Migalhas de IA e Proteção de Dados

A lei 13.709/18, também nomeada de Lei Geral de Proteção de Dados ("LGPD") traz, em seu artigo 6º, os princípios que as atividades de tratamento de dados pessoais devem observar. Dentre os dez princípios elencados, além da boa-fé objetiva, destaca-se o da transparência, compreendido como a "garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial". É fato que, por vezes, o Direito não se apresenta como o ramo de conhecimento mais acessível à sociedade, sendo permeado por expressões, nomenclaturas e termos incompreensíveis por aqueles que não atuam na área. Essa característica afasta justamente aqueles para quem as normas são criadas e visam proteger: os sujeitos de direito.  Sendo assim, um grande desafio aos operadores jurídicos e, no contexto da proteção de dados, aos agentes de tratamento, é encontrar formas de afastar o "juridiquês" e tornar a mensagem plenamente clara ao interlocutor, sem abandonar a seriedade do conteúdo, contudo, garantindo o acesso à Justiça. Para tanto, o Visual Law pode ser uma solução, inclusive, para a concretização do princípio da transparência, cumprindo-se o que determina a LGPD. Norma é gênero, de que são espécies: a) os princípios; e b) as regras. Neste sentido, Eros Roberto Grau1, distingue os princípios e regras, na medida em que estas são editadas para serem aplicadas a uma situação jurídica determinada; ao passo que, o princípio tem um conteúdo mais genérico porque comporta uma série indefinida de aplicações. Outra distinção relevante feita por Humberto Ávila2, para quem princípios e regras são espécies do gênero norma, afirma que estes textos normativos distinguem-se pelo caráter comportamental descritivo da regra e finalístico dos princípios. Segundo este Humberto Ávila3: "As regras são normas imediatamente descritivas na medida em que estabelecem obrigações, permissões e proibições mediante a descrição da conduta a ser cumprida. Os princípios são normas imediatamente finalísticas, já que estabelecem um estado de coisas cuja promoção gradual depende dos efeitos decorrentes da adoção a ela necessários. Os princípios são normas cuja qualidade frontal é, justamente, a determinação da realização de um fim juridicamente relevante, ao passo que característica dianteira das regras é a previsão do comportamento." Conforme destaca Rony Vainzof4, entende-se como princípio "toda norma jurídica considerada determinante de outra ou outras que lhe são subordinadas, que a pressupõem, desenvolvendo e especificando ulteriormente o preceito em direções mais particulares". Em outras palavras, princípios podem ser entendidos como norteadores de normas e, consequentemente, de seu cumprimento.  Especificamente quanto ao princípio da transparência, Vainzof destaca que este é essencial "para garantir a confiança nos procedimentos, permitindo a compreensão dos titulares que, se necessário, poderão desafiá-los e exercer seus direitos."5 Esse princípio não é novidade, já consagrado pela doutrina consumerista, consoante as lições de Claudia Lima Marques.6 Semelhantemente, o princípio da transparência está consagrado desde a Convenção 108 do Conselho da Europa - datada da década de 1980 - e nas Guidelines da OCDE, também chamado de princípio da publicidade, segundo Doneda:7 "[...] a existência de um banco de dados com dados pessoais deve ser de conhecimento público, seja mediante a exigência de autorização prévia para funcionar, da notificação a uma autoridade sobre sua existência; ou na divulgação de relatórios periódicos." Por óbvio, não basta apenas publicizar informações acerca do tratamento de dados sem se preocupar com a forma que o titular as receberá e se ele será capaz de entender o conteúdo da mensagem. É preciso, para o efetivo cumprimento da Lei, que a comunicação se dê sem ruídos, ou seja, que o emissor seja capaz de transmiti-la de modo que o receptor não fique em dúvida quanto a seu alcance. Quanto mais didática e compreensível a linguagem utilizada, mais se aproximará da desejada transparência. Uma ferramenta facilitadora para a comunicação são as imagens. Nesse contexto, não é difícil enxergar como o uso do Visual Law pode auxiliar na concretização do princípio sobre o qual aqui se reflete. O Visual Law, que é uma subárea do Legal Design, pode ser conceituado como o uso de ferramentas visuais com objetivo de auxiliar no entendimento de um texto jurídico que, tradicionalmente, seria transmitido de forma escrita. Como recursos utilizados temos os gráficos, ilustrações, ícones, vídeos, fluxogramas, organogramas, linhas do tempo, entre outros. Apenas para melhor compreensão do tema, cabe esclarecer que o Legal Design, segundo Margaret Hagan, é uma forma de "avaliar e criar serviços jurídicos, com ênfase na forma como estes serviços são utilizáveis, úteis e envolventes"8. Complementarmente, nas palavras de Erik Fontenele Nybø9, "é uma área que combina os princípios e práticas do design, bem como de experiência do usuário para a criação de produtos ou serviços jurídicos." Exemplo relevante da aplicação do Visual Law é o Contrato de Trabalho elaborado em 2016 pela empresa Creative Contracts para a empresa ClemenGold International10. Trata-se de um contrato em quadrinhos, com ilustrações que auxiliavam os trabalhadores de uma plantação de laranjas a entender sua função, remuneração, forma de pagamento e demais regras referentes ao trabalho que seria desempenhado. O documento tradicional impedia que muitos deles tivesse acesso a seus direitos e deveres, uma vez que nem todos compreendiam o texto ou eram alfabetizados. É bem comum constatar a prática entre os fornecedores de produtos e serviços disponibilizados na Internet de veicular contratos extremamente longos, com uma linguagem técnica (que não é de domínio comum) e misturar no meio de tantas cláusulas de estilo (boilerplates rules)11 outras cláusulas importantes e imprevisíveis, tais como a utilização dos dados pessoais dos usuários, a cláusula compromissória ou cláusula eletiva, a limitação da responsabilidade do fornecedor, dentre outras.12 Tais práticas colocam em xeque a adjetivação do consentimento em matéria de proteção de dados previsto no inc. XII do art. 5º da LGPD, bem como desafiam o princípio da transparência. No campo da proteção de dados, não raro o tratamento de dados pessoais esbarra em questões da área da tecnologia, como inteligência artificial e armazenamento em nuvem. Para alguém que não está familiarizado com conceitos próprios dos mencionados temas, é difícil compreender efetivamente o tratamento realizado. Nesse sentido, importante mencionar que as ferramentas visuais auxiliam o indivíduo na criação imagética do conteúdo da mensagem, o que é essencial principalmente em matérias com muitas especificidades, tal como é a proteção de dados, como já dito. Em termos simples, essas estratégias de comunicação ajudam o receptor a construir e visualizar, em sua própria mente, conceitos antes abstratos e incompreensíveis a ele. Outro ponto positivo, destacado por Leonardo Sathler de Souza13, é que "ao contrário da comunicação linear de palavras, que deve ser captada sequencialmente, muito do significado de uma imagem estática pode ser compreendido de uma só vez. Demora muito menos tempo e esforço mental para ver uma imagem do que ler mil palavras." Na sociedade da superinformação, onde somos inundados por diversos materiais em curtos espaços de tempo, cada segundo é importante. Assim, mais uma vez é demonstrada a capacidade do Visual Law em ser um grande aliado no atendimento ao princípio da transparência: a informação se torna, além de mais fácil, atraente ao titular de dados, fazendo com que ele, de fato, seja conduzido a estar a par de seus direitos. Portanto, para além, os elementos visuais podem ser utilizados de modo a guiar o leitor pelo documento, ajudando-o a construir um caminho lógico para o pensamento e, assim, possibilitando que o conteúdo do material seja mais bem retido por ele. Logo, não se pode negar os benefícios que o Visual Law traz no sentido do acesso à Justiça, democratização do conhecimento e concretização do princípio da transparência, permitindo que titulares de dados, independente de sua situação social, adquiram informações fundamentais acerca de seus direitos, uma vez que a informação se coloca clara, precisa e facilmente acessível, em respeito ao que determina a Lei Geral de Proteção de Dados. Desse modo, é preciso, ao atuar como agente de tratamento, estar atento ao cumprimento dos princípios que regem a Lei Geral de Proteção de Dados, sob pena de incorrer em seu descumprimento. Aqui, destaca-se o princípio da transparência e entende-se como uma solução a utilização de ferramentas de Visual Law para tanto, de modo que o titular de dados, de fato, consiga compreender de que forma seus dados são tratados e, assim, seja capaz de exercer seus direitos previstos na LGPD. * Cíntia Rosa Pereira de Lima é professora de Direito Civil da Faculdade de Direito da USP Ribeirão Preto - FDRP. Doutora em Direito Civil pela Faculdade de Direito da USP com estágio na Universidade de Ottawa (Canadá) com bolsa CAPES - PDEE - Doutorado Sanduíche e livre-docente em Direito Civil Existencial e Patrimonial pela Faculdade de Direito de Ribeirão Preto (USP). Pós-Doutora em Direito Civil pela Università degli Studi di Camerino (Itália) com fomento FAPESP e CAPES. Líder e Coordenadora dos Grupos de Pesquisa "Tutela Jurídica dos Dados Pessoais dos Usuários da Internet" e "Observatório do Marco Civil da Internet", cadastrados no Diretório de Grupos de Pesquisa do CNPq e do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP).  Presidente do Instituto Avançado de Proteção de Dados - IAPD. Advogada. ** Ana Clara Gonçalves Flauzino é bacharel em Direito pela Universidade Federal Fluminense e Pós-graduanda em Direito Digital pelo Instituto de Tecnologia e Sociedade do Rio de Janeiro (ITS-Rio) e pela Universidade do Estado do Rio de Janeiro (UERJ). Advogada inscrita na OAB/RJ. Associada e Pesquisadora do Instituto Avançado de Proteção de Dados - IAPD. __________ 1 Ensaio e discurso sobre a interpretação / aplicação do direito. 4. ed. São Paulo: Malheiros, 2006. p. 168. 2 Teoria dos princípios: da definição à aplicação dos princípios jurídicos. 6. ed. ampl. e atual. São Paulo: Malheiros, 2006. p. 30. 3 Idem, p. 167. 4 BLUM, Renato Opice (Coord.); VAINZOF, Rony; MALDONADO, Viviane Nóbrega (Coord.). LGPD: Lei Geral de Proteção de Dados Comentada. 2ª. ed. rev. atual. e aum. São Paulo: Thomson Reuters Brasil, 2020. ISBN 978-65-5065-023-0. 5 Idem 6 MARQUES, Claudia Lima. Contratos no Código de Defesa do Consumidor. 4. ed. São Paulo: Revista dos Tribunais, 2002. p. 39. 7 DONEDA, Danilo. Da privacidade à proteção de dados pessoais. 2ª. ed. rev. e atual. São Paulo: Thomson Reuters Brasil, 2020. ISBN 978-65-5065-030-8. 8 HAGAN, Margaret. What is Legal Design? Disponível em: https://lawbydesign.co/legal-design/. Acesso em: 19 jan. 2022. 9 FALEIROS JÚNIOR, José Luiz de Moura (coord.); CALAZA, Tales (coord.); NYBØ, Erik Fontenele. LEGAL DESIGN. "Legal Design: A aplicação de recursos de design na elaboração de documentos jurídicos". Indaiatuba: Foco, 2021. ISBN 978-65-5515-306-4. 10 CREATIVE CONTRACTS (PTY) LTD AND COMICONTRACTST. ClemenGold Comic Contract. África do Sul, 2016. Disponível aqui. Acesso em: 19 jan. 2022. 11 Esta expressão é utilizada para designar termos contratuais padronizados que podem ser utilizados em diversas situações não deixando claro, portanto, seu conteúdo específico. A expressão, também, reflete a prática de listar estas cláusulas no canto inferior de um contrato ou em meio a tantas outras cláusulas contratuais que se perdem, inviabilizando o seu efetivo conhecimento pela outra parte. Cf. US LEGAL DEFINITIONS: "Boilerplate refers to the standardized, formal language in a contract or legal document that is often located in fine print at the bottom of a page. A person is bound by the terms in the boilerplate language upon signing the document, even if the person didn't read it. This has led to the voiding of contracts in some instances based upon mistake of fact. Boilerplate language in consumer contracts has been subject to criticism and some courts will void such contracts based on unconscionability when the terms are too one-sided in favor of the seller. Boilerplate clauses can usually be avoided by being crossed out or the addition of invalidating language". Disponível aqui. 12 LIMA, Cíntia Rosa Pereira de. O ônus de ler o contrato no contexto da "ditadura" dos contratos de adesão eletrônicos. Disponível aqui, acessado em 02 fev. 2022. 13 FALEIROS JÚNIOR, José Luiz de Moura (coord.); CALAZA, Tales (coord.); SOUZA, Leonardo Sathler de. LEGAL DESIGN. "Visual Law e o Direito". Indaiatuba: Foco, 2021. ISBN 978-65-5515-306-4.

Breve introdução  O Congresso Nacional aprovou no dia 20 de outubro de 2021 a Proposta de Emenda à Constituição n. 17/2019, que incluiu a proteção de dados pessoais no rol de direitos e garantias fundamentais. O texto ainda aguarda promulgação. O novo inciso LXXIX assegura, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais. Além da inclusão expressa da norma como direito fundamental, o artigo propõe que a União tenha competência privativa para legislar sobre a matéria de proteção e tratamento de dados. A justificativa apresentada à proposta e os debates parlamentares, contudo, foram omissos em dizer qual a intenção do constituinte em garantir a previsão expressa da referida proteção em norma constitucional. Cita o caso da Constituição Portuguesa, da Estônia, da Polônia e do Chile como exemplos de países que constitucionalizam a proteção de dados pessoais,1 mas não explicita com clareza sua necessidade, considerando que a proteção de dados já era tida como um princípio constitucional implícito. Demais disso, a proposta trouxe norma de eficácia contida (restringível), possibilitando restrição futura, o que parece ir de encontro ao fim almejado pelos diversos grupos que apoiaram o texto. Convém, assim, analisar a justificativa apresentada pelos parlamentares e representantes da sociedade civil para a pretendida inclusão do direito à proteção de dados no texto constitucional, bem assim sua efetiva relevância jurídica. A proposta oferecida pela PEC 17/2019 e sua justificativa O texto original propôs a inclusão no art. 5º da Constituição Federal do seguinte inciso XII-A: "XlI - A - é assegurado, nos termos da lei, o direito à proteção de dados pessoais, inclusive nos meios digitais." A justificativa da proposta alega que o direito à proteção de dados possuiria "autonomia valorativa" em relação ao direito à privacidade. Além de não demonstrar em que consistiria essa "autonomia valorativa", também olvida a proposta que a proteção de dados não constitui princípio constitucional implícito apenas do direito fundamental à privacidade, mas também à intimidade, à dignidade da pessoa humana, e ao próprio direito ao sigilo de dados, previsto no inciso XII do artigo 5º da Constituição Federal. Na Câmara dos Deputados, a instrução do processo legislativo se deu de forma mais satisfatória. Segundo o Parecer da Comissão de Constituição e Justiça da Casa,  Embora haja interpretações no sentido de que esses direitos fundamentais intimidade e privacidade já abranjam o âmbito da proteção de dados, prevalece o entendimento, como demonstrado nas várias audiências públicas que  compuseram este processo legislativo, de que um direito fundamental específico de proteção de dados é mais apropriado para lidar com alguns dos problemas atuais.2  Em outra passagem, citando Laura Schertel, o parecer menciona as pretensas distinções entre privacidade e proteção de dados:  Há diferenças importantes entre a privacidade e a proteção de dados pessoais. A privacidade possui caráter mais individual, enquanto a proteção de dados é mais coletiva. A privacidade é um direito negativo, enquanto a proteção de dados assume qualidade de direito positivo, que pressupõe o controle dos dados pelo próprio indivíduo, que decide onde, quando e como seus dados circulam. Por fim, o direito à privacidade oportuniza o usufruto tranquilo da propriedade, enquanto a proteção de dados está mais ligada ao direito de igualdade, ou seja, a não discriminação e ao usufruto de oportunidades sociais.3 O problema dessa justificativa reside em dois fatores. Primeiro, há apenas uma comparação entre o direito à privacidade o direito à proteção de dados pessoais, olvidando-se o próprio direito ao sigilo de dados, já previsto, bem como o princípio da dignidade da pessoa humana. Segundo, que a tese de que o direito à proteção de dados possuiria uma dimensão positiva não parece suficiente para reclamar uma autonomia normativa do princípio, uma vez que o art. 5º é repleto de direitos negativos e positivos.   As justificativas apresentadas nas audiências públicas Nas audiências públicas, os diversos especialistas convidados manifestaram, em sua maioria, preocupação com a pulverização de legislações. Quase todos defenderam a inclusão expressa na Constituição da proteção de dados, sem haver uma demonstração muito clara sobre os pretendidos efeitos jurídicos desejados. Em regra geral, os argumentos apresentam caráter reflexo ou retórico, como a existência de reconhecimento constitucional em outros países e a insuficiência da tese de que a proteção de dados não decorreria inteiramente da proteção à intimidade. Dos diversos especialistas ali chamados, apenas a Sra. Christina Aires Correa Lima de Siqueira Dias criticou a expressa jusfundamentalização.4 Sobre a posição dos especialistas, o que se pode notar é que as falas refletiram preocupações de especialistas em proteção de dados, olvidando-se especialistas em direito constitucional. Ademais, da leitura contida no parecer da Comissão de Constituição e Justiça da Câmara dos Deputados, pode-se entrever que a principal preocupação da sociedade e especialistas do tema se refere não à efetivação da proteção, mas à uniformidade de regulamentação da proteção de dados no Brasil. Para alcança-la, contudo, prescindia-se de sua menção expressa no texto constitucional, bastando a regulamentação por lei federal. Em se tratando de direito fundamental, explícito ou implícito, sempre remanescerá espaço de proteção conferido aos Estados-membros, o que decorre da estrutura federativa do Estado brasileiro, como explicamos em artigo anterior.5 Desnecessidade de previsão expressa na Constituição O princípio da proteção de dados já decorre do direito à intimidade e á privacidade6, reconhecidos não apenas pela Constituição Federal de 1988, mas igualmente por tratados internacionais, como o artigo 12 da Declaração Universal de Direitos Humanos, de 1948. A mesma proteção à privacidade se encontra prevista no artigo 11, 2, do Pacto San Jose da Costa Rica. No Brasil, a Constituição de 1988 já positivou expressamente a proteção à intimidade, à vida privada, à honra, à imagem e o sigilo de dados no seu artigo 5º. Poder-se-ia advogar que a Constituição Federal não garante expressamente a proteção de dados, mas o sigilo de dados. De fato, a proteção dos dados é um degrau de prevenção que antecede o sigilo, na medida em que ela objetiva evitar situações que o coloquem em risco. Tal preocupação, a nosso ver, não procede. Fosse necessário o reforço nesses termos, deveria haver o mesmo relativamente aos demais direitos fundamentais reconhecidos pela Constituição. Assim, não bastaria mais se garantir o direito à vida, à saúde, à moradia, à seguridade social, mas igualmente deveria haver a menção expressa à proteção de tais direitos. Sem embargo, o parecer aprovado pela Comissão de Constituição e Justiça do Senado Federal diz que, apesar do grande arcabouço normativo existente sobre o tema, é necessário prever tal garantia no texto constitucional.7 Curiosamente, como justificativa seguinte, o fundamento utilizado para tentar explicar a necessidade é justamente a remissão a princípios constitucionais que já amparam a proteção de dados: Desta análise, pode-se afirmar que questões efetivas e atuais como a eficácia horizontal dos direitos fundamentais, a proteção dos direitos da personalidade, principalmente a proteção à privacidade e intimidade, o direito ao esquecimento como atributo relativo ao direito da personalidade, trazem à baila a necessidade da proteção dos dados pessoais com enfoque constitucional.8 Também em aparente contrassenso, menciona o parecer o artigo 2º da LGPD, que expressamente reconhece que a proteção de dados já possui como fundamentos direitos fundamentais expressos.9 O mesmo parecer reconhece que a proteção de dados já se encontra tutelada, de maneira "reflexa", pelo princípio da dignidade da pessoa humana (art. 1º, III), pelo princípio-objetivo da República Federativa do Brasil de construção de uma sociedade livre, justa e solidária (art. 3º, I) e promoção do bem de todos, sem qualquer forma de discriminação (art. 3º, IV), pelos direitos fundamentais de proteção à intimidade, à vida privada, a honra e a imagem das pessoas (art.  5º, X) e de proteção ao sigilo de dados (art. 5º, XII), além da garantia constitucional do habeas data (art. 5º, LVXII).10  Também finda o parecer por reconhecer que a doutrina e a jurisprudência já reconhecem  que o direito à privacidade vai além da proteção à vida íntima do indivíduo, mas também de seus dados pessoais, visto que estes exprimem uma abrangente projeção da personalidade humana.11 Após todas essas premissas, a conclusão silogística esperada seria a de considerar desnecessária a inclusão. Contudo, o parecer reconheceu a necessidade de sua inclusão "para solucionar o hiato existente entre a legislação e a realidade". Mas que hiato seria esse? O parecer não explica.12 Ora, se a LGPD tem fundamento constitucional no direito à privacidade, na liberdade de expressão, de informação, de comunicação, de opinião, na inviolabilidade da intimidade, da honra e da imagem, além do próprio direito ao sigilo de dados (não mencionado pelo parecer), que relevância fará mencionar expressamente a proteção de dados? Em outra contradição, ao citar o caso dos Estados Unidos, o parecer reconhece que, a despeito da autonomia federativa dos Estados-membros, a garantia da proteção de dados decorre do direito à proteção da privacidade reconhecido pela Quarta Emenda à Constituição estadunidense.13 Na sequência, o parecer não traz qualquer argumentação relevante a demonstrar a necessidade de sua inclusão, limitando-se a dizer que "a PEC nº 17, de 2019, ao inserir a proteção dos dados pessoais no rol das garantias individuais - ao lado de direitos fundamentais consagrados - garante, ainda, a certeza jurídica que se faz premente em uma sociedade abarcada por conflitos sociodigitais e por uma legislação ainda incipiente sobre o tema".14 Não aponta o parecer que efeitos há entre a inserção expressa desse direito na Constituição e a atual regulamentação promovida pela LGPD. Não conferiria uma lei certeza jurídica? Tampouco um princípio implícito?  Norma de eficácia contida Se a intenção do constituinte foi a de conferir maior proteção aos dados, com a discutível premissa de que a inserção expressa no texto constitucional da aludida proteção a efetivará, não entendemos o motivo de sua adoção como norma de eficácia contida, porquanto restringível, limitável. De fato, tal qual redigida, há um aparente conflito com a proteção já conferida pelos incisos X e XII (primeira parte) do art. 5º da Constituição Federal, que garantem implicitamente o mesmo direito, de forma ampla, não restringível. Ou seja, à partida, sua literalidade permite maior restrição futura da proteção dos dados que aquela já conferida explícita ou implicitamente por outros dispositivos constitucionais. Deveras, tal como é hoje, a restrição à proteção de dados somente ocorre diante da existência de conflitos entre princípios ou entre regras e princípios, cuja solução envolverá a interpretação constitucional, com eventual recurso às técnicas de ponderação ou da concordância prática. Ao se admitir a limitação por lei, contudo, poderá o legislador prever maior restrição ao direito. Conclusão A inclusão expressa do direito à proteção de dados como norma jusfundamental visa a atender reclamos de parte da sociedade civil, que acredita haver algum ganho efetivo com sua inserção expressa no texto constitucional. No entanto, como tentamos demonstrar e a própria instrução da PEC 17/2019 o reconhece, o direito à proteção de dados já é reconhecido pela doutrina e jurisprudência como princípio implícito na Constituição Federal de 1988, assegurado por diversos direitos, como a dignidade da pessoa humana, direito à intimidade, à privacidade e ao próprio sigilo de dados, expressamente reconhecido. Não se vislumbram, assim, significativos ganhos de proteção jurídica efetiva em seu reconhecimento expresso, salvo o ganho semântico. Outros direitos fundamentais posteriormente acrescentados ao texto constitucional, como o direito à alimentação (art. 6º), ainda que já reconhecidos em tratados internacionais, observaram poucas alterações efetivas após sua inserção expressa no texto constitucional. É verdade que alguns direitos, se reconhecidos expressamente, podem criar uma esfera de compromisso interinstitucional, ressignificando sua importância e prioridade. No caso da proteção de dados, contudo, o Brasil já conta com uma avançada legislação que densifica o princípio, na esteira de outros países e organizações internacionais. Demais disso, acreditamos que a importância do tema já está devidamente incutida na população, instituições e atores sociais relevantes, sendo agora o momento de assimilar as modificações no nível legal e conferir-lhes efetividade. Cabe lembrar que a redação adotada restringe o conteúdo do princípio, ao criar norma de eficácia contida, em aparente contradição com o nível de proteção que pretende estabelecer. A Constituição reclama mais efetividade que mais normas. __________ 1 Cf. Senado Federal. PEC 17/2019. Disponível aqui. 2 Cfr. Comissão Especial destinada a proferir parecer à proposta de Emenda à Constituição nº 17, de 2019, p. 20. Disponível aqui. 3 Ibidem. 4 Cfr. Comissão Especial destinada a proferir parecer à proposta de Emenda à Constituição nº 17, de 2019, p. 17. Disponível aqui. 5 Cf. A proteção de dados pessoais e as competências dos entes federativos - Análise dos efeitos da PEC 17/2019. Disponível aqui. 6 Nesse sentido: FERRAZ JÚNIOR, T. S. Sigilo de dados: o direito à privacidade e os limites à função fiscalizadora do Estado. Revista da Faculdade de Direito, Universidade de São Paulo, [S. l.], v. 88, p. 439-459, 1993. Disponível aqui. Acesso em: 1 mar. 2021. 7 Cf. Parecer da Comissão de Constituição, Justiça e Cidadania do Senado Federal, p. 4. Disponível aqui. 8 Cf. Parecer da Comissão de Constituição, Justiça e Cidadania do Senado Federal, p. 5. Disponível aqui. 9 Cf. Parecer da Comissão de Constituição, Justiça e Cidadania do Senado Federal, p. 6. Disponível aqui. 10 Cf. Parecer da Comissão de Constituição, Justiça e Cidadania do Senado Federal, p. 3. Disponível aqui. 11 Cf. Parecer da Comissão de Constituição, Justiça e Cidadania do Senado Federal, p. 3. Disponível aqui. 12 Cf. Parecer da Comissão de Constituição, Justiça e Cidadania do Senado Federal, p. 3. Disponível aqui. 13 Cf. Parecer da Comissão de Constituição, Justiça e Cidadania do Senado Federal, p. 3. Disponível aqui. 14 Cf. Parecer da Comissão de Constituição, Justiça e Cidadania do Senado Federal, p. 5. Disponível aqui.

Intrigante questão que a práxis tem despertado diz respeito à viabilidade (ou não) da formalização de mandato para a expressão do consentimento para o tratamento de dados pessoais, haja vista a liberdade de forma conferida ao consentimento pela Lei Geral de Proteção de Dados Pessoais - LGPD. Em síntese, não se exige forma escrita para o consentimento, que pode ser verbal ou implícito. Entretanto, não há absoluta clareza quanto à viabilidade do mandato para que o consentimento possa ser expressado pelo titular. Além disso, admitir que o mandato também possa ser estruturado com absoluta liberdade de forma, nesse contexto específico, revela idiossincrasias bastante peculiares, pois isso abre margem a grande insegurança jurídica. Tais inquietações surgem a partir da interpretação dos artigos 656 e 657 do Código Civil, cujas previsões são as seguintes: Art. 656. O mandato pode ser expresso ou tácito, verbal ou escrito. Art. 657. A outorga do mandato está sujeita à forma exigida por lei para o ato a ser praticado. Não se admite mandato verbal quando o ato deva ser celebrado por escrito.  Pelo conceito do artigo 5º, inciso XII, da LGPD, o consentimento é a "manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada". Sobre a forma, o artigo 8º, caput, é categórico ao prever que poderá ser fornecido "por escrito ou por outro meio que demonstre a manifestação de vontade do titular". Contudo, de acordo com o §1º do artigo 8º, "caso o consentimento seja fornecido por escrito, esse deverá constar de cláusula destacada das demais". Certos pressupostos do consentimento, como a citada exigência de que seja "informado", envolvem assimilação cognitiva das circunstâncias que o configuram e que, caso se admita o mandato, serão repassadas ao mandatário. Logo, mesmo que este tenha a autonomia necessária para se informar em nome do mandante, certas particularidades concernentes ao tratamento podem demandar-lhe a necessidade de que se reporte ao mandante, aplicando-se, na hipótese, o disposto no artigo 668 do Código Civil1, ainda que não seja obtida vantagem econômica, em conjugação com os deveres anexos à boa-fé objetiva2. Em verdade, o próprio ato de consentir, para que seja considerado "informado", usualmente se revestirá de contornos tipicamente visualizados na estruturação dogmática da boa-fé objetiva. Como ressaltam Isabella Frajhof e Ana Lara Mangeth, "reconhecendo que as informações prestadas ao titular de dados constituem elemento legitimador da sua concordância em relação ao tratamento de seus dados pessoais, (...) deverá ser informado sobre determinadas particularidades do tratamento para que haja a completa compreensão sobre o destino que será atribuído aos seus dados pessoais"3. De fato, embora a própria etimologia do verbo 'consentir' denote aparente limitação semântica, não há dúvidas de que o consentimento como hipótese (ou, coloquialmente, "base legal") para o tratamento de dados pessoais se reveste de características extremamente peculiares, pois, em essência, permite identificar conteúdo negocial que, na linha do que expressa o posicionamento acima transcrito, pode revelar feições absolutamente distintivas. O mandato está regulamentado pelos artigos 653 e seguintes do Código Civil e é negócio jurídico que viabiliza a prática de atos no interesse de pessoas que não podem fazê-lo autonomamente. Consta do próprio artigo 653, caput, do CC4 que a procuração é o instrumento pelo qual se realiza o mandato, embora essa seja uma leitura simplista e criticada pela doutrina.5 Como forma de garantir a assimilação de particularidades concernentes ao tratamento de dados pessoais, seria esperada a lavratura de um documento, com atribuição de destaque visual aos termos que revelem o consentimento para o tratamento de dados pessoais, embora tal exigência não conste da LGPD. Normalmente, o mandato é negócio jurídico unilateral e gratuito, mas nada o impede de ser bilateral e oneroso, quando múltiplas prestações forem reciprocamente exigidas. Sua outorga pode se dar por instrumento público ou particular, sendo admitido o substabelecimento (art. 655 do Código Civil)6. Sua natureza intuito personae, entretanto, o torna peculiar para os fins da prática de eventual ato concernente ao consentimento para o tratamento de dados pessoais, pois o mandatário deverá agir imbuído de boa-fé - objetiva e subjetiva - para contrair obrigações que serão assumidas pelo mandante. Nota-se, pelas características desse negócio jurídico, que a confiança entre os envolvidos será elemento determinante para sua formalização. Os problemas quanto à sua admissão para o consentimento quanto ao tratamento de dados pessoais surgem pelo próprio conceito do artigo 5º, inciso XII, da LGPD, que é categórico ao conceituar o consentimento como o ato de concordância do titular. Não há, todavia, vedação textual à formalização do mandato. Na hipótese ("base legal") do artigo 7º, inciso I (quanto aos dados pessoais), há menção expressa à pessoa do próprio titular; na do artigo 11, inciso I (quanto aos dados pessoais sensíveis), menciona-se "o titular ou seu responsável legal". A se considerar a ausência de vedação expressa e a natureza da manifestação de vontade em questão7, não parece haver óbice à aceitação do mandato para consentir quanto ao tratamento de dados pessoais e de dados pessoais sensíveis. Nesse ponto, o modelo de consentimento "opt-in" parece preponderar como técnica de adesão para atribuição do destaque que tornem a manifestação "inequívoca"8. Em síntese, ao invés de o titular optar por não permitir o tratamento de seus dados pessoais, realiza ação que pode ser interpretada como manifestação de vontade positiva. É possível fazê-lo por várias técnicas: (i) marcando uma caixa de seleção; (ii) clicando em um botão ou link; (iii) selecionando a partir de uma opção binária (sim/não), de botões ou de um menu drop-down; (iv) escolhendo configurações ou preferências no painel da conta; (v) respondendo a um e-mail que solicita o consentimento; (vi) respondendo positivamente a um pedido claro de consentimento verbal gravado, seja na presença do interlocutor ou por ligação; (vii) mediante aposição de assinatura em uma declaração de consentimento em formulário de papel; (viii) assinando eletronicamente um documento, por técnica criptográfica lícita e suficientemente confiável. Trata-se de evidente rol exemplificativo, que ainda abre margem a discussões mais curiosas e atuais sobre a relação de proximidade entre design, interatividade e direito. Sem dúvidas, mais do que simplificar a cognição, certas técnicas e ferramentas podem otimizar a interlocução entre o titular, eventual mandatário e o agente de tratamento para a obtenção do consentimento e, especialmente, quanto ao esperado destaque que se deve atribuir ao modelo escrito, por força do que exige o §1º do artigo 8º. Também é importante lembrar que a finalidade é pressuposto do consentimento e princípio expresso da LGPD (art. 6º, I). Vale dizer que, além de consentir de forma livre, informada e inequívoca, o titular também deve fazê-lo para o atingimento de um fim previamente especificado. De fato, para que haja clareza suficiente sobre os contornos dessa manifestação, é preciso romper um paradigma. Os modelos-padrão, usualmente formatados com as nomenclaturas já popularizadas de "termos de uso" e "políticas de privacidade", raramente refletem a complexidade da elucidação exigida para que o consentimento seja livre, informado e inequívoco, como exige a lei, pois, (...) apesar de a nossa lei permitir que o consentimento possa se dar de maneira inequívoca, é verdade que a forma como atualmente essa manifestação de vontade é colhida, por meio de termos de uso e políticas de privacidade extensos, com uma linguagem hermética, não permite reconhecer que há o pleno conhecimento e consciência do titular do que será feito com os seus dados.9  Nesse aspecto, uma preocupação surge quanto à leitura conjunta que se deve fazer dos §§ 4º e 6º do artigo 8º, que tratam da exigência de finalidade determinada, em contraste à figura do mandato geral (art. 660, in fine, do CC). Isso porque, a depender da finalidade para a qual o titular consentiu quanto ao tratamento de seus dados pessoais, se houver alteração superveniente, esta poderá macular o consentimento de outrora, inviabilizando a atividade de tratamento e, em paralelo, os limites para execução do mandato. Noutros termos, em respeito ao princípio da transparência (art. 6º, VI, da LGPD), qualquer circunstância que altere o modo, a duração, a forma ou qualquer outra característica do tratamento para o qual se consentiu deverá ser prontamente informada ao titular de dados, que poderá não aquiescer ou até revogar o consentimento por haver alteração na finalidade subjacente à manifestação de vontade. Nessa dinâmica, havendo mandato previamente outorgado, um novo elemento deverá ser considerado na aferição do modo pelo qual se pode operacionalizar a informação sobre as consequências da negativa e a revogação do consentimento, que são direitos do titular de dados (art. 18, VIII e IX) com repercussões sobre o mandato e sobre a nova decisão que deverá ser tomada a partir da ciência quanto a essas alterações supervenientes, uma vez que, por força do artigo 663 do CC, "sempre que o mandatário estipular negócios expressamente em nome do mandante, será este o único responsável; ficará, porém, o mandatário pessoalmente obrigado, se agir no seu próprio nome, ainda que o negócio seja de conta do mandante". Ainda sobre a revogação do consentimento, convém registrar que o artigo 18, inciso IX, da LGPD10 remete ao § 5º do artigo 8º. Trata-se da faculdade atribuída ao titular, que pode ser exercida a qualquer tempo, de fazer cessar o tratamento de seus dados. As consequências naturais dessa ação são duas: em razão da paralisação do tratamento que até então era realizado, a eliminação de dados pessoais deverá ser aferida a partir de requerimento, em exercício do direito previsto no artigo 18, VI, e em sintonia, ainda, com as previsões dos artigos 15 e 16 da LGPD; a outra consequência envolverá a análise de viabilidade da continuidade do tratamento (ainda que parcial), com lastro noutra(s) hipótese(s) ("base(s) legal(is)"), uma vez que o consentimento não é a única delas. Entendemos que o mandato, na hipótese, deverá ser admitido, desde que seja claramente delimitado, específico e excepcionalmente escrito para que o titular possa expressar o consentimento de forma livre, informada e inequívoca em nome do titular para o atingimento de finalidade determinada (art. 5º, XII, da LGPD). Fica afastado da dinâmica em questão, portanto, o mandato em termos gerais (arts. 660 e 661 do CC). Sobre a modalidade verbal do mandato, embora uma leitura simplista dos artigos 656 e 657 do CC revele sua viabilidade, defendê-la amplamente criaria indesejável zona de risco para o acautelamento do titular de dados. Não obstante, trata-se de tema pouco explorado e que ainda demandará reflexões mais aprofundadas.  *José Luiz de Moura Faleiros Júnior é doutorando em Direito pela USP e pela UFMG. Mestre e bacharel em Direito pela Faculdade de Direito da UFU. Especialista em Direito Processual Civil, Direito Civil e Empresarial, Direito Digital e Compliance. Membro do Instituto Avançado de Proteção de Dados - IAPD e do Instituto Brasileiro de Estudos de Responsabilidade Civil - IBERC. Advogado e professor. __________ 1 "Art. 668. O mandatário é obrigado a dar contas de sua gerência ao mandante, transferindo-lhe as vantagens provenientes do mandato, por qualquer título que seja". 2 Interessante a reflexão de A. Barreto Menezes Cordeiro: "A recondução de uma determinada realidade a uma categoria jurídica é uma tarefa reconhecidamente relativa. Por exemplo: um contrato pode ser um facto jurídico ou um bem, dependendo da perspetiva assumida pelo observador. O mesmo se verifica com o consentimento. É mais do que uma simples manifestação de vontade: pode ser encarado como um bem, na medida em que é transacionado, ou como parte integrante de um contrato, visto assumir muitas vezes a natureza de contraprestação de serviços gratuitos". CORDEIRO, A. Barreto Menezes. Direito da Proteção de Dados: à luz do RGPD e da lei n. 58/2019. Coimbra: Almedina, 2020, p. 173. 3 FRAJHOF, Isabella Z.; MANGETH, Ana Lara. As bases legais para o tratamento de dados pessoais. In: MULHOLLAND, Caitlin (Org.). A LGPD e o novo marco normativo no Brasil. Porto Alegre: Arquipélago Editorial, 2020, p. 70. 4 "Art. 653. Opera-se o mandato quando alguém recebe de outrem poderes para, em seu nome, praticar atos ou administrar interesses. A procuração é o instrumento do mandato". 5 ROSENVALD, Nelson; BRAGA NETTO, Felipe. Código Civil comentado: artigo por artigo. 2. ed. Salvador: Juspodivm, 2021, p. 758. Os autores comentam: "Outra impropriedade observada na redação do dispositivo se refere à afirmação de que 'a procuração é o instrumento do mandato'. A procuração não se restringe ao negócio de mandato. Ademais, este pode existir sem procuração devido à ausência de atribuição de poderes representativos a outrem". 6 "Art. 655. Ainda quando se outorgue mandato por instrumento público, pode substabelecer-se mediante instrumento particular". 7 Analisando as características da manifestação de vontade, A. Barreto Menezes Cordeiro explica o seguinte: "O facto de a manifestação de vontade ter de ser livre, específica, informada e explícita permite trazer para o RGPD inúmeros preceitos do CC; pense-se na culpa in contrahendo (227º.) ou nos vícios de vontade que possam ser reconduzidos a estas expressões. Contudo, o facto de esta ligação linguística não ser possível em relação a todos os vícios não significa que estejam excluídos (...). Por outro lado, a nossa análise a estas características não pode ficar refém das conceções do Direito Civil, em especial se a sua letra ou o seu espírito apontarem para uma diferente densificação, mais vasta ou restrita". CORDEIRO, A. Barreto Menezes. Direito da Proteção de Dados: à luz do RGPD e da lei n. 58/2019. Coimbra: Almedina, 2020, p. 173. 8 HEIMES, Rita. How opt-in consent really works. IAPP, 22 fev. 2019. Disponível aqui. Acesso em: 20 jan. 2022. 9 FRAJHOF, Isabella Z.; MANGETH, Ana Lara. As bases legais para o tratamento de dados pessoais. In: MULHOLLAND, Caitlin (Org.). A LGPD e o novo marco normativo no Brasil. Porto Alegre: Arquipélago Editorial, 2020, p. 71. 10 "Art. 18. O titular dos dados pessoais tem direito a obter do controlador, em relação aos dados do titular por ele tratados, a qualquer momento e mediante requisição: (...) IX - revogação do consentimento, nos termos do § 5º do art. 8º desta Lei".

Preliminares De certa forma, o ano de 2022 começa do mesmo modo que 2021, 2020, 2019 e outros anos pregressos, ou seja, começa sempre pelas resoluções para o Ano Novo. Que me conteste quem não tem as suas. "Esse ano vou emagrecer!", "Não vou mais faltar na academia!", "Vou me apaixonar!", "Vou aplicar minhas economias!". Talvez essas sejam algumas das mais comuns e que, ao passar do ano, tendem a desvanecer. Não vou tentar aqui explicar os eventuais motivos e porquês destas resoluções não vingarem, mas lanço uma dica "computacional" que talvez ajude a explicar esse fenômeno. Vou usar essa dica como um gancho para tentar clarear uma das dúvidas mais frequentes sobre tecnologia que é a definição de algoritmo. "Estico a corda" um pouco para nos aventurarmos pelo tópico do momento, IA, Inteligência Artificial. Comecemos 2022 pelo paço número um. Algoritmo "Um algoritmo é uma sequência de passos bem definidos que leva a execução de uma tarefa". Não me lembro mais de quem seria essa frase, mas tenho essa definição "grafada em pedra" na minha memória, do mesmo modo como todo cientista da computação tem também essa mesma ou uma outra frase bem semelhante. Frases como essa são repetidas como um mantra desde os primeiros dias de aula de disciplinas de Programação de Computadores. Penso que para a maioria dos techno people, essa frase mística só é perfeitamente entendida depois que implementamos e criamos dezenas, centenas de algoritmos. Acreditem, ninguém entende frases assim do dia para a noite e, por isso, é sempre providencial reforçar o que sabemos sobre esse tema. Comecemos com um algoritmo clássico, também comentado nos primeiros dias de aula: fritar um ovo. Todos nós sabemos como fritar um ovo, mas experimentem "escrever uma sequência de passos bem definidos que leva a execução" de um ovo frito. Essas instruções devem ser seguidas por qualquer pessoa que não saiba fritar um ovo e devem alcançar o objetivo. "Coloque óleo numa panela e frite o ovo." Esse não é um algoritmo pois não tem os passos bem definidos. Não define o tipo de panela (frigideira), a quantidade de óleo, a altura da chama, o tempo de fritura e tampouco que devemos tirar a casca do ovo. Sério? Tirar a casca? Acreditem, essa etapa deve ser explicada para muita gente. Vamos a um exemplo mais techno: um algoritmo para um carro autônomo fazer curvas. "Ligue a seta para a direção desejada. Confira nos retrovisores se o trânsito atrás de você está livre. Desloque o veículo para a direção desejada". Acho que o leitor percebeu que eu não esqueci da seta, no entanto não mencionei se é uma curva para esquerda ou para direita, como também o que fazer se tiver um outro veículo ao lado, qual deve ser a velocidade para fazer a curva, se é só uma curva leve ou se é uma conversão... Vejam, esse algoritmo simples acima não funciona. Não é específico. Não é genérico para todas as situações. Como escrever um algoritmo que aborde todas as possibilidades? Então, caro leitor, será que nossas resoluções de Ano Novo não poderiam ser mais específicas? Será que não deveríamos trocar a frase "Não vou mais faltar na academia!" para a seguinte: "Irei a academia semanalmente às segundas e quartas-feiras entre 7 e 8h, a partir do dia 3 de janeiro", por exemplo? Será que esse não é um motivo pelo qual nossas resoluções de Ano Novo falham? A objetividade e, por vezes, o baixo nível de detalhamento, são dois grandes desafios para a Computação e obviamente transformaram-se em grandes fontes de trabalho também. Objetividade de detalhamento "são as praias" dos programadores. Escrever algoritmos é uma das tarefas mais importantes e complexas da Computação: a programação de computadores. Mesmo os algoritmos mais simples podem ser fontes de exceção que, se não tratadas, impedem o software de funcionar. Merece destaque, por exemplo, o algoritmo de Ronald Fagin (IBM Research), Amnon Lotem, e Moni Naor (Weizmann Institute of Science), de apenas 12 linhas, que recebeu uma das maiores honrarias da Computação, o Gödel Prize de 2014. Hoje esse pequeno e poderoso código, responsável pela agregação de múltiplas fontes de dados, serve a milhares de sistemas e aplicações que manipulam big data, ou seja, grandes repositórios de dados complexos. São 12 linhas que incrivelmente bem boladas que geram uma riqueza tremenda na indústria tech. Algoritmos são como receitas culinárias. Quando implementados no computador recebem o nome de programas ou softwares. Esses softwares devem normalmente responder a um domínio amplo de situações, obviamente, sem causar erros. Falhas nos programas (algoritmos) são normalmente atribuídas a falhas nos testes destes softwares. Talvez o primeiro exemplo de uma falha perigosa de programação que impactou a mídia foi uma falha no sistema de alerta de segurança soviético em 1983. Foi um software bug que quase causou a terceira guerra mundial [Wired]. O sistema russo acusou o deslocamento de cinco mísseis balísticos, provenientes dos EUA, em direção a antiga União Soviética; isso em meio a Guerra Fria. Na ocasião, o Ten. Cel. Stanislav Petrov, evitou a retaliação russa julgando que o alerta só poderia ter sido causado por um erro no sistema. O erro foi proveniente de reflexos solares de nuvens no satélite espião e que foram confundidos pelo software como mísseis intercontinentais. Hoje falhas graves de software ocorrem com grande frequência e tendem a aumentar dada a dependência tecnológica das instituições e também das pessoas nos vários tipos de software. No imaginário da população o computador tem, muitas vezes, poderes e capacidades semelhantes aos do ser humano, os quais poderiam, por exemplo, responder a problemas com mais eficiência e com mais "sabedoria" que nós, mas isso certamente não é verdade. Os algoritmos devem prever e serem programados, codificados, para atuar a cada situação diferente. Para cada tarefa automatizada existe um código escrito por humanos que detalha todas as situações. Por exemplo, a tela que você vê agora no seu computador tem, aproximadamente, 2.500X1.500 pontos luminosos, os pixels. Ou seja, são mais de 3,7 milhões de pontos que, por meio de software (códigos escritos manualmente) são coloridos, um a um. Imagine quantas tarefas de colorir pontos são executadas numa simples varredura do mouse pela tela? Uma das medidas de referência para a complexidade de software é a quantidade de linhas de códigos usadas. Nestes casos a medida SLOC (Software Lines Of Code) é usada. Essa medida oferece uma dimensão da quantidade de pessoas-hora que trabalharam escrevendo esses algoritmos. Segundo o website Information is Beatiful [Information], o navegador Google Chrome tem aproximadamente 6,7 milhões de linhas de código, o sistema operacional Android que equipa 70% de todos os telefones móveis [Statcounter] 12 milhões, o Facebook 62 milhões, enquanto que um carro de luxo, como o Mercedes-Benz S-Class tem mais de 30 milhões de linhas. E quanto é isso? Para se ter uma ideia da demanda temporal para produzir esses softwares, um excelente programador pode produzir 6 mil linhas de código pronto ao ano. Isso sem contar todos os testes que ele deve ter feito sobre seu próprio código além de todos os códigos descartados que, eventualmente, não funcionaram ou não foram usados. Ou seja, para produzir essas 30M de linhas em um ano seriam necessárias 500 pessoas trabalhando. Outra situação que normalmente atenta contra essa Caixa de Pandora que podem ser os algoritmos é a complexa hierarquia de tarefas envolvida na produção de software. Desde a sua concepção, da ideia de uma tarefa, estão envolvidas várias pessoas e equipes. As pessoas que concebem o problema, as que concebem a sua solução (o algoritmo), o Lider de Projeto, o Engenheiro de Software e sua equipe, o Lider de Produção e os programadores. Isso sem contar as equipes de Bancos de Dados, de teste de software, de interface com o usuário, entre outras. Nessa longa cadeia de produção de software certamente o que foi solicitado no início do projeto poderá não ser atendido na sua conclusão. "Mas eu pensei que a Inteligência Artificial evitasse todo esse trabalho de programar as situações possíveis, de antever todos os potenciais problemas...". Pois é ... seria bom mesmo se isso acontecesse, mas a IA também precisa ser programada, embora os níveis de programação sejam diferentes. Vejamos... IA e Algoritmos O que atualmente chamamos de IA pouco tem de inteligência e muito tem de aprendizado e repetição de situações anteriores. A abordagem que domina a IA atualmente é a que chamamos de aprendizado de máquina (AM), ou seja, ensinamos os computadores o que já conhecemos e eles repetem. Sim, já é um grande avanço, mas que ainda em nada se assemelha a uma máquina inteligente, pois as máquinas definitivamente ainda nada criam de novo e, além disso, não são facilmente adaptáveis a contextos diferentes. Por exemplo, sobre contexto: as redes sociais mostram os mesmos tipos de mensagens dos mesmos autores, seja numa segunda-feira à tarde, ou num domingo pela manhã. Oras, não seria mais interessante se num domingo recebêssemos notícias mais amenas, por exemplo, de eventos culturais, menos notícias de assuntos relacionados ao nosso trabalho e mais notícias de lazer? Para entendermos melhor essa relação da IA com os algoritmos iremos fazer uma viagem aos principais estágios de desenvolvimento das abordagens de IA. Divido essa aventura épica em 3 fases: 1) a fase das regras; 2) a fase do aprendizado de máquina e; 3) a fase das redes neurais. Essas três fases também alteram o modo de construção de software, o modo de programação. IA baseada em regras Um sistema que realiza IA por meio de um modelo baseado em regras é conhecido como sistemas de IA baseados em regras. Um sistema de IA baseado em regras produz resultados predefinidos que são baseados em regras codificadas por humanos. Normalmente essas regras são declarações codificadas no modelo "se-então". Ou seja, se acontecer tal coisa então faça essa tarefa. Para exemplificarmos a utilidade desta abordagem, muitos sistemas de diálogos homem-máquina foram implementados como sistemas baseados em regras. Por exemplo, sistemas de telefonia que oferecem opções ao usuário; o usuário responde; o sistema capta palavras-chave e gera outras opções, em níveis mais específicos, segundo esse novo status. Esses sistemas conversacionais, também chamados de chatbots, são muito usados no atendimento ao usuário de websites. Sistemas que usam regras são classificados como sistemas determinísticos, ou seja, eles sempre devem ter uma mesma e única resposta para cada opção. Os antigos sistemas especialistas foram um marco para os sistemas de regras. Esses sistemas funcionam bem para situações de domínio fechado em que o número de regras é pequeno. Conforme os sistemas ficam mais complexos há necessidade de criação de novas regras e a possibilidade dessas regras entrarem em conflito entre si aumenta. Essas duas situações são impeditivas para essa forma de IA abarcar problemas complexos e, consequentemente, os projetos de IA que usam sistemas de regras não são escaláveis e não são mais o tipo dominante. IA baseada em Aprendizado de Máquina Diferentemente dos sistemas baseados em regras, os sistemas baseados em aprendizado de máquina buscam seu conhecimento em fontes de dados e não em regras propostas e codificadas por humanos. Nos sistemas de IA realizados por meio de aprendizado de máquina são criados modelos (de classificação, de inferência, de reconhecimento, de fala, etc.) a partir de computações feitas sobre grandes conjuntos de dados. Por exemplo, se uma imobiliária tiver cadastrado um grande número de imóveis, com todos os detalhes de tipos de cômodos, valores dos alugueres e dados dos inquilinos, um sistema computacional poderá organizar esses imóveis em grupos, por exemplo, que mostrem que numa determinada região um imóvel de três quartos deve estar numa determinada faixa de aluguel, diferente, por exemplo, de um imóvel do mesmo tamanho noutra região. Esse é um exemplo simples, inclusive dominado por humanos, mas compradores usuais de mercados online sabem bem como os sistemas varejistas usam seus perfis de consumidores para oferecer produtos de potencial interesse para cada perfil de consumidor. Algoritmos de classificação são uma grande força motriz nos sistemas que usam aprendizado de máquina. Nestes sistemas, um grande volume de dados é usado para treinar um classificador, para criar um modelo. Classificador treinado, quando um novo dado chega ao sistema ele o classifica. Classifica sempre de acordo com o que aprendeu. AM resolve muita coisa, mas, por vezes, gera confusão. O aprendizado enviesado é uma dessas fontes de problemas [SRINIVASAN, CHANDER 2021]. O aprendizado de um classificador deve ser feito sobre uma base de dados que reflita o universo de aplicação. Imaginemos, por exemplo, um sistema de agenciamento de empregos específicos para a área de Enfermagem. Se um gênero específico, A, tem uma quantidade maior de cadastros, esse gênero poderá ter mais ofertas de emprego e, provavelmente, maior estabilidade no trabalho apenas devido a uma diferença numérica com outro gênero, B. Assim, o sistema mal equilibrado e mal treinado, poderá aprender que recrutar pessoas do gênero A é preferível a recrutar pessoas do gênero B pois a rotatividade seria maior. Percebam como os problemas de programação persistem. Estes problemas talvez pareçam mais complexos na abordagem de AM, mas definitivamente estão presentes, como nos sistemas baseados em regras. Uma vantagem da abordagem de AM sobre os sistemas de regras é que estes sistemas são escaláveis e não são determinísticos, ou seja, podem apresentar graus distintos de certeza sobre a resposta dada. Normalmente são sistemas que usam de recursos estatísticos ou probabilísticos, oferecendo assim uma segurança extra do vínculo matemático com a certeza do resultado. Outra característica interessante do AM é que para os vários algoritmos usados nos vários tipos de aprendizagem existem diversas implementações possíveis, como se fossem vários motores distintos, que você adapta às necessidades dos seus problemas. Ou seja, o mundo de AM é composto por programas pré-fabricados, mas que precisam de ajustes antes de serem usados. É uma pena que nesta área existam poucos "mecânicos" que sabem ajustar esses motores. IA baseada em Redes Neurais Para completar, temos a "febre" do momento: os sistemas de IA por meio de redes neurais. Essas redes são hoje grandes arranjos formados de simulações computacionais de neurônios. As ciências do cérebro já mostraram como nossos neurônios funcionam. A Computação se apropriou desse conhecimento e os modelou em software. As redes neurais surgiram como arranjos de dezenas, centenas de neurônios programados em software. Os vários tipos de arranjo destes neurônios dão origem a vários tipos de redes, tais como: Perceptrons, Feed Forward Network, Redes de Hopfield e Rede Neural Convolucional. Estes são alguns modelos, entre vários outros mais recentes. Em tese, esses modelos de redes têm os neurônios de entrada, os neurônios de saída, além de outros numa camada intermediária que fazem a maior parte do processamento trocando informações entre si. Recentemente tivemos a expansão destes modelos com redes que hoje acomodam milhões de neurônios. Essas são as chamadas redes neurais profundas, deep neural networks. Se já era difícil acompanhar a troca de informações entre os neurônios de modelos mais simples, imaginem acompanhar a troca de informações nessas redes profundas, com milhões de neurônios. A explicabilidade dessas redes é hoje um dos temas de pesquisa da Computação [POPE et al. 2019]. Por meio dessa jornada algorítmica podemos perceber que a programação de computadores nos desafia em vários níveis de abstração, do nível mais elementar da criação de comandos simples, incluindo aqui entidades modulares de média complexidade (tais como os neurônios), até níveis mais complexos que contam com a interligação de vários destes módulos e modelos formando uma cascata de software por vezes composta de milhões de linhas de código. Se toda essa complexidade tende a afastar o usuário desta caixa de Pandora, para nós, cientistas da Computação, essa complexidade apresenta-se como um desafio para a explicabilidade destes sistemas. Desafio esse que trará maior confiabilidade ao código e, consequentemente, um crescimento do uso destas metodologias. Ooops! 22h15... lá se foi mais um dia sem academia. Melhor definir essas resoluções de Ano Novo com mais objetividade e... segui-las à risca. Referências bibliográficas Wired. Set. 26, 1983: The Man Who Saved the World by Doing ... Nothing. Disponível aqui de 26 de setembro de 2007. Último acesso em 30 de dezembro de 2020. Information. Codebases: Milions lines of code. Disponível aqui. Último acesso em 30 de dezembro de 2020. Statcounter. Mobile Operating System Market Share Worldwide. Disponível aqui. Último acesso em 30 de dezembro de 2020. Gödel. Disponível aqui. Último acesso em 30 de dezembro de 2020. SRINIVASAN, Ramya; CHANDER, Ajay. Biases in AI systems. Communications of the ACM, v. 64, n. 8, p. 44-49, 2021. POPE, Phillip E. et al. Explainability methods for graph convolutional neural networks. In: Proceedings of the IEEE/CVF Conference on Computer Vision and Pattern Recognition. 2019. p. 10772-10781. *Evandro Eduardo Seron Ruiz é professor associado do Departamento de Computação e Matemática, FFCLRP - USP, onde é docente em dedicação exclusiva. Atua também como orientador no Programa de Pós-graduação em Computação Aplicada do DCM-USP. Bacharel em Ciências de Computação pela USP, mestre pela Faculdade de Engenharia Elétrica da UNICAMP, Ph.D. em Electronic Engineering pela University of Kent at Canterbury, Grã-Bretanha, professor Livre-docente pela USP com estágios sabáticos na Columbia University, NYC e no Instituto de Estudos Avançados da USP (IEA-USP). Coordenador do Grupo de Pesquisa "Tech Law" do IEA-USP. Membro fundador do Instituto Avançado de Proteção de Dados - IAPD.

Introdução O significado da privacidade, em sua abstração e concreção quotidiana, está em evolução, no Ocidente, desde o século XIX, a partir do "right to be let alone". Já atualmente, seu sentido é passível de ser plural e singular, isto, sempre, a depender do contexto em que é havida em expectativa ou, em outras palavras, do tipo de privacidade que é querida pelos indivíduos. Por essa razão, muitos autores a defendem como uma espécie de guarda-chuva ("ombrello")1, porque inclui diferentes sentidos, em diferentes cenários. Dentre essas novas abordagens sobre o conceito de privacidade, destaca-se, por essas linhas, as trazidas por Helen Nissenbaum2 e por Bert-Jaap Koops, Bryce Clayton Newell, Tjerk Timan, Ivan Skorvánek, Tomislav Chokrevski e Masa Galic3, que estão a fortalecer o entendimento de que a privacidade não pode ser definida, em abstrato, e que depende, ao seu preenchimento, de concreção. Este artigo traz, como raciocínio, o de que, ao se abstrair o significado da privacidade, sua tutela jurídica pode, em concreto, ser fragilizada. Nesse sentido, apresenta a privacidade sob o ponto de vista dos contextos ou tipos em que é havida em expectativa pelos indivíduos, a fim de observar que a análise da razoabilidade de uma expectativa, em determinado contexto, influi na ponderação da privacidade com outros bens e direitos também juridicamente tutelados.  Privacidade como integridade contextual e razoável expectativa À exemplo de Helen Nissenbaum, pode se dizer que a privacidade se define, concretamente, a partir das expectativas que possuem os indivíduos nos mais distintos contextos. Nissenbaum entende a manutenção dos contextos, nos quais é havida em expectativa a privacidade, como integridade contextual ("contextual integrity"), que pode ser alcançada pela observância de normas informacionais ("informational norms"), que "tornam certos atributos apropriados ou inadequados em certos contextos, sob certas condições."4 Distinguir a privacidade, em diferentes contextos, é essencial à sua regulação, isto porque os contextos em que se apresenta diferem-se quanto à expectativa que possuem os indivíduos em preservá-la e, analisando-se a razoabilidade dessa expectativa, poderá uma regulação estar ou não alinhada a ela, isto por ponderar outros bens e direitos que venham a ser considerados. Nesse sentido, a privacidade do corpo, como expectativa, diverge a depender da qualidade das relações com as quais está envolvido o indivíduo. A privacidade da mente, também como expectativa, ainda é havida desde os círculos mais próximos dos indivíduos até os mais distantes. A expectativa pela privacidade da mente ocorre, e.g., em relações médico-pacientes. Porém, nesse contexto, o avanço de neurotecnologias está permitindo que dados neurais sejam cada vez mais tratados, o que está por quebrar a expectativa dos indivíduos sobre a privacidade da psique, como de seus sentimentos e pensamentos. A análise exige, por óbvio, a atenção à expectativa do indivíduo sobre a própria privacidade, em diferentes contextos. Em aqueles que se desenvolvem em espaços públicos, e.g., embora não se consubstancie do mesmo modo que em contextos que envolvam espaços privados, ainda permanece como expectativa. Nesse sentido, é necessária a questão sobre de que modo pode ser ponderada a expectativa do indivíduo pela privacidade com outros bens e direitos, que também merecem a tutela jurídica, inclusive até relativos a outros indivíduos, em contextos específicos. Nos EUA, o caso Katz v. United States, cujos fatos datam de fevereiro de 1965, marcou o início da doutrina da razoável expectativa de privacidade ("reasonable expectation of privacy"), no qual o FBI, sem um mandado, a fim de interceptar conversa telefônica de Charles Katz, implantou dispositivo de escuta na parte externa de uma cabine próxima à sua residência5. Apesar de a interceptação ter ocorrido em um espaço público, a Suprema Corte dos EUA entendeu que havia uma razoável expectativa de privacidade por parte de Katz, de modo que não se poderia ter havido a intercepção sem a expedição de um mandado. Para tanto, aduziu que a proteção, contida na Quarta Emenda ("Fourth Amendment")6à Constituição dos EUA, é voltada às pessoas e não aos locais em que se encontram, assim como que, para que seja garantida, é necessário haver uma real expectativa de privacidade e que essa expectativa seja vista, pela sociedade, como razoável. A análise sobre o que seria razoável pela sociedade, em determinado tempo da história, quanto à expectativa dos indivíduos por privacidade, recai justamente no raciocínio de considerar a privacidade um conceito sempre contextual, aberto à ponderação com os outros bens e direitos, como aludido nas linhas anteriores. Embora haja critérios que possam ser úteis, como uma análise sobre a diferença entre um ato privado e um ato de interesse público, como distinguidos por Joel Reidenberg7, não é possível a aferição de fórmula que disponha sobre a razoabilidade da privacidade quando analisada frente a outros bens e direitos, em distintos contextos. O que é possível, ao máximo, pode se dizer, é esclarecer, idealmente, contextos em que pode ser havida como expectativa.  Privacidade como tipologia Está nesse sentido a concepção tipológica da privacidade desenvolvida por Bert-Jaap Koops, Bryce Clayton Newell, Tjerk Timan, Ivan Skorvánek, Tomislav Chokrevski e Masa Galic, que a estabeleceram como um conceito que, idealmente, se distingue em diferentes tipos. Além disso, a análise de Bert-Jaap Koops et al se utiliza de um conceito bidimensional da privacidade, de modo a entende-la a partir de um ponto de vista do próprio indivíduo e de um ponto de vista interpessoal, ou seja, esta a partir da análise das relações de um indivíduo com a sociedade, da seguinte maneira: Tipologia da privacidade, de acordo com Bert-Jaap Koops, Bryce Clayton Newell, Tjerk Timan, Ivan Skorvánek, Tomislav Chokrevski e Masa Galic A dimensão vista com relação ao próprio indivíduo é a relativa às suas liberdades. Abrange as liberdades negativas ("freedom from") do indivíduo, ou seja, de não haver a interferência do outro sobre si, o que, com relação à privacidade, se relaciona ao ser deixado só ("being let alone"). Além disso, inclui as liberdades positivas, que dizem respeito ao autodesenvolvimento do indivíduo ("self-development"), o que, quanto à privacidade, se relaciona à autodeterminação informativa. Por fim, a dimensão que conecta o indivíduo ao outro, interpessoal, é dividida entre a solitude ("solitude"), a intimidade ("intimacy"), a secretude ("secrecy") e a inconspicuidade ("inconspicuousness"). Nesse raciocínio, solitude é o estar consigo mesmo. A intimidade, por sua vez, é a relação do indivíduo com os seus elos mais próximos, como os membros mais próximos da família e os melhores amigos. A secretude, em seu turno, é a relação com os elos menos próximos, como colegas de trabalho. A inconspicuidade, por fim, se trata da discrição que ocorre quando em contextos em público, em que existe, também, a expectativa da discrição do outro, isto a fim de ser mantida a privacidade - inclusive, diga-se, modo recíproco. Os tipos de privacidade, como elencados pela análise de Koops et al, se enquadram nas referidas dimensões. Dividem-se em: do corpo ("bodily privacy"); do espaço ("spatial privacy"); de comunicação ("communicational privacy"); da propriedade ("proprietary privacy"); intelectual ("intellectual privacy"); de decisão ("decisional privacy"); de associação ("associational privacy"); e comportamental ("behavioral privacy")8. Além dos tipos elencados, de forma sobreposta, há a privacidade informacional ("informational privacy"), seguindo-se o raciocínio de que todo tipo ou contexto em que há a privacidade é capaz de gerar dados e/ou informações pessoais9. Assim sendo, possibilita o entendimento de que os dados e as informações pessoais representam um dos aspectos da privacidade, isto porque os seus tipos - ou contextos, a se analisar a teoria de Nissenbaum - geram dados e informações pessoais a eles relacionados. Essa afirmação não significa, porém, que a formação dos dados e das informações pessoais se restringe aos contextos ou tipos de privacidade, havendo, como já pontuado por Laura Schertel Mendes, os dados pessoais não relacionados à privacidade10. Além das dimensões estabelecidas, mas a elas correlatas, a privacidade também é analisada diante do controle dos indivíduos sobre o acesso à sua privacidade, incluindo os dados e/ou informações pessoais dela decorrentes. Considerações finais As novas abordagens do sentido da privacidade - aduzidas, por estas linhas, como aquelas referentes às teorias de Helen Nissenbaum e de Bert-Jaap Koops et al - possuem um raciocínio que, notavelmente, auxiliam no entendimento de que a privacidade deve ser tutelada em cada contexto, de forma distinta, bem como que uma abstração de seu significado não refletiria, concretamente, as reais expectativas de privacidade dos indivíduos, nem mesmo a razoabilidade dessas expectativas frente a uma ponderação com outros bens e direitos também juridicamente tutelados. __________ 1 DE GIACOMO, Claudio. Diritto, libertà e privacy nel mondo della comunicazione globale. Milão, Itália: Giuffrè, 1999, p. 16. 2 NISSENBAUM, Helen. Privacy in Context. Technology, Policy, and the Integrity of Social Life. Stanford, EUA: Stanford University Press, 2010, passim. 3 KOOPS, Bert-Jaap; NEWELL, Bryce Clayton; TIMAN, Tjerk; SKORVÁNEK, Ivan; CHOKREVSKI, Tomislav; GALIC, Masa. A Typology of Privacy. University of Pennsylvania Journal of International Law, Vol. 38, n. 2, 2017, art. 4, pp. 483-575, passim. 4 Tradução dos autores. NISSENBAUM, Helen. Privacy in Context. Op. cit., p. 143. 5 EUA. Suprema Corte dos Estados Unidos da América. Katz v. United States, n. 35, 389 U.S. 347, 1967. Disponível em: . Acesso em: 20 dez. 2021. 6 Tradução dos autores: "Não será infringido o direito do povo à inviolabilidade de sua pessoa, casas, papeis e haveres, contra buscas e apreensões não-razoáveis e não se expedirá mandado a não ser mediante indícios de culpabilidade, confirmados por juramento ou declaração, e nele se descreverão particularmente o lugar da busca e as pessoas ou coisas que tiverem de ser apreendidas." EUA. United States Constitution Amendment IV. Disponível aqui. Acesso em: 20 dez. 2021. 7 REIDENBERG, Joel R. Privacy in Public. University of Miami Law Review, vol. 69, 2014, pp. 141-160 (p. 155). 8 KOOPS, Bert-Jaap; NEWELL, Bryce Clayton; TIMAN, Tjerk; SKORVÁNEK, Ivan; CHOKREVSKI, Tomislav; GALIC, Masa. A Typology of Privacy. Op. Cit., p. 484. 9 Destaca-se que os dados pessoais e informações pessoais são conceitos diversos. A se obter uma informação, deve haver, como processo, a organização e a interpretação de dados. 10 MENDES, Laura. Habeas data e autodeterminação informativa. Revista Brasileira de Direitos Fundamentais & Justiça, v. 12, n. 39, pp. 185-216, 26 mar. 2019.

Introdução Embora o tema da proteção de dados tenha ganhado destaque com seu diploma normativo pátrio, é certo que sua disciplina jurídica já existe e é discutida há pelo menos cinco décadas. Ligada a uma estruturação dos direitos da personalidade e a uma tradição do direito à privacidade, a proteção de dados surge no debate público na segunda metade da década de 1960 e, hoje, está presente de forma concreta em mais de 140 países1. A autonomia da disciplina veio em compasso com a crescente automatização do processamento de dados, o que inaugurava questões como a transparência dos repositórios de dados pessoais, os limites às decisões automatizadas e a portabilidade de informações. Do ponto de vista do aparato legislativo construído para responder a tais questões, nota-se uma convergência das políticas públicas de diferentes países o que se deve, conforme nota Colin Bennet, às características de base comum, como os padrões generalizados introduzidos pela tecnologia; a emulação de parâmetros legislativos pré-existentes; a existência de uma crescente especialização na matéria por intelectuais participando de forma coesa nos marcos legislativos; o reconhecimento do valor de uma política coesa sobre a matéria e a possibilidade de sistemas já consolidados virem a influenciar os demais tendo em vista a necessidade de compatibilização técnica que a própria proteção de dados demanda. Foi assim que progressivamente o Brasil integrou-se ao grupo de países que disciplina a matéria por meio de uma legislação e uma autoridade específicas para lidar com a proteção de dados. Em que pese a privacidade e a proteção de dados fossem temas da realidade sobre os quais o direito pátrio já incidia suas normas, ora de caráter privatístico, ora publicista, foi somente com a Lei 13.709 de 14 de agosto de 2018, a Lei Geral de Proteção de Dados - LGPD, que o tratamento de dados obteve uma sistemática própria, hábil à criação de conceitos, institutos e princípios próprios.  Relações da LGPD e o Poder Público O caráter publicista da LGPD é evidenciado pelo capítulo sobre o tratamento de dados pessoais pelo Poder Público. Além da incidência das normas, verifica-se também que a principiologia adotada respalda uma lógica de direitos-deveres da Administração. O Estado, concebido aqui como uma estrutura de processos vinculados à própria racionalidade humana e, por conseguinte, seu progressivo desenvolvimento, participa da evolução tecnológica e expande sua capacidade de tratamento, processamento e cruzamento de dados.  Esta relação entre proteção de dados e Estado não prescinde de uma contextualização quanto aos valores políticos envolvidos: é que, de um lado, a ideia de limitação dos poderes estatais é condizente com um instrumento jurídico que confira tutelas protetivas ao cidadão, impedindo uma invasão desmesurada nas esferas da privacidade e intimidade; de outro, sob o paradigma da necessidade de eficiência e eficácia dos direitos, é certo que melhorias na qualidade de vida perpassam por uma organização burocrática que é alimentada por dados. A fase do estado de bem-estar social sempre esteve ligada a uma ampliação de tarefas administrativas necessárias cuja organização burocrática impunha deveres de identificação, registro e documentação de indivíduos2. A tensão política entre um paradigma de necessidade protetiva, conferindo limites aos poderes do Estado, e a necessidade de uma Administração eficiente e informatizada é repercutida na tensão das normas que buscam uma "justa medida" para o tratamento de dados pelo Poder Público. Conforme nota Miriam Wimmer: "a visibilidade do Estado sobre seus cidadãos permite ampliar sua capacidade de intervenção, tenha ela por objetivo atingir finalidades sociais justas (e.g. viabilizar a distribuição de benefícios sociais) ou nefastas"3. Esta "justa medida" só pode ser buscada nas bases legais que a própria LGPD traz para o tratamento de dados pelo Poder Público. E é nesse sentido que deve ser feita a análise do recente Acordo de Cooperação Técnica firmado entre o Tribunal Superior Eleitoral e a Autoridade Nacional de Proteção de Dados.  O Acordo de Cooperação Técnica: o que diz o plano de trabalho? Apesar do nome, os acordos de cooperação técnica não se confundem com os Acordos de Cooperação normatizados pela Lei 13.019 de 31de julho de 2014, cujo escopo é a realização de parcerias sem a transferência de recursos entre entes administrativos e organizações do terceiro setor. Sendo o TSE e a ANDP órgãos públicos, a natureza jurídica do acordo firmado se aproxima do instituto jurídico do convênio, pautado em objetivos convergentes para o tratamento de dados pessoais. É precisamente o que se extrai das obrigações comuns entabuladas no acordo, marcadas, em resumo, por um mutualismo de esforços na consecução do plano de trabalho. As obrigações específicas também indicam uma conformidade de objetivos, notadamente no sentido de viabilizar orientações técnicas, materiais orientativos, capacitação, treinamento, aperfeiçoamento e reciclagem dos quadros técnicos de ambas as instituições. Este tipo de cooperação possui base legal na LGPD, em seu art. 55-J, VI, que estabelece a competência da ANPD para promover na população o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança; da mesma forma, o TSE deve estar em consonância com os avanços tecnológicos e técnicos para o pleno atendimento de sua finalidade regulamentar estabelecida tanto pelo Código eleitoral, no art. 23, IX, quanto na Lei 9.504 (Lei das Eleições), no art. 105. É no item 7, que trata sobre os resultados esperados, que se pode obter uma visão mais concreta sobre os objetivos do Acordo: busca-se a conscientização de agentes de tratamento que tratam dados pessoais para fins de campanha eleitoral como candidatos, pré-candidatos, partidos políticos, coligações, comitês de campanha e empresas contratadas para gerenciar campanhas eleitorais acerca dos princípios e disposições sobre a proteção de dados pessoais constantes na LGPD. Um ponto que merece destaque é a menção a empresas para o gerenciamento de campanhas. Embora lícito, as atividades que tais empresas podem exercer possuem restrições legais, como a proibição de produção ou edição de conteúdo por meio de blogs, redes sociais, sítios de mensagens instantâneas e aplicações de Internet assemelhadas, conforme dispõe o inciso IV, do art. 57-B e "caput" do art. 57-C da Lei das Eleições. Além deste resultado, o plano de trabalho indica a expectativa por uma exposição aos titulares de dados pessoais acerca dos riscos envolvidos na utilização irregular de dados pessoais, e exposição dos direitos previstos na LGPD e na legislação eleitoral e as formas para seu exercício; e o estabelecimento de um ambiente juridicamente seguro para os agentes de tratamento responsáveis pelo tratamento de dados no contexto eleitoral. Aqui, embora não mencione, os agentes são integrantes do próprio TSE, uma vez que esta Corte que detém o maior banco de dados biométricos das Américas com mais de 120 milhões de eleitores e eleitoras cadastradas em arquivo eletrônico, com foto, assinatura e impressões digitais4.  O uso de dados pessoais em campanhas eleitorais Apesar da incidência da LGPD nos órgãos da Justiça Eleitoral não ser olvidável, ainda há questionamentos sobre a aplicação do dispositivo no âmbito eleitoral tendo em conta os demais agentes que atuam nos pleitos, como partidos políticos, diretórios, coligações, candidatos e pré-candidatos, escritórios de advocacia eleitoralista, plataformas de internet, marqueteiros e organizações suprapartidárias. Isso porque a digitalização é um fenômeno que alcança as campanhas eleitorais, vinculando o poder de persuasão cada vez mais ao potencial de espraiamento da imagem do candidato pelas redes sociais. Com efeito, a propaganda eleitoral digital é um fenômeno que chama cada vez mais atenção da ciência política por seus efeitos inusitados sobre a democracia. No Brasil, nota-se, sobretudo, a estratégia dos partidos com menos recursos disponíveis pelo Fundo Especial de Financiamento de Campanha em realizar campanhas "ruidosas" por meio de mídias de baixo custo, como são as redes sociais. E, as próprias redes sociais possuem um mecanismo diferencial de propagação de conteúdo radical uma vez que se baseiam na retroalimentação do engajamento. Na prática, significa que os conteúdos com maior engajamento ("curtidos", "comentados" e "compartilhados", no caso do Facebook) são identificados como relevantes e aparecem como prioridade para os usuários, criando as chamadas "câmaras de eco" (eco chambers). Uma vez que um número razoável de usuários se engaje em determinado conteúdo, a polarização se torna identificável pelas redes sociais, que automaticamente passam a expor cada vez mais informações e notícias de semelhante teor aos usuários individualmente, de modo que os participantes de cada nicho são atraídos pelas "câmaras de eco". O sentimento de pertencimento é reforçado, fortalecendo a identificação pessoal com aquele determinado grupo e criando a repulsa em relação aos opositores. Não por acaso, as Resoluções eleitorais mais recentes conceberam normatizações bastante específicas para impulsionamento online, prestação de contas por serviços de marketing digital e as condições de uso de plataformas de mensageria eletrônica. No entanto, nos casos em que a propaganda eleitoral descambava para práticas violadoras de direitos da personalidade (seja na esfera criminal, como delitos eleitorais contra a honra, seja por meio dos pedidos de direitos de resposta), a tutela conferida pelo direito eleitoral era sempre no sentido de uma proteção individual, da reparação ao dano sofrido ou, olhando para os valores constitucionais em jogo, do resguardo da legitimidade e normalidade das eleições, tal como estabelecido no §9º do art. 14 da Constituição Federal. O cidadão-eleitor, por sua vez, não era tutelado no tocante a sua autonomia informacional ou proteção de sua privacidade. Essa lógica normativa baseada na figura do candidato pode ser alterada com o advento da LGPD. É uma transformação condizente ao fluxo de informações que as propagandas digitais passam a adotar: os meios de comunicação tradicionais, como o rádio e a televisão, viabilizam formas de convencimento baseadas em fluxos unidirecionais de informações, com a construção de tópicos e narrativas moldadas e limitadas pelo tempo televisão e rádio que cada partido dispõe. O foco da legislação atual é, portanto, a regulação das emissoras. A mídia veiculada pela internet possui um fluxo multidirecional, no qual o usuário é quem escolhe o que quer ver e pode se tornar, ele mesmo, um veículo de transmissão de informações. Enquanto unidade de recepção e disseminação de conteúdo político, o usuário torna-se também alvo de modelos descentralizados de captação de audiência, seja para a comercialização de produtos, repercussão de notícias, integração a movimentos sociais e, naturalmente, campanhas políticas. Nesse momento importa ao marketing político criar uma personalização do conteúdo ao qual o usuário será exposto, tornando relevante a pré-visualização de suas interações, alinhamentos ideológicos, grupos aos quais adere, figuras públicas que admira, etc. A partir de tais elementos, surgem técnicas de campanha baseadas na coleta e análise de dados para a segmentação de audiências (microdirecionamento de anúncios), combinadas ainda com a automatização de comportamentos (o uso de bots), criação de perfis inautênticos e envios massivos de mensagens privadas. Em 2018, o ambiente eleitoral com regulações voltadas para as mídias tradicionais resultou em vulnerabilidades que posteriormente foram detectadas, dentre outros, no Inquérito n.º 4.781 do Supremo Tribunal Federal, popularmente conhecido por inquérito das fake News. Ainda é importante notar que a propaganda política digital foi marcada pelo julgamento das Ações de Investigação Judicial eleitoral nº 0601968-80.2018 e 0601771-28.2018, que, entre os pedidos, havia o de cassação da chapa vencedora por abuso de poder econômico mediante contratação de empresas para disparos em massa de mensagens, sobretudo no aplicativo Whastapp. Sem a vigência da LGPD, ainda era necessário que o direito eleitoral lançasse mão de institutos próprios à tutela dos valores da legitimidade e normalidade das eleições, a exemplo do exame da potencialidade em alteração do resultado do pleito devido ao disparo de notícias fraudulentas5.  Impactos da proteção de dados no âmbito eleitoral Não se supõe que a proteção de dados fosse tema estranho ao direito eleitoral: desde a reforma de 2009, a Lei das Eleições conta com um microssistema de proteção de dados - posto que utilize o termo "cadastro de endereços eletrônicos" - que constam no o art. 57-E, que proíbe a venda, cessão ou doação de cadastros de endereços eletrônicos, sob pena de multa; o art. 57-G que estabelece o dever de descadastramento; e o art. 57-B que autoriza a propaganda eleitoral apenas para endereços cadastrados gratuitamente pelo candidato, partido ou coligação. Apesar da normatização vanguardista, persiste a racionalidade de uma proteção aos valores eleitorais, no caso, o equilíbrio de condições na disputa, conferindo a tutela dos dados pessoais apenas acidentalmente. A LGPD oportuniza que o tratamento de dados seja normatizado no âmbito eleitoral, resultando em fiscalização e sanções em caso de descumprimento da lei. Podemos apontar alguns efeitos que, em que pese a baixa relevância no pleito de 2020, serão notados nas campanhas de maior envergadura em 2022. O uso de dados pessoais para as campanhas fica restrito à hipótese do cadastramento gratuito pelo candidato, partido ou coligação. Sobre esse uso incidirá o princípio da finalidade, que, conforme dicção do art. 6º, inciso I, determina que o tratamento de dados deve ser realizado para propósitos legítimos, específicos, explícitos e informados ao titular, sem possibilidade de tratamento posterior de forma incompatível com essas finalidades. Por consequência lógica, a coleta de dados já contará com o consentimento do usuário, em respeito ao inciso I do art. 6º, cabendo ao titular dos dados pessoais manifestar-se de modo livre, expresso, informado e específico, ou seja, com plena ciência de que seus dados servirão ao propósito de convencimento eleitoral. Se os dados pessoais congregam opiniões políticas, informações sobre o alinhamento ideológico e filiação a grupos sociais, passa-se a considerá-los como dados pessoais sensíveis. Nessa qualidade, os critérios para o tratamento são mais restritivos, de acordo com o art. 11: não se cogita de haver legítimo interesse no tratamento e, o consentimento passa a ser específico e destacado, para finalidades específicas. Consequentemente, nota-se que os cidadãos possuirão os seus dados pessoais mais protegidos no que se refere ao uso de mencionados dados para fins políticos, sendo que a Lei Geral de Proteção de Dados possui um papel de extrema relevância para dificultar determinadas práticas danosas ao Estado Democrático de Direito que foram constatadas nas eleições presidenciais de 2018, como o uso de bots para a disseminação de fake news para determinado perfil de eleitores.  Conclusão Embora a legislação eleitoral já possuísse dispositivos que visavam a proteger os dados pessoais dos cidadãos, é possível notar que a Lei Geral de Proteção de Dados, ao elencar como sujeito de direito principal os titulares dos dados pessoais, configura-se como um importante instrumento para se evitar a manipulação política por meio do emprego de novas tecnologias e formas de realizar o direcionamento de seus conteúdos. Nas eleições de 2022, poderemos analisar com clareza os impactos da Lei Geral de Proteção de Dados no processo eleitoral, sendo que é possível vislumbrar que práticas realizadas nas eleições de 2018 não serão verificadas com tanta frequência no próximo ano.  _________ 1 Para uma contextualização histórica do tema v. DONEDA, Danilo. Panorama histórico da proteção de dados pessoais. In: Tratado de proteção de dados pessoais. Coord. Danilo Doneda, et. Al. 2ª reimp.. Rio de Janeiro: Forense, 2021. P. 3-20. 2 LYON, David. The eletronic eye. The rise of surveillance Society. Minneapolis: University of Minnesota Press, 1994, p. 33. 3 WIMMER, Miriam. O regime jurídico do tratamento de dados pessoais pelo Poder Público. In: Tratado de proteção de dados pessoais. Coord. Danilo Doneda, et. Al. 2ª reimp.. Rio de Janeiro: Forense, 2021. P. 273. 4 V. https://www.tse.jus.br/imprensa/noticias-tse/2021/Outubro/tse-e-cnj-realizam-primeira-acao-para-identificar-pessoas-sem-documento-nas-prisoes. Acesso em 10 de dez. de 2021. 5 OLIVEIRA, Cristina Godoy Bernardo de; Neto, Fernando Celso Guimarães. Estado vigilante e regulação das fake news. In Migalhas de Proteção de Dados, 30 de abril de 2021. Disponível aqui. Acessado em 22 de dezembro de 2021. _________ Kaleo Dornaika é Advogado. Mestre em Direito pela Universidade de São Paulo. Cristina Godoy Bernardo de Oliveira é professora doutora da Faculdade de Direito de Ribeirão Preto - Universidade de São Paulo desde 2011. Academic Visitor da Faculty of Law of the University of Oxford (2015-2016). Pós-doutora pela Université Paris I Panthéon-Sorbonne (2014-2015). Doutora em Filosofia do Direito pela Faculdade de Direito da USP (2011). Graduada pela Faculdade de Direito da USP (2006). Líder do Grupo de Pesquisa Direito, Ética e Inteligência Artificial da USP - CNPq. Coordenadora do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP). Membro fundador do Instituto Avançado de Proteção de Dados - IAPD.   

Introdução Na Parte I deste texto, publicada no Migalhas em 1º de outubro de 20211, abordamos o processo de consentimento na pesquisa envolvendo seres humanos e os relativos à Lei Geral de Proteção de Dados - LGPD; Lei 13.709/2018. Na sequencia, na Parte II, ora publicada, temos como propósito focar nossa análise nas características do processo de consentimento na assistência à saúde e suas relações com o estabelecido na LGPD. Para recuperar alguns pressupostos centrais e que integram todas Partes, destacamos aspectos tratados na Parte I, são eles: 1- O processo de consentimento na área da saúde é essencial - ele representa "o ritual clínico moderno da confiança"2, seja na perspectiva bioética3, moral e jurídica.4-5 2- O ato humano de consentir está diretamente conectado à liberdade e à autonomia da pessoa natural, podendo representar diferentes sentidos e formas de manifestação de vontade, tenha este ato efeitos jurídicos ou não. 3- Consentir, o ato de consentir e o processo de consentir são palavras que em seu entorno gravitam sentidos diversos, apesar dos inúmeros pontos de contato na rede do "universo normativo" e que também é o "universo narrativo" de conceitos, princípios, modelos normativos e hermenêuticos - sendo o verbo consentir aquele que dá a forma primordial as distintas roupagens, atuando  como uma "concha" receptora de sentidos; em referência a metáfora da "concha do marisco abandonado" empregada por Martins-Costa.6 4- O verbo consentir antecipado pela palavra "processo" é complemento integrador de sentidos jurídicos e bioéticos. 5- O processo sendo entendido como - aqui replicamos nosso texto-: A cadeia de atos e/ou procedimentos, não necessariamente consecutivos ou postos de forma sequencial, envolvendo elementos intrínsecos e elementos extrínsecos na perspectiva da pessoa natural que consente. Os elementos extrínsecos, aqueles postos pela situação concreta e jurídica, essenciais ao conhecimento do consentidor para respeitar os seus direitos informativos, de personalidade e de autodeterminação. O ato de consentir deve ser realizado sem inadequações éticas7 e/ou vícios de consentimento (erro ou ignorância, dolo, coação e estado de perigo)8. É fundamental diferenciar a obtenção de um consentimento em situações assistenciais das que ocorrem em pesquisa. Na assistência sempre existe uma demanda de atenção, por parte do indivíduo, paciente ou de seus familiares, baseada em uma necessidade, que é apresentada aos profissionais de saúde. Por outro lado, o pesquisador oferece a possibilidade de participação em um projeto de pesquisa a pessoas que preenchem os critérios de inclusão previamente estabelecidos. Resumindo, a assistência se baseia em um critério de necessidade e a pesquisa no de possibilidade, conforme tivemos a oportunidade de destacar na Parte I deste texto.  A necessidade envolvida na assistência a saúde está relacionada a uma prestação de serviço que tem como objeto central os cuidados de saúde. Desta forma, o consentimento na assistência, por definição, envolve a relação profissional-paciente que é assimétrica, devido à vulnerabilidade associada ao assistido.9 A obtenção do consentimento é um importante elemento de uma adequada relação profissional-paciente em ambientes assistenciais, sendo uma atividade intrínseca e fundamental, e não tangencial, à relação jurídica existente. A assistência à saúde, aqui tratada, contempla o conceito de saúde proposto pela Organização Mundial da Saúde (OMS) - estado de completo bem-estar físico, mental e social e não somente ausência de afecções e enfermidades - e que hoje é central entre os Objetivos do Desenvolvimento Sustentável (ODS) e o Pacto Global da Organizações das Nações Unidas (ONU), portanto envolve todas as áreas da saúde e não somente a medicina. Também deve envolver necessariamente o tratamento de dados pessoais e dados pessoais sensíveis. O processo de consentimento envolve diversas facetas do atual exercício dos cuidados em saúde. Este processo de consentimento não é apenas uma doutrina legal, é também um direito moral dos pacientes que gera obrigações legais e morais para os profissionais da área da saúde. O processo de consentimento pode assumir diferentes significados. A relação jurídica estabelecida entre as partes tem como foco e objetivo central a assistência à saúde do assistido, pautada pela consideração que o direito à saúde é um direito fundamental e social, estabelecido nos artigos 5º e 6º da Constituição Federal e em demais regras de direito público e privado. A assistência à saúde pressupõe um negócio jurídico, que poderá conjugar deveres e obrigações contratuais ou existencial, entre o prestador dos serviços à saúde. O prestador poderá ser um ente público, com o por exemplo, a assistência efetivada pelo Sistema Único de Saúde (SUS); ou poderá ser uma pessoa jurídica de direito privado, como as clinicas e hospitais privados e filantrópicos, ou ainda, por uma pessoa natural, quando a assistência é realizada por um profissional liberal individualmente. Neste contexto, e com o objetivo de integrar um conjunto de textos abarcando os diferentes processos de consentimento na área da saúde, passamos a tratar sobre aspectos característicos do processo de consentimento na assistência à saúde, em especial a sua natureza e efeitos jurídicos e, por fim, os pontos de contato com o estabelecido na à Lei Geral de Proteção de Dados - LGPD; lei 13.709/2018. Clique aqui e confira a coluna na íntegra. __________ 1 FERNANDES, Márcia S.; GOLDIM, J.R. Os diferentes processos de consentimento na pesquisa envolvendo seres humanos e na LGPD - Parte I. Publicado em 1 de outubro de 2021. Acessível aqui.  2 WOLPE, Paul Root.The triumph of autonomy in American Bioethics: a sociological view. In: Raymond De Vires, Janardan Subedi. Bioethics and Society: constructing the ethical enterprise. Englewood Cliffs: Prentice-Hall, 1998, p. 49. 3 GOLDIM, José Roberto Goldim. Consentimento, capacidade e alteridade. In: Giovana Benetti; André Rodrigues Corrêa; Márcia Santana Fernandes; Guilherme Monteiro Nitschke; Mariana Pargendler; Laura Beck Varela. (Org.). Direito, Cultura e Método - Leituras da obra de Judith Martins-Costa. 1ed.Rio de Janeiro: GZ Editora, 2019, v. 1, p. 169-181. 4 CEZAR, Denise Oliveira. Pesquisa com medicamentos - aspectos bioéticos. São Paulo: Editora Saraiva, 2012, p. 178 e seguintes. 5 MARTINS-COSTA, Judith. A Boa-fé no Direito Privado - critérios para sua aplicação. São Paulo: Editora Marciel Pons, 2015, §21, p. 228-237. 6 MARTINS-COSTA, Judith. A concha do marisco abandonado e o nomos; in Narração e Normatividade - Ensaios de Direito e Literatura, MARTINS-COSTA, Judith (Cood.); São Paulo: Editora GZ, 2013, pgs. 8-11. 7 GOLDIM, José Roberto Goldim. O consentimento informado numa perspectiva além da autonomia. Revista AMRIGS, Porto Alegre, 46(3,4): 109-116, jul.-dez. 2002. Também acessível aqui. 8 Código Civil Brasileiro, Lei 10.406/2002; Capítulo IV - Dos Defeitos do Negócio Jurídico; artigos 138 ao 156 e Capitulo V - Da invalidade do Negócio Jurídico. 9 GENRO, B.; GOLDIM, J. R.. Acreditação Hospitalar e o Processo de Consentimento Informado. Rev HCPA 2012;32(4).

O presente trabalho enfrenta o problema do acesso de terceiros a dados de vacinação detidos por entes públicos, nos casos em que se objetiva controlar a atuação estatal e coibir irregularidades no processo de imunização. Nessas hipóteses, tem-se na balança, de um lado, o direito fundamental de acesso à informação e o princípio da transparência administrativa, e, de outro lado, o direito fundamental à proteção dos dados pessoais. O conflito deve ser analisado à luz do critério hermenêutico da razoabilidade. Isso porque se fará necessária a ponderação dos diversos interesses, integrando-se regras, princípios e valores do sistema, para que se possa, ao final, construir a norma do caso concreto que melhor realize a tábua axiológica constitucional. Na parte I deste artigo, examinou-se a situação de divulgação, ao público, de dados pessoais pertinentes ao processo de vacinação. A partir da análise da incidência simultânea da disciplina da Lei de Acesso à Informação e da Lei Geral de Proteção de Dados Pessoais, lidas à luz dos princípios e valores constitucionais, concluiu-se pela inviabilidade da referida divulgação sem consentimento de cada titular. Diga-se entre parênteses que a racionalidade da questão em tela não se confunde com a da obrigatoriedade de exibição, pelo próprio titular, de atestado de vacinação para ingresso em determinados ambientes (o chamado "passaporte vacinal"), com suporte fático e pressupostos diversos, inclusive a tutela da saúde de terceiros, o que justifica e fundamenta a exigência da comprovação. Agora, nesta parte II, serão examinadas duas outras hipóteses: (i) a divulgação, ao público, de dados anonimizados pertinentes ao processo de vacinação e (ii) o acesso a dados pessoais pertinentes ao processo de vacinação por órgãos públicos responsáveis pela defesa da ordem jurídica e pelo controle da Administração Pública. Primeiramente, cabe destacar que é viável a divulgação pública de dados anonimizados. Nessa situação, o direito à proteção dos dados pessoais estará resguardado, ao mesmo tempo em que se assegura transparência ao processo de vacinação. Constitui exemplo de publicação de dados nacionais de vacinação o chamado "vacinômetro", que indica diariamente, no site do Conselho Nacional de Saúde, a quantidade de doses aplicadas no país: em 8/12/21, já haviam sido aplicadas 314.158.730 doses. A Lei Geral de Proteção de Dados Pessoais qualifica como anonimizado o "dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento" (art. 5º, III, LGPD). A caracterização do dado como pessoal ou anonimizado é de extrema relevância, em virtude da diferenciação de disciplina aplicável. Nessa direção, o art. 12, caput, da LGPD estabelece que, para os fins da lei, dados anonimizados não são considerados dados pessoais. Para diferenciar o dado pessoal do dado anonimizado, a lei 13.709/2018 adotou o "filtro da razoabilidade".1 Assim, quando um dado não puder ser associado, direta ou indiretamente, a um indivíduo, considerando a utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, esse dado será considerado anonimizado e a disciplina da Lei Geral de Proteção de Dados Pessoais não incidirá (art. 5º, XI, LGPD). Para concretizar o que se considera razoável, o art. 12, § 1º, da LGPD elege os seguintes fatores: "custo e tempo necessários para reverter o processo de anonimização", conforme as tecnologias disponíveis, e "utilização exclusiva de meios próprios". Desse modo, admite-se a divulgação, ao público, de dados anonimizados pertinentes à vacinação. Faz-se necessário, todavia, o controle da efetividade do processo de anonimização, devendo-se assegurar que o titular não possa ser identificado, considerando o referido filtro da razoabilidade. É certo, contudo, que, para a finalidade de coibir irregularidades no processo de vacinação, a divulgação de dados anonimizados pode não constituir solução tão eficaz quanto o acesso à lista de vacinados, de modo identificado. Nesse cenário, faz-se mister a análise de outra hipótese: o acesso a dados pessoais pertinentes ao processo de vacinação por órgãos públicos responsáveis pela defesa da ordem jurídica e pelo controle da Administração Pública. Aqui, também se deve considerar a incidência simultânea da disciplina da Lei Geral de Proteção de Dados Pessoais (lei 13.709/18 - LGPD) e da Lei de Acesso à Informação (lei 12.527/11 - LAI), sempre lidas à luz da tábua axiológica constitucional. Como visto na parte I deste trabalho, a LAI restringe o acesso à informação pessoal a "agentes públicos legalmente autorizados" e ao seu titular (art. 31, § 1º, I). Os servidores de órgãos públicos responsáveis pela defesa da ordem jurídica e pelo controle da Administração Pública se caracterizam como "agentes públicos legalmente autorizados". Além disso, o art. 31, § 2º, da lei 12.527/11 estabelece que aquele que obtiver acesso aos dados pessoais será responsabilizado por seu uso indevido. Assim, o dever de sigilo será transferido ex lege ao órgão público requisitante. Pela disciplina da LAI, é, portanto, viável o acesso a dados de vacinação por órgãos públicos responsáveis pela defesa da ordem jurídica e pelo controle da Administração Pública. A mesma conclusão é extraída da disciplina da Lei Geral de Proteção de Dados Pessoais. Isso porque a LGPD permite o tratamento de dados pessoais para o cumprimento de obrigação legal ou regulatória pelo controlador (art. 7º, II), inclusive para dados pessoais sensíveis (art. 11, II, "a").2 Nessas hipóteses, dispensa-se a obtenção de consentimento do titular. Além disso, o art. 26, caput, da Lei 13.709/18 autoriza o uso compartilhado de dados pessoais pelo Poder Público, desde que a finalidade seja a execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, devendo ser respeitados os princípios de proteção de dados pessoais enumerados no art. 6º da lei. O dever legal de proteção dos dados pessoais será transferido ao órgão público que requereu o acesso. Em síntese, nesse caso, é permitido o tratamento de dados pessoais e de dados pessoais sensíveis. Deverão, contudo, ser atendidos os princípios previstos no art. 6º da LGPD. De acordo com tal dispositivo, o tratamento de dados pessoais deve ser realizado para finalidade legítima, específica, explícita e devidamente informada, sendo certo que o tratamento não pode se dar para fins discriminatórios ilícitos ou abusivos (princípios da finalidade e da não discriminação). Faz-se mister que a operação prevista seja compatível com a finalidade aventada e que o procedimento ocorra sem excessos, na exata medida para se alcançar o dito propósito. Com efeito, o tratamento de dados pessoais deve ocorrer conforme sua razão justificadora e no limite desse escopo, encerrando-se a operação tão logo haja seu cumprimento (princípios da adequação e da necessidade).3 Assegura-se ao titular do dado pessoal acesso facilitado e gratuito à forma, à duração do tratamento e à integralidade das informações pessoais (princípio do livre acesso). Os dados devem estar corretos, claros, atualizados e se afigurarem relevantes para o atendimento do objetivo da operação (princípio da qualidade dos dados). São garantidas ao titular informações claras, precisas e facilmente acessíveis a respeito dos tratamentos realizados e dos agentes que os promovem, respeitados os segredos comercial e industrial, bem como que a operação seja efetuada de acordo com medidas técnicas e administrativas seguras (princípios da transparência e da segurança). Exige-se a adoção de providências que evitem a ocorrência de danos, determinando-se aos agentes de tratamento a demonstração do implemento das normas de proteção e da eficácia das medidas cumpridas (princípios da prevenção e da responsabilização e prestação de contas). Mais uma vez, o diálogo entre a Lei Geral de Proteção de Dados Pessoais e a Lei de Acesso à Informação aponta para solução única: a viabilidade do acesso, por órgão público responsável pela defesa da ordem jurídica e pelo controle da Administração Pública, a dados pessoais pertinentes ao processo de vacinação, independentemente de consentimento do titular da informação pessoal.  Assim, é individualizada solução coerente e harmônica, que assegura, a uma só vez, a unidade do sistema e a promoção dos valores emanados do topo da pirâmide normativa.4 Na situação vislumbrada, tutela-se o princípio da transparência administrativa, integrante do núcleo axiológico do regime democrático, sem, contudo, se aniquilar o direito fundamental à proteção dos dados pessoais. Na verdade, o dever de proteção e de sigilo será transferido ao órgão público requisitante, o qual se torna responsável por qualquer uso indevido das informações pessoais. Imagine-se que o MP, "instituição permanente, essencial à função jurisdicional do Estado" e responsável pela "defesa da ordem jurídica, do regime democrático e dos interesses sociais e individuais indisponíveis" (art. 127, caput, CF/88), requeira ao Poder Executivo o acesso a dados de vacinação para fins de instrução de procedimento administrativo regularmente instaurado para apurar irregularidades no processo de vacinação. Como se sabe, a CF/88 atribui ao Ministério Público, como função institucional, "expedir notificações nos procedimentos administrativos de sua competência, requisitando informações e documentos para instruí-los" (art. 129, VI). Será viável, portanto, o atendimento à requisição ministerial. Veja-se que o direito à proteção dos dados pessoais não pode ser interpretado de forma tão extremada que impeça o acesso a informações de vacinação por instituição pública responsável pela defesa da ordem jurídica.  É dizer: não existem direitos absolutos. Tanto o direito fundamental de acesso à informação quanto o direito fundamental à proteção dos dados pessoais encontram limites no arcabouço normativo vigente. Caberá ao intérprete, considerando o ordenamento jurídico em sua unidade, coerência, heterogeneidade e complexidade, individualizar a solução que melhor realize os valores constitucionais, a partir da acurada análise de cada situação concreta. Diante do exposto na Parte I e na Parte II deste trabalho, conclui-se que, no contexto da pandemia da covid-19, sobressai, mais do que nunca, a preocupação com a pessoa humana e seus valores existenciais, a serem tutelados pelo ordenamento jurídico com máxima prioridade. Os direitos da pessoa demandam, talvez mais do que em qualquer outra quadra da história, deveres de proteção. Nessa toada, proteger os dados pessoais significa amparar e salvaguardar o livre desenvolvimento da personalidade de cada indivíduo, reconhecendo e protegendo sua dignidade. Nesse cenário, a divulgação, ao público, de dados pessoais pertinentes ao processo de vacinação sem consentimento dos titulares das informações constitui solução inviável, sob pena de se aniquilar o direito à proteção dos dados pessoais, que é diretamente informado pelo princípio da dignidade da pessoa humana, fundamento do sistema jurídico. Há, ademais, outros meios menos gravosos para se assegurar a transparência administrativa e o alcance da finalidade de controle e de fiscalização do processo de vacinação. O prato da balança pende, assim, para a tutela da pessoa humana. De outro giro, afigura-se viável a divulgação, ao público, de dados anonimizados pertinentes ao processo de vacinação. Nesse caso, o direito à proteção dos dados pessoais estará resguardado, ao mesmo tempo em que se assegura transparência na atuação estatal. Deve haver, contudo, o controle da efetividade do processo de anonimização, assegurando-se que o titular não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis no momento do tratamento. Também se admite o acesso por órgão público responsável pela defesa da ordem jurídica e pelo controle da Administração Pública aos dados de imunização. Nessa situação, tutela-se o princípio da transparência administrativa, sem, contudo, se aniquilar o direito fundamental à proteção dos dados pessoais. Na verdade, o dever de proteção e de sigilo será transferido ao órgão público que requereu o acesso, o qual se torna responsável por qualquer uso indevido das informações pessoais. Nessa hipótese, o consentimento do titular do dado pessoal é dispensado. Parece urgente, portanto, a modificação na atuação do Estado-legislador, de forma que não sejam mais editadas leis para obrigar a Administração Pública a divulgar, por meio de seu site oficial, a lista nominal de vacinados. Ilustre-se com o recente PL 42/21, que visava a tornar "obrigatória a publicação de dados a respeito dos lotes de vacinação e da população vacinada no âmbito do Plano Estadual de Imunização contra a covid-19", aprovado pela Assembleia Legislativa do Estado de São Paulo, mas totalmente vetado pelo Governador do Estado, em outubro de 2021, em razão do conflito com o art. 5º, inciso X, da CF/88. O PL 42/21 previa a (inadmissível) obrigatoriedade de publicação, em  sítio eletrônico, dos seguintes dados:  nome completo da pessoa vacinada, trecho do CPF, grupo de vacinação, data e local da vacinação, lote da vacina aplicada, identificação da dose recebida e identificação nominal e de registro funcional do profissional que aplicou a vacina. Também parece necessária a pacificação do entendimento jurisprudencial na direção da inviabilidade de se compelir o Poder Executivo a divulgar, ao público, a lista nominal de vacinados. A existência de posicionamentos divergentes na jurisprudência pode ser ilustrada com os casos dos municípios de Nova Odessa, Monte Alto e Santa Cruz das Palmeiras. Nas três hipóteses, o Órgão Especial do TJ/SP enfrentou a questão da edição de leis para obrigar a prefeitura a publicar os nomes completos das pessoas vacinadas, entendendo pela constitucionalidade no caso de Nova Odessa e pela inconstitucionalidade nos casos de Monte Alto e Santa Cruz das Palmeiras.5 Fundamental que o Estado-juiz consolide, em definitivo, sua atuação no sentido de considerar inadmissível a divulgação, ao público, de dados pessoais pertinentes ao processo de vacinação sem consentimento dos titulares das informações. ______ 1 Bruno Ricardo Bioni. Proteção de dados pessoais: a função e os limites do consentimento. Rio de Janeiro: Forense, 2020, p. 66. 2 Considera-se que, no que interessa ao tema do presente trabalho, o art. 23 da LGPD não constitui uma base legal de tratamento autônoma. As hipóteses em que a Administração Pública poderá realizar o tratamento de dados pessoais já estão abrangidas pelas bases legais dos arts. 7º e 11 da LGPD. Como se vê dos próprios termos utilizados pela LGPD, o art. 23 fixa as "regras" que deverão ser observadas pelo Poder Público no exercício de tal atividade. 3 Pietro Perlingieri. La pubblica amministrazione e la tutela della privacy. In: Pietro Perlingieri. La persona e i suoi diritti: problemi del diritto civile. Napoli: Edizioni Scientifiche Italiane, 2005, p. 259. 4 Carlos Edison do Rêgo Monteiro Filho. Reflexões metodológicas: a construção do observatório de jurisprudência no âmbito da pesquisa jurídica. Revista Brasileira de Direito Civil, v. 9, n. 3, 2016, Disponível aqui. 5 TJ/SP, ADI 2047923-56.2021.8.26.0000, Órgão Especial, julg. 07/07/2021; TJ/SP, ADI 2133878-55.2021.8.26.0000, Órgão Especial, julg. 27/10/2021; TJ/SP, ADI 2112146-18.2021.8.26.0000, Órgão Especial, julg. 27/10/2021.

Desde o início da pandemia da Covid-19, incalculável sofrimento vem sendo imposto à humanidade. Depois do fim do mais insólito ano há muito não vivido, 2021 começou com um sopro de esperança.1 Em 17 de janeiro, foi aplicada a primeira vacina contra a doença no país.2 Daí se seguiram milhões de doses aplicadas, de acordo com a ordem de prioridade estabelecida. Os impactos do início da vacinação reverberaram no campo jurídico. A intervenção do Estado-administrador para protagonizar o combate à Covid-19 por meio do processo de vacinação gerou a correspondente necessidade de controle e de fiscalização da atuação estatal, de modo a se coibir irregularidades, como no caso de desobediência à ordem de prioridades ("fura-fila"). Em alguns locais, o Estado-legislador reagiu editando leis que obrigam a Administração Pública a divulgar, por meio de seu site oficial, a lista nominal de vacinados. Também foi chamado a entrar em cena o Estado-juiz, a partir de ações ajuizadas com o objetivo de compelir o Poder Executivo a publicar a lista de vacinados. Vejam-se alguns exemplos. O Ministério Público do Estado do Rio de Janeiro propôs ação civil pública, pretendendo compelir o Município do Rio de Janeiro a conferir publicidade ao processo de vacinação que estava sendo implementado, através da disponibilização diária, no site oficial da Prefeitura, de listagem de vacinados. Alegou o Ministério Público que o plano de vacinação continha falhas, com desvios de doses para indivíduos que não faziam parte dos grupos prioritários, e que a publicidade era necessária para permitir o controle e a fiscalização do processo de imunização. Todavia, em agosto de 2021, a 9ª Vara da Fazenda Pública do Tribunal de Justiça do Estado do Rio de Janeiro julgou improcedente o pedido. Dentre outros fundamentos, o magistrado ressaltou a importância do respeito à disciplina da Lei Geral de Proteção de Dados Pessoais (LGPD). Exemplificou que, embora a pessoa infectada não possa se opor ao compartilhamento de seu nome e demais informações com o Ministério da Saúde, o tratamento de dados pessoais pela Administração Pública deve obedecer aos princípios previstos na LGPD, sendo admissível "a divulgação, ao público, apenas dos números e da divisão dos casos por região do Brasil e não das informações específicas daqueles com diagnóstico positivo e que possam, de alguma forma, servir para identificá-los, ainda que combinados com outros dados".3 O magistrado também havia, anteriormente, indeferido o pedido liminar, o que foi confirmado, em sede de agravo de instrumento, pela 10ª Câmara Cível do Tribunal de Justiça do Estado do Rio de Janeiro.4 Já no Município de Nova Odessa (SP), foi editada a lei municipal nº 3.381, de 23.2.2021, que dispôs sobre a obrigatoriedade de publicação, no site oficial da Prefeitura, da lista de vacinados contra a Covid-19, atualizada diariamente, com indicação do nome completo da pessoa vacinada, número de seu CPF (ocultando os seis primeiros dígitos com asterisco), data e local da vacinação, além da referência ao respectivo grupo prioritário. O Prefeito de Nova Odessa, contudo, ingressou com ação direta de inconstitucionalidade em face do artigo 2º, inciso I, da referida lei, que determinava a publicação do nome completo da pessoa vacinada, alegando, no que interessa ao presente trabalho, a violação da intimidade e da vida privada dos munícipes vacinados (art. 5º, X, CRFB/88). Em julho de 2021, o Órgão Especial do Tribunal de Justiça do Estado de São Paulo julgou improcedente a ação direta de inconstitucionalidade. Aduziu que a Administração Pública tem o dever fundamental de adotar o quanto necessário para prevenir doenças, inexistindo, na espécie, violação à intimidade ou à vida privada dos cidadãos. Assim, deveria prevalecer o valor da transparência. Também se considerou que a ausência de divulgação da lista nominal comprometeria a decisão do Supremo Tribunal Federal acerca da constitucionalidade da vacinação compulsória, embora não forçada, para preservar a saúde da coletividade (ADIs nº 6.586 e 6.587).5 A partir desses exemplos, vê-se que o debate sobre a viabilidade da divulgação da lista de vacinados é não só atual, como também tem gerado posicionamentos divergentes na jurisprudência. Nesse contexto de incertezas jurídicas, a doutrina assume importante papel de contribuir com a construção da disciplina incidente, por meio do exame do arcabouço normativo imposto pelo ordenamento, dos valores em jogo e dos instrumentos para a ponderação de interesses conflitantes. O presente trabalho se dividirá em duas partes. Nesta primeira, será analisada a situação de divulgação, ao público, de dados pessoais pertinentes ao processo de vacinação. Na Parte II, serão examinadas duas outras hipóteses: (i) a divulgação, ao público, de dados anonimizados pertinentes ao processo de vacinação e (ii) o acesso a dados pessoais pertinentes ao processo de vacinação por órgãos públicos responsáveis pela defesa da ordem jurídica e pelo controle da Administração Pública. Como se sabe, a Constituição da República de 1988 contemplou, como direitos fundamentais, o direito de acesso à informação e o direito à proteção dos dados pessoais.6 Trouxe, ainda, como princípio, a transparência na atuação da Administração Pública. Nas situações em que a informação detida por ente público a que se pretende ter acesso é um dado pessoal de terceiro, entram em rota de colisão, de um lado, o direito fundamental de acesso à informação e o princípio da transparência administrativa, e, de outro lado, o direito fundamental à proteção dos dados pessoais.  Em um dos pratos da balança, valores integrantes do núcleo axiológico do regime democrático; no outro prato da balança, interesses existenciais que são diretamente informados pelo princípio da dignidade da pessoa humana. Quid juris? Nesses casos, haverá a incidência simultânea da disciplina da Lei Geral de Proteção de Dados Pessoais (lei 13.709/2018 - LGPD) e da Lei de Acesso à Informação (lei 12.527/2011 - LAI). A interpretação deve ser sistemática, promovendo-se o diálogo entre as normativas, à luz dos princípios e valores constitucionais. Pense-se no exemplo de divulgação de lista que contém o nome das pessoas vacinadas naquela localidade, acompanhado da doença que a inclui no denominado "grupo de risco" da Covid-19 e que justificou a sua vacinação prioritária, por meio de disponibilização no sítio eletrônico oficial do ente público. A lista de vacinados conterá, inevitavelmente, dados pessoais e dados pessoais sensíveis.  A lei 13.709/2018 conceitua dado pessoal como aquele titularizado por pessoa natural identificada ou identificável, excluindo de sua proteção a informação relativa à pessoa jurídica (art. 5º, I e V, LGPD). Por outro lado, com relação ao dado pessoal sensível, a LGPD traz lista exemplificativa em seu artigo 5º, II: informação "sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural". A qualificação de determinado dado pessoal como sensível deve ocorrer concretamente, conforme a identificação da maior probabilidade de uso discriminatório por terceiros. Na disciplina da LGPD, o tratamento de dados pessoais só pode ocorrer se estiver fundamentado em uma das bases legais previstas nos artigos 7º e 11.  O artigo 7º da LGPD contempla como bases legais, em linhas gerais: (i) consentimento; (ii) cumprimento de obrigação legal ou regulatória; (iii) execução de políticas públicas; (iv) realização de estudos por órgão de pesquisa; (v) execução de contrato ou de procedimentos preliminares relacionados a contrato; (vi) exercício regular de direitos em processo judicial, administrativo ou arbitral; (vii) proteção da vida ou da incolumidade física do titular ou de terceiro; (viii) tutela da saúde; (ix) legítimo interesse e (x) proteção do crédito. De outro giro, o artigo 11 da LGPD fornece disciplina específica para os dados pessoais sensíveis, e prevê, resumidamente, as seguintes bases legais: (i) consentimento; (ii) cumprimento de obrigação legal ou regulatória; (iii) execução de políticas públicas; (iv) realização de estudos por órgão de pesquisa; (v) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo ou arbitral; (vi) proteção da vida ou da incolumidade física do titular ou de terceiro; (vii) tutela da saúde; (viii) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos. A partir da análise das bases legais previstas na LGPD, vê-se que a divulgação pública de dados pessoais pertinentes ao processo de vacinação não pode ocorrer, senão mediante consentimento de cada titular. Se, de um lado, não se encontra base legal para fundamentar o tratamento desses dados pessoais sem consentimento (sensíveis ou não), de outro lado é certo que a exposição pública da lista de vacinados aniquila o direito à proteção dos dados pessoais. A mesma conclusão decorre do exame da disciplina da Lei de Acesso à Informação. O artigo 3º estabelece as diretrizes de aplicação da lei: (i) observância da publicidade como regra e do sigilo como exceção; (ii) divulgação de informações de interesse público, sem que se faça necessária solicitação; (iii) emprego de meios de comunicação viabilizados pela tecnologia da informação; (iv) estímulo ao desenvolvimento da cultura de transparência na administração pública; (v) edificação do controle social da administração pública. De mais a mais, o artigo 8º prevê que os órgãos e as entidades públicas têm o dever de divulgar informações de interesse coletivo ou geral por eles produzidas ou custodiadas, no âmbito de suas competências. A publicação deve se dar em local de fácil acesso e prescindir de requerimento. No entanto, a LAI contempla disciplina específica para as informações pessoais, que não pode ser desconsiderada pelo intérprete. A normativa traz limites ao direito fundamental de acesso à informação, concretizando o comando do artigo 5º, XXXIII, da CRFB/88, que prevê o direito do indivíduo a receber informações de interesse particular, ou de interesse coletivo ou geral detidas por órgãos públicos, mas ressalva aquelas cujo sigilo seja imprescindível à segurança da sociedade e do Estado. Nessa direção, o artigo 6º, III, da LAI determina a proteção tanto da informação sigilosa quanto da informação pessoal, observados os aspectos de disponibilidade, autenticidade, integridade e eventual restrição de acesso. Passo adiante, o artigo 31, caput, da LAI estabelece que o tratamento dos dados pessoais deve ser feito com transparência e respeito às liberdades e garantias individuais e aos direitos à intimidade, à privacidade, à honra e à imagem. As informações pessoais terão seu acesso restrito a agentes públicos legalmente autorizados e ao seu titular, pelo prazo máximo de cem anos a contar de sua produção, independentemente de classificação de sigilo (art. 31, § 1º, I, LAI). O acesso a dado pessoal por terceiro só será admitido diante de previsão legal ou consentimento expresso da pessoa a que a informação se refere (art. 31, § 1º, II, LAI). O consentimento do titular, todavia, não será exigido quando os dados forem necessários: (i) à prevenção e diagnóstico médico, nas situações em que a pessoa estiver física ou legalmente incapaz, e para utilização única e exclusivamente para o tratamento médico; (ii) à realização de estatísticas e pesquisas científicas de evidente interesse público ou geral, previstos em lei, sendo proibida a identificação do titular das informações; (iii) ao cumprimento de ordem judicial; (iv) à defesa de direitos humanos; (v) à proteção do interesse público e geral preponderante; (vi) à apuração de irregularidades em que o titular dos dados estiver envolvido e (vii) em ações que visam à recuperação de fatos históricos de maior relevância (art. 31, § 3º, I a V, e § 4º, LAI). Ponha-se entre parêntese que, embora o artigo 10, § 3º, da LAI proíba a exigência relativa a motivos determinantes do pedido de acesso à informação, essa vedação não se aplica a informações pessoais, caso em que a solicitação precisará estar fundamentada em uma das hipóteses descritas que excepcionam a restrição de acesso. Ocorre que, novamente, nenhuma das referidas exceções é capaz de fundamentar a divulgação, ao público, de dados pessoais pertinentes ao processo de vacinação, a demandar a obtenção de consentimento de cada titular.  Há, portanto, na espécie, a incidência simultânea da Lei de Acesso à Informação e da Lei Geral de Proteção de Dados Pessoais. O diálogo entre as normativas aponta para solução única: a inviabilidade da divulgação, ao público, de dados pessoais pertinentes ao processo de vacinação sem consentimento de cada titular. À luz do princípio da dignidade da pessoa humana, é individualizada solução coerente e harmônica, que assegura, a uma só vez, a unidade do sistema e a promoção da tábua axiológica constitucional.   O direito à proteção dos dados pessoais é diretamente informado pelo princípio da dignidade da pessoa humana, fundamento do sistema jurídico (art. 1º, III, CRFB/88).7 Assim, a exposição pública da lista de vacinados, ao aniquilar o direito à proteção dos dados pessoais, viola, em última análise, o princípio da dignidade da pessoa humana, o que, evidentemente, não se pode admitir.  Há, ademais, outros meios menos gravosos de se assegurar a transparência administrativa e o alcance da finalidade de controle e de fiscalização do processo de vacinação. É deste tema que se ocupará a Parte II deste trabalho - cenas do próximo capítulo.  *Carlos Edison do Rêgo Monteiro Filho é professor Titular de Direito Civil da UERJ (graduação, mestrado e doutorado) e ex-coordenador do Programa de Pós-Graduação em Direito da UERJ. Doutor em Direito Civil e Mestre em Direito da Cidade pela UERJ. Procurador do Estado do Rio de Janeiro. Vice-presidente do Instituto Brasileiro de Estudos de Responsabilidade Civil (IBERC). Associado Fundador do Instituto Avançado de Proteção de Dados (IAPD). Membro da Comissão de Direito Civil da OAB/RJ, do IBDCivil e da AHC-Brasil. Advogado, parecerista em temas de direito privado.   **Diana Loureiro Paiva de Castro é procuradora do Estado de São Paulo. Coordenadora do Núcleo de Propriedade Intelectual e Inovação da PGE-SP. Mestre em Direito Civil pela UERJ. Professora em cursos de pós-graduação da UERJ, da PUC-Rio e da ESNAP/USP. Associada Fundadora do IAPD. Membro do IBDCivil, do IBERC e da AHC-Brasil. Vice-Presidente da Região Sudeste na ANAPE. Foi Procuradora da FAPESP. __________ 1 Carlos Edison do Rêgo Monteiro Filho. Pandemia e responsabilidade: a pessoa no centro do tabuleiro. Revista IBERC, v. 3, n. 3, 2020. Disponível aqui. 2 Portal do Governo. "Estado de São Paulo inicia vacinação contra COVID-19". Disponível aqui. 3 TJ/RJ, ACP nº 0015047-74.2021.8.19.0001, 9ª Vara da Fazenda Pública, julg. 19/08/2021. 4 TJ/RJ, AI nº 0004292-91.2021.8.19.0000, 10ª Câmara Cível, julg. 14/07/2021. 5 TJ/SP, ADI nº 2047923-56.2021.8.26.0000, Órgão Especial, julg. 07/07/2021. 6 Cabe mencionar, em enunciação exemplificativa, os incisos X, XII, XIV, XXXIII e LXXII do artigo 5º e o caput e o inciso II do § 3º do artigo 37, todos da Constituição da República de 1988. Sublinhe-se também que o Plenário do Senado Federal aprovou, em outubro deste ano, a Proposta de Emenda à Constituição (PEC) 17/2019, que visa a prever expressamente a proteção de dados pessoais como um direito fundamental, tema objeto de recente artigo nesta coluna. 7 Carlos Edison do Rêgo Monteiro Filho; Diana Loureiro Paiva de Castro. Proteção de dados pessoais e cláusulas de não indenizar. Migalhas. Disponível aqui.

Breve introdução O Congresso Nacional aprovou no dia 20 de outubro de 2021 a Proposta de Emenda à Constituição n. 17/2019, que incluiu a proteção de dados pessoais no rol de direitos e garantias fundamentais. O novo inciso LXXIX assegura, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais. Além da inclusão expressa da norma como direito fundamental, o artigo inclui a competência privativa da União para legislar sobre a matéria de proteção e tratamento de dados. A intenção dos autores que apresentaram o texto é a de evitar "a fragmentação e pulverização de assunto tão caro à sociedade (...)", evitando-se, assim, "dezenas, talvez milhares" - de conceitos legais sobre o que é "dado pessoal" ou sobre quem são os "agentes de tratamento" sujeitos à norma legal.1 Diante da proposta apresentada, já aprovada pelo Congresso Nacional e no aguardo de promulgação da norma, convém analisar os reais efeitos jurídicos dessa nova distribuição de competência, considerando os princípios inerentes ao federalismo, igualmente protegido por cláusula pétrea.  Centralização do tema na União Talvez a maior divergência verificada nas audiências públicas realizadas pela Câmara dos Deputados sobre o tema tenha sido justamente a inserção da regulamentação da proteção e do tratamento de dados na esfera de competência privativa da União ou em esfera concorrente. Alguns especialistas apontaram a necessidade ou vantagens da uniformização, como isonomia em relação à competência privativa em informática e telecomunicações (Sérgio Gallindo), o predomínio do interesse (Danilo Doneda) e até mesmo a redução de custos com compliance (Gileno Barreto).2 Outros especialistas, todavia, reconheceram a conveniência de manutenção de um espaço criativo subnacional (Bruna dos Santos), havendo preocupações pontuais com o sistema de dados utilizado por serviços de interesse local ou regional, como aplicativos de transporte (Bruno Bioni), com a competência democrática para a população local ou regional se manifestar sobre a proteção de dados em temas de seu interesse, por meio de conselhos representativos (Marina Pita), ou com engessamento de competências legislativas e administrativas transversais tais quais o  direito do consumidor ou  da criança e adolescente, para citar alguns (Cassiana de Carvalho).3 Com efeito, para a teoria federativa, o argumento colocado por esse segundo grupo de especialistas se mostra pertinente, pois reconhece o predomínio do interesse específico, a par do próprio poder, presente nos regimes federativos, de estabelecimento do nível mais elevado de proteção jusfundamental por parte dos entes dotados de autonomia federativa.4 Nesse sentido, apesar da louvável iniciativa da Câmara dos Deputados em ouvir a sociedade civil e os especialistas, sentiu-se falta da participação de constitucionalistas, uma vez que o sistema de direitos fundamentais e a forma de Estado brasileiro possuem suas particularidades e princípios de interpretação e aplicação, muito desenvolvidos pela doutrina e jurisprudência nacionais, com supedâneo na melhor doutrina estrangeira e direito comparado. Ao elevar um tema transversal como a proteção de dados a direito fundamental expresso, desenhado como norma de eficácia restringível (uma vez que a lei poderá restringir o alcance da proteção), atribuindo competência privativa a apenas um dos entes federativos, outras normas do sistema constitucional são impactadas. Como ficará a autonomia constituinte dos Estados-membros, uma vez que, no sistema federativo, deve prevalecer o nível mais elevado de proteção dos direitos fundamentais? Haverá alguma distinção no que toca à sua competência administrativa e legislativa, conforme se trate das impropriamente5 chamadas eficácias horizontal e vertical desse novo direito fundamental (ou seja, respectivamente eficácia na relação entre particulares e eficácia na relação entre particulares e o Estado)? E qual competência deverá prevalecer na hipótese de conflitos federativos, como no caso de leis transversais, como a proteção do consumo em matérias de competência privativa da União, como serviço de telecomunicações, trânsito e transporte? Os especialistas convidados e os próprios autores da PEC 17/2019 defenderam interesses específicos, espelhando-se em legislações e sistemas normativos distintos do Brasil. Parece bastante aceitável que um profissional de compliance esteja preocupado em ter que administrar o conhecimento de uma normatização pulverizada. Por outro lado, não se pode relevar a preocupação de empresas que recorrem a sistemas informatizados para prestação de serviços públicos de interesse local, tampouco olvidar o legítimo direito da sociedade local ou regional a decidir questões específicas que possam ser adotadas apenas localmente. O argumento econômico apresenta sentido, econômico. Ninguém desconsidera que o tema do fluxo de dados entre pontos situados em diferentes estados possa exigir uma regra uniforme. Mas a proteção e o tratamento de dados não se resumem ao fluxo de dados. Há diversas outras questões que devem ser analisadas. Se uma empresa se beneficia da economia de escala proporcionada pelo tamanho do país, é razoável que ela se prepare também para as diversidades que a Constituição desse país recepcionou e protegeu ao adotar o sistema federativo. Recentemente, por exemplo, verificou-se uma verdadeira guerra legislativa entre governo federal e governos estaduais e municipais no que se referia à proteção à saúde. Nessa oportunidade, o Supremo Tribunal Federal nada mais fez que implicitamente reconhecer o nível mais elevado de proteção à saúde, ou seja, no caso de normas federais conflitantes com normas estaduais, deveria prevalecer aquela que potencializasse os princípios da precaução e da proteção. O Tribunal reafirmou que, no campo de competências comuns e concorrentes, deve prevalecer o predomínio do interesse.6 Alguns podem objetar que, no caso da proteção de dados, a sua menção expressa nos artigos 21 e 22 evitaria qualquer espaço para atuação administrativa ou legislativa dos demais entes federativos. Mais uma vez cabe reforçar que, a despeito de qualquer orientação do STF nesse sentido, o tratamento pode ser outro quando se trata de direito fundamental. A propósito, o artigo 23, I, da Constituição Federal também confere competência comum para zelar pela guarda da Constituição, a par de o artigo 24 também prever competências concorrentes que podem conflitar com a novel competência privativa. O nível mais elevado de proteção do direito fundamental no Brasil A pretendida uniformização de tratamento do tema promovida pela PEC 17/2019, a despeito de sua plausibilidade, pode enfrentar algum óbice na teoria do federalismo, aplicável ao Brasil. É que, em um Estado federativo, com entes dotados de competência constituinte, os entes federados podem conferir maior proteção aos direitos fundamentais previstos na Constituição Federal. O que não podem é reduzir o alcance de proteção a tais direitos. Deveras, a possibilidade de ampliação do leque de proteção jusfundamental é corolário lógico do federalismo. Compreendido como Estado composto de Estados7, só existe federação quando os entes autônomos apresentem também os elementos essenciais para configuração do estado, ou seja, uma estatalidade. Entre tais elementos se encontra o poder constituinte (por alguns chamados "decorrente"), apenas limitado e subordinado ao poder constituinte originário. Característica básica para a existência de uma Constituição é a disciplina de direitos fundamentais, como reconhece o artigo 16 da Declaração dos Direitos do Homem e do Cidadão, que sobremaneira influenciou o constitucionalismo contemporâneo. Não haveria sentido admitir a estatalidade de uma sociedade política, como a de entes federados, portanto, se não se reconhecesse a eles um espaço para ampliar os direitos fundamentais. Assim fosse, não possuiriam rol próprio de direitos fundamentais, bastando aplicar os direitos previstos na Constituição Federal, tendo apenas competência para organização de poderes, o que o tornaria um Estado unitário descentralizado, não federativo. Assim, não se pode entender que a nova redação impeça a adoção de normas complementares que tenham por objetivo aumentar a proteção conferida pela Constituição Federal, especialmente na relação entre o poder público local e regional e o particular. Como se sabe, o modelo de federalismo adotado pelo Brasil é do tipo cooperativo e taxativo-central, ou seja, demarca competências taxativas da União, deixando aos Estados a competência residual.8 Desse modo, tudo aquilo que o poder constituinte originário não reservou expressamente à União, cabe aos Estados. Isso não impede que novos direitos fundamentais sejam reconhecidos pelo poder constituinte derivado, mas impede que sejam subtraídas competências implícitas concedidas aos Estados, como a de conferir maior proteção a direitos fundamentais, como a intimidade, a privacidade e ao próprio sigilo de dados. Nesse sentido, cabe sublinhar que, no caso da Carta de Direitos Fundamentais da União Europeia (CDFUE), a previsão contida em seu artigo 8º, que expressamente trata da proteção de dados, deve ser interpretada, no espaço eurocomunitário, à luz do artigo 53, que assegura o nível mais elevado de proteção jusfundamental. Segundo o referido artigo 53, o artigo 8º da CDFUE, bem como o Regulamento Geral de Proteção de Dados no Espaço Europeu, devem ser observados pelos Estados-Membros da União Europeia apenas quando estiverem aplicando o Direito da União.9 Cabe frisar que a União Europeia, apesar das discussões em torno de sua natureza quase estatal, apenas possui poderes de soberania delegados taxativamente pelos Estados-membros, não uma competência constituinte originária e ilimitada, como se verifica no caso brasileiro, em relação à Assembleia Nacional Constituinte de 1988. Conflitos federativos em temas transversais Outro espaço que continuará aberto para tratamento do tema pelos demais entes federativos é o da intervenção do poder público local ou estadual em temas transversais. Nesse ponto, o STF ainda oscila. Em casos análogos, em que uma lei estadual disciplina uma matéria para a qual o Estado possua competência, mas, ao mesmo tempo, afeta tema de competência privativa da União, ainda falta à Corte um critério que confira maior segurança jurídica para a solução do conflito. É o caso típico do direito do consumidor de serviços de telecomunicações. Há decisões em que o STF reconhece se tratar de relação de consumo e, portanto, aceita a intervenção estadual (ADI 5745). Em outros casos, a Corte entendeu haver invasão da competência privativa da União (ADI 5568). Ambos foram julgados em 2019. Como se vê, a busca pela uniformidade de tratamento na matéria em âmbito nacional resta comprometida quando nem mesmo o STF possui um critério claro para solução de conflitos federativos em caso de temas transversais que reclamem competências constitucionais paralelas. A nosso ver, tal solução deve se dar prestigiando a autonomia federativa dos entes subnacionais, a qual apenas deve ser restringida nesses casos quando houver flagrante intenção de invasão em competência privativa da União, ainda que de forma oblíqua, mas não quando, ao disciplinar tema de sua competência, apenas resvale o campo material da competência privativa. Assim, em matéria de transporte individual ou coletivo privado, direito do consumidor, proteção ao patrimônio público, saúde, educação, segurança pública ou proteção de direitos fundamentais, entre outras que competem aos entes subnacionais, eventual conflito com a competência privativa da União para legislar sobre proteção e tratamento de dados poderá ainda dar espaço a entes subnacionais.  Conclusão A restrição estabelecida pela PEC 17/19, com a colocação da matéria no rol de competências privativas da União, não impede a adoção de normas complementares por Estados e Municípios, especialmente por meio de suas Constituições ou Leis Orgânicas, que tenham por objetivo aumentar a proteção conferida pela Constituição Federal à privacidade, à intimidade e ao sigilo de dados, tampouco a edição de normas que, ao pretenderem regulamentar assuntos de sua competência, atinjam de maneira reflexa o tema da proteção e tratamento de dados, desde que não se reduza a proteção conferida aos direitos fundamentais envolvidos. Nem sempre a lei tem os efeitos que os legisladores pretenderam dar, pois o texto respira o ar de seu contexto, inclusive jurídico. Felizmente, a lei é mais sábia que o legislador. *Leonardo David Quintiliano é advogado. Professor de Direito Constitucional e Administrativo da Universidade Ibirapuera e da Escola Paulista de Direito. Associado Fundador e Pesquisador do IAPD - Instituto Avançado de Proteção de Dados. Especialista em Direito Constitucional pela Faculdade de Direito da Universidade de Lisboa. Mestre em Ciências Jurídico-Políticas pela Faculdade de Direito da Universidade de Lisboa. Doutor em Direito do Estado pela Faculdade de Direito da Universidade de São Paulo.  __________ 1 Cf. Senado Federal. PEC 17/2019. Disponível aqui. 2 Cf. Câmara dos Deputados. Relatório da Comissão Especial destinada a proferir parecer à Proposta de Emenda à Constituição n. 17/2019, p. 6 e 7. 3 Cf. Câmara dos Deputados. Relatório da Comissão Especial destinada a proferir parecer à Proposta de Emenda à Constituição n. 17/2019, p. 6 e 7. Disponível aqui. 4 Cf., QUINTILIANO, Leonardo David. Autonomia federativa: delimitação no direito constitucional brasileiro. 2012, p. 267. Disponível aqui. 5 Sobre as razões de tais impropriedades, cf. SOMBRA, Thiago Luís Santos. Supremo Tribunal Federal e a eficácia dos direitos fundamentais entre particulares. Revista da Procuradoria Geral do Estado de São Paulo, São Paulo, n. 65/66:29-86, jan./dez. 2007, p. 33.  6 Cf. STF. ADPF 672-DF. Rel. Min. Alexandre de Moraes. J. 13.10.2020. 7 Cf., QUINTILIANO, Leonardo David. Autonomia federativa...cit, p. 61. 8 Ibid., p. 88. 9 Cf., a respeito, nosso artigo intitulado: "O conflito entre os níveis nacionais de proteção jusfundamental e o direito  eurocomunitário à luz do artigo 53 da carta de direitos fundamentais da união europeia". UNIO/CONPEDI E-book 2017 Interconstitucionalidade: Democracia e Cidadania de Direitos na Sociedade Mundial - Atualização e Perspectivas. v. l. Braga - Portugal: 2018, p. 257. 

Nos diversos trabalhos dedicados à disciplina da proteção de dados, é usual que se aponte, para fins de registro histórico, a Lei do Estado alemão de Hesse como o primeiro texto legal a ser editado no mundo, no ano de 19701.   O exemplo serve para demonstrar o pioneirismo dos alemães no tratamento da matéria: mensagem que é acompanhada da informação de que no ano de 1977 seria editada a Lei Federal Alemã de Proteção de Dados (Bundesdatenschutzgesetz), e, no ano de 1983, o Tribunal Constitucional Federal (Bundesverfassungsgericht) pronunciaria, no âmbito da decisão do censo, o direito fundamental à autodeterminação informativa.  O objeto do presente texto é o de abordar o contexto em que a Lei de Hesse de 1970 foi editada, com destaque para a participação do jurista Spiros Simitis, bem como o seu conteúdo principal, de modo a investigar como foi estruturada e acerca do que efetivamente dispôs, colocando em evidência a criação da figura da autoridade de supervisão, ou comissário.  O contexto da edição da Lei de Hesse  Cogita-se que a elaboração de uma lei de proteção de dados no Estado de Hesse tenha sido motivada por um artigo publicado em 10.6.1969, no tradicional jornal Frankfurter Allgemeine Zeitung, de autoria de seu redator-chefe Hanno Kühnert, de formação jurídica, e que alertava para os perigos do lado sombrio dos computadores e dos bancos de dados2.  O articulista temia pela utilização totalitária das informações relacionadas aos cidadãos, e clamava por regras que disciplinassem o assunto.  Relata-se que chefe de governo do Estado de Hesse à época, Georg-August Zinn, leu o artigo de Hanno Kühnert e de pronto tomou a decisão de que editaria uma lei que disciplinasse a utilização das informações relacionadas ao cidadão3.  Mas a elaboração da Lei de Hesse não pode ser dissociada da figura de Spiros Simitis. Esse jurista nasceu na Grécia em 19.10.1934 e mudou-se para a Alemanha após o período escolar para cursar a Faculdade de Direito na tradicional Universidade de Marburg (1952-1956), localizada em Hesse, onde também concluiu seu doutorado4.  Interessante para os que se dedicam ao estudo do Direito Civil é descobrir que a tese de doutorado de Spiros Simitis, de nada mais nada menos do que 619 páginas(!) abordou o tema das relações contratuais de fato, desempenhando um relevante papel para uma figura jurídica que posteriormente seria superada na Alemanha5, mas que também obteve repercussão em Portugal e no Brasil6.  Posteriormente, realizou sua habilitação na Universidade de Frankfurt, mas iniciou a docência na Universidade de Giessen, vindo a receber um convite para voltar, como professor, para Frankfurt no ano de 1969, onde lecionou Direito Civil, Direito do Trabalho, Direito Europeu e Informática Jurídica com ênfase em proteção de dados.  Todas essas cidades de sua trajetória acadêmica se encontram em Hesse, de modo que Simitis sempre manteve a vinculação com esse Estado da federação alemã, onde vive até hoje.  Em 2015, Simitis concedeu entrevista à Revista da Universidade de Frankfurt, Forschung Frankfurt, oportunidade em que esclareceu os detalhes dos fatos que levaram à edição da Lei de Hesse7.  Simitis esteve diretamente envolvido com a edição da pioneira lei de 1970 e com a própria criação da disciplina da proteção de dados. É reconhecido internacionalmente como o "Pai da proteção de dados" ou "Prof. Dr. Proteção de Dados", qualificativos que aceita, pois entende que efetivamente participou ativamente do desenvolvimento da disciplina8.  Simitis relata que no final dos anos 1960, a Alemanha9, no contexto da modernização da área da saúde, empenhou-se na construção de diversos hospitais públicos. Essa iniciativa foi seguida com muita seriedade pelo governo do Estado de Hesse. E, como se tratava de hospitais que dispunham de uma multiplicidade de dados, especialmente de pacientes, o processamento automatizado das informações chegava no momento oportuno.  Sob a justificativa de uma maior eficiência no diagnóstico e tratamento dos pacientes, os dados pessoais seriam coletados e formariam bancos de dados centralizados. E aí está o ponto que fez de Hesse o Estado de vanguarda na proteção de dados, pois foi justamente lá onde a informatização e a automação da administração pública se encontravam bastante avançadas para os padrões da época. E, nesse ambiente, conforme enfatiza Simitis, os hospitais funcionaram como um primeiro pilar central do debate público acerca da proteção de dados.  O jurista de origem grega seria, no âmbito das discussões, convocado pelo chefe de governo de Hesse, com o pedido de que apresentasse uma proposta de legislação sobre proteção de dados.  A razão que levou ao seu chamamento, segundo ele próprio10, teria sido a publicação de um relevante e pioneiro artigo jurídico para os tempos de então, sob o título "Oportunidades de utilização de sistemas cibernéticos para o direito"11.  As publicações anteriores de Simitis não se dedicavam ao assunto, e é possível supor que jamais imaginasse que a repercussão de um único artigo de sua autoria pudesse guindá-lo à condição de autor do anteprojeto do que viria a ser a primeira lei do mundo de proteção de dados, e por consequência no reconhecimento de sua condição de pioneiro internacional da disciplina.  Atendendo ao convite formulado por Georg-August Zinn, prontamente redigiu o anteprojeto que passou por uma revisão interna no gabinete de governo, e, em alguns pontos modificado, para logo em seguida ser apresentado ao Parlamento de Hesse que em 07.10.1970 o aprovou e passou a vigorar em 13.10.197012.  Estrutura e conteúdo da Lei de Hesse: a figura da autoridade  A primeira lei do mundo, na sua versão original, não se notabilizou por sua extensão. Ela contemplou dezessete parágrafos distribuídos em três capítulos. Algo bastante diferente do que a Lei de Hesse, após diversas modificações, apresenta em 2021, uma vez que, na versão de sua última alteração, em 2018, contém cinco capítulos e noventa e um parágrafos.  Passa-se a destacar alguns dos dispositivos da lei originária.  O parágrafo primeiro estabelece regra sobre o que denomina "área da proteção de dados", estatuindo a abrangência da lei para todos os documentos confeccionados por meio de processamento automatizado de dados bem como para todos os dados armazenados e para o resultado de seu processamento. Esse dispositivo deixa claro, em sua parte final, que a lei se aplicava, e assim permaneceu até o ano de 2011, como se verá abaixo, exclusivamente ao setor público do Estado de Hesse.  O segundo parágrafo sob o título de "conteúdo da proteção de dados" estipula uma regra de segurança da informação, ao determinar que os documentos, dados e resultados referidos no parágrafo primeiro devem ser utilizados, compartilhados e conservados, de modo a vedar que pessoas não autorizadas os acessem, modifiquem ou os eliminem, o que deve ser implementado por meio de medidas técnicas.     E o parágrafo terceiro, por seu turno, contempla o dever geral de confidencialidade das pessoas que desempenhassem as funções de coleta, transmissão, armazenamento ou processamento automatizado de dados.  No parágrafo quarto foi disciplinado, sob a denominação de "pretensão à proteção de dados", e ainda que de forma incipiente, o que nos tempos atuais se conhece como direitos dos titulares de dados pessoais, expressos no dever do controlador de correção dos dados armazenados bem como no direito de restabelecimento da situação anterior sempre que ocorrer uma consulta, modificação ou eliminação irregular dos dados pessoais. A previsão de tutela inibitória em caso de ameaça também constou no dispositivo.  O parágrafo quinto dispõe sobre regras acerca de bancos de dados e sistemas de informação, contendo a diretriz de que deveria ser garantido, no âmbito da administração pública, a vedação a acessos ou à utilização de documentos, bem como aos dados e às inferências dos mesmos, a menos que houvesse vinculação com as atribuições do respectivo órgão ou entidade da administração. Com efeito, a questão da confidencialidade das informações é uma marca da lei.  No segundo capítulo da Lei de Hesse constou aquela que talvez tenha sido uma das maiores contribuições para a disciplina de proteção de dados, qual seja a previsão da autoridade de proteção de dados, na expressão em alemão, Datenschutzbeauftragter, e que Danilo Doneda traduziu por comissário de proteção de dados13.  Nesse contexto, é importante que se faça uma distinção por conta da terminologia utilizada na língua alemã, que pode levar a incompreensões quando se analisa a questão com base no quadro que temos no presente.  É que a palavra Datenschutzbeauftragter pode ser utilizada em três circunstâncias no sistema de proteção de dados alemão: ela designa, como no exemplo pioneiro de Hesse, a autoridade dos estados da federação, chamada Landesdatenschutzbeauftragter, no sentido de autoridade de proteção de dados que tem as atribuições de supervisão14, nos dias de hoje, tanto do setor público quanto do setor privado que tenha sede na respectiva unidade da federação.  A assunção da supervisão do setor privado pelos Landesdatenschutzbeauftragter se deu apenas a partir do ano de 2011, após modificações legislativas em reação à decisão do Tribunal de Justiça da União Europeia, que considerou insuficientes os mecanismos de fiscalização da atuação das pessoas jurídicas de direito privado.  Ao mesmo tempo, existe o Bundesdatenschutzbeauftragter, e que funciona como instância de controle independente para a supervisão da proteção de dados no setor público federal e em empresas que fornecem serviços postais e de telecomunicações.  E, por fim, há o Datenschutzbeauftragter, que é o que no Brasil se localiza na figura do encarregado no âmbito das pessoas jurídicas de direito privado e de direito público, não atuando, portanto, como autoridade, mas sim como ponto focal das questões internas relativas à proteção de dados das organizações bem como canal de comunicação com os titulares de dados pessoais15.   Para o modelo alemão que persiste até os dias de hoje no exemplo de Hesse, há a personificação da figura da autoridade, tanto do Landesdatenschutzbeauftragter quanto do Bundesdatenschutzbeauftragter, que goza de uma autonomia e de uma posição hierárquica com status do que no Brasil, na esfera estadual, estaria equiparado a uma secretaria de Estado. E, pelo menos no que toca a Hesse, desde a pioneira Lei de 1970, o Parlamento Estadual escolhe a pessoa que exercerá a função de autoridade16.  Uma curiosidade é que na versão atual da Lei de Hesse, a figura é tratada tanto como "ele", assim como "ela", não deixando dúvidas de que o cargo possa ser ocupado por um homem ou por uma mulher17.  Desde 2018, a Autoridade de Proteção de Dados de Hessen também acumula a função de supervisionar a garantia do acesso à informação aos cidadãos18.      Spiros Simitis marcou época na atuação como autoridade de proteção de dados do Estado de Hesse, posto que ocupou de 1975, após obter a cidadania alemã, até 1991. No transcurso de sua gestão, o Tribunal Constitucional Federal proferiu a decisão do censo (1983), em que reconheceu o direito fundamental à autodeterminação informativa. Simitis se refere à decisão como a "bíblia da proteção de dados" e o maior marco da disciplina, tendo chegado a afirmar que depois dessa decisão "não se brinca mais com a proteção de dados"19.  Simitis20 foi sucedido por outras importantes personalidades, como Winfried Hassemer, que deixou o cargo para se tornar juiz do Tribunal Constitucional Federal, e, desde janeiro de 2021, personifica o papel de autoridade de proteção de dados de Hesse o Prof. Alexander Roßnagel21, da Universidade de Kassel, que apresenta um extenso currículo de atuação na área.  Por fim, há que se fazer o registro de que o trabalho de Spiros Simitis deixou marcas de excelência, indeléveis na área de proteção de dados: uma herança que ressoa em todos os pontos do mundo, inclusive na nossa Lei Geral de Proteção de Dados, o que se pode constatar pelo exame da pioneira Lei de Proteção de Dados de Hesse de 1970.      FABIANO MENKE é advogado e consultor jurídico em Porto Alegre, professor associado de Direito Civil da Faculdade de Direito e do Programa de Pós-Graduação em Direito da Universidade Federal do Rio Grande do Sul - UFRGS. Doutor em Direito pela Universidade de Kassel, com bolsa de estudos de doutorado integral CAPES/DAAD. Membro titular do Comitê Nacional de Proteção de Dados e da Privacidade. Coordenador do Projeto de Pesquisa "Os fundamentos da proteção de dados na contemporaneidade", na UFRGS.  Membro Fundador do Instituto Avançado de Proteção de Dados - IAPD. Advogado. Instagram: menkefabiano ____________ 1 Ver, por todos, DONEDA, Danilo. Da privacidade à proteção de dados pessoais: elementos da formação da Lei geral de proteção de dados. 2ª ed. São Paulo: Thomson Reuters, 2019, p. 191. 2 DITTRICH, Monika. Eine Idee wird 50: Wie in Hessen der Datenschutz erfunden wurde. Disponível em https://www.deutschlandfunk.de/eine-idee-wird-50-wie-in-hessen-der-datenschutz-erfunden-100.html 3 Idem. 4 https://www.munzinger.de/search/portrait/Spiros+Simitis/0/15230.html 5 Sobre o ponto, ver: CANARIS, Claus-Wilhelm. O "contato social" no ordenamento jurídico alemão. Revista de Direito Civil Contemporâneo, vol. 16, ano 5. p. 211-219. São Paulo: Ed. RT, jul.-set. 2018.  6 A tese foi publicada sob o título: Die faktischen Vertragsverhältnisse als Ausdruck der gewandelten sozialen Funktion der Rechtsinstitute des Privatrechts. Frankfurt a. M.: Vittorio Klostermann, 1957. Em tradução livre, "As relações contratuais de fato como expressão transformadora da função social dos institutos jurídicos de direito privado". No Brasil, a título de exemplo, ver o texto da Profa. Vera Fradera em homenagem à obra e aos julgados do Min. Ruy Rosado de Aguiar Júnior, em que cita a acolhida das relações contratuais de fato na jurisprudência do STJ com inspiração na doutrina de Clóvis do Couto e Silva: https://www.conjur.com.br/2019-dez-16/direito-civil-atual-contribuicao-ruy-rosado-junior-magistrado-parte-ii#sdfootnote6sym 7 Ver entrevista de Spiros Simitis, concedida à Revista Forschung Frankfurt: Das Wissenschaftsmagazin der Goethe-Universität, vol. 1/2015, disponível em www.forschung-frankfurt.uni-frankfurt.de 8 Idem. 9 Recorde-se que no final da década de 1960 a Alemanha estava dividida em Alemanha Ocidental e Alemanha Oriental. O depoimento de Simitis se refere à Alemanha Ocidental (Bundesrepublik Deutschland). 10 Entrevista disponível em https://netzpolitik.org/2015/spiros-simitis-man-spielt-nicht-mehr-mit-dem-datenschutz/ 11 Tradução livre do título da seguinte publicação: SIMITIS, Spiros. Rechtliche Anwendungsmöglichkeiten kybernetischer Systeme. Mohr: Tübingen, 1966. 12 Entrevista de Spiros Simitis à Revista Forschung Frankfurt: Das Wissenschaftsmagazin der Goethe-Universität, vol. 1/2015, disponível em www.forschung-frankfurt.uni-frankfurt.de  13 DONEDA, Danilo. Da privacidade à proteção de dados pessoais: elementos da formação da Lei geral de proteção de dados. 2ª ed. São Paulo: Thomson Reuters, 2019, p. 308. 14 A competência pela supervisão das atividades do que hoje se denomina agentes de tratamento de dados pessoais foi estabelecida no § 10, 1, da Lei de Hesse de 1970. A regra estipula que a autoridade de proteção de dados supervisiona a observância das regras da lei e das demais disposições legais sobre o tratamento confidencial de informações relacionadas aos cidadãos. Na parte final do dispositivo consta ainda que a autoridade instruirá as repartições públicas do Estado acerca de violações e sugere medidas para aprimorar a proteção de dados. 15 A teor do que determina o art. 38 do Regulamento Europeu de Proteção de Dados.  16 Na lei originária, o §7º, I contemplava a forma de eleição da autoridade por parte do Parlamento, após sugestão do chefe de governo, e na lei atual dispositivo equivalente consta no § 9º. 17 Já no título do Capítulo IV da Lei de Hesse em vigor consta o artigo "a" ou "o" para designar a autoridade, ou comissária(o) de proteção de dados. No original: "Die oder der Hessische Datenschutzbeauftragte". 18 Temática que no Brasil é regrada pela Lei de Acesso à Informação, Lei Federal nº 12.527, de 18.11.2011. Note-se que no Brasil não existem autoridades centrais dedicadas ao assunto. 19 Entrevista disponível em https://netzpolitik.org/2015/spiros-simitis-man-spielt-nicht-mehr-mit-dem-datenschutz/ 20 Vale à pena a leitura dos comentários ao Regulamento Europeu de Proteção de Dados, de autoria de Spiros Simitis em conjunto com Indra Spiecker e Gerrit Hornung, estes últimos professores atuantes no Estado de Hesse. SIMITIS, Spiros; HORNUNG, Gerrit; SPIECKER, Indra. (Org.): Datenschutzrecht: DSGVO mit BDSG. Nomos: Baden-Baden, 2019. 21 Para a biografia do Prof. Alexander Roßnagel: https://datenschutz.hessen.de/ueber-uns/biografie-der-hessische-datenschutzbeauftragte

1 Breve introdução A Lei Geral de Proteção de Dados (LGPD) impacta, expressivamente, no modo como as organizações gerenciam as informações pessoais capazes de identificar os cidadãos brasileiros1. Estabelecendo e instrumentalizando a dinâmica que contribui para o incremento da importância e do valor dos dados pessoais no capitalismo informacional. A fim de reequilibrar estes interesses, a LGPD estabelece dez princípios materiais, balizadores das atividades de tratamento de dados pessoais, além da boa-fé objetiva, são eles: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas (art. 6º).2 Vale repassar, ainda, que seu art. 2° relaciona os fundamentos da proteção de dados pessoais, devendo, o tratamento de dados pessoais, ser lastreado no respeito à privacidade; à autodeterminação informativa; à liberdade de expressão, de informação, de comunicação e de opinião; à inviolabilidade da intimidade, da honra e da imagem; ao desenvolvimento econômico e tecnológico e a inovação; à livre iniciativa, livre concorrência e defesa do consumidor; e aos direitos humanos, livre desenvolvimento da personalidade, dignidade e exercício da cidadania pelas pessoas naturais. Outrossim, a LGPD propugna por buscar a adequação e o cumprimento pelos agentes de tratamento de dados dos dispositivos legais por meio de modelos apropriados e da adoção efetiva de melhores práticas na governança de dados3, sempre visando resguardar a específica proteção jurídica diante da "hipervulnerabilidade" do titular de dados pessoais. Diante deste contexto, é inegável que os serviços extrajudiciais de notas e de registro realizam diversas das atividades descritas no inc. X do art. 5º da LGPD, tais como a coleta, produção, classificação, acesso reprodução arquivamento, armazenamento, avaliação ou controle de informação, para citar algumas. Portanto, o Legislador não poderia deixar de mencionar a aplicação da LGPD aos cartórios extrajudiciais. Nesse sentido, os §4º e §5º do art. 23, da LGPD, fazem referência expressa aos notariais e de registro, equiparando-os ao Poder Público consoante o capítulo IV da LGPD, que disciplina algumas regras específicas sobre o tratamento de dados realizados pelas pessoas jurídicas de direito público. No entanto, surge o intenso debate sobre a aparente contradição que existiria entre os princípios elencados pela LGPD e o princípio da publicidade registral, tal como previsto no art. 17 da Lei de Registros Públicos (Lei n. 6.015/73). Sob este olhar, é importante analisar o tratamento de dados pessoais realizado pelos serviços notariais e de registro, serviços que assumem especial importância no cotidiano da sociedade, seja pelo viés dos indivíduos, seja pelo das empresas e, ainda, pelo Poder Público, haja vista o intenso compartilhamento de dados entre os cartórios extrajudiciais e órgãos públicos. Um ponto de partida para esta análise é que os dados pessoais tratados, neste cenário, "são para o exercício de finalidade pública essencial, a fim de conferir a estabilidade de relações jurídicas, bem como garantir a eficácia formal e substancial por meio da realização de registros pelos delegados de fé pública."4 De outro lado, importante pontuar que o art. 1° da Lei 8.935, de 18 de novembro de 1994 (Lei dos Notários e Registradores), relaciona que os serviços notariais e de registro são destinados a garantir a publicidade, autenticidade, segurança e eficácia dos atos jurídicos. Portanto, tais atividades devem observar os princípios elencados na legislação específica, com destaque para o princípio da publicidade. Assim, no que tange ao princípio da publicidade dos atos praticados, é imperiosa a análise da existência de aparente conflito e riscos, que devem ser considerados sob o prisma da proteção de dados pessoais. 2 Dicotomia: proteção de dados pessoais e proteção à privacidade versus transparência e publicidade Preliminarmente, deve-se evidenciar a distinção entre proteção de dados pessoais e privacidade, cuja distinção foi tratada nesta coluna.5 O direito à proteção dos dados pessoais, por sua vez, é uma evolução do direito à privacidade, sintetizado por Stefano Rodotà,6 que destaca as quatro fases de evolução do direito à privacidade, a saber: 1) do direito de ser deixado só ao direito de manter o controle sobre suas próprias informações; 2) da privacidade ao direito à autodeterminação informativa; 3) da privacidade a não discriminação; 4) do segredo ao controle. Cumpre trazer à baila, a distinção entre o direito à privacidade e o direito à proteção de dados pessoais. Em suma, pode-se dizer que o direito à privacidade é construído em torno da liberdade de o indivíduo não sofrer ingerências alheias, lhe sendo facultado retrair aspectos de sua vida ao domínio público, tendo como escopo, portanto, resguardar parcela da vida privada. Enquanto o direito à proteção de dados pessoais, direito fundamental7 decorrente do corolário da dignidade da pessoa humana8, tem como objeto a proteção dos titulares dos dados pessoais, possibilitando, desta maneira, que exerçam o acesso e controle de suas informações e impedindo que sejam tratados em desacordo com as regras e códigos de conduta.9 Nesse diapasão, a LGPD relaciona, no art. 2º, inciso II, a autodeterminação informativa, como um dos fundamentos da disciplina da proteção de dados. Sua inspiração é a dogmática alemã, uma vez que, foi naquele país onde efetivamente se tornou conhecido e se desenvolveu com profundidade, a partir do julgamento, pelo Tribunal Constitucional Alemão, da decisão do censo do ano de 1983. A autodeterminação informativa busca conceder ao indivíduo o poder para que ele possa decidir acerca da divulgação e utilização de seus dados pessoais como tratado nesta coluna.10 Para além, a LGPD traz em seu bojo, uma série de princípios que servem como norte para a atividade de tratamento de dados pessoais. Dentre estes, damos destaque ao princípio da transparência, expresso no art. 6°, inciso VI, da LGPD, que é a garantia relacionada à ciência do titular quanto ao tratamento de seus dados pessoais por terceiros. Da mesma forma, a transparência é exigida em todo processo de tratamento de dados, como se verifica no § 1° do art. 9°, § 2° do art. 10 e art. 40. Ressalte-se que a publicidade, desdobramento do princípio da transparência, encontra-se prevista no art. 11, § 2º, art. 23, § 1º, art. 27, inciso II e art. 33, inciso VII da LGPD11. É justamente ante a este novo paradigma de tratamento de dados trazido, que resta evidente que toda operação de tratamento de dados realizada pelos serviços notariais e de registro deve observar os objetivos, fundamentos e princípios previstos na LGPD como salientado no Provimento 23/2021 que incorporou regras específicas às Normas de Serviços Extrajudiciais pela Corregedoria Geral de Justiça do Estado de São Paulo (tema analisado nesta coluna)12. Importante pontuar, ainda, que os serviços notariais e de registro são exercidos em caráter privado, por delegação direta do poder público, conforme previsão do artigo 236 da Constituição Federal, sendo regulamentados por leis específicas, como a Lei de Registros Públicos, a Lei dos Notários e Registradores, Normas de Serviços Extrajudiciais, Provimentos do CNJ, dentre outras. Por outro lado, a transparência e a publicidade, importantes para viabilizar a segurança jurídica, ao controle da Administração Pública, a última mencionada expressamente no caput do art. 37 da CF/88, impõe a disponibilização de determinadas informações como evidenciado na Lei de Acesso à Informação (LAI - Lei n. 12.527/11)13. Este debate esbarra automaticamente no princípio da publicidade registral. 3 Publicidade registral O art. 17 da Lei dos Registros Públicos determina: "Qualquer pessoa pode requerer certidão do registro sem informar ao oficial ou ao funcionário o motivo ou interesse do pedido." Além disso, o art. 16, § 1º da mesma lei impõe aos oficiais a obrigação de lavrar certidões do que lhes for requerido. Tais dispositivos parecem colidir com a LGPD em uma leitura apressada. No entanto, alguns pontos devem ser levantados: - a LGPD garante um sigilo ou segredo ao titular de dados? - a expedição de certidão deve ser considerada compartilhamento de dados pessoais? e  - quais são os caminhos possíveis para harmonizar os princípios da Lei de Registros Públicos com a LGPD? A primeira indagação pode ser respondida negativamente, ou seja, a LGPD não traz no rol dos direitos previstos no art. 18 o direito ao sigilo ou ao segredo das informações. A segunda reflexão, ainda mais complexa, a certidão é o instrumento para a eficácia do princípio da publicidade atingindo, portanto, a segurança jurídica que se espera.14 Para tanto, resgata-se o conceito de uso compartilhado de dados pessoais previsto no inc. XVI do art. 5º da LGPD, ou seja, é a interconexão de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, com uma autorização específica. Assim, quando o cartório envia informações solicitadas por órgãos públicos, trata-se de uso compartilhado de dados pessoais para o qual se deve ter uma autorização legal específica, além de manter tais informações no controle de fluxo de dados pessoais da serventia atualizado a fim de cumprir o direito dos titulares de dados em receber informações sobre compartilhamento de seus dados pessoais como assegurado no inc. VII do art. 18 da LGPD. No entanto, se uma pessoa pede uma certidão em um cartório, ao emitir esta certidão, o cartório estaria compartilhando dados? Entendemos, por se tratar de uma atividade fim dos serviços extrajudiciais, não se trata de uso compartilhado de dados, e sim observância dos deveres estabelecidos pela lei em observância do princípio da publicidade. Não estando o titular da serventia obrigado a informar quantas certidões e para quem tais certidões foram emitidas. Todavia, ainda que não seja uso compartilhado de dados a expedição de certidão para particular, o titular da serventia extrajudicial deve se acautelar exigindo o requerimento do solicitante e a descrição da finalidade para convergir o princípio da publicidade registral com o princípio da finalidade estabelecido no inc. I do art. 6º da LGPD. Conclusão A caminhada para a compreensão global da LGPD e sua intersecção em diversos setores é longa, ainda há muito para se debater e construir. Assim, deve-se conciliar os princípios previstos na LGPD com os princípios assegurados na Lei de Registros Públicos e os previstos na Lei dos Notários e Registradores, bem como outros em legislação específica e nas normas de serviços extrajudiciais das Corregedorias de Justiça dos Tribunais de Justiça. O que nos parece não haver nenhum óbice, observadas as peculiaridades dos serviços extrajudiciais. _____________ 1 RUIZ, Evandro Eduardo Seron. Análise de Princípios de Gerenciamento de Dados Pessoais para a modelagem e Implementação da LGPD. In: LIMA, Cintia Rosa Pereira de (Coord). ANPD e LGPD: Desafios e Perspectivas. São Paulo, SP: Editora Almedina, 2021. pp. 233 - 249. 2 Cf. LIMA, Cíntia Rosa Pereira de. Autoridade Nacional de Proteção de Dados e a Efetividade da Lei Geral de Proteção de Dados. São Paulo: Almedina, 2020. pp. 168 - 209. 3 SIMÃO FILHO, Adalberto, RODRIGUES, Janaina de Souza Cunha e LIMA, Marilia Ostini Ayello Alves de. A Governança e o registro de dados em LGPD sob a ótica da tomada de decisão estratégica, calcada na experiência "Gambito da Rainha". In: Direito, governança e novas tecnologias III [Recurso eletrônico on-line] organização CONPEDI Coordenadores: Aires Jose Rover; Danielle Jacon Ayres Pinto; Henrique Ribeiro Cardoso - Florianópolis: CONPEDI, 2021. Disponível em: http://site.conpedi.org.br/publicacoes/276gsltp/d908sd02/SJWH86sd223LrXz8.pdf Acesso em: 01 de novembro de 2021. 4 DONEDA, Danilo; BACHUR, João Paulo e FUJIMOTO, Mônica. As centrais de cartórios e os riscos à proteção de dados pessoais: Centralização do sistema registral é incompatível com as disposições da LGPD. 5 Cf. LIMA, Cíntia Rosa Pereira de. Políticas de proteção de dados e privacidade e o mito do consentimento. Migalhas de Proteção de Dados. Disponível em: https://www.migalhas.com.br/coluna/migalhas-de-protecao-de-dados/338947/politicas-de-protecao-de-dados-e-privacidade-e-o-mito-do-consentimento. Acesso em: 10 de novembro de 2021. 6 Persona, riservatezza, identità. Prime note sistematiche sulla protezione dei dati personali. Rivista Critica del Diritto Privato, anno XV, n. 1, março 1997, pp. 583 - 609. pp. 588 - 591. 7 A Proposta de Emenda à Constituição (PEC) n° 17/2019, recentemente aprovada pelo Senado Federal e que aguarda sua promulgação, insere o inciso XII-A, ao art. 5º, e o inciso XXX, ao art. 22, da Constituição Federal incluindo a proteção de dados pessoais entre os direitos fundamentais do cidadão. 8 No dia 07 de maio de 2020, o Supremo Tribunal Federal, na Ação Direta de Inconstitucionalidade (ADI) 6387, afirmou ser o direito à proteção de dados um direito fundamental. Disponível em: https://jurisprudencia.stf.jus.br/pages/search?base=acordaos&pesquisa_inteiro_teor=false&sinonimo=true&plural=true&radicais=false&buscaExata=true&page=1&pageSize=10&queryString=ADI%206387&sort=_score&sortBy=desc, Acesso em: 30 de julho de 2021. 9 LIMA, Cíntia Rosa Pereira de. Da inviolabilidade da cláusula de não indenizar em matéria de proteção de dados. In: FALEIROS JÚNIOR, José Luiz de Moura; LONGHI, João Victor Rozatti; GUGLIARA, Rodrigo (Coords). Proteção de dados pessoais na sociedade da informação: entre dados e danos. Indaiatuba, SP: Editora Foco, 2021. p. 397-404. 10 MENKE, Fabiano. Coluna Migalhas de Proteção de Dados. As origens alemãs e o significado da autodeterminação informativa. https://www.migalhas.com.br/coluna/migalhas-de-protecao-de-dados/335735/as-origens-alemas-e-o-significado-da-autodeterminacao-informativa Acesso em: 01 de novembro de 2021. 11 DE LUCCA, Newton. MACIEL, Renata Mota. A Lei n° 13.709, de 14 de agosto de 2018: a Disciplina Normativa que faltava. In Direito e Internet IV, SIMÃO FILAHO, Adalberto, DE LUCCA, Newton e LIMA, Cíntia Rosa Pereira de (Coords.) São Paulo: Quartier Latin, 2019. pp.21 -50. 12 SILVA, José Marcelo Tossi. O provimento 23/2020 da Corregedoria Geral da Justiça do Estado de São Paulo: a LGPD e os serviços extrajudiciais de notas e de registro. Migalhas de Proteção de Dados, sexta-feira, 05 de março de 2021. Disponível em: https://www.migalhas.com.br/coluna/migalhas-de-protecao-de-dados/341184/o-provimento-23-2020-da-corregedoria-geral-da-justica-do-estado-de-sp. Acesso em 10 de novembro de 2021. 13 Sobre o debate LGPD e LAI vide OLIVEIRA, Cristina Godoy Bernardo de; ANDRADE JÚNIOR, Luiz Carlos. A responsabilidade civil do estado por danos no tratamento de dados pessoais: LGPD & LAI. Migalhas de Proteção de Dados, sexta-feira, 13 de novembro de 2021. Disponível em: https://www.migalhas.com.br/coluna/migalhas-de-protecao-de-dados/336327/a-responsabilidade-civil-do-estado-por-danos-no-tratamento-de-dados-pessoais--lgpd---lai, Acesso em: 10 de novembro de 2021. 14 CENEVIVA, Walter. Lei dos Registros Públicos Comentada. 20ª ed. São Paulo: Saraiva, 2010. p. 55. CENEVIVA, Walter. Lei dos Notários e dos Registradores Comentada. 8ª. Ed. São Paulo: Saraiva, 2010. p. 40.

O tema da proteção de dados é cada vez mais discutido nos diversos setores da sociedade. Esse interesse ocorre porque há uma maior consciência de que o uso indevido de dados pode acarretar severos danos, bem como em função dos cada vez mais comuns vazamentos de dados noticiados pelas mídias. É nesse cenário que surgiu a Lei Geral de Proteção de Dados no Brasil, em vigor desde setembro de 2020. Uma das novidades trazidas com o surgimento da LGPD é a criação da Autoridade Nacional de Proteção de Dados (ANPD), órgão responsável pela fiscalização da referida Lei. Por se tratar, todavia, de uma lei nova, surgem questionamentos sobre quais seriam os seus limites de atuação. Diante desse cenário de dúvidas, o presente artigo busca analisar o papel da ANPD, examinando quais seriam os limites dos seus poderes fiscalizador e sancionador. Cabe fazer, inicialmente, uma breve conceituação da ANPD. Nos termos do artigo 5º, inciso XIX, da LGPD, trata-se de órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional.1 O estabelecimento de uma autoridade verdadeiramente independente, autônoma e com corpo técnico qualificado é o desafio fundamental para que a regulação do tema ocorra de forma apropriada.2 Em 27 de agosto de 2020, foi publicado o decreto 10.474/2020, que aprovou a Estrutura Regimental e o Quadro Demonstrativo dos Cargos em Comissão e das Funções de Confiança da ANPD. Tal decreto, no seu artigo primeiro, reiterou a característica de autonomia técnica e decisória da autoridade nacional.3 Por fim, em 20 de outubro de 2020, o Plenário do Senado aprovou, após sabatina, os nomes indicados pelo governo para compor a primeira diretoria da ANPD. Quanto à sua estrutura, a ANPD é composta, nos termos do art. 55-C da LGPD, de um Conselho Diretor; um Conselho Nacional de Proteção de Dados Pessoais e da Privacidade; corregedoria; ouvidoria; órgão de assessoramento jurídico próprio; e unidades administrativas e especializadas necessárias à aplicação do disposto na LGPD. A criação da ANPD pode garantir ao Brasil a condição de se inserir no mercado informacional em igualdade de condições, já que suas empresas poderão receber informações de outros países que adotem a lei de proteção de dados pessoais quando necessário para sua atuação.4 Nesse sentido, o fluxo livre de dados pessoais entre o Brasil e os países do bloco europeu poderia, inclusive, facilitar o ingresso do país na OCDE - Organização para a Cooperação e Desenvolvimento Econômico.5 No que concerne ao seu poder fiscalizador, cabe destacar que recentemente, no final de outubro de 2021, foi aprovado o Regulamento de Fiscalização e Aplicação de Sanções Administrativas, através da Resolução CD/ANPD Nº 1º/2021. Destaca-se o parágrafo único do artigo 16 dessa Resolução, que afirma que a fiscalização da ANPD promoverá o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança, de forma a disseminar boas práticas, nos termos da LGPD, sem prejuízo de eventual sanção administrativa em caso de descumprimento da Lei.6 A respeito dessa questão de boas práticas, a ANPD, no intuito de orientar para que haja um efetivo tratamento dos dados pessoais, disponibilizou, recentemente, Guia de Boas Práticas para Implementação na Administração Pública Federal7, cartilhas de Segurança para a Internet8 e Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado9. Trata-se, pois, de uma atuação preventiva da autoridade nacional, com o objetivo de implementar medidas de boas práticas e governança, a fim de que haja uma adequação à LGPD. Ressalta-se ainda que a ANPD exerce o papel de órgão central, sendo lhe atribuída não apenas a primazia na uniformização de conceitos, na interpretação e na aplicação na LGPD, mas também um papel construtivo com outros órgãos públicos com competências correlatas.10 A esse respeito, o artigo 2, § 3º, do Decreto 10.474/2020, prevê um dever de coordenação entre a ANPD e os órgãos e entidades públicos responsáveis pela regulação de setores específicos da atividade econômica e governamental, com o objetivo de assegurar o cumprimento de suas atribuições e o tratamento de dados pessoais.11 Isso já está ocorrendo: nesse sentido, a ANPD e a Secretaria Nacional do Consumidor (SENACON) firmaram um acordo de cooperação técnica que tem por objetivo proteger os dados do consumidor no Brasil, no qual as duas entidades pretendem alinhar esforços e reforçar as fiscalizações, de forma a evitar incidentes de segurança.12 Tal cooperação já está dando resultado: após recomendação destes órgãos, o Whatsapp se comprometeu a realizar algumas mudanças em sua política de privacidade direcionada aos usuários brasileiros, que previa originalmente o compartilhamento de mais dados com o Facebook.13 Outro convênio realizado foi com o Conselho Administrativo de Defesa Econômica (CADE), em que foi assinado um Acordo de Cooperação Técnica, com o objetivo de combater as atividades lesivas à ordem econômica e incentivar a disseminação da cultura da livre concorrência nos serviços que exigirem a proteção de dados pessoais.14 E quanto ao seu papel sancionador? O artigo 52 da LGPD estabelece que controlador e o operador ficam sujeitos às sanções administrativas aplicáveis pela autoridade nacional em razão das infrações cometidas às normas previstas. Nesse ponto, fica clara a intenção de atribuir centralidade a um único órgão, em nível federal, a fim de que se possa fazer valer as regras da LGPD.15 As sanções aplicáveis podem ser, por exemplo, desde advertências, com indicação de prazo para adoção de medidas corretivas, até multa simples, de até 2% do faturamento, limitada a R$ 50.000.000,00, e proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. A fim de se evitar uma "indústria da multa", em que o órgão que aplicaria a sanção estaria "interessado" no proveito econômico dessa penalidade, o produto da arrecadação das multas aplicadas pela ANPD será destinado ao Fundo de Defesa de Direitos Difusos16, nos termos do artigo 52, § 5º, da LGPD. Tendo em vista que a ANPD inicia sua atuação sancionadora após a aprovação do Regulamento de Fiscalização e de Aplicação de Sanções Administrativas e que a resolução que a aprovou foi publicada em 29 de outubro de 2021, a Autoridade ainda não aplicou nenhuma multa administrativa. Por outro lado, na União Europeia, em que o Regulamento Geral de Proteção de Dados entrou em vigor em 2018, já há diversos casos com condenação pelo tratamento indevido de dados. Recentemente, a Amazon foi multada em 746 milhões de euros - recorde na União Europeia - por não estar em conformidade com o RGPD.17 Além disso, cabe destacar que a multa aplicada pela ANPD pode ser cumulada com a de outros órgãos, como a do SENACON, observadas as suas competências. Nesse sentido, os § 2º e § 3º do artigo 52, da LGPD, são claros ao afirmar, respectivamente, que as sanções podem ser aplicadas de forma cumulativa e que o seu dispositivo não substitui a aplicação de sanções administrativas, civis ou penais definidas na lei 8.078/1990 (Código de Defesa do Consumidor), e em legislação específica.18 Nesse mesmo sentido, o CDC ressalta, no seu artigo 56, que "as infrações das normas de defesa do consumidor ficam sujeitas, conforme o caso, às seguintes sanções administrativas, sem prejuízo das de natureza civil, penal e das definidas em normas específicas." Oportuno ressaltar que a aplicação de multa será utilizada como última alternativa, conforme afirmado pelo próprio Diretor-Presidente do Conselho Diretor da ANPD ao ser sabatinado pela Comissão de Infraestrutura do Senado.19 Assim, pode-se afirmar que a autoridade nacional somente deverá utilizar o seu poder sancionador quando o seu poder fiscalizador não for suficiente para que haja conformidade à LGPD. Desse modo, espera-se que tal poder seja utilizado de forma prudente, pois será um sinal de que os agentes - tanto públicos, quanto privados - estarão buscando a adequação à cultura da proteção de dados. Contudo, se depender do bom começo de atuação da ANPD, que, embora tenha sido nomeada apenas recentemente, já está cumprindo com seu papel fiscalizador, a tendência é que o poder sancionador não seja de fato tão aplicado. *Rafael Dresch é mestre pela UFRGS em Direito Privado. Doutor em Direito na PUC/RS, com estágio doutoral na University of Edinburgh/UK, Pós-doutor na University of Illinois/US e professor da UFRGS. Sócio-fundador do Coulon, Dresch e Masina Advogados. Associado Fundador do IAPD - Instituto Avançado de Proteção de Dados. Linkedin: https://www.linkedin.com/in/rafaeldresch/ | Instagram: @dreschrafael. **Gustavo da Silva Melo é mestrando em direito civil e empresarial pela Universidade Federal do Rio Grande do Sul - UFRGS. Especialista em responsabilidade civil, contratos e direito imobiliário pela PUCRS. Graduado em Ciência Jurídicas e Sociais pela UFRGS. Advogado. __________ 1 XIX - autoridade nacional: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento desta Lei em todo o território nacional.   2 TEFFÉ, Chiara Spadaccini de; VIOLA, Mário. Proposta para a criação da Autoridade Brasileira de Proteção aos Dados Pessoais. Instituto de Tecnologia & Sociedade do Rio. Disponível aqui. Acesso em: 18 ago. 2021. 3 Art. 1º A Autoridade Nacional de Proteção de Dados - ANPD, órgão integrante da Presidência da República, dotada de autonomia técnica e decisória, com jurisdição no território nacional e com sede e foro no Distrito Federal, tem o objetivo de proteger os direitos fundamentais de liberdade e privacidade e o livre desenvolvimento da personalidade da pessoa natural, orientada pelo disposto na lei 13.709, de 14 de agosto de 2018. 4 LIMA, Cíntia Rosa Pereira de. Autoridade nacional de proteção de dados e a efetividade da Lei Geral de Proteção de Dados: de acordo com a Lei Geral de Proteção de Dados (lei 13.709/2018 e as alterações da lei 13.853/2019), o Marco Civil da Internet (lei 12.965/2014) e as sugestões de alteração do CDC (PL 3.514/2015). São Paulo: Almedina, 2020, p. 304. 5 DONEDA, Danilo. A Autoridade Nacional de Proteção de Dados e o Conselho Nacional de Proteção de Dados. In: BIONI, Bruno et al. (Org.). Tratado de Proteção de Dados Pessoais. 1ª ed. São Paulo: Editora Forense, 2020. E-book. 6 Parágrafo único. A fiscalização da ANPD promoverá, junto aos titulares de dados e aos agentes de tratamento, o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança, de forma a disseminar boas práticas, nos termos da LGPD. In: BRASIL. ANPD. Resolução CD/ANPD Nº 1, de 28 de outubro de 2021. Disponível aqui. Acesso em: 04 nov. 2021. 7 Disponível aqui. 8 Disponível aqui. 9 Disponível aqui. 10 WIMMER, Miriam. Os desafios da enforcement na LGPD: fiscalização, aplicação de sanções administrativas e coordenação intergovernamental. In: BIONI, Bruno et al. (Org.). Tratado de Proteção de Dados Pessoais. 1ª ed. São Paulo: Editora Forense, 2020. E-book. 11 § 3º A ANPD e os órgãos e entidades públicos responsáveis pela regulação de setores específicos da atividade econômica e governamental devem coordenar suas atividades, nas respectivas esferas de atuação, com vistas a assegurar o cumprimento de suas atribuições com a maior eficiência e promover o adequado funcionamento dos setores regulados, conforme legislação específica, e o tratamento de dados pessoais, na forma da lei 13.709, de 2018. 12 PEDUZZI, Pedro. Senacon e ANPD assinam acordo para proteção de dados do consumidor. Agência Brasil, 22 mar. de 2021. Disponível aqui. Acesso em: 25 ago. de 2021. 13 G1. WhatsApp deve atualizar política de privacidade no Brasil após pedidos de órgãos públicos. Disponível aqui. Acesso em: 25 ago. de 2021. 14 BRASIL. ANPD. ANPD e CADE assinam Acordo de Cooperação Técnica. Disponível aqui. Acesso em: 30 ago. de 2021. 15 WIMMER, Miriam. Os desafios da enforcement na LGPD: fiscalização, aplicação de sanções administrativas e e coordenação intergovernamental. In: BIONI, Bruno et al. (Org.). Tratado de Proteção de Dados Pessoais. 1ª ed. São Paulo: Editora Forense, 2020. E-book. 16 LIMA, Cíntia Rosa Pereira de. As funções da autoridade nacional de proteção de dados e as sanções previstas na LGPD. In:  FRANCOSKI, Denise de Souza Luiz; TASSO, Fernando Antônio (Coords.). A Lei Geral de Proteção de Dados Pessoais: LGPD - Ed. 2021. São Paulo: Revista dos Tribunais. E-book. 17 LEGGETT, Theo. Amazon hit with $886m fine for alleged data law breach. BBC, 30 jul. de 2021. Disponível aqui. Acesso em: 17 ago. de 2021.  18 § 1º As sanções serão aplicadas após procedimento administrativo que possibilite a oportunidade da ampla defesa, de forma gradativa, isolada ou cumulativa, de acordo com as peculiaridades do caso concreto e considerados os seguintes parâmetros e critérios: (...) § 2º O disposto neste artigo não substitui a aplicação de sanções administrativas, civis ou penais definidas na Lei nº 8.078, de 11 de setembro de 1990, e em legislação específica. 19 MELO, Karine. Indicado à Agência Proteção de Dados destaca dever de proteger cidadão. Agência Brasil, 19 out. de 2021. Disponível aqui. Acesso em: 26 ago. de 2021.

Introdução Quem nunca se deparou com as palavras "política de cookies" ao navegar em um site na internet? Tal mensagem tende a ocupar a tela inteira do nosso computador, sendo impossível ler o conteúdo da página na qual nos interessamos. Seja por conta da pressa em pesquisar algo ou até mesmo por não entender o que aquela mensagem significa, na maioria das vezes, selecionamos "aceito as políticas de cookies" e nos livramos instantaneamente daquele empecilho. No entanto, aqueles curiosos que clicam em "quero redefinir minhas políticas de cookies" amedrontam-se com uma nova aba repleta de termos técnicos das áreas jurídica e informática, os quais impedem que qualquer indivíduo que não tenha uma mínima familiaridade com tais esferas saiba executar corretamente os comandos ali dispostos. Analogamente, apesar dos passageiros de veículos autônomos terem a oportunidade de consentir ou não com a coleta de dados pessoais durante suas viagens, eles provavelmente terão dificuldades em entender completamente os termos técnicos dessas novas tecnologias, permanecendo alheios à potencial utilização de suas informações privadas. Nesse ínterim, pretendemos definir brevemente o conceito de carros autônomos, analisando até que ponto a coleta de dados é utilizada para salvaguardar uma viagem segura ou empregada para - de modo antiético - traçar perfis de consumo, vigiar indivíduos, enviar propagandas respaldadas nos locais que a pessoa costuma frequentar, entre outros. Por fim, apresentaremos e analisaremos criticamente certas estratégias que estão sendo desenvolvidas em diversas leis e estatutos ao redor do globo para se proteger e controlar os tipos de informações pessoais associadas aos veículos autônomos e corporações relacionadas. Carros autônomos e coleta de dados pessoais Os veículos autômatos (doravante VA) são divididos em cinco níveis - o zero correspondente ao carro sem automação e o último (quatro) à autodireção ilimitada -, ou seja, em nenhum momento, o controle é repassado ao condutor do veículo no nível 05. Os veículos 3 e 4 já estão sendo comercializados no mercado europeu, com esse último nível esperado para 2030.1 A Uber tem investido em uma frota de VAs, sendo a primeira a introduzir essa tecnologia para o mercado consumidor estadunidense2. Tais veículos estão inseridos no tipo quatro, caracterizado por uma automatização elevada, direção, aceleração, desaceleração e controle do ambiente de condução a encargo do carro, restando o controle para o condutor apenas em casos de emergência. É exatamente por esse motivo que tanto o Estado como a sociedade deveriam alterar a maneira como os encara: já não são mais mecânicos, mas máquinas providas de inteligência artificial, softwares e computadores conectados entre si que compartilham informações das rodovias pelas quais percorrem e dos passageiros os quais transportam. Hoje, o aplicativo da Uber dispõe descomplicadamente os dados pessoais que coletam dos seus usuários em seu "aviso de privacidade". São elencados3 desde dados bancários, fotos, gênero, localização, histórico de destinos, dados dos dispositivos (endereço IP, identificadores de publicidade, dados de movimento do dispositivo, dados da rede móvel) até mesmo aqueles relacionados a sites e a serviços de terceiros que são usados antes da interação com seus serviços, sendo tais informações utilizadas para fins de marketing. Hoje, a retenção de informações dos usuários de veículos não autônomos já atinge proporções gigantescas, no incipiente ramo dos VAs - ainda experimental em muitos países - sendo que não há um catálogo definitivo dos dados pessoais passíveis de serem recolhidos. Tal cenário obscuro gera insegurança por parte dos clientes em relação à aceitação dos termos e condições de uso e política de privacidade, pois não se sabe com precisão o sentido da frequente expressão "os dados pessoais coletados serão utilizados para os devidos fins". Saber onde um usuário mora, seu histórico de viagens e locais que costuma frequentar são exemplos de dados pessoais que podem ser empregados para fins diversos de uma simples "corrida". Desde o direcionamento de anúncios publicitários específicos de acordo com os destinos do indivíduo, até mesmo perseguição política4. Agências de Inteligência podem vasculhar as bases de dados para monitoramento dos cidadãos à medida que esses aparentam ser suspeitos; criando, inclusive, um padrão baseado em viagens passadas para tentar prever onde determinada pessoa pode ser encontrada no futuro. Além disso, o local em que o VA estaciona à noite, após uma viagem, pode fornecer dados acerca de onde a pessoa mora (vizinhança abastada ou marginalizada), e com isso, traçar perfis comerciais apropriados para seu consumo - lojas mais elitistas ou populares. Estratégias de proteção de dados A comunicação entre os softwares dos VAs os transforma em uma frota de computadores detentores das informações pessoais de inúmeros passageiros, sendo, portanto, extremamente valiosos para agências de inteligência, empresas de marketing, e até mesmo hackers. Logo, uma alternativa para evitar tais intromissões seria desassociar as informações técnicas dos veículos (combustível e carroceria) das pessoais de seus passageiros (destinos e horários), tornando os VAs anônimos5. Para dificultar o uso inadequado dos dados pessoais, seria necessário, por exemplo, um reforço na criptografia dos dados, autenticação de acesso e não compartilhamento da rede virtual com outros perfis não autorizados, impedindo, assim, que os dados entre os diversos usuários sejam cruzados. A não retenção dos dados pessoais, limitando o seu recolhimento, corrobora para a diminuição desses riscos. No tocante às "políticas de consentimento", apesar do caput do artigo 9º da Lei Geral de Proteção de Dados (LGPD) determinar que "o titular tem direito ao acesso facilitado às informações sobre o tratamento de seus dados, que deverão ser disponibilizadas de forma clara, adequada e ostensiva", haverá, provavelmente, em um primeiro momento, dificuldades na aplicação do citado artigo, pois o incipiente ramo dos veículos autônomos no mundo - principalmente no Brasil - torna complexo o esclarecimento específico das atividades exercidas pelos VA, como já mencionado anteriormente. Nos EUA, entraram em vigor diversas normas nacionais que regulam a coleta e o processamento de informações pessoais. O "Ato de Proteção aos Dados Privados"6 (APDP) resguarda determinados dados - como endereço, foto, nome e raça - impondo sanções legais por tráfego, divulgação e uso impróprio de informações pessoais fornecidas à disposição de motoristas e veículos licenciados. Já o "Ato de Comunicações Eletrônicas Privadas"7 e o "Ato Federal de Comunicações"8, aplicam-se a certas características dos VAs, como a troca de dados por meio da intercomunicação destes. Entretanto, caso estes sejam utilizados para fins ilícitos ou moralmente reprováveis, a quem devemos realmente punir? Designers de software, engenheiros idealizadores dos VAs, donos das grandes corporações montadoras de veículos automotores, proprietários dos aplicativos de viagem, possíveis hackers, agências de inteligência estatais? E, a lista continua indefinidamente, pois como já dito anteriormente, diversos atores sociais têm interesse em tais informações pessoais, sendo estas valiosas não só para pesquisas de consumo e estratégias de marketing, mas também para a prática de perseguição política e controle social. Não só os VAs são "smart", mas a nossa televisão, computador, celular, e até mesmo geladeira compartilham dessa tendência de se tornar "inteligentes". Tal predisposição aprofunda um processo que sempre esteve presente no capitalismo: a alienação do trabalhador e do consumidor em todas as instâncias sociais. Com o avanço vertiginoso das tecnologias que utilizam inteligência artificial., por exemplo, torna-se cada vez mais complicado identificar quem é responsável por esta (vale lembrar que as inovações não existem per se9, mas são resultados de todo um processo histórico de acumulação de "técnica" pela humanidade), que realiza a coleta de informações e quais os possíveis - e sombrios - usos destas. Logo, o indivíduo torna-se completamente ignorante em relação ao funcionamento de tais máquinas, não se reconhecendo no processo de consumo - e isso se reflete em sua completa alienação em relação aos "termos de consentimento", seja por seu "juridiquês" ou sua linguagem computacional complexa. Conclusão Este cenário gera uma atmosfera de desconfiança por parte dos usuários de VAs. Assim, surge a indagação concernente a até que ponto e em que ocasiões devemos confiar nas tecnologias como forma de libertação (em seus múltiplos aspectos) e facilitação dos encargos por parte dos seres humanos? Por ora, apesar de existir uma resposta correta, pode-se recordar da seguinte afirmação de Martin Luther King Jr.: "esperar [por direitos civis] quase sempre quer dizer 'nunca' [por parte daqueles que ocupam posições de poder]".10 Em suma, verificamos o seguinte dilema a ser enfrentado nos próximos anos: o quanto de liberdade deseja-se abrir mão para um maior conforto? Para que seja possível equilibrar liberdade e conforto, o direito passa a ter um papel fundamental, logo, nota-se que compete discutirmos os desafios tecnológicos com base nos direitos fundamentais conquistados por meio de muitas lutas ao longo dos séculos. *Cristina Godoy Bernardo de Oliveira é professora doutora da Faculdade de Direito de Ribeirão Preto - Universidade de São Paulo desde 2011. Academic Visitor da Faculty of Law of the University of Oxford (2015-2016). Pós-doutora pela Université Paris I Panthéon-Sorbonne (2014-2015). Doutora em Filosofia do Direito pela Faculdade de Direito da USP (2011). Graduada pela Faculdade de Direito da USP (2006). Líder do Grupo de Pesquisa Direito, Ética e Inteligência Artificial da USP - CNPq. Coordenadora do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP). Membro fundador do Instituto Avançado de Proteção de Dados - IAPD. **Emily Liene Belotti é graduanda em Direito pela Faculdade de Direito de Ribeirão Preto, na Universidade de São Paulo. Atualmente integra o Grupo de Estudos "Direito, Ética e Inteligência Artificial" da FDRP/USP. Realiza pesquisa de Iniciação Científica cujo tema é "Carros Autônomos e Responsabilidade Civil: Teoria Objetiva vs Subjetiva", sob a orientação da Professora Dra. Cristina Godoy Bernardo de Oliveira. Referências bibliográficas Aviso de privacidade da Uber. 02/10/2021. Disponível aqui. Acesso em: 20 de outubro de 2021. Carros autónomos na União Europeia: da ficção científica à realidade. Parlamento Europeu, 14/01/2019. Disponível aqui. Acesso em: 20 de outubro de 2021. Driver's Privacy Protection Act, 18 U.S.C. § 2721 (2012). Electronic Communications Privacy Act, 18 U.S.C. §§ 2510-2522 (2012). GLANCY, Dorothy, J. Privacy in Autonomous Vehicles. 52 Santa Clara Law Review 1171. 15/11/2012. Disponível aqui. Acesso em: 20 de outubro de 2021. KING, M. L. (1994). Letter from the Birmingham jail. San Francisco, Harper San Francisco. LUPTON, D. (2016). Digital companion species and eating data: Implications for theorising digital data-human assemblages. Big Data & Society. Disponível aqui. Acesso em: 20 de outubro de 2021. MARX, Karl. O Dezoito Brumário de Louis Bonaparte. São Paulo: Centauro, 2006. OLIVEIRA, Cristina Godoy Bernardo de Oliveira; NETO, Fernando Celso Guimarães. Estado Vigilante e regulação das fake news. In Migalhas de Proteção de Dados, 30 de abril de 2021. Disponível aqui. Acesso em: 20 de outubro de 2021. Telecommunications Act of 1996, 47 U.S.C. § 222 (2012). __________ 1 Carros autónomos na União Europeia: da ficção científica à realidade. Parlamento Europeu, 14/01/2019. Disponível aqui. Acesso em: 20 de outubro de 2021. 2 GLANCY, Dorothy, J. Privacy in Autonomous Vehicles. 52 Santa Clara Law Review 1171. 15/11/2012. Disponível aqui. Acesso em: 20 de outubro de 2021. 3 Aviso de privacidade da Uber. 02/10/2021. Disponível aqui. Acesso em: 20 de outubro de 2021. 4 OLIVEIRA, Cristina Godoy Bernardo de Oliveira; NETO, Fernando Celso Guimarães. Estado Vigilante e regulação das fake news. In Migalhas de Proteção de Dados, 30 de abril de 2021. Disponível aqui. Acesso em: 20 de outubro de 2021. 5 GLANCY, Dorothy, J. Privacy in Autonomous Vehicles. 52 Santa Clara Law Review 1171. 15/11/2012. Disponível aqui. Acesso em: 20 de outubro de 2021. 6 Driver's Privacy Protection Act, 18 U.S.C. § 2721 (2012). 7 Electronic Communications Privacy Act, 18 U.S.C. §§ 2510-2522 (2012). 8 Telecommunications Act of 1996, 47 U.S.C. § 222 (2012). 9 MARX, Karl. O Dezoito Brumário de Louis Bonaparte. São Paulo: Centauro, 2006. 10 KING, M. L. (1994). Letter from the Birmingham jail. San Francisco, Harper San Francisco.

Recentemente a Google anunciou que vai restringir publicidade dirigida aos menores de 18 anos na plataforma, a partir de informações como idade, sexo e interesses de navegação. Também não será mais utilizado o recurso de histórico de navegação desses usurários, bem como permitirá aos pais e responsáveis que solicitem a remoção das imagens dos filhos dos resultados de busca1. Dentre outros pontos, o YouTube vai remover conteúdo que se considera excessivamente comercial do aplicativo YouTube Kids, citando como exemplo os vídeos que apenas foquem em embalagens de produtos ou que encorajem diretamente as crianças a gastarem dinheiro. Vale notar que a declaração se deu após o FTC (Federal Trade Commission), em 2019, aplicar multa ao Google no valor de US$ 170 milhões por violações à privacidade de crianças no YouTube (a multa mais alta aplicada pelo órgão até hoje). Conforme o acordo firmado, a Google LLC e a subsidiária YouTube LLC teriam violado as regras do COPPA (Children's Online Privacy Protection Rule) ao coletar informações pessoais de crianças utilizando cookies para rastrear usuários na internet sem antes identificar e obter o consentimento expresso dos pais ou responsável. Com tais dados, o YouTube, usando os identificadores, praticou a denominada publicidade comportamental direcionada às crianças e adolescentes, sem expresso consentimento dos pais2. A pergunta que pode ser formulada, então, é: trata-se de mera regra ética da empresa ou estaria efetivamente cumprindo a regulação americana sobre o tema?  Regulação relativa à publicidade dirigida ao público infantil  A publicidade dirigida às crianças e adolescentes é regulada pelo CARU (Children's Advertising Review Unit), fundado em 1974 por membros das agências de publicidade infantil, por meio do Conselho Nacional de Revisão da Publicidade Infantil (conhecido como CBBB - Council of Better Business Bureaus). O órgão é responsável por impor padrões em relação à publicidade infantil, impedindo que seja depressiva, inapropriada ou injusta para a audiência do público em questão. Levam-se em consideração, dessa forma, a vulnerabilidade e a inexperiência da criança, que pode ser facilmente influenciada, diante de sua falta de conhecimento e habilidades de cognição necessárias para um bom julgamento da publicidade. Grosso modo, pode-se afirmar que as regras do CARU são dispostas entre princípios fundamentais e recomendações gerais e específicas. Assim, quanto aos princípios fundamentais do dispositivo, prevê responsabilidades adicionais em relação a campanhas com público-alvo infantil e ao uso de dados pessoais com esse fim. Devem-se levar em conta os limites de conhecimento, experiência e maturidade da audiência atingida, sendo reconhecido que o nível de discernimento e a capacidade de avaliar a credulidade das informações recebidas pelos meios de comunicação são menores. Nesse sentido, as crianças podem ter dificuldade de entender a intenção de persuasão na campanha publicitária ou ainda não se dar conta de que são alvos dessa publicidade. A publicidade não pode ter caráter enganoso ou injusto às crianças para as quais é dirigida, levando-se em consideração a aplicação dos termos dispostos no Federal Trade Commission Act3. Além disso, deve ser fundamentada por objetivos razoáveis e que assim sejam interpretados pela sua audiência, além de se levar em conta a pertinência de seu conteúdo, sendo proibida a veiculação de publicidade de teor inapropriado. Não poderá trazer expectativas exageradas sobre a qualidade do produto ou sobre sua performance, confundindo a criança.  A publicidade deve, ainda, evitar a caracterização de estereótipos ou conter assunto de cunho preconceituoso, encorajando a diversidade e a inclusão das minorias, apresentando modelos positivos variados de todos os grupos, além de procurar desempenhar um papel de caráter educativo, influenciando a visão positiva e o respeito aos outros, incitando a honestidade e a precaução de ações potencialmente perigosas. O documento ainda ressalta que, apesar da influência causada pela publicidade e da necessidade de regulação desta em relação ao público infantil, permanece como papel principal dos pais e tutores prover instrução e civilidade no desenvolvimento pessoal e social de seus filhos, sendo os meios de comunicação um elo de contribuição na relação familiar.  Regulação relativas à proteção de dados de crianças e adolescentes Em relação à proteção de dados na internet, o COPPA (Children's Online Privacy Protection Act), inserido no Título de Práticas Comerciais do Federal Trade Commission4 (FTC) em 1998, traz disposições sobre a coleta de dados pessoais de crianças, bem como outras práticas relacionadas à privacidade do público infantil na internet. A proteção dos dados das crianças começou a ser discutida naquele país diante das oportunidades que surgiram na mídia ao coletar informações pessoais com intenção de dirigir publicidade a esse público. Diante do fato de a criança não compreender de pronto a intenção da coleta de dados, foi necessário criar mecanismo de proteção a sua privacidade. Entre outros mecanismos, o consentimento expresso dos pais para a coleta dos dados é o mecanismo que mais nos importa para esse ensaio. Para os fins das regras dispostas no COPPA, criança é toda pessoa que tenha menos de 13 (treze) anos de idade. Ainda assim, é expressa a recomendação de que o operador também observe as diretrizes do COPPA da coleta e uso dos dados de adolescentes dos 13 aos 16 anos. Adam Thierer5 ressalta que a questão do consentimento não é pacífica e informa que nos últimos anos, alguns Estados propuseram expandir o regime da COPPA de várias maneiras. Esses esforços tentaram expandir a estrutura de consentimento dos pais para incluir todos os menores de até aos 18 anos, ampliando o leque de sites atendidos, aumentando a quantidade de informações devem ser coletadas para obter o consentimento verificável dos pais, e outras sugestões. O objetivo do regulamento é trazer proteção aos dados pessoais de crianças em websites e serviços on-line, exortando sempre o envolvimento dos pais ou representantes nessas atividades, possibilitando a maior proteção dos seus filhos ou representados. O COPPA é aplicado aos operadores de dados de websites e serviços online dirigidos para crianças e, também, para aqueles que são voltados para o público em geral, mas que coletam informações sobre o público infantil. Afinal, como é possível determinar que o site ou serviço é direcionado às crianças? A Federal Trade Commission (FTC) considera uma série de fatores para determinar se um site ou serviço é "direcionado a crianças", incluindo o assunto; o conteúdo visual ou de áudio; a idade dos modelos; a linguagem ou outras características; se a publicidade promovendo ou aparecendo no site é direcionada a crianças; as evidências empíricas sobre a composição do público; a audiência pretendida; e se um site usa personagens animados e/ou atividades voltadas para crianças e incentivos6. O dispositivo definiu como coleta dessas informações a reunião de qualquer dado pessoal de criança, com qualquer propósito, incluído: i) requerer ou encorajar a criança a submeter informações pessoais na internet; ii) habilitar o fornecimento da criança de seus dados pessoais, tornando-os disponíveis, de forma que possa ser identificada, e iii) monitoramento das atividades das crianças online. Da mesma forma, divulgação de dados pessoais se relaciona: i) ao lançamento de informações pessoais identificáveis7, coletadas por operador8, oferecidas por criança com menos de 13 anos de idade, com qualquer finalidade, exceto em hipóteses em que o operador provê tais informações com o intuito de suporte ao próprio website ou serviço online9; ii) à acessibilidade de informações pessoais identificáveis, através de postagens em páginas da internet, sejam elas do próprio operador dos dados ou de outros websites e serviços online como "pen pall", compras online, "message boards" e salas de bate- papo. De acordo com o documento, diversas condições são impostas aos operadores dos dados pessoais infantis, sendo as principais: i) a necessidade de obter consentimento dos pais para a coleta dos dados pessoais da criança; ii) a elaboração de uma política de privacidade clara e compreensiva; iii) manter as informações obtidas de crianças em segurança e confidencialidade10. Notas conclusivas Desse breve ensaio é possível concluir que a regulação norte americana não proíbe a veiculação de publicidade em ambiente digital, mas exige expressa autorização dos pais para coleta e tratamento dos dados os menores de 13 (treze) anos de idade. O CARU impõe uma série de restrições aos anunciantes, que deve ser cumprido em qualquer forma de anúncio, inclusive pelas plataformas digitais. O desafio enfrentado está relacionado a entender quem é o usuário da plataforma e se essa pessoa é ou não uma criança. Se o COPPA exige que o website e que serviços online dirigidos para crianças tomem cuidados para coleta e tratamento de dados, também exige para aqueles que são voltados para o público em geral, mas que coletam informações sobre o público infantil. Os dados da navegação podem dar pistas sobre a idade e perfil do usuário, logo, como já afirmou o FTC no caso mencionado de coleta indevida de dados pela Google, a plataforma pode (e deve) fazer cumprir a regulação sobre proteção de dados e direcionamento de publicidade, tudo conforme o disposto no COPPA e no CARU. *Roberta Densa é doutora em Direitos Difusos e Coletivos pela PUC/SP e professora de Direito do Consumidor da Faculdade de Direito de São Bernardo do Campo. __________ 1 Disponível aqui. 2 Disponível aqui. 3 O Federal Trade Commission Act é uma lei federal adotada nos Estados Unidos em 1914, que deu origem à Comissão Federal do Comércio. O órgão é responsável por dar ao governo dos Estados Unidos ferramentas legais na investidura contra a competição desleal no mercado americano. O ato também é conhecido por ser um dos pioneiros em ter como um dos principais objetivos a proteção integral dos consumidores contra práticas fraudulentas de produtores e fornecedores. 4 Disponível aqui. 5 THIERER, Adam. Kids. Privacy, Free Speech and the Internet: Finding the right balance. Disponível aqui. Acesso em: 20 set. 2021. 6 BAVITZ, Christopher; GUPTA, Ritu; OBERMAN, Irina; RITVO, Dalia. Privacy and Children's Data - An Overview of the Children's Online Privacy Protection Act and the Family Educational Rights and Privacy Act. Berkman Center Research Publication No. 23, [S.l], nov. 2013. Disponível em: SSRN. Acesso em: 20 set. 2021. 7 Definido pela lei como compartilhamento, venda, aluguel ou transferência de informações pessoais à terceiros. 8 Definido pela lei, de forma geral, como a pessoa física ou jurídica que gerencia website ou serviço online, coletando informações pessoais de seus usuários ou visitantes para diversos fins comerciais. 9 A lei define suporte ao website ou serviço online como aqueles que servem para manter ou analisar a funcionalidade, performance, conformidade e segurança do serviço, autenticidade dos usuários. 10 Nesse sentido, o consentimento dos pais ou responsáveis deve ser assegurado pelo fornecimento pelo operador de aviso sobre a coleta e eventual uso ou divulgação de informações pessoais de seus filhos, devendo obter dos representantes autorização verificável para qualquer das ações descritas.

Ao dispor Castells1 sobre a gênese de um novo mundo cuja forma e modelo inicial se fizeram sentir ao final do milênio, por meio de uma estrutura social dominante,  decorrente de uma sociedade em rede impactada pela tecnologia informacional, resultando numa economia global gerando a partir de  um mundo interdependente, a  cultura da virtualidade real, subjacente a ação e as instituições sociais, denotando-se que um tratamento específico e atual deve ser atribuído à coleta de dados pessoais com um viés protetivo. Deve-se considerar neste ambiente de base tecnológica e inovadora, tanto as questões relacionadas à IoT - Internet das Coisas2, como infraestrutura que integra a prestação de serviços de valor adicionado com capacidades de conexão física ou virtual de coisas e de pessoas, com dispositivos baseados em tecnologias da informação e comunicação, como também os aspectos relativos à privacidade e proteção dos dados pessoais, observadas as disposições da LGPD. E exatamente foi a tecnologia da informação a ferramenta primordial para a implantação efetiva dos processos de restruturação socioeconômica e formação das redes autoexpansíveis de organização da atividade humana, transformando e impactando as relações sociais econômicas. Todavia, Castell já alertava para o fato de que este novo sistema geraria ou teria uma tendencia a aumentar a desigualdade social e a polarização decorrente do crescimento simultâneo de ambos os extremos da escala social, numa visão do que denominou de capitalismo informacional, contribuindo para a exclusão social, desassociando nesta dinâmica, as pessoas, trabalhadores e consumidores.3  Será neste ambiente  que o país caminha para a  instituição  da Estratégia Brasileira de Inteligência Artificial4, com a finalidade de  nortear as ações em prol do fortalecimento da pesquisa, desenvolvimento e inovações de soluções em Inteligência Artificial, como o  seu uso consciente e  ético,  que propomos reflexões acerca da utilização de tecnologias informacionais e possível viés discriminatório atribuído a algoritmos como resultado final inesperado, que podem ser entendidos como uma série de instruções delegadas a uma máquina para resolver problemas pré-definidos.    Em alguns casos, a aplicação de algoritmos pode, de alguma forma previsível ou imprevisível, contribuir para gerar a exclusão social e a mitigação da utilização de direitos constitucionais, através de viés discriminatório, decorrentes da utilização de sistemas de inteligência artificial baseados em processo computacional. A partir de um conjunto de objetivos definidos por humanos, a IA e seus algoritmos, na efetivação de processamento de dados e informações, poderá aprender a perceber, interpretar e interagir com o ambiente externo, fazendo predições, recomendações, classificações ou decisões. Aliás, esta funcionalidade foi bem definida no PL 21/20 de autoria do Deputado Eduardo Bismark que pretende a criação do Marco da Inteligência Artificial no Brasil.5 Como subconjunto da Inteligência Artificial temos a machine learning, que se constitui em um sistema de aprendizagem de máquina, supervisionado ou não, que pode deter tecnologia de autoconstrução ou de projetar outros algoritmos e, ainda, sistemas baseados em conhecimento ou em lógica; abordagens estatísticas, inferência bayesiana, métodos de pesquisa e otimização. Os processos de automação podem incluir a capacidade do sistema de aprender a perceber, interpretar e interagir com o ambiente externo a partir das ações e das informações recebidas.  A problemática Coded Bias O documentário Coded Bias (2020), dirigido por Shalini Kantayya, investiga o viés racista e machista da Inteligência Artificial por trás dos algoritmos de reconhecimento facial e se aprofunda na análise de como as redes sociais e os algoritmos das big techs estão impactando os grupos mais marginalizados da sociedade.  Coded Bias mostra como Joy Buolamwini, mulher negra e cientista da computação do Instituto de Tecnologia de Massachussets (MIT), ao realizar pesquisas no MIT Media Lab, e posicionar rostos em frente a uma tela com dispositivo de captação de imagem por Inteligência Artificial, detectou um problema neste sistema de reconhecimento facial, consistente da falha frequente na análise de rostos, interferindo diretamente nos resultados, atribuindo a falha aos aspectos étnico-raciais. Ao sobrepor ao seu rosto uma máscara branca para prosseguir na captação facial, Joy Buolamwini teve finalmente a sua face reconhecida plenamente.  A partir desse episódio, a pesquisadora decidiu investigar como e porque este fato acontecia e quais seriam as consequências às pessoas de seu grupo étnico. Ao aprimorar a pesquisa, acabou por constatar também que grandes grupos empresariais, utilizavam-se de máquinas e algoritmos desenvolvidos para uso em reconhecimento facial e tecnologias assemelhadas, onde os resultados gerados identificavam o reconhecimento de rostos de homens brancos com muito mais exatidão, possibilitando o desenvolvimento de predições, constatações e criações de tendências e padrões de consumo, que, na realidade, possuíam um claro viés discriminatório e não inclusivo. O documentário levanta questionamentos sobre a utilização desses mecanismos tecnológicos, seja por empresas privadas ou por governos "democráticos". Entre eles, mostra como os preconceitos inerentes de suas visões de mundo são incorporados aos códigos por meio de um viés próprio, denominado pela Joy como um "olhar codificado". Apesar de estarmos cada vez mais imersos em uma sociedade inteligente do ponto de vista da tecnologia, reproduzimos em nossas máquinas, as fissuras sociais existentes no cotidiano. As pesquisas acadêmicas do MIT contribuíram para mudar legislações nos EUA e abalaram empresas de tecnologia, justamente em razão da detecção do viés tóxico e não inclusivo. Na busca de respostas ao dilema proposto por Joy Buolamwini, o documentário apresenta os resultados das pesquisas algorítmicas de Cathy O'Neil, matemática e pós-doutora pelo MIT que partiram da premissa de que as aplicações matemáticas fomentadoras da economia dos dados, eram baseadas em escolhas feitas por seres humanos falíveis, independente das suas intenções. Muitos dos modelos denominados pela Autora de Armas de Destruição Matemática, programavam preconceitos, equívocos e vieses humanos nos sistemas de software que geriam vidas. Os modelos matemáticos eram na sua ótica, opacos e seus mecanismos invisíveis a todos, exceto aos iniciados, matemáticos e cientistas da computação. As decisões, mesmo quando erradas ou danosas, estavam além de qualquer contestação, demonstrando razoável tendência de gerar a punição de classes sociais menos favorecidas e oprimidas e a multiplicação de ganhos dos mais ricos.6  A toxidade algorítmica e o viés discriminatório Esta problemática relativa ao viés discriminatório dos algoritmos e da utilização da I.A inclusive no Poder Judiciário é objeto de especial atenção tanto por parte do governo como das associações e organizações voltadas para esta temática, a exemplo do IAPD, Instituto Avançado de Proteção de Dados, que desenvolve pesquisas relacionadas a sistemas protetivos de titulares de dados pessoais e uso da tecnologia.  Neste contexto, foram apresentados por associados fundadores, em importantes congressos internacionais na Europa e no Brasil, dois estudos impactantes.  O primeiro objetivou demonstrar a necessidade de construção de políticas identitárias não  excludentes, traçando  um paralelo entre os princípios da LGPD e a Agenda 2030 da ONU, em especial no que tange aos objetivos relativos à busca do pleno e produtivo empreso e trabalho decente,  inclusive para com as pessoas com deficiência, gerando empoderamento  e inclusão social, econômica e política, independentemente da idade, gênero, deficiência, raça, etnia, origem, religião, condição econômica, garantindo a igualdade de oportunidade e reduzindo desigualdade por meio da eliminação de práticas discriminatórias. Neste ponto, alertou-se para a necessidade de se evitar que o sistema algorítmico e de coleta de dados pessoais, possa gerar viés de excludência social, principalmente aos deficientes de forma contraria ao sistema protetivo de LGPD e ao sistema previsto no EPD- Estatuto da Pessoa com Deficiência.7  Já, no evento específico sobre Inteligência Artificial, o Diretor Jurídico do IAPD, Prof. Dr. Adalberto Simão Filho e a Presidente do IAPD, Prof. Dra. Cintia Rosa Pereira de Lima, apresentaram a problemática da (in)decisão judicial e os algoritmos tóxicos, clamando pelo direito de revisão de decisões judiciais automatizadas, uma vez demonstrando que existe a  possibilidade de o algoritmo expressar de forma voluntária ou involuntária, um viés discriminatório de qualquer natureza. Demonstraram a incompatibilidade do modelo de Inteligência Artificial , com os princípios gerais do direito que conduzem o "due processo of law", invocando a resolução nº 322 do CNJ8 acerca da necessidade de adoção de medidas corretivas ao se detectar um viés discriminatório ou, ainda, de descontinuar a utilização do programa ou sistema na impossibilidade de eliminação deste  viés. Neste sentido, defenderam o direito de revisão das decisões automatizadas, reforçando a posição do capítulo II da resolução n. 332 do CNJ,  destacando que  as ferramentas ligadas à predição e algoritmos devem ser concebidas desde o início de sua formulação no conceito privacy by design, realçando a missão desafiadora tendo em vista a opacidade dos algoritmos, muitas vezes podendo ser caracterizados como tóxicos, pois ensejam vieses intoleráveis segundo o princípio da não discriminação e da transparência.9 A fragilidade e vulnerabilidade do algoritmo que registra viés indesejado, com reflexos discriminatórios e não transparentes, num desvio de percepção e de função intencional ou não, a demonstrar a necessidade de se gerar a necessária proteção à pessoa titular dos dados, também se faz sentir nas redes neurais  profundas de última geração  (DNNs) gerando situações críticas à segurança ao usuário desta tecnologia que, em ambiente de Internet das Coisas e das pessoas,  pode estar embarcada em  vários tipos de equipamentos e veículos tecnológicos, coletando dados e se utilizando de Inteligência Artificial com resultados não satisfatórios. Multiplicam-se pesquisas que demonstram problemas decorrentes de distorções na recepção e coleta de imagens e dados captados por tecnologia com o concurso de algoritmos. Neste ponto, oportuno o estudo de Kevin Eykholt e um grupo de pesquisadores, que demonstraram, que certos algoritmos utilizados são vulneráveis a exemplos contraditórios captados pelos instrumentos, resultantes perturbações de pequena magnitude adicionadas à entrada, podendo enganar esses sistemas e causar situações perigosas.  Observe-se, portanto, o algoritmo de reconhecimento facial de Coded Bias que gerava por si só a discriminação racial e, portanto, o universo de suas informações e dados pessoais captados e analisados poderia se refletir de forma equivocada, os pesquisadores comprovaram que algoritmos e instrumentos embarcados em veículos autônomos ou semiautônomos, poderiam captar sinais rodoviários nas estradas, mas que seriam registrados internamente de forma distorcidas. Como exemplo, se utilizaram de camuflagens de vários níveis em placas de trânsito e verificaram que este simples fato gerava a distorção sistêmica de resultados e altas taxas de classificação incorreta direcionadas.10  Esta constatação gerou a necessidade de se desenvolver algoritmos de aprendizagem mais resilientes. Os pesquisadores propuseram então, um algoritmo de ataque geral, criando uma metodologia própria (Robust Physical Perturbations) para gerar perturbações contraditórias visuais robustas em diferentes condições físicas por meio de testes de laboratório e de campo, com vistas a detectar e contribuir para a correção das distorções das manipulações físicas contraditórias em objetos reais.  A questão apontada dos equívocos de análise advindos da tecnologia de Inteligência Artificial e da possibilidade discriminatória, é preocupante tanto do ponto de vista da proteção da pessoa dos titulares dos dados, como também da sua aplicação na Justiça. Neste ponto, importante o escólio de Fausto Martin De Sanctis onde, para a utilização dos algoritmos, estes devem ser inatacáveis em sua ética e solidez, garantindo-se os princípios da neutralidade e da transparência.11      Pelo direito de não ser discriminado e de correção Diferentemente da denominada sociedade disciplinar, caracterizada segundo Michel Foucault, pela sua função disciplinadora de comportamentos onde o poder passa a ser aplicado sobre os corpos das pessoas, inclusive por meio da coerção física, na   sociedade do controle onde prepondera  "surveillance state" e a utilização de plataformas de base tecnológica  onde uma de suas  características  de gestão mais expressivas é exatamente a capacidade de modulação das opções e dos caminhos de interação e de acesso aos conteúdos publicados.12 Esta modulação deleuziana13 gera a redução do campo de visão e um processo de controle da visualização de informações, conteúdos, imagens e sons por meio de sistemas algoritmos que distribuem os discursos criados pelos usuários, corporações, pessoas e empresas, controlando-os indiretamente por parte daqueles que instituíram os critérios e políticas de interação dos espaços virtuais internos destas plataformas. Há um aspecto decorrente do processo de modulação, consistente da necessidade de se conhecer precisamente o perfil do agente modulável, por meio da construção de dispositivos e procedimentos de acompanhamento cotidiano de seus passos, como forma de gerar a atuação sobre o mesmo, podendo se conduzir as suas opiniões, seu comportamento e as suas opções de consumo. A utilização de modelos de Inteligência Artificial deve buscar garantir a segurança jurídica e igualdade de tratamento aos casos absolutamente iguais, a partir de amostras representativas e observância às cautelas necessárias quanto aos dados pessoais e ao segredo de justiça. Uma vez verificado viés discriminatório de qualquer natureza ou incompatibilidade do modelo de Inteligência Artificial, deverão ser adotadas medidas corretivas e/ou de salvaguardas e mecanismos de gerenciamento e mitigação dos riscos aos direitos fundamentais e exercício da cidadania. São tempos de apoio ao desenvolvimento tecnológico e a inovação, como elementos e instrumentos que possibilitam a melhoria da qualidade de vida, mas de perplexidade com certos resultados obtidos, onde se deve afastar quaisquer níveis de preconceito e de discriminação algorítmica tóxica proveniente de um "olhar codificado" como bem denomina Joy Buolamwini.  *Adalberto Simão Filho é professor Titular dos programas de Mestrado e Doutorado em Direitos Coletivos e Cidadania da UNAERP/RP. Obteve os títulos de mestre e de doutor em direito das relações sociais pela PUC/SP e de pós doutor em direito e educação pela Universidade de Coimbra.  Diretor Jurídico do Instituto Avançado de Proteção de Dados- IAPD. É autor de obras temáticas envolvendo o direito da sociedade da informação e a nova empresarialidade. **Janaina de Souza Cunha Rodrigues é profissional da área jurídica consultiva que conta com mais de quinze anos de experiência em departamentos jurídicos empresariais e escritórios de advocacia, com atuação na área empresarial e tecnológica. Associada Fundadora e membro da Comissão permanente de assuntos Jurídicos do Instituto Avançado de Proteção de Dados - IAPD.  Pesquisadora externa em grupo de estudo voltado para o Direito e a Tecnologia. Advogada Sênior do Escritório De Vivo, Castro, Cunha e Withaker Advogados, com atuação nas áreas consultivo digital e contratos. __________ 1 CASTELLS, Manuel. Fim de Milênio - A era da informação: economia, sociedade e cultura. Vol. 3: Paz e terra. São Paulo, 2012. p. 412. 2 BRASIL. Decreto nº 9.854, de 25 de junho de 2019. Institui o Plano Nacional de Internet das Coisas e dispõe sobre a Câmara de Gestão e Acompanhamento do Desenvolvimento de Sistemas de Comunicação Máquina a Máquina e Internet das Coisas. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2019-2022/2019/decreto/D9854.htm, acesso em 14 out. 2021. 3 CASTELLS, Manuel. Fim de Milênio - A era da informação: economia, sociedade e cultura. Vol. 3: Paz e terra. São Paulo, 2012. p. 420. 4 BRASIL. Portaria GM n.º 4.617, de 6 de abril de 2021, que institui a Estratégia Brasileira de Inteligência Artificial e seus eixos temáticos. Disponível aqui, acesso em 14 out. 2021. 5 BRASIL. PL. 21/2020 que pretende a criação do Marco da Inteligência Artificial no Brasil. Disponível aqui, acesso em 14 out. 2021. 6 CATHY O'NEIL. Algoritmos de destruição em massa. Editora Rua do Sabão: São Paulo. 2020. 7 SIMÃO FILHO, Adalberto; RODRIGUES, Janaina de Souza Cunha. Artigo em resumo denominado "Pela construção de políticas identitárias não excludentes - Um paralelo entre os princípios da LGPD e a Agenda 2030", apresentado em 12/10/21 no VI Congresso Internacional de Direitos Humanos de Coimbra- Portugal.  8 BRASIL. Conselho Nacional de Justiça. Resolução n. 332/2020. Dispõe sobre ética, a transparência e a governança na produção e no uso de Inteligência Artificial no Poder Judiciário e dá outras providências. Disponível aqui, acesso em 14 out. 2021. 9 SIMÃO FILHO, Adalberto; LIMA, Cintia Rosa Pereira de. Artigo em resumo denominado "A (In)decisão judicial e os algoritmos tóxicos", apresentado em 14/10/21 no III Seminário de Inteligência Artificial e Direito-Associação Ibero Americana de Direito e Inteligência Artificial. 10 EYKHOLT, Kevin; EVTIMOV, Ivan; FERNANDES, Earlence; LI BO; RAHMATI, Amir; XIAO, Chaowei; PRAKASH, Atul; KOHN, Tadayoshi; SONG, Dawn. Robust Physical-World Attacks on Deep Learning Visual Classification. Open access version, provid by de Computer Vision Foundation-CVF, version available on IEEE Splore. visit. 17/09/21. 11 DE SANCTIS, Fausto Martin. Inteligência Artificial e Direito.  Almedina: São Paulo. 2020. 12 SOUZA, Joyce; AVELINO, Rodolfo; SILVEIRA, Sergio Amadeu da. A sociedade de controle. Manipulação e modulação nas redes digitais. São Paulo: Editora Edra, 2018. 13 DELEUZE, Gilles. Conversações. Editora 34: São Paulo. 2013.

Indubitavelmente, a empresa reflete o dinamismo e o poder de transformação de uma determinada sociedade, conforme destacado por Fábio Konder Comparato,1 na aula inaugural dos Cursos Jurídicos da Faculdade de Direito da Universidade de São Paulo, em 1983. Quase 40 anos depois, e tal afirmação se mantém extremamente atual. Na sociedade informacional, as noções de estabelecimento empresarial, empresário, empresa e sociedade deixaram de ser contempladas pelo prisma estático para assumir protagonismo, uma vez que inseridos no meio ambiente institucional são, ao mesmo tempo, agentes de alteração e por ele alteradas. Pode descrever o movimento acima como a simbiose entre práticas do mercado e costumes da sociedade, percebido pelo Direito ante a constatação do deslocamento do poder econômico das sociedades e, esse, por sua vez, gravitando em "função da acumulação tecnológica e, nessa lógica de poder, a compreensão acerca da necessidade de regulação eficiente da atividade empresarial é premente"2. De fato, o poder econômico das organizações empresariais desafia constantemente o Estado,3  e a matéria sobre proteção de dados não foge à regra. Logo, os desafios aparentes ao universo jurídico se colocam em balancear e regular o domínio da tecnologia e seus usos de acordo com o art. 170 da CF/88, de um lado; e a proteção do consumidor e garantia dos direitos fundamentais, de outro.   Se a Constituição Federal brasileira é chamada de constituição cidadã, por evidenciar os contornos das relações sociais, restava, assim, definir os contornos do mercado e do uso da tecnologia, para tanto adveio o conjunto normativo formado pelo Marco Civil da Internet (MCI), lei 12.965/14 e pela Lei Geral de Proteção de Dados (LGPD), Lei 13.709/18, voltados a regulação do uso da tecnologia. Não obstante, restava (ou resta) lançar luz aos caminhos do mercado, pois, embora Comparato e Asquini destaquem os usos e costumes como diretrizes mercadológicas, o equilíbrio das relações e a segurança jurídica do mercado requerem contornos legais claros para o seu desenvolvimento. Assim, no início de junho de 2021, foi promulgada o Marco Regulatório das Startups e do Empreendedorismo Inovador, lei complementar 182/2021, emoldurando as normas de tais modelos de negócio "inovadores", declaradamente no intuito de fomentar a atividade econômica no país. Nesta conjuntura as healthtechs se destacam, na medida em que vivem em um mercado que já se coloca como altamente regulado. As chamadas healthtechs podem ser descritas como estabelecimentos empresariais colaborativos, que buscam soluções inovadoras e tecnológicas no setor da saúde, por meio de softwares ou plataformas digitais e, assim, a melhoria ao acesso à saúde da sociedade. A saúde é reconhecida como direito fundamental e constitucionalmente garantido (art. 196 da CF/88), que deixou expresso o "acesso universal e igualitário às ações e serviços para sua promoção, proteção e recuperação" como ideal utópico da Carta Magna, relevando a importância dos players neste mercado de atuação. Para tanto, deverá verificar as disposições da Lei 8.080/1990, que prevê que são serviços de assistência à saúde aqueles destinados à sua proteção, proteção e recuperação. Trata-se, portanto, de conceito amplo que pode abranger diversas atividades, e de certa forma as denominadas healthtechs. Seja em mercados pautados em direitos fundamentais ou não, fato é que a sociedade atual exige que os empresários vislumbrem a organização da sociedade numa perspectiva holística do modelo de negócio e do mercado em que se inserem. Isto significa dizer que uma das principais preocupações precedentes dos agentes econômicos ao lançar um produto ou serviço deve ser a análise regulatória do mercado ao qual estará inserido. As regras mercadológicas de enquadramento dos modelos de negócios que opere no setor da saúde, tidos como tradicionais, não suscitam dúvidas. Todavia, aqueles que operam no setor da saúde e tenham modelo de negócio compartilhado devem se atentar às regras clássicas, tais como, quanto a se enquadrar ou não como serviço de assistência à saúde e sobre a constituição do modelo de negócio arrimada em softwares ou plataformas digitais, além das regras contemporâneas, sobre tecnologia e mercado. Mirando o contexto da tecnologia, caso o modelo de negócio se desenvolva no espaço virtual, deve-se respeitar as regras do Marco Civil da Internet (MCI), lei 12.965/14 e da Lei Geral de Proteção de Dados (LGPD), lei 13.709/18. Quanto à LGPD, os serviços prestados no setor da saúde envolvem atividades de tratamento de dados, em grande parte dados pessoais sensíveis, conceituados no art. 5, inc. II da LGPD,4 o que demanda profunda atenção destes agentes econômicos ou daqueles que pretendem atuar com produtos e serviços no setor da saúde. Tamanha a importância da matéria que a LGPD reservou a seção II, do capítulo II (que versa sobre o tratamento de dados pessoais), para dispor sobre "do tratamento de dados pessoais sensíveis", que é composta pelos artigos 11 a 13 do referido Diploma Legal, que enfatiza a aplicação de técnicas de anonimização e pseudonimização quando possível.5       Enquanto não houver regulamentação específica pela ANPD, os agentes econômicos deste setor precisam, no mínimo, seguir o determinado nas regras previstas no artigo 46 e seguintes da LGPD, adotando (a) "medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito"; (b) garantindo a segurança da informação, mesmo após o término do tratamento dos dados; (c) comunicando os incidentes de segurança que possam acarretar riscos ou danos aos titulares e; (d) atendendo aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais do referido Diploma. Um olhar cuidadoso deve estar nos incidentes de segurança nestas plataformas denominadas healthtechs, tanto é que o dever de notificação (art. 48 da LGPD) foi um dos primeiros atos da ANPD6. Outro ponto de igual relevância diz respeito aos requisitos de segurança e de padrões de boas práticas e governança verifica-se que a LGPD, não à toa, reservou a seção II do Capítulo VII. Muito embora o art. 50 da LGPD contenha o verbo "poderão formular regras de boas práticas e de governança", interpretado em conjunto com o princípio da responsabilidade e prestação de contas (inc. X do art. 6º da LGPD), conclui-se que é uma obrigação dos agentes de tratamento de dados, portanto às healthtechs. Portanto, estas devem envidar esforços para estabeler as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais. Além disso, esta é uma forte defesa, nos termos do inc. IX do § 1°, do art. 52 da LGPD, porque ao aplicar as sanções administrativas, a ANPD poderá levar em consideração a adoção de política de boas práticas e governança.7 Entendemos que esta defesa extrapola os processos sancionatórios administrativos, podendo ser utilizada, também, nos processos judiciais e arbitrais. Por fim, sob o prisma do mercado, a recente lei complementar 182/21, Marco Legal das Startups, determina, no artigo 11, que caberá à Administração Pública promover programas de ambiente regulatório experimental (sandbox regulatório) favoráveis ao desenvolvimento das startups, afastando a incidência de normas regulatórias de sua competência, como é o caso das regras emanadas pela ANS, ANVISA e demais agências e órgãos da administração pública. Todavia, quanto à proteção de dados, de natureza constitucional (STF ADI 6390; PEC 17/2019), não pode ser afastada a incidência da LGPD, nem tão pouco a competência da ANPD nos termos do art. 55-K da LGPD que atribui exclusivamente à ANPD a aplicação de sanções administrativas por violação à LGPD. No entanto, o § 3º do art. 55-J da LGPD impõe uma atuação conjunta e coordenada de diversos órgãos reguladores de determinado setor a fim de cumprir suas atribuições com maior eficiência. Não se nega a importância econômica e sociais das denominadas healthtechs, o que restou consolidado no Marco Regulatório das Startups e do Empreendedorismo Inovador que somente limita a receita bruta da sociedade, o que se diferencia do valor de mercado da própria sociedade. Logo, para ser considerada healthtechs não há limite de valuation da sociedade empresária, mesmo porque as Startups seguem buscando a titulação de unicórnios, ou seja, sociedades privadas que possuem o valuation avaliado em múltiplos de escalonagem que alcancem a marca dos bilhões. De acordo com relatório publicado pela CB Insights, empresa privada que atua como plataforma de análise de negócios, há um vasto mercado para crescimento das healthtechs, pois é um dos modelos de negócios menos explorados do setor, ao contrário das Fintechs que dominam os topos dos rankings dos unicórnios mundiais. Acredita-se que o mercado nacional dos unicórnios ainda esteja dominado apenas por Fintechs diante do complicado e minucioso sistema regulatório que envolve o setor de saúde, no Brasil e no Mundo. Cabe, então traçarmos diretrizes para que este desenvolvimento seja sustentável assegurando-se o respeito e a eficácia dos direitos e garantias fundamentais, dentro os quais se inclui a proteção de dados pessoais. *Emanuele Pezati Franco de Moraes é mestre em Direito pela Faculdade de Direito de Ribeirão Preto da Universidade de São Paulo - FDRP/USP (2017-2019). Especialista pelo programa LLM em Direito Civil da Faculdade de Direito de Ribeirão Preto da Universidade de São Paulo - FDRP/USP (2018-2020). Pesquisadora no grupo de pesquisa Observatório da LGPD e Observatório do MCI, ambos vinculados ao CNPq. Associada Fundadora do Instituto Avançado de Proteção de Dados - IAPD. Associada do Instituto Brasileiro de Estudos de Responsabilidade Civil - IBERC. Advogada e sócia fundadora do escritório Advocacia Especializada Pezati Parceiros. Rede social - Instagram: aeppadv **Cíntia Rosa Pereira de Lima é professora de Direito Civil da Faculdade de Direito da USP Ribeirão Preto - FDRP. Doutora em Direito Civil pela Faculdade de Direito da USP com estágio na Universidade de Ottawa (Canadá) com bolsa CAPES - PDEE - Doutorado Sanduíche e livre-docente em Direito Civil Existencial e Patrimonial pela Faculdade de Direito de Ribeirão Preto (USP). Pós-Doutora em Direito Civil pela Università degli Studi di Camerino (Itália) com fomento FAPESP e CAPES. Líder e Coordenadora dos Grupos de Pesquisa "Tutela Jurídica dos Dados Pessoais dos Usuários da Internet" e "Observatório do Marco Civil da Internet", cadastrados no Diretório de Grupos de Pesquisa do CNPq e do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP).  Presidente do Instituto Avançado de Proteção de Dados - IAPD. Advogada. __________ 1 COMPARATO, Fabio Konder. A reforma da empresa. In: Direito empresarial: estudos e pareceres. São Paulo: Saraiva, 1995, p. 3-26, p. 3. 2 MACIEL, Renata Mota; MORAES, Emanuele Pezati Franco de. A LGPD Brasileira sob a perspectiva do Direito Comercial: a base de dados como ativo relevante da empresa. In: ANPD e LGPD: desafios e perspectivas. São Paulo: Almedina, 2021, p. 117. 3 BENACHIO, Marcelo; MACIEL, Renata Mota. A LGPD sob a perspectiva da regulação do poder econômico. In: Comentários à Lei Geral de Proteção de Dados: Lei n. 13.709/2018, com alterações da lei 13.853/2019. São Paulo: Almedina, 2020, p. 39-67, p. 41-42. 4 PEROLI, Kelvin. O que são dados pessoais sensíveis? Disponível aqui, acesso em 06 out. 2021. 5 POSSI, Ana Beatriz Benincasa. O que é anonimização e pseudonimização de dados? Disponível aqui, acesso em 06 out. 2021. 6 LIMA, Cíntia Rosa Pereira de; OLIVEIRA, Cristina Godoy Bernardo de. Dever de Notificação dos Incidentes de Segurança com Dados Pessoais - Parte 1. Disponível aqui, acesso em 06 de out. 2021.   7 Cf. LIMA, Cíntia Rosa Pereira de; DE LUCCA, Newton. O Brasil está pronto para as sanções administrativas previstas na LGPD? Disponível aqui, acesso em 06 out.2021.  

Introdução  Consentir, verbo que contempla múltiplos sentidos e regências - dar consentimento, permitir, tolerar, condescender; demonstrar concordância; aquiescer; aprovar; concordar, etc.1, está na essência e no sentido do tema que vamos tratar: o processo de consentimento. As palavras e os sentidos que nelas gravitam são os pontos de contato na rede do "universo normativo" e que também é o "universo narrativo" de conceitos, princípios, modelos normativos e hermenêuticos. Como diz Judith Martins-Costa em texto lapidar - A concha do marisco abandonada e o nomos: "(...) normatizar e inseparável do narrar". (...) Daí a importância de ter presente as narrações apreendidas nos diferentes códigos sociais, a inteligibilidade da conduta normativa repousando no "caráter comunitário (comunal) das narrações que fornecem o contexto desta conduta."2 O verbo consentir é o ponto de contato dos quatro pontos cardeais da Filosofia de Kant, incorporados pelas mãos de Savigny à Escola Histórica, e elevados por Augusto Teixeira de Freitas à trajetória do Direito Privado brasileiro.3 São eles: 1) a ideia de liberdade, como um direito inato a todos os seres humanos, garantidora do pleno desenvolvimento de sua personalidade; 2) o entendimento da convivência social, como uma limitação reciproca de liberdades; 3) o respeito à pessoa humana, como base da justiça e fim da ordem social; e 4) a garantia do Direito, como condicionalidade dos arbítrios, para legitimar o emprego da coação material.4 Consentir é ato humano diretamente conectado à liberdade, podendo representar diferentes sentidos e formas de manifestação de vontade, tenha este ato efeitos jurídicos ou não. No campo jurídico, a natureza do ato de consentir pode ser ato jurídico stricto sensu ou negócio jurídico, ajustando-se ao contexto normativo de apreensão da realidade como expressão da autonomia privada.5-6 Ao longo dos tempos e da tradição social e jurídica, em particular na área da saúde, foram incorporados a este verbo múltiplos sentidos ou dele excluídos características e/ou efeitos sociais e jurídicos. A Bioética, a partir da década de 1970, concentra muitos estudos voltados ao consentimento na área da saúde, em particular na pesquisa envolvendo seres humanos. Consentir é a "concha" receptora de sentidos; usando a delicada metáfora da "concha do marisco abandonado" empregada por Martins-Costa7: (...) em uma concha jogada na areia da praia, o primitivo habitante que lhe recheava o conteúdo de há muito pode ter desaparecido e gerações de outros habitantes podem ali ter encontrado a sua morada.8      Ainda, destaco o sentido da utilização da palavra "processo" associada ao verbo "consentir"; aqui compreendido como uma cadeia de atos e/ou procedimentos, não necessariamente consecutivos ou postos de forma sequencial, que agregados ao ato de consentir lhe dão sentido e determinam os efeitos jurídicos. O processo de consentir envolve elementos intrínsecos e elementos extrínsecos na perspectiva da pessoa natural que consente. Os elementos intrínsecos relacionados à condição ou a situação do consentidor, como a capacidade psicológico-moral e jurídica; as motivações subjetivas e/ou objetivas; e a forma, escrita ou verbal. Os elementos extrínsecos, aqueles postos pela situação concreta e jurídica, essenciais ao conhecimento do consentidor para respeitar os seus direitos informativos, de personalidade e de autodeterminação. O ato de consentir deve ser realizado sem inadequações éticas9 e/ou vícios de consentimento (erro ou ignorância, dolo, coação e estado de perigo)10.  O processo de consentimento é "o ritual clínico moderno da confiança"11, seja na perspectiva bioética12, moral e jurídica.13-14 Assim, considerando a mobilidade narrativa, de sentido e de interpretação jurídica do ato de consentir, objetiva-se tratar, neste conjunto de textos, dos diferentes processos de consentimento na área da saúde. Este conjunto de textos está organizado, em três partes. Na Parte I, ora publicada, serão abordados os temas do processo de consentimento na pesquisa envolvendo seres humanos e os relativos à Lei Geral de Proteção de Dados - LGPD; lei 13.709/2018. Na Parte II, serão desenvolvidas as características do processo de consentimento na assistência à saúde e suas relações com o estabelecido na LGPD. Finalmente, na Parte III, será abordado o processo de consentimento envolvendo crianças e adolescentes em situações de pesquisa e em assistência na área da saúde, assim como a sua relação com o previsto na LGPD. Processo de Consentimento nas pesquisas clínicas envolvendo seres humanos As pesquisas clinicas envolvendo seres humanos são quaisquer estudos científicos que incluem pessoas, ou grupos de pessoas, que recebem intervenções com a finalidade de avaliar os efeitos relacionados à saúde.15 A pesquisa clínica é um gênero que abarca uma diversidade de projetos e estudos envolvendo seres humanos, conforme OMS16. Estas pesquisas podem ser chamadas também por sua espécie - os ensaios clínicos - isso é, quando ocorrem testes com a utilização, entre outros, de fármacos, células e produtos biológicos, procedimentos cirúrgicos, procedimentos radiológicos, dispositivos, tratamentos comportamentais, mudanças no processo de prestação de cuidados, inclusive preventivos.17 Particularmente, os ensaios clínicos são organizados, normalmente em duas etapas: pré-clínica e clínica. A etapa pré-clínica envolve a utilização de modelos celulares e animais18 ou simulações envolvendo modelos matemáticos. Excepcionalmente, ainda na etapa pré-clínica, podem ser realizados estudos de Fase 0 em seres humanos. São estudos com doses muito pequenas de uma molécula, que ainda está sendo desenvolvida, com finalidade de verificar se tem atividade biológica.  A etapa clínica, por outro lado, envolve diretamente seres humanos e está organizada em quatro fases, denominadas de fases I, II, III e IV. Os estudos de fase I avaliam a segurança da nova intervenção.  Na fase II, além da segurança, é avaliada a tolerabilidade associada ao seu uso. Na fase III se agrega a avaliação da eficácia da intervenção. Finalmente, na Fase IV, quando o produto já está liberado para uso assistencial, além da segurança, da tolerabilidade e da eficácia, se avaliam os eventos decorrentes do seu uso em larga escala e em situações de vida real. Estas fases são sucessivas e escalonadas, com níveis crescentes de volume de participantes, de complexidade e de exposição à nova intervenção.19 Neste contexto, o processo de consentimento, e sua respectiva formalização, é requisito obrigatório nos ensaios clínicos.20-21 O processo de consentimento deve ser a expressão de uma conduta eticamente adequada, em respeito aos Direitos Humanos, Direitos Fundamentais e Direitos de Personalidade, em especial, em respeito aos princípios da confiança, da autonomia, autodeterminação e alteridade.22-23 Portanto, o processo de consentimento deve ser integrado em todas as fases 0, I, II, III e IV, da etapa clínica do projeto e protocolos de pesquisa clínica. O participante de pesquisa de cada fase tem que ser informado das finalidades, riscos, benefícios e direitos associados, para que possa participar do processo de tomada de decisão, com a compreensão devida, para exercer o poder (=potestativo) de aceitar, não aceitar ou desistir de sua participação. O projeto de pesquisa clínica e os documentos que lhe acompanham, tais como protocolo de pesquisa, manual do pesquisador, termos de consentimento, termos de confidencialidade, termos específicos para regular o uso de dados de pesquisa e demais anexos necessários ao caso concreto, devem ser submetidos a avaliação de um ou mais Comitês de Ética em Pesquisa (CEPs).  Os CEPs devem ter composição multidisciplinar; ser credenciados às instancias governamentais e/ou institucionais que realizem pesquisa clínica e autorizados por regras de direito, autogestão e compliance. As atividades dos CEPs têm cunho avaliativo, consultivo e deliberativo, envolvendo a adequação ética, metodológica, de relevância e finalidade, de capacitação técnica e científica dos pesquisadores envolvidos e de compliance dos projetos realizados nas instituições de pesquisa. Os CEPs também podem estabelecer medidas concretas para evitar conflitos de interesse, em particular, os econômicos. A necessidade da obtenção de consentimento dos participantes integra um conjunto de Boas Práticas Clínicas, mais conhecidas pela sigla em inglês GCP - Good Clinical Practice, que orientam um modelo normativo colgado em diferentes códigos sociais, de aceitação internacional, fruto da historicidade, em busca de limitar a coisificação dos seres humanos na realização de pesquisas em saúde e como forma de garantir a autonomia da vontade e privada dos participantes de pesquisa. Inúmeros documentos relevantes regulam as atividades de pesquisa em seres humanos. A Declaração de Helsinki, originalmente de 196424 e hoje na sua 8ª Edição (2015), é uma referência fundamental. É um documento proposto pela Associação Mundial de Medicina (WMA), sem a força de ser um tratado ou legislação. Outras propostas de Boas Práticas Clínica envolvem as propostas pela European Medicines Agency (EMA)25; pela Conferência Tripartite Internacional de Harmonização (ICH harmonised tripartite guidelines. Guideline for Good Clinical Practice E6 - R2)26; o Documento das Américas27 e o Guia de Inspeção em Boas Práticas Clínicas (BPC) referente a ensaios clínicos com medicamentos e produtos biológicos - Guia n. 36/2020 proposto pela Agencia Nacional de Vigilância Sanitária (ANVISA). No cenário nacional, no que concerne normatização de pesquisas envolvendo seres humanos, não há lei específica28, mas a realização de pesquisas envolvendo os seres humanos deve respeitar os preceitos constitucionais, destacando-se o princípio norteador de todo o ordenamento, o princípio da dignidade da pessoa humana, os direitos fundamentais e sociais à saúde e a vedação de comercialização de partes do corpo, art. 199 §4ª. Também é regrado indiretamente por leis infraconstitucionais, entre elas o Código Civil Brasileiro, a lei 10.406/2002 e a lei 13.123/2015, que regula o acesso ao Patrimônio Genético. O ano de 1988, marcado pela promulgação da Constituição Federal, também marca o início da regulamentação envolvendo pesquisa com seres humanos no país - a resolução 01/1988 (revogada), publicada pelo Conselho Nacional de Saúde (CNS). Posteriormente, o marco regulatório brasileiro foi sendo alterado por duas diferentes vertentes: 1) No âmbito infralegal, as resoluções sobre pesquisa editadas Conselho Nacional de Ética em Pesquisa, via o Sistema CEP/CONEP, responsável pelo credenciamento dos CEPs no país e pela orientação de atividades em pesquisa clínica, destacamos: a Resolução 466/2012, que regula em geral a pesquisa envolvendo seres humanos na área da saúde; a Resolução 251/1997, que caracteriza as fases de pesquisa clínica e as Resoluções 441/2011 e 446/2012, relacionadas aos Biobancos. 2) As determinações da Agência Nacional de Vigilância Sanitário - ANVISA, por meio de Resoluções de Diretoria Colegiada (RDC), em particular destacamos a RDC 9/2011, RDC 10/2010 e RDC 38/2013. Estas resoluções são obrigatórias e o seu cumprimento deve ser observado por todos que realizem pesquisas clinicas no país.  Neste cenário, o processo de consentimento é exigido pelo sistema CEP/CONEP e também pela ANVISA nas situações de pesquisa clínica.  Entendemos que este processo tem momentos essenciais: o primeiro concerne ao dever de informar à pessoa convidada para ser um participante de pesquisa, que deverá receber todas as informações para compreender as finalidades, os propósitos, os riscos, os benefícios, as condições e as salvaguardas à sua integridade física, moral e psicológica projetadas na pesquisa. A segunda é diretamente conectada ao acompanhamento do participante, durante e após a realização da pesquisa, para suporte e esclarecimento de quaisquer situações ou aspectos decorrentes da pesquisa. O terceiro relaciona-se ao estabelecimento de canais de comunicação adequados e seguros para fortalecer e ampliar os graus de entendimento do participante durante todo tempo em que este estiver envolvido com a pesquisa, e até mesmo após o seu término formal. A capacidade de compreensão do participante deve ser ampla para que haja a validade do processo de consentimento. Ou seja, deve ser considerada a capacidade relacionada ao grau de desenvolvimento psicológico-moral e a capacidade jurídica.29 Portanto, a capacidade do participante deve ser avaliada e integrada durante todo assim como durante a realização da pesquisa, com a finalidade de avaliar as vulnerabilidades associadas. Para garantir a validade do processo, também deve ser considerada a forma utilizada para registrar o consentimento do participante, seja por meio de termo escrito e/ou de gravação de imagem e/ou voz.30 No que concerne a categoria jurídica do ato de consentimento, no contexto de pesquisa clínica, como diz Denise Oliveira Cezar, não tem natureza obrigacional ou contratual, mas sim pode ser para alguns um ato jurídico stricto sensu e para outros um negócio jurídico relacional, de natureza existencial, que nascerá com limites ao exercício da autonomia do participante às normas proibitivas, aos princípios de ordem pública e de bons costumes.  Nas palavras da autora: (...) é possível, que por meio de declarações, os titulares exerçam os seus direitos de personalidade, os quais poderão tomar a forma de atos jurídicos em sentido estrito ou negócios jurídicos, contanto não afetem o que têm de essencial.31 Denise Oliveira Cezar ressalta que a categoria dos negócios jurídicos relacionais, de natureza existencial, em um ambiente de ensaios clínicos, melhor caracteriza o consentimento do participante, pois estão presentes a liberdade de celebração e configuração; as declarações de vontade e os preceitos de autonomia privada; observa-se a função econômico-social das declarações e a integração a relações jurídicas de natureza relacional. A qualificação do consentimento informado na pesquisa patrocinada de medicamentos como um negócio jurídico relacional, desta forma, apreende as características que revelam as semelhanças de família com o negócio jurídico, e também as suas peculiaridades jurídicas, com o que a interpretação do TCI, conquanto esteja sujeita às regras dos demais negócios, exige a prevalência de princípios adequados à natureza da relação jurídica.32 A irrenunciabilidade e indisponibilidade dos direitos de personalidade são elementos limitadores da liberdade e da autodeterminação do participante de pesquisa. Igualmente, os responsáveis pela pesquisa devem observar os direitos de personalidade do participante, sem submeter a qualquer influência de ordem hierárquica, ou a qualquer espécie de coerção, mesmo as de ordem econômica relacionadas a recebimentos de valores monetários elevados pela participação na pesquisa, ou recebimento de medicamentos ou tratamentos terapêuticos em ofensa a sua dignidade.33 A relação contratual - negócio jurídico de natureza patrimonial - é estabelecida entre os promotores e responsáveis pela pesquisa clínica, sejam patrocinadores e seus representantes, como as Organizações Representativas de Pesquisa Clínica (ORPC), ou, em inglês, Contract Reserch Organization (CRO), instituições que albergam a pesquisa, fundações de apoio e pesquisadores e suas equipes. O participante não é figurante no contrato, mas sim é pessoa diretamente interessada e afetada por esta relação contratual complexa, de natureza relacional.34 Assim, o consentimento do participante, registrado no Termo de Consentimento Livre e Esclarecido (TCLE) ou por outra forma de documentação, é elemento objetivo de formalização do processo do consentimento, que deve integrar o projeto de pesquisa, diretamente ligado ao contrato de pesquisa. O registro do consentimento deverá conter de forma clara, inteligível todos os aspectos necessários para informar o participante da finalidade, riscos, benefícios, direitos, titularidade dos responsáveis, contatos necessários para fluência da comunicação com o pesquisador responsável ou seu representante e as instituições. Em algumas situações, poderá conter também explanação de como os dados de pesquisa serão tratados, se anonimizados, pseudonimizados ou indentificados e se serão compartilhados com outros grupos de pesquisa e/ou com patrocinadores ou financiadores da pesquisa. Nestas situações, a declaração do participante será específica para autorizar o uso de dados de pesquisa, quando originados de dados pessoais, atendendo aos requisitos da LGPD, artigo 8º. Este Termo deverá estabelecer a finalidade, a necessidade, o delineamento, os contornos, os limites e as medidas de segurança para o tratamento e divulgação dos dados de pesquisa. Ressalta-se que os responsáveis pela pesquisa serão controladores conjuntos, conforme os critérios da LGPD, artigo 5º, inciso VI. (ver item 2 deste texto). Igualmente, é importante frisar que há situações de pesquisa clínica, excepcionais, que poderá haver a liberação da obtenção do consentimento.  Por exemplo, quando houver a impossibilidade de estabelecer o contato com o participante, ou seu representante. Nesta situação, o projeto de pesquisa não poderá gerar danos ao participante, deverá ser garantido o tratamento de dados e informações de forma segura, e deverá ser comprovado, a priori, os impactos sociais positivos e benefícios decorrentes da pesquisa para a sociedade. Isto também pode ocorrer em situações nas quais os dados de pesquisa estejam anonimizados desde a sua origem. Nestas, ou em outras situações excepcionais, os pesquisadores devem solicitar e justificar, no projeto de pesquisa, encaminhado ao CEP para avaliação, esta dispensa de obtenção do consentimento. A avaliação do CEP deverá analisar as circunstâncias e as justificativas na perspectiva metodológica e de adequação ética, de boas práticas clinicas, legais e regulatórias. A ética da responsabilidade social, expressa que a garantia do progresso da ciência e da tecnologia, em um espírito de cooperação, de difusão das informações científicas e de estímulo à livre circulação e utilização do conhecimento, somente se justifica se houver a proteção do participante como interesse primário. Esta proteção não pode ser um elemento secundário a outros interesses, sejam eles científicos, políticos ou econômicos.35 Contudo, para que isso seja possível, é fundamental a transmissão adequada das informações e conhecimentos ao participante sobre a natureza, a finalidade, as etapas de desenvolvimento do projeto e sua prospectiva; assim como, as expectativas derivadas da pesquisa. O dever de informar do pesquisador e o direito de ser informado do participante da pesquisa, sob o fundamento no princípio da confiança, são elementos essencialmente relevantes ao processo de consentimento.36-37  Processo de consentimento na LGPD  O consentimento da LGPD é uma de suas bases legal de tratamento, devendo ser considerado em políticas de proteção de dados e privacidade, mas não apenas como um processo de "faz de conta".38 Neste sentido, será fundamental elencar três premissas postas na Lei Geral de Proteção de Dados, Lei 13.709/2018, diretamente relacionados às pesquisas envolvendo seres humanos na área da saúde: 1) o tratamento de dados pessoais (artigo 5º, inciso X) poderá ser realizado em situações de pesquisas, desde realizadas por órgão de pesquisa, artigo 5º, inciso XVIII (órgão de pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico); 2) a LGPD dispensa o consentimento, art. 8º, quando outras bases legais legitimarem o tratamento de dados, previstos no artigo 7º e 11.  Dentre as situações de dispensa do consentimento, em situação envolvendo a área da saúde, destacamos do artigo 7º, os incisos IV (para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais) e VII (para a proteção da vida ou da incolumidade física do titular ou de terceiro) e do artigo 11, o inciso II, letra "a" (realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis) e a letra "e" (proteção da vida ou da incolumidade física do titular ou de terceiro).39 3) a LGPD autoriza no seu artigo 13 e parágrafos, o tratamento de dados pessoais para a realização de "estudos em saúde pública", diz o artigo que os órgãos de pesquisa poderão ter acesso a bases de dados pessoais, que serão tratados exclusivamente dentro do órgão e estritamente para a finalidade de realização de estudos e pesquisas e mantidos em ambiente controlado e seguro. Este ambiente seguro deve ser de responsabilidade do controlador ou controladores (artigo 5º, inciso VI), que no caso das pesquisas clinicas são os pesquisadores e demais responsáveis pela pesquisa.   As práticas de segurança devem estar previstas em regulamento específico e devem incluir, sempre que possível, a anonimização ou pseudonimização dos dados.  Partindo destas premissas legais, gostaríamos de focar em dois aspectos: i) a finalidade e a forma do processo de consentimento exigido pela LGPD são distintas dos necessários para a realização de pesquisas envolvendo seres humanos e ii) estes processos de consentimento não têm os mesmos efeitos jurídicos, nem são excludentes. Ambos podem ser necessários, conjuntamente ou não, de acordo com o caso concreto. A finalidade e a forma do processo de consentimento informado exigido pela LGPD, no seu artigo 8º, são distintos do processo de consentimento necessário para a realização de pesquisas com seres humanos. O consentimento na LGPD é uma das bases legitimas de tratamento de dados pessoais e dados pessoais sensíveis, portanto os seus efeitos estão circunscritos a autorização do titular para o tratamento de dados e informações pessoais, em respeito aos seus direitos de personalidade e ao princípio da autodeterminação informativa. Portanto, entendemos que o consentimento na LGPD é um ato jurídico stricto sensu, pois sua forma, finalidade e efeitos estão previamente previstos em lei. Para tratar dados de saúde, o consentimento da LGPD poderá ser dispensado para realização de assistência, proteger a integridade física e/ou de saúde do titular ou mesmo tratar o dado do titular em situações de pesquisa.40 Entretanto, é importante que se diga, que dispensar o consentimento para tratamento de dados pessoais, nas situações previstas pela LGPD, não implica em ignorar os seus princípios e regras de direitos, em particular os princípios (artigo 6º) e os direitos dos titulares (dos artigos 17 ao 22).41 A dispensa do consentimento no caso de pesquisas pela LGPD, não altera as responsabilidades inerentes aos promotores e responsáveis pela pesquisa clínica (sejam patrocinadores, instituições envolvidas e pesquisadores responsáveis) em promover ambiente seguro para o tratamento de dados pessoais e dados pessoais sensíveis relacionados aos participantes no desenvolvimento da pesquisa.  Aliás, os responsáveis da pesquisa, como controladores e/ou controladores conjuntos, devem elaborar e desenhar o projeto de pesquisa clinica contendo formas de tratamento e governança dos dados pessoais dos participantes para garantir a sua autodeterminação, inclusive para garantir a retirada do seu consentimento do participante ou o adequado compartilhamento ou mesmo o descarte dos dados. Assim, devem ser previstas e organizadas no projeto e no contrato de pesquisa, por meio de cláusulas especificas, a definição dos obrigados e de medidas de segurança concretas, conforme exigidas pela LGPD para o tratamento dos dados pessoais dos participantes de pesquisa. Também devem ser estabelecidos controles e mecanismos para auditar as bases de dados e, sempre que possível, utilizar a pseudonimização ou outras técnicas de proteção dos dados de pesquisa que oriundos de dados e informações pessoais dos participantes. Portanto, os processos de consentimento não são excludentes, mas sim poderão ser necessários conjuntamente. Assim, a dispensa do consentimento pela LGPD, nas situações de pesquisa clinica, não elimina a exigência do processo de consentimento nos projetos de pesquisa clínica, visando a atender preceitos éticos, legais e regulatórios e às diretrizes de boas práticas clínicas, que devem ser avaliados pelo CEP. Neste contexto, quando necessário também o consentimento da LGPD, este deve respeitar os requisitos do artigo 8º e poderá ser nominado como "termo de autorização para uso de dados de pesquisa" - inclusive constando em algumas situações como cláusulas contratuais "destacadas" (artigo 8º, § 1º). O termo poderá ser exigido quando houver situações em que os dados, identidade e informações dos participantes de pesquisa clínica tenham que ser divulgadas além dos limites previstos no projeto ou protocolos de pesquisa ou por situações particulares; como por exemplo, quando houver publicização das pesquisas em mídias sociais e jornalísticas; artigos científicos, congressos, ou para eventuais desenvolvedores de produtos e/ou tecnologias originadas das pesquisas, entre outras situações a serem analisadas em situações concretas.  Considerações Finais  O consentimento do participante de pesquisa clínica deve atender a todos os requisitos formais e de conteúdo, como a clareza e legibilidade na linguagem, esclarecimento dos riscos e benefícios, possíveis eventos adversos, direitos, canais de contato, entre outros.  O consentimento previsto na LGPD, a princípio, não será exigido nos casos de pesquisas clínicas ou pesquisas em saúde pública, pois estas situações têm base legal própria, previstas na LGPD, para tratamento de dados pessoais. Da mesma forma, medidas de segurança devem ser tomadas pelos controladores dos dados de pesquisa, que são os responsáveis pela pesquisa, para garantir os níveis de proteção, prevenção, segurança, controle, gestão e verificação de dados e informações dos participantes, exigidas pela LGPD.  No entanto, poderão ocorrer situações, dependendo da finalidade e uso dos dados pessoais previstos no projeto de pesquisa, em que seja necessário que o participante de pesquisa também forneça o consentimento previsto na LGPD, registrado em "termo de autorização para uso de dados de pesquisa".  O ato de consentir deve ser reconhecido e examinado em cada uma das situações empregadas, para que a "concha a do marisco abondonado" recepcione as características jurídicas adequadas, considerando a diversidade das situações para proteger e garantir ao participante de pesquisa o respeito aos seus direitos.  *Márcia Santana Fernandes é doutora em Direito (UFRGS) e pós-doutora em Medicina (UFRGS). Advogada - Sócia no escritório Santana Fernandes Advocacia e Consultoria. Professora e coordenadora Adjunta do Mestrado Profissional em Pesquisa Clínica do Hospital de Clínicas de Porto Alegre (HCPA). Pesquisadora Associada do Laboratório de Pesquisa em Bioética e Ética na Ciência do Centro de Pesquisas (LAPEBEC) do HCPA. Professora Colaboradora do PPG/Dir-PUCRS. Membro do Conselho do Instituto de Estudos Culturalistas - IEC.   Research Fellow no UZH Digital Society Initiative - Universidade de Zurique, Suíça. Diretora de Privacidade e Proteção de Dados da ÁXIOS - Educação e Consultoria em Ética Ltda. Associada Fundadora do IAPD - Instituto Avançado de Proteção de Dados. Instagram = @marciasantanafernandes. Twitter = @msfernandes.  **José Roberto Goldim é biólogo, doutor em Medicina e consultor em Bioética. Chefe do Serviço de Bioética do HCPA. Professor Titular da Escola de Medicina da PUCRS. Professor Colaborador da Faculdade de Medicina da UFRGS. Professor do Mestrado Profissional em Pesquisa Clínica do Hospital de Clínicas de Porto Alegre (HCPA). Pesquisador responsável do Laboratório de Pesquisa em Bioética e Ética na Ciência do Centro de Pesquisas (LAPEBEC) do HCPA. Research Fellow no UZH Digital Society Initiative - Universidade de Zurique, Suíça. Diretor Sócio da ÁXIOS - Educação e Consultoria em Ética Ltda. Associado Fundador do IAPD - Instituto Avançado de Proteção de Dados. Instagram = @jrgoldim __________ 1 HOUAISS, Antônio; VILLAR, Mauro de Salles; MELLO FRANCO, Francisco Manoel de Mello. Dicionário Houaiss da língua portuguesa. Rio de Janeiro: Editora Objetiva, 1ª Edição, 2001, p. 807. 2 MARTINS-COSTA, Judith. A concha do marisco abandonado e o nomos; in Narração e Normatividade - Ensaios de Direito e Literatura, MARTINS-COSTA, Judith (Cood.); São Paulo: Editora GZ, 2013, pgs. 8-11. 3 TEIXEIRA DE FREITAS, Augusto. Consolidação das Leis Civis, 3ª Edição; p. XXXII, Rio de Janeiro, 1876. 4 REALE, Miguel. A doutrina de Kant no Brasil (Notas à margem de um estudo de Clovis Bevilaqua). V. 42, p. 58-59. Revista da Faculdade de Direito, Universidade de São Paulo, 1947. 5 CEZAR, Denise Oliveira. Pesquisa com medicamentos - aspectos bioéticos. São Paulo: Editora Saraiva, 2012, p. 178 e seguintes. 6 HAICAL, Gustavo. A autorização no Direito Privado. Rio de Janeiro: Revista dos Tribunais, 2020. Recomendo esta obra a todos que desejem aprofundar a figura jurídica da autorização. 7 MARTINS-COSTA, Judith. A concha do marisco abandonado e o nomos; in Narração e Normatividade - Ensaios de Direito e Literatura, MARTINS-COSTA, Judith (Cood.); São Paulo: Editora GZ, 2013, pgs. 8-11. 8 MARTINS-COSTA, Judith. A concha do marisco abandonado e o nomos; in Narração e Normatividade - Ensaios de Direito e Literatura, MARTINS-COSTA, Judith (Cood.); São Paulo: Editora GZ, 2013, pgs. 8-11. 9 GOLDIM, José Roberto Goldim. O consentimento informado numa perspectiva além da autonomia. Revista AMRIGS, Porto Alegre, 46(3,4): 109-116, jul.-dez. 2002. Também acessível aqui. 10 Código Civil Brasileiro, lei 10.406/2002; Capítulo IV - Dos Defeitos do Negócio Jurídico; artigos 138 ao 156 e Capitulo V - Da invalidade do Negócio Jurídico. 11 WOLPE, Paul Root.The triumph of autonomy in American Bioethics: a sociological view. In: Raymond De Vires, Janardan Subedi. Bioethics and Society: constructing the ethical enterprise. Englewood Cliffs: Prentice-Hall, 1998, p. 49. 12 GOLDIM, José Roberto Goldim. Consentimento, capacidade e alteridade. In: Giovana Benetti; André Rodrigues Corrêa; Márcia Santana Fernandes; Guilherme Monteiro Nitschke; Mariana Pargendler; Laura Beck Varela. (Org.). Direito, Cultura e Método - Leituras da obra de Judith Martins-Costa. 1ed.Rio de Janeiro: GZ Editora, 2019, v. 1, p. 169-181. 13 CEZAR, Denise Oliveira. Pesquisa com medicamentos - aspectos bioéticos. São Paulo: Editora Saraiva, 2012, p. 178 e seguintes. 14 MARTINS-COSTA, Judith. A Boa-fé no Direito Privado - critérios para sua aplicação. São Paulo: Editora Marciel Pons, 2015, §21, p. 228-237. 15 Organização Mundial da Saúde (OMS), 2016, Clinical trials, acessado em 30 setembro de 2016. 16 Organização Mundial da Saúde (OMS), 2016, Clinical trials, acessado em 30 setembro de 2016. 17 Organização Mundial da Saúde (OMS), 2016, Clinical trials, acessado em 30 setembro de 2016. 18 Regulada pela lei 11.794/2008. 19 Goldim JR.  A Avaliac¸ão E'tica da Investigação Científica de Novas Drogas: A Importância da Caracterização Adequada das Fases da Pesquisa.  Rev HCPA. 2007;27(1):66-73. 20 GOLDIM, J. R. O consentimento informado e a adequação de seu uso na pesquisa em seres humanos. Tese (Doutorado em Medicina) - Faculdade de Medicina, Universidade Federal do Rio Grande do Sul, Porto Alegre, 1999. p. 37. 21 DOYAL, L.; TOBIAS, J. S. Informed consent in medical research. London: BMJ Books, 2001. p. 15-19. 22 GOLDIM, J. R. O consentimento informado e a adequação de seu uso na pesquisa em seres humanos. Tese (Doutorado em Medicina) - Faculdade de Medicina, Universidade Federal do Rio Grande do Sul, Porto Alegre, 1999. p. 31. "Vale destacar que o Código de Nuremberg foi o primeiro documento com repercussão internacional que estabeleceu padrões éticos mínimos aceitáveis para a realização de projetos envolvendo seres humanos." 23 ESTADOS UNIDOS DA AMÉRICA. Trials of war criminal before the Nuremberg Military Tribunals (Nuremberg Code). Control Council Law, Washington, v. 10, p. 181-182, 1949. 24 GOLDIM, José R.. Declaração de Helsinki I. Bioética. Acessível aqui. 25 Good Clinical Practice (GCP) - ICH guideline E6 (R2). Draft ICH principle. 26 Guideline for good clinical practice E6(R2) Current Step 4 version, 09 Nov 2016. 27 BOAS PRÁTICAS CLÍNICAS: DOCUMENTOS DAS AMÉRICAS. IV Conferência pan-americana para harmonização da regulamentação farmacêutica. 2-4 de Março de 2005.  28 CRONGRESSO NACIONAL, Câmara de Deputados do Projeto de Lei 7082/2017 para regular a pesquisa com seres humanos. 29 GOLDIM, J. R. O consentimento informado numa perspectiva além da autonomia. Revista da Amrigs, Porto Alegre, v. 46, n. 3-4, p.109-116, jul./dez. 2002. p. 110. 30 ALVES, Rainer G. de Oliveira.; FERNANDES, Márcia S.; GOLDIM, José Roberto. Autonomia, autoderterminação e incapacidade civil: uma análise sob perspectiva da Bioética e dos Direitos Humanos. R. Dir. Gar. Fund., Vitória, v. 18, n. 3, p. 239-266, set./dez. 2017.  31 CEZAR, Denise Oliveira. Pesquisa com medicamentos - aspectos bioéticos. São Paulo: Editora Saraiva, 2012, p. 205. 32 CEZAR, Denise Oliveira. Pesquisa com medicamentos - aspectos bioéticos. São Paulo: Editora Saraiva, 2012, p. 199-231. 33 GOLDIM, J. R. O consentimento informado e a adequação de seu uso na pesquisa em seres humanos. Tese (Doutorado em Medicina) - Faculdade de Medicina, Universidade Federal do Rio Grande do Sul, Porto Alegre, 1999. p. 62. "A autonomia ocorre quando o indivíduo reconhece que as regras são mutuamente consentidas, as respeita e tem a noção de que podem ser alteradas." 34 CEZAR, Denise Oliveira. Pesquisa com medicamentos - aspectos bioéticos. São Paulo: Editora Saraiva, 2012, p. 178 e seguintes. 35 JONAS, H. Ética, medicina e ética. Lisboa: Vega-Passagens, 1994. p. 135. 36 O'NEILL, O. Autonomy and trust in bioethics. Cambridge: Cambridge University, 2002. 37 FERNANDES, Márcia Santana. Bioética, Medicina e Direito de Propriedade Intelectual - relação entre patentes e células-tronco humanas. São Paulo: Editora Forense, 2012. 38 LIMA, Cintia R. P. de. Políticas de proteção de dados e privacidade e o mito do consentimento. Migalhas, 15 de janeiro de 2021.  39 SARLET, Gabrielle B. S.; FERNANDES, Márcia S.; RUARO, Regina L.. A proteção de dados no setor da saúde em face do sistema normativo brasileiro atual in Tratado de Proteção de Dados Pessoais, Coord. Mendes, Laura; Doneda, Danilo; Sarlet, Ingo W. e Rodrigues Jr.; Otávio, Rio de Janeiro: Editora Forense, 2021. 40 BARRETO, Mauricio L.; ALMEIDA, Bethânia; DONEDA, Danilo. Uso e proteção de dados pessoais na pesquisa científica, in Tratado de Proteção de Dados Pessoais, Coord. Mendes, Laura; Doneda, Danilo; Sarlet, Ingo W. e Rodrigues Jr.; Otávio, Rio de Janeiro: Editora Forense, 2021. 41 SARLET, Gabrielle B. S.; RUARO, Regina L.. O direito fundamental à proteção de dados sensíveis no sistema normativo brasileiro: uma análise acerca das hipóteses de tratamento e da obrigatoriedade do consentimento livre, esclarecido e informado sob enfoque da Lei Geral de Proteção de Dados(LGPD), lei 13.709/2018. in Tratado de Proteção de Dados Pessoais, Coord. Mendes, Laura; Doneda, Danilo; Sarlet, Ingo W. e Rodrigues Jr.; Otávio, Rio de Janeiro: Editora Forense, 2021.

A previsão de julgamentos judiciais é um dos campos mais aclamados para a área de pesquisa e atuação que combina Inteligência Artificial e Direito. Por previsão legal, entendemos um sistema inteligente capaz de prever desfechos judiciais específicos. Veremos neste artigo que esta área de estudo já se encontra avançada em alguns países do hemisfério norte enquanto dá os primeiros passos aqui no Brasil. Será que num futuro próximo todo escritório de advocacia terá sua própria "bola de cristal"? Será que irão "jogar com as regras"? Play by the rules?  Vejamos como poderá ser esse jogo. Preliminares O exercício da previsão de julgamentos judiciais não é domínio apenas de advogados especialistas e de réus agoniados. Estranhamente, um dos textos clássicos mais referenciados sobre este tema é do professor emérito de Matemática da Universidade de Arkansas, EUA, Ernest Ray Keown [KEOWN, 1980]. Neste texto de 1980, Prof. Keown aborda modelos lineares clássicos que agrupam julgamentos semelhantes em grupos temáticos, o que chamamos vizinhos próximos. Um caso novo, ainda por julgar, seria avaliado quanto à maior proximidade de um destes grupos temáticos e, consequentemente, a previsão seria a mesma dos casos deste grupo particular, o mais semelhante ao caso novo. Considero este artigo emblemático pois, logo na seção introdutória, Prof. Keown comenta outro célebre artigo, este datado de 1976, do também Prof. Emérito, L. Thorne McCarty, da Rutgers State University, que, há 45 anos atrás, aplica teorias baseadas em Inteligência Artificial para desenvolver métodos lógicos para analisar e prever decisões judiciais [MCCARTY, 1976]. Atualmente a pesquisa e atuação da previsão de julgamentos judiciais é bem extensa e muito aplicada, principalmente nos países que adotam a Common Law. O grupo do Dr. Yao atualiza a definição deste tipo de previsão como a que visa determinar as decisões judiciais pela descrição do fato de uma ação penal. Yao vai além e enfatiza as várias sub tarefas da previsão de julgamentos, ou seja, previsão de desfecho, previsão de artigo de lei, previsão de carga e condições de previsão de penalidade [YAO et al., 2021]. Todos sabemos que o núcleo central da Common Law, o uso de precedentes, não é um princípio comum do Civil Law, nosso modelo, embora se considere que o uso de precedentes tenha sido muito recorrente, especialmente após a Constituição do Brasil de 1988 [Lexecology, 2018]. Como chegamos aqui? Uma questão oportuna aqui seria: Mas por que escolher a área de Direito como aplicação? Já não existem outras áreas do conhecimento as quais a coleta de dados é mais fácil de ser realizadas e os dados mais objetivos para serem interpretados? Direito lida com argumentos, códigos e interpretações. A Inteligência Artificial (IA) já compreende todas essas frentes? Vamos por partes. Um dos ramos da IA é conhecido como Processamento de Língua Natural (PLN). PNL compreende uma vasta área de técnicas computacionais embasadas em teorias matemáticas para a análise automática e representação da linguagem humana [CAMBRIA & WHITE, 2014]. Os assistentes de voz Siri, da Apple, Google Assistente e a Alexa, da Amazon, são bons exemplos de aplicações dos conhecimentos da área de PLN. Mas e os textos? Eles não são mais difíceis de serem processados do que, por exemplo, uma tabela de produtos e valores? Sim, uma tabela que relaciona produtos e valores pode servir, por exemplo, para um site que ajuda as pessoas em pesquisa de preços de produtos, enquanto que fazer uma máquina "ler" mapa meteorológico e "escrever uma previsão do clima", por exemplo, é muito mais complicado. (Nota: essa aplicação em meteorologia também já existe.). Vale lembrar que o Direito é baseado num sistema de regras que regulam o comportamento humano. É praxe no Direito a produção de documentos logicamente organizados, não apenas no sentido semântico, mas no sentido organizacional do documento. Existe um padrão esperado de escrita que induz a um raciocínio. Regras, lógica, organização sequencial, indução ao raciocínio: são todos elementos que um cientista da Computação, um programador ou um analista de sistema tem plena afinidade profissional. Direito e Computação são áreas muito próximas, acreditem. Assim, recolher os atributos textuais de documentos legais, muito embora seja uma tarefa complexa, gera bons resultados justamente por provocar uma certa indução ao conhecimento. Esses atributos textuais, as palavras, frases, menções a artigos e fatos, entre outros elementos, contribuem para a formação de um arcabouço semântico que é singularmente captado pela Computação. O que diferencia as metodologias atuais, com forte reforço da IA, das metodologias passadas é basicamente o fato que esses atributos textuais, quando recuperados dos textos e armazenados, eram colocados todos como se num "grande saco de atributos", ou seja, sem uma ordem lógica devida, sem uma precedência ou noção de causa e efeito. Bem parecido com o famoso dito popular, "todos juntos e misturados". Atualmente, com as novas metodologias e recursos da IA, especialmente das estratégias que usam técnicas de aprendizado profundo, esses atributos são recuperados e armazenados sequencialmente, ou seja, o texto é lido e "entendido" na ordem que foi escrito. Parece sim ser muito óbvia essa abordagem sequencial, mas na lógica computacional essas máquinas que processam e consideram instâncias sequenciais, ou seja, o que implica evento após evento, são inovações recentes na Computação. Um dos primeiros casos de previsão de julgamento que tive contato foi com o trabalho do Prof. Nikolaos Aletras, da Universidade de Shefield, na Inglaterra [ALETRAS et al., 2016]. Esse grupo usou um conjunto de dados de casos do Tribunal Europeu dos Direitos Humanos, contendo casos que violam três artigos da sua Convenção. Estes artigos são: Artigo 3: Proíbe a tortura e os tratamentos desumanos e degradantes; para os quais coletaram dados de 250 processos; Artigo 6: Protege o direito a um julgamento justo; com dados de 80 processos; e Artigo 8: Concede o direito ao respeito pela vida privada e familiar, de seu lar e de sua correspondência; para qual finalmente reuniram 254 processos para este caso. Todos esses processos serviram como bases de aprendizado sobre ao qual testaram suas hipóteses de julgamento. Eles usaram um algoritmo de IA bastante conhecido, as Support Vector Machines, SVM, e obtiveram 78% na previsão de julgamento para o Artigo 3, 84% na previsão para o Artigo 6 e, novamente, 78% na previsão o Artigo 8. De maneira semelhante, a equipe do Dr. Josh Blackman, do South Texas College of Law Houston, usou a base de dados da Suprema Corte norte-americana para prever mais de 240 mil votos dos ministros e 28.000 desfechos durante quase dois séculos de operação desta corte (1816-2015) [KATZ et al., 2017]. Em todos os casos, eles obtiveram acurácia superior a 70% de acerto. A priori, esses números podem parecer tímidos, no entanto, vale refletir sobre quais seriam os eventuais resultados de um segundo julgamento por outros juízes humanos. Novidades brasileiras Tive o privilégio de orientar o acadêmico, cientista da computação, Vithor Gomes Ferreira Bertalan, atualmente buscando seu doutorado em Engenharia da Computação na Polytechnique Montréal, Canadá, no seu trabalho de mestrado entitulado "Using natural language processing methods to predict judicial outcomes". Para esse trabalho de previsão de julgamento, nosso mestre coletou dados do eSAJ, ou seja, do TJ/SP, Tribunal de Justiça de São Paulo, sobre os temas "homicídio simples", e "corrupção ativa". Formamos um banco de dados balanceado de processos eletrônicos, ou seja, com números equivalentes de condenações e absolvições, com 1.681 casos de homicídio e 786 de corrupção ativa. Fizemos um árduo trabalho de pré-processamento dos textos, por exemplo, eliminando algumas palavras tais como artigos e preposições e, na sequência, aplicamos técnicas variadas de Aprendizado de Máquina, ou seja, uma forma de IA. Foram essas: Regressão Logística, Análise de Discriminantes, Vizinhos comuns (lembram do artigo do Prof. Keown que também usou esta técnica), árvores de regressão, método ingênuo de Bayes e as SVM, ou seja, a mesma técnica do Prof. Aletras, já mencionado acima. Essa última técnica, em geral, produziu os melhores resultados nos dois grupos, todos superiores a 95% de acurácia [BERTALAN e RUIZ, 2020]. Os números falam por si só. A previsão de julgamentos está chegando. ASHLEY e BRÜNINGHAUS lá nos idos de 2009 já haviam previsto as duas áreas de maior impacto na confluência da Computação com o Direito, que são a classificação automática de processos e a previsão de julgamentos. De certa forma, a nossa suprema corte já validou a primeira área quando instituiu o Projeto Victor [PEIXOTO, 2020], um sistema de inteligência artificial para aplicação nos fluxos de análise de repercussão geral no Supremo Tribunal Federal. Só resta agora esperar pela próxima fase. E o futuro? A quem pertence as decisões: aos humanos ou às IAs? Nem tudo são flores. Harry Surden, num artigo de 2014 [SURDEN, 2014], já coloca algumas barreiras para a expansão das aplicações de PLN, IA e Direito. Relativamente às questões técnicas, existem algumas limitações bem conhecidas para a aplicação da IA no Direito. A primeira é que um modelo só será útil na medida em que a classe de casos futuros possua características pertinentes e comuns com os tópicos previamente analisados no conjunto de treinamento. Portanto, o modelo não contemplará mudanças sutis no pensamento judicial ao longo do tempo, apenas se essas mudanças surgirem para representar um tamanho considerável dos dados de treinamento. Outra questão é que nem todo escritório de advocacia terá um fluxo de casos suficientemente semelhantes entre si, de modo que o caso anterior tenha elementos úteis para prever resultados futuros. Assim, pode-se inferir que apenas os maiores escritórios de advocacia terão os ativos financeiros e tecnológicos necessários para desenvolver tais modelos. Quanto às questões sociais, outro possível problema, já conhecido da teoria da IA, é uma supergeneralização, também conhecida na área técnica como overfitting. O modelo é intrinsecamente baseado nos casos previstos para o conjunto de treinamento. Assim, se o conjunto de treinamento contiver casos tão afinados com as idiossincrasias de algumas questões judiciais, não poderá ter a adaptabilidade necessária a casos de diferentes naturezas judiciais. Por esse motivo, os dados de casos anteriores, nos quais um algoritmo de aprendizado de máquina é treinado, podem ser sistematicamente tendenciosos para levar a resultados imprecisos em futuros processos judiciais. Neste mundo novo, uma predição é certa: essas pesquisas por melhores métodos de previsão continuarão, as máquinas de IA ficarão mais "inteligentes" e poderosas do que são hoje, a qualidade dos atributos que conseguiremos recuperar dos textos será incrementada e esses métodos de previsão trarão resultados cada vez mais próximos dos resultados humanos. Certamente esse futuro será desafiador, tanto para o Direito quanto para a Computação, não espere para ver. Participe! Referências bibliográficas KEOWN, R. Mathematical models for legal prediction. Computer / Law Journal, v. 2, p. 829, 1980. MCCARTY, L. Thorne. Reflections on TAXMAN: An experiment in artificial intelligence and legal reasoning. Harv. L. Rev., v. 90, p. 837, 1976. YAO, Fanglong et al. Commonalities-, specificities-, and dependencies-enhanced multi-task learning network for judicial decision prediction. Neurocomputing, v. 433, p. 169-180, 2021. CAMBRIA, Erik; WHITE, Bebo. Jumping NLP curves: A review of natural language processing research. IEEE Computational intelligence magazine, v. 9, n. 2, p. 48-57, 2014. Lexecology. Disponível aqui. Último acesso em 20 de setembro de 2021. SURDEN, Harry. Machine learning and law. Wash. L. Rev., v. 89, p. 87, 2014. ALETRAS, Nikolaos et al. Predicting judicial decisions of the European Court of Human Rights: A natural language processing perspective. PeerJ Computer Science, v. 2, p. e93, 2016. KATZ, Daniel Martin; BOMMARITO, Michael J.; BLACKMAN, Josh. A general approach for predicting the behavior of the Supreme Court of the United States. PloS one, v. 12, n. 4, p. e0174698, 2017. BERTALAN, Vithor Gomes Ferreira. Using natural language processing methods to predict judicial outcomes. 2020. Dissertação (Mestrado em Computação Aplicada) - Faculdade de Filosofia, Ciências e Letras de Ribeirão Preto, Universidade de São Paulo, Ribeirão Preto, 2020. doi:10.11606/D.59.2020.tde-04012021-232455. Acesso em: 20 de setembro de 2021. BERTALAN, Vithor Gomes Ferreira; RUIZ, Evandro Eduardo Seron. Predicting Judicial Outcomes in the Brazilian Legal System Using Textual Features. In: DHandNLP@ PROPOR. 2020. p. 22-32. ASHLEY, Kevin D.; BRÜNINGHAUS, Stefanie. Automatically classifying case texts and predicting outcomes. Artificial Intelligence and Law, v. 17, n. 2, p. 125-165, 2009. PEIXOTO, Fabiano Hartman. Projeto Victor: relato do desenvolvimento da Inteligência Artificial na Repercussão Geral do Supremo Tribunal Federal. Revista Brasileira de Inteligência Artificial e Direito. v. 1 n. 1, 2020. *Evandro Eduardo Seron Ruiz é professor Associado do Departamento de Computação e Matemática, FFCLRP - USP, onde é docente em dedicação exclusiva. Atua também como orientador no Programa de Pós-graduação em Computação Aplicada do DCM-USP. Bacharel em Ciências de Computação pela USP, mestre pela Faculdade de Engenharia Elétrica da UNICAMP, Ph.D. em Electronic Engineering pela University of Kent at Canterbury, Grã-Bretanha, professor Livre-docente pela USP com estágios sabáticos na Columbia University, NYC e no Instituto de Estudos Avançados da USP (IEA-USP). Coordenador do Grupo de Pesquisa "Tech Law" do IEA-USP. Membro fundador do Instituto Avançado de Proteção de Dados - IAPD. (www.iapd.org.br).

A Lei Geral de Proteção de Dados Pessoais (lei 13.709/18) admite em seu artigo 14 (seção III, do Capítulo II) as crianças e adolescentes como titulares de dados pessoais. Ainda que assim não o fizesse, as garantias de direitos a crianças e adolescentes são uma derivação direta do seu reconhecimento constitucional como pessoa em condição de vulnerabilidade e em desenvolvimento. Significa dizer que as crianças e adolescentes devem ter resguardados e promovidos, em caráter prioritário, os direitos fundamentais e as garantias que são previstas não só no artigo 5º, como também no art. 227 e seguintes, da Constituição Federal. O caput do artigo 14 reitera esse entendimento ao reconhecer que o tratamento de dados pessoais de crianças e de adolescentes deverá ser realizado sempre em seu melhor interesse. Apesar de indicar no caput o adolescente como titular de dados pessoais, o conjunto de parágrafos do artigo 14 não deixa dúvidas acerca do seu alcance limitado a crianças, na medida em que em nenhuma outra oportunidade faz menção ao termo adolescente . A restrição é estabelecida logo no parágrafo 1º com a dicção literal: "o tratamento de dados pessoais de crianças deverá ser realizado (...)", para então, nos parágrafos subsequentes, fazer referência sempre aos termos do que está disposto neste parágrafo inicial. Significa dizer que os adolescentes terão tutelados os seus dados pessoais sempre à luz do princípio do melhor interesse, mas as regras específicas previstas no artigo 14 e seus parágrafos só serão aplicadas às situações de tratamento de dados de crianças. No que tange às crianças, além da obtenção do consentimento específico e em destaque (artigo 14, § 1º), outras obrigações são impostas aos controladores. De acordo com o parágrafo 2º, o controlador tem o dever de publicidade em relação aos tipos de dados coletados, forma de uso, bem como dos procedimentos para o exercício dos direitos dos titulares, na forma do artigo 18, LGPD. Tal imposição, de certo modo, reforça o princípio da transparência (artigo 6º, VI), que garante aos titulares informações claras e de fácil obtenção sobre as operações de tratamento e seus agentes. No mesmo sentido, o artigo 9º faculta ao titular acesso facilitado sobre seus dados pessoais. A diferença entre o mandamento de publicidade contido no parágrafo 2º do artigo 14, e da garantia de acesso do artigo 9º, LGPD, parece estar na disposição a priori e generalizada sobre o tratamento de dados de crianças, em contraposição à necessidade de solicitação individual e específica em se tratando de dados de adultos (e adolescentes). Em seguida, o parágrafo 3º do artigo 14 apresenta duas exceções à exigência do consentimento dos pais ou representantes para a coleta de dados de crianças, quais sejam, a necessidade de que esse tratamento seja realizado com o objetivo de contactar os seus responsáveis, ou para a sua imediata proteção. Importa ressaltar que a exceção à obrigatoriedade do consentimento diz respeito à atividade de tratamento específica da coleta, não alcançando as outras formas de tratamento descritas no artigo 5º, X, da LGPD, a exemplo de classificação, reprodução e distribuição. Inclusive o texto legal veda o armazenamento e compartilhamento dessa informação. Destaca-se a imprecisão do termo "proteção" para embasar a exceção ao consentimento. Andaria melhor uma conceituação mais específica, pois "proteção da criança" pode significar sua defesa, segurança, acolhimento, cuidado, amparo, ajuda, entre outros sentidos. De modo a reforçar a proteção de crianças em atividades de entretenimento na internet, o parágrafo 4º impõe que o controlador não exija o fornecimento de informações do titular além do estritamente necessário. O objetivo é evitar que se estabeleçam políticas conhecidas por "tudo ou nada", que obrigam o usuário a concordar com todas as disposições sob pena de não acessar o serviço1. No entanto, não é evidente a quais informações o legislador se refere quando determina que o controlador se restrinja às "estritamente necessárias à atividade". Cabe ressaltar que a depender do tipo de conteúdo oferecido existirá uma ampla variedade nesta esfera, a exemplo de dados de localização e acesso à câmera dos dispositivos para jogos envolvendo realidade aumentada.2 A categoria de brinquedos conectados à internet também é fonte de preocupação quanto ao volume de informações havendo o risco de se transformar em um espião dentro do quarto da criança, enviando seus dados sem o consentimento dos pais3. Além disso, caberá ao controlador os esforços para garantir que o consentimento foi de fato dado pelo responsável da criança (§ 5º) . Trata-se de uma obrigação a ser cumprida pelo agente de tratamento levando em consideração o estágio tecnológico atual. O desafio que se impõe é a garantia do envolvimento do responsável. A agência norte-americana Federal Trade Comission (FTC) traz algumas sugestões para as organizações que precisam atender a  mandamento semelhante presente no Children's Online Privacy Protection (COPPA). Para o acesso a atividades que demandam transações monetárias, a etapa da verificação parental parece se resolver mais facilmente com o uso do cartão de crédito e o sistema de notificação por compras realizadas4. A comprovação de identidade representa um desafio aos agentes de tratamento não só no âmbito do processamento de dados de crianças, mas também nas situações relacionadas ao exercício dos direitos dos titulares na forma do artigo 18. Importante ressaltar que além das duas exceções ao consentimento parental já mencionadas no § 3º (artigo 14), existem outras hipóteses que podem legitimar operações com dados de crianças. Os artigos 7º e 11, da LGPD, indicam as bases legais que autorizam o tratamento de dados pessoais e de dados pessoais sensíveis, respectivamente. No entanto, ao trazer regras específicas para o tratamento de dados pessoais de crianças e adolescentes em sessão própria (III) do capítulo II, é preciso identificar se e quais hipóteses gerais (artigos 7º e 11) se aplicam a menores. Entende-se que as bases legais constituem um rol taxativo que deve ser observado pelos controladores ao indicarem a fundamentação para o tratamento de dados pessoais. Se, dentre as bases legais previstas, não houver hipótese para o enquadramento do tratamento, restará ao controlador dois requisitos sobre os quais constituir a sua fundamentação: o consentimento do titular ou o legítimo interesse do controlador. Estas seriam bases legais residuais5. Portanto, a dinâmica no que se refere às crianças indica que o consentimento na forma como é estabelecido no artigo 14, § 1º será o requisito legal mandatório quando outras hipóteses relacionadas tanto no artigo 7º, quanto no artigo 11, não se constituírem como enquadramento adequado, ressalvado o legítimo interesse do controlador. É o caso da hipótese de cumprimento de obrigação legal ou regulatória pelo controlador (Art. 7º, II) quando, por exemplo, a instituição de ensino infantil público ou particular deve enviar dados dos alunos para o MEC para fins relacionados ao Censo Escolar. Da mesma forma, ainda em ambiente escolar, pode se fazer necessário o compartilhamento de dados da criança com determinado serviço de saúde para seu atendimento em situação de emergência. Neste caso, a legitimidade do tratamento é extraída do artigo 11, II, f: tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Há que se considerar também a hipótese de tratamento de dados de crianças pela Administração Pública para o desenvolvimento de políticas públicas em âmbito educacional ou de saúde, na forma dos artigos 7º, III e 11, II, b.  Adicionalmente pode-se entender que a base legal veiculada no artigo 7º, X, proteção do crédito, é autorizativa para a investigação de fraudes envolvendo dados de crianças (fraude contra credores ou fraude à legítima, por exemplo). A intenção aqui não é exaurir as possibilidades de tratamento de dados infantis fora da regra do artigo 14, § 1º, qual seja: consentimento de um dos pais ou responsável legal da criança, mas tão simplesmente fazer a leitura integrada com as demais hipóteses legais da LGPD. Contudo, em homenagem à posição de vulnerabilidade própria da criança deveriam as bases legais dos artigos 7º e 11 serem submetidas, a priori, ao princípio do melhor interesse? Se sim, podemos assumir que estamos diante de uma cláusula geral de força significativa, a ponto de dificultar ou mesmo impedir a aplicação dos artigos 7 º e 11? De todas as hipóteses dos artigos em referência (7 º e 11), o interesse legítimo do controlador ou de terceiro é a que mais desafia à reflexão. A primeira conclusão é a de que se o tratamento de dados pessoais precisa ser realizado nos termos do melhor interesse naquilo que lhe é especial, e com camada extra de proteção conforme o artigo 14, também o deverá ser naquilo que lhe é geral (artigos 7o e 11). Entretanto, em situação peculiar se encontra o interesse legítimo do controlador ou de terceiro (artigo 7o, IX). Neste caso, entendemos pela incompatibilidade desta base legal aplicada ao tratamento de dados de crianças e adolescentes por um motivo principal: a cláusula geral do melhor interesse se impõe como filtro antecedente tornando prejudicada a possibilidade de qualquer outro interesse prevalecer além daquele (criança ou adolescente). Nesse sentido é como entende Roberta Mauro Medina Maia para quem "(...) como se sabe, em muitos casos, a cláusula geral de legítimo interesse do controlador será utilizada justamente para que os interesses deste na coleta e no tratamento dos dados pessoais possam se sobrepor aos interesses do titular, quando eventualmente contrapostos".6 Outro motivo para apontarmos a incompatibilidade entre a aplicação do legítimo interesse e o tratamento de dados de crianças e adolescentes é o fato de estamos diante de uma base legal que é em si mesma uma cláusula geral. Assim sendo, a flexibilidade garantida à sua aplicação, ainda que limitada pela análise do caso concreto e atrelada ao princípio da finalidade, não se coaduna com o maior rigor exigido ao tratamento de dados de crianças e adolescentes. Por esse ângulo, avocando de maneira preliminar o princípio do melhor interesse, somado às características intrínsecas de flexibilidade e abertura próprias da base legal do legítimo interesse, entendemos pela impossibilidade de sua aplicação no que diz respeito ao tratamento de dados de crianças e adolescentes. Em conclusão, percebe-se que o sentido da norma do artigo 14, in totum, da LGPD, é resguardar os interesses das crianças, na medida em que consideradas sem o necessário discernimento para manifestar o consentimento para o tratamento de seus dados. E que aos adolescentes, incluídos na redação do artigo, deve ser garantida a sua plena manifestação por meio do consentimento, mas que este deverá ser sempre limitado ou filtrado pelo princípio da prioridade absoluta e do melhor interesse que guiam toda relação jurídica que tenham as crianças e os adolescentes como seus sujeitos.  Mariana Palmeira é Advogada. Professora da PUC-Rio. Pesquisadora do Legalite (Núcleo  de Pesquisa em Direito e Tecnologia). Doutoranda em Teoria do Estado e Direito Constitucional pela PUC-Rio.  Caitlin Mulholland é Professora da PUC-Rio. Coordenadora do Legalite (Núcleo  de Pesquisa em Direito e Tecnologia). Doutora em Direito Civil pela UERJ. __________ 1 TEFFÉ, Chiara Spadaccini de. Tratamento de dados pessoais de crianças e adolescentes: considerações sobre o artigo 14 da LGPD. In: Mulholland, Caitlin (Org.). A LGPD e o novo marco normativo no Brasil. Porto Alegre: Arquipélago, 2020. p. 171. 2 Um exemplo típico é o Pokemon GO, disponível para Android e IOS, voltado para pessoas a partir de 9 anos, conforme informação do desenvolvedor (Niantic). O jogo é uma combinação de realidade aumentada com múltiplos participantes no ambiente online (MMO). 3 LEAL, Livia Teixeira. Internet of toys: os brinquedos conectados à internet e o direito da criança e do adolescente. Revista Brasileira de Direito Civil - RBDCIVIL | Belo Horizonte, vol. 12, p. 175-187, abr./jun. 2017. 4 No entanto, para todas as demais atividades que não envolvem pagamento e que são destinadas a crianças, a verificação proposta pelo FTC conforme mencionada anteriormente, parece se mostrar distante da realidade. Como exemplo a FTC lista as seguintes sugestões: consentimento por escrito enviado ao controlador por meio de carta, fax, ou e-mail; consentimento por voz através de um número gratuito; vídeo-chamada; submissão da carteira de motorista do responsável seguida pelo envio de uma foto e do subsequente recurso de reconhecimento facial para confirmação da identidade. 5 Nesse sentido, "há também menção na LGPD a hipóteses de tratamento de dados de menores sem necessidade de consentimento. Como afirmado na primeira parte do texto, o consentimento é uma das bases legais para o tratamento de dados, mas não a única. No caso em tela, que envolve menores de idade, não foi estabelecida norma com rol específico para o tratamento de dados desses sujeitos, devendo ser aplicadas como regra, as disposições dos artigos 7o  e 11". TEPEDINO, Gustavo; TEFFÉ, Chiara Spadaccini de. Consentimento e proteção de dados pessoais na LGPD. In: TEPEDINO, Gustavo; FRAZÃO, Ana; OLIVA, Milena Donato (org.). Lei Geral de Proteção de Dados Pessoais e suas repercussões no Direito Brasileiro. 2. ed. São Paulo: Thomson Reuters Brasil, 2020. Cap. 10. p. 282-318. 6 MAIA, Roberta Mauro Medina. O legítimo interesse do controlador e o término do tratamento de dados pessoais. In: Mulholland, Caitlin (Org.). A LGPD e o novo marco normativo no Brasil. Porto Alegre: Arquipélago, 2020. p. 104.

A grande repercussão de recentes crimes cibernéticos - usualmente do tipo ramsonware - tem atraído os olhares da população para a quantidade de dados que circula pela Rede Mundial de Computadores e para os riscos envolvidos nas atividades de tratamento. Além disso, falhas de segurança, muitas delas evitáveis e previsíveis, expõem vulnerabilidades técnicas que acirram irregularidades, evidenciando práticas que não atendem aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais da proteção de dados pessoais, propiciando maior recorrência de danos. Situações assim são noticiadas pela mídia sob a alcunha de "vazamentos"1, embora este termo não corresponda a um conceito técnico. Aliás, a despeito de a Lei Geral de Proteção de Dados Pessoais (lei 13.709/2018, ou apenas LGPD) apresentar um rol de conceitos bastante elucidativo (art. 5º), não há qualquer descrição sobre o que sejam "vazamentos" ou, em termos mais apropriados, "incidentes de segurança". Trata-se de uma omissão da lei brasileira, que, nesse aspecto, deixou de se inspirar no Regulamento UE 2016/679 (Regulamento Geral sobre a Proteção de Dados, ou RGPD) europeu, que prevê, textualmente, o conceito de "violação de dados pessoais". Tal definição consta do artigo 4º, item 12, do RGPD: "uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento".2 Na LGPD, uma leitura atenta do texto permitirá concluir que a palavra "vazamento" aparece uma única vez, no §7º do artigo 52, que é fruto da reforma empreendida pela Medida Provisória nº 869, de 27 de dezembro de 2018, posteriormente convertida na Lei nº 13.853, de 8 de julho de 2019. Não havia qualquer menção a tal palavra no texto originalmente promulgado. Aliás, no referido dispositivo, são citados os "vazamentos individuais" e os "acessos não autorizados", com expressa remissão ao artigo 46, que inaugura o capítulo da lei dedicado à segurança e às boas práticas. Consta do artigo 46, caput, da LGPD que "os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito." Se comparado ao artigo 4º, item 12, do RGPD, algumas semelhanças serão prontamente percebidas, embora não haja um conceito assertivo no dispositivo da lei brasileira. No caput do artigo 48, evidências mais concretas do escopo protetivo da LGPD podem ser inferidas da expressão "incidente de segurança". Não há, entretanto, absoluta clareza conceitual sobre a expressão, uma vez que o dispositivo cuida de estabelecer o dever do controlador de comunicar à Autoridade Nacional de Proteção de Dados - ANPD e ao titular a ocorrência do sobredito incidente. Uma tentativa elogiável de colmatação do abstruso conceito é fruto do labor da ANPD, que editou um guia procedimental para a comunicação de incidentes de segurança, disponibilizado em seu sítio virtual, donde consta que "um incidente de segurança com dados pessoais é qualquer evento adverso confirmado, relacionado à violação na segurança de dados pessoais, tais como acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, vazamento ou ainda, qualquer forma de tratamento de dados inadequada ou ilícita, os quais possam ocasionar risco para os direitos e liberdades do titular dos dados pessoais."3 O conceito de "incidente de segurança" proposto pela ANPD é mais detalhado do que o de "violação de dados pessoais" do regulamento europeu. Fala-se até mesmo no famigerado "vazamento", considerado espécie de incidente de segurança, assim como a perda, a alteração ou quaisquer outras formas de tratamento inadequado ou ilícito. O rol é evidentemente exemplificativo, haja vista o emprego da locução "tais como". Logo, ao menos pelo glossário que rege a interpretação feita pela autoridade brasileira, quando se fala que houve um "vazamento de dados", o que se considera é uma modalidade específica de incidente de segurança, embora não se tenha explicações mais detalhadas sobre o que o configura. Sequer a tradução da língua inglesa oferece uma explicação definitiva para o termo "vazamento", pois é usual a utilização da expressão personal data breach para se referir a tais eventos.4 A palavra breach é melhor traduzida como "violação", que é exatamente o vocábulo adotado nas versões oficiais do regulamento europeu para países de línguas românicas (derivadas do latim), a saber: Portugal, Espanha, França, Itália e Romênia.5 A palavra inglesa leak estaria melhor associada ao termo "vazamento" e a problemas de quebra da confidencialidade.6 Talvez haja alguma correlação da popularização do termo leak com a proeminência midiática das ações adotadas pelo sítio eletrônico "WikiLeaks", criado por Julian Assange e que está em operação desde 2006. No referido portal, documentos sensíveis e usualmente obtidos de forma ilícita são expostos ao público em ações de hacktivismo.7 É curioso imaginar que alguma espécie de associação do termo "vazamento" à frase "dados são o novo petróleo" ("data is the new oil"), cunhada pelo matemático Clive Humby, possa fazer algum sentido. Sabe-se que tal afirmação é uma alogia, uma vez que a informação que circula pela internet não é caracterizada pela finitude, como o é o petróleo. De qualquer forma, espera-se que a elucidação seja concretizada em ato normativo infralegal, editado pela autoridade brasileira em cumprimento à competência que lhe é imposta pela lei (art. 55-J, XIII, da LGPD). De todo modo, a falta de um conceito expresso não deve conduzir à equivocada interpretação de que certas falhas estejam fora do contexto almejado pelo legislador para a consolidação da proteção de dados pessoais no Brasil. É sempre prudente lembrar que, como prevê o artigo 49 da LGPD, "os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos nesta Lei e às demais normas regulamentares." Portanto, uma leitura transversal da LGPD, corroborada por sua estrutura principiológica e por regulamentos, como os que venham a ser editados pela ANPD, permite concluir que os agentes de tratamento estão, de fato, vinculados à observância de parâmetros de prevenção contra quaisquer eventos adversos confirmados e que representem 'resultados e riscos' indesejados, a configurar espécie de tratamento irregular. Isso consta, inclusive, do artigo 44, inciso II, da LGPD, o que realça a constatação de que não há, na lei, um regime subjetivo de responsabilidade civil. Bem ao contrário, entendemos tratar-se de modalidade de responsabilidade civil objetiva especial, tal como explicado em publicação realizada em coautoria com Rafael de Freitas Valle Dresch8, que já foi corroborada, nesta coluna, em diversas publicações anteriores.9 O princípio da prevenção (art. 6º, VIII) é norma de grande importância para a estruturação dessa conclusão, pois é tal postulado que reverbera seus efeitos quanto à natureza cogente da lei - extraída da utilização do verbo 'dever' (no plural, 'devem') no caput do artigo 46 - quanto à adoção de "medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais", o que é reforçado pelas circunstâncias descritas no rol de incisos do artigo 44. Em sintonia com o pensamento de Bart van der Sloot, que reconhece a 'privacidade como virtude'10, agrega-se aos citados argumentos a indução à conformidade, mediante a regulação da gestão de riscos a partir de uma noção de reciprocidade, que congrega todos os agentes envolvidos nas atividades de tratamento, em atuação cooperativa e motivada pelo rol de princípios da lei, com destaque à boa-fé (art. 6º, caput) e à transparência (art. 6º, VI), para a garantia de adequada ciência quanto ao tratamento realizado e às adversidades concernentes aos incidentes de segurança (art. 9º e art. 48, §1º). Logo, sejam os "vazamentos" considerados espécie do gênero "incidente de segurança" - como sugere a ANPD - ou uma categoria sui generis de ilícito relativo a dados pessoais, fato é que sua ocorrência será determinada pela concretude danosa de natureza patrimonial, moral, individual ou coletiva (art. 42), catalisada pela irregularidade da atividade de tratamento, cuja aferição não deverá se pautar por qualquer espécie de culpa, mas pela identificação casuística das situações acidentais ou ilícitas (art. 46) que permitam concluir, a partir de circunstâncias objetivas (art. 44, I a III), que o tratamento realizado, em qualquer de suas etapas, até mesmo após o término (art. 47), não oferece a segurança esperada pelo titular (arts. 44, caput, e 49), e desde que o nexo causal não seja excepcionalmente afastado (art. 43).  *José Luiz de Moura Faleiros Júnior é doutorando em Direito pela USP e pela UFMG. Mestre e bacharel em Direito pela Faculdade de Direito da UFU. Especialista em Direito Processual Civil, Direito Civil e Empresarial, Direito Digital e Compliance. Membro do Instituto Avançado de Proteção de Dados - IAPD e do Instituto Brasileiro de Estudos de Responsabilidade Civil - IBERC. Advogado e professor. __________ 1 Eventos de grandes proporções também já foram noticiados como "megavazamentos". Exemplo recente foi o que envolveu a exposição ilícita dos números de CPF de 223 milhões de brasileiros, quantidade superior à da população do Brasil, atualmente estimada em cerca de 212 milhões. 2 Disponível aqui. Acesso em: 7 set. 2021. 3 AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Comunicação de incidentes de segurança, 22 fev. 2021. Disponível aqui. Acesso em: 7 set. 2021. 4 DAVIDOFF, Sherri. Data breaches: crisis and opportunity. Boston: Addison-Wesley, 2020. p. 4-13. 5 Como foi dito, na versão oficial do RGPD, em Língua Portuguesa, fala-se em "violação de dados pessoais". Por sua vez, os demais países citados adotam as seguintes traduções: "violación de la seguridad de los datos personales" (espanhol), "violation de données à caractère personnel" (francês), "violazione dei dati personali" (italiano), "încalcarea securita?ii datelor cu caracter personal" (romeno). As traduções podem ser consultadas aqui. 6 TAMÒ-LARRIEUX, Aurelia. Designing for privacy and its legal framework: data protection by design and default for the Internet of Things. Cham/Basileia: Springer, 2018. p. 104. A autora anota: "In the early stages of this research, the term "privacy" referred to problems relating to the confidentiality of data, with the main issue being the leakage of data to unauthorized parties." 7 Para melhor compreender o tema, consultar, por todos, GREENBERG, Andy. This machine kills secrets: how WikiLeakers, cypherpunks, and hacktivists aim to free the world's information. Nova York: Dutton, 2012. 8 DRESCH, Rafael de Freitas Valle; FALEIROS JÚNIOR, José Luiz de Moura. Reflexões sobre a responsabilidade civil na Lei Geral de Proteção de Dados (Lei 13.709/2018). In: ROSENVALD, Nelson; DRESCH, Rafael de Freitas Valle; WESENDONCK, Tula (Coord.). Responsabilidade civil: novos riscos. Indaiatuba: Foco, 2019. p. 65-90. 9 Conferir, sobre o tema, a coluna de 2 de julho de 2020, com o título "A especial responsabilidade civil na Lei Geral de Proteção de Dados", escrita por Rafael de Freitas Valle Dresch (em: https://s.migalhas.com.br/S/D21584); a de 27 de novembro de 2020, intitulada "Direito fundamental à proteção de dados e responsabilidade civil", escrita pelo mesmo autor, mas em coautoria com Lílian Brandt Stein (aqui); e, ainda, a coluna de 19 de março de 2021, "O compliance e a redução equitativa da indenização na LGPD", assinada por Nelson Rosenvald (aqui).   10 VAN DER SLOOT, Bart. Privacy as virtue: moving beyond the individual in the Age of Big Data. Cambridge: Intersentia, 2017. p. 169.

Em um mundo totalmente conectado, onde dados pessoais estão sendo capturados, compartilhados, armazenados a todo momento, como podemos exercer o livre desenvolvimento da personalidade se em todo site temos nosso "eu" digital montado através desses dados? O que se entende como sociedade da informação adquiriu importância em escala mundial, fundamentado na crença de que sua consolidação favoreça a integração global nos diferentes aspectos da vida humana.1 Tornando assim, como grande dilema, o fato de registros do passado, que com a tecnologia atual capaz de dados serem armazenados eternamente, podem gerar consequências posteriormente a data em que o evento foi esquecido pela mente humana. E esse dilema é agravado pela circunstância de que os usuários da internet, cujos passos são sempre reconstruídos pelas técnicas de rastreamento são frequentemente privados da escolha quanto a técnica de obtenção de dados e quando essas informações que são recolhidas ao seu respeito.2 Stefano Rodotà afirma que muitas vezes foi dito que a tecnologia põe cada um de nós na condição de encontrar um lugar virtual no qual satisfazer nossos próprios interesses. Mas esse processo de seleção dos interesses levaria a uma maior fragmentação social, e não há fortalecimento do sentido de comunidade. Os dados disponíveis, de qualquer forma, mostram com clareza que as comunidades virtuais já oferecem também a possibilidade de estabelecer ligações sociais particularmente intensas, ou se apresenta até mesmo como único modo de se fazer parte de uma formação social para aqueles do jeito que, de outra forma, estaria condenado ao isolamento.3 Se Rodotà afirma que no ambiente virtual procuramos nossos próprios interesses, Eli Pariser coloca o contrário. Para Pariser, o futuro da personalização, e da própria computação, é uma estranha bagunça do que é real e do que é virtual. O futuro em todos os espaços, seja ele real ou virtual, possui o que os pesquisadores chamam de "inteligência ambiental". É um futuro no qual o ambiente se modifica para se adequar às nossas preferências e até ao nosso humor. E é um futuro no qual os publicitários vão desenvolver maneiras cada vez mais poderosas de distorcer a realidade para conseguir que seus produtos sejam vistos.4 E se a técnica do perfilamento digital, ou em inglês profiling, nos alcança em todas as plataformas, sites e dispositivos, tudo isso significa que nosso comportamento se transformou em uma mercadoria, um pedaço pequenino de um mercado que serve como plataforma para a personalização de toda a internet. Em última análise, a bolha dos filtros pode afetar nossa capacidade de decidir como queremos viver. Para sermos os autores da nossa própria vida temos que estar cientes da variada gama de opções e estilos de vida disponíveis.5 Quando entramos numa bolha de filtros, permitimos que as empresas que a desenvolveram escolham as opções das quais estaremos cientes. Talvez pensemos ser os donos do nosso próprio destino, mas a personalização pode nos levar a uma espécie de determinismo informativo, no qual aquilo em que clicamos no passado determina o que veremos a seguir - uma história virtual que estamos fadados a repetir. E com isso ficamos presos numa versão estática, cada vez mais estreita de quem somos - uma repetição infindável de nós mesmos.6 Mas realmente permitimos que isso tudo aconteça? Ou somos apenas obrigados a selecionar "Concordo com os Termos de Uso"? Para Mafalda Miranda Barbosa ao colocar o consentimento em pé de igualdade com outros fundamentos da licitude da recolha e tratamento de dados, a autonomia de que se cura não poderá ser vista como o objeto da tutela, mas como um pilar fundamental para o exercício de outro bem jurídico que se protege a este nível.7 O consentimento, que corporiza a autonomia, surge, a este nível, como uma forma de afastar a ilicitude de um atentado não contra a própria autonomia que se exerce, mas contra um outro bem jurídico.8 Em regra geral, o que a Lei Geral de Proteção de Dados (LGPD), no Brasil, e o Regulamento Geral de Proteção de Dados (RGPD), na União Europeia, preveem é que se o titular dos dados não puder exercer uma verdadeira escolha, se sentir coagido a dar o consentimento ou sofrer consequências negativas caso não consinta, então o consentimento não é válido, ou seja, a expressão "livre", prevista em ambas as leis, implica uma verdadeira escolha e controle para os titulares dos dados.9 Mas se não somos livres para concordar ou não com os termos, isso fere o que chamamos de autodeterminação informacional. E esse deve ser sempre a pedra angular sobre a qual se estrutura o tratamento dos dados pessoais. Entende-se que não é a vontade do titular dos dados que define o nível de proteção a que eles ficam sujeitos, dependendo a proteção outorgada a cada tipo ou categoria de dados da vontade do legislador, mas existe uma relação necessária entre o consentimento e a licitude da recolha e tratamento dos dados que apenas poderá ser afastada ou derrogada nos casos particulares previstos na lei.10 E como temos o direito de autodeterminar onde nossos dados estarão na internet, é importante, também, termos ferramentas para conseguir exercer esse direito. E aqui é onde o direito ao esquecimento surge para realmente exercermos a nossa vontade perante os servidores e podermos ser aquilo que somos no "mundo offline". Para Alexandre Sousa Pinheiro, quando o responsável pelo tratamento for obrigado a apagar um dado pessoal, terá que adotar as medidas que forem razoáveis para informar os responsáveis pelo tratamento e os subcontratantes sobre o apagamento. Para tanto, deverá informar sobre quais dados pessoais de que o titular dos dados solicitou o apagamento nos sites e aplicativos, bem como solicitar o apagamento das cópias, réplicas, ou reprodução deles. Este preceito trata do direito a ser esquecido em linha, que se consubstancia na adoção de medidas técnicas, por parte do responsável pelo tratamento para informar outros sites de que determinado titular requereu apagamento de seus dados pessoais.11 E o grande dilema hoje é como podemos ser nós mesmos, se tudo que fazemos está se tornando eterno? As novas tecnologias fazem do ato de esquecer, que antes era regra, exceção. Por isso precisamos de mecanismos, legais e tecnológicos, para encontrar o equilíbrio. Não se trata apenas de perdoar atitudes questionáveis, mas de assumir que ações comuns, como tirar fotos ou entabular conversas privadas, se porventura descontextualizadas não podem ser critério para definir o caráter ou a competência de alguém. O referido autor defende que as pessoas tenham total controle sobre as suas pegadas digitais: fotografias poderiam ter data de validade e ser apagadas depois de um certo tempo.12 O Direito ao Esquecimento surge como uma forma de resposta também à Liberdade de Expressão. Ao invadir a privacidade, ou mesmo, ao impedir o livre desenvolvimento da personalidade humana, poderá o ofendido, quando não existe um interesse coletivo comprovado no fato, de solicitar que a postagem que se refere a ele seja apagada e esquecida. Todavia, ao entender que ambos são direitos fundamentais, porém não absolutos, deverá a corte do juízo decidir para que lado a justiça irá pender. O direito de ser esquecido permite que um indivíduo controle seus dados pessoais se não for mais necessário para seu propósito original, ou se por algum outro motivo, desejar retirar o consentimento quanto ao seu processamento, entre outras razões.13 Permite que o usuário da internet realmente decida o que realmente define ele dentro no ambiente on-line, exercendo o livre desenvolvimento da personalidade também no âmbito virtual. Tanto que na Alemanha, na decisão do Bundesgerichtshof (BGH), de 27 de julho de 2020, traz o direito à desindexação, e, por conseguinte, o apagamento e o esquecimento como não absoluto. Mesmo que no processo tenha negado o direito à desindexação ao autor, colocando como princípio o interesse geral e a não possibilidade de desvincular os acontecimentos ao autor, a Corte foi bem clara em colocar a existência do direito ao esquecimento como um direito fundamental e que deve ser julgado em cada caso particular, ao confronto de dois ou mais direitos fundamentais.14 A eliminação que é colocada no inc. VI, da LGPD, foi apresentada de forma superficial, se comparada com a proteção que o RGPD trouxe para a União Europeia. No RGPD, a eliminação é prevista no art. 17.º como "Direito ao apagamento de dados (direito a ser esquecido)". O apagamento permite que os titulares de dados solicitem a eliminação dos seus dados pessoais quando a sua retenção ou processamento viola os termos do regulamento, em particular (mas não exclusivamente), por estarem incompletos ou imprecisos.15 O RGPD confere aos titulares dos dados pessoais o direito de solicitarem que estes sejam apagados, e os responsáveis ou os subcontratantes têm a obrigação de fazê-lo, com mais brevidade, tendo a finalidade que esse dado seja apagado ao ponto de ser esquecido. Requisitos esses que a LGPD não especificou como a legislação da União Europeia.16 O direito ao esquecimento possui uma abrangência ampla, pois envolve fatos que, por causa do fator tempo, perderam relevância histórica, de modo que sua divulgação se torna abusiva, por causar mais prejuízos aos particulares do que benefícios à sociedade. O direito ao esquecimento é um direito excecional, não podendo ser banalizado, mas sua exclusão, em sede de repercussão geral, pode implicar um grave retrocesso em face do princípio da dignidade da pessoa humana, um preceito fundamental descrito no artigo 1º, III, da Constituição Federal, consideradas ainda a privacidade e a identidade pessoal, que o compõem em sua estrutura. A exigência de norma específica, a depender da vontade legislativa, é um incentivo à inação, semelhantemente ao entendimento do próprio Supremo Tribunal Federal, que no passado sepultou a garantia fundamental do mandado de injunção.17 Sendo assim, reconhecer o Direito ao Esquecimento, pode ser a única forma para exercermos aquilo que queremos ser e o que realmente é a nossa essência. Principalmente dentro de um ambiente que estamos constantemente sendo vigiados, perfilados e sempre recebendo recomendações daquilo que acham ser interessante para cada um. *João Alexandre Silva Alves Guimarães é doutorando em Direito pela Universidade de Coimbra, Portugal. Mestre em Direito da União Europeia pela Universidade do Minho, Portugal. Associado do Instituto Brasileiro de Estudos de Responsabilidade Civil - IBERC, Associado Fundador do Instituto Avançado de Proteção de Dados - IAPD, Membro do Comitê Executivo do Laboratório de Direitos Humanos - LabDH da Universidade Federal de Uberlândia e Professor de Direito na Faculdade Pitágoras - Uberlândia. __________ 1 MARTINS, Guilherme Magalhães. Responsabilidade Civil por Acidente de Consumo. Thomas Reuters: Revista dos Tribunais, 3ª Edição revista, atualizada e ampliada, São Paulo, 2020. Página 285.                                                                      2 MARTINS, Guilherme Magalhães. Responsabilidade Civil por Acidente de Consumo, cit., Página 287. 3 RODOTÀ, Stefano. A Vida na Sociedade da Vigilância: A privacidade hoje. Renovar: Rio de Janeiro, 2008. Páginas 116 e 117.      4 PARISER, Eli. O Filtro Invisível - O que a internet está escondendo de você. Tradução por Diego Alfaro. Editora Zahar. Versão para Kindle. Edição digital: março 2012. Locais do Kindle 2644-2647. 5 PARISER, Eli. O Filtro Invisível, cit., Locais do Kindle 646-647. 6 PARISER, Eli. O Filtro Invisível, cit., Locais do Kindle 250-255. 7 BARBOSA, Mafalda Miranda. Data controllers e data processors: da responsabilidade pelo tratamento de dados à responsabilidade civil. Revista de Direito Comercial, 15 de março de 2018. Página 479 e 480. 8 BARBOSA, Mafalda Miranda. Data controllers e data processors, cit., Página 480. 9 GRUPO DE TRABALHO DO ARTIGO 29.º. Orientações relativas ao consentimento na aceção do Regulamento (UE) 2016/679, Última redação revista e adotada em 10 de abril de 2018, 17/PT, WP259, rev.01. Página 6. 10 MIRADA, Jorge; MEDEIROS, Ruy. Constituição Portuguesa Anotada. Volume I, 2ª ed., Revista - Lisboa: Universidade Católica Editora, 2017. Página 574. 11 PINHEIRO, Alexandre Sousa (Coord.); COELHO, Cristina Pimenta; DUARTE, Tatiana; GONÇALVES, Carlos Jorge; GONÇALVES, Catarina Pina. Comentários ao Regulamento Geral de Proteção de Dados. Almedina, Coimbra, dezembro de 2018. Página 368. 12 MAYER-SCHÖNBERGER, Viktor. Delete, cit., p. 2. 13 SAFARI, Beata A. Intangible Privacy Rights: How Europe's GDPR Will Set a New Global Standard for Personal Data Protection. Seton Hall Law Review, Volume 47, pp. 809-848, 2017. p. 835. 14 ALEMANHA. Bundesgerichtshof. VI ZR 405/18, Verkündet am: 27. Juli 2020, OLG Frankfurt am Main. 15 GUIMARÃES, João Alexandre; MACHADO, Lecio. Comentários à Lei Geral de Proteção de Dados: lei 13.709/2018 com alterações da MPV 869/2020. Rio de Janeiro: Lumen Juris, 2020. p. 86. 16 GUIMARÃES, João Alexandre; MACHADO, Lecio. Comentários à Lei Geral de Proteção de Dados, cit., p. 87. 17 MARTINS, Guilherme Magalhães; GUIMARÃES, João Alexandre Silva Alves. Direito ao esquecimento no STF: a dignidade da pessoa humana em risco. Consultor Jurídico, 10 de fevereiro de 2021.

Na última sexta-feira,13, começou a segunda fase do Open Banking, isto é, agora será possível o compartilhamento de dados cadastrais e transacionais sobre serviços bancários (contas, crédito e pagamentos). Com a digitalização da economia, que foi acentuada durante a pandemia de covid-191, observa-se uma mudança importante no mercado financeiro, o que vem sendo acompanhado pela Secretaria Nacional do Consumidor do Ministério da Justiça e Segurança Pública, como evidenciado, por exemplo, na Nota Técnica 48/20202. O mercado digital maximizou a importância dos dados como ativos econômicos essenciais para garantir a entrada e a competição3. Os dados pessoais tornaram-se destaque nas discussões jurídicas atualmente, considerando a nova percepção do poder da tecnologia e o fato de que há possíveis espaços não cobertos por regulação que podem permitir que empresas - e até mesmo os próprios agentes públicos - possam violar a privacidade dos cidadãos4. Quando isso é colocado na arena econômica, os dados tornam-se verdadeiras vantagens competitivas para os players que os possuem, isso porque conhecer os dados pessoais de consumidores permite ações estratégicas de alto impacto em determinados mercados (tais como personalização de ofertas, mapeamento de hábitos e antecipação de ações dos consumidores5), principalmente no mercado financeiro. Além disso, a forma de utilização dos dados acentua a assimetria de informações entre empresas e consumidores, pois, apesar de ser o titular dos dados, o consumidor não é capaz de identificar os dados que cada empresa possui, nem como referidos dados são tratados e compartilhados. Nesse cenário, a Lei Geral de Proteção de Dados (LGPD) brasileira foi um passo importante, assim como a criação da Autoridade Nacional de Proteção de Dados (ANPD). E alinhando a proteção de dados e o direito do consumidor, as autoridades competentes brasileiras (ou seja, ANPD e Senacon) também firmaram um Acordo de Cooperação Técnica6, visando o compromisso com a harmonização de condutas, o alinhamento estratégico e o fomento à segurança jurídica, em busca do bem-estar social. Portanto, vemos a necessidade de tratar de forma interdisciplinar os assuntos. Essa análise perpassa ao movimento que observamos no mercado financeiro brasileiro, isto é, a implementação do sistema financeiro aberto ou, como é mais conhecido, o Open Banking. Em breve síntese, verifica-se, por meio do Comunicado n.º 33.455/2019 e da Resolução Conjunta n.º 01/2020 do Banco Central, que os principais objetivos da implementação do Open Banking em nosso país foram para aumentar a eficiência no mercado de crédito e de pagamento no Brasil, com a finalidade de promover um ambiente mais inclusivo e competitivo no âmbito dos negócios, de forma a preservar o sistema financeiro, bem como a proteção do consumidor. Nesse sentido, o Open Banking, além de proporcionar que a regulação acompanhe a maior utilização pelos consumidores das tecnologias, torna-se uma ferramenta de grande importância para permitir a competitividade no setor, maximizando o bem-estar do consumidor brasileiro. Para que o sistema financeiro aberto fosse implementado de forma realmente a alavancar a competitividade, as instituições financeiras de grande porte, ou seja, aquelas classificadas como S1 e S2 pelo BC, devem participar em caráter obrigatório, de modo a não recair em apenas um inter banking. Com o compartilhamento mais livre de informações sobre o consumidor - desde que ele tenha interesse nesse serviço e que dê o seu consentimento expresso - é possível que as instituições consigam obter informações essenciais para competir no mercado financeiro. No momento em que se obtém informações sobre os consumidores, é possível identificar especificamente, por exemplo, os bons pagadores ou os consumidores com alto potencial de investimento e, assim, efetivamente criar propostas personalizadas para conquistar esse consumidor do banco rival. Ainda, para consumidores com pontuação baixa de crédito, será possível analisar o seu potencial atual de pagamento, mas não o seu histórico. Tais aspectos são importantes, pois, até então, isso seria impossível. Isso porque o Banco não seria capaz de identificar o perfil de cada consumidor, ao menos não de forma tão precisa, a não ser que houvesse um relacionamento prévio com a instituição. Logo, gera-se um incentivo para a concorrência, ameniza-se a assimetria de informações, assim como diminui-se a barreira de entrada para novos agentes, acarretando potencial redução de custos dos serviços e do crédito, com oferecimento de juros mais baixos para os consumidores. Além disso, ao permitir a transferência automática dos dados por meio do Open Banking, reduz-se a burocracia para mudanças de bancos e de instituições financeiras. Essa mudança é salutar para facilitar o processo de opções para o consumidor, especialmente em relação a produtos mais específicos, não aprisionando o consumidor em determinado banco. Contudo, é também verdade que o sistema incentiva e, ao mesmo tempo, depende de uma maior educação financeira por parte dos consumidores, inclusive de modo a compreender quais são os produtos e serviços ofertados por cada um dos agentes. Observa-se, assim, que o Open Banking trará uma oportunidade para que os consumidores tenham maior conhecimento sobre o setor bancário e sobre como ele afeta as suas vidas. Nesse sentido, é importante dar destaque às iniciativas da Escola Nacional de Defesa Consumidor (ENDC) da Senacon/MSP, por meio dos cursos ofertados e voltados à educação financeira. Assim como são importantes as iniciativas conjuntas das autoridades (Banco Central, Senacon/MJSP, ANPD, CVM, MEC, etc) que promovem iniciativas que trazem instrumentos de educação financeira à realidade do consumidor. Instrumentos disruptivos como o Open Banking somente terão efetividade se forem utilizados e compreendidos pelos consumidores brasileiros de forma ampla e sem assimetrias de informação. As iniciativas de educação para o consumo são não apenas essenciais, como também estão alinhadas às melhores práticas da UNCTAC e OCDE, que incluem a educação financeira como instrumento essencial para a criação de autonomia dos consumidores e para a diminuição das assimetrias do mercado. As autoridades devem trabalhar para incentivar condições de mercado que permitam ao consumidor exercer livremente suas escolhas para migrar para o fornecedor que melhor lhe atenda, garantindo o funcionamento da economia de mercado, ao mesmo tempo em que se protege seus dados e informações pessoais, nos termos do sistema lógico-normativo do ordenamento jurídico brasileiro. É neste contexto que a atuação conjunta das autoridades se faz tão necessária para garantir os inúmeros benefícios que o Open Banking traz, principalmente no que tange à proteção de dados pessoais, como tem feito a Senacon e a ANPD, por meio do ACT firmado em março de 2021. Outro ponto importante é trazer confiança ao Sistema Nacional de Defesa do Consumidor sobre a segurança e os benefícios do sistema ao consumidor. Por esse ângulo, o Banco Central também tem se mostrado um grande colaborador da Senacon. Não somente em relação ao Open Banking, mas às diversas mudanças regulatórias que o órgão tem feito para aperfeiçoar o sistema financeiro, como o Pix. As ações conjuntas da Senacon com o SNDC e com o Bacen foram essenciais para desmistificar os novos instrumentos, aproximar o BACEN das lideranças que atuam na ponta para a defesa dos consumidores, assim como para aprimorar as propostas com base nas Notas Técnicas produzidas pela Senacon [2]. Para garantir a melhor experiência do consumidor, a atuação interinstitucional deve também imprimir estratégias efetivas de prevenção às fraudes financeiras, tal como a lançada na campanha iniciada em 11 de agosto - "Proteja seus dados. Não compartilhe" do Ministério da Justiça e Segurança Pública - com o apoio da ANPD. As instituições financeiras, em geral, têm grande preocupação com esse tipo de questão, em razão dos riscos da própria atividade. Portanto, é essencial que as medidas protetivas também sejam amplamente divulgadas para os consumidores para que eles se sintam seguros em relação a esse novo sistema. Por enquanto, apenas as instituições financeiras autorizadas pelo BC podem atuar no sistema financeiro aberto, contudo, a tendência mundial demonstra que é apenas questão de tempo para que o Open Banking também esteja disponível para além do mercado financeiro, atingindo as gigantes da tecnologia. As big techs já possuem, em grande medida, a detenção dos dados pessoais - porém não financeiros - dos consumidores, devido a sua inserção, que já é sólida no mercado digital. Futuramente, caso elas possuam os dados pessoais financeiros dos consumidores, podemos ver seu poder de mercado se expandir. Não sem razão, este é um tema sob o radar das autoridades do mundo todo. A tendência é que a inovação promova um ambiente com maior competitividade, além de promover a redução dos custos de transação. Assim, o Open Banking, ao ser utilizado conforme seu desenho institucional, tende a viabilizar opções ao consumidor e outras soluções inovadoras naturalmente maximizadas por um ambiente notadamente marcado por maior concorrência. Isto é ainda mais importante em um setor que figura entre os mais reclamados nas plataformas geridas pelo governo federal: o setor financeiro. Portanto, é muito importante que as instituições financeiras estejam em compliance com a LGPD, uma vez que toda inovação precisa ser trabalhada à luz do CDC para garantir transparência e a melhor informação disponível, de forma clara e ostensiva, ao consumidor. Respeitados os ditames do CDC, podemos presumir que haverá compromisso com a melhor experiência de Open Banking ao consumidor. A economia digital traz boas ofertas e um leque maior de soluções financeiras para o consumidor 4.0. É o momento de trabalharmos juntos para que essa experiência seja garantida, resguardando a segurança e o respeito aos direitos de privacidade, à confidencialidade, aos princípios e valores do CDC, assim como aos ditames da LGPD, no que diz respeito à integridade e à disponibilidade dos dados do Open Banking. *Juliana Oliveira Domingues é professora doutora do curso de graduação e pós-graduação em Direito da USP. Foi Visiting Scholar na Georgetown University Law School (2018). É atualmente Secretária Nacional do Consumidor do Ministério da Justiça e Segurança Pública (Senacon) e Diretora regional da Academic Society for Competition Law (ASCOLA). Líder do Grupo de Pesquisa em Direito, Inovação e Fashion Law da FDRP/USP. Instagram: @profa.julianadomingues, linkedin e Twitter: profaJuliana.  **Tatyana Chiari Paravela é mestranda e bacharel em Direito pela USP. Advogada. Linkedin. __________ 1 Pesquisa realizada pela UNCTAD aponta como o cenário de consumo digital segue fortalecido pela pandemia de COVID-19. Os consumidores passaram a usar mais o ambiente virtual para realizar compras e obter notícias. Ainda, os consumidores de países emergentes foram os que mais realizaram compras on-line. In: UNITED NATIONS CONFERENCE ON TRADE AND DEVELOPMENT. COVID-19 has changed online shopping forever, survey shows. UNCTAD, 08 de outubro de 2020. Disponível aqui. Acesso em maio de 2021. O Brasil, por exemplo, subiu 10 posições no ranking de e-commerce da UNCTAD de 2019 para 2021. In: MOREIRA, Assis. Brasil sobe 10 posições em índice de e-commerce da Unctad. Valor Investe, 17 de fevereiro de 2021. Disponível aqui. Acesso em maio de 2021. 2 Veja-se, a exemplo, Nota Técnica n.º 48/2020/CGEMM/DPDC/SENACON/MJ, elaborada pela Senacon em 2020, antes mesmo do sistema financeiro aberto entrar em operação, com o objetivo de esclarecer os objetivos do Open Banking, produzindo conclusões recomendações sobre o assunto.  3 Como definiu o The Economist em 2017, "The word's most valuable resource is no longer oil, but data". Disponível aqui. Acesso em: 21 de maio de 2021. 4 BRAUN, Daniela.  Senacon investiga Serasa pelo vazamento de dados de 223 milhões de brasileiros. Valor Econômico. Disponível aqui. Acesso em: 25 de março de 2021. 5 Sobre o uso de dados para oferecimento de ofertas personalizadas, veja-se Lina Khan in "Amazon's Antitrust Paradox", onde a autora sugere que a utilização de dados pode auxiliar as empresas (detentoras dos dados) a personalizar ofertas, mapear hábitos e antecipar ações dos consumidores que, por muitas vezes, acaba sendo uma relação com assimetria de informação. Artigo Publicado na Yale Law Journal, Volume 126, número 3, edição de janeiro de 2017, páginas 564-907. Disponível aqui. Acesso em 29/07/2020. 6 Em síntese, conforme informações extraídas do site do Governo Federal: "O acordo prevê ações conjuntas nas áreas de proteção de dados pessoais e defesa do consumidor e vão incluir intercâmbio de informações, uniformização de entendimentos, cooperação quanto a ações de fiscalização, desenvolvimento de ações de educação, formação e capacitação e elaboração de estudos e pesquisas. Ademais, um canal efetivo entre os diferentes órgãos que recebem denúncias sobre vazamentos de dados impulsiona uma rápida atuação do poder público na proteção dos direitos dos cidadãos." Disponível aqui. Acesso em: 21 de maio de 2021.

De acordo com o art. 17 da LGPD, "Toda pessoa natural tem assegurada a titularidade de seus dados pessoais e garantidos os direitos fundamentais de liberdade, de intimidade e de privacidade, nos termos desta Lei". O dispositivo referencia três direitos fundamentais. A conjugação entre eles transcende a visão tradicional do direito à propriedade de dados, acenando explicitamente para a sua dimensão existencial e, implicitamente para um direito fundamental autônomo à proteção de dados pessoais.  Talvez seja a hora para que, de forma sucinta, possamos estabelecer as premissas de direito civil subjacentes ao referido preceito normativo e a sua fundamentalidade como reação principiológica a uma lógica de mercado que fragiliza as premissas teóricas edificadas no final do século XX por juristas como Gustavo Tepedino, Luiz Edson Fachin, Maria Celina Bodin e Paulo Luiz Neto Lôbo.    Uma expressão consagrada em nosso direito civil constitucional é a "personalização do direito privado". Trata-se de uma ideia persuasiva que pode ser compreendida de várias formas, sendo a que me parece mais elucidativa é a da funcionalização das situações patrimoniais às existenciais, vale dizer, a repressão às iniciativas econômicas que desconsiderem a pessoa como fundamento e fonte da ordem jurídica.  Esta diretriz impulsionou doutrina e tribunais a reformular as relações de pertencimento e trânsito de titularidades, de forma a não restringir desproporcionalmente direitos fundamentais. Tal movimento antropocêntrico é claramente aferível no RE 466.343/2008, oportunidade em que o Supremo Tribunal Federal afastou a possibilidade de prisão civil do depositário infiel como sanção por inadimplemento nos contratos de alienação fiduciária.1 Outrossim, o traço da personalização do direito civil é patente na Súmula 364 do STJ,2 ao estender a proteção do bem de família aos "singles", pois, a par da garantia geral dos credores, toda pessoa tem uma parcela de seu patrimônio afetada ao seu mínimo existencial.  Contudo, no campo negocial nem sempre é singela a distinção entre os espaços existenciais e patrimoniais. Como veste jurídico-formal de operações econômicas - na acepção de Roppo -, os contratos se adaptam as transformações socioculturais e não raro aquilo que a manualística descreve como direitos da personalidade convive pacificamente com o propósito lucrativo. Já estamos habituados com negócios jurídicos que refletem a prática social de aproveitamento da dimensão patrimonial de direitos de imagem, nome e privacidade, nos quais o consentimento do titular atua como permissão para a cessão onerosa do exercício de atributos existenciais, pela fixação de um preço para a intromissão por parte de terceiros em aspectos antes impenetráveis pelo mercado.  Como resposta a esta imprecisão quanto às fronteiras entre o "eu" e o mercado, a doutrina passou a considerar uma "relativa indisponibilidade" dos direitos da personalidade, no sentido de que o atributo da intransmissibilidade a que se refere o art. 11 do Código Civil3 concerne ao conteúdo das projeções existenciais, mas não à possibilidade de exercício temporário por outras pessoas naturais ou jurídicas, em contratos cujo objeto seja delimitado. Da mesma forma, deu-se interpretação mais ampla a parte final do referido dispositivo para se admitir a limitação voluntária de direitos da personalidade, considerando-se que, seguindo o livre desenvolvimento da personalidade, qualquer pessoa pode praticar atos de autocontenção da integridade psicofísica ou de sua intimidade, desde que se trate de prática socialmente justificada; evidencie-se o legítimo interesse do titular (e não um ato de heteronomia); seja o ato de limitação voluntária revogável a qualquer tempo e, por último, não ofenda Interesse de  terceiros. Podemos ilustrar nestes critérios objetivos, a decisão de um lutador de participar de um campeonato de vale-tudo, ou a deliberação de qualquer pessoa de expor os aspectos recônditos de sua vida nas redes sociais.  Nada obstante, mesmo nesta turva mescla entre os nossos atributos essenciais e as exigências de afirmação da pessoa na ordem do mercado, dois muros de contenção ainda permanecem de pé:  A um, o vínculo orgânico entre a pessoa e os direitos da personalidade, tornando-os indestacáveis de seu titular, inviabilizando a transferência do nosso "cerne", seja a título gratuito como oneroso. Aquilo "que somos" não pode ser expropriado. Mantém-se o controle humano sobre o objeto, limites e duração dos atos negociais referentes às parcelas econômicas da personalidade, pois como requisito de validade, o contrato requer o consentimento livre e esclarecido do cedente.  Em síntese, as situações existenciais ainda preservam o discrimen teórico perante as situações patrimoniais, pois se propriedade e créditos podem ser fraturados do titular, alienados e cedidos, preserva-se a aderência do ser humano ao seu modo de ser, pela potestade inerente aos direitos da personalidade de sujeitar a sociedade e o estado a não se imiscuir naquilo que constitui a pessoa, evitando-se a usurpação do que nos é indissociável.  A dois, em comum, as situações existenciais e patrimoniais se adequam ao conceito de "direitos subjetivos" pelo seu fundamento excludente. Tradicionalmente, assegura-se ao proprietário e ao contratante uma reserva de fruição de suas titularidades, associada à faculdade de afastar o poder público e particulares do monopólio do conteúdo de exploração, dotando tais direitos de tutelas inibitória e ressarcitória, sem se excluir uma pretensão reivindicatória em caso de violação à reserva de pertencimento. Igualmente, direitos da personalidade são dotados de uma eficácia defensiva em níveis preventivo e repressivo (art. 12, CC),4 tutelando-se os bens jurídicos intrínsecos não apenas em face de lesões - pela pretensão de reparação por danos extrapatrimoniais (art. 927, CC)5 - como diante de qualquer ameaça de prática ou reiteração de ilícitos, independentemente da ocorrência de um dano (parágrafo único, art. 497, CPC).6  Todavia, os direitos da personalidade transcendem os direitos subjetivos patrimoniais, por também serem dotados de uma eficácia ativa. Ao contrário da lógica econômica dos direitos patrimoniais, limitada ao direito de excluir, as situações jurídicas existenciais demandam o direito do ser humano à inclusão em sociedade. Não se trata apenas de um dever de proteção, mas também um dever de promoção, pois como reflete Dworkin,7 a dignidade é limite e tarefa, possuindo uma voz passiva e uma voz ativa que se conectam. A dimensão positiva da personalidade é materializada pelo livre desenvolvimento da personalidade no que concerne às deliberações existenciais fundamentais. Aqui ingressa a esfera de autodeterminação, pois o Estado Democrático de Direito reconhece no ser humano uma fonte de escolhas íntimas que deverão ser respeitadas.  A eficácia promocional das situações existenciais permite que a pessoa afirme o seu modo de ser, tornando-se protagonista de sua própria biografia, evitando-se a sua instrumentalização para fins heterônomos. Podemos ilustrar com a decisão do Supremo Tribunal Federal8 que permite a antecipação terapêutica do parto em caso de diagnóstico de anencefalia, prevalecendo a intimidade da gestante e a tutela a sua integridade psicofísica diante da inviabilidade de uma vida, afastando-se juízos morais estatais heterônomos. No mesmo diapasão, lembre-se decisão do STF9 quanto à extensão da união estável à casais homoafetivos. Em sociedades plurais, privilegia-se a privacidade do par em detrimento de uma concepção taxativa de entidades familiares. A autonomia existencial, implicitamente aludida no art. 15 do Código Civil,10 converte o consentimento informado em chave para a permissão de intervenções cirúrgicas ou tratamento, efetivação de negócios jurídicos que envolvam doação de órgãos e diretivas antecipadas quanto à vedação de distana'sia ou procedimentos médicos desproporcionais em situações de terminalidade da vida.  Entretanto, o cenário tecnológico disruptivo rapidamente erode os dois referidos muros de contenção que sustentam as colunas antropocêntricas daquilo que se convencionou chamar de "personalização do direito privado". Principiando pela afirmação dos direitos da personalidade em nível constitucional e legislativo, passando por um segundo momento de sua adaptação a economia de mercado - no qual a precificação de emanações comportamentais ainda encontra limites bem definidos - alcançamos um terceiro estágio, que denominamos "despersonalização da personalidade", materializável em três movimentos que subvertem as premissas humanistas do direito civil constitucional: a expropriação da personalidade; a ameaça à autonomia humana através de um ataque à consciência e a conversão do ser humano em um projeto de personalização. Relativamente à expropriação da personalidade, como coloca Shoshana Zuboff,11 o intitulado "capitalismo de vigilância" não consiste em uma nova tecnologia, mas em uma nova forma de mercado que reivindica de maneira unilateral a experiência humana como matéria-prima gratuita para a tradução em dados comportamentais que são disponibilizados no mercado como produtos de predição que antecipam e modelam comportamentos futuros. A visão kantiana do ser humano como fim em si12 é desvirtuada por um instrumentalismo, cuja base é a expropriação de nossa personalidade em prol de finalidades alheias, pois a própria sociedade se torna objeto de extração e controle.  A realidade digital converte situações existenciais em uma nova propriedade baseada na despossessão da essência daquilo que nos define, através de uma modificação comportamental, cujo legado de danos pode custar a nossa própria humanidade. A edificação do livre-arbítrio proveniente da narrativa liberal provavelmente se desintegrará quando, mesmo em sociedades supostamente livres, depararmo-nos diariamente com instituições, corporações e agências governamentais que compreendem e manipulam o que até então era nosso inacessível reino interior.13 Nesta inédita forma de mercado a pessoa se atomiza no individuo, mero conjunto de algoritmos passíveis de comercialização. Infere-se que a noção de expropriação da personalidade rompe com um dos muros de contenção das situações existenciais, pois a renderização da experiência humana não equivale a uma simples cessão temporária do exercício econômico de nossa imagem, intimidade ou nome, porém do próprio confisco do conteúdo daquilo que nos singulariza, para posterior operação lucrativa no insaciável mercado de comportamento futuro. Em síntese, ao contrário da previsão do art. 11 do Código Civil, os direitos da personalidade se tornam "absolutamente disponíveis" e suscetíveis de limitação heterônoma.  Prosseguindo, o segundo movimento de "despersonalização da personalidade" consiste na ameaça à autonomia humana através de um ataque à consciência. A autonomia é a pedra angular do direito privado, significando a "regulação pelo eu", não apenas na órbita econômica - filtrada pelo conceito de "capacidade" - como pela aptidão da pessoa gerir os seus pensamentos, emoções e desejos. Paradoxalmente, o processo de despossessão do "eu" se dá em dois níveis: não apenas dispensa o nosso consentimento (informado ou não), como a nossa própria consciência quanto à expropriação da experiência humana. Não se trata de uma violação ao direito de escolha por meio de contrato de adesão, porém do emprego de técnicas que induzem à modificação comportamental, substituindo o imperativo categórico Kantiano por imperativos de predição. Como explica Sartre,14 não basta ter vontade, é necessário ter "vontade de ter vontade". A habilidade de premeditação e a autoconsciência nos tornam serem autônomos que projetam escolhas e realizam julgamentos morais. Perde-se este fator civilizatório quando ferramentas de predição tomam de assalto a mente inconsciente, intervindo no momento certo para em um "nudge" provocar uma contratação de bens ou serviços, impondo uma alteração no futuro a revelia do sujeito.15 O inusitado é que a expropriação da experiência humana não se dirige às informações escritas, componentes verbais ou imagens. Na economia da emoção, não somos escrutinizados   pelo conteúdo, e sim de maneira sutil e oblíqua, pela forma como escrevemos, nossa respiração, tom de voz e um conjunto de metadados que decifram a pessoa, viabilizando a transferência do poder decisório. Quando sorrateiramente se liquefaz o livre-arbítrio, o indivíduo se submete a leis externas, sendo exilado do controle sobre o tempo futuro, pois onde reinava o "eu farei", entra em cena o "você fará". A preocupação expressa por Klaus Schwab16 dedicada à 4 revolução industrial é que os tomadores de decisão costumam ser levados pelo pensamento tradicional linear (e sem ruptura) ou costumam estar muito absorvidos por preocupações imediatas e não conseguem pensar de forma estratégica sobre as forças de ruptura e inovação que moldam nosso futuro. Como terceiro e derradeiro movimento de despersonalização da personalidade temos um deliberado "projeto de personalização" que camufla a própria coisificação da pessoa. O termo "personalizar" que outrora significava colocar o direito a serviço da pessoa, assume nova conotação. Pode-se dizer que não passa de um eufemismo para a monetização da vida em troca de segurança, serviços e conveniência. A personalização como ferramenta de marketing para que a pessoa tenha acesso à exclusividade, on-line e off-line. Não se trata de um acesso ao mínimo, senão ao máximo existencial, onde o supérfluo assumes ares de necessário. Produtos inteligentes feitos sob medida para as vicissitudes de cada pessoa - casas, roupas, relógios - potencializam a obtenção de superávit comportamental. O assistente digital é o protótipo deste esvaziamento da intimidade e ideia de solidão, um verdadeiro cavalo de Tróia para o qual cedemos conhecimento, autoridade e poder. O projeto de personalização apaga a fronteira entre o eu e o mercado. Em 2011 Michael Sandel escreveu o livro "O que o dinheiro não compra".17 A ideia central é a delimitação dos limites morais do mercado, na medida em que a economia de mercado se transmuda em sociedade de mercado, na qual prevalece uma visão econômica da vida, marcada pela precificação de bens antes tidos como indisponíveis e agora submetidos ao cálculo racional do incentivo monetário. Sandel se vale dos argumentos filosóficos da coerção (necessidade material fragiliza a liberdade de escolha) e da corrupção (degradação de bens existenciais em mercadorias) como óbices a contratos como venda de órgãos, barriga de aluguel e remuneração de esterilização. Passados dez anos, percebemos que no âmbito do capitalismo de vigilância a coerção é dispensada e a corrupção naturalizada. Algoritmos constituem nossa identidade e reputação, classificam nossos riscos, discriminam e manipulam comportamentos, sem qualquer transparência. Elimina-se a coerção pois a experiência humana é coletada sem a consciência quanto à contratação. Normaliza-se a corrupção, pois bovinamente aquiescemos à conversão das coisas que temos em coisas que nos têm, à passagem de um mercado para você em um mercado "sobre" você. Finalizamos por onde começamos. O art. 17 da LGPD consiste em ponto nodal de resistência às três emanações da despersonalização da personalidade. A titularidade de dados pessoais ancorada na tríplice dimensão da liberdade, intimidade e privacidade, representa uma ampliação da esfera normativa do pertencimento, extrapolando a propriedade imaterial, para alcançar uma "titularidade inclusiva", reafirmando-se no mundo digital, a aderência das situações existenciais à pessoa natural, a extrapatrimonialidade dos direitos da personalidade e sua relativa indisponibilidade e, consequentemente, a máxima efetividade das tutelas preventiva e repressiva das projeções eletrônicas do ser humano.18 Cabe à doutrina extrair todas as possibilidades hermenêuticas do dito preceito, a fim de se preservar o domínio humano sobre o que lhe é inerente. Como argutamente constatou Zygmunt Bauman, na modernidade fluida a contradição mais evidente é o "O abismo que se abre entre o direito a` autoafirmação e a capacidade de controlar as situações sociais que podem tornar essa autoafirmação algo factível ou irrealista".19   *Nelson Rosenvald é professor do corpo permanente do doutorado e mestrado do IDP/DF. Procurador de Justiça do Ministério Público de Minas Gerais. Pós-doutor em Direito Civil na Università Roma Tre (IT-2011). Pós-doutor em Direito Societário na Universidade de Coimbra (PO-2017). Visiting Academic Oxford University (UK-2016/17). Professor Visitante na Universidade Carlos III (ES-2018). Doutor e mestre em Direito Civil pela PUC/SP. Presidente do Instituto Brasileiro de Estudos de Responsabilidade Civil (IBERC) e Associado Fundador do Instituto Avançado de Proteção de Dados (IAPD). __________ 1 STF. RE n. 466.343, 03.12.2008, Informativo n. 531 Rel. Min. Cezar Peluso: "Já não é possível conceber o corpo humano como passível de experimentos normativos no sentido de que se torne objeto de técnicas de coerção para cumprimento de obrigações estritamente de caráter patrimonial". 2 Súmula 364 do STJ: "O imóvel residencial do próprio casal ou da entidade familiar, é impenhorável e não responderá por qualquer tipo de dívida civil, comercial, fiscal, previdenciária ou de outra natureza, contraída pelos cônjuges ou pelos pais ou filhos que sejam seus proprietários e nele residam, salvo nas hipóteses previstas nesta Lei". 3 Art. 11, Código Civil: Com exceção dos casos previstos em lei, os direitos da personalidade são intransmissíveis e irrenunciáveis, não podendo o seu exercício sofrer limitação voluntária. 4  Art. 12, Código Civil: Pode-se exigir que cesse a ameaça, ou a lesão, a direito da personalidade, e reclamar perdas e danos, sem prejuízo de outras sanções previstas em lei. 5  Art. 927, Código Civi: Aquele que, por ato ilícito (arts. 186 e 187), causar dano a outrem, fica obrigado a repará-lo. 6 Art. 497, CPC:  Na ação que tenha por objeto a prestação de fazer ou de não fazer, o juiz, se procedente o pedido, concederá a tutela específica ou determinará providências que assegurem a obtenção de tutela pelo resultado prático equivalente.  Parágrafo único. Para a concessão da tutela específica destinada a inibir a prática, a reiteração ou a continuação de um ilícito, ou a sua remoção, é irrelevante a demonstração da ocorrência de dano ou da existência de culpa ou dolo. 7 DWORKIN, Ronald. Domi'nio da vida. Sa~o Paulo: Martins Fontes, 2009, p. 339. 8 STF. ADPF 54/DF, Rel: MIN. Marco Aurélio, 30.4.2012. 9 STF. ADI 4.277 e ADPF 132, Rel. Min. Ayres Brito, 5.5.2011. "Tudo que não está juridicamente proibido, está juridicamente permitido. A ausência de lei não é ausência de direito, até porque o direito é maior do que a lei." 10 Artigo 15, CC: Ninguém pode ser constrangido a submeter-se, com risco de vida, a tratamento médico ou a intervenção cirúrgica. 11 ZUBOFF, Shoshana.  A era do capitalismo de vigilância, Rio de Janeiro, Ed. Intrínseca, 2021, p. 19/23. A autora encarta seis declarações que resumem o capitalismo de vigilância: "Nós reivindicamos a experiência humana com o matéria-prima gratuita para se pegar. Com base nessa reivindicação, podemos ignorar considerações de direitos, interesses, consciência ou entendimento dos indivíduos; com base na nossa reivindicação afirmamos o direito de pegar a experiência do indivíduo para convertê-la em dados comportamentais; nosso direito de pegar, baseado na nossa reivindicação de matéria-prima gratuita, nos confere o direito de possuir os dados comportamentais derivados da experiência humana; nossos direitos de pegar e possuir nos conferem o direito de saber o que o conteúdo dos dados revela; nossos direitos de pegar, possuir e saber nos conferem o direito de decidir como usamos o nosso conhecimento; nosso direitos de pegar, possuir, saber e decidir nos conferem nossos direitos às condições que preservam nossos direitos de pegar, possuir, saber e decidir". Op. cit. p. 210/1. 12 Kant, em "Fundamentação à Metafísica dos Costumes" assevera: o homem, e, de maneira geral, todo o ser racional, existe como fim de si mesmo, não só como meio para o uso arbitrário desta ou daquela vontade (...). Os seres cuja existência depende, não em verdade da nossa vontade, mas da natureza, têm, contudo, se são seres irracionais, apenas um valor relativo como meios, e por isso se chamam coisas, ao passo que os seres racionais se chamam pessoas, porque a sua natureza os distingue já como fins em si mesmos, quer dizer, como algo que não pode ser empregado como simples meio. 13 Como percebe Yuval Noah Harari, "Quando a autoridade passa de humanos para algoritmos, não podemos mais ver o mundo como o campo de ação de indivíduos autônomos esforçando-se por fazer as escolhas certas. Em vez disso vamos perceber o universo inteiro como um fluxo de dados". 21 Lições para o século 21, São Paulo. Companhia das Letras, 2019, p. 83. 14 [...] separado do mundo e de minha essência por esse nada que sou, tenho de realizar o sentido do mundo e de minha essência: eu decido sozinho, injustifica'vel e sem desculpas [...]" SARTRE, J. P.  O ser e o nada - ensaio de ontologia fenomenológica. 6 ed. Rio de Janeiro: Vozes, 1998, p. 782. 15 "Nudge", Termo consagrado na economia comportamental pela obra de autoria de Richard H. Thaler e Cass R. Sunstein sobre a arquitetura de escolhas. São Paulo, Editora Objetiva, 2. Ed, 2019. 16 SCHWAB, Klaus. A Quarta Revolução Industrial. São Paulo, Edipro, 2016, p. 12. O autor anota três razões que sustentam a singularidade da 4. Revolução industrial: "Velocidade: ao contrário das revoluções industriais anteriores, esta evolui em um ritmo exponencial e não linear. Esse é o resultado do mundo multifacetado e profundamente interconectado em que vivemos; além disso, as novas tecnologias geram outras mais novas e cada vez mais qualificadas. - Amplitude e profundidade: ela tem a revolução digital como base e combina várias tecnologias, levando a mudanças de paradigma sem precedentes da economia, dos negócios, da sociedade e dos indivíduos. A revolução não está modificando apenas o "o que" e o "como" fazemos as coisas, mas também "quem" somos. Impacto sistêmico: ela envolve a transformação de sistemas inteiros entre países e dentro deles, em empresas, indústrias e em toda sociedade". Op.cit, p. 17 SANDEL, Michael J. O que o dinheiro não compra: os limites morais do mercado; tradução de Clóvis Marques. Rio de Janeiro: Civilização Brasileira, 2012. 18 RODOTÀ, S. El derecho a tener derechos. Madrid: Editorial Trotta, 2014.2014, p.150. O autor propõe o conceito de corpo eletrônico da pessoa humana: "En la dinámica de las relaciones sociales y también en la percepción de uno mismo, la verdadera realidad es la definida por el conjunto de las informaciones que nos afectan, organizadas electrónicamente. Este es el cuerpo que nos sitúa en el mundo". 19 BAUMAN, Zygmunt. Modernidade Líquida, São Paulo, Zahar, 2001. p. 35.

Continuando nossa breve análise comparativa entre os três instrumentos jurídicos referidos no título, já tendo avaliado o GDPR na Parte I deste artigo e, também, o CCPA na Parte II, passemos à análise dos dois últimos regramentos, em tela, para proteção de dados - o POPIA e a LGPD brasileira, lembrando que esta é a terceira e última parte do texto integral. O Protection Of Personal Information Act, aprovado desde 1º de janeiro de 2020, na África do Sul, somente passou a ser de observância obrigatória a partir de 1º de julho de 2021 e, em relação a ele, importante notar que: Foi editada em novembro de 2013 - portanto, antes mesmo da entrada em vigor da General Data Protection Regulation da Comunidade Europeia, porém foi aprovada pelo Governo da África do Sul apenas em 2020, com eficácia suspensa até meados deste mesmo ano; Traz muitos aspectos similares ao General Data Protection Regulation e ao California Consumer Privacy Act, em especial os seus princípios; Muitas das suas disposições já foram convertidas em leis com observância obrigatória; mas, Sua eficácia ou exigência de compliance a todos os seus termos apenas ocorrerá após 1º de julho de 2021, quando o restante de seus dispositivos passa a valer como leis e a autoridade nacional de proteção de dados - o Information Regulator - terá seus poderes constituídos. O POPIA da África do Sul é, até aqui, a lei de proteção de dados mais recente do mundo e: Propicia aos cidadãos a que se refere controlarem suas informações pessoais e exercerem direitos aplicáveis sobre elas; Estabeleceu oito requisitos mínimos para o processamento de dados: Responsabilidade - parte responsável deve assegurar que as condições, e todas as medidas previstas no POPIA que dão efeito a tais condições, sejam cumpridas no momento da determinação da finalidade e dos meios de processamento. Limitação de processamento - as informações pessoais só podem ser processadas de forma justa e legal e apenas com o consentimento do titular dos dados ou nas demais hipóteses previstas na lei. Finalidade específica - as informações pessoais só podem ser processadas por razões específicas, explicitamente definidas e legítimas. Limitação de processamento adicional - as informações pessoais não podem ser processadas para uma finalidade secundária; Qualidade da Informação - a parte responsável deve tomar medidas razoáveis (e não suficientes) para garantir que as informações pessoais coletadas sejam completas, precisas, não enganosas e atualizadas quando necessário. Salvaguardas de segurança - as informações pessoais devem ser mantidas em segurança contra o risco de perda, acesso ilegal, interferência, modificação, destruição não autorizada e divulgação. Transparência - a  parte responsável deve manter a documentação de todas as operações de captação e processamento de dados feitos sob sua responsabilidade. Participação do Titular dos Dados - os titulares dos dados podem solicitar a manutenção, a correção e/ou exclusão de quaisquer informações pessoais deles.  O POPIA também define como informações sensíveis: informação informações relacionadas à raça, gênero, sexo, gravidez, estado civil, nacionalidade, origem étnica ou social, cor, orientação sexual, idade, saúde física ou mental, bem-estar, deficiência, religião, consciência, crença, cultura, idioma e nascimento da pessoa; informações relacionadas à educação ou histórico médico, financeiro, criminal ou de emprego da pessoa; qualquer número de identificação, símbolo, endereço de e-mail, endereço físico, número de telefone, informação de localização, identificador online ou outra atribuição específica para a pessoa; a informação biométrica da pessoa; as opiniões pessoais, pontos de vista ou preferências da pessoa; correspondência enviada pela pessoa de forma implícita ou explícita de natureza privada ou confidencial ou correspondência posterior que revele o conteúdo da correspondência original; as visões ou opiniões de outro indivíduo sobre a pessoa; e o nome da pessoa se aparecer com outras informações pessoais relacionadas à pessoa ou se a divulgação do próprio nome revelaria informações sobre a pessoa; E assegura os seguintes Direitos aos sujeitos dos dados: ser notificado sobre a coleta e processamento de informações pessoais; de acessar informações pessoais; de solicitar correção de informações pessoais; de solicitar a exclusão de informações pessoais; de se opor ao processamento de informações pessoais; de não ter as informações pessoais processadas para fins de marketing direto por meio de comunicações eletrônicas não solicitadas; de não estar sujeito a uma decisão que resulte em circunstâncias legais baseadas exclusivamente no processamento automatizado; de reclamar ao Regulador (e ao Judiciário, por óbvio); de aplicar remédio judicial necessário. Uma das principais diferenças entre a legislação Sul Africana e as demais é o aspecto de abrangência territorial.  Pela regra, aplica-se aquela legislação aos negócios (i) estabelecidos na África do Sul (conceito fácil de ser compreendido) ou (ii) cujos dados pessoais são processados dentro do território Sul Africano (conceito um pouco mais delicado, considerando que hoje temos data centers virtuais e bases de dados em nuvem não exatamente divulgadas pelos provedores).  Assim, se sua empresa, por exemplo, faz uso de qualquer cloud estabelecida sobre território da África do Sul, ela deve observar e seguir aquela legislação, a partir de 1º de julho deste ano. Esse é um aspecto relevante, vez que nem sempre sabemos onde estão os servidores ou satélites que usamos nas contratações de TI. Por definição, dado protegido pela Protection Of Personal Information Act é tudo que se refere às pessoas físicas ou jurídicas de qualquer natureza, o que também traz dificuldade de entendimento e é um conceito mais abrangente que o estatuído na California e na EU.  P. ex.: os sites das empresas devem ser protegidos, mesmo quando estão disponíveis na internet...  Como fazer isso na África do Sul, apenas dada a abrangência transfronteiriça da web? A contrassenso, os sujeitos dos dados não precisam dar permissão para a coleta de seus dados, a menos que: sejam classificados como special personal informartion, notadamente, crença, credo, ideologia, raça ou etnia, posição política, saúde, vida ou orientação sexual, dados biométricos; ou, se forem dados de menores de 17 anos, que precisam autorizar a coleta e processamento de seus dados por meio do seu responsável civil; ou, sejam coletados ou processados com fins de marketing direto por e-mail, telefone ou SMS. Em qualquer caso, a opção de objeção à coleta ou processamento dos dados deve ser oferecida ao titular dos dados, inclusive com instrução de como retirar suas informações diretamente dos sistemas das organizações. E exceto em casos específicos os dados somente podem ser coletados do próprio sujeito dos dados, o que nos parece contraditório com a não proibição de transferência ou compartilhamento de dados.  Sim, é permitida a transferência dos dados dentro do próprio país, ou se for transferida, internacionalmente, a terceiros que tenham políticas semelhantes de proteção de dados ou que atendam legislação adequada para a proteção dos dados. Notem quão ampla é a interpretação desse conceito. As organizações sujeitas à Protection Of Personal Information Act podem cobrar taxas em troca do fornecimento dos dados que mantém sobre o titular dos dados, muito embora não possam cobrar para informar se tem ou não dados coletados e processados de um determinado indivíduo e nem para corrigir determinada informação equivocada a pedido. A designação de um DPO é exigida, mas a legislação ressalva que, na ausência de pessoa dedicada à função, o CEO da empresa será o responsável pela área - e sofrerá as consequências do non compliance. As notificações de infrações devem ser feitas em até 72 horas, para a autoridade supervisora e as penalidades são menores que as outras três legislações aqui tratadas, chegando ao máximo de R10 milhões, o que corresponde hoje a aproximadamente US$ 723.000. A pena privativa de liberdade para o DPO, ou o CEO no caso de não haver DPO designado pode chegar 10 anos. Quanto à nossa recentíssima Lei Geral de Proteção de Dados, que demorou a ser editada e, por conta da pandemia do COVID, teve sua eficácia retardada mais ainda, podemos dizer que traz muitas semelhanças com a legislação Europeia, em especial os seus princípios, antes já referidos. Aplica-se a todos que coletam ou processam dados de cidadãos brasileiros ou residentes em território com jurisdição brasileira, independentemente da localização da organização e são considerados dados protegidos toda a informação que identifique ou possa identificar o seu titular, sendo objeto de proteção mais específica os dados considerados sensíveis, à semelhança da General Data Protection Regulation. A Lei Geral de Proteção de Dados tenta indicar as providências obrigatórias por parte das organizações, para o compliance à lei, exigindo informar a razão e demandando autorização expressa para coleta e tratamento de dados, do sujeito dos dados, ressalvadas as outras hipóteses que autorizam o tratamento de dados independentemente do consentimento nos termos do art. 7º (dados pessoais) e art. 11 (dados pessoais sensíveis). O órgão responsável pelo controle do compliance à Lei Geral de Proteção de Dados é a ANPD ou Autoridade Nacional de Proteção de Dados que tem como órgão consultivo, o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade (CNPD), composto por membros da sociedade e do poder público. As principais atribuições são do CNPD são (art. 58-B da LGPD):  Propor diretrizes estratégicas e fornecer subsídios para a elaboração da Política Nacional de Proteção de Dados Pessoais e da Privacidade e para a atuação da ANPD; Elaborar relatórios anuais de avaliação da execução das ações da Política Nacional de Proteção de Dados Pessoais e da Privacidade; Sugerir ações a serem realizadas pela ANPD; elaborar estudos e realizar debates e audiências públicas sobre a proteção de dados pessoais e da privacidade; e, Disseminar o conhecimento sobre a proteção de dados pessoais e da privacidade à população.  A participação no CNPD é considerada prestação de serviço público relevante, não remunerada e constitui um diferencial em relação a outras legislações. Na linha da EU, a legislação brasileira proíbe a transferência ou compartilhamento de dados, com raras exceções e o consentimento é elemento chave para a captação e processamento de dados pessoais, devendo tal consentimento ser dado de forma voluntária e mediante a informação clara de quais dados serão captados e/ou processados, por quem e com que finalidade. E o consentimento pode ser revogado a qualquer tempo, devendo a organização captora ou processadora manter o registro de tais consentimentos e/ou sua revogação. O direito de acesso exercido pelo titular de dados deve ser respondido ao interessado em 15 dias, sem custo, como analisado nesta coluna. A designação de um Encarregado pela Proteção de Dados, dedicado como tal, é obrigatória na Lei Geral de Proteção de Dados, muito embora ainda não haja uma certificação, para tal ocupação, no Brasil. Esta função pode ser exercida por um indivíduo com o auxílio de uma equipe ou grupo (denominado, muitas vezes, como "Comitê de Proteção de Dados"), interno ou ser terceirizado (externo). Indica-se, mas não se exige um CPO nas organizações. No caso de quebra da segurança da proteção dos dados, a organização deve informar à ANPD e aos titulares, em um prazo não especificado na legislação, mas que a ANPD definiu em 2 dias úteis, contados do conhecimento do incidente de segurança com dados pessoais. As penalidades financeiras são bem menores se comparadas a outras legislações, mas ainda assim bastante altas, podendo chegar a 2% do faturamento anual da organização com um teto de R$ 50 milhões, por ofensa. Por fim, para sabermos se estamos em compliance com a regulação de dados que nos atinge, devemos nos perguntar o seguinte: Quais são os direitos do titular dos dados em relação ao acesso às informações mantidas por você? Quais processos você possui para garantir que a solicitação de um titular de dasos seja cumprida? Quem será responsável pela conformidade em sua organização e que será responsabilizado peno caso de no comliance? E como esse indivíduo garantirá que a organização esteja compatível com as legislações que a atingem? As informações pessoais foram obtidas em acordo com as hipótese previstas em lei? Se as informações pessoais foram coletadas de terceiros, o titular dos dados consentiu que essas informações sejam compartilhadas e usadas por você, nos casos em que a legislação permite? Quais processos você possui para identificar a origem de uma violação de dados e o procedimento a seguir para neutralizar tal violação? Qual processo você possui para garantir que as salvaguardas sejam continuamente atualizadas em resposta a novos riscos ou deficiências nas salvaguardas previamente implementadas? Quais processos você possui para evitar a recorrência de uma violação de dados?  Feitas todas essas perguntas, se não houver resposta claríssima para qualquer delas, isso significa que seus sistemas de compliance não estão adequados à LGPD e sua organização precisa COM URGÊNCIA buscar uma assessoria nessa área, independentente do lugar no mundo onde ela atua.  *Renata Marcheti é professora doutora da USP, advogada e membro Fundadora do Instituto Avançado de Proteção de Dados (IAPD), instituo este que conta com vários membros dedicados à pesquisa aplicada em matéria de proteção de dados pessoais.

Há exatamente um ano, tivemos a honra de inaugurar esta coluna "Migalhas de Proteção de Dados" com o texto no qual analisamos as polêmicas em torno da vigência da LGPD. Em síntese, foram diversas tentativas de prorrogar o início da vigência da LGPD, mas a lei entrou parcialmente em vigor no dia 18 de setembro de 2020, quando o Presidente Jair Bolsonaro sancionou a lei 14.058, de 17/9/2020, publicada no Diário Oficial da União no dia 18/9/2020, retirando os artigos que pretendiam postergar a vigência da LGPD para maio de 2021. Assim, entende-se que a LGPD está em vigor a partir da vigência da lei 14.058/2020, suprindo uma importante lacuna no ordenamento jurídico brasileiro como alertado por Newton De Lucca e Renata Mota Maciel.1 As sanções administrativas previstas na LGPD, no entanto, somente passaram a vigorar a partir de 1º de agosto de 2021, porque a lei 14.010, de 10 de junho de 2020 - que estabelece normas integrantes do denominado "Regime Jurídico Emergencial e Transitório das relações jurídicas de Direito Privado (RJET)" no período da pandemia do novo coronavírus, -, determinou no art. 20 a prorrogação da vigência dos artigos 52, 53 e 54 da LGPD.2 Assim, uma pergunta em destaque nestes últimos dias é se a sociedade brasileira, os órgãos públicos e as empresas estão ou não adequadas à LGPD e se a própria ANPD terá condições efetivas (tanto em recursos humanos, quanto materiais) para fiscalizar o correto cumprimento da lei e aplicar as sanções nela previstas após o processo administrativo, garantida a ampla defesa e o contraditório, consoante o art. 55-J, inc. IV, da LGPD.3 Algumas particularidades das sanções administrativas previstas na LGPD  A LGPD prevê em um rol taxativo das penalidades administrativas que podem ser aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD), quais sejam4: - advertência, sendo que a ANPD deve indicar um prazo para a adoção de medidas corretivas; - multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$50 milhões de reais por infração; - multa diária (astreintes), ou seja, multa a ser cobrada por dia até que a pessoa jurídica de direito privado cumpra as determinações indicadas pela ANPD, observado o limite acima estabelecido em lei; - publicização, isto é, a divulgação das empresas e dos órgãos públicos que descumpriram as obrigações previstas na LGPD, o que pode representar um prejuízo financeiro além do limite acima indicado, podendo a publicização causar, até mesmo, a falência do negócio por desconfiança dos usuários dos serviços (titulares de dados pessoais); - bloqueio dos dados pessoais tratados em desconformidade com a LGPD, até que seja regularizada a infração; - eliminação dos dados pessoais tratados em desconformidade com a LGPD; - suspensão parcial do funcionamento do banco de dados pelo prazo máximo de 6 meses, podendo ser prorrogado por igual período até a regularização da atividade de tratamento de dados; - suspensão do exercício da atividade de tratamento de dados pessoais pelo prazo máximo de 6 meses, também podendo ser prorrogável por igual período; - proibição parcial ou total do exercício das atividades relacionadas a tratamento de dados. Estas sanções administrativas estão mencionadas de forma crescente quanto à sua gravidade, isto é, a advertência é a sanção mais leve enquanto a proibição parcial ou total do exercício das atividades, a mais grave. Pouco se tem falado das sanções referentes à publicização, ao bloqueio ou à eliminação dos dados pessoais, bem como sobre a suspensão parcial do funcionamento do banco de dados ou da atividade de tratamento de dados, além da proibição parcial ou total do exercício das atividades de tratamento de dados, penalidades estas que se não forem dosadas com cautela poderão causar a insolvência empresarial. Sem embargo dos possíveis questionamentos em torno da matéria, entendemos ser este rol taxativo, ou seja, a ANPD não poderá inovar, criando outras sanções administrativas não mencionadas no art. 52 da LGPD, em virtude do inc. XXXIX do art. 5º da CF/88 (não há pena sem prévia cominação legal).5 No entanto, as sanções administrativas previstas na LGPD são suficientes para o enforcement da lei de maneira abstrata. Isto porque, fazendo um paralelo, o fato de o Código Penal prever pena restritiva de liberdade para a prática do crime de homicídio, infelizmente, não impediu, nem mesmo diminuiu, as milhares de mortes decorrentes dos crimes dolosos contra a vida. Nesse diapasão, cumpre salientar que o propósito básico da ANPD deverá direcionar-se - em especial neste momento inicial de mudança cultural em prol da proteção de dados pessoais - no sentido de uma atuação eminentemente pedagógica. Em outras palavras, o diálogo com os diversos setores da sociedade brasileira deve ser o mais amplo possível, com propagandas educativas para orientar tanto os agentes de tratamento de dados, quanto os titulares de dados a se conscientizarem das obrigações e dos direitos previstos na LGPD. A atuação pedagógica da ANPD  A sociedade brasileira experimenta, atualmente, significativa mudança na cultura de cenários de "superexposição", de divulgação de CPF e de outras informações importantes para obter apenas um pífio desconto em produtos e serviços, sem o questionamento do porquê de disponibilizar tais informações. Caberia lembrar, a propósito, a passagem de Yuval Noah Harari, segundo a qual "no século XXI, nossos dados pessoais são provavelmente o recurso mais valioso que ainda temos a oferecer, e os entregamos aos gigantes tecnológicos em troca de serviços de e-mail e de vídeos com gatos engraçadinhos." É preciso assinalar, no entanto, que estamos apenas no começo desta jornada, diferentemente de países como Alemanha e França, que desenvolvem a cultura de proteção de dados desde a década de 70 da centúria passada. Nesse sentido, muito mais importante do que aplicar as sanções previstas na lei, a ANPD deve priorizar a promoção do conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança (inc. VI do art. 55-J da LGPD), além ouvir os agentes de tratamento de dados e a sociedade em matérias de interesse relevante (inc. XIV do art. 55-J da LGPD). Ademais, sobreleva destacar que ainda existem diversas lacunas na lei, além de cláusulas gerais e de conceitos jurídicos indeterminados (aliás, não só jurídicos, mas técnicos também) como, exemplificativamente, a polêmica questão da anonimização e da pseudoanonimização. Portanto, a ANPD deverá exercer uma função eminentemente didática, pavimentando o terreno para  criar um cenário ideal tendente ao real enforcement da LGPD. Da aplicação das sanções administrativas previstas na LGPD aos órgãos públicos A LGPD foi expressa em mencionar regras específicas para o tratamento de dados pessoais pelo Poder Público (capítulo IV, arts. 23 a 30 da LGPD). Consequentemente, além das regras específicas, os órgãos públicos devem observar as regras gerais, como os princípios estabelecidos no art. 6º, além das diversas obrigações impostas aos agentes de tratamento de dados. Neste contexto, poder-se-ia indagar se os órgãos públicos, na hipótese de descumprimento da LGPD, devem estar sujeitos às sanções administrativas nela previstas? Trata-se, ao que parece, de aspecto extremamente delicado e bastante controvertido da LGPD. Imagine-se, por exemplo, a hipótese de ser aplicada ao IBGE a eliminação dos dados pessoais coletados ou mesmo de aplicar-se  multa a um órgão público, cujo pagamento viria dos impostos pagos por todos os cidadãos brasileiros... Ou, ainda, impedir um Registro Civil de Pessoas Naturais de realizar registros de nascimentos ou de óbitos, ou mesmo casamentos, uma vez que os cartórios foram equiparados ao Poder Público nos termos dos §§ 4º e 5º do art. 23 da LGPD. Em tais cenários, parece inquestionável que a aplicação de algumas sanções previstas na LGPD acarretaria inevitável prejuízo aos próprios titulares de dados e à coletividade, configurando uma evidente injustiça.6 A esse propósito, aliás, a ANPD já se pronunciou no sentido de que as sanções pecuniárias não podem ser aplicadas aos órgãos públicos.7 Todavia, as demais  sanções administrativas previstas na LGPD, que não as pecuniárias, poderão ser aplicadas aos órgãos públicos, conforme destacado no aludido texto. Diante das possíveis dubiedades existentes, parece-nos que seria adequada e prudente a elaboração de um regramento específico sobre as sanções administrativas a serem aplicadas aos órgãos públicos. Enfim, para a aplicação das sanções previstas na LGPD, deverão ser levadas em consideração, além dos critérios mencionados no § 1º do art. 52 da LGPD para a dosagem da penalidade a ser aplicada, também as peculiaridades de cada órgão público que possa ter violado a LGPD. O que esperar para o próximo ano quando as sanções administrativas estarão em vigor? Ainda que as sanções tenham entrado em vigor, a ANPD irá editar um regulamento específico sobre as sanções administrativas, que será submetido à consulta pública. Portanto, somente após a definição das metodologias que orientarão o cálculo do valor-base para as sanções de multa, tais sanções poderão ser tecnicamente aplicadas pela ANPD consoante as regras estabelecidas no seu Regimento Interno.8 Esse ponto está intimamente ligado à minuta de resolução para o "Regulamento de Fiscalização e Aplicação de Sanções Administrativas", que deve ser encaminhada em breve ao Conselho Diretor da ANPD para deliberação.9 No entanto, pode-se esperar uma atuação pedagógica da ANPD, como acima alertado, privilegiando uma abordagem "responsiva, ou seja, de maneira gradual, baseada no comportamento do regulado e alicerçada em um plano de monitoramento do setor que permita a priorização de temas segundo seu risco, gravidade, atualidade e relevância." Em suma, a ANPD somente poderá aplicar as sanções administrativas previstas na LGPD aos fatos ocorridos após 1º de agosto de 2021, quando os artigos 52, 53 e 54 da LGPD entraram em vigor. No entanto, as infrações à LGPD, iniciadas antes de 1º de agosto de 2021, mas que continuaram a ser cometidas após essa data, deverão ser objeto de análise pela ANPD que, após o contraditório e ampla defesa, poderá aplicar as sanções previstas na lei. Ainda há mais dúvidas do que respostas definitivas, sendo recomendável que, pelo menos até a aprovação do Regulamento de Fiscalização e de Aplicação de Sanções Administrativas ser aprovado no Conselho Diretor da ANPD, as sanções administrativas permaneçam em suspenso. Ao que tudo indica - e este parece ser o melhor caminho a seguir -, a ANPD deverá atuar mais numa vertente pedagógica, preventiva e responsiva do que de uma forma repressiva, o que faz todo o sentido neste momento inicial da vigência da LGPD. Afinal de contas, muito mais do que punições, o que se espera e se deseja é que a ANPD exerça função primordialmente didática para que a cultura da proteção de dados pessoais no Brasil possa frutificar admiravelmente, atingindo a sua plenitude o mais cedo possível.10 *Cíntia Rosa Pereira de Lima é professora de Direito Civil da Faculdade de Direito da USP Ribeirão Preto - FDRP. Doutora em Direito Civil pela Faculdade de Direito da USP com estágio na Universidade de Ottawa (Canadá) com bolsa CAPES - PDEE - Doutorado Sanduíche e livre-docente em Direito Civil Existencial e Patrimonial pela Faculdade de Direito de Ribeirão Preto (USP). Pós-Doutora em Direito Civil pela Università degli Studi di Camerino (Itália) com fomento FAPESP e CAPES. Líder e Coordenadora dos Grupos de Pesquisa "Tutela Jurídica dos Dados Pessoais dos Usuários da Internet" e "Observatório do Marco Civil da Internet", cadastrados no Diretório de Grupos de Pesquisa do CNPq e do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP).  Presidente do Instituto Avançado de Proteção de Dados - IAPD. Advogada. **Newton De Lucca é professor Titular da Faculdade de Direito da Universidade de São Paulo. Professor do Corpo Permanente da Pós-Graduação Stricto Sensu da UNINOVE. Desembargador Federal, Presidente do Tribunal Regional Federal da 3a Região (biênio 2012/2014). Membro da Academia Paulista de Direito. Membro da Academia Paulista de Letras Jurídicas. Membro da Academia Paulista dos Magistrados. Vice-Presidente do Instituto Avançado de Proteção de Dados. __________ 1 DE LUCCA, Newton; MACIEL, Renata Mota. A Lei nº 13.709, de 14 de Agosto de 2018: a Disciplina Normativa que Faltava. In: DE LUCCA, Newton; LIMA, Cíntia Rosa Pereira de; SIMÃO FILHO, Adalberto; MACIEL, Renata Mota. Direito & Internet IV: Sistema de Proteção de Dados Pessoais. São Paulo: Quartier Latin, 2019. pp. 21 - 50. 2 Louve-se, a propósito, o meritório esforço do professor doutor Otávio Luiz Rodrigues Júnior, cuja competente e brilhante atuação no Congresso Nacional foi fundamental para a entrada em vigor da LGPD. 3 Sobre a Autoridade Nacional de Proteção de Dados e os argumentos do veto à criação da ANPD vide: DE LUCCA, Newton; LIMA, Cíntia Rosa Pereira de. Autoridade Nacional de Proteção de Dados Pessoais (ANPD) e Conselho Nacional de Proteção de Dados Pessoais e da Privacidade. In: LIMA, Cíntia Rosa Pereira de. Comentários à Lei Geral de Proteção de Dados. São Paulo: Editora Almedina, 2019. pp. 373 - 398. Sobre a atuação da Autoridade Nacional de Proteção de Dados cf. LIMA, Cíntia Rosa Pereira de. A ANPD e a efetividade da LGPD. São Paulo: Almedina, 2021. 4 LIMA, Cíntia Rosa Pereira de Lima. As funções da Autoridade Nacional de Proteção de Dados e as sanções previstas na LGPD. In: FRANCOSKI, Denise; TASSO, Fernando Antonio (coords). A Lei Geral de Proteção de Dados Pessoais - LGPD no Setor Público e Privado - Temas Relevantes. São Paulo: Revista dos Tribunais, 2021. 5 DI'TANO MORAES, Amanda Melo. Sanções administrativas na LGPD. Disponível aqui, acesso em 05 de agosto de 2021. 6 Homo Deus - Uma breve história do amanhã, São Paulo: Companhia das Letras, 2016, p. 343. Cf. DE LUCCA, Newton. Yuval Noah Harari e sua visão dos dados pessoais de cada um de nós. 02 de junho de 2021. 7 "Os órgãos e as entidades públicas poderão ser punidos com todas as sanções administrativas previstas na LGPD, salvo as sanções pecuniárias. Ademais, a LGPD prevê a possibilidade de responsabilização de agentes públicos, nos termos previstos na lei 8.112, de 11 de dezembro de 1990 (Estatuto do Servidor Público), na Lei nº 8.429, de 2 de junho de 1992 (Lei da Improbidade Administrativa) e na lei 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação)." Disponível aqui, acesso em 3 de agosto de 2021. 8 PEROLI, Kelvin. A Portaria n. 01/2021 da ANPD e o seu Conselho Diretor: estrutura e funções. Disponível aqui, acesso em 05 de agosto de 2021. 9 Disponível aqui, acesso em 3 de Agosto 2021. 10 LIMA, Cíntia Rosa Pereira de. Autoridade Nacional de Proteção de Dados Pessoais (ANPD): entenda quais são as atribuições da ANPD e como este órgão atuará na fiscalização de implementação da LGPD. Disponível aqui, acesso em 5 de agosto de 2021.

Continuando nossa breve análise comparativa entre os três instrumentos jurídicos referidos acima, passemos à análise de cada um deles, lembrando que esta é a segunda parte do texto integral e trata da GDPR. A lei hoje vigente na União Europeia e que trata da proteção de dados pessoais é a General Data Protection Regulation - GDPR, que obriga os países membros a se adaptarem a ela. A GDPR aplica-se a toda e qualquer companhia, pública ou privada, que vise ou não lucro independentemente de onde a empresa esteja estabelecida ou tenha sua sede, desde que o dado violado seja relativos a cidadãos ou residentes da Comunidade Europeia, ainda que tais pessoas tenham mais de uma cidadania. Segundo a General Data Protection Regulation "dado pessoal" significa qualquer dado relacionado a, que identifique ou descreva ou ainda possa ser associado com uma pessoa (sujeito dos dados, na letra da lei).  Assim, dado pessoal do indivíduo é não só seu nome, números de documentos e endereços, mas também suas respectivas identificações criadas nos próprios sites das companhias, informações online como endereços de IP, cookies, dados de GPS ou de suas localizações, informações biográficas como crença ou credo, raça, cor, sexualidade ou gênero, situação econômica presente ou pretérita, marcas pessoais físicas inatas ou não (como tatoos, p. ex.) etc.  Para a General Data Protection Regulation qualquer coleta, venda, cessão ou uso dos dados pessoais constitui "processamento" de dados e as organizações devem ter expressa autorização para fazê-lo o que geralmente ocorre através de "termos de consentimento" online e/ou pop ups a serem respondidos ou preenchidos antes de acessar o conteúdo das organizações. A legislação em tela ainda visa impedir que as organizações mantenham dados pessoais desnecessários em seus bancos de dados, estabelecendo que elas somente podem processar dados estritamente necessários a objetivos bem definidos do negócio. Inclusive, se os dados pessoais são coletados para um propósito específico, a mesma organização não poderá usá-los para outro fim, sem o consentimento do sujeito dos dados. Do mesmo modo, a mesma organização não pode transferir dados colhidos na área da União Europeia a suas coligadas, subsidiárias ou afiliadas, estabelecidas fora daquela área, exceto sob circunstâncias específicas que envolvem defesa de estado, defesa da organização ou contratos que contenham autorizações e clausulas expressas nesse sentido. Nem mesmo o e-mail da pessoa coletado para um fim pode ser objeto de campanhas de marketing sem expresso consentimento do sujeito dos dados. Esta legislação, assim como as demais não especifica as medidas de segurança de dados a ser implantada pelas empresas, apenas exigindo que as organizações tenham implementadas as medidas e precauções necessárias para a segurança dos dados, sob as penas que especifica no caso de não conformidade.  É sabido, todavia, que as medidas de segurança mais amplas e profundas não têm sido capazes de assegurar completamente a não invasão ou quebra dos sistemas de dados, mesmo na EU.  A despeito disso, a General Data Protection Regulation exige que as políticas se segurança de dados das empresas sejam claras e de fácil acesso e compreensão pelos cidadãos que protege. Os principais direitos e obrigações que a General Data Protection Regulation defende são: Políticas de privacidade e proteção de dados que deixam claro: Que dados pessoais são coletados; Por que e como tais dados estão sendo processados; Qual a base legal para uso desses dados; Se os dados serão compartilhados e com quem; Que o sujeito dos dados a opção de não concordar com o processamento de seus dados. Principais obrigações das organizações: Mediante simples requerimento do sujeito dos dados: Criar e fornecer relatórios de todos os dados captados; Deletar todos os dados captados e armazenados; Fornecer os dados captados e/ou processados em linguagem computacional; Usar dados acurados - corretos e atualizados. Informar os sujeitos dos dados, em 72 horas se houve quebra do sigilo dos dados ou se seus dados foram expostos sem a devida autorização. Dar ao sujeito dos dados a opção de "sair com seus dados" de serviços específicos; Uma outra especificidade que a General Data Protection Regulation trouxe foi a necessidade de se ter na organização, não só um Data Protection Officer ("DPO"), mas também um Chief Privacy Officer ("CPO"), fazendo com que as organizações tenham que criar tais posições dentro de seus organogramas. Quanto às penalidades, a General Data Protection Regulation distingue entre (i) non compliance com seus termos e (ii) quebra da proteção de dados. O primeiro pode ter penas de ? 10 milhões ou 2% do faturamento bruto global da organização, e o segundo caso pode ter penas de ? 20 milhões ou 4% do faturamento bruto global da organização, sempre valendo o que for maior. O California Consumer Privacy Act CCPA, por sua vez foi modelado à imagem e semelhança da General Data Protection Regulation pelo maior estado dos Estados Unidos da América, todavia com algumas diferenças relevantes. Com eficácia sobre as empresas e os sujeitos dos dados estabelecidos na Califórnia, esta lei dá a tais sujeitos um maior controle e visibilidade sobre os seus dados pessoais coletados/processados, ao mesmo tempo que exige dos negócios uma maior transparência sobre a coleta e processamento de dados pessoais e dos dados dos householdings.  Interessante a menção do sujeito dos dados protegidos:  "household".  Não existe no próprio Ato uma definição explicita da palavra household, mas é consenso que se refere a dados de família ou de um núcleo familiar. É obrigatória sua observância em todos os ramos de atividades e vem sendo tida como a inspiração para uma legislação nacional americana unificada.  Importante dizer que, no estado da Califórnia, ainda existem o California Online Privacy Protection Act ("CalOPPA") e o California Consumer Privacy Act. Uma importante diferença entre o California Consumer Privacy Act e a General Data Protection Regulation é que o primeiro se aplica apenas a quem faz negócios com fins lucrativos, na Califórnia, coletando dados de sujeitos residentes na Califórnia e, concomitantemente: Tem faturamento anual bruto de pelo menos US$ 25 milhões; e/ou, Armazena dados de 50 mil residentes, famílias ou equipamentos pessoais ao ano; e/ou, Gera mais de 50% de seu lucro com a venda de dados pessoais de residentes da Califórnia.  Empresas que fazem negócios na Califórnia, segundo a legislação civil do estado, é aquela que: Está baseada na Califórnia; Tem empregados na Califórnia; e/ou, Tem conexão com a Califórnia através de propriedades imobiliárias ou vendas recorrentes a consumidores daquele estado.  O California Consumer Privacy Act admite implicitamente a coleta de dados por ferramentas de tracking e/ou tecnologias relacionadas, tanto que suas disposições se aplicam "a dados pessoais coletados por ferramentas de tracking e tecnologias similares".  E admite ainda o processamento e venda de dados de residentes da Califórnia, desde que a tais sujeitos dos dados tenha sido dada, de forma clara, a opção de se oporem ao fato.  O mesmo ocorre com o uso de e-mails ou outros dados para fins de marketing, ou transferência de dados para fora da Califórnia ou dos EUA. Enquanto na Comunidade Europeia, o sujeito dos dados tem que autorizar expressamente tais usos de seus dados, nos EUA basta que a eles seja dada, de forma explicita, a opção de se negar ao uso de tais dados para determinados fins. A única exceção é em relação aos menores de 17 anos. Para estes: Se estiverem abaixo de 13 anos, precisarão que seus responsáveis legais autorizem a obtenção e/ou processamento de seus dados expressamente; Se estiverem entre 13 e 16 anos deverão autorizar pessoalmente a obtenção e/ou processamento de seus dados expressamente. À semelhança da General Data Protection Regulation, o California Consumer Privacy Act não determina quais medidas de segurança são necessárias às empresas, mas, diferentemente daquele regramento, no caso de quebra de sigilo de dados, dá liberdade para a empresa agir na correção e a penalidade somente será aplicada se ficar comprovado que a empresa não tomou as "medidas possíveis" - termo bastante vago - para a proteção dos dados ou correção do problema havido.  Não há um prazo específico ou requisitos específicos para comunicação e atuação sobre a quebra de sigilo, no California Consumer Privacy Act, muito embora outras legislações (americanas e mesmo californianas) tratem da matéria.  Da mesma forma, não exige a presença ou indicação de um CDO ou DPO nos negócios. Os principais direitos tutelados pelo California Consumer Privacy Act são: Requer e receber informações sobre quais dados seus estão armazenados em prazo de 45 dias; Ter seus dados alterados ou deletados mediante requerimento e sem custo, com poucas exceções; Escolher se permitem ou não compartilhamento e/ou venda de seus dados com terceiros; Manutenção do preço dos serviços independentemente dos requerimentos dos consumidores ou das obrigações a serem cumpridas para o compliance com o California Consumer Privacy Act. A California Privacy Protection Agency terá poderes para multar transgressores, realizar audiências e inquirições sobre violações de privacidade e/ou de dados pessoais, esclarecer dúvidas e criar diretrizes de privacidade para regulações posteriores. É um conselho de cinco membros e começa a vigorar seis meses após a entrada em vigor em 1º de julho de 2023. Atualmente, o estado da Califórnia, baseado no California Consumer Privacy Act, pode impor penalidade de até US$ 7.500 por violação, e somente se a organização não conseguir resolver o problema dentro de 30 dias. Em paralelo, o sujeito dos dados pode buscar reparação civil de até US$.750 por incidente, mais os custos do processo. Continuaremos, no próximo periódico, abordando os dois últimos regramentos objeto deste artigo, que comporão a Parte III e última do texto:  a recentíssima legislação Sul Africana - POPIA e a LGPD do Brasil. *Renata Marcheti é professora Doutora da USP, Advogada e Membro Fundadora do Instituto Avançado de Proteção de Dados (IAPD), instituo este que conta com vários membros dedicados à pesquisa aplicada em matéria de proteção de dados pessoais. __________ 1 General Data Protection Regulation - A GDPR foi adotada pelo Parlamento Europeu em abril de 2016 passou a ser vigente com eficácia total a partir de Maio de 2018. Acessado em 01/7/2021. 2 California Consumer Privacy Act - CCPA passou a viger na Califórnia em 2018. Acessado em 01/7/2021. 3 Protection of Personal Information Act - POPI Act ou POPIA, passou a viger com eficácia plena em 1º de julho de 2021, tendo sito editada pelo Parlamento da África do Sul em 2020.  4 Lei Geral de Proteção de Dados - LGPD de agosto de 2018, regula a proteção de dados de pessoas físicas e jurídicas no Brasil.

Preliminares Nesta mesma coluna, da última sexta-feira, 16 de julho, o artigo "Segurança cibernética em escritórios de advocacia" aborda, em seu início, um elenco de crimes cibernéticos que afrontam, não só os escritórios de advocacia, mas uma série de outras instituições. No início deste mês, dois órgãos nacionais foram acusados de vazamento de dados, a Dataprev e o Instituto Nacional do Seguro Social (INSS). O Instituto de Defesa Coletiva, alega a ineficiência dos órgãos federais em manter seguros os dados dos segurados, assim impetrou uma ação civil pública na 17ª Vara da Justiça Federal de Minas Gerais [FDR, 2021] [EXTRA-GLOBO, 2021]. Alguns são acusados de serem reincidentes, como é o caso do LinkedIn, acusado de vazar dados pessoais de 700 milhões de usuários, ou seja, 93% dos usuários cadastrados na plataforma [UOL, 2021]. Infelizmente a lista de malandragens cibernéticas não se limita ao vazamento de dados, e cobre um largo espectro falcatruas. Outra trapaça ainda muito comum é o sequestro de dados, os já famosos ransomwares, que são ataques cibernéticos que sequestram dados na intenção de cometer outro crime, a extorsão. Recentemente o grupo Fleury, uma grande organização de serviços médicos no país, ficou com os sistemas fora do ar, e também, a empresa alimentícia JBS dos EUA teve suas operações de processamento de carne, tanto nos EUA, quanto na Austrália, impactadas. Poderíamos aqui listar inúmeros casos deste tipo desfalque. Se fizermos uma busca na web por palavras-chave tais como "vazamento de dados", "crimes cibernéticos" e semelhantes, poderemos nos certificar do lastimoso número de casos noticiadas. Isso sem contar os casos das empresas e instituições de pequena expressão que não chegam na mídia. Segundo a pesquisa realizada pela empresa PSafe, e divulgada pela CNN [CNN, 2021], este ano já foram vazados os 4,6 bilhões de credenciais na rede e, certamente, mais dados virão à tona. O elenco de "safadezas" cibernéticas é muito mais diversificado do que as inúmeras estratégias dos "mocinhos" de T.I. cuja imaginação não foi capturada pelo capiroto e seus algozes. Não obstante, ao meu ver, a lógica invertida das acusações que punem os detentores de dados por não acrescentarem outro "cadeado na porta já trancada dos dados", esses desfalques sobre os dados alheios devem ser minimizados, quiçá, aos olhos dos iludidos, eliminados. Antes de chegarmos nos pontos de silos e despacho de dados, antes mesmo dos algoritmos de anonimização que podem apenas dissipar o ímpeto do invasor pirata e dos firewalls que filtram dados e acessos, devem reinar absoluto para segurança dos dados a governança e a gestão destes. Governança e Gestão de dados Foi-se o tempo que contabilizávamos os ativos computacionais de uma instituição pelo seu parque computacional, pelos sistemas de gerenciamento de dados e os sistemas de comunicação. Há tempos, os mais valiosos ativos de uma empresa são os dados, os meus, os seus dados e os nossos. Hoje é fácil ver como os information assets monetizam e rentabilizam as maiores empresas, em valor de mercado, do planeta: Apple e Microsoft. Em termos leigos, do que adianta termos um super sistema seguro de processamento e armazenamento de dados pessoais se, quando um cliente faz contato com uma empresa, algum funcionário anota em papel alguns dados pessoais do cliente para realizar um procedimento? Ou ainda, quando recebemos uma encomenda e notamos que na etiqueta impressa no pacote constam metadados que revelam vários dados pessoais nossos? Para estes casos, o que falta para prevenir o vazamento de dados? Governança ou gestão de dados? Em termos amplos, a governança de dados define-se pelos relacionamentos entre os líderes da empresa, seus colaboradores, os acionistas e os usuários de seus serviços. Relacionamento este que define os objetivos organizacionais e monitora o seu desempenho. Quando afunilamos para o universo dos dados, podemos citar o trabalho de Khatri e Brown [KHATRI; BROWN, 2010] os quais definem governança como as decisões que devem ser tomadas para garantir a gestão e o uso eficaz dos ativos de dados, e quem como quem toma as decisões; enquanto também definem a gestão de dados como a tomada e implementação de decisões. Pode parecer que o tema de governança e gestão de dados passa ao largo da LGPD, muito longe da área jurídica, mas é interessante como praticamente qualquer abordagem que tomemos sobre esse tema de governança e gestão este se funde perfeitamente à lei, a parte dos detalhes, mas em seus princípios. Para os mais afoitos, tomemos como exemplo os caminhos seguidos no clássico livro de Peter Weill e Jeanne Ross Ross [WEILL; ROSS, 2004]. Nesta obra a arquitetura de todo processo de decisão e reponsabilidade sobre os dados, ou seja, a governança de dados, recai sobre cinco domínios de decisão, que são: a) o domínio dos princípios; b) o domínio da arquitetura; c) o domínio da infraestrutura; d) o domínio dos negócios e aplicações; e, finalmente, e) dos investimentos e prioridades. Pode não parecer, mas os cinco campos decisórios estão interrelacionados. O domínio dos princípios esclarece as funções que a TI desempenha na organização, ou ainda, se é função principal ou acessória. Este domínio orienta as decisões do sistema de arquitetura computacional, os quais, por sua vez, orientam a infraestrutura necessária para consecução das funções da empresa. Os recursos de infraestrutura da organização permitem avançar nos negócios da lógica e aplicação dos negócios. A necessidade de novas aplicações de negócios pode criar novos requisitos, os quais movimentam toda estrutura anterior e abre opções para novos investimentos e prioridades. Foquemos nos primeiros três: o domínio dos princípios orienta as decisões da organização. É neste momento que podemos tomar a decisão por dados mínimos e a decisão de priorizar a anonimização de dados. Dois dos princípios fundamentais da LGPD. Destes princípios nascem as necessidades no domínio da arquitetura do sistema, das necessidades de software que garanta a anonimização, o tratamento dos dados, bem como seu armazenamento seguro. Esse design de engenharia de software, de arquitetura de software e requisitos, avança para as prioridades de infraestrutura, ou seja, mecanismos de proteção de dados como redes de dados seguras, armazenamento seguro de dados (storage em nuvem, por exemplo), firewall, criptografia como medida secundária de proteção, assinatura eletrônica, entre outros. Analogamente à Weill e Ross, os estudos mais recentes de Khatri e Brown [KHATRI; BROWN, 2010] chegam a resultados semelhantes com uma proximidade ainda maior à LGPD. Neste estudo Khatri e Brown definem um arquétipo, um framework, para governança de dados também baseados em cinco eixos: a) dos princípios sobre os dados (como Weill e Ross); b) da qualidade dos dados; c) dos metadados (reparem na inovação); d) do acesso aos dados; e, e) do ciclo de vida dos dados. Reparem que neste modelo, os recursos físicos de TI, os ativos de infraestrutura, ficaram na saudade. Vamos abordar cada um na vicinalidade da LGPD. A) Data principles: Para estabelecer esse princípio devemos responder à questões básica, tais como:  Quais dados a organização precisa para realizar suas operações? (reparem o vínculo como o princípio dos dados mínimos sugeridos na LGPD); Como esses dados são usados nos mecanismos de comunicação internos e externos? (lembram-se das encomendas postais?); Os colaboradores reconhecem os dados como ativos da organização?; Como compartilhar e reutilizar os dados identificáveis?; e, Como o ambiente regulatório influencia nos negócios da organização? Todos estes aspectos respondidos nas questões acima refletem nas decisões sobre a propriedade dos dados, os deveres dos operadores, controladores, dos consumidores e, certamente, implicam em direcionar a organização para a instituição de uma política extensiva de governança e gestão de dados. Faltou citar anonimização aqui? Claro que não, a LGPD está hoje mais incluída do que nunca neste eixo. É a preocupação mor de todo controlador. B) Qualidade de dados: O nome é sugestivo deste eixo que estabelece os requisitos para o uso pretendido dos dados, ou seja, o tratamento responsável dos dados. Para estabelecer este princípio a equipe de gestão de dados deve estabelecer padrões para a completude, qualidade e credibilidade dos dados. Para tanto, esperamos a ação de especialistas em qualidade de dados, em gerentes de qualidade e programas contínuos de avaliação de resultados. C) Metadados: Estabelece a "semântica" dos dados, ou melhor, qual é o conteúdo interpretado pelos colaboradores e usuários destes dados. Esse princípio claramente encontra respalda na transparência dos dados à pessoas que forneceram estes dados. Ou ainda, invoca a possibilidade de todos, colaboradores, usuários e fontes dos dados, serem informados e questionados não apenas sobre os fatos atestados pelos dados, mas de como a sua organização pode ser interpretada. Já debatemos os metadados nesta coluna. Leiam "Cookies: doces ou travessuras na LGPD" e"LGPD, qual é a cor do meu sapato?". Agora, de modo mais imediato... D) Acesso aos dados: Quais são os requisitos para acesso aos dados? Uma pergunta simples, objetiva, e que realmente levanta a questão de segurança dos dados pessoais. Não só da segurança, mas como também da anonimização. Se este ponto "escapou" da verificação no primeiro eixo, dos princípios, desta "peneira" ele não passa. Respostas a questões como estas, a seguir, clarificam o acesso aos dados: Qual a relevância dos dados pessoais para nosso negócio? Quem irá estabelecer os riscos de acesso aos dados? Existe alguma norma de compliance a ser seguida? Quais são os programa educativos sobre a importância do tratamento de dados na organização? Como são realizadas as cópias de segurança e recuperação destes dados? E, finalmente E) Ciclo de vida dos dados: Como os dados são adquiridos, tratados, armazenados e, eventualmente, removidos e apagados do sistema? A LGPD e, certamente, e a ANPD, Autoridade Nacional de Proteção de Dados, fazem e farão deste eixo sua praia favorita. A legislação para retenção e arquivamento destes dados, além dos processos envolvidos, ainda tem muito que evoluir neste eixo. O ciclo de vida incorpora o cerne do tratamento de dados pessoais, do seu "nascimento" ao destino final. Acredito que visão dos dados pessoais fragmentada nestes eixos amplia a forma como entendemos as fragilidades, ou virtudes, de um sistema computacional que lida com dados pessoais. Estes frameworks possibilitam abrir a "caixa de Pandora". Como na criação de Hefesto, a abertura desta caixa poderá libertar de seu interior todos os males até então desconhecidos pelos controladores de dados. No entanto, ao curador ainda infunde-se a tentação de fechá-la e, ao fechar a caixa, como Pandora fez, ele mantém em seu interior apenas a esperança. Esta esperança que mantemos aqui, a esperança que estes modelos de governança e gestão de dados possam ao menos minimizar estes episódios de crimes cibernéticos ou mitigar os danos aos usuários. Referências bibliográficas OLIVEIRA, C. G. B & MINTO, G. A. R. Segurança cibernética em escritórios de advocacia. Migalhas. Migalhas de Proteção de Dados. No. 5.148.  FDR, Dataprev e INSS são acusados de vazamento de dados dos pensionistas; e agora? 2 de julho de 2016. Disponível aqui. EXTRA-GLOBO, Vazamento de dados de aposentados do INSS vai parar na Justiça. 30 de julho de 2021. Disponível aqui. UOL, LinkedIn é alvo de nova denúncia de vazamento de dados. 29 de junho de 2021. Disponível aqui. CNN, O mundo já registra 4,6 bilhões de dados vazados em 2021, diz PSsafe. 21 de julho de 2021. Disponível aqui. KHATRI, Vijay; BROWN, Carol V. Designing data governance. Communications of the ACM, v. 53, n. 1, p. 148-152, 2010. Disponível aqui. WEILL, Peter; ROSS, Jeanne W. IT governance: How top performers manage IT decision rights for superior results. Harvard Business Press, 2004.  *Evandro Eduardo Seron Ruiz é professor Associado do Departamento de Computação e Matemática, FFCLRP - USP, onde é docente em dedicação exclusiva. Atua também como orientador no Programa de Pós-graduação em Computação Aplicada do DCM-USP. Bacharel em Ciências de Computação pela USP, mestre pela Faculdade de Engenharia Elétrica da UNICAMP, Ph.D. em Electronic Engineering pela University of Kent at Canterbury, Grã-Bretanha, professor Livre-docente pela USP com estágios sabáticos na Columbia University, NYC e no Instituto de Estudos Avançados da USP (IEA-USP). Coordenador do Grupo de Pesquisa "Tech Law" do IEA-USP. Membro fundador do Instituto Avançado de Proteção de Dados - IAPD.

1. Introdução No dia 3 de abril de 2016, veio à tona um escândalo: "o vazamento de 11,5 milhões de documentos de um escritório revelou como personalidades do mundo criam empresas offshore na tentativa de evadir impostos"1. Trata-se do caso conhecido como "Panama Papers", que envolveu o escritório de advocacia panamenho "Mossack Fonseca", especializado na criação de offshores, que após um ataque hacker em seu servidor de e-mail, culminou na divulgação de dados de transações de diversos clientes do mundo todo. No mesmo ano, ao longo das negociações sobre fusão de dois importantes escritórios de advocacia da cidade de Nova Iorque (Cravath, Swaine & Moore e Weil Gotshal & Manges), hackers invadiram os sistemas que estavam sendo reestruturados, acessando informações valiosas, como documentos financeiros dos clientes e negociações confidenciais ,que lhes renderam em torno de US$ 4 milhões de dólares2 pelo "sequestro de dados". Em 2019, o CNJ teve uma invasão em 94 bancos de dados de seu sistema. Neste caso, números de contas bancárias, telefone, CPF e credenciais de acesso aos serviços mantidos pelo CNJ foram os alvos dos hackers3. Em agosto de 2020, a Ordem dos Advogados do Brasil nacional expôs dados pessoais de advogados e advogadas, por meio de uma falha no seu sistema interno de armazenamentos de dados dos profissionais do direito4. As notícias acima evidenciam o crescente aumento dos ataques cibernéticos no espaço jurídico. As informações, entretanto, não se limitam ao âmbito privado, sendo que no último ano também foram noticiadas invasões em sites do Poder Judiciário. Em novembro de 2020, o alvo foi a rede e sistemas do Superior Tribunal de Justiça5, cujas atividades ficaram suspensas por 07 dias.  No mesmo ano, o Tribunal Regional Federal da 1ª Região e o Tribunal de Justiça do Rio Grande do Sul também foram vítimas dos invasores e, recentemente, o Supremo Tribunal Federal teve suas atividades paralisadas6. Neste contexto, sobretudo em um cenário de pandemia, em que os escritórios e empresas paralisaram suas atividades e os funcionários acessam os sistemas por meio de suas redes particulares, cresce a preocupação sobre o aumento nos ataques de hackers. Um dos aspectos mais importantes na relação advogado-cliente é a confiança. O dever de sigilo profissional e de eticidade está amparado por disposições previstas no Código de Ética da OAB7. Diante disso, para que os advogados prestem assistência jurídica adequada aos seus clientes devem ter conhecimento básico quanto ao funcionamento de dispositivos eletrônicos e redes sociais. Os ataques ocorrem pelos mais variados motivos8. São dados pessoais e confidenciais que estão sendo retidos a fim de, muitas vezes, render lucros a quem os detenha, sejam eles financeiros ou pessoais. No caso da invasão ao site do Tribunal do Rio Grande do Sul, por exemplo, os hackers acessaram todas as informações processuais armazenadas no banco de dados (arquivos sigilosos, dados de pessoas e funcionários como declarações de imposto de renda e remunerações) e exigiram pagamento em bitcoins como resgate das informações hackeadas9.  2.    Por que os escritórios são as novas vítimas de ataques cibernéticos? As notícias acendem um alerta vermelho e passamos a questionar as razões dos alvos preferenciais serem as firmas de advocacia em detrimento das próprias empresas. Primeiro, os hackers são atraídos pela quantidade e pela qualidade de documentos disponíveis em escritórios de advocacia, incluindo dados financeiros confidenciais de clientes, e dos próprios funcionários, estratégias de negociação, transações, fusões. Logo, infiltrar-se em sistemas das firmas de advocacia é um ótimo método de obtenção de dados pessoais e informações pessoais sensíveis, permitindo até mesmo uma forma de manipulação do mercado. Além disso, os escritórios muitas vezes têm um sistema de segurança pior do que os seus clientes10. Isso porque muita segurança pode ser um problema. Altos padrões de proteção implicam em escolhas de diferentes senhas para acesso em cada arquivo, contas de e-mail, criptografia de arquivos e outras medidas. Do mesmo modo, priva os profissionais de acessarem dados pessoais sensíveis por seus dispositivos móveis e tudo isso pode implicar em perda de eficiência e de produtividade11. Por fim, nós nos deparamos com uma questão cultural. Os escritórios de advocacia, tradicionalmente, são pensados como uma sociedade em que todos os funcionários são parceiros e co-proprietários da empresa. Em um ambiente em que todos são "chefes", torna-se difícil impor padrões de segurança que podem ser considerados analógicos e ineficientes12. Ocorre que a falta de investimento em padrões de segurança coloca em risco informações sigilosas de clientes e afeta diretamente os deveres de ética e de sigilo profissional, mandamentos fundamentais na advocacia. Neste cenário, cresce a pressão para que os escritórios invistam em cibersegurança e mantenham a confiança de seus clientes13.  3.    Os modelos de conduta norte-americana A experiência norte-americana, após os ataques que mencionamos no início deste artigo, fez com que a Ordem dos Advogados dos Estados Unidos - American Bar Association (ABA) - editasse uma série de recomendações para que os profissionais lidem de modo adequado com o grande volume de dados que lhes são confidenciados e com as novas tecnologias implementadas em seus escritórios; evitando, portanto, expor dados de seus clientes. Embora sempre tenha havido uma base legal e ética para proteger as informações confidenciais, essa responsabilidade ficou ainda mais clara com a emissão do Parecer Formal n. 483 da ABA. No documento, há instruções sobre a necessidade de se criar um time de TI no escritório, de fornecer treinamentos constantes à equipe de modo a assegurar o melhor uso das mais recentes tecnologias e de impor o dever de notificação e de transparência aos clientes sobre eventuais invasões cibernéticas14. Recentemente, em 10 de março de 2021, a ABA emitiu um novo Parecer Formal (Formal Opinion 496) preocupada em estabelecer normas de conduta para o home office. A ABA recomenda, por exemplo, que os escritórios criem protocolos para o trabalho remoto indicando as condutas que devem ser adotadas para garantir a confidencialidade dos dados pessoais e informações de seus clientes, bem como que se evite o uso de sistemas de Wifi não seguros (como em cafeterias e locais públicos, em que é comum vermos profissionais trabalhando) para transmitir e armazenar documentos de clientes, evitando assim que os dados estejam mais vulneráveis. A "Opinion 496" aborda as principais considerações éticas relacionadas a prática virtual da advocacia, dentre elas: (i) os advogados devem garantir que os sistemas de hardware e software  estejam protegidos contra acessos não autorizados, utilizando criptografia, antivírus, e roteadores seguros, (ii) documentos virtuais e plataformas de troca, como as de e-mail, devem garantir os recursos de segurança adequados, (iii) necessidade de se observar a capacidade de escuta dos dispositivos como alto-falantes inteligentes e garantir que essas funções estejam desabilitadas para evitar o acesso não autorizado, (iv) as reuniões e sessões por vídeo-conferência devem ser acessadas apenas por meio de senhas fortes e não devem ser ouvidas ou vistas por terceiros e as gravações são desaconselhadas na ausência do consentimento do cliente e, finalmente, (v) os advogados devem estar cientes dos limites do trabalho virtual e evitar, por exemplo, receber documentos confidenciais de clientes fora do escritório em situações em que o meio eletrônico não seja uma opção15. Ainda que o mundo esteja caminhando para a superação da pandemia com indícios de que a vida "normal" será retomada, a prática remota se tornará cada vez mais comum e o trabalho do escritório passará a depender cada vez mais da tecnologia, sendo que as recomendações acima expostas permanecerão relevantes mesmo com o retorno dos advogados aos seus escritórios de forma presencial. Outro aspecto também relacionado ao vazamento de dados inclui a preocupação da ABA em regulamentar o uso das redes sociais pelos advogados, já que se a ferramenta for utilizada indevidamente, o profissional pode expor dados pessoais de seu cliente em uma postagem. Sobre o tema, a ABA editou mais um Parecer Formal (Formal opinion 480) reiterando que o dever de confidencialidade do advogado se aplica a todos os lugares, inclusive na comunicação online. O documento veda postagens em que são expostos detalhes sobre casos e descrições de cliente, ainda que se ocultem as identidades dos personagens principais, submetendo a publicidade ao consentimento16.  4.    A regulamentação do uso de tecnologias no Brasil No Brasil, o Provimento 94/00 dispõe sobre a publicidade, propaganda e informação na advocacia. Em razão dos avanços tecnológicos desde a edição do documento, os Conselheiros do Conselho Federal da Ordem dos Advogados do Brasil  estão se reunindo para aprovar modificações em alguns artigos, notadamente, no que diz respeito à publicidade e ao marketing na advocacia, pois é o meio pelo qual os profissionais estão se apresentando para o mercado a fim de angariar a atenção e o respeito da sociedade em geral, estabelecendo cada vez mais vínculos profissionais Atualmente, foram aprovados os quatro primeiros artigos do novo provimento que visa a disciplinar as regras de publicidade na advocacia17. Dessa maneira, o marketing digital foi autorizado pelo Conselho Federal da OAB para a divulgação dos serviços advocatícios; contudo, os anúncios impulsionados devem possuir caráter informativo e serem sóbrios, não devendo estimular a ocorrência de litígios. Ainda é necessária a aprovação de outros oito artigos para que a proposta de alteração do Provimento 94/00 seja efetivada na integralidade. Assim, cumpre à comunidade jurídica acompanhar as discussões sobre este importante assunto que mudará a maneira como os escritórios e advogados realizarão a sua comunicação no ambiente virtual. 5.    Reflexões finais Não se ignora os louváveis esforços para atualizar as regras de conduta dos profissionais frente às evoluções sociais. Contudo, ainda carece de regulamentação o uso das tecnologias nos escritórios visando a coibir o vazamento de dados pela invasão em seus sistemas. Importando a experiência estrangeira, a OAB poderia ofertar treinamento para que os advogados possuam conhecimento básico quanto ao uso de tecnologias e aos riscos de seu emprego. Os escritórios, por outro lado, deveriam estabelecer um modelo de governança de dados, registrar as atividades que envolvam o tratamento de dados pessoais (mapeando os dados tratados), determinar controle de acesso a informações conforme as funções desempenhadas por cada colaborador e, por fim, revisar os contratos firmados com os clientes, colaboradores e fornecedores, incluindo cláusulas específicas de proteção de dados de acordo com as especificidades da relação contratual firmada. A internet, sem dúvidas, propiciou maior facilidade de comunicação e transmissão de informações entre clientes e advogados e ao mesmo tempo traz também mais obrigações quanto ao sigilo de dados. Este artigo longe de propor soluções, visou a demonstrar a prioridade máxima que deve ser concedida à segurança cibernética nos escritórios de advocacia, eliminando ao máximo a possibilidade de invasões e garantindo que seus clientes estejam a salvo de vazamento de dados e de informações. ___________ 1 Clique aqui. 2 Clique aqui 3 Clique aqui.  4 Clique aqui.  5 Clique aqui.  6 Os recentes ataques cibernéticos ao Poder Judiciário e a LGPD. 7 Art. 25: O sigilo profissional é inerente à profissão, impondo-se o seu respeito, salvo grave ameaça ao direito à vida, à honra, ou quando o advogado se veja afrontado pelo próprio cliente e, em defesa própria, tenha que revelar segredo, porém sempre restrito ao interesse da causa". 8 Clique aqui.  9 Clique aqui. 10 EZEKIEL, Alan W., Hackers, spies and stole secrets: protecting law firms from data theft in Harvard Journal of law and technology, v. 26, n. 2, 2013. Disponível em clique aqui.   11 COURSEY, David., Study: hacking password easy as 123456 em clique aqui. 12 EZEKIEL, Alan W., op. cit., p. 656. 13 MCNERNEY, Michael; PAPADOULOS, Emilian. Hacker's Delight: Law Firm Risk and Liability in the Cyber Age. American University Law Review 62, n. 5, 2013, pp. 1243-1272. Disponível em clique aqui.  14 Clique aqui.  15 Clique aqui. 16 Clique aqui.  17 OAB libera impulsionamento pago de conteúdo jurídico sem captação de clientela. 

PANORAMA GERAL A  lei 13.709/18 além de consagrar em nosso ordenamento jurídico, o microssistema de proteção de dados que até então era basicamente composto de forma menos abrangente por outras legislações temáticas, instrumentaliza a dinâmica que contribui para o incremento da importância e do valor dos dados pessoais, a ponto de gerar a sua ressignificação monetária, provocando profundas modificações culturais e a necessidade de adaptação em diferentes setores da sociedade em relação aos cuidados e obrigações decorrentes do conjunto de direitos dos titulares de dados pessoais que devem se harmonizar com as  obrigações dos agentes de tratamento de dados. Aliás, o tema está intrinsecamente relacionado ao dia a dia das pessoas, especialmente na sociedade da informação, em que a utilização indiscriminada de redes sociais e de atos corriqueiros como contratações, fornecimento de dados para cadastramento, realização de negócios jurídicos diversos, entre outros, é uma constante. Newton De Lucca, deixa claro a importância do tema da proteção de dados pessoais ao mencionar: "Quando se fala em proteção de dados pessoais, não se está falando de um simples modismo tão a gosto dos oportunistas de plantão. Muito ao contrário, estamos tratando, antes de tudo, dos caminhos a serem tomados pela própria humanidade".1 Precisamos refletir como serão tutelados e, principalmente, como serão efetivados na prática, tais direitos que pertencem ao ecossistema de proteção de dados brasileiro, de forma a não sobrecarregarmos (ainda mais) o Poder Judiciário, uma vez que não é demasiado supor que ao mesmo tempo em que crescem os instrumentos protetivos dos titulares de dados, cresce também a perspectiva financeira e interesses sobre os mesmos dados, potencializando possíveis conflitos e aumento no número de demandas judiciais.   Aliás, devemos ponderar que o Poder Judiciário está sobrecarregado e que, por muitas vezes, não traz a resposta buscada pelas partes. Como bem pontua Guilherme Magalhães Martins: "Por um lado, a exaustão do modelo tradicional de resolução de conflitos é algo que não pode ser desconsiderado, de modo que o processo judicial, durante muito tempo, converteu-se na única resposta que se oferece para qualquer embaraço no relacionamento entre as partes. A procura pelo Judiciário foi tão excessiva que o congestionamento dos Tribunais inviabilizou o cumprimento de um comando fundante contido na Carta Cidadã, pela Emenda Constitucional 45/2004: a duração razoável do processo"2 Neste cenário, torna-se premente a necessidade de se oferecer respostas rápidas e eficazes aos titulares de dados e à sociedade em geral, de forma cooperativa e colaborativa com a LGPD, sempre com atenção aos ideários da ANPD - Autoridade Nacional de Proteção de Dados. E é exatamente neste contexto que, a partir de uma verificação ligeira do sistema de resolução ética de conflitos, efetivaremos uma proposta colaborativa visando a integração das organizações e empresas, aos princípios voltados para a proteção de dados pessoais.   FORMAS ALTERNATIVAS DE RESOLUÇÃO DE CONFLITO EM BREVE CONTEXTO. Os conflitos são inerentes à sociedade e constituem elementos necessários para a evolução e construção do pensamento dos indivíduos que a integram. Todavia, a mudança da cultura jurídica e da educação constitucional, com vistas a proceder à modificação do estado de beligerância que contempla as relações negociais e pessoais, a partir de uma proposta de mudança do próprio homem voltado para uma educação e cultura que envolva valores éticos e morais mais aprimorados, leva a possibilidade de se buscar mecanismos que possam viabilizar a busca da justiça de forma distinta das soluções jurisdicionadas. Entre os meios clássicos voltados para a solução de conflitos, há modelos intervencionistas heterocompositivos que são métodos de solução de conflitos em que há a presença de uma terceira pessoa estranha ao conflito, magistrado nos procedimentos judiciais ou árbitro nos procedimentos arbitrais (Lei 9.307/96 alterada pela lei 13.129/15), que possui o poder decisório e substitui a vontade dos conflitantes, no âmbito de suas jurisdições (plena ou mitigada), impondo a decisão e formando a coisa julgada material, que deve ser cumprida pelas partes sob pena de execução forçada, conforme os meios legalmente permitidos. Os meios alternativos de resolução de conflitos, também conhecidos pela sigla MARC ou, ainda, internacionalmente, como ADR (Alternative Dispute Resolution), podem contribuir como técnicas e mecanismos utilizados na busca da satisfação de controvérsias, independente da via jurisdicional clássica e se integram no movimento de acesso à Justiça, no âmbito de suas ondas renovatórias tão bem apresentadas por Cappelletti e Garth Bryant.3 Cappelletti é um dos grandes defensores da "justiça coexistencial" composta de técnicas diferenciadas de solução de conflitos que não as jurisdicionais, como forma de assegurar acesso à Justiça.4 Os modelos autocompositivos de solução de conflitos, materializam-se por meio de negociações diretas onde as próprias partes conflitantes possuem o poder decisório sobre suas questões. São procedimentos que não envolvem a intervenção de tribunais e a estabilidade de sentenças e, são praticados com bons ofícios por mediação e conciliação. A mediação é meio de solução de controvérsias entre particulares e diferencia-se da negociação pela presença de um terceiro imparcial e sem poder decisório, escolhido ou aceito pelas partes, que as auxilia e estimula a identificar ou desenvolver soluções consensuais para a controvérsia, facilitando a retomada de diálogo e a pacificação social. (Lei 13.140/15; Resolução nº. 125/10, do CNJ; CPC, art. 3º, parágrafo 3º) Já a conciliação, pode ser caracterizada como uma ferramenta de solução de conflitos em que terceiro imparcial auxilia as partes a identificarem seus reais interesses e utilizarem o diálogo como fonte principal para solucionar os litígios. Porém, ao contrário da mediação, o terceiro imparcial (conciliador) está autorizado a sugerir opções para dirimir as controvérsias, o que não ocorre na mediação. (CPC, art. 3º, parágrafo 3º) Por sua vez, a automediação é técnica de autocomposição direta que busca a solução ética negociada, na resolução de conflitos patrimoniais existentes e em processamento ou em vias de existir. A automediação jurídica, é técnica instrumental desenvolvida por automediadores, profissionais do direito (CPC, art. 3º, parágrafo 3º) que criam cenários e modelos negociais para a contribuição na solução do conflito, independentemente de sua natureza, gerando ambiente de harmonia, confiança mútua e respeito profissional, sobre intenso regramento ético e moral, objetivando a celebração de uma transação final.5 Este conjunto de possibilidades e de tecnicalidades voltadas para a solução ética de conflitos, num autêntico sistema de múltiplas portas, gera alternativas validas e eficientes ao ideário de justiça. E neste ponto são oportunas as palavras de Nancy Andrighi e de Gláucia Falsarella Foley: "É o diálogo e a conduta assertiva, ensinados desde os primeiros passos e em todos os cantos, que têm o condão de conduzir a humanidade ao equilíbrio da vida harmoniosa. A contenciosidade cede lugar à sintonia de objetivos e os rumos da beligerância podem ser abandonados para dar lugar à Justiça doce, que respeita a diversidade em detrimento da adversidade. Descortina-se, assim, uma nova estrada que todos podem construir, na busca do abrandamento dos conflitos existenciais e sociais, com a utilização do verdadeiro instrumento e agente de transformação - o diálogo conduzido pelo mediador, no lugar da sentença que corta a carne viva."6 O NECESSÁRIO DIÁLOGO ENTRE O CPC E A LGPD NA BUSCA DA SOLUÇÃO DE CONTROVÉRSIA A existência da "cultura do litígio", termo utilizado para evidenciar a utilização do Poder Judiciário, através do processo judicial, como mecanismo principal da sociedade para solução de conflito, gera um descompasso entre a celeridade de resolução dos conflitos e a instantaneidade almejada em ambiente de sociedade da informação. Desde há muito as leis processuais civis se reformam e se instrumentalizam, no âmbito do acesso à Justiça, para possibilitar a rápida solução dos litígios e a busca da efetividade, enfatizando e realçando as composições amigáveis entre as partes, como um dos deveres  do magistrado, como previsto no art. 139, inciso II do CPC  que, além de velar pela duração razoável do processo, deve se utilizar de mecanismos voltados para possibilitar a autocomposição entre as partes como os previstos no art. 334 e o art. 3º, parágrafo 2º do mesmo Diploma Legal, que impõe ao Estado o encargo de promover práticas pacificadoras como a conciliação, a mediação e outros métodos de solução consensual de conflitos.  Dialogando-se estes princípios estabelecidos na lei processual com os princípios protetivos da LGPD e formatos de solução de controvérsias, almeja-se um sistema que permita a adequada solução de certos conflitos relacionados à proteção de dados pessoais, considerando-se não só a pronta proteção dos titulares dos dados afetados por algum incidente de vazamento ou de qualquer outro gênero, e a necessidade de se proteger também os interesses institucionais da organização afetada, em um ambiente revestido e impactado pela presença das tecnologias da informação. Desta forma, há que se incentivar o sistema de múltiplas portas, resultante das diferentes possibilidades de resolução de controvérsias, em especial a negociação, a mediação e a conciliação, implementando, desta forma, meios consensuais acessíveis e que evitem o congestionamento do Judiciário, permitindo ao titular de dados uma resposta célere e amigável, satisfazendo seus direitos, e que não precisa ser imposta por sentença judicial. E neste ponto, bem-vinda é a previsão da LGPD que traz em seu artigo 52, parágrafo 7º - dispositivo incluído pela Lei n° 13.853, de 08 de julho de 2019 - a menção expressa da possibilidade de realização de conciliação entre o controlador e o titular de dados pessoais, nos seguintes termos: Art. 52. Os agentes de tratamento de dados, em razão das infrações cometidas às normas previstas nesta Lei, ficam sujeitos às seguintes sanções administrativas aplicáveis pela autoridade nacional § 7º Os vazamentos individuais ou os acessos não autorizados de que trata o caput do art. 46 desta Lei poderão ser objeto de conciliação direta entre controlador e titular e, caso não haja acordo, o controlador estará sujeito à aplicação das penalidades de que trata este artigo.     Independentemente das motivações para inclusão deste parágrafo ou mesmo da atecnia em sua redação - uma vez que utiliza o termo "vazamentos", e que, não inclui, em sua redação, a figura do operador, quando o incidente estiver a ele relacionado - encontramos a expressa menção à conciliação como forma de resolução de conflito.  Caberá à ANPD o desafio de regrar e melhor interpretar o alcance deste dispositivo, fiscalizar o seu cumprimento, bem como lidar com as disputas que devem surgir entre os titulares e os agentes de tratamento de dados. 4. UMA PROPOSTA PARA A IMPLANTAÇÃO DA CULTURA DE SOLUÇÃO ÉTICA DE CONFLITOS EM LGPD O caminho que poderá contribuir para a cultura da proteção de dados no país, parece-nos ser o da criação de um ambiente interativo e operativo, voltado para o uso das bases tecnológicas que são características da sociedade informacional, que facilite a resolução de conflitos e que seja pautado na transparência, eficiência e equidade, como forma de buscar respostas concretas e eficazes às demandas relacionadas à aplicação da LGPD em eventos fatalísticos, independente de sua natureza. A implementação da cultura de solução ética na resolução de conflitos, voltada para a autonomia das partes, perpassa pela facilitação da utilização de quaisquer dos métodos de autocomposição que melhor possam atender à ocorrência e às necessidades do titular dos dados pessoais sinistrados, sem se descuidar de um olhar para a autodeterminação informativa e, poderá gerar a responsividade social e regulatória esperada e adequada. Dentro deste escopo, há que se dialogar os fundamentos da LGPD também com o Código de Defesa do Consumidor, para que se possa melhor verificar uma posição estigmática advinda do art. 5, inciso VII do CDC que cria o sistema de nulidade mencionando que "São nulas de pleno direito, entre outras, as cláusulas contratuais relativas ao fornecimento de produtos e serviços que: VII - determinem a utilização compulsória de arbitragem". Este dispositivo não afasta a ideia da arbitrabilidade em questões que envolvam um Consumidor titular de dados pessoais em incidente decorrente de relação de consumo. O STJ, em acórdão relatado pelo Min. Luís Felipe Salomão, entendeu que "só terá eficácia a cláusula compromissória já prevista em contrato de adesão se o consumidor vier a tomar a iniciativa do procedimento arbitral, ou se vier a ratificar posteriormente a sua instituição, no momento do litígio em concreto". (REsp 1.189.050) Em vários países se populariza a ideia de se facilitar o acesso a este modelo de jurisdição arbitral, no que se convencionou denominar de arbitragem consumerista. Na Espanha este modelo é financiado pelo Poder Público e é voluntário, somente acionado por iniciativa do consumidor. Nos Estados Unidos, a arbitragem consumerista é popular e prevê a cláusula compromissória. Na Argentina há uma arbitragem financiada pelo Estado, sendo pública a oferta de acordo pela empresa. Tanto a UNCTAD (Conferência das Nações Unidas sobre Comércio e Desenvolvimento) como a Organização para a Cooperação e Desenvolvimento Econômico (OCDE), recomendam o uso de plataformas digitais e a adoção da mediação e arbitragem on-line. Com a recente Resolução 358, do CNJ, projetam-se sistemas informatizados de Resolução de Disputas Online (ODR- Online Dispute Resolution) para a resolução de conflitos, voltados à tentativa de conciliação e mediação, no formato de Tribunais on-line. Crescem assim,  as iniciativas voltadas a concepção de  instrumentos múltiplos de solução de controvérsias, a exemplo da efetivada pela  Secretaria Nacional do Consumidor (Senacon) capitaneada pela Presidente Juliana Domingues, por meio de um Centro de Arbitragem de Consumo e do uso da plataforma Consumidor.gov.br, como ferramenta de conciliação funcionando no modelo hub de sistemas de negociações extrajudiciais, incluindo a própria arbitragem, transformando-o em um sistema "multiportas" de solução de conflito on-line do Poder Público.7 Em ambiente favorável à implementação da cultura protetiva de dados e implantação das múltiplas possibilidades na busca da solução de conflitos, há que se criar instrumentos eficazes e controles internos que possam refletir este ideário. Neste cenário propício, caberá aos agentes de tratamento de dados, atuarem de forma preventiva e proativa, utilizando-se de alguns instrumentos, independente dos aspectos sancionadores das normas da LGPD e das imposições regulatórias, como meio de viabilizar a utilização dos métodos extrajudiciais e administrativos para solucionar conflitos. A proposta de instrumentalização destes sistemas, perpassa pelo próprio sistema de governança corporativa da organização ou entidade, quando existente e pelo sistema de governança de privacidade de dados, de maneira que se faça incluir em documentos específicos que forma as políticas gerais e de melhores práticas, a adesão prévia e irrestrita, de auxílio do titular dos dados pessoais que foi vitimado por evento fatalístico, na sua busca da melhor opção de resguardo e satisfação de seus direitos. Enumera-se assim, a título propositivo e meramente ilustrativo, haja vista que existem organizações, empresas e instituições dos mais diversos níveis de grandeza e de sofisticação, algumas das condutas que podem ser proativamente efetivadas:  i) Inserção, de regras de apoio e incentivo a procedimentos voltados para a solução ética de conflitos, independentemente de suas múltiplas portas, tanto nas melhores práticas de governança corporativa, como em   termos e condições de uso, política de privacidade e proteção de dados, política de direito dos titulares de dados, acordos de processamento ou documentos congêneres;  ii) Em contratos de qualquer natureza, inserção de cláusulas específicas que possam disciplinar regimes de negociação direta, automediação ou equivalentes, como formulação prévia para a solução do conflito, possibilitando a construção de modelos econômicos sustentáveis e equilibrados.  iii) Treinamento específico do encarregado e dos agentes de tratamento, para que possam efetivar tratativas de autocomposição. Elaboração de material orientativo ao titular dos dados, onde informe especificamente, quais são os instrumentos de solução de conflitos que estão disponíveis no Brasil, no âmbito do sistema de múltiplas portas e canais digitais disponibilizados para atender aos pleitos, especificamente no contexto da autocomposição. Espera-se que a tomada de decisão na adoção de uma postura ética de soluções de conflitos dos usuários by design, onde se incorpore métodos de negociação, conciliação, mediação e de decisões administrativas, possa estar incorporado à arquitetura dos sistemas, devidamente conjugado aos modelos de negócio, gerando a redução de reclamações da ANPD, de passivos judiciais e sanções.8  5.CONCLUSÃO Neste cenário pós-moderno e futurista onde as tecnologias da informação estão cada vez mais impactando as relações empresariais e humanas, a "cultura da pacificação" deve substituir a "cultura do litígio", para que as partes não só saibam que elas podem, na maioria das situações, solucionar suas próprias controvérsias, como também que possuem o apoio na iniciativa, inclusive institucional por parte dos entes públicos como demonstrado.    Concomitantemente à construção do ambiente voltado para a cultura protetiva de dados, encontra-se a necessidade do incentivo às soluções éticas de conflito propagando-se, divulgando-se e incentivando a utilização dos instrumentos não adversariais ou de instrumentos voltados para a arbitragem consumerista a se desenvolverem no modelo de plataformas digitais. Sobrevirão desafios intensos sobretudo, na ocorrência de incidentes de segurança coletivos e de grandes proporções que atinjam interesses transindividuais. Desafios de caráter objetivo voltados para a contenção dos danos e o ressarcimento decorrentes, como também os desafios regulatórios, entre os quais se encontra a melhor forma de gerar eficiência às disposições preventivas e sancionadoras contidas na LGPD. E será nesta ambiência que a adoção de métodos de solução de conflitos autocompositivos, tanto na construção da forma de contenção dos danos como na sua reparação com a necessária agilidade, contribuirá para a adequada responsividade social e regulatória, restaurando-se a pacificação e harmonização social, no âmbito da racionalidade e certeza esperada. E a proposta de implantação prévia das estruturas que possibilitem o acesso às múltiplas portas de solução de conflito, a critério e opção dos consumidores e titulares dos dados pessoais, sintoniza-se  com os princípios da LGPD, com o regramento da ANPD e facilita o  esperado acesso à Justiça, com reflexos sadios  à comunidade, reduzindo o conflito, aumentando a eficiência e o ambiente protetivo em vias de implantação no pais e melhorando indiretamente a própria distribuição de Justiça, na medida em que haverá a redução da litigiosidade com o consequente fortalecimento das estruturas sociais e jurídicas. E assim, temos o nosso próprio tempo...  ___________ 1 DE LUCCA, Newton. Coluna Migalhas de Proteção de Dados. Yuval Noah Harari e sua visão dos dados pessoais de cada um de nós. Disponível em: clique aqui. 2 MARTINS, Guilherme Magalhães. Coluna Migalhas de Proteção de Dados. ODRs e conflitos repetitivos nas relações de consumo. Disponível em: clique aqui. Acesso em: 05/06/2021  3 CAPPELLETTI, Mauro; Bryant, Garth. Acesso à Justiça. Porto Alegre:Fabris.1988. 4 CAPPELLETTI, Mauro O Autor menciona que deveríamos ser suficiente humildes para reconhecer que podemos ter muito o que aprender com tradições africanas e asiáticas acerca da resolução ética de conflitos haja vista o caráter apaziguador. Os métodos alternativos de solução de conflitos no quadro do movimento universal de acesso à justiça. Revista de Processo. São Paulo: RT. Ano 19, n.74, pag.88. 5 SIMÃO FILHO, Adalberto. Artigo intitulado Automediação - Uma proposta para a solução ética de conflitos - Revista de Direito empresarial, concorrencial e do consumidor. RGS: Magister Editora - Vol. 02 -abril de 2005. __A contribuição da automediação na solução de conflitos e a necessidade de mudança da cultura jurídica beligerante. In:IX Encontro Internacional do Conpedi-Quito Equador. 1ed.Florianópolis: Conpedi- Universidad Andina Simon Bolivar - UASB-Quito-Equador, 2018, v. 1, p. 05-22. 6 ANDRIGHI, Nancy et Foley, Gláucia Falsarella in Artigo intitulado  Sistema Multiportas: o judiciário e o consenso - publicado na  Folha de São Paulo - Caderno Opinião - 24/6/08. 7 VENTURA, Ivan. A arbitragem vai além do futebol. Revista Consumidor Moderno. Março de 2021. Disponível em: https://digital.consumidormoderno.com.br/a-arbitragem-que-vai-alem-do-futebol-ed262/  Acesso em: 05/06/2021 8 MARTINS, Ricardo Maffeis. VAINZOF, Rony. Sanções e judicialização em massa: que este não seja o 'novo normal' da LGPD.  9 BOTTINP, Celina. PERRONE, Chrisitan. CARNEIRO, Giovana. HERINGER, Leonardo. VIOLA, Mario. Lei Geral de Proteção de Dados e Resolução de Conflitos: Experiências internacionais e perspectivas para o Brasil - ITS Rio. Rio de Janeiro. Abril de 2020. Disponível em: https://itsrio.org/wp-content/uploads/2020/04/Relatorio_LGPDResolucaoConflitos.pdf Acesso em: 05/06/2021. 10 Vide também a propósito, a matéria publicada no Estadão - Blog. Fauso Macedo - 10/9/20, onde a Diretora da ANPD Nairane Farias Rabelo Leitão e Fabrício da Mota Neves abordam o tema "Autocomposição em proteção de dados: uma realidade possível.