disso, esse tipo de responsabilidade dependerá crucialmente dos diferentes tipos de robôs com os quais se está a lidar: robô babá, robô brinquedo, robô motorista, robô funcionário, e assim por diante. Em suma, o conceito de responsabilidade indireta é considerado por alguns como possível catalisador para argumentar que operadores de máquinas, computadores, robôs ou tecnologias semelhantes também serão objetivamente responsáveis por suas operações, com base em uma analogia com a responsabilidade indireta. Quando o dano for causado por tecnologia autônoma usada de uma maneira funcionalmente equivalente ao emprego de auxiliares humanos, a responsabilidade do operador pelo uso da tecnologia deve corresponder ao regime de responsabilidade indireta de um empregador para esses auxiliares. A pergunta óbvia é a seguinte: tudo isto será considerado como responsabilidade subjetiva como deseja o PL 21/20? Este é mais um argumento em prol de uma regulação que aposte em específicos nexos de imputação dentro de parâmetros objetivos flexíveis que acompanhem a inovação tecnológica. A 1. Camada adicional da responsabilidade civil na IA: accountability A melhor forma de regular a IA não reside no campo da liability, porém nas camadas adicionais da accountability e answerability. O termo "responsabilidade" (liability) conforme inserido no Código Civil, resume-se ao exato fator de atribuição e qualificação da obrigação de indenizar, para que se proceda à reparação integral de danos patrimoniais e extrapatrimoniais a serem transferidos da esfera da vítima para o patrimônio dos causadores de danos. Todavia, este é apenas um dos sentidos da responsabilidade, os demais se encontram ocultos sob o signo unívoco da linguagem. Palavras muitas vezes servem como redomas de compreensão do sentido, sendo que a polissemia da responsabilidade nos auxilia a escapar do monopólio da função compensatória da responsabilidade civil (liability), como se ela se resumisse ao pagamento de uma quantia em dinheiro apta a repor o ofendido na situação pré-danosa. Ao lado dela, colocam-se três outros vocábulos: "responsibility", "accountability" e "answerability". Os três podem ser traduzidos em nossa língua de maneira direta com o significado de responsabilidade, mas na verdade diferem do sentido monopolístico que as jurisdições da civil law conferem a liability, como palco iluminado da responsabilidade civil (artigos 927 a 954 do Código Civil). Em comum, os três vocábulos transcendem a função judicial de desfazimento de prejuízos, conferindo novas camadas à responsabilidade, capazes de responder à complexidade e velocidade dos arranjos sociais O PL 21/20 se aferra a tradicional a eficácia condenatória de uma sentença como resultado da apuração de um nexo causal entre uma conduta e um dano, acrescida por outros elementos conforme o nexo de imputação concreto. A liability é a parte visível do iceberg, manifestando-se ex post - após a eclosão do dano -, irradiando o princípio da reparação integral. Entretanto, a liability não é o epicentro da responsabilidade civil, mas apenas a sua epiderme. Em verdade, trata-se apenas de um last resort para aquilo que se pretende da responsabilidade civil no século XXI, destacadamente na tutela das situações existenciais, uma vez que a definição de regramentos próprios não advém de uma observação ontológica (ser), mas de uma expectativa deontológica (dever-ser) da interação entre inovação e regulação em um ecossistema no qual o risco é inerente às atividades exploradas.5 A "accountability", amplia o espectro da responsabilidade civil, mediante a inclusão de parâmetros regulatórios preventivos, que promovem uma interação entre a liability do Código Civil com uma regulamentação voltada à inserção de regras de boas práticas que estabeleçam procedimentos, normas de segurança e padrões técnicos. Se no plano da LGPD (art. 50) a governança de dados, materializa-se no compliance como planificação para os riscos de maior impacto negativo, em sede de IA, em sua vertente ex post, a accountability atua como um guia para o magistrado e outras autoridades, tanto para identificar e quantificar responsabilidades, como para estabelecer os remédios mais adequados. Assim, ao invés do juiz se socorrer da discricionariedade para aferir o risco intrínseco de uma certa atividade por sua elevada danosidade (parágrafo único, art. 927 CC) - o desincentivo ao empreendedorismo é a reação dos agentes econômicos à insegurança jurídica -, estabelecem-se padrões e garantias instrumentais que atuam como parâmetros objetivos para a mensuração do risco em comparação com outras atividades. Já não se trata apenas de considerar, a tipologia e a autonomia em concreto da específica IA envolvida no dano para nos definirmos pela incidência da cláusula geral do risco da atividade ou de outro nexo de imputação, porém, de diante de um determinado evento lesivo no qual se constate efetivamente uma atividade geradora de risco inerente, perquirirmos o desempenho real do agente em cotejo com o desempenho esperado em segurança dentro daquele setor do mercado para fins de eventualmente se impor uma mitigação da indenização, a teor do  parágrafo único do art. 944 do CC. Trata-se assentir com a existência de uma função promocional da responsabilidade civil, mediante a reinserção da ética nas rotinas interpessoais. As sanções positivas atuam de maneira a provocar nos indivíduos o exercício de sua autonomia para alterar sua forma de comportamento. A ideia de 'encorajamento' está ancorada no pensamento de Norberto Bobbio, que sinaliza que, além de compensar, punir e prevenir danos, a responsabilidade civil deve criteriosamente recompensar a virtude e os comportamentos benevolentes de pessoas naturais e jurídicas.  Por certo, o artigo 944 do CC pode ser o ponto de partida para alargarmos os horizontes da responsabilidade civil, destacando a sua função promocional e o investimento na reputação como fundamental ativo imaterial de agentes econômicos, em uma era primada pela corrida por incentivos, hoje enucleados na conhecida sigla ESG. Para aqueles que postulam pela accountability como critério decisivo para a incidência da responsabilidade subjetiva no PL 21/20, quando determinada atividade econômica, pela sua própria natureza, independentemente de quem a promova, oferece riscos que a experiência repute excessivos, anormais, provocando danos patrimoniais ou existenciais em escala superior a outros setores do mercado, a orientação dada ao empreendimento pelos seus dirigentes será irrelevante para a avaliação das consequências dos danos, relevando apenas a aferição do nexo de causalidade entre o dano injusto e o exercício da atividade. Entretanto, se assim for, priva-se de efeito jurídico qualquer ação meritória em sede de teoria objetiva. Quer dizer, o fato de o condutor da atividade propor-se a realizar investimentos em segurança e compliance perante os seus funcionários ou terceiros em nada repercutirá positivamente em caso de produção de uma lesão resultante do exercício desta atividade. Daí nasce a questão lógica: se inexiste qualquer estímulo para provocar um comportamento direcionado ao cuidado e à diligência extraordinários, qual será a ênfase de um agente econômico em despender recursos que poderiam ser direcionados a várias outras finalidades, quando ciente de que isto nada valerá na eventualidade de um julgamento desfavorável em uma lide de responsabilidade civil?  Noutros termos, parece correta a compreensão de que o risco (e não a culpa) é o fundamento essencial para que sejam estabelecidos critérios próprios de imputação advindos do desvio dos parâmetros de segurança estabelecidos pela legislação protetiva e, quando presente o compliance, catalisados pela inobservância dos programas de integridade e das políticas de governança de dados, o que representaria uma espécie de responsabilidade objetiva especial. Isto é, superam-se as barreiras da culpa, suplantam-se as escusas técnicas e a ampla incidência de causas excludentes decorrentes do domínio da técnica pelo controle da arquitetura de software e se impõe a cooperação como modal de controle e aferição dos limites da responsabilidade civil. A 2. Camada adicional da responsabilidade civil na IA: answerability Answerability é literalmente traduzido como "explicabilidade". Enquanto a accountability oferece perspectivas para a função promocional da responsabilidade civil, a explicabilidade se impõe como uma camada da função preventiva da responsabilidade, materializada no dever recíproco de construção da fidúcia a partir do imperativo da transparência. Ademais, a accountability foca na pessoa que conduz uma atividade ou exerce comportamento danoso ou potencialmente danoso - os chamados agentes da responsabilidade -, enquanto a answerability se prende ao outro lado da relação: os destinatários ou "pacientes" de responsabilidade, que podem exigir razões para ações e decisões tomadas por aquele que exerce o controle da atividade. Assim, inspirada por uma abordagem relacional, a responsabilidade como "explicabilidade" oferece, uma justificativa adicional para a tutela da pessoa humana, com enorme valia perante corporações e operadores que terceirizam responsabilidades para algoritmos. A answerability é um procedimento recíproco de justificação de escolhas que extrapola o direito à informação, facultando-se a compreensão de todo o cenário da operação de tratamento de dados. Não se trata basicamente de saber qual é a IA utilizada e o que ela faz. O desafio está em buscar uma resposta ontológica, lastreada na identificação do cabimento das funções preventiva e precaucional da responsabilidade civil para que seja aferível a expectativa depositada sobre cada participante da atividade, especialmente quanto à previsibilidade de eventuais consequências. É legítimo que pessoas exijam uma explicação em nome de não-humanos ou mesmo em nome de outros humanos carentes de cognição. Se compreendermos quem deve responder, por quê e a quem as respostas se destinam, alcançamos o conceito de supervisão - oversight - um componente de governança em que uma autoridade detém poder especial para revisar evidências de atividades e conectá-las às consequências. A supervisão complementa os métodos regulatórios de governança (accountability), permitindo verificações e controles em um processo, mesmo quando o comportamento desejável não pudesse ser especificado com antecedência, como uma regra. Ao invés, em caráter ex post, uma entidade de supervisão pode separar os comportamentos aceitáveis dos inaceitáveis. Aliás, mesmo quando existem regras, o supervisor pode verificar se o processo agiu de forma consistente dentro delas, sopesando as considerações nas circunstâncias específicas do cenário. Por conseguinte, se um agente humano utilizando IA toma uma decisão com base em uma recomendação da IA e não é capaz de explicar por que ele tomou essa decisão, este é um problema de responsabilidade por dois motivos. Primeiro, o agente humano falhou em agir como um agente responsável, porque não sabe o que está fazendo. Em segundo lugar, o agente humano também deixou de agir com responsabilidade em relação ao paciente afetado pela ação ou decisão, que pode legitimamente exigir uma explicação por ela.6 Para além da responsabilidade civil: As sanções administrativas, o sistema de seguros e o fundo de compensação. Mesmo compreendida em sua multifuncionalidade e robustecida por diversos nexos de imputação a responsabilidade civil isoladamente não é capaz de oferecer uma tutela ótima diante de tecnologias digitais emergentes. Ilustrativamente, o déficit em termos de accountability não implicará em termos de aplicação de punitive damages, por absoluta ausência de previsão legislativa. Contudo, poderá impactar negativamente ao agente sob o viés do direito administrativo sancionador, mediante fiscalização decorrente de poder de polícia exercido por órgão a ser implementado. Sanções administrativas podem ser mais eficazes em termos de indução do que a responsabilidade civil, a final, a limitação do artigo 944 do Código Civil à indenização pela extensão do dano gera incentivos ao desrespeito à boa governança, "pela lógica econômica por meio do denominado inadimplemento eficiente da obrigação".7 Eventual fixação de multas em valor elevado não acarretará questionamentos sobre enriquecimento injustificado, na medida em que o produto de arrecadação das sanções administrativas será destinado a um Fundo de Defesa de Direitos, ou mesmo culminará com a suspensão ou interrupção da atividade danosa.  Ademais, a socialização da responsabilidade civil é temática inescapável em qualquer política pública que leve a sério as novas tecnologias.  O sistema securitário é uma combinação de seguros públicos e particulares, obrigatórios ou opcionais, sobre a forma de seguros pessoais ou seguros de responsabilidade contra terceiros. As companhias de seguros fazem parte de todo o ecossistema social e demandam um conjunto de regras de responsabilidade para proteger seus próprios interesses em relação a vítimas em potencial, sejam elas segurados ou terceiros afetados por danos. Ademais, para preservar a segurança e confiabilidade das tecnologias digitais emergentes, o dever de cuidado de cada pessoa natural ou jurídica deve ser afetado pelo seguro o mínimo possível, sem que isso exclua a asseguração de riscos elevados.  No universo das Tecnologias Digitais Emergentes o seguro facultativo praticamente se torna compulsório, pois a fim de mitigar o impacto da responsabilidade objetiva, proprietários, usuários e operadores de robôs contratam seguros, da mesma forma que tradicionalmente os empregadores por seus prepostos. Essa é a lógica econômica das regras de responsabilidade objetiva, servindo como incentivo para que os empregadores amplifiquem o uso de agentes robóticos. Se por um lado os prêmios de seguro aumentam os custos de negócios que se servem de robôs, quanto mais essas máquinas se tornam seguras e controláveis, maiores setores da economia aceitam o risco de seu uso, não obstante a incidência da responsabilidade indireta por danos. Um esquema de seguro obrigatório para categorias de Tecnologias Digitais Emergentes de alta complexidade - relativamente a sua autonomia e possibilidade de aprendizagem - e que suponham um risco considerável para terceiros é uma inescapável solução para o problema de alocação de responsabilidade por danos - tal como há muito acontece com os veículos automotores. A final, quanto maior a frequência ou gravidade dos potenciais danos, menos provável se torna a aptidão para que as vítimas sejam individualmente indenizadas. Um esquema de seguro obrigatório não pode ser considerado a única resposta para o problema de como gerenciar danos, substituindo completamente as regras de responsabilidade civil. Fundos de compensação financiados e operados pelo estado ou por outras instituições com o objetivo de compensar as vítimas pelas perdas sofridas podem ser utilizados para proteger as vítimas que possuam direito a indenização de acordo com as regras de responsabilidade civil, mas cujas pretensões não podem ser atendidas quando os demais regimes de responsabilidade forem insuficientes como resultado da operação de tecnologias digitais emergentes e na ausência de uma cobertura de seguro. Um caminho possível seria o da criação de um fundo geral de compensação acessado pela matrícula individual de cada robô em um registro específico, permitindo a segura rastreabilidade das máquinas. Os fundos compensatórios protegeriam vítimas em duas frentes complementares: a) cobrindo danos produzidos por robôs que não possuem seguro de responsabilidade civil; b) compensando danos ocasionados por robôs, limitando a responsabilidade civil dos agentes intervenientes e das próprias seguradoras. Assim, independentemente de um sistema de responsabilidade objetiva e de seguro, produzido o dano, haverá um patrimônio afetado à compensação, mesmo que o robô não tenha seguro ou quando mecanismos de seguro obrigatório não se ativem por outras causas __________ 1 Disponível aqui. 2 MEDON, Felipe. Danos causados por inteligência artificial e a reparação integral posta à prova: por que o Substitutivo ao PL 21 de 2020 deve ser alterado urgentemente?  3 Disponível aqui. 4 BIONI, Bruno; DIAS, Daniel. Responsabilidade civil na LGPD: construção do regime por meio de interações com o CDC. In: MIRAGEM, Bruno; MARQUES, Cláudia Lima; MAGALHÃES, Lucia Ancona (coord). Direito do consumidor. 30 anos do CDC. Rio de Janeiro, Forense, 2021, p. 513. 5 GELLERT, Raphaël. Understanding data protection as risk regulation. Journal of Internet Law, Alphen aan den Rijn, v. 18, n. 1, p. 3-15, mai. 2015, p. 6-7. 6 Frank Pasquale, serviu-se do insight das 3 leis de Jack Balkin para a sociedade algorítmica, a fim de propor uma quarta lei, capaz de complementar a tríade: "A robot must always indicate the identity of its creator, controller, or owner." A vanguarda dos campos de IA, aprendizado de máquina e robótica enfatiza a autonomia - seja de contratos inteligentes, algoritmos de negociação de alta frequência ou robôs futuros. Há uma noção nebulosa de robôs "fora de controle", que escapam ao controle e responsabilidade seu criador. A formulação da 4. Lei com a exigência de que, com base na explicabilidade, qualquer sistema de IA ou robótica tenha alguém responsável por sua ação, ajuda a reprimir tais ideias. 7 TOMASEVICIUS FILHO, Eduardo. In Comentários à lei geral de proteção de dados pessoais. MARTINS, Guilherme Magalhães; LONGHI, João Victor Rozatti; FALEIROS JÚNIOR, José Luiz de Moura. Indaiatuba: Foco, 2022, p. 483.
Preliminares A eventual regulação das mídias sociais tem sido motivo de debates acalorados em todos espectros políticos. A aquisição do Twitter pelo bilionário Elon Musk incrementou essa discussão agora polarizando entre o controle total por uma empresa com capital fechado ou a liberdade ampla patrocinada por um mega empreendedor visionário. Apesar de todas essas acaloradas discussões, veremos que algumas iniciativas e conquistas sociais não são facilmente controladas, principalmente quando advindas de artefatos computacionais que se transformam e se recriam ao sabor do desafio tecnológico, da inovação, da expectativa de sucesso, ou, simplesmente pela possibilidade de contestação. Um pouco antes Os computadores foram criados preliminarmente como máquinas calculadoras que faziam tarefas precisas de várias pessoas em pouco tempo relativo. Tornaram-se máquinas fundamentais para cálculos balísticos durante a II Grande Guerra1 e impulsionaram os serviços censitários, bancários e financeiros2. Nem mesmo as formulações de Alan Turing, em meados dos anos 19303, que apontaram o computador como a primeira máquina genérica e multifuncional criada pelo homem, conseguiu avançar a passos largos a Inteligência Artificial já proposta e discutida no primeiro workshop sobre o tema no Dartmouth College em 19564. Nem o software e muito menos o hardware do século passado estavam preparados para a grande revolução que a Computação traria em nossas vidas no início deste milênio. O termo Web 2.05, cunhado em 2004, abriga várias tecnologias sobre a Internet que proporcionam serviços cada vez mais amplos aos seus usuários, tais como compras online, uso de redes sociais, softwares como serviços, enfim, a Web 2.0 proporcionou um mergulho intenso e profundo de toda sociedade urbana num mundo digital virtual sem precedentes. Os paralelos Se podemos dizer que a Web 2.0 imprimiu uma revolução na nossa sociedade, em praticamente todas as frentes, do comércio ao lazer, da economia às relações sociais, e das comunicações ao marketing, o mesmo não podemos dizer, por exemplo, sobre outras criações demandadas, como por exemplo, a imprensa de Gutenberg (1430). Na época a capacidade de reprodução de artigos literários era restrita a produção manuscrita de copiadores humanos. A mecanização era a única alternativa para ampliar a circulação de informação via mídia escrita. O mesmo raciocínio é válido para outros meios de mecanização para os quais temos a Revolução Industrial como uma grande fábrica de exemplos semelhantes à imprensa. Só por completude, as máquinas a vapor encurtaram distâncias, auxiliaram a redução de preços das commodities, ampliaram fronteiras, fomentaram a expansão do comércio, entre ouros benefícios. No entanto, todos esses avanços eram objetivos latentes de uma sociedade que ansiava pela modernização de necessidades básicas para o seu crescimento econômico e social. Podemos afirmar que, nos seus primórdios, a Computação nasceu também sobre as mesmas necessidades, a mecanização. Mesmo considerando as eventuais facilitações de atividades prometidas pela Inteligência Artificial entre o final dos anos de 1950 até meados dos anos de 1970, o que a sociedade esperava da Computação eram meios de ampliar seu tempo de lazer, tais como: máquinas mais inteligentes para deveres domésticos, máquinas mais produtivas e inteligentes para a indústria, robôs antropomórficos, programas como o STUDENT que resolviam problemas de álgebra, como também os veículos autômatos6. No entanto, o mundo começou a mudar a partir da entrada no novo milênio com a Computação expandindo suas áreas de atuação para o mundo das comunicações e dos serviços. Por exemplo, antes do advento dos tocadores de músicas encapsuladas no formato MP3 não havia uma pressão social para levarmos conosco, a qualquer lugar que fossemos, milhares de músicas para eventualmente ouvirmos. A maioria de nós ficaria satisfeito em poder levar alguns CDs para ouvirmos durante uma viagem e só. DJs certamente já existiam e carregavam suas caixas de vinis como mostra de grandes conquistas feitas durantes anos a custo de muito dinheiro. Tampouco falava-se no intercâmbio de músicas, a não ser as cópias de fitas cassete e, um pouco mais adiante, as cópias de CDs de áudio. O outrora famoso BitTorrent (lançado em 2001), que é um bem-sucedido protocolo de comunicação para compartilhamento de arquivos ponto a ponto (P2P), muito usado para compartilhar arquivos eletrônicos pela Internet de forma descentralizada, alastrou-se como erva daninha no campo musical e desmontou o esquema comercial das grandes gravadoras. Reforço: não era uma necessidade social lutar contra a indústria da música praticando a pirataria caseira. Não existia uma comoção social para esse esbulho do direito autoral. Em 2004 quando o engenheiro turco do Google, Orkut Büyükkökten, lançou a primeira rede social de sucesso no Brasil, o Orkut, 29 milhões de brasileiros sentiram a carência iminente de se arregimentarem com parentes esquecidos e coleguinhas da época do "jardim da infância"7. Outros também aproveitaram o software para se aproximarem de celebridades, colegas e parentes de n-ésimo grau. O Orkut arregimentou 15% da população total do Brasil em 2011. Neste mesmo ano, a hegemonia do já aclamado Facebook que reinava nos EUA, chegou ao Brasil abrigando 30,9 milhões de visitantes únicos no mês de agosto8. Essa nova rede social foi a responsável por tirar o Orkut do ar em 2014. Reforço: antes dessas duas redes sociais, esse velho conceito de networking era restrito à nossa rede de colegas e amigos e, com alguma aptidão, à um "amigo do amigo do meu pai". Então estamos afirmando que o Orkut foi uma criação da Google, como fora, de forma semelhante, o planejamento e a criação do thefacebook.com (renomeado para Facebook em 2005) por Mark Zuckerberg e colegas de Harvard em 2004? Não! Nesta época a Google adotava a filosofia dos 20%, ou seja, seus funcionários podiam usar 20% do seu expediente para trabalhar num projeto paralelo, a sua escolha, desde que relacionado com as atividades da empresa. Foi dessa fatia dos 20% que surgiram não só o Orkut, mas como também o Google Maps e o Gmail, por exemplo9. Nessa onda de virtualização das comunicações vieram o ICQ (1996), MSN Messenger (1999), como mensageiros eletrônicos instantâneos e, o Skype (2003) também usado para vídeo conferência. Era também nessa mesma época que nossos computadores pessoais eram controlados pelo sistema operacional Windows XP e usávamos comprar o pacote Office 2003, a primeira versão a usar cores e ícones do sistema operacional. Tudo isso hoje contrasta com mensageiros instantâneos como aplicativos de celular e uma extensa variedade de softwares via web no modelo SaaS (Software as a Service), ou seja, o modelo de software como serviço. Como exemplo: Dropbox, Google Drive, Netflix, Amazon Web Services, Nubank e Microsoft 365. Nos ombros de quem? A pergunta que fica é: como conseguimos elaborar essa sociedade em que o software é parte vital de nossos relacionamentos, de nosso cotidiano e do nosso trabalho? A resposta técnica é que esses serviços via software (redes sociais e afins), bem como os Markplaces (iFood, Amazon e Airbnb, como exemplos), apesar de parecerem um simples software na web, são softwares complexos que são executados sobre um grande elenco de protocolos e outros softwares que formam a base de comunicação de dados via internet. Toda comunicação via internet pode ser entendida pelo modelo TCP/IP. Esse modelo congrega todo tipo de protocolo e software básico para a comunicação via internet em quatro camadas sofisticadas, são elas: 1) Aplicação, ou seja, essencialmente o software que usamos; 2) A camada de Transporte que está relacionada com confiabilidade (o dado alcançou seu destino?) e integridade (os dados chegaram na ordem correta?) do acesso à rede; 3) A camada da Internet que captura os pacotes recebidos da camada de Transporte e adiciona uma informação sobre endereço virtual e, finalmente, num nível mais baixo; 4) A camada de rede que vai efetivamente enviar os pacotes pela Internet10. Ressalto que toda essa arquitetura Web e de Internet é uma arquitetura aberta, regulamentada por técnicos e engenheiros de grandes consórcios de software e que podem ser usadas para qualquer finalidade. Dadas essas condições técnicas abertas a qualquer um, amparados pela formulação teórica da Tese de Church-Turing11 que garante termos a máquina genérica mais poderosa até hoje construída, não há como parar as inovações via Computação. Sua estrutura foi elaborada de forma a poder espalhar pacotes de informação da maneira como a imaginação do programador desejar. Sobre essa mesma arquitetura que hoje surfamos na rede e nos seus serviços, outros tantos indivíduos e máquinas do submundo virtual surfam, por exemplo, na Dark Web, em atividades anônimas e privadas em contextos ilegais (e legais também) dos mais variados e assustadores possíveis. E sem regulação. Não há força, não há meios, para pará-los. Lembro-me dos meus anos como rádio amador oficialmente habilitado que, no início dos anos de 1990, experimentávamos o packet radio (rádio de pacote) que é um método de comunicação digital via rádio usado para enviar pacotes de dados. O que era muito semelhante ao modo como os pacotes de dados são transferidos entre nós na Internet hoje. Cada rádio funcionava como um nó da rede de comunicação, a exemplo dos computadores servidores hoje. Enviávamos e recebíamos informações com a nossa própria versão de protocolo de comunicação. E como era possível: os protocolos são especificações abertas de modelos de comunicação. São modelos disponíveis a qualquer pessoa. É só saber programar e ter o tempo necessário para essa atividade. Ou seja, se tirarem os fios, a web funcionará sobre as ondas do rádio. Saiu o ICQ, entrou o MSN, e depois o WhatsApp. No banco de reservas ainda temos o Twitter, o Telegram, o Truth Social, Mastodon, Reddit, Care2, Ello, Minds, The Dots, Plurk, Tumblr e aquele aplicativo que algum jovem gênio de 14 anos está escrevendo hoje e que iremos descobrir em breve. A rede não para. Nem precisa avisar os "russos". __________ 1 First Colossus operational at Bletchley Park. Disponível aqui.Visitado em 3 de maio de 2022. 2 The Automation of Personal Banking. Disponível aqui. Visitado em 3 de maio de 2022. 3 The Church-Turing Thesis. Disponível aqui. Visitado em 3 de maio de 2022. 4 Artificial Intelligence (AI) Coined at Dartmouth Disponível aqui.  Visitado em 3 de maio de 2022. 5 What Is Web 2.0. Disponível aqui. Visitado em 3 de maio de 2022. 6 A Complete History of Artificial Intelligence. Disponível aqui. Visitado em 3 de maio de 2022. 7 A história do Orkut, a rede social favorita do Brasil. Disponível aqui. Visitado em 3 de maio de 2022. 8 Facebook ultrapassa Orkut e é a rede social mais popular no Brasil. Disponível aqui. Visitado em 3 de maio de 2022. 9 Why Google's 20% time management philosophy should be adopted by startups. Disponível aqui. Visitado em 3 de maio de 2022. 10 TCP/IP Model. Disponível aqui. Visitado em 3 de maio de 2022. 11 Advogados e cientistas da computação unidos para lacrarem a neutralidade da rede. Disponível aqui. Migalhas 5.342 de 14 de maio de 2021. Visitado em 3 de maio de 2022.
A figura do encarregado pelo tratamento de dados (também conhecido como DPO) tem gerado diversas controvérsias e debates no cenário brasileiro. Uma das amostras mais recentes da relevância do tema foi a abertura de inscrições para tomada de subsídios sobre a norma do encarregado, feita pela Autoridade Nacional de Proteção de Dados ("ANPD") em 18/03/20221. O objetivo deste pequeno ensaio é analisar o conceito, as características, a obrigatoriedade de nomeação, os impedimentos e cautelas ligados ao cargo, o que se fará por meio de análise da legislação e regulação específicas no Brasil, com observação da experiência europeia para aclarar pontos ainda nebulosos no âmbito nacional. Na LGPD, encarregado é definido como a "pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares de dados e a Autoridade Nacional de Proteção de Dados (ANPD)"2. Inicialmente, é possível concluir que o encarregado pode ser pessoa natural ou jurídica, apesar da lei haver se limitado ao termo "pessoa". Tal afirmação ocorre por diversos motivos: quando promulgada, em 14/08/2018, a LGPD previa o conceito de encarregado como a pessoa natural indicada pelo controlador, mas o texto foi alterado, antes de sua entrada em vigor, pela lei 13.853/2019, que suprimiu o termo "natural" e manteve apenas a expressão "pessoa", passando a abarcar tanto a pessoa jurídica quanto a pessoa natural. Além disso, o Guia Orientativo expedido pela ANPD3 prevê que o encarregado pode ser pessoa natural ou jurídica, entendimento que vem sendo adotado pelas melhores práticas internacionais, inclusive pela Europa, onde diversos controladores têm contratado empresas e escritórios para atuação como DPO as a service. No Brasil, ainda, a OAB expediu parecer recente em que admite sociedades de advogados como encarregadas4. Outro aspecto relevante é o fato de a LGPD prever a obrigatoriedade de nomeação de encarregado pelo tratamento de dados, o que deve ser feito por todo controlador, ressalvados os casos em que a ANPD estabeleça dispensa5, como aquela feita recentemente para os agentes de tratamento de pequeno porte6. Neste sentido, estão dispensados da nomeação de encarregado pela proteção de dados pessoais apenas microempresas, empresas de pequeno porte, startups, entidades sem fins lucrativos, pessoas naturais e entes despersonalizados, desde que preencham os demais requisitos trazidos na Resolução, quais sejam: 1) Não realizar tratamento de alto risco, que é o tratamento em larga escala ou que possa afetar significativamente direitos e liberdades e que, simultaneamente, utilize tecnologia inovadora ou emergente, realize vigilância ou controle de zonas acessíveis ao público, tome decisões unicamente com base em tratamento automatizado ou realize tratamento de dados sensíveis ou de crianças, adolescentes e idosos; 2) Não auferir e não pertencer a grupo econômico que tenha auferido receita bruta superior a R$ 4.800.000,00 ou, se startup, de R$ 16.000.000,00; Todas as demais organizações que realizem tratamento de dados pessoais permanecem obrigadas a nomear encarregado pelo tratamento de dados pessoais, o que inclui, portanto, não apenas grandes empresas, mas também as microempresas, empresas de pequeno porte e startups que não atendam os critérios mencionados. Mesmo nas hipóteses de dispensa, a resolução admite que a indicação será considerada uma boa prática, apta a reduzir sanções e responsabilidades e que, em qualquer caso, o controlador permanecerá obrigado a indicar um canal de comunicação com o titular. Tal determinação está em consonância com as atividades do encarregado, que podem ser divididas em dois grandes grupos: comunicação e manutenção do programa de compliance. No tocante à comunicação, o encarregado é o principal responsável pelas atividades de comunicação interna (com as áreas e demais colaboradores) e externa (com os titulares, a ANPD, os prestadores de serviços, parceiros e demais stakeholders), razão pela qual é fundamental a disponibilização do contato e identificação do encarregado. Outra importante função é a construção e manutenção da cultura de privacidade e proteção de dados, levando consciência da relevância do tema e da necessidade de envolver todas as pessoas na criação de serviços, produtos e procedimento que nasçam em adequação à legislação vigente. Sob a ótica da manutenção do compliance, é possível mencionar o desenvolvimento e gestão dos programas de governança, a estruturação de processos, a atualização de manuais e políticas, além do acompanhamento e definição de medidas de segurança, inclusive com aplicação de medidas disciplinares que estejam previstas em manuais e políticas7. Por todo exposto, é necessário que haja autonomia da figura do encarregado, que não deve se submeter a outras áreas. Isso é necessário para a integração com todos os departamentos da empresa, para a independência na adequação de procedimentos e para propositura de medidas de conformidade para todas as operações de tratamento de dados pessoais, independentemente do grau hierárquico do integrante da organização que as realize. Garantida a autonomia, é possível que o encarregado seja um colaborador da própria organização ou um agente externo, que atue como DPO as a service, seja pessoa natural ou jurídica. Ademais, inexistem pré-requisitos legais para o exercício da função, mas algumas medidas devem ser observadas, tais como: a) Possibilidade de conflito de interesse: No caso de encarregado interno, o GDPR determina que o controlador evite a nomeação de pessoas que possam gerar conflito de interesses entre o cargo de DPO e a função que exerça8, tais como colaboradores que atuem na área de TI ou RH ou qualquer membro que ocupe alto nível hierárquico, ocasiões em que necessitaria supervisionar a si mesmo. O Article 29 Data Protection Working Party sugere, de maneira mais ampla, que não devem ser nomeados colaboradores que tomem decisões relevantes acerca de tratamento de dados pessoais, pessoas que atuem como CEO, COO, CFO, CMO, head de áreas ou, ainda, qualquer colaborador que realize tratamento de dados pessoais em larga escala. Tal recomendação é relevante e a inobservância tem rendido sanções administrativas na Europa. A autoridade de proteção de dados belga aplicou multa de 50.000 ? (50 mil euros), cumulada com o prazo de 3 (três) meses para solução do conflito, a uma companhia que nomeou o Chefe do Departamento de Compliance, Gestão de Riscos e Auditoria como DPO. Já a autoridade de proteção de dados de Luxemburgo advertiu determinada companhia acerca da incompatibilidade entre a função de DPO e de Head de Compliance e Prevenção à Lavagem de Dinheiro. Por haver corrigido o erro de maneira tempestiva, não houve imposição de multa. Portanto, ao nomear encarregado interno, o controlador deve observar a compatibilidade entre o cargo e as atividades já desenvolvidas pelo controlador. b) Conhecimento técnico ou jurídico: No Brasil, inexiste norma prevendo qualificação técnica ou jurídica para o exercício da atividade de encarregado pelo tratamento de dados pessoais, tampouco há exigência de certificações. Contudo, o exercício da função de encarregado requer conhecimento sobre as normas de privacidade e proteção de dados pessoais, bem como noções sobre mapeamento de operações, gestão de riscos contratuais, elaborações de políticas, comunicação com titulares de dados pessoais e atuação em eventuais procedimentos administrativos ou judiciais. Além disso, é importante a noção da parte técnica, ligada a segurança da informação, mapeamento de sistemas e identificação de riscos. Por isso, tem sido comum a contratação de consultorias jurídicas ou técnicas para aprimoramento da gestão de programas de proteção de dados e da comunicação com agentes externos. __________ 1 BRASIL. Autoridade Nacional de Proteção de Dados. Abertas inscrições para tomada de subsídios sobre a norma do encarregado. Disponível aqui. Acesso em 22/03/2022. 2 Art. 5º, inciso VIII da LGPD. 3 BRASIL. Autoridade Nacional de Proteção de Dados. Guia orientativo para definições dos agentes de tratamento de dados pessoais e encarregado. Disponível aqui, p. 22, ponto 71. Acesso em 22/03/2022. 4 OAB/SP. Processo E-5.537/2021. EXERCÍCIO PROFISSIONAL - LGPD E ADVOCACIA - ENCARREGADO DE DADOS - INCOMPATIBILIDADE OU IMPEDIMENTOS - POSSIBILIDADE DE ATUAÇÃO - OBSERVAÇÃO DE CAUTELA QUANTO À PUBLICIDADE - CAPTAÇÃO INDEVIDA DE CLIENTELA - DEVER DE SIGILO. Disponível aqui. Acesso em 24/03/2022. 5 Art. 41 da LGPD. 6 Art. 11 da Resolução CD/ANPD nº 2/2022. 7 KREMER, Bianca; PALMEIRA, Mariana. A compreensão do encarregado: diferentes perfis, requisitos e qualificações. In: FRAZÃO, Ana; CUEVA, Ricardo Villas Bôas (coords.). Compliance e Políticas de Proteção de Dados. Thomson Reuters Brasil: São Paulo, 2021, pp. 623-663. 8 Key Issue "Data Protection Officer" do GDPR. Disponível aqui.
Do mero aborrecimento ao desvio produtivo do consumidor A atividade de consumo é inerente à existência humana, estando presente desde o nascimento até a morte do indivíduo, razão pela qual identifica-se a atual existência de uma sociedade de consumo.   Segundo Bauman1, "o fenômeno do consumo tem raízes tão antigas quanto os seres vivos - e com toda certeza é parte permanente e integral de todas as formas de vida conhecidas a partir de narrativas históricas e relatos etnográficos." Fato é que o elevado fluxo de aquisição de bens e serviços gera, em mesma escala, o aumento dos conflitos entre consumidor e fornecedor, os quais são causados pelo desmazelo - ocasionalmente intencional - desse no atendimento ao cliente, cometendo atos antijurídicos que ensejam reparação à vítima no campo material e moral.  Tanto a doutrina pátria como a jurisprudência relacionada à obrigação de responder por  dano passível de indenização, no âmbito de suas esferas protetivas, vêm sofrendo mutação evolucionista caminhando de uma consolidada visão onde o   mero dissabor, aborrecimento, mágoa, irritação ou sensibilidade exacerbada estão fora da órbita do dano moral, porquanto tais situações não são intensas e duradouras, a ponto de romper o equilíbrio psicológico do indivíduo, como descritos em acórdãos como no REsp 844.7362 do Superior Tribunal de Justiça, para se atribuir direitos indenizatório, a certas situações advindas da relação de consumo, que gerariam mais do que um "mero aborrecimento". Recentemente o TJ/SP3 impôs a um Banco uma condenação ao pagamento de indenização ao consumidor que recebeu cobranças indevidas por dívidas contraídas por terceiro, sob o argumento fulcral de que impor ao consumidor perda de tempo com cobranças indevidas e recorrentes, gera dano moral pois este experimentou desgaste, perda de tempo, angústia e aflições. A jurisprudência passa então a ampliar a visão acerca dos bens juridicamente tutelados em questões específicas que envolvem a dignidade da pessoa humana como direito constitucional subjetivo e essência de todos os direitos personalíssimos, considerando que "o dano moral é todo prejuízo que o sujeito de direito vem a sofrer por meio de violação a bem jurídico específico. É toda ofensa aos valores da pessoa humana, capaz de atingir os componentes da personalidade e do prestígio social4. Observa-se que esta visão realça o denominado dano extrapatrimonial advindo da lesão a bem jurídico específico denominado de "dano moral", que não integra o patrimônio da pessoa e se relacionam à lesão aos direitos da personalidade, em contraposição à corrente doutrinária que situa o dano moral no âmbito da lesão à cláusula geral de tutela da pessoa5. É nesse contexto que se vislumbra o desvio produtivo do consumidor. A teoria nasce justamente dos conflitos consumeristas em explosão na sociedade atual e é aprofundada por Dessaune6 que identificou e valorizou o tempo do consumidor quando submetido a situações de incrível stress emocional, incerteza e apreensão no âmbito da relação de consumo, como um bem juridicamente tutelável. Segundo Dessaune, o desvio produtivo se perfaz quando o consumidor, em estado de carência e condição de vulnerabilidade, é incitado, pela forma de agir do fornecedor, a aplicar esforços para solucionar um problema de consumo. Assim, o consumidor despende de seu tempo vital, suprimindo ou adiando atividades existenciais, e assume deveres e encargos do fornecedor, os quais, por óbvio, não lhe cabem. Nesta construção teórica o Autor aponta certos equívocos acerca da "tese de mero aborrecimento" como elemento não gerador do dever de indenizar, entre estes situa-se o fato de que em eventos de desvio produtivo, o principal bem jurídico atingido seria a integridade psicofísica da pessoa consumidora, enquanto, na realidade, são o seu tempo vital e as atividades existenciais que cada pessoa escolhe nele realizar - como trabalho, estudo, descanso, lazer, convívio social e familiar. Na sua ótica, o tempo existencial seria juridicamente tutelado por se encontrar protegido tanto no rol aberto dos direitos da personalidade quanto no âmbito do direito fundamental à vida.   Conclui-se que se a vida, enquanto direito fundamental, precisa do tempo para acontecer, por óbvio tal esforço abala a existência do ser humano afetado, uma vez que no lugar de ocupar-se com atividades que lhe são necessárias ou desejosas - como trabalhar ou descansar -, é coagido a solucionar problemas que não são de sua responsabilidade resolver, ocorrência que é injusta e ultrapassa a esfera do "mero aborrecimento". Trata-se, portanto, do empenho de esforços por parte do consumidor para sanar um problema decorrente de uma relação de consumo, ao qual não deu causa. A Sociedade da Informação como palco de desvios produtivos A intensa revolução social, provocada pela rápida evolução tecnológica, com destaque à expansão da internet, afetou profundamente as estruturas econômicas, culturais, bem como as interações sociais, com reflexos na esfera privada dos indivíduos. Tal movimento é notado especialmente na hodierna "sociedade informacional", na qual "a produtividade e a competitividade de unidades ou agentes dependem basicamente de sua capacidade de gerar, processar e aplicar de forma eficiente a informação baseada em conhecimentos"7, exprimindo uma nova estrutura social, chamada por Manuel Castells de "capitalismo informacional" em que considera que a atividade econômica e a nova organização social se baseiam, material e tecnologicamente na informação. Nesse cenário, destacam-se as relações consumeristas, que utilizam cada vez mais novas tecnologias e perpassam pelo uso de dados pessoais. Sob este viés, muitas vezes os titulares de dados estão na posição de consumidores, fazendo com que se confundam, de certa forma, a proteção do consumidor com a proteção daquele titular de dados pessoais. Ainda no embalo da evolução tecnológica e de novas tecnologias, cresce o comportamento de as pessoas possuírem duas espécies de vida: "uma vida real, de contato físico e material com pessoas e bens e uma outra virtual, que pode ser composta por redes sociais, e-mails, páginas pessoais etc., em interativa relação com outras pessoas e bens virtuais"8.  Este "corpo eletrônico"9 é composto pelo conjunto de dados pessoais sistematizados, que expõe em informação praticamente toda a vida das pessoas. Neste contexto, podemos falar ainda na "persona digital"10, ou seja, no perfil de comportamento de um usuário de rede social, que é analisado e construído, por exemplo, a partir dos locais que ele visitou ou a partir das postagens que ele "deu um like", dentre outros elementos que podem ser utilizados para a sua construção. Tendo em vista a extrema exposição de seus dados pessoais no mercado de consumo, em especial em uma sociedade que promove vigilâncias cada vez mais onipresentes, é importante o olhar e a proteção ao chamado "consumidor de vidro"11. Sob este prisma, vislumbra-se que o tratamento de dados pessoais impacta diretamente na forma, por exemplo, como a publicidade é produzida diretamente para o consumidor, uma vez que há um conhecimento mais preciso em relação ao seu perfil e, com isso há uma alteração na forma com que o consumidor adquire ou utiliza produtos ou serviços. Diante desta significativa alteração na cultura de consumo, que trouxe complexidade para o tema e, considerando que o titular de dados se confunde com a figura do consumidor, bem como a crescente valorização do tempo - essencialmente porque é ele meio pelo qual se propaga a vida do titular - e a vulnerabilidade, torna-se necessário investigar se a teoria do desvio produtivo do consumidor é aplicável no contexto da Lei Geral de Proteção de Dados. As disposições de LGPD inibidoras de condutas de desvio produtivo em face do consumidor titular de dados pessoais  A Lei Geral de Proteção de Dados (LGPD), lei 13.709 de 14 de agosto de 2018, centraliza e coordena fundamentos, princípios, direitos e obrigações em relação ao tratamento de dados pessoais, visando a proteção da pessoa à qual os dados se referem. Nesse sentido, o artigo 2°, traz os fundamentos do tratamento de dados pessoais, que deve ser lastreado, além de outros, no respeito a livre iniciativa, a livre concorrência e a defesa do consumidor, nos termos do inciso VI. A LGPD, ao dialogar com outros campos do Direito, também gera a transversalidade entre o direito do consumidor e a proteção de dados pessoais, como resta demonstrado no artigo 45 da Lei 13.709/2018. Desse modo, e ciente dos direitos dos titulares e dos deveres dos agentes de tratamento, é possível traçar um paralelo de aplicabilidade entre a supramencionada teoria do desvio produtivo e a Lei Geral de Proteção de Dados. Importante rememorar que não somente é consumidor aquele que efetivamente adquire um produto ou serviço, mas, à luz dos artigos 17 e 29 do CDC, equiparam-se a eles todas as pessoas - determináveis ou não - expostas às práticas comerciais ou que foram vítimas do evento danoso. Doutra feita, não se pode ignorar o preconizado pelo artigo 6º, inciso X, da LGPD, que exige do agente de tratamento eficácia no cumprimento da Legislação. O dispêndio de tempo é vedado expressamente no texto legal, por diversas vezes. Vale ressaltar que, assim como no CDC, a LGPD também prevê a responsabilização do agente de tratamento ao causar dano patrimonial, moral, individual ou coletivo, ao titular de dados, vide artigo 42 e seguintes. Para além disso, tanto consumidores quanto titulares de dados são caracterizados pela vulnerabilidade técnica, socioeconômica e informacional, corroborando com os diálogos entre a LGPD e o CDC. Assim, uma vez que os consumidores se equiparam aos titulares de dados no âmbito das relações de consumo, bem como os agentes de tratamento aos fornecedores ou prestadores de serviços, entende-se plenamente possível a aplicação da teoria do desvio produtivo do consumidor no tocante ao atendimento dos titulares de dados, de forma tal que possa se evitar abuso de direitos em prejuízo ao titular dos dados. Além disso, a LGPD, em seu artigo 5º, traz um rol de conceitos importantes, que servem como um "manual de instrução"12 para nortear a sua aplicação. Dentre os quais, o inciso IX, traz a figura dos agentes de tratamento de dados, que seriam o controlador e o operador. Ainda, no art. 5º, o inc. VI oferece um conceito de controlador: "pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais". No mesmo artigo, o inc. VII traz o conceito de operador: "pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador". No Capítulo III da LGPD concentra-se um rol de direitos dos titulares de dados pessoais, mais especificamente a partir do artigo 17. Entretanto, deve ser feita uma leitura sistêmica e abrangente da norma a fim de se vislumbrar outros direitos e garantias destes titulares na LGPD. O artigo 18 da LGPD traz um rol de direitos, quais sejam: de confirmação de que existe um ou mais tratamentos de dados sendo realizado (art. 18, I, LGPD); de acesso aos dados pessoais que lhe digam respeito (art. 18, II, LGPD); de correção de dados pessoais incompletos, inexatos ou desatualizados (art. 18, III, LGPD); de anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com a LGPD (art. 18, IV, LGPD); de portabilidade dos dados a outro fornecedor de serviço ou produto mediante requisição expressa (art. 18, V, LGPD); de eliminação de dados tratados com o seu consentimento (art. 18, VI, LGPD); de informação sobre o compartilhamento de seus dados com entes públicos ou privados (art. 18, VII, LGPD); de obter informação sobre a opção de não fornecer consentimento e as consequências da negativa (art. 18, VIII, LGPD); de revogação do consentimento (art. 18, IX, LGPD).  Neste diapasão, o artigo 20, traz o direito à revisão das decisões automatizadas, possibilitando ao titular dos dados a solicitação de "revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade".      Importante trazermos à baila que o art. 12, §2º da LGPD que traz a proteção de dados por inferência, uma vez que: "Poderão ser igualmente considerados como dados pessoais, para os fins desta Lei, aqueles utilizados para formação do perfil comportamental de determinada pessoa natural, se identificada." É certo que o processamento das requisições dos titulares (exercício dos direitos) deve ser o mais adequado e eficiente respeitando-se os prazos estipulados na legislação, com especial destaque ao artigo 19, que dita que a confirmação de existência ou o acesso a dados pessoais serão providenciados, mediante requisição do titular, que pode ser em formato simplificado, e deve ser respondido de forma imediata ou ainda por meio de declaração clara e completa, que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, que deve ser fornecida no prazo de até 15 (quinze) dias, contado da data do requerimento do titular. Resta evidente que a LGPD propugna por buscar a adequação e o cumprimento pelos agentes de tratamento de dados dos dispositivos legais por meio de modelos apropriados e da adoção efetiva de melhores práticas na governança de dados13, sempre visando resguardar a específica proteção jurídica diante da vulnerabilidade do titular de dados pessoais. Dessa forma, cabe ao agente de tratamento buscar sempre a forma mais eficiente para atender aos direitos dos titulares, de modo a preservar seu tempo existencial e respeitar os ditames previstos na Lei Geral de Proteção de Dados.  Conclusão A caminhada para a compreensão global da LGPD e sua intersecção em diversos setores da sociedade é longa. Deve-se ter um olhar atento, especialmente, nesta nova forma de mercado no qual se extrai, de maneira unilateral, "a experiência humana como matéria-prima gratuita para a tradução em dados comportamentais que são disponibilizados no mercado como produtos de predição que antecipam e modelam comportamentos futuros"14, uma vez que quanto mais intrusiva for a prática, adentrando em hábitos estritamente particulares e sensíveis dos titulares de dados, e por conseguinte dos consumidores,  maiores serão os riscos de se causar danos aos indivíduos e incorrer em violação à LGPD. Não obstante o arcabouço protetivo gerado pelo CDC e pela LGPD nas relações consumeristas e a proteção de dados pessoais, em casos excepcionais onde prepondera o abuso em detrimento do consumidor, será  possível a aplicação da Teoria do Desvio Produtivo, como forma de proteção do bem juridicamente tutelável consistente valorização do tempo vital do consumidor titular dos dados para que se coíba abusos e se verifique a justa indenização por meio da  busca da reparação civil, face aos agentes de tratamento que por descumprirem as normas programáticas da LGPD ou as cumprirem de forma inapropriada, causam danos extrapatrimoniais aos titulares dos dados pessoais, afetando-se a moral e ensejando  a compensação monetária adequada, em prol do  tempo que é o bem irrecuperável.  __________ 1 BAUMAN, Zygmunt. Vida para consumo: A transformação das pessoas em mercadoria. Rio de Janeiro: Jorge Zahar, 2008. p. 37. ISBN 978-85-378-0066-9  2 BRASIL. Superior Tribunal de Justiça. REsp 844.736 Relator Ministro Luis Felpe Salmão. Disponível aqui. Acesso em: 01/04/20222. 3 BRASIL, Tribunal de Justiça de São Paulo, 19° Câmara de Direito Privado, Apelação Cível n° 1002236-83.2020.8.26.0590, Relator Ricardo Pessoa de Mello Belli. 4 BRASIL, Superior Tribunal de Justiça, REsp 1.245.550, Relator Ministro Luis Felpe Salmão. Disponível aqui. Acesso em: 02/04/2022. 5 TARTUCE, Flávio. Responsabilidade civil. 2ª ed. Rio de Janeiro: Forense, 2020. p. 427. 6 DESSAUNE, Marcos. Teoria aprofundada do desvio produtivo do consumidor: o prejuízo do tempo desperdiçado e da vida alterada. Espírito Santo, 2017. 7 CASTELLS, Manuel. A sociedade em rede: economia, sociedade e cultura. V. 1 São Paulo: Paz e Terra, 2013, p. 119. 8 BASAN, Arthur Pinheiro; FALERIOS JÚNIOR, José Luis de Moura. A tutela do corpo eletrônico como direito básico do consumidor. Revista dos Tribunais online. Disponível aqui. Acesso em: 15/03/2022. 9 RODOTÀ, Stefano. Intervista su privacy e libertà. Roma/Bari: Laterza, 2005. 10 CLARKE, Roger. The Digital Persona and its Application to data surveillance. Disponível aqui. Acesso em: 01/04/2022 11 LACE, Susane. The glass consumer: life in a surveillance society. Bristol: Policy, 2005. 12 LIMA, Cíntia Rosa Pereira de. DE LUCCA, Newton. Suboperador: possíveis soluções diante da omissão da LGPD. Migalhas de Proteção de Dados. Disponível aqui. Acesso em: 10 de abril de 2022. 13 SIMÃO FILHO, Adalberto, RODRIGUES, Janaina de Souza Cunha e LIMA, Marilia Ostini Ayello Alves de. A Governança e o registro de dados em LGPD sob a ótica da tomada de decisão estratégica, calcada na experiência "Gambito da Rainha". In: Direito, governança e novas tecnologias III [Recurso eletrônico on-line] organização CONPEDI Coordenadores: Aires Jose Rover; Danielle Jacon Ayres Pinto; Henrique Ribeiro Cardoso - Florianópolis: CONPEDI, 2021. Disponível aqui. Acesso em: 01/04/2022. 14 ROSENVALD, Nelson. Coluna Migalhas de Proteção de Dados. A LGPD e a despersonalização da personalidade. Disponível aqui. Acesso em: 01/04/2022.
As informações mais sensíveis dos seus clientes serão acessadas indevidamente. Isso seria fato se você estivesse nos EUA. Essa afirmação poderia parecer exagero, mas foi isso o que foi registrado no documento denominado "ABA Formal Opinion 483", que é um relatório preparado pela American Bar Association (ABA). Aqui, no Brasili, ainda não temos dados suficientes para afirmar, mas acreditamos que a situação não seja muito diferente. O objetivo deste breve artigo será apresentar, em caráter preliminar, algumas das principais medidas que são recomendadas pelos especialistas em segurança cibernética, mas que não são amplamente implementadas nos escritórios de advocacia nos EUA. Em síntese, os motivos variam desde o desconhecimento, passando pelo tamanho do escritório até o tipo de informação que é armazenada. O relatório "ABA Formal Opinion 483" destaca logo em sua introdução: (...) a ameaça à segurança da informação é tão alta que os órgãos de controle regularmente separam as entidades empresariais em duas categorias: aquelas que foram invadidas e aquelas que ainda serão." (tradução livre)ii. Assim, nenhuma empresa está totalmente protegida e, conforme veremos a seguir, o mesmo pode se dizer dos escritórios de advocacia nos EUA. Em síntese, no que se refere à responsabilidade dos escritórios de advocacia em relação aos dados e às informações dos seus clientes, temos os aspectos legais e contratuais. Assim, espera-se que sejam garantidos: a)    a proteção dos dados dos clientes; b)    o consentimento informado dos clientes; e c)    a supervisão de todas as pessoas envolvidas na gestão dos dados dos clientes. Dessa forma, todo o esforço no desenvolvimento de sistemas de softwares que envolvam o objetivo de segurança de dados pessoais deve considerar três esferas: a)    o comportamento das pessoas envolvidas; b)    as normas jurídicas e técnicas que disciplinam o assunto; e c)    a tecnologia e suas mudanças constantes. Nesse sentido, para a melhor compreensão do assunto, devemos conhecer três documentos publicados no formato ABA Formal Opinion: 1.    Securing Communication of Protected Client Information (477R/2017); 2.    Lawyers Obligation after an Eletronic Data Breach or Cyberattack (483/ 2018); 3.    Virtual Practice (498/2021). Além disso, os escritórios devem observar quatro das denominadas ABA Model Rules: para o melhor atendimento possível de seus clientes: a)    1.1 - Competência: A lawyer shall provide competent representation to a client. Competent representation requires the legal knowledge, skill, thoroughness and preparation reasonably necessary for the representationiii. b)    1.4 - Comunicação: (a) A lawyer shall: (1) promptly inform the client of any decision or circumstance with respect to which the client's informed consent, as defined in Rule 1.0(e), is required by these Rules; (.) (b) A lawyer shall explain a matter to the extent reasonably necessary to permit the client to make informed decisions regarding the representationiv. c) 1.6 - Confidencialidade da informação: (a) A lawyer shall not reveal information relating to the representation of a client unless the client gives informed consent, the disclosure is impliedly authorized in order to carry out the representation or the disclosure is permitted by paragraph (b). (.) (c)  A lawyer shall make reasonable efforts to prevent the inadvertent or unauthorized disclosure of, or unauthorized access to, information relating to the representation of a client.v d) 5.1 - Responsabilidade do Advogado Supervisor: (b) A lawyer having direct supervisory authority over another lawyer shall make reasonable efforts to ensure that the other lawyer conforms to the Rules of Professional Conduct.vi e) 5.2 - Responsabilidade do Advogado Supervisionado: (a) A lawyer is bound by the Rules of Professional Conduct notwithstanding that the lawyer acted at the direction of another person. (b) A subordinate lawyer does not violate the Rules of Professional Conduct if that lawyer acts in accordance with a supervisory lawyer's reasonable resolution of an arguable question of professional dutyvii. f) 5.3 - Responsabilidade sobre Não Advogados: (b) a lawyer having direct supervisory authority over the nonlawyer shall make reasonable efforts to ensure that the person's conduct is compatible with the professional obligations of the lawyer;viii Apesar de toda estrutura normativa das Aba Model Rules para disciplinar a responsabilidade profissional, em uma pesquisa recente, 25% dos advogados consultados responderam que, em algum momento, os escritórios de advocacia em que trabalham foram atacados. Em resumo, dentre as principais causas, podemos destacar duas: a)    Falta de conhecimento técnico; b)    Falta de adoção das melhores práticas indicadas pelos especialistas. Dessa forma, selecionamos três das melhores práticas recomendas pelos especialistas em segurança da informação e que podem ser adotadas imediatamente pelos escritórios de advocacia independentemente do seu tamanho (seja um advogado ou mais de mil advogados): 1) A primeira prática é a definição das responsabilidades dentro da estrutura dos escritórios: a)    Coordenador Geral: é importante que o escritório tenha uma pessoa que possa coordenar os trabalhos referentes à segurança cibernética do escritório. Em escritórios de médio porte ou menores, normalmente, é o CEO, mas, em organizações maiores temos um profissional especializado e totalmente dedicado denominado Chief Security Officer (CSO); b)    Todos os demais profissionais devem participar independentemente das suas posições e todas as suas funções devem ser mapeadas de maneira técnica: advogados, consultores (internos e externos), suporte (informática e administrativo) e outros prestadores de serviço. 2) A segunda prática é a adoção de políticas de segurança: nesse ponto, recordamos os dados estatísticos colhidos pela ABA em pesquisa realizada com os escritórios dos EUA: a.    Sobre o nível de conhecimento e de implementação geral:                                                  i.    17% não possuem qualquer tipo de política de segurança;                                                 ii.    8% desconhecem qualquer tipo de política de segurança. b.    Sobre os escritórios que implementaram algum tipo de política de segurança:                                                  i.    53% possuem política para retenção de informações de clientes;                                                 ii.    60% têm política sobre uso de e-mails;                                                iii.    56% publicaram regras para o uso da internet;                                                iv.    57% disciplinaram o uso de computadores dentro do escritório;                                                 v.    56% estabeleceram normas para o uso de computadores remotos;                                                vi.    48% fixaram uma política para o uso das redes sociais;                                               vii.    32% publicaram normas para o uso pessoal dos computadores;                                             viii.    44% estabeleceram regras sobre a privacidade dos empregados. c.    Em relação ao plano de emergência em caso de violação (ou incidente response), é sempre sugerida a divulgação de, pelo menos, um plano básico que envolve dois fatores:                                                  i.    Checklist com ações que devem ser adotadas pelos departamentos envolvidos;                                                 ii.    Contato de um profissional da área de segurança (principalmente no caso de escritórios pequenos que não possuam quadro próprio de profissionais da área de tecnologia).                                                iii.    Também sobre o incidente response, tendo em vista a sua relevância, verificou-se que apenas 36% dos escritórios dos EUA possuem um plano de emergência, sendo que: 1.    somente 12% dos escritórios individuais possuem esse plano; 2.    21% dos escritórios com 2 a 9 advogados já o implementaram; 3.    Quase 80% no caso dos escritórios com mais de 100 advogados já têm o plano divulgado internamente. d.    Em relação à implementação das políticas de segurança, é importante que seja realizado um treinamento interno de maneira contínua e que tenha como foco:                                                  i.    O conhecimento das ameaças;                                                 ii.    O domínio das técnicas sobre como realizar a proteção;                                                iii.    A divulgação plena das políticas existentes (retenção, e-mails, internet, computadores internos e remotos, mídias sociais etc.);                                                iv.    A compreensão dos tipos de profissionais e clientes: 1.    Conforme os dados e as informações armazenadas; 2.    De acordo com o tamanho do escritório.   3) A terceira prática é a identificação dos riscos. A base para a sua implementação é o conhecimento preciso tanto dos dados e das informações envolvidos quanto das tecnologias que são utilizadas tanto internamente quanto aquelas que são disponibilizadas para acesso pelos clientes. Dessa forma, devem ser atendidos três critérios básicos: a.    Custos para manter a sua operação; b.    Dificuldade de implementação das medidas de proteção; c.    Dificuldades de uso principalmente pelos advogados. Essas três práticas são apenas o ponto de partida que todo escritório de advocacia nos EUA deveria perseguir. As estatísticas indicam, no entanto, que a sua implementação ainda está distante de se tornar plena e, por isso, os esforços de conscientização pelas entidades como a ABA devem continuar. A tendência identificada, no entanto, é o aumento das práticas de segurança incorporadas pelos escritórios de advocacia ao longo dos últimos anos, mas esses dados variam conforme o tamanho dos escritórios. Por outro lado, não se identificou que as práticas implementadas são as mesmas sugeridas pelos especialistas em defesa cibernética. No Brasil, a atuação crescente de organizações dedicadas à proteção das informações como o IAPD (Instituto Avançado de Proteção de Dados)ix, além das normas específicas como a LGPD (Lei Geral de Proteção de Dados) devem intensificar tanto o levantamento de informações quanto o debate sobre esse assunto que impacta a vida de milhões de brasileiros. Os alertas trazidos pela ABA devem ser considerados não apenas pelos escritórios de advocacia no Brasil, mas também pelos órgãos públicos e entidades privadas. A digitalização já é uma realidade, principalmente com a massificação dos dispositivos móveis. Agora, é o momento do questionamento: estamos, de fato, preparados para nos defender? Se a resposta automática for sim, pense novamente. Finalmente, verificamos que os desafios enfrentados pelos escritórios de advocacia nos EUA devem servir como alerta para os escritórios brasileiros que, de fato, buscam a excelência na prestação de serviços aos seus clientes. O apoio especializado e a direção atualizada no que se refere às normas e as melhores práticas de segurança cibernética podem ser alcançados com o apoio de instituições dedicadas como o IAPD. Finalmente, se os ataques são uma certeza, a defesa deve ser uma constante no cotidiano de todos os escritórios. ______________ i OLIVEIRA, Cristina Godoy B.; MINTO, Giovanna Ap. Rossini. Segurança Cibernética em escritórios de advocacia. In Migalhas de Proteção de Dados, 16 julho 2021. Disponível << aqui>>. Acesso em 06 abril 2022. ii AMERICAN BAR ASSOCIATION. Formal Opinion 483: Lawyers' Obligation after an Electronic Data Breach or Cyberattack, 2018:" (...) the data security threat is so high that law enforcement officials regularly divide business entities into two categories: those that have been hacked and those that will be. Disponível<< aqui.>>. Acessado em: 05 abril 2022. iii AMERICAN BAR ASSOCIATION. Rule 1.1: Competence. Disponível . Acesso em 06 de abril de 2022. iv AMERICAN BAR ASSOCIATION. Rule 1.4: Communications. Disponível . Acesso em 06 de abril de 2022.   v AMERICAN BAR ASSOCIATION. Rule 1.6: Confidentiality of Information. Disponível <>. Acesso em 06 de abril de 2022. vi AMERICAN BAR ASSOCIATION. Rule 5.1: Responsabilities of a Partner or Supervisory Lawyer. Disponível <>. Acesso em 06 de abril de 2022. vii AMERICAN BAR ASSOCIATION. Rule 5.2: Responsabilities of a Subordinate Lawyer .Disponível . Acesso em 06 de abril de 2022. viii AMERICAN BAR ASSOCIATION. Rule 5.3: Responsabilities regarding nonlawyer assistance. Disponível <>. Acesso em 06 de abril de 2022 ix IAPD. Artigos: Instituto Avançado de Proteção de Dados. São Paulo, 2022. Disponível << aqui>>. Acesso em 06 de abril de 2022.  
Tudo o que pode ser conectado, será conectado1. De pequenos acessórios "vestíveis" (wearables) até regiões metropolitanas inteiras interconectadas2, a internet das coisas (Internet of Things, ou apenas IoT) está revolucionando a forma como os seres humanos interagem com a tecnologia e, inclusive, como os dispositivos tecnológicos interagem entre si. Esse cenário de "hiperconexão" traz novas possibilidades que facilitam de forma exponencial a vida em sociedade, a exemplo de automações da cadeia produtiva - que permitem que um dispositivo de checagem de estoque solicite automaticamente um produto ao fornecedor quando estiver em falta - até simples atos do cotidiano, como smartwatches que enviam relatórios de batimento cardíaco e nível de oxigênio no sangue a um profissional da saúde durante a prática de atividades físicas pelo paciente. Entretanto, com essas novas possibilidades, também surgem novos desafios. Estudiosos se deparam com inúmeros questionamentos, tais como: qual é o limite da coleta e do compartilhamento de dados pelos dispositivos conectados diretamente à internet? Quais modalidades regulatórias devem ser aplicadas a estes dispositivos, de modo a preservar direitos sem impedir a inovação? Em última análise, qual seriam os limites do entrelaçamento entre direito e técnica no contraste entre a proteção de dados pessoais e a ascensão da internet das coisas? A constatação inexorável que se colhe desses questionamentos é a de que o desenvolvimento tecnológico do século XXI sinalizou a necessidade de uma nova teleologia da internet. Novos fins, novos propósitos e novos contextos para uma tecnologia em constante transformação. Desde 2014, convencionou-se utilizar o termo "Web3", cunhado por Gavin Wood3, para designar uma internet essencialmente descentralizada, baseada em tokens e na tecnologia blockchain, mas que dependerá, essencialmente, da hiperconectividade4. É nesse cenário que se se concebe a expressão "internet das coisas" como um conceito. O leitor provavelmente já se deparou com situações peculiares envolvendo gadgets e dados no seu dia a dia, seja com o seu smartphone, seu smartwatch ou mesmo sua smartv. Apesar de os dispositivos acima estarem intrinsecamente ligados ao entretenimento, veja que essas tecnologias também trazem grande impacto na comodidade e conveniência, não somente na vida pessoal, mas também na profissional. Imagine-se, por exemplo, uma geladeira que detecta quando determinado alimento acaba (seja em uma loja ou em uma residência) e já faz automaticamente um pedido de entrega para o fornecedor cadastrado pelo usuário. Tal situação é benéfica para o comprador (que evita faltar algum produto indispensável para sua operação ou para seu consumo) e para o vendedor (por agilizar a cadeia produtiva e logística). Imagine-se, ainda, um smartwatch que, a depender do modelo, "entende" o padrão comportamental do usuário para lhe sugerir os apps e ações mais convenientes para cada momento (a partir do machine learning). Tal uso se torna possível em razão da coleta de uma massiva quantidade de dados durante o uso. Tais dados, em razão da hiperconectividade, podem ser compartilhados com outros devices, como o smartphone ou outros dispositivos conectados diretamente à internet (IoT), criando uma rede interativa entre dispositivos, que assumem verdadeira função de vigilância dos interesses e da predisposição do usuário. Este, por sua vez, é "entendido" por tais equipamentos devido ao perfil comportamental traçado (profiling). Para a compreensão dessa multiplicidade de conexões e dispositivos, Jonathan Zittrain propõe o conceito de "generatividade"5, abrindo a discussão para a classificação da IoT em "internet das coisas úteis" e "internet das coisas inúteis". Sensores em geladeiras e armazéns da indústria alimentícia; rastreadores de localização em tempo real no setor da logística6; pulseiras que medem a pressão de pacientes com quadro instável de saúde ao longo do dia... Todos esses exemplos poderiam ser entendidos como integrantes de uma "internet das coisas úteis", tendo em vista que cada dispositivo citado traz uma real vantagem para o usuário do setor indicado. Com esses exemplos em mente, Eduardo Magrani convida o leitor para refletir se produtos como "garrafas térmicas com sensores, geladeiras com Twitter e persianas conectadas" integrariam este rol de utilidade7. Para distinguir os dispositivos conectados entre úteis e inúteis, a newsletter TrendWatching delimitou a IoT em áreas como saúde (física e mental), bem-estar, segurança pessoal e privacidade de dados8. Outra classificação foi realizada pela empresa Libelium, ao distinguir a IoT nas classes de cidades, meio ambiente, água, medição, segurança e emergências, comércio, logística, controle industrial, agricultura, pecuária, automação residencial e saúde9. Em que pese as classificações acima serem pertinentes para a organização e subdivisão de produtos conectados em IoT, acredita-se que não sejam suficientes para distinguir, em definitivo, se determinado dispositivo integraria o conceito de útil ou inútil. É preciso teorizar uma distinção e a disciplina jurídica dos dados pessoais pode ser o elemento diferenciador. Para investigar o enquadramento de um dispositivo em alguma destas duas classificações (útil ou inútil), sugerimos o seguinte critério: a) se a coleta de dados pelo dispositivo e o esforço praticado pelo usuário resultam em efetiva benesse ao indivíduo, é útil; ou b) se a coleta de dados pelo dispositivo e o esforço praticado pelo usuário não resultam em benesse ou comodidade que os justifiquem, é inútil. Para que fique ainda mais claro, imagine-se novamente o exemplo de Magrani quanto à geladeira com acesso ao Twitter. É extremamente provável que se enquadre no rol de dispositivos da internet das coisas inúteis, tendo em vista que, ao se dirigir para a geladeira, o indivíduo está buscando alimentos e não informações em redes sociais. Além disso, provavelmente esse indivíduo estará com seu celular em mãos ou próximo a si, de modo que, caso queira consultar a rede social, dificilmente o fará de pé em frente à geladeira, mas, sim, sentado, empunhando seu smartphone, ainda que esteja simultaneamente a apreciar sua refeição. Note-se que, ao somar o esforço praticado pela indústria (programação, mão de obra e elevação de custos para fornecer essa função), o esforço praticado pelo usuário (se desviar de seu objetivo principal de se alimentar e utilizar a rede social em uma posição desconfortável) e a coleta de dados (de redes sociais, por uma geladeira), o resultado final não se mostra razoável para gerar uma facilidade ou comodidade que façam sentido. Portanto, tal dispositivo integraria a internet das coisas inúteis. Não obstante, um contraponto importante deve ser levantado: o mesmo dispositivo poderia ser classificado como útil, a depender do perfil de seu usuário. Imagine-se o seguinte produto: uma geladeira que informa ao seu proprietário que o leite está acabando. Agora, considere-se que: (i) cenário 1: o proprietário da geladeira é uma pessoa física, em sua residência com seu cônjuge e dois filhos; (ii) cenário 2: o proprietário é uma grande companhia de alimentos, cujo leite é um ingrediente essencial para seu produto final. No primeiro cenário, o dispositivo provavelmente seria classificado como inútil, uma vez que o usuário poderia facilmente procurar o leite na geladeira e, em caso de falta, anotar o produto na lista de compras ou em um checklist em seu smartphone. Já no segundo cenário, a empresa utiliza milhares de litros de leite por dia, de modo que não é fácil acompanhar o estoque, sendo, ainda, o leite um item indispensável para sua cadeia de produção. Em razão disso, tal dispositivo poderia impactar significativamente o negócio ao passo em que controlaria a quantidade de leite ainda disponível e, caso estivesse acabando, já direcionaria automaticamente um pedido de reposição para o fornecedor cadastrado. Neste caso, evidentemente, o dispositivo pode ser classificado como útil. O fato de um mesmo dispositivo poder apresentar mais de uma finalidade de uso e, consequentemente, poder ser classificado como útil ou inútil a depender do contexto confirma o conceito de "generatividade" de Zittrain. Não obstante, novos questionamentos emergem dessa constatação, a exemplo dos seguintes: qual seria o limite da coleta e do uso de dados pessoais por dispositivos "inúteis"? Haveria diferenças entre eles e o tratamento por dispositivos classificados como "úteis"? As respostas não são simples. Para responder aos questionamentos, é necessário realizar um estudo sobre o que a legislação define acerca do tema, sobre quais regulações existem até hoje e se estas são suficientes para tutelar os interesses individuais e coletivos envolvidos, levando-se em consideração o comportamento do ser humano na sociedade da informação10. No ano de 2019, foi publicada a primeira norma brasileira que trata expressamente sobre o assunto: o Decreto n° 9.854/2019 (Plano Nacional de Internet das Coisas). Conforme observa Eduardo Magrani, o desenvolvimento do Plano Nacional de IoT foi oportuno, vez que ocorreu em um momento no qual são amplamente discutidos conceitos como "hiperconectividade", e-citizens, ­e-GOV, e-commerce, indústria 4.0, computação ubíqua/persuasiva, entre outros. Logo em seu artigo 1°, o decreto informa que o seu objetivo é desenvolver e implementar a internet das coisas no país, devendo observar os princípios da livre concorrência e da livre circulação dos dados. Todavia, sabe-se que seres humanos não são absolutamente previsíveis. Bem ao contrário, é preciso reconhecer a imperfeição dos comportamentos humanos, pois, diferentemente das máquinas, que seguem rotinas padronizadas, exatas e balizadas pela matemática e pela lógica, os indivíduos humanos, além de serem racionais, também são seres extremamente emocionais, cuja característica marcante é, muitas das vezes, agir por impulso, orientado pelo imediatismo, sem refletir devidamente sobre as consequências de seus atos. Portanto, a proteção aos dados pessoais deve conjugar outros valores centrais do ordenamento, como consta do artigo 1º da lei 13.709/2018, ao destacar que o tratamento de dados pessoais deve ter o "objetivo de proteger os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural". O debate sobre generatividade acaba redundando, enfim, na necessidade de ponderação sobre os contornos teleológicos da inovação disruptiva, que é fomentada largamente por balizas como a livre concorrência e a livre circulação de dados (citadas no Plano Nacional de IoT), mas sem desconsiderar a necessidade de preservação do direito fundamental à proteção de dados pessoais e todos os direitos que lhe são correlatos. __________ 1 "Anything that can be connected, will be connected". MORGAN, Jacob. A simple explanation of 'The Internet Of Things'. Forbes, 2014. Disponível aqui. Acesso em: 25 mar. 2022. 2 Sobre as cidades inteligentes (smart cities), consultar a publicação, nesta coluna, do ensaio de FALEIROS JÚNIOR, José Luiz de Moura. Cidades inteligentes (smart cities) e proteção de dados pessoais. Migalhas, 1º de abril de 2021. Disponível aqui. Acesso em: 25 mar. 2022. 3 EDELMAN, Gilad. What is Web3, anyway? Wired, 29 nov. 2021. Disponível aqui. Acesso em: 25 mar. 2022. 4 SANTOS, Bruno et al. Internet das coisas: da teoria à prática. Link School of Business. Disponível aqui. Acesso em: 25 mar. 2022. 5 ZITTRAIN, Jonathan. The Generative Internet. Harvard Law Review, Cambridge, v. 119, p. 1974-2040, maio 2006, p. 1987-1988. Anota: "The Internet today is exceptionally generative. It can be leveraged: its protocols solve difficult problems of data distribution, making it much cheaper to implement network-aware services. It is adaptable in the sense that its basic framework for the interconnection of nodes is amenable to a large number os applications, from e-mail and instant messaging to telephony and streaming video. (.) Thus, programmers independent of the Internet's architects and service providers can offer, and consumers can accept, new software or services". 6 GILCHRIST, Alasdair. Industry 4.0: The Industrial Internet of Things. Nova York: Apress, 2016, p. 29-31. 7 MAGRANI, Eduardo. A internet das coisas. Rio de Janeiro: FGV Editora, 2018, p. 47. 8 TRENDWATCHING. Internet of caring things: Why consumers will embrace connected objects with a clear mission: to actively care for them. 2014. Disponível aqui. Acesso em: 25 mar. 2022. 9 LIBELIUM. 50 Sensor applications for a smarter world. Get inspired! 2012. Disponível aqui. Acesso em: 25 mar. 2022. 10 McEWEN, Adrian; CASSIMALLY, Hakim. Designing the Internet of Things. Nova Jersey: John Wiley & Sons, 2014, p. 294.
Recentemente, o Centro Wyss de Pesquisa em Bio e Neuroengenharia de Genebra anunciou que, por meio de implantação de um chip cerebral, alcançou exitosamente a recuperação de parte da capacidade comunicacional de um paciente acometido de esclerose lateral amiotrófico, reacendendo, em razão disso, o debate acerca dos dados neurais1. Em escala crescente evidencia-se cada vez mais o valor dos dados na sociedade informacional, ou seja, trata-se de uma sociedade impactada e transformada pelo incremento do emprego das Tecnologias de Informação (TIC), que, em outras palavras, alterando o curso e o tracejo do marco civilizatório, gerou uma variação surpreendente no mercado de commodities. A realidade atual, à vista disso, tem se tornado cada vez mais complexa, eclodindo daí uma significativa sensação de insegurança naqueles que se ocupam de buscar e de propor formas de regulamentá-la/regulá-la, tornando, por outro lado, mais robusto o sistema protetivo de dados pessoais no contexto nacional. De fato, emerge uma plêiade de indagações que se projetam, inclusive, sobre alguns padrões tradicionalmente aceitos, sobretudo conferindo ressignificação à identidade, à personalidade, à sociabilidade, à autonomia e à alteridade. A relação do ser humano com as tecnologias de informação e de comunicação (TICs), em síntese, consiste em um ponto de inflexão em todas as áreas, particularmente quanto à percepção do tempo e do espaço, ou seja, no âmbito da subjetividade, da responsabilidade, da memória, da privacidade e, como já se mencionou, da autonomia, notadamente no processo decisional. Portanto, na medida em que se desdobra entre os mundos real, digital e virtual, o ser humano, em seu novo perfil, aponta para a urgência em emular pautas de soluções para conflitos atuais, sobretudo, os que advêm da utilização da  inteligência artificial (doravante IA) e de novas aplicações na área da neurotecnologia. A propósito, torna-se inolvidável que a presença do ser humano na era informacional consiste, em regra, em  um certo alheamento, uma sistemática renúncia, inclusive, à condição tradicional de ser racional mediante a sujeição a uma ordem mundial controlada por um punhado2 de empresas privadas que se utilizam dos dados pessoais, sobretudo os assim chamados sensíveis e, dentre eles, os biométricos, em uma frenética algoritmização do cotidiano. O condicionamento advindo da relação do ser humano com as novas tecnologias diz respeito, portanto, ao desejo intrínseco de ser incluído, de fazer parte, e que está atrelado ao funcionamento do sistema dopaminérgico, pois se trata de uma sequência contínua de estímulos para a liberação da dopamina. Há, por assim dizer, uma psicologia do condicionamento associada à economia da atenção e de vigilantismo que pode ser entendida como externalidade negativa a partir dos faróis da função da emocionalidade, em geral, e, mais especificamente, mediante os recentes contributos das neurociências na medida em que se aprofundam os estudos sobre a chamada frontalização, ao tempo em que se tornam comuns as intervenções no cérebro e, consequentemente, as transcrições em formato de dados neurais. As neurociências estão voltadas para decifrar a complexidade que caracteriza o funcionamento e a anatomia do cérebro, mas, em particular, do sistema nervoso central; assim, trata-se de um conhecimento que se encontra em contínua evolução na medida em que evolui a partir dos avanços advindos da tecnologia, ocupando-se, v.g., da investigação das chamadas interfaces cérebro-máquina. Dentre os diversos sistemas que compõem o ser humano, reconhece-se, mediante a abordagem das neurociências, a complexa atuação das emoções, que passaram a ser consideradas como a força motriz do ser humano. O cérebro humano é, nesse sentido, uma síntese da própria evolução: organiza-se como um somatório funcional de estruturas mais rústicas e de regiões mais sofisticadas e, assim, mais recentemente integradas à composição anatômica do ser humano, como as regiões corticais, perfazendo uma orquestração fina, porém intrinsecamente tensionada. Uma das mais emblemáticas contribuições das neurociências, além de desnudar os padrões universais das emoções básicas, põe abaixo qualquer justificativa plausível para a discriminação entre as pessoas, reposicionando, por outro lado, categorias como a autonomia e o livre arbítrio, que estão, em síntese, na base do sistema social e do próprio Estado democrático de direito. Em verdade, o desenvolvimento cerebral é sempre crucial no processo de tomada de decisão na medida em que envolve vários paradoxos e, dessa forma, envolve o contexto que possui uma natureza cambiante e as características da individualidade do sujeito. Além disso, destaque-se que os padrões normativos, sociais, éticos e jurídicos são parâmetros para circunscrever as opções de condutas e atuam na medida em que apontam para a adequação e a inadequação, ou seja, indicam e reforçam processos de recompensa mais duradouros em detrimento dos impulsos imediatistas. A inteligência artificial(IA), principal ferramenta tecnológica no contexto atual, por sua vez, produz padrões por se ocupar das inúmeras formas de perfilhamento, encontrando-se mais alinhada à emocionalidade do que à racionalidade na sua faceta mais tradicional. Reafirme-se que o ser humano, em sua perspectiva emocional, não se configura apenas como um ser eivado de fragilidades, sendo, de fato, um notório sobrevivente e, nesse sentido, um vencedor na luta das espécies, vez que a emoção pode e deve ser usada a seu favor em contexto protetivo. De fato, há uma relação direta entre o funcionamento do cérebro e as condutas desencadeadas a partir de estímulos, que demonstra uma tensão contínua entre o ser humano e o meio no qual ele se encontra que, em suma, tem o intuito de incrementar as condições de adaptabilidade em marcações de valências positivas e negativas as experiências vividas, tendo em vista a ideia de recompensa em um equacionamento contínuo que envolve a dor e o prazer. A investigação acerca da IA, portanto, encontra-se profundamente atrelada ao adensamento na concreta percepção da circuitaria emocional, em particular das funções atribuídas às reações advindas a partir do funcionamento da amígdala (tendo especial atenção ao estado de estresse atualmente incrementado pela massiva exposição às novas tecnologias e agudizado nos tempos pandêmicos), vez que, além de alterar profundamente a vida, oferecem outros padrões de intelegibilidade e afetam às capacidades cognitivas, podendo servir de base para ações que podem culminar ora na emancipação, ora na manipulação, acarretando na subjugação/reificação da pessoa humana. Com efeito, as linhas de código que perfazem as IAs carecem de nuances, de subjetividade e de autocrítica. Não possuem, em seu atual estado, a capacidade para encetar juízos de valor e, nessa medida, agir com intencionalidade própria. Mas, de outra banda, apresentam potencial extremamente lesivo em algumas aplicabilidades. Oportuno lembrar a possível aproximação do modo operante das novas tecnologias com o do sistema volitivo no cérebro humano, chegando à razoável hipótese de vir a suplantá-lo em algumas atividades. IA, importante advertir, é um ramo da ciência da computação que se propõe a elaborar dispositivos que emulem a capacidade humana de raciocinar, de perceber, de tomar decisões e de resolver problemas. Destaca-se ainda que o elemento básico para uma caracterização da inteligência artificial encontra-se na dimensão do aprendizado e, então, está situado na formação de perfis taxinômicos que, baseando-se em uma primeira etapa na produção de grandes análises a partir de grandes bancos de dados, orienta-se no presente momento cada vez mais para a granulagem. Aponta-se, nessa altura, que, assim como o cérebro humano se reorganiza no processo de aprendizagem, há uma espécie de reorganização algorítmica subjacente quando se aprecia a relação chamada de IoT (Internet das Coisas) e igualmente no que concerne ao machine learning (aprendizado de máquina). Interessa reafirmar que as técnicas de IA, em regra, mas, não exclusivamente, mimetizam o funcionamento cerebral. Na aprendizagem por reforço, e.g., um sistema de IA aprende a otimizar a função de recompensa, reforçando-a de modo a aumentar a probabilidade de recorrência. Em síntese, as tecnologias cognitivas se referem aos sistemas inteligentes capazes, por seu turno, de aprender e de tomar decisões não estruturadas e não programadas previamente. Na prática, a atuação algorítmica ocorre a partir de cálculos probabilísticos, resultando da multiplicação de um vetor de entrada com milhões de parâmetros cujos valores foram engendrados mediante treinamento. Com efeito, não se pode olvidar da extrema relevância dos big data, inclusive em áreas ultrarrelevantes como a saúde e a segurança3, para a compreensão da IA, pois, podem resultar em novas formas para o enfrentamento de situações ditas insolúveis como a fome, a precariedade e a miséria, mas podem igualmente acarretar novas molduras de vulnerabilização da pessoa humana. Dentre os diversos desafios advindos com o aumento exponencial dos usos de IA que singularizou o século XXI, distingue-se que, em se tratando de uma multiplicidade de tecnologias, v.g., sobressai o problema que toca nos limites éticos e jurídicos da utilização na seara da neurotecnologia. Ainda merece grifo o fato de que, do volume dos dados produzidos e em franca expansão, apenas um baixo percentual se encontra estruturado e, portanto, é, de fato, utilizado. Assim, há um vasto campo no que toca ao emprego de IA que se desdobra de forma contínua, generalizada e sem precedentes, sobretudo a partir de dados advindos da interface cérebro/máquina, isto é, os dados neurais. Outro elemento primordial que tem sido colocado no centro do debate se refere ao uso preditivo das novas tecnologias que requer o autoconhecimento/a autopercepção como uma espécie de baliza para que o ser humano possa impedir a supremacia da máquina e, consequentemente, a chamada "Ditadura de Dados". Dentre alguns aspectos nocivos, afirma-se o mito da neutralidade apriorística e a recorrente ausência de transparência, de explicabilidade, de accountability e de justificação4. Trata-se, de fato, de um cenário em que urge a imposição de uma configuração na qual a opacidade deve ceder espaço à transparência, à auditabilidade e à compreensibilidade. Em rigor, o que deve ser realçado é que o rol de condutas em um ecossistema balizado pelo binômio Homem-máquina envolve a rígida parametrização por meio da responsabilidade, da solidariedade para o devido gozo da liberdade, da dignidade e da autonomia, dentre outros direitos, especialmente o direito ao livre desenvolvimento da personalidade, o direito à autodeterminação informacional e o direito à proteção de dados pessoais. Esse enquadramento que envolve o ser humano em relação às novas tecnologias pode se projetar em outro modo de utilização e, especialmente, de correlação/cooperação e de regulação/regulamentação. Diante disso, deve-se alertar que a interface cérebro máquina tem como objetivo conectar o cérebro humano a computadores ou dispositivos eletrônicos, tornando possível realizar o registro da atividade elétrica, magnética ou funcional do cérebro. Ademais disso, possibilita a decodificação do código neural e, por meio de algoritmos, enceta a transcrição em sinal linguagem de máquina no intuito de controlar dispositivos eletrônicos que podem ser embutidos no corpo humano ou atuar à distância. O contexto atual ampliou exponencialmente as aplicabilidades atribuídas às interfaces entre cérebro e demais dispositivos eletrônicos, dentre eles, a IA. O estado da arte na área da neurotecnologia possibilita forjar conexão entre qualquer parte do corpo humano com dispositivos eletrônicos utilizando os biopotenciais elétricos ou os sinais analógicos gerados pelos sinais biológicos, partindo de decodificação e controle de um dispositivo eletrônico que tem por finalidade conectar dois cérebros, podendo até mesmo conectar os dois hemisférios cerebrais de um mesmo indivíduo. Essa nova abordagem irá ofertar novas perspectivas para a utilização do cérebro humano, inclusive tornando factível transmitir informações de um cérebro de um indivíduo para outro, como se extrai do anúncio feito pelos neurocientistas suíços e alemães. Uma outra abordagem é utilizar informações do hemisfério saudável de um indivíduo que sofreu uma lesão cerebral e transmitir essa informação para controlar o hemisfério lesionado. Nessa altura, toma-se como ponto de partida a cartela de direitos humanos e fundamentais consagradas no sistema normativo brasileiro como uma imprescindível alavanca arquimediana à medida que eles são e devem ser necessariamente afirmados no contexto atual, parametrizando os métodos neurocientíficos e as chamadas novas tecnologias, sobretudo as baseadas em IA. Em análise prévia, vez que se trata de pesquisa em curso,  tendo em vista a atual conjuntura, conclui-se que, ainda a partir de uma análise aligeirada, que, embora as "regras de evidências" constituam um obstáculo substancial para o uso de evidências neurocientíficas e da existência de legislações como Marco Civil da internet, a Lei geral de proteção de dados, e outras de natureza regulamentar, tornam-se necessárias salvaguardas éticas, técnicas e legais mais apropriadas contra atuais e futuras violações dos direitos humanos e fundamentais na medida em que já se pode identificar e antever os riscos transnacionais e transgeracionais iminentes em razão da utilização irrefreada das técnicas e juízos maquínicos. De qualquer sorte, a partir da promulgação da EC 115 que incluiu o direito à proteção de dados pessoais na paleta nacional, reconhece-se um adensamento na construção de parâmetros mais seguros para a pessoa humana no contexto informacional, consolidando o dever atribuído aos agentes públicos e privados de desenvolver uma gestão republicana, ética, confiável e segura dos dados durante todo o seu ciclo de vida, produzindo, para tanto, as condições para o exercício da cidadania digital e, assim, o fortalecimento das instituições democráticas e do Estado de Direito5. Com efeito, a EC 115 ainda atribuiu à União a competência legislativa para tratar sobre o tema, culminando um processo de construção legislativa, doutrinária e jurisprudencial6 que colocou o Brasil no grupo de países7 que se ocupam da proteção da pessoa humana em sua integralidade, vez que já não se pode negligenciar, a realidade marcada pela digitalização8 e pela busca por cibersegurança9. Interessa, evidenciar a posição do Estado brasileiro como personagem central na salvaguarda e efetivação de direitos e, consequentemente, verificar, na medida do cumprimento de seus deveres constitucionais, a adequação e a atualização da sua estrutura e da atuação funcional parametrizada pela máxima da separação de poderes (artigo 2º CF/88) de modo a alcançar os objetivos consagrados no artigo 3º da CF/88 em face do novel cenário, máxime a partir da interpretação conjugada dos artigos 4 paragrafo 1; 6; 26; 29; 55, parágrafo 2º, dentre outros, que integram a LGPD (Lei geral de proteção de dados pessoais).  Em rigor, em face da atual conjuntura tecnopolítica10 e da ideia de que não existem dados irrelevantes, a proteção de dados pessoais e, consequentemente,  a efetividade da autodeterminação informativa, implica na contenção/vedação de unidades/blocos informacionais, privados e públicos que, agindo de forma monolítica, mediante a ultra exposição do ser humano, manifestam potencial de intensa lesividade11 à dignidade da pessoa. Aspecto significativo diz respeito à iniciativa do deputado federal Carlos Henrique Gaguim que, em 2021, apresentou projeto de lei que intenta alterar a lei 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais), a fim de conceituar dado neural e regulamentar a sua proteção. De fato, o parlamentar aponta para a relevância do tema e propõe uma espécie de acordo semântico acerca da terminologia utilizada, sugerindo a dicção que toma os dados neurais por informac¸a~o obtida, direta ou indiretamente, da atividade do sistema nervoso central e cujo acesso e' realizado por meio de interfaces ce'rebro-computador invasivas ou não-invasivas. Por meio do PL 1229/2021, observa-se a tentativa de conceituar neurotecnologias e as possibilidades de interface cérebro-máquina como "qualquer sistema eletrônico, óptico ou magnético que colete informação do sistema nervoso central e a transmita a um sistema informático ou que substitua, restaure, complemente ou melhore a atividade do sistema nervoso central em suas interações com o seu ambiente interno ou externo". O cerne e o mérito do PL 1229, a despeito de algumas atecnias como tomar dado por informação, bem como a falta de aplicabilidade real em razão da incipiente regulamentação e do descompasso com o avanço nas neurociências, inclusive no cenário nacional, é colocar o tema no radar12. O que já vem em hora tardia, vez que já é tematizado pela doutrina pátria, mas, se projeta como algo inarredável para o momento, particularmente quando se observa experiências como a do Chile que saiu na frente e já possui dispositivos jurídicos acerca dos dados neurais. Torna-se imperativo para as comunidades cientificas trabalharem juntas para melhor definir os limites, as capacidades e a direção pretendida para o emolduramento dos métodos neurocientíficos aplicáveis, bem como do emprego da IA, uma vez que se trata de questões cuja complexidade somente se torna alcançável mediante o diálogo franco e de caráter interdisciplinar. Urge, com isto, uma investigação sobre os limites e as balizas técnicas, éticas e jurídicas relacionadas com a proteção dos direitos humanos e fundamentais, notadamente os direitos de personalidade, sendo mais especificamente, os direitos neurais que merecem uma proteção apropriada e parametrizada com a CF/88. Pugna-se por um debate no que toca às interações entre Cérebro/Máquina, incluindo o conhecimento e o mapeamento dos diferentes níveis de consentimento e anonimato, buscando igualmente encetar esforços para a produção de consensos linguísticos e acordos semânticos que se orientem para o uso cuidadoso da terminologia apropriada e da identificação e o reconhecimento de diferentes interesses possivelmente conflitantes no ambiente nacional. Em síntese, em razão da especificidade desse tipo de dado pessoal e de suas atuais empregabilidades, que não necessariamente pode ser devidamente reconhecido no que, e.g., a LGPD assegura, há de se constatar uma radical relação entre o uso de algoritmos e as investigações neurocientíficas que abrem novos sentidos para o design de um presente e de um futuro próximo em que a manipulação parece ter se tornado a regra e a autonomia, a liberdade e a igualdade são devastadas, implicando, portanto, uma proteção que se volta para a produção/fortalecimento de camadas assecuratórias contra as afetações às emoções, aos sentimentos e à formação da memória, mirando notadamente no processo de tomada de decisão e ao desenvolvimento autodeterminado. Com a entrada do 5G no Brasil e, deste modo, na medida da aceleração do emprego de machine learning, e, mais especificamente, da Internet das Coisas (IoT)13, dispositivos neurais conectados à rede permitirão cada vez mais e melhor que indivíduos e ou organizações, públicas ou privadas, possam rastrear, induzir ou manipular a experiência mental de um indivíduo, tornando por vezes a ideia de livre arbítrio em uma nova falácia universal. Compreender o funcionamento cerebral, definir os limites éticos, técnicos e jurídicos do emprego dos neuroalgoritmos, bem como mapear as possibilidades de danos à personalidade, sobretudo no que se refere ao seu livre desenvolvimento se torna algo essencial e inadiável no cenário brasileiro em que a divisão digital e as campanhas de desinformação grassam e, por outro lado, há déficits graves em relação à educação, particularmente no que toca à cidadania digital e à perda gradativa da privacidade, inclusive mental14. Por derradeiro, evidencia-se que, para além dos danos pessoais e coletivos advindos da coleta e do tratamento indevido dos dados neurais, há custos sociais, políticos e sanitários que ainda não foram sequer mapeados e que afetam direta e indiretamente não somente a integridade física e psíquica dos indivíduos, mas se voltam e se tornam achaques radicais ao Estado de Direito, às instituições democráticas e, em particular, à pessoa humana15. *Gabrielle Bezerra Sales Sarlet é advogada, consultora, graduada e mestre em Direito pela Universidade Federal do Ceará (UFC), doutora em Direito pela Universidade de Augsburg(UNIA), pós-doutora em Direito pela Universidade de Hamburgo e pela PUCRS e especialista em neurociências e ciências do comportamento pela PUCRS. É professora dos cursos de graduação, mestrado e doutorado (PPGD) da Escola de Direito da Pontíficia Universidade Católica do Rio Grande do Sul (PUCRS). __________ 1 Disponível aqui. Consulta em: 23.03.2022 2 Exemplifica-se com a atuação da Akamai no parâmetro global da proteção de dados. 3 Kate Crawford & Jason Schultz, Big Data and Due Process: Toward a Framework to Redress Predictive Privacy Harms, 55 B.C. L. Rev. 93 (2014). Consulta em:24.03.2022 4 Gutwirth, S., & De Hert, P. (2022). Privacy, Data Protection and Law Enforcement. Opacity of the Individual and Transparency of Power. Direito Público, 18(100). Consulta em:21.03.2022 5 OCDE. Good practice principles for Data Ethics in the Public Sector, 2020, pg. 04. Consulta em: 26.02.2022 6 DONEDA, Danilo. Panorama histórico da proteção de dados pessoais. In: Tratado de Proteção de dados pessoais. Mendes, Doneda, Sarlet, Rodrigues Jr e Bioni (Coordenadores). Rio de Janeiro: Forense, 2021, p. 04. 7 Greenleaf, Graham, Global Data Privacy Laws 2021: Despite COVID Delays, 145 Laws Show GDPR Dominance (February 11, 2021). (2021) 169 Privacy Laws & Business International Report, 1, 3-5, UNSW Law Research Paper No. 21-60, Available at SSRN: clique aqui ou clique aqui. Consulta em: 15.03.2022 8 Disponível aqui. Consulta em: 21.03.2022. 9 Browne, Simone. Dark Matters: On the Surveillance of Blackness. Duke University Press, 2015. 10 Hoffmann-Riem, W. (2022). A Proteção Jurídica Fundamental da Confidencialidade e da Integridade dos Sistemas Técnicos de Informação de Uso Próprio. Direito Público, 18(100). Consulta em:21.03.2022 11 ZUBOFF, Shoshana. A era do capitalismo de vigilância: a luta por um futuro humano na nova fronteira do poder. George Schlesinger (Trad). Rio de Janeiro: Intrinseca, 2020, p. 153-154. 12 Disponível aqui. Consulta em:20.03.2022 13 Mantelero, A. (2022). Electronic Democracy and Digital Justice: Driving Principles for AI Regulation in the Prism of Human Rights. Direito Público, 18(100). Consulta em:21.03.2022 14 NIJHOLT, A. 2009. BCI for Games: A 'State of the Art' Survey. In: Entertainment Computing -  ICEC 2008, edited by S.M. Stevens and S.J. Saldamarco, 225-228. Berlin, Heidelberg: Springer Berlin Heidelberg, p. 225. 15 NIJHOLT, A. 2009. BCI for Games: A 'State of the Art' Survey. In: Entertainment Computing -  ICEC 2008, edited by S.M. Stevens and S.J. Saldamarco, 225-228. Berlin, Heidelberg: Springer Berlin Heidelberg, p. 225.
Introdução  Na Parte I e II1-2 deste texto, publicadas no Migalhas em 2021, tratamos das distinções e dos pontos de conexão entre o processo de consentimento na área da saúde, tanto na pesquisa clinica e na assistência à saúde, e a Lei Geral de Proteção de Dados - LGPD; lei 13.709/2018. Dando sequência, nesta terceira e última parte, abordamos o processo de consentimento envolvendo crianças e adolescentes nesta mesma perspectiva, da pesquisa e da assistência na área da saúde, assim como a sua relação com a LGPD. O ato humano de consentir está diretamente conectado ao exercício da liberdade. O consentimento pode representar diferentes formas e sentidos de manifestação de vontade, tendo este ato efeitos jurídicos ou não, ajustando-se ao contexto normativo de apreensão da realidade como expressão da autonomia privada, conforme afirmamos na Parte I, deste texto. Relembramos o leitor, para manter o fio condutor das Partes I, II e III deste texto, que partirmos do entendimento que o ato de consentir na área da saúde, seja na assistência ou na pesquisa clínica, está integrado a um processo, composto de elementos intrínsecos e extrínsecos na perspectiva da pessoa que consente. Dissemos na Parte I:  Os elementos intrínsecos relacionados à condição ou a situação do consentidor, como a capacidade psicológico-moral e jurídica; as motivações subjetivas e/ou objetivas; e a forma, escrita ou verbal. Os elementos extrínsecos, aqueles postos pela situação concreta e jurídica, essenciais ao conhecimento do consentidor para respeitar os seus direitos informativos, de personalidade e de autodeterminação. O ato de consentir deve ser realizado sem inadequações éticas3 e/ou vícios de consentimento (erro ou ignorância, dolo, coação e estado de perigo)4. Clique aqui e confira a coluna na íntegra. __________ 1 FERNANDES, Márcia S.; GOLDIM, J.R. Os diferentes processos de consentimento na pesquisa envolvendo seres humanos e na LGPD - Parte I. Publicado em 1 de outubro de 2021. Acessível aqui. 2 FERNANDES, Márcia S.; GOLDIM, J.R. Os diferentes processos de consentimento na assistência à saúde e na LGPD - Parte II. 3 GOLDIM, José Roberto Goldim. O consentimento informado numa perspectiva além da autonomia. Revista AMRIGS, Porto Alegre, 46(3,4): 109-116, jul.-dez. 2002. Também acessível aqui. 4 Código Civil Brasileiro, Lei 10.406/2002; Capítulo IV - Dos Defeitos do Negócio Jurídico; artigos 138 ao 156 e Capitulo V - Da invalidade do Negócio Jurídico.
O periódico alemão especializado em proteção de dados e segurança da informação com abordagem interdisciplinar, Datenschutz und Datensicherheit (DuD)1, dedicou o tema central de seu último volume do ano de 2021 ao que se poderia denominar de intermediários para a utilização compartilhada de dados ou intermediários fiduciários de dados (Datentreuhänder)2. Os intermediários fiduciários atuam na ligação entre os agentes de tratamento de dados pessoais e os titulares de dados pessoais, de modo a agregar na proteção destes. Muito embora existam variados modelos de implementação dessas figuras, a sua atuação se dá a partir da disponibilização dos dados pessoais pelos titulares a esses intermediários, que poderão realizar tratamento técnico empregando processo de pseudonimização ou de anonimização dos dados pessoais antes de os remeterem ao agente de tratamento final3. Há, portanto, uma efetiva relação de confiança entre o intermediário e o titular de dados pessoais. Aquele atuará como ponte entre os que necessitam tratar os dados pessoais na economia da informação, mas ao mesmo tempo cuidará para que a autodeterminação informativa e os direitos do titular sejam preservados4. Assim, ocorre, na prática, o auxílio do intermediário ao titular de dados pessoais, pelo fato de este, no dia-a-dia, encontrar-se sobrecarregado na gestão das informações relacionadas a sua pessoa, muitas vezes concedendo o seu consentimento ou autorizando o compartilhamento de dados de forma apressada, não refletindo sobre as consequências e deixando de exercer os seus direitos5. A questão se situa no âmbito da Estratégia Europeia para Dados, de fevereiro de 20206, da qual derivou uma proposta de Regulamento Europeu relativo à governança de dados7. Essa proposta não abrange apenas dados pessoais, mas também, por exemplo, dados e informações relacionados a pessoas jurídicas, que possam inclusive ter valor comercial, mas que não se enquadram na definição de dado pessoal, como elementos relacionados aos direitos da propriedade intelectual e o segredo industrial. A ideia que move os europeus com a edição de um texto legal de governança de dados é a de melhoria das condições para o compartilhamento, de modo a que ocorra simplificadamente, de maneira interoperável e respeitando as legislações correlatas8. Há, ainda, inspiração na proposta de legislação nos princípios de governança de dados e reutilização de dados, conforme desenvolvidos para a área da pesquisa, os denominados princípios FAIR9, que estipulam que os dados, a princípio, devem ser passíveis de localização, de acesso, de reutilização, além de apresentarem interoperabilidade. Um dos questionamentos que se colocaria, e que deverá ser enfrentado pelos países e organizações que pretendem, de alguma forma, adotar o modelo de intermediários fiduciários, é o de se o respectivo ordenamento jurídico, no que toca às legislações de proteção de dados, é, a princípio, compatível com essa figura. No que diz respeito ao Regulamento Europeu de Proteção de Dados, a conclusão a que se tem chegado é que muito embora sejam diversas as possibilidades de estruturação do modelo de intermediários (por exemplo, centralizado ou descentralizado), não se vislumbraria uma barreira no texto legal em vigência10, ainda que se clame, para agregar segurança jurídica, por modificações legislativas como a do art. 8011. Sugere-se, na literatura, a implementação de um processo de certificação dos interessados em atuar como intermediários, mediante a submissão a uma supervisão estatal12. Trata-se de proposta bastante adequada quando se trata da área de proteção de dados pessoais, que envolve tão relevantes direitos fundamentais dos cidadãos.   Além disso, há que se discutir acerca da possibilidade da representação quando da outorga de consentimento pelo titular de dados pessoais. Esse questionamento é fundamental no que diz respeito aos titulares capazes: trata-se de ato personalíssimo ou passível de outorga de poderes para que se disponha sobre o dado pessoal e os direitos do titular? Em se trazendo o debate sobre o assunto para o Brasil, as mesmas perguntas deverão ser formuladas. Assim como na Europa, deve-se proceder a um teste de conformidade, mas, a princípio, a Lei Geral de Proteção de Dados não opõe obstáculos a sua implementação. A Agência Nacional de Proteção de Dados (ANPD) poderia atuar na questão a partir de sua competência para "promover e elaborar estudos sobre as práticas nacionais e internacionais de proteção de dados e privacidade" (art. 55-J, VII, LGPD), e, posteriormente, conforme o resultado dos estudos, seria possível cogitar na edição de "regulamentos e procedimentos sobre proteção de dados pessoais e privacidade(...)" (art. 55-J, XIII). O próprio Conselho Nacional de Proteção de Dados e da Privacidade, que, da mesma forma (art. 58-A, LGPD), tem competência para elaborar estudos e realizar debates e audiências públicas sobre proteção de dados pessoais, poderia auxiliar a ANPD nessa tarefa. Em síntese, pode-se concluir que cabe pelo menos o lançar de olhos de forma mais detida sobre as variadas possibilidades de implementação do modelo de intermediários fiduciários de dados, posto que o seu emprego de modo adequado poderá desempenhar importante papel na missão de incrementar a observância da autodeterminação informativa do titular de dados pessoais e do respeito à legislação de proteção de dados.  *Fabiano Menke é professor associado de Direito Civil da Faculdade de Direito e do Programa de Pós-Graduação em Direito da Universidade Federal do Rio Grande do Sul - UFRGS. Doutor em Direito pela Universidade de Kassel, com bolsa de estudos de doutorado integral CAPES/DAAD. Coordenador do Projeto de Pesquisa "Os fundamentos da proteção de dados na contemporaneidade", na UFRGS. Membro Titular do Conselho Nacional de Proteção de Dados e da Privacidade. Membro Fundador do Instituto Avançado de Proteção de Dados - IAPD. Advogado e Árbitro. Instagram: menkefabiano. __________ 1 O periódico Datenschutz und Datensicherheit, denominação que significa proteção de dados e segurança de dados, é publicado pela editora Springer na Alemanha, mensalmente, desde o ano de 1977, e se notabiliza pela abordagem interdisciplinar da maioria de suas publicações, com muitas delas sendo escritas sob o ponto de vista técnico e jurídico. Tem endereço virtual em www.dud.de 2 A cogitação da figura desses intermediários não é nova, conforme apontam BUCHNER, Benedikt, HABER, Anna C., HAHN, Horst K., KUSCH, Harald, PRASSER, Harald, SAX, Ulrich e SCHMIDT, Carsten. Das Modell der Datentreuhand in der medizinischen Forschung. Datenschutz und Datensicherheit (DuD), 12/2021, p. 806-810. Segundo eles, já havia projetos acerca do assunto no ano de 1982, no âmbito do Conselho da Ciência alemão (Wissenschaftsrat). 3 KÜHLING, Jürgen. Der datenschutzrechtliche Rahmen für Datentreuhänder. Datenschutz und Datensicherheit (DuD), 12/2021, p. 783-788. 4 KÜHLING, Jürgen. Der datenschutzrechtliche Rahmen für Datentreuhänder. Datenschutz und Datensicherheit (DuD), 12/2021, p. 784. 5 LIMA, Cíntia Rosa Pereira de. Políticas de proteção de dados e privacidade e o mito do consentimento. Migalhas de Proteção de Dados, 15 jan. 2021. Disponível aqui, último acesso em 10 mar. 2022; OLIVEIRA, Cristina Godoy Bernardo de; MORAIS, Luís Augusto Teixeira. Consentimento esclarecido: mera ficção? Migalhas de Proteção de Dados, 18 fev. 2022. Disponível aqui, último acesso em 10 mar. 2022. 6 https://eur-lex.europa.eu/legal-content/PT/TXT/PDF/?uri=CELEX:52020DC0066&from=PT 7 https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A52020PC0767 8 Considerando 3, Proposta de Regulamento Europeu relativo à governança de dados. 9 https://www.go-fair.org/fair-principles/ 10 KÜHLING, Jürgen. Der datenschutzrechtliche Rahmen für Datentreuhänder. Datenschutz und Datensicherheit (DuD), 12/2021, p. 783-788. 11 SPECH-RIEMENSCHNEIDER, BLANKERTZ, SIEREK, SCHNEIDER, KNAPP, HENNE: Die Datentreuhand, Multimedia und Recht-Beil. 2021, 25, 46. 12 SPECH-RIEMENSCHNEIDER, BLANKERTZ, SIEREK, SCHNEIDER, KNAPP, HENNE: Die Datentreuhand, Multimedia und Recht-Beil. 2021, 25, 33.
Preliminares No dia 30 de setembro de 2021, em plena vigência da LGPD e da expectativa da aplicação das sanções (previstas para iniciarem no dia 1o de agosto do mesmo ano), o Banco Central (BC) comunicava o vazamento de mais de 400 mil chaves Pix1. O Pix ainda engatinhava nos seus recém completados 10 meses. Neste ano corrente já vimos outros dois vazamentos, e ainda nenhuma instituição foi penalizada. A Autoridade Nacional de Proteção de Dados, ANPD, responsável por apurar essas falhas de segurança relativas a dados pessoais, e punir os responsáveis, ainda se debate nas etapas preliminares de elaboração das sanções previstas na LGPD.  Enquanto isso, os correntistas afetados observam com desalento a adinamia da ANPD frente às entidades financeiras e o BC. Quem é quem nesta história toda é o que veremos a seguir. PIX O Pix é o sistema brasileiro de pagamento instantâneo; um sistema de transferência de fundos. Não é único no mundo. Similar ao FPS (Faster Payments Service), do Reino Unido, e o norte-americano Zelle, é um sistema auxiliar e precursor do real digital, a futura moeda digital brasileira. Embora tenha sido planejado, projetado, criado e gerenciado pelo respeitado Banco Central brasileiro, dados relacionados a mais de 500 mil chaves PIX já foram "vazados". Cabe afirmar que o termo "vazamento de dados" muitas vezes esconde a exposição indevida de dados pessoais ou o roubo de dados. Outras vezes, o roubo de dados seguido de exposição indevida. Duas infrações previstas na LGPD. Ambas situações são provenientes de falhas de segurança dos sistemas de informação (bancos de dados) nos quais se encontram informações pessoais. O Pix é um sistema de transferência digital de recursos entre contas e está disponível para todos os usuários das 734 instituições aprovadas pelo Banco Central e que tenham uma conta corrente, uma conta poupança ou uma conta de pagamento pré-paga. Diferentemente das transferências tradicionais, tais como o DOC e o TED, as transferências Pix são realizadas sem necessariamente o cliente conhecer a instituição, a agência e o número da conta do recebedor. As transferências são realizadas usando um número de telefone, um endereço de e-mail ou mesmo o CPF/CNPJ que se tornam chaves Pix, ou seja, códigos que se referem à individualização das informações bancárias de contas de seus clientes. Adicionalmente, os usuários podem escolher também uma chave aleatória que, como as anteriores, também serve como um apontador para a identificação de uma conta no sistema bancário nacional. Recordo que o Pix vai além das transferências de fundos e atua também como um sistema de pagamento. No último mês de janeiro, o sistema movimentou mais de R$639 bilhões por mais 120 milhões de usuários cadastrados no Diretório de Identificadores de Contas Transacionais - DICT do BC2. Além das transferências e pagamentos, o BC lançou em 29 de novembro de 2021 dois novos serviços, o Pix Saque e o Pix Troco. O Real está mesmo se tornando mais digital a cada dia. PIX: entendendo um pouco mais Tecnicamente, o sistema Pix é formado por dois grandes módulos, que são: 1) O SPI (Sistema de Pagamentos Instantâneos) que foi criado e é gerido pelo BC e atua como o sistema unificado, centralizado, de liquidação dos pagamentos. Todas as instituições cadastradas pelo BC para operarem o Pix, os chamados Provedores de Serviços de Pagamento (PSPs), mantêm uma conta específica no SPI, e; 2) O DICT (Diretório de Identificadores de Contas Transacionais). É por meio do DICT que os dados de identificação de endereços bancários, como CNPJ/CPF, e-mail e telefone são cadastrados. É esse serviço que permite buscar detalhes de contas transacionais (nome, instituição, agência, conta) direcionados pelas chaves Pix. Os dados respondidos pelo DICT permitem ao pagador, por exemplo, confirmar a identidade do recebedor3. Em resumo, todas as instituições vinculadas ao Pix usam o DICT para cadastrar e gerenciar as contas Pix, enquanto que o SPI é o sistema centralizado no BC que faz a liquidação, ou seja, o acerto de contas dos pagamentos e transferências. Todo esse sistema é, na prática computacional, muito mais complexo e intrincado do que esse resumo feito acima e limitado a apenas dois sistemas. O Pix é na verdade um conglomerado de vários subsistemas inter-relacionados que exigem técnicas avançadas de computação, criptografia e segurança de dados estabelecidas num conjunto de normas regulatórias controladas pelo BC. Essa rigidez do sistema e o alto grau de sofisticação exigida nos processos pode ser vislumbrada na fase de cadastro e homologação dos PSPs. Nessa fase de cadastro e homologação as instituições financeiras solicitaram o seu ingresso no sistema Pix. Essa homologação terminou em 16 de outubro de 2020.  Nesta data, o BC informou que 218 potenciais PSP desistiram ou tiveram seus pedidos negados para fazerem parte do sistema Pix. Entre esses quase-PSP estavam, não menos, a Caixa Econômica (o maior banco brasileiro em número de correntistas), o Banco XP, o Citibank, a Méliuz (voltaremos a ver esse nome), o OLX, a Magalu, o PayPal e a Rede (antiga RedeCard) do banco Itaú4. Os "vazamentos" ou infrações à LGPD Até o momento, foram três ocorrências de incidentes do sistema Pix, informadas pelo BC, que comprometeram dados pessoais. A primeira aconteceu em 24 de agosto de 2021 e foi comunicada pelo BC somente seis dias depois. Na ocasião, o Banco do Estado de Sergipe (BANESE) vazou 415,5 mil chaves Pix do tipo telefone. O vazamento ocorreu a partir do acesso de duas contas bancárias de clientes do BANESE [1, 5]. Cerca de seis meses depois, precisamente no dia 21 de janeiro deste ano, o BC informou que 160.147 chaves Pix em poder da Acesso Soluções de Pagamento foram vazadas. O incidente ocorreu entre os dias 3 e 5 de dezembro do ano anterior, comprometendo os seguintes dados pessoais: nome de usuário, CPF, instituição de relacionamento, número de agência e número da conta. A Acesso é uma empresa pertencente à Méliuz, uma startup unicórnio mineira. Aquela mesma que não participou da primeira homologação do Pix.5 Por fim, no último dia 3 de fevereiro, o BC informou que nos dias 24 e 25 de janeiro a LogBank expos 2.112 chaves Pix de clientes desta instituição de pagamento. Como nos casos anteriores, as informações vazadas eram cadastrais, como nome do usuário, CPF, instituição de relacionamento e número da conta.6 Quem falhou! A LGPD, no seu art. 5º, traz dois conceitos importantes relativos à aquisição, operação e administração de dados pessoais: as figuras do controlador e do operador de dados. "O controlador é aquele a quem competem as decisões referentes ao tratamento de dados pessoais, e o operador é aquele que realiza o tratamento dos dados em nome do controlador."7 Dados os incidentes de segurança apontados aqui, especula-se que todos esses estejam diretamente relacionados às falhas de segurança por parte dos Provedores de Serviços de Pagamento, os PSP, que são responsáveis por relacionar as chaves Pix aos dados bancários das contas de seus clientes. Percebe-se que o Pix se configura, em parte, com uma grande base de chaves Pix, base essa fracionada e cujas frações correspondem aos dados enviados pelos PSP. Nesta configuração, entende-se que os PSP são operadores de dados, enquanto o BC é o controlador. O art. 46 da lei 13.709/2018 (LGPD) explicita que ambos agentes de tratamento de dados pessoais devem adotar medidas de segurança, técnicas e administrativas para proteção dos dados pessoais de acessos não autorizados.8 Ainda, o art. 44 da mesma lei, em seu parágrafo único, afirma que o controlador ou o operador respondem "pelos danos decorrentes da violação da segurança dos dados ... ao deixar de adotar as medidas de segurança previstas no art. 46 desta lei, der causa ao dano."9 Como sanção, em razão das infrações cometidas às normas previstas, de acordo com o art. 52 da LGPD, esta lei prevê punições que vão de advertência à multa de R$50 milhões por infração. No entanto, com exceção da multa pecuniária caso a penalidade seja aplicada ao Banco Central, a lei prevê a aplicação apenas às pessoas jurídicas de direito privado.10 É "vazamento" ou não. Segundo a ANPD, o vazamento de dados é uma das formas de "qualquer evento adverso confirmado, relacionado à violação na segurança de dados pessoais". Além do vazamento, são listados como eventos adversos, os seguintes: "acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, ... ou ainda, qualquer forma de tratamento de dados inadequada ou ilícita, os quais possam ocasionar risco para os direitos e liberdades do titular dos dados pessoais."11 Pelo episódio da última infração a LGPD e, similarmente às divulgações dos vazamentos anteriores, o controlador, ou seja, o BC avisou o seguinte: "Apesar da baixa quantidade de dados envolvidos, o BC sempre adota o princípio da transparência nesse tipo de ocorrência. Como nos casos anteriores, não foram expostos dados sensíveis, a ANPD (Autoridade Nacional de Proteção de Dados) foi avisada e as pessoas afetadas serão notificadas". Nesse comunicado, o BC alega que essas infrações têm baixo impacto por envolver apenas dados cadastrais, e não informações sigilosas, que permitiriam, por exemplo, movimentar recursos nas contas. O BC erra ao tentar desqualificar as informações como "dados não sensíveis", as quais, na forma da lei, realmente são pois não são dados "sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico". Notem que o comprometimento de dados como, nome, instituição bancária, número da agência, número da conta corrente e chave Pix, como nos casos da Acesso e da LogBank, apesar de não serem "dados sensíveis" podem sim serem suficientes para, por exemplo, uma confirmação de dados numa conversa telefônica de um falso agente bancário. De posse destas informações, esse falso agente bancário, poderia levá-lo a uma grande variedade de golpes contra sua própria conta. Ademais, como em outros arroubos aos dados pessoais, tais informações podem ser complementares para uma eventual perfilização (profiling), um crime que ostenta enorme potencial lesivo12. Do ponto de vista técnico essas infrações podem ser consideradas como um comprometimento parcial do banco de dados. Faz-se uma analogia desta situação com a do bandido que almeja atacar um cofre escondido num quarto, mas que não consegue adentrar no cômodo, limitando-se "apenas" a pular o muro e entrar na sala de estar. Aumentando o desconforto e o desalento sobre esses vazamentos de dados, o presidente do Banco Central, Roberto Campos Neto, comentou, após os três primeiros episódios de vazamentos de dados em seis meses, que devido ao crescimento da base de operações do Pix, esses vazamentos irão ocorrer com alguma frequência13. O Pix é mais um sistema conhecido pelo nome genérico de Electronic Funds Transfer System (EFTS), ou simplesmente Electronic Funds Transfer (EFT). Este é um tipo de pagamento que, comparado às transferências eletrônicas anteriores, é mais rápido, simples, acessível e faz o pagamento diretamente. Tanto no Brasil, como no exterior, com a crescente descentralização bancária, os movimentos Open Banking e a forte presença das fintech, os EFT deverão ocupar a liderança nos sistemas de transferência e pagamento peer-to-peer, P2P, ponto a ponto. Infelizmente, todas essas facilidades trouxeram consigo novos tipos de crimes financeiros que podem ser divididos em quatro categorias: 1) Apropriação de contas, ou seja, o acesso não autorizado a conta; 2) Fraude por dispositivos móveis; 3) Vazamento de dados, e; 4) Atividades criminosas provenientes da Dark Web. Os tipos 1 e 2 são os tipos mais comuns de crimes financeiros e têm como causa principal o roubo de identidade. Para os dois serviços EFT mencionados anteriormente, o Zelle e o FPS, não foram divulgadas notícias sobre vazamentos de dados. Penso que a arquitetura e o gerenciamento destes dois serviços poderiam indicar ao BC novos direcionamentos que, ao menos, mitigassem esses vazamentos de dados e afastassem deste controlador a certeza e a impunidade nestas infrações a LGPD. *Evandro Eduardo Seron Ruiz é professor Associado do Departamento de Computação e Matemática, FFCLRP - USP, onde é docente em dedicação exclusiva. Atua também como orientador no Programa de Pós-graduação em Computação Aplicada do DCM-USP. Bacharel em Ciências de Computação pela USP, mestre pela Faculdade de Engenharia Elétrica da UNICAMP, Ph.D. em Electronic Engineering pela University of Kent at Canterbury, Grã-Bretanha, professor Livre-docente pela USP com estágios sabáticos na Columbia University, NYC e no Instituto de Estudos Avançados da USP (IEA-USP). Coordenador do Grupo de Pesquisa "Tech Law" do IEA-USP. Membro fundador do Instituto Avançado de Proteção de Dados - IAPD. __________ 1 Security Report. Banco Central confirma vazamento de chaves Pix. Último acesso em 26 de fevereiro de 2022. 2 BC. Estatísticas do sistema PIX. Último acesso em 28 de fevereiro de 2022. 3 BC. Regulamentação relacionada ao Pix. Último acesso em 26 de fevereiro de 2022. 4 Folha, out de 2020. Banco Central aprova 762 instituições para o Pix; 218 desistem ou têm pedido negado. Último acesso em 28 de fevereiro de 2022. 5 EBC. Banco Central comunica vazamento de dados de 160,1 mil chaves Pix. Último acesso em 26 de fevereiro de 2022. 6 Valor Investe. Banco Central comunica segundo caso de vazamento de chaves Pix em menos de um mês. Último acesso em 28 de fevereiro de 2022. 7 Sobre os agentes de tratamento de dados: DRESCH, Rafael Freitas Valle; MELO, Gustavo da Silva. Quem vai colocar o guizo no gato? Migalhas de Proteção de Dados, 11 jun. 2021. Migalhas de peso. LGPD: Esclarecendo os papéis de controlador e operador. Último acesso em 28 de fevereiro de 2022. 8 Sobre compliance e LGPD: ROSENVALD, Nelson. O compliance e a redução equitativa da indenização na LGPD. Migalhas de Proteção de Dados, 19 mar. 2021, último acesso em 03 mar. 2022. 9 Sobre responsabilidade civil e LGPD: ROSENVALD, Nelson. A polissemia da responsabilidade civil na LGPD. Migalhas de Proteção de Dados,  06 nov. 2021, último acesso em 03 mar. 2022. 10 Cf. LIMA, Cíntia Rosa Pereira de Lima; DE LUCCA, Newton. O Brasil está pronto para as sanções administrativas previstas na LGPD? Migalhas de Proteção de Dados,  06 ago. 2021, último acesso em 03 mar. 2022. DRESCH, Rafael Freitas Valle; MELO, Gustavo da Silva. A Autoridade Nacional de Proteção de Dados (ANPD): entre sanção e fiscalização. Migalhas de Proteção de Dados,  05 nov. 2021, último acesso em 03 mar. 2022. 11 ANPD. Comunicação de incidentes de segurança. Último acesso em 28 de fevereiro de 2022. Vide também: LIMA, Cíntia Rosa Pereira de; OLIVEIRA, Cristina Godoy Bernardo de. Dever de Notificação dos Incidentes de Segurança com Dados Pessoais - Parte 1. 20 jun. 2021. Instituto Avançado de Proteção de Dados (IAPD), último acesso em 03 mar. 2022. 12 DA SILVA, Luciana Ferreira; SANTOS, Pedro Otto Souza; DE JESUS, Tâmara Silene Moura. Novos contornos do direito à privacidade: Profiling e a proteção de dados pessoais New contours of the right to privacy: Profiling and the protection of personal data. Brazilian Journal of Development, v. 7, n. 11, p. 104173-104185, 2021. Sobre Relatório de Impacto à Proteção de Dados: LIMA, Cíntia Rosa Pereira de; OLIVEIRA, Cristina Godoy Bernardo de. Relatório de Impacto à Proteção de Dados: Mitos e Verdades - Parte 1, 28 maio 2021. Instituto Avançado de Proteção de Dados (IAPD), último acesso em 03 mar. 2022; ______; ______. Relatório de Impacto à Proteção de Dados: Mitos e Verdades - Parte 2, 03 jun. 2021. Instituto Avançado de Proteção de Dados (IAPD).  https://iapd.org.br/relatorio-de-impacto-a-protecao-de-dados-parte-2/, último acesso em 03 mar. 2022.   13 Estadão. Pix: "Vazamentos vão ocorrer em alguma frequencia". Último acesso em 26 de fevereiro de 2022.
O ambiente atual onde são efetivadas as pesquisas eleitorais. Ernest Hemingway é o autor da clássica obra cujo título ilustra este artigo, que conta a comovente história ocorrida na Guerra Civil Espanhola onde a narrativa aborda três dias na vida de um americano que se ligara à causa da legalidade na Espanha. A partir de uma análise ácida e crítica com relação à atuação extremamente violenta das tropas de ambos os lados, transpassa-se a ideia de que este horrendo e violento episódio ocorrido no país ibérico nos idos de 1937, apenas se resumia num certo aspecto da crise do mundo moderno. A obra também referência o poema do sacerdote anglicano e escritor inglês John Donne, que contribui para a nossa conclusão reflexiva.1 Na ambiência brasileira atual, onde se desdobra a  busca por um processo eleitoral democrático, alinhavamos de forma figurada, estes episódios descritos pelo consagrado autor, com a sua carga de virulência intensa  e  violência, para o momento atual representado por um mundo distópico, impactado pelo avanço das tecnologias informacionais,  que se vê às voltas com um outro tipo de  combate, advindo de uma crise sanitária que interfere diretamente na taxa de mortalidade, gerando políticas públicas regionalmente  adotadas, para conter o avanço da epidemia e momentos de incerteza  e de tensão social. Exatamente neste ambiente pandêmico pré-eleitoral, são  construídas as  narrativas  internas das mais diversas, gerando  incrível polarização política  entre os articulados  grupos que almejam o poder presidencial, adotando linhas de pensamento aparentemente opostas, com inúmeras consequências, interferência e reflexos  diretos e indiretos no processo democrático, gerando no  eleitor uma legitima incerteza e apreensão quanto ao devir, com se tudo  não passasse de mais um "aspecto da crise do mundo moderno".   Na construção de um processo eleitoral justo e democrático, deve preponderar a máxima informação e igualdade entre candidatos, cabendo ao  ordenamento jurídico eleitoral se configurar não só para organizar e manter os principios e as premissas voltadas para a transparência e veracidade do escrutínio, como também para   efetivar repreensão de práticas abusivas onde se inserem as condutas relacionadas ao uso indevido dos meios de comunicação social ou que  possam gerar o  abuso do poder econômico ou o uso indevido de poder político. O crescimento da inclusão digital e acesso à internet no pais, possibilitando entre outras atividades, a interação de pessoas em redes sociais, é realidade como atesta a Pesquisa Nacional por Amostra de Domicílios (PNAD) de 2019, realizada pelo Instituto Brasileiro de Geografia e Estatística (IBGE), ao demostrar que 82,7% dos domicílios brasileiros têm acesso à internet. A partir de tecnologia computacional instrumentalizada em modelo   big data analytics e sistema machine learning de predição algorítmica com o uso de inteligência artificial, amplia-se ilimitadamente a capacidade de coletar e analisar grandes conjuntos de dados de qualquer natureza, inclusive os voltados ao objeto de pesquisas de intenção de votos. Esses e outros reflexos foram objetos de nossa análise em outra ocasião nesta coluna.2 Neste contexto, este singelo artigo busca lançar um olhar de alerta, ainda que reconhecidamente fugidio, para a transparência nas pesquisas eleitorais, evitando-se a interferência de ferramentas de base tecnológica, que operam e aprimoram a capacidade de tratar e analisar informações e dados coletados, com fins de predizer resultados. Pesquisas eleitorais registradas e sua importância no debate democrático O concurso das tecnologias informacionais, na formação de planos amostrais que são a base de pesquisas eleitorais de intenção de voto, deve ser objeto de detida análise, a julgar pelo fato de que podem de certa forma, interferir sobre resultados como se demonstrará, comprometendo a lisura do processo e os resultados da pesquisa. As pesquisas de opinião pública relativas às eleições ou aos candidatos, devem ser registradas na Justiça Eleitoral, cinco dias antes da divulgação de seus resultados e obedecer a um nível de transparência e de informações prévias, segundo dispõe a    lei 9.504/97. Entre estas informações, estão as seguintes: contratante, valor e origem de recursos e cópia da nota fiscal; metodologia; plano amostral e ponderação quanto a sexo, idade, grau de instrução, nível econômico e área física de realização do trabalho a ser executado, intervalo de confiança e margem de erro; sistema interno de controle e verificação, conferência e fiscalização da coleta de dados e do trabalho de campo; questionário completo aplicado ou a ser aplicado.3 A formação previa da base amostral de pesquisa, partindo da coleta de dados dos eleitores aptos a integrarem, não nos parece que possa primariamente ser conjugada com outras camadas de informações sobre estes eleitores. Ferramentas no modelo machine learning com uso de inteligência artificial, podem executar esta tarefa a conjugar outras bases de dados, possibilitando um aprendizado de máquina necessário para traçar um perfil destes eleitores, de forma tal que se possa analiticamente prever a sua intenção de voto modulando-se não só a sua percepção, como também o seu comportamento em nuances e escalas infinitas.4 Uma utilização de sistemas algorítmicos, efetivada previamente à realização da pesquisa, poderá contribuir para criar uma mácula no processo eleitoral democrático, caso estas ferramentas sejam utilizadas assertiva e previamente à realização da pesquisa, como forma de interferir no conceito da aleatoriedade da escolha do eleitor.         Esta possibilidade de predição de intenção de voto, de forma anterior à pesquisa, pode ser  baseada em características primariamente identificadas e ponderações acerca dos eleitores, contidas em bancos de dados disponíveis, que contribuirão para a concretitude do plano amostral da pesquisa, adicionando-se e conjugando-se em camadas de sobreposição a este perfilamento inicial, os dados estruturados e não estruturados  advindos de outros bancos de dados mais completos e de informações disponíveis  na internet e nas redes sociais como Facebook, Instagram e Twitter, como métricas  adicionais para  gerar o enriquecimento dos perfis originários dos  eleitores.5 Há estudos acerca da interferência dos resultados de  pesquisas no processo eleitoral, promovendo uma disparidade entre aqueles que as podem contratar e os que não podem, também alterando, ao menos potencialmente, o processo de formação do voto, como  menciona  a  professora  Eneida Desiree Salgado ao esclarecer que além da liberdade de voto, há que ser assegurada a liberdade de formação de opinião política a partir do debate de ideias e da submissão da opinião pessoal à apreciação dos demais, sempre garantindo a igualdade de oportunidades  entre os candidatos na disputa eleitoral.6 E bem nos esclarece Eneida Desiree Salgado que "A Constituição estabelece como norma estruturante do Direito Eleitoral o princípio constitucional da máxima igualdade entre os candidatos. Essa escolha reflete-se no princípio republicano e na ideia de igualdade construída na Constituição, que impõe uma regulação das campanhas eleitorais, alcançando o controle da propaganda eleitoral, a neutralidade dos poderes públicos, a vedação ao abuso de poder econômico e a imparcialidade dos meios de comunicação. A campanha eleitoral mostra se a eleição é livre e justa."7 No âmbito e contexto da garantia da liberdade de expressão e do direito à informação livre e plural no Estado Democrático de Direito, a pesquisa eleitoral torna-se ferramenta importante de auxílio ao processo eleitoral e ao debate. Todavia, não se pode deixar de observar um paradoxo onde a    divulgação de resultados de pesquisas eleitorais, acaba por exercer influência sobre o eleitorado, não importando a sua qualidade, forma ou autenticidade. Ainda, a formação do perfil do eleitor, a depender do enriquecimento desta base de dados especifica coletada e de quem de alguma forma teve acesso à mesma, pode gerar não só o acompanhamento cotidiano do eleitor e de seus rastros digitais, por meio de suas redes sociais interativas, com finalidades das mais diversas, entre as quais as indutoras do seu consumo, refletindo na intenção democrática de voto. Em ambiente de estrita polarização e de debates dirigidos de ideias, não basta a busca da transparência e lisura integral do processo eleitoral até o computo dos votos, há que se verificar se a utilização de tecnologias concorrentes e disponíveis no mercado, que são capazes de previamente predizer a intenção do voto do eleitor, com razoável margem de sucesso, se sintonizam com os princípio e ideários buscados a um estado democrático de direito.     A metodologia de amostragem da pesquisa eleitoral e a coleta de dados.  Na realização de uma pesquisa de intenção de votos, há que se definir a amostragem consistente do público alvo composto do universo de pessoas pesquisadas, a quantidade de pessoas que serão entrevistadas (por meio de ligações automatizadas, telefones fixos ou celulares ou por visita domicilia, entre outros.), regiões do pais a serem atingidas, perfil sócio econômico, idade etc. Tanto a seleção adequada da base de amostra como os resultados, passam por   cálculos estatísticos que deve seguir a técnica adequada na formação dos planos amostrais para a coleta aleatória de dados pessoais, sempre com a necessária transparência e   mínima intervenção manipulatória humana na pesquisa e na coleta, para que a pesquisa não possa ser viciada na sua origem.8 Em recente pesquisa  de opinião sobre Redes Sociais, Notícias Falsas e Privacidade na Internet, realizada  em parceria com as Ouvidorias da Câmara dos Deputados e do Senado Federal, constatou-se a  influência crescente das redes sociais como fonte de informação para o eleitor. Quase metade dos entrevistados (45%) afirmaram ter decidido o voto levando em consideração informações vistas em alguma rede social. O fato que gera certa perplexidade encontra-se na afirmação de que a principal fonte de informação do brasileiro hoje é o aplicativo de troca de mensagens WhatsApp, onde em 2,4 mil pessoas entrevistadas, 79% disseram sempre utilizar essa rede social para se informar.9 Para a realização de pesquisas eleitorais, via de regra se utilizam como fontes primarias de informações acerca do público alvo,  tanto o  banco de dados demográficos fornecidos pelo IBGE - Instituto Brasileiro de Geografia e Estatística, como também de informações públicas armazenadas pela Justiça Eleitoral onde o  Brasil é dividido em cinco regiões: Norte, Nordeste, Centro-Oeste, Sudeste e Sul, nas quais se agrupam os 27 estados da federação, com a finalidade de atualizar o conhecimento regional do País e viabilizar a definição de uma base territorial para fins de levantamento e divulgação de dados estatístico que formam a malha  setorial censitária, consistente de uma unidade territorial estabelecida para fins de controle cadastral, com dimensão e número de domicílios, que permitam a realização de  levantamentos  e recenseamento.10 Reflexos da Interferência algorítmica na pesquisa eleitoral Sem intenção de identificar nenhum caso concreto acerca das pesquisas registradas na Justiça Eleitoral até o momento, por absoluta falta de informação relacionada à utilização de ferramentas preditivas anterior a realização da pesquisa ou no momento de sua efetivação, como forma de detectar previamente a preferência do eleitor  por certos candidatos,  analisa-se a possibilidade do uso destas  tecnologia  sobre  os resultados eleitorais, a  ponto de gerar um desvio metodológico onde os resultados obtidos,  acabam por não demonstrar  efetivamente  a realidade intencional do voto, que poderia ser obtida a partir de uma coleta livre e aleatória de dados e  volume regional das amostras  despidas de  qualquer viés, a não ser os usualmente e metodologicamente utilizados para a  classificação do eleitor. As novas tecnologias baseadas em dados, fornecidos pelos próprios usuários, podem fazer nascer uma opinião pública irreal, induzida, forjada? Estas questões foram levantadas em artigo científico, pelos professores Luziane de Figueiredo Simão Leal e José Filomeno de Moraes Filho, esclarecendo afirmativamente que o   problema maior diz respeito à falta de transparência dos algoritmos, pois não se sabe ao certo, quais dados pessoais são recolhidos, quais critérios e como eles estão sendo utilizados.  Finalizam estes autores o ponto de vista, mencionando que " A reunião de dados pessoais e a customização deles para o interesse do "cliente" indicam que há muito para ser desvendado nesse campo. O dataísmo, termo utilizado para descrever as novas formas de pensar e de viver no mundo dos big datas, está sendo construído numa velocidade linear."11 Talvez a grande problematização sobre este tema, seja decorrente do uso de Inteligência artificial prévia, na  escolha  "aleatória"  das pessoas que comporão o  universo  de pesquisa  e o público alvo macro econômico  e social, destacadas de uma base maior de dados pessoais, fornecida por meios lícitos, com a posterior  modulação algorítmica prévia com a finalidade de se  criar uma sub-base   segmentada e especifica de eleitores cuja intenção de voto foi preditiva e antecipadamente detectada, por meio de ferramentas de base tecnológica que possibilitaram o cruzamentos de várias bases contidas em  banco de dados públicos, privados e advindos dos rastros digitais de eleitores em internet e em redes sociais. Há ferramentas de marketing no mercado, que podem realizar exatamente o que se mencionou, a  partir da coleta de certos dados, efetuando o  perfilamento do eleitor, por meio de  conjugação de sistemas de processamento no modelo big data analytics,  classificando e interpretando  milhares de dados estruturados e não estruturados que trafegam pela internet,  a ponto de claramente poder gerar uma   ressignificação pela construção de um potente perfil destes eleitores, apontando a sua tendencia de consumo e as suas preferencias políticas e eleitorais,  predizendo as tendencias de voto e possibilitando, além da  oferta de  produtos e serviços dedicados, a interação intencional por meio de suas redes sociais. Se esta possibilidade existe, convém lembrar que a LGPD - Lei Geral de Proteção de Dados tem como princípio a proteção dos dados pessoais desde a coleta até o descarte, obedecendo ao princípio "private by design". Portanto, é de se questionar se uma pesquisa que se utiliza de algoritmos e de tecnologia informacional de processamento de dados a ponto de segmentar previamente a base de eleitores, estará em sintonia com esta regra.12 Por meio de análise conjunta de dados -  "Conjoint analysis", aplica-se um método de medição útil para implementar a segmentação de mercado e o posicionamento, a partir de plataforma que analisa respostas em níveis individuais e agregados, contendo as medidas de preferência de consumidores (ou eleitores), em relação a conjunto de características de um determinado produto ou serviço. (ou candidato) Na análise da modulação em face dos sistemas algorítmicos, o Professor Sergio Amadeu Silveira esclarece que com a utilização de machine learning e soluções de algoritimos, as plataformas tecnológicas estruturam, processos de modulação para delimitar, influencias, reconfigurar o comportamento dos usuários, de forma tal que os mantenha disponíveis e ativos neste ambiente, para, inclusive, atender aos apelos de serviços, produtos ou ideias disponibilizadas pelos interessados neste público.13 Entre estas ferramentas preditivas, podemos citar a peoplescope que, segundo informes de seus criadores, possui a maior base de informações dos consumidores brasileiros, por meio do mapeamento do comportamento do titular dos dados pessoais, gerando o conhecimento das suas características únicas. A sua base de dados é composta a partir de informações do SPC, pesquisas do Target Group Index, Censo e Pesquisa Nacional por Amostras de Domicílios (PNAD), a partir do mapeamento do Brasil em 13 macrossegmentos com 42 segmentos populacionais com visões detalhadas de comportamento, atitudes, decisões de compras.14 O IBOPE Buzz, no ano de 2016, divulgou nas mídias que passaria a se utilizar da mencionada plataforma de pesquisa de dados de consumo e comportamento, possibilitando   segmentação da população e leitura de dados e dos rastros deixados pelos consumidores em suas transações comerciais, unindo informações censitárias colhidas em PNAD pesquisa nacional por amostras domicílios com informações de transações financeiras do consumidor para estabelecer segmentações comportamentais.15 A empresa IPEC inteligência, que assumiu parte das operações do IBOPE,  por sua vez, ofertou  em suas páginas  o produto denominado peoplescope Politico  apresentado como uma ferramenta que permite conhecer o eleitor, através de uma sobreposição de camadas de informações, e que contribui para a definição de uma estratégia de comunicação mais assertiva.16 Ressalta-se que não se tem conhecimento de que estas ferramentas tenham sido utilizadas nas pesquisas publicadas na Justiça Eleitoral. Todavia, parece-nos que este universo de fusão de dados maciços, possibilitado por plataformas de base tecnológicas  que permitem o cruzamento em camadas, de   dados pessoais sempre   com foco em um objetivo especifico, quando eventualmente utilizado com  viés indutivo para a consecução de  pesquisas eleitorais, poderá de certa forma,  comprometer  os critérios básicos de transparência do processo eleitoral democrático, gerando uma macula na base publica originária da coleta e reduzindo o conceito de aleatoriedade, gerando um erro analítico sério e motivado,  porque intencional. O viés amostral gerado pela ressignificação das pessoas dos  eleitores titulares de dados, a partir do enriquecimento destes  dados,  pode assim ser  uma possível fonte de erros amostrais, o que ocorre quando a amostra é escolhida de forma que alguns indivíduos terão a  menor probabilidade de serem inclusos na pesquisa  do que outros. Estes erros amostrais podem ser intencionais e abusivos, mesmo que tenham gerado reflexos positivos e esperados àqueles   que encomendaram a pesquisa.  Este tipo intencional de  erro pode ser considerado um  erro sistemático a partir de procedimento não informado de perfilação previa da base amostral. E a final, por quem os sinos dobram? Entre os principios estruturantes do direito eleitoral, identificados na Constituição Federal, encontram-se a autenticidade eleitoral que pressupõe a existência de um sistema de verificação de poderes e direito a uma eleição limpa; a máxima igualdade na disputa eleitoral, inclusive no que tange a pesquisas e controle da propaganda, além do princípio da legalidade no que for concernente ao âmbito eleitoral, também voltado para coibir abusos no período eleitoral. A Resolução -TSE nº 23.600, de 12/12/19, autoriza e legitima o acesso ao sistema interno de controle verificação e fiscalização da coleta de dados disponibilizados pelas entidades que divulgarem pesquisas eleitorais de opinião. Entre os legitimados estão o Ministério Público; as candidatas e os candidatos; os partidos políticos; as coligações e as federações de partidos.17 A concretização de direitos rompidos de alguma forma, em pesquisas eleitorais, é efetivada por meio de instrumentos processuais para a sua apuração e sanções jurídicas e políticas quando de seu cometimento, onde os legitimados indicados, podem   impugnar o registro ou a divulgação de pesquisas eleitorais perante o juízo ou Tribunal competente e, eventualmente, pleitear a suspensão da divulgação da pesquisa, sempre em busca da transparência do processo eleitoral democrático. O problema não está assim, na utilização de ferramentas predicionais com a finalidade de se detectar a possível vocação ao voto e hábitos de consumo do eleitor, mas sim na formação de uma base amostral de pesquisa, constituída após os resultados prévios obtidos nas ferramentas de predição, com o uso dos algoritmos e da inteligência artificial, para gerar o universo aleatório de pessoas que efetivamente serão sorteadas para responder à pesquisa, utilizando-se de cálculos e fórmulas matemáticas de forma tal que determinado percentual destas pessoas  escolhidas,  possam atender às expectativas esperadas por parte daquele grupo de interesse na pesquisa. A ocorrência de um erro de pesquisa amostral gera uma falha estrutural no processo, com severas interferências nos resultados, perdendo a pesquisa o seu caráter institucional informativo pretendido pela Justiça Eleitoral. A partir da quebra do princípio da aleatorialidade, prejudica-se o princípio da igualdade de oportunidades, com lesiva interferência na função democrática da formação da opinião pública e na real demonstração da vontade política. As consequências serão desastrosas e funesta, gerando imprevisibilidade tanto para os candidatos não beneficiados pelos resultados, como para os eleitores e para o pais.    Nesta sociedade onde se busca a redução da opacidade sistêmica em processos de pesquisas eleitorais, como forma de se evitar a assimetria informacional que possa gerar uma falha de processo de tal envergadura que comprometa a formação do processo decisório, relembra-se as palavras de John Donne ao mencionar que "nenhum homem é uma ilha e cada homem é uma partícula do continente, uma parte da Terra". As pessoas acabam compondo uma imensa rede neural tecnológica, com dados pessoais trafegando sem limite e sendo apropriados e utilizados pelos mais diversos sistemas, analisados, classificados, enriquecidos e ressignificados, desafiando regras protetivas destes dados, reduzindo e diminuindo o pleno exercício da cidadania e da democracia. "Se um torrão é arrastado para o mar, a Europa fica diminuída, como se fosse um promontório, como se fosse o solar de teus amigos ou o teu próprio. A morte de qualquer homem me diminui, porque sou parte do gênero humano. E por isso não perguntes por quem os sinos dobram, eles dobram por ti..."  *Adalberto Simão Filho é Professor Titular dos programas de Mestrado e Doutorado em Direitos Coletivos e Cidadania da UNAERP/RP, mestre e doutor em direito das relações sociais pela PUC/SP, pós doutor em direito e educação pela Universidade de Coimbra e  Pós-Doutorando em Novas tecnologias e Direito pala Mediterranea International for Human Rights Research- MICHR-Reggio-Calabria-Italy;  Diretor Jurídico do Instituto Avançado de Proteção de Dados- IAPD. __________ 1 Disponível aqui.  2 SIMÃO FILHO, Adalberto; RODRIGUES, Janaína de Souza Cunha. Coded Bias: O paradoxo dos algoritmos tóxicos em Inteligência Artificial e LGPD. Disponível aqui, acesso em 22 de fev. 2022. 3 OLIVEIRA, Cristina Godoy Bernardo de; GUIMARÃES NETO, Fernando Celso. Estado vigilante e regulação das fake News. Disponível aqui, acesso em 23 fev. 2022. 4 Cf. OLIVEIRA, Cristina Godoy Bernardo de; MEIRA, Rafael. Inteligência Artificial e Proteção de Dados: desafios e debates. Parte 1. Disponível aqui, acesso em 23 de fev. 2022. 5 vide a propósito  ENEAS, Guilherme et al. Predictive model for Brazilian presidential election based on analysis of social media. In: INTERNATIONAL CONFERENCE ON NATURAL COMPUTATION: FUZZY SYSTEMS AND KNOWLEDGE DISCOVERY (ICNC-FSKD). Kunming, 2019 disponivel aqui. 6 Salgado.Eneida Desiree ,Professora e pesquisadora em direitos constitucional e direito eleitoral tese de doutoramento  intituladaPRINCÍPIOS CONSTITUCIONAIS ESTRUTURANTES DO DIREITO ELEITORAL defendida na UNIVERSIDADE FEDERAL DO PARANÁ PROGRAMA DE PÓS-GRADUAÇÃO EM DIREITO - DOUTORADO- ano 2010, disponível aqui. 7 op. Cit. Pag. 247 8 Sobre os perigos de tratamento de dados sem a devida cautela vide: SOUSA, Maria Eduarda Sampaio de. Raspagem de dados (data scraping): a proteção de base de dados públicas pela LGPD. Disponível aqui, acesso em 23 de fevereiro de 2022. 9 Disponível aqui.  10 Disponível aqui.  11 Simão, Luziane de Figueiredo Leal e Moraes Filho,  José Filomeno de. In  Inteligência artificial e democracia: os algoritmos podem influenciar uma campanha eleitoral?Uma análise do julgamento sobre o impulsionamento de propaganda eleitoral na internet do Tribunal Superior Eleitoral , disponível aqui. 12 Sobre esta e outras reflexões vide: SOUSA, Maria Eduarda Sampaio de. Proteção de dados pessoais e eleitorais na esfera pública e privada: análise segundo a LGPD. Disponível aqui, acesso 23 de fev. 2022; ______. LGPD e eleições: proteção dos dados pessoais dos eleitores na era do Bigdata. Disponível aqui, acesso 23 fev. 2022. 13 Silveira, Sergio Amadeu, in A noção de modulação e os sistemas algorítmicos. Publicado na obra A sociedade de controle. Manipulação e modulação nas redes digitais, organizada conjuntamente com Joyce Souza, Rodolfo Avelino. Editora Hedra, São Paulo. 2018, pag.42. 14 Disponível aqui.   15 Disponível aqui.   16 Disponível aqui. Segundo informes da Wikipedia,  em 2014, o grupo estrangeiro Kantar comprou a divisão de mensuração de audiência televisiva e pesquisas de mídia do IBOPE, criando a Kantar Ibope Media. Por conta disso, a família Montenegro criou a Ibope Inteligência, divisão que deu continuidade às atividades de pesquisas de opinião e de mercado do antigo Ibope. Em janeiro de 2021 a empresa encerrou atividades após o fim do contrato de cessão de marca com a Kantar Ibope Media. Executivos remanescentes do Ibope fundaram, então, uma nova empresa de pesquisas, o Ipec Inteligencia e Pesquisas em consultoria estratégica que entre seus produtos ofertados, encontram-se os seguintes: BUS, i-Renome, c-Trademark, Iflux, ICS, Peoplescope Político, Avalia, Conexão Criativa. (Clique aqui) 17 Outras reflexões em: LIMA, Cíntia Rosa Pereira de; SOUSA, Maria Eduarda Sampaio de. LGPD e combate às fake news. Disponível aqui, acesso em 22 fev. 2022.
sexta-feira, 18 de fevereiro de 2022

Consentimento esclarecido: mera ficção?

Uma questão que tem se destacado nos últimos tempos é a do consentimento livre e esclarecido que consta na LGPD - Lei Geral de Proteção de Dados Pessoais (13.709/2018) - como um dos requisitos para tratamento de dados pessoais. O consentimento colhido em páginas da internet ou em aplicativos é mesmo esclarecido? O cidadão comum está apto a entender de forma integral os termos de uso ou os contratos que informam sobre o tratamento dos dados pessoais?1 Quando utilizamos qualquer aplicativo ou acessamos qualquer conteúdo na internet somos levados a uma página ou tela em que temos que aceitar os termos de uso.2 São parágrafos e mais parágrafos com linguagem tecnológica e jurídica que, convenhamos, quem está louco para acessar uma rede social ou um aplicativo da moda, jamais terá paciência para ler e minimamente entender. Tais aplicativos ou acesso a conteúdos, muitas vezes ditos gratuitos, são muito bem remunerados com um valiosíssimo ativo: dados para serem transformados em informação e lucros e, por isso, devem, de acordo com a LGPD, ser disponibilizados de forma consciente pelo titular dos dados, isto é, o consentimento deve ser informado, livre, expresso, específico e inequívoco. Entretanto, estudos empíricos têm demonstrado que é muito pequeno o número de pessoas que leem os termos de uso ou os contratos firmados pela internet: um desses estudos afirma que apenas 0,05% a 0,22% abrem o link onde constam os termos de uso e somente uma ínfima parcela destes deixa a janela aberta por tempo suficiente para ler seu conteúdo integralmente3. Ou seja, se as pessoas não leem os clausulados, como exigir delas seu entendimento? Como dizer categoricamente que determinada pessoa consentiu de forma esclarecida sobre o tratamento de seus dados pessoais? Quando alguém aceita os termos de uso de um aplicativo não quer nada além do que utilizá-lo. Não quer autorizar o tratamento e a monetização de seus dados pessoais, pensa apenas nos aspectos envolvidos diretamente com o produto e não com outros aspectos, como o de ter seus dados coletados por meio de cookies para finalidades empresariais alheias aos seus interesses.4 Assim, o titular dos dados começa a utilizar os serviços e quando ocorre algo que crê ilícito, como por exemplo, que terceiros tenham acesso aos seus dados sem autorização, procura o Judiciário para proteção de seus direitos.  Ato contínuo, vê-se contraditado pelo advogado da empresa ré com o argumento de que deu seu consentimento de forma livre e esclarecida sobre o que fariam ou deixariam de fazer com seus dados, quando passou a utilizar o aplicativo "x" de uma empresa parceira. Nesse momento, o titular dos dados alega que não leu os termos de uso e que, mesmo se tivesse lido, não teria entendido que seus dados seriam repassados a terceiros, o que é refutado pelo advogado, que afirma que o consentimento esclarecido pode ser comprovado com o "log" do sistema, que demonstra que o clique no botão "aceito" está devidamente vinculado ao IP - Internet Protocol - do dispositivo do autor da ação e que, inclusive, a barra de rolagem da janela aberta, com os termos de uso, foi corrida até o final, demonstrando que o contrato foi lido por inteiro. No entanto, o uso de um computador pessoal ou de um smartphone pode ser compartilhado com terceiros, que para terem acesso à determinada página na internet ou aplicativo, aceitam os termos de uso, vinculando um dispositivo que guarda informações de seu proprietário e não do usuário eventual (terceiro), sendo que os cookies instalados coletam dados de uma pessoa que, sequer, utilizou o serviço. Assim, fica claro que vincular o clique no botão "aceito" à determinada pessoa é algo que, primeiramente, não demostra de forma inequívoca que o clique foi dado pela pessoa que tem a propriedade do smartphone ou do computador pessoal e, menos ainda, demonstra que o botão "aceito" foi clicado após o pleno entendimento dos termos.5 Porém, o titular dos dados não pode ser prejudicado por uma presunção de que o consentimento foi esclarecido. Se o entendimento dos termos é tratado como uma ficção, nada mais justo do que dar ao titular um tratamento diferenciado, pois a relação jurídica deve ser reequilibrada, sendo que, se há sujeição a uma presunção de entendimento, haverá de ter uma maior proteção, no sentido de que cláusulas abusivas, obscuras, ambíguas ou limitadoras de direitos possam ser anuladas a despeito do consentimento dado. No entanto, a LGPD, assim como outras leis de proteção de dados pessoais estrangeiras, busca adjetivar o consentimento de forma a qualificá-lo para além do consentimento meramente informado6. Nesse sentido, a exigência de que a empresa prove de maneira inequívoca que o titular de dados leu e compreendeu os termos do contrato ou dos termos de uso não deveria estar sob a influência da mera transparência7, que exige que o fornecedor apenas comprove que disponibilizou os clausulados para leitura. Isso se deve ao princípio da autodeterminação informativa, que dá poderes ao titular de dados para fazer, de forma consciente e esclarecida, aquilo que achar por bem com seus dados pessoais, sendo que o judiciário deveria exigir a comprovação da leitura e do entendimento do contrato, não bastando a prova da mera abertura de um link com as cláusulas. A fim de contribuírem com a possibilidade do consentimento esclarecido, alguns autores propõem que as cláusulas que restringem direitos devem ser destacadas e que devam exigir anuência expressa e específica, não bastando a simples referência à política de proteção de dados e privacidade8. Outros propõem que os termos de uso e que as políticas de privacidade sejam mais bem explicitadas, utilizando-se, para isso, de meios mais atrativos do que a leitura de contratos9. Poderiam ser propostas diversas soluções para que se tentasse proporcionar maior esclarecimento ao titular de dados, como o uso de vídeos explicativos, de questionários, de resumos dos principais pontos ou simplesmente de um lapso de tempo suficiente entre o acesso às cláusulas e o aceite, já que não faltam recursos para que empresas de alcance global e altamente tecnológicas utilizem parte deles para traduzir para uma linguagem acessível os termos de consentimento.  Entretanto, tais soluções são apenas uma tentativa vã de se dar a conhecer os termos de uso ou os contratos, posto que, talvez, nem mesmo com informações mais palatáveis estivéssemos dispostos a utilizar nosso tempo com coisas que falam sobre os nossos direitos, dado o elevado interesse em desfrutar do serviço da forma mais imediata possível e a forte sensação de que a leitura é inútil. O tratamento de dados pessoais é coisa fluida e o cidadão comum não sabe muito bem do que se trata10, pois envolve conceitos tecnológicos pouco acessíveis. Dessa forma, sobrecarregar o titular dos dados com a obrigação de um entendimento completo acerca de seu tratamento é uma forma de injustiça, já que o agente de tratamento não tem nenhuma obrigação expressa estabelecida na LGPD de informar de modo minimamente inteligível para todos os riscos possíveis, até mesmo, porque as empresas que alertassem desse modo poderiam ter seus lucros prejudicados. Conclui-se que, por mais que a LGPD tenha dado poderes ao titular dos dados pessoais para a autodeterminação informativa, não fez exigências mínimas para que os termos de uso ou os contratos sejam claros o suficiente para que o cidadão possa consentir de modo inequivocamente esclarecido. E, dada essa falha, a ficção do consentimento esclarecido deve ser neutralizada por uma proteção mais robusta aos titulares de dados com a relativização do consentimento em casos específicos de prejuízos aos seus direitos. *Cristina Godoy Bernardo de Oliveira é Professora doutora da Faculdade de Direito de Ribeirão Preto - Universidade de São Paulo desde 2011. Academic Visitor da Faculty of Law of the University of Oxford (2015-2016). Pós-doutora pela Université Paris I Panthéon-Sorbonne (2014-2015). Doutora em Filosofia do Direito pela Faculdade de Direito da USP (2011). Graduada pela Faculdade de Direito da USP (2006). Líder do Grupo de Pesquisa Direito, Ética e Inteligência Artificial da USP - CNPq. Coordenadora do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP). Membro fundador do Instituto Avançado de Proteção de Dados - IAPD. **Luís Augusto Teixeira Morais é Advogado inscrito na OAB/SP. Mestre em Direito pela Faculdade de Direito de Ribeirão Preto da Universidade de São Paulo. __________ 1 SCHERMER, B. W.; CUSTERS, B.; HOF, S. VAN. The Crisis of Consent: how stronger legal protection may lead to weaker consent in data protection. p. 1-19, 2014. Disponível aqui. Acesso em: 10.fev.2022. 2 Cf. LIMA, Cíntia Rosa Pereira de. Políticas de proteção de dados e privacidade e o mito do consentimento. Disponível aqui, acessado em: 12.02.2022. 3 BAKOS, Yannis; MAROTTA-WURGLER, Florencia; TROSSEN, David R. Does anyone read the fine print? Consumer attention to standard-form contracts. The Journal of Legal Studies, v. 43, n. 1, p. 1-35, 2014. 4 OLIVEIRA, Cristina Godoy Bernardo de; MEIRA, Rafael. Inteligência Artificial e Livre Consentimento: Caso WhatsAPP/Facebook - Parte 3. Disponível aqui, acessado em 12.02.2022. 5 LIMA, Cíntia Rosa Pereira de; FLAUZINO, Ana Clara Gonçalves. Visual Law e LGPD: reflexões sobre a concretização do princípio da transparência. Disponível aqui, acessado em 12.02.2022. 6 BIONI, B. R. Proteção de dados pessoais: a função e os limites do consentimento. Rio de Janeiro: Forense, 2019. 7 REGO, Margarida Lima. Manifesto contra a subversão do contrato. Themis: Revista de direito, n. 6, p. 267-294, 2018. Disponível aqui. Acessado em: 10.02.2022 8 LIMA, Cíntia Rosa Pereira de. O ônus de ler o contrato no contexto da "ditadura" dos contratos de adesão eletrônicos. Disponível aqui. Acessado em 10.fev.2022. 9 OLIVEIRA, Jordan Vinícius de; SILVA, Lorena Abbas da. Cookies de computador e história da internet: desafios à lei brasileira de proteção de dados pessoais. Revista de Estados Jurídicos UNESP, ano 22, n. 36, p. 307-388, 2018. Disponível aqui. Acesso em: 10.fev.2022. 10 TOBBIN, Raissa Arantes; CARDIN, Valéria Silva Galdino. Política de cookies e a "crise do consentimento": Lei Geral de Proteção de Dados e a autodeterminação informativa. Revista da Faculdade de Direito da UFRGS, Porto Alegre, n. 47, p. 241-262, dez. 2021.
A lei 13.709/18, também nomeada Lei Geral de Proteção de Dados ("LGPD") traz, em seu artigo 5º, uma série de conceitos importantes, servindo como um "manual de instrução" para orientar na aplicação da legislação. No entanto, tais conceitos são muito mais complexos do que se apresentam, como é o caso do conceito dos agentes de tratamento de dados (inc. IX), que seriam o controlador e o operador, segundo o texto da lei. A LGPD oferece, ainda, um conceito de controlador, no inc. VI do art. 5º, entendido como "pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais". Além deste, o inc. VII do mesmo artigo da lei traz o conceito de operador, entendido como "pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador". Aparentemente tais conceitos poderiam se apresentar, à primeira vista, como simples e com clara definição legal. Todavia, a LGPD foi omissa quanto a outras figuras como a possibilidade de controladoria conjunta (joint controllers) e suboperadores (sub processors). Diante disso, a Autoridade Nacional de Proteção de Dados (ANPD) elaborou o "Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado".1 Nesse documento, está clara a possibilidade e legalidade da contratação do suboperador, caracterizado como o "contratado pelo operador para auxiliá-lo a realizar o tratamento de dados pessoais em nome do controlador". Segundo o guia orientativo da ANPD a relação direta do suboperador é com o operador e não com o controlador. No entanto, esse ajuste suscita o debate acerca da responsabilidade civil decorrente dos prejuízos que possam ser causados pelos suboperadores. E, além disso, muito embora exista uma relação direta entre operador e suboperador, o operador deve dar ciência ao controlador e dele obter uma autorização genérica ou específica, na medida em que a relação jurídica entre controlador e operador fundamenta-se na confiança. Diante disso, pode-se afirmar que o operador é mandatário do controlador na atividade de tratamento de dados, pois aquele realiza o tratamento de dados em nome do controlador como na definição acima destacada. Tendo em vista todo o sistema de proteção de dados, com destaque para a responsabilização pelos danos causados no tratamento de dados (art. 42 da LGPD), o controlador contrata um operador com base na confiança, ou seja, espera que este realize o tratamento de dados conforme as instruções e a legalidade. Orlando Gomes conceitua o mandato como "o contrato pelo qual alguém se obriga a praticar atos jurídicos ou administrar interesses por conta de outra pessoa".2 No contexto das atividades de tratamento de dados pessoais, o controlador contrata o operador (pessoa física ou jurídica) para praticar algumas atividades de tratamento de dados, que pode ser uma atividade específica, como o armazenamento em nuvem; ou uma atividade mais genérica, como contratar uma empresa de marketing digital para divulgar seus produtos ou serviços, administrando seus interesses. Miguel Maria de Serpa Lopes3 destaca os caracteres jurídicos do mandato, sendo este intuitu personae, podendo ser revogável ad nutum, pois esse contrato está fundado na "confiança do mandante quanto à idoneidade técnica e moral do seu mandatário. Tanto que desapareça ou tenha motivos para não estar dela seguro, concede-lhe a lei o poder de revogar ad nutum os poderes representativos concedidos." É justamente isso que ocorre na relação jurídica entre controlador e operador. O primeiro contrata uma pessoa física ou jurídica para realizar determinadas atividades de tratamento de dados, confiando na sua capacidade técnica, moral, bem como na rigorosa observância da LGPD na tarefa de realizar o tratamento de dados. Todavia, as atividades de tratamento de dados são cada vez mais complexas, surgindo a necessidade por parte do operador de contratar serviços especializados para uma atividade específica ou genérica no tratamento de dados. Um exemplo, muito comum, seria a contratação de uma empresa de marketing digital por uma empresa "A", que determina quais dados pessoais serão coletados e a forma e duração do armazenamento (decisões que competem ao controlador, no caso a empresa "A"). Para realizar o marketing digital, "A" contrata a empresa "B" que desenvolve as campanhas, podendo usar uma ferramenta web de outras empresas (que seriam suboperadoras, de atividades genéricas) ou pode, ainda, contratar uma empresa "C" para armazenamento em nuvem (que será suboperadora para uma atividade específica). Em todo caso, o ideal é que o contrato entre controlador e operador prevejam a possibilidade ou a proibição de um suboperador, como ocorre no contrato de mandato quanto ao substabelecimento. Isto porque, dependendo da hipótese, pode o operador ter sua responsabilidade aumentada como, por exemplo, prescreve o Código Civil na proibição do substabelecimento. Portanto, podem ocorrer três hipóteses: 1ª) proibição expressa no contrato entre controlador e operador quanto à possibilidade de o operador se valer de um suboperador: neste caso, deve-se aplicar o §1º do art. 667 do Código Civil, respondendo o operador pelos prejuízos causados, ainda que provenientes de caso fortuito, a menos que prove que os prejuízos ocorreriam mesmo que não tivesse atuado o suboperador (aumentando a responsabilidade do operador - perpetuatio obligationis). 2ª) omissão no contrato entre controlador e operador quanto à possibilidade de o operador se valer de suboperador: neste caso, o operador será responsável mediante a comprovação de culpa (negligência, imprudência e imperícia) do suboperador, aplicando o §4º do art. 667 do Código Civil. 3ª) previsão no contrato entre controlador e operador quanto à possibilidade de o operador se valer de um suboperador: neste caso, o operador deve honrar a confiança depositada pelo controlador e escolher com a máxima diligência o suboperador sob pena de ser responsabilizado (culpa in eligendo) nos termos do §2º do art. 667 do Código Civil. Justamente diante da possibilidade de o operador contratar um suboperador e a lacuna da LGPD, o contrato entre controlador e operador deve estabelecer regra específica sobre a possibilidade ou proibição de tal prática, implicando a extensão da responsabilização do operador em virtude de prejuízos ocasionados na atividade de tratamento de dados pessoais desenvolvida pelo suboperador. Além disso, muito embora o "Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado", da ANPD,4 afirme ser recomendável obter a autorização do controlador para poder contratar um suboperador, entendemos que, diante do princípio da boa-fé objetiva, mencionado expressamente no caput do art. 6º da LGPD, somado ao caráter intuitu personae do contrato entre controlador e operador, este, caso queira  se valer da suboperação nas atividades de tratamento de dados, deve sempre dar ciência e obter a autorização específica ou genérica do controlador. Nesse sentido, o Regulamento Geral Europeu de Proteção de Dados5 expressamente determina o dever do operador de obter a autorização para contratar um suboperador (art. 28, parágrafos 2 e 4), e prevê, ainda, a possibilidade de o suboperador contratar outro suboperador. Importante que todos suboperadores ofereçam garantias suficientes de que adotarão medidas técnicas e organizacionais adequadas ao cumprimento da lei de proteção de dados. O tema foi objeto de regulamentação pelo European Data Protection Board, nas Guidelines 07/2020 sobre os conceitos de controlador e operador em matéria de proteção de dados.6 Essa autorização pode ser dada no início da contratação entre controlador e operador, nada impedindo, porém, que ela seja posteriormente concedida mediante um adendo ao contrato ou um instrumento com a descrição específica ou genérica das atividades que serão realizadas pelo suboperador, desde que seja anterior às atividades de tratamento de dados realizadas pelo suboperador. O aumento da responsabilidade do operador justifica-se como forma de estímulo para que tal prática seja adotada pelo operador, ou seja, é mais seguro atuar nas atividades de tratamento de dados pessoais, mediante autorização expressa do controlador para a suboperação. A exigência de autorização por parte do controlador é fundamental porque ele pode não concordar com a contratação de determinado suboperador, podendo optar por contratar diretamente o suboperador. Tal medida é fundamental, pois diante do sistema de responsabilidade civil, preconizado pela LGPD em diálogo com outras leis existentes, como o Código de Defesa do Consumidor, sendo uma relação jurídica de consumo, o controlador tem total interesse em avaliar a capacidade técnica do suboperador que será contratado. Ademais, se o operador não seguir as instruções do controlador, como a proibição da suboperação, o operador equipara-se ao controlador para fins de responsabilidade civil em razão do exercício de atividade de tratamento de dados pessoais, segundo a parte final do inciso I, do § 1º do art. 42 da LGPD. Em suma, tal autorização não afasta a responsabilidade do operador pelos prejuízos oriundos das atividades de tratamento de dados do suboperador, mas pode diminuir na medida em que somente responderá caso tenha escolhido mal o suboperador ou caso ele não tenha seguido as instruções dadas pelo controlador. Sendo, no entanto, a contratação de suboperador proibida, há um aumento da responsabilidade do operador perante o controlador, respondendo ele, ainda que os danos decorram de caso fortuito. Por fim, não tendo sido expressamente autorizada a contratação de suboperador, nem tampouco tenha sido ela proibida, uma importante pergunta desponta inafastavelmente: tal prática pode ser considerada regular e adequada tendo em vista a obrigatoriedade da obtenção de autorização expressa e prévia do controlador para que o operador possa contratar um suboperador? Neste sentido, o melhor entendimento é interpretar que na omissão de tal previsão no contrato entre controlador e operador, caso a complexidade da atividade de tratamento de dados demande, seja possível a contratação de um suboperador, desde que obtida a autorização prévia do controlador, sob pena de ainda ser responsabilizado o operador por caso fortuito. Por fim, quando for autorizada a contratação de um suboperador, deve o operador informar quais suboperadores foram contratados e que atividades de tratamento de dados eles realizaram, porque tal informação é de suma relevância para o correto mapeamento dos dados pessoais e para o registro das operações de tratamento de dados, obrigação imposta ao controlador no art. 37 da LGPD,7 além de ser um ponto a ser considerado na Política de Segurança e Controle de Incidentes com Dados Pessoais pelos controladores.8 Cíntia Rosa Pereira de Lima é professora de Direito Civil da Faculdade de Direito da USP Ribeirão Preto - FDRP. Doutora em Direito Civil pela Faculdade de Direito da USP com estágio na Universidade de Ottawa (Canadá) com bolsa CAPES-PDEE. Doutorado Sanduíche e livre-docente em Direito Civil Existencial e Patrimonial pela Faculdade de Direito de Ribeirão Preto (USP). Pós-Doutora em Direito Civil pela Università degli Studi di Camerino (Itália) com fomento FAPESP e CAPES. Líder e Coordenadora dos Grupos de Pesquisa "Tutela Jurídica dos Dados Pessoais dos Usuários da Internet" e "Observatório do Marco Civil da Internet", cadastrados no Diretório de Grupos de Pesquisa do CNPq e do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP).  Presidente do Instituto Avançado de Proteção de Dados - IAPD. Advogada. Newton De Lucca é professor Titular da Faculdade de Direito da Universidade de São Paulo. Professor do Corpo Permanente da Pós-Graduação Stricto Sensu da UNINOVE. Desembargador Federal, Presidente do Tribunal Regional Federal da 3a Região (biênio 2012/2014). Membro da Academia Paulista de Direito. Membro da Academia Paulista de Letras Jurídicas. Membro da Academia Paulista dos Magistrados. Vice-Presidente do Instituto Avançado de Proteção de Dados. __________ 1 BRASIL. Autoridade Nacional de Proteção de Dados (ANPD). Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado. Brasília (DF), maio de 2021. Disponível aqui, acesso em 08 fev. 2022. 2 GOMES, Orlando. Contratos. 18 ed. Rio de Janeiro: Forense, 1999. p. 347. 3 SERPA LOPES, Miguel Maria de. Curso de Direito Civil. Vol. IV: Fontes das Obrigações: Contratos. 5. Ed. Rev. e Atual. Rio de Janeiro: Biblioteca Jurídica Freitas Bastos, 1999. p. 313. 4 BRASIL. Autoridade Nacional de Proteção de Dados (ANPD). Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado. Brasília (DF), maio de 2021. Disponível aqui, acesso em 08 fev. 2022. p. 19. 5 UNIÃO EUROPEIA. Regulation (EU) 2016/679 of the European parliament and of the council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation). Disponível aqui, acesso em 08 fev. 2022. 6 UNIÃO EUROPEIA. European Data Protection Board. Guidelines 07/2020 on the concepts of controller and processor in the GDPR (02 de setembro de 2020). Disponível aqui, acesso em 08 fev. 2022. p. 39. 7 Sobre a distinção entre mapeamento de dados pessoais e registro das operações de tratamento de dados: LIMA, Cíntia Rosa Pereira de; OLIVEIRA, Cristina Godoy Bernardo de. Relatório de Impacto à Proteção de Dados: Mitos e Verdades - Parte 1. Disponível aqui, acesso em 10 fev. 2022; LIMA, Cíntia Rosa Pereira de; OLIVEIRA, Cristina Godoy Bernardo de. Relatório de Impacto à Proteção de Dados: Mitos e Verdades - Parte 2. Disponível aqui, acesso em 10 fev. 2022. 8 Sobre o dever de notificação: LIMA, Cíntia Rosa Pereira de; OLIVEIRA, Cristina Godoy Bernardo de. Dever de Notificação dos Incidentes de Segurança com Dados Pessoais - Parte 1. Disponível aqui, acesso em 10 fev. 2022.