COLUNAS

  1. Home >
  2. Colunas

Migalhas de IA e Proteção de Dados

Oferecer uma visão 360º sobre a Lei Geral de Proteção de Dados.

Cintia Rosa Pereira de Lima, Cristina Godoy Bernardo de Oliveira, Evandro Eduardo Seron Ruiz, Nelson Rosenvald e Newton de Lucca
sexta-feira, 26 de março de 2021

Está na hora de jogar a toalha para a LGPD?

São poucos os nomes lendários de brasileiros desportistas que não estejam ligados ao futebol. Um desses nomes é do ex-campeão mundial Éder Jofre, na verdade tricampeão mundial, também conhecido como o "Galo de Ouro". Nas TVs em preto e branco, no final da década de 1960 e início de 1970, vimos várias de suas vitórias. Não era raro também ver os técnicos adversários jogarem toalhas no ringue como sinal de abandono da luta em curso e concessão de vitória ao oponente. Isso acontecia quando seu pugilista já apresentava sinais de cansaço e falta de reação. Vou voltar a esse tema mais tarde. Falando de tecnologia e dados pessoais, é praticamente certo dizer que no mundo desenvolvido não existe uma viva alma que não esteja vinculada a um destes gigantes da tecnologia da informação, tais como Google, Apple, Microsoft ou Fabebook. Isso sem contar outros hábeis nichos da web também valiosos como Netflix, Spotfy, TikTok e vários outros. Só como um exemplo, a máquina de busca do Google é responsável por mais de 90% das buscas no mundo [Internet Health Report, 2018], e dos 4,4 bilhões de usuários web no planeta água, quase a metade, ou seja, 1,8 bilhões de usuários tem uma conta no Gmail. Seguindo a metodologia comparativa da revista Fortune [Fortune, 2020], destaco abaixo foi a receita anual, em dólares americanos, das maiores corporações na área de Tecnologia da Informação. Confira essa a relação completa na Wikipedia [Wikipedia]. Os dados são referentes ao ano de 2019, antes da pandemia, e assim não sofreram o viés da crise sanitária. 1) Apple, 260bi; 2) Alphabet (Google), 162bi; 3) Microsoft, 126bi; 4) Huawei, 124bi; 5) Facebook, 71bi. Existem outras empresas mais ligadas à produção de equipamentos e que não acrescentei nesta lista, tais como a Foxconn, que fabrica os iPhones, PlayStation, Nintendo e os Xbox circulantes, além da Samsung, Dell, IBM, Sony, entre outras. Se alguém não notou a ausência da Amazon, com receita superior a 280bi, é porque esta gigante é considerada parte da cadeia varejista, ao lado do Walmart e outras empresas do ramo de energia. A título de comparação, a receita da Apple de US$260 bilhões é maior que o PIB de Portugal, da Finlândia e da Nova Zelândia. Até mesmo o Facebook, 12o lugar na lista, tem receita superior ao nosso vizinho Uruguai (56bi) e ao Panamá (66bi). Pela soma das receitas destes 5 conglomerados, 743bi, juntos eles seriam o 18o maior PIB do mundo, superando a Suíça, a Suécia e a Arábia Saudita. Esses 743bi correspondem a 54% do PIB brasileiro de 1,363tri em 2019. Minha inquietação é simples. Estas empresas armazenam uma quantidade enorme de dados pessoais, não só de brasileiros, mas, como também, de grande parte dos usuários da web no mundo, além de deter um poder enorme pelo tipo e pela quantidade de dados e informações que manipulam. Na vida real "This is big money. Excuse-me, big data". Em tese, como estes mocinhos da web operam em território nacional, deveriam obedecer a LGPD e, como esperado, a GDPR na Europa, além de outras leis irmãs que abarcam demais países com legislação semelhante. No entanto, sabemos que não há uma autoridade central de proteção de dados nos EUA, que sedia 4 destes 5 conglomerados e muito menos na China, sede da Huawei. Além disso, pela anatomia dos serviços de armazenamento em nuvem, há uma grande possibilidade que os dados sejam armazenados nos países sede dessas companhias e não em território nacional. Nos EUA, a Federal Trade Comission (FTC) é a principal autoridade federal para as questões de proteção e segurança de dados, muito embora tenha uma jurisdição limitada devido, em grande parte, às leis estaduais. Isso porque, no federalismo norte-americano, cada estado promulga as suas próprias regras em relação à proteção de dados pessoais e informações. Esses são os casos dos estados da Califórnia, com a California Consumer Privacy Act (CCPA), e de Nova York, com a New York Stop Hacks and Improve Electronic Data Security Act (NY SHIELD). E agora que essa verdadeira "farra do boi" não acontece na nossa casa? Será que estamos realmente protegidos quando nossos dados pessoais estão fora do domínio nacional e nas mãos de algumas poucas empresas? Notem que esses dados nem foram realmente transferidos para fora do país pois as contas já foram criadas e cadastradas em sites internacionais. Se essa desconfiança nem ao menos deveria ser sugerida por mim nem por ninguém dado que essas empresas já obedecem a LGPD, conforme esses documentos aqui citados [iCloud Compliance][Apple][Microsoft], por qual motivo eu deveria me preocupar? A resposta está nos contratos chamados de Política de Privacidade e Proteção de Dados uma vez que o sucesso de muitas destas mega corporações depende em grande medida da divulgação de dados pessoais por seus usuários. Ou seja, muitas delas são máquinas trituradoras de dados pessoais. Embora possa ser argumentado que os usuários abandonam voluntariamente sua privacidade quando acessam e usam esses aplicativos de mídias sociais logo ao criarem suas contas e depois quando inserem dados pessoais online cotidianamente, não está claro como o consentimento de revelação desses dados realmente funciona. Em alguns casos para sabermos quais dados estamos revelando são necessários poucos cliques. Veja esse site esclarecedor da Google para os serviços de anúncios [Google Ads] no qual eles informam que dados como nome, endereço, número do IP, seus cookies armazenados, seus números de telefone, entre outros, são recuperados pela Google e utilizados. Lendo isso alguém comentaria: "Basta ler os termos de uso, o contrato, a política de cookies. Está tudo explicadinho lá." Essa preocupação com a exposição voluntária dos dados não é nova. Em 2008, um estudo de dois acadêmicos da Carnegie Mellon nos EUA [MCDONALD, CRANOR, 2008] estimou que levaria 244 horas por ano, ou seja, um pouco mais de 10 dias, para o usuário americano típico da web ler as políticas de privacidade de todos os sites que visita. Notem que esse estudo foi realizado antes de todo mundo carregar na palma da mão um smartphone com dezenas de aplicativos. Leitores, não se animem. Esse tipo de leitura provoca um tédio insuportável. Mesmo muitos aventureiros que se animam a ler as políticas de privacidade têm dificuldade em entendê-las, porque muitas vezes esses textos exigem habilidades de leitura de nível paranormal. As políticas de privacidade frequentemente cobrem vários serviços oferecidos pela empresa, resultando em declarações vagas que tornam difícil encontrar informações concretas sobre quais informações pessoais são coletadas, como são usadas e com quem são compartilhadas. Sobre estes questionamentos, Cíntia Rosa Pereira de Lima alerta para os desafios do consentimento dos titulares de dados nesta coluna (Políticas de proteção de dados e privacidade e o mito do consentimento - Migalhas) Segundo Steinfeld [STEINFELD, 2016] quando os usuários de serviços computacionais são questionados por que não leem as políticas de privacidade, os usuários oferecem vários motivos, incluindo complexidade, linguagem jurídica e extensão. Outras razões para não ler as políticas de privacidade incluem sua linguagem vaga e o uso de termos nebulosos, seu formato e tamanho da fonte, ou o conhecimento prévio dos usuários da empresa ou marca. Ou seja, eles já escrevem o que sabem que você não vai ler. Ponto para o bicho-papão! O consentimento do titular de dados é ainda mais crítico se pensarmos nas aplicações de Inteligência Artificial como alertado por Cristina Godoy Bernardo de Oliveira e Rafael Meira (Inteligência Artificial e Livre Consentimento: Caso WhatsAPP/Facebook - Parte 3 - IAPD). Não obstante toda essa criatividade excessiva para dominar os nossos dados eu não entendo que esses fenômenos de buracos-negros de dados surgiram por mero acaso. É natural dizer que vivemos num sistema de organização política e social fundado na supremacia dos técnicos, ou seja, numa tecnocracia. Esta também é uma sociedade voltada aos direcionamentos mercadológicos e que adora decisões rápidas e de baixo custo. Tudo é para ontem e, preferencialmente, pela manhã. Foi esse exato modelo social que proporcionou essas "maravilhas" da web: o consumo simplificado, visitas infindáveis a um mundo de vitrines diferentes, as vitrines reversas em que você é a estrela, a facilidade de ver, ouvir, conferir e decidir estando em qualquer lugar, e muitas outras possibilidades que só esse mundo virtual pode realizar, esse mundo que te conhece e sabe as suas necessidades. Um mundo quase que sem barreiras. Mundos permissivos a cada um, a cada grupo. Sendo assim, volto a pergunta: Por que não jogar a toalha para a LGPD e deixar que cada um escolha, como hoje, quais dados pessoais compartilhar? Por que não apenas fazer uma campanha de esclarecimento sobre essas Políticas de Privacidade e Proteção de Dados e deixar que as pessoas decidam? Será que as pessoas não preferem "doar" os seus dados em troca de todas essas facilidades? Não seria essa uma intromissão do Estado na escolha das pessoas? Isso seria uma tentativa de controlar o mercado? São várias essas questões e confesso que não tenho uma resposta definitiva para várias delas. No entanto acredito que hoje a acepção maior de privacidade de dados seja a da plena liberdade individual. Ser um usuário livre na web hoje significa ter o domínio dos seus dados pessoais. "Desde a Segunda Guerra Mundial, o avanço dos dispositivos eletrônicos de espionagem apresenta ameaças crescentes à privacidade na sociedade. O Sr. Westin atribui a este aumento na vigilância o baixo custo e as facilidade com quais dispositivos eletrônicos podem ser obtidos. Um fator adicional é a mudança nos costumes sociais, evidenciada pela vontade individual de divulgar mais informações sobre hábitos de vida e um elemento geral de curiosidade presente em todas as sociedades, refletido pela demanda popular por íntimos detalhes da vida de figuras públicas." Este é um texto datado de 1968, ou seja, 53 anos e ainda atual. Trata-se de parte das notas explicativas de um artigo do Professor Emérito de Direito Público e Governo da Columbia University, Alan Furman Westin [WESTIN, 1968]. Aproveito este texto para interpretar, a meu modo, as brilhantes colocações feitas pelo Prof. Eduardo Tomasevicius Filho quando participou de um webinar comigo durante o qual expus essa tese, não minha como podem ver, da equivalência entre a liberdade e a privacidade de dados (IAPD, 2021, disponível em: (422) 4º Webinar do IAPD | Proteção de Dados Pessoais na era da Inteligência Artificial - YouTube). As acepções ou sentidos da palavra liberdade mudam conforme as condições e o tempo em que são afloradas. No sentido original, livre é a pessoa que não se encontra preso ou na condição de escrava. A liberdade também alcança um sentido social e político adjetivando a pessoa que tudo pode fazer desde que não seja proibido por lei (não sei se muitos governantes entenderam bem esse ponto...). Talvez como um corolário a liberdade seja também entendida como o uso responsável dos direitos e o exercício consciente dos deveres. A capacidade do ser racional e consciente de autodeterminação, diante às múltiplas de alternativas oferecidas, induz ao que chamamos de livre arbítrio, a faculdade de tomarmos posição espontânea diante do bem e do mal. Acepção essa abordada com distinção por Santo Agostinho [TOMASEVICIUS FILHO, 2006]. Não esquecendo a liberdade no âmbito moral, ou seja, como uma condição de uma pessoa imune de qualquer coerção. Se não devemos jogar a toalha para a LGPD diante de todas essas tentações do capiroto devemos essa decisão a supremacia da liberdade individual. Friedrich Hayek já dizia que "Freedom is order through law", ou seja, que a liberdade é a ordem por meio da lei. Portanto é imperiosa a LGPD. Restritiva? Sim, mas convém lembrar outro trecho de Hayek "A base da liberdade também são as restrições comumente aceitas pelos membros de um grupo em que as regras de moral prevalecem. A demanda por 'libertação' dessas restrições é um ataque a toda liberdade possível entre os seres humanos." Deste modo, o sentido de liberdade não é a liberdade absoluta de fazer o que quisermos, mas sim o reconhecimento da necessidade da lei e da moralidade, a fim de garantir que a interação humana seja cooperativa e ordeira. Luciano Floridi [FLORIDI, 2005] conta a história do reencontro entre Penélope e Ulisses, este último irreconhecível pela esposa dadas as feições marcadas após a guerra de Tróia. Nesse encontro só algo muito particular entre eles restabelece a confiança no enlace. Assim, Floridi encerra a tese que a privacidade informacional é uma função das forças que se opõem ao fluxo de informações dentro do espaço de informação. Hoje a confiança no segredo guardado entre Penélope e Ulisses não pode mais ser depositada no espaço comum que é a web e, portanto, se a quebra da privacidade de informação é uma agressão a identidade pessoal também o é quanto a liberdade individual. Referências bibliográficas Apple. Disponível em https://www.apple.com/legal/privacy/br/ FLORIDI, Luciano. The ontological interpretation of informational privacy. Ethics and Information Technology, v. 7, n. 4, p. 185-200, 2005. Fortune. Disponível aqui. Google Ads. Diponível aqui. IAPD - Instituto Avançado de Proteção de Dados. Webinar sobre "Proteção de Dados na era da Inteligência Artificial". Disponível aqui, acesso em: 24 de mar. 2021. iCloud Compliance. Disponível aqui. Internet Health Report, abril de 2018. Disponível aqui. LIMA, Cíntia Rosa Pereira de. Políticas de proteção de dados e privacidade e o mito do consentimento. Disponível em: Políticas de proteção de dados e privacidade e o mito do consentimento - Migalhas, acesso em: 24 de mar. 2021. MCDONALD, Aleecia M.; CRANOR, Lorrie Faith. The cost of reading privacy policies. Isjlp, v. 4, p. 543, 2008. Microsoft. Disponível aqui. OLIVEIRA, Cristina Bernardo de; MEIRA, Rafael. Inteligência Artificial e Livre Consentimento: Caso WhatsAPP/Facebook - Parte 3. Disponível em: Inteligência Artificial e Livre Consentimento: Caso WhatsAPP/Facebook - Parte 3 - IAPD, acesso em: 24 de mar. 2021. STEINFELD, Nili. "I agree to the terms and conditions":(How) do users read privacy policies online? An eye-tracking experiment. Computers in human behavior, v. 55, p. 992-1000, 2016. TOMASEVICIUS FILHO, Eduardo. O conceito de liberdade em Santo Agostinho. Revista da Faculdade de Direito, Universidade de São Paulo, v. 101, p. 1079-1091, 2006. WESTIN, Alan F. Privacy and freedom. Washington and Lee Law Review, v. 25, n. 1, p. 166, 1968. Wikipedia. Disponível aqui. *Evandro Eduardo Seron Ruiz é professor Associado do Departamento de Computação e Matemática, FFCLRP - USP, onde é docente em dedicação exclusiva. Atua também como orientador no Programa de Pós-graduação em Computação Aplicada do DCM-USP. Bacharel em Ciências de Computação pela USP, mestre pela Faculdade de Engenharia Elétrica da UNICAMP, Ph.D. em Electronic Engineering pela University of Kent at Canterbury, Grã-Bretanha, professor Livre-docente pela USP e estágios sabáticos na Columbia University, NYC e no Instituto de Estudos Avançados da USP (IEA-USP). Coordenador do Grupo de Pesquisa "Tech Law" do IEA-USP. Membro fundador do Instituto Avançado de Proteção de Dados - IAPD.
Em minha terceira intervenção neste espaço privilegiado, avançarei em um insight que ocupou um parágrafo do meu texto de novembro último sobre a polissemia da responsabilidade civil na LGPD. Naquela ocasião, abordei as múltiplas variáveis e dimensões do termo "responsabilidade" e as suas possíveis aplicações na LGPD. Tratei da correta especificação dos vocábulos liability, responsibility, accountability e answerability e suas repercussões na lei 13.709/18. Enquanto a liability remete à uma indenização cujo núcleo consiste em um nexo causal entre uma conduta e um dano, os três vocábulos restantes extrapolam a função judicial de desfazimento de prejuízos, conferindo novas camadas à responsabilidade, capazes de responder à complexidade e velocidade dos arranjos sociais. Especificamente quanto à accountability, ampliamos o espectro da responsabilidade, mediante a inclusão de parâmetros regulatórios preventivos, que promovem uma interação entre a liability do Código Civil com uma regulamentação voltada à governança de dados, seja em caráter ex ante ou ex post. No plano ex ante a accountability é compreendida como um guia para controladores e operadores, protagonistas do tratamento de dados pessoais, mediante a inserção de regras de boas práticas que estabeleçam procedimentos, normas de segurança e padrões técnicos, tal como se extraí do artigo 50 da LGPD. Impõe-se o compliance como planificação para os riscos de maior impacto negativo. Não por outra razão, ao discorrer sobre os princípios da atividade de tratamento de dados, o art. 6. da lei 13.709/18 se refere à "responsabilização e prestação de contas", ou seja, liability e accountability. Lado outro, na vertente ex post, a accountability atua como um guia para o decisor, tanto para identificar e quantificar responsabilidades, como para estabelecer os remédios mais adequados. Assim, ao invés do magistrado se socorrer da discricionariedade para aferir o risco intrínseco de uma certa atividade por sua elevada danosidade - o desincentivo ao empreendedorismo é a reação dos agentes econômicos à insegurança jurídica -, estabelecem-se padrões e garantias instrumentais que atuam como parâmetros objetivos para a mensuração do risco concreto em comparação com outras atividades. Todavia, cremos ser possível a conciliação entre a accountability nos dois planos referidos, com expressivo impacto na LGPD. A questão a ser concisamente enfrentada, consiste em avaliar se o investimento em compliance, com efetividade, por parte do agente causador do dano, poderá acarretar a redução equitativa da indenização, a teor do parágrafo único do art. 944 do Código Civil. Se quisermos alcançar uma resposta bem fundamentada, precisamos alcançar a essência da responsabilidade civil e a sua adequação à sociedade tecnológica. O receio de uma sanção negativa impele o ser humano a adotar condutas cautelosas no sentido de não violar a esfera econômica ou existencial de um terceiro. Desde Roma o "neminem laedere" traduz a eficaz imposição de um dever geral de abstenção. E por qual razão a responsabilidade civil é e sempre foi assim? A resposta reside no senso comum de moralidade humana. É um fato básico que é mais fácil prejudicar os outros do que beneficiá-los. Nossa responsabilidade é baseada na causalidade, assim, sentimo-nos responsáveis por um resultado, conforme a nossa contribuição ativa para ele. Intuitivamente, cremos que somos muito mais responsáveis pelo mal que causamos por nossos atos do que pelos males cotidianos derivados de nossas omissões. Por isso, todos os deveres morais e obrigações nos impelem a não ofender a incolumidade de terceiros, sem que existam deveres positivos que estimulem os indivíduos à cooperação. Tudo isso explica a enorme aversão que temos diante de perdas, sem que haja uma inversa atração pelos ganhos sociais de comportamentos beneméritos, que possam irradiar solidariedade. Nas relações obrigacionais a boa-fé objetiva desperta "o melhor de nós", no sentido de converter partes antagonistas em parceiros de um projeto contratual, realçando deveres de cooperação, proteção e informação. O prêmio para os que seguem os "standards" de lealdade e confiança é o adimplemento dos deveres preexistentes. Diferentemente, a responsabilidade civil extracontratual é o habitat das pessoas que são estranhas umas às outras. Quando não há um prévio vínculo entre seres humanos, o que encorajaria alguém a transcender o dever moral e jurídico de não ofender a órbita alheia, a ponto de ser empático e se disponibilizar ao engajamento na colaboração recíproca com pessoas de culturas e nações distintas, ou até mesmo para beneficiar as gerações futuras? Será que o nosso senso de justiça sempre será limitado ao pequeno número de pessoas a quem devotamos a nossa afeição ou um dever contratual? Dentre os diversos iluminismos do século XVIII, sempre fui um entusiasta do iluminismo britânico, não do francês. São as virtudes sociais, mais do que a razão, que unem as pessoas. A ideia francesa da razão não é disponível às pessoas comuns e não possui nenhum componente moral ou social. Todavia, a benevolência é uma virtude mais modesta do que a razão, mas talvez uma virtude mais humana. Preocupados com o homem em relação à sociedade, os filósofos morais escoceses e ingleses perseguem o "éthos" da valorização do senso comum do certo e do errado e a compaixão como base para uma sociedade humana na qual a pessoa virtuosa é movida pela afeição natural por sua espécie. No Brasil, Adam Smith é identificado como o autor da obra "A Riqueza das Nações". Porém, em sua terra natal, mais do que economista político, foi notabilizado como filósofo moral. A sua obra de maior estima é a "Teoria dos Sentimentos Morais". Em uma magistral passagem, Smith sublinha que "sensibilizar-se muito pelos outros e pouco por nós mesmos, refrear nosso egoísmo e favorecer nossas afecções benevolentes constitui a perfeição da natureza humana. O homem naturalmente deseja não apenas ser amado, mas ser amável. Ele naturalmente teme não só ser odiado, mas ser odiável. Ele deseja não apenas louvar, mas ser louvável. Nós desejamos tanto ser respeitáveis quanto respeitados. Nós tememos ser tanto desprezíveis quanto sermos desprezados". Enfim, são essas as virtudes "positivas" incitadas pelo senso de solidariedade que Smith elevou sobre aquelas que chamava virtudes "negativas" da justiça. Infelizmente, a cultura brasileira herdou a tradição das virtudes negativas e artificiais da justiça, distanciando-se das virtudes positivas e naturais da ética. Some-se a isso o fato de que incorporamos não apenas o iluminismo francês, mas o sistema de responsabilidade civil dele tributário, que consiste apenas em um arremedo de proteção social para vítimas de acidentes, pois o seu real desiderato foi o de legitimar a liberdade econômica daqueles que realizam atividades que expõem terceiros a riscos de prejuízos e lesões. Consolida-se a função compensatória da responsabilidade civil, mediante uma ficção pela qual a neutralização de danos por intermédio de uma indenização é suficiente para restituir as partes a um estado de pacificação. O Art. 944, caput, do CC verbaliza essa arraigada mentalidade, positivando a regra de ouro da responsabilidade civil: "A indenização mede-se pela extensão do dano". O princípio da reparação integral foi sintetizado pela doutrina francesa com um adágio: tout le dommage, mais rien que le dommage ("todo o dano, mas nada mais do que o dano"). Extrai-se desse enunciado que o princípio da reparação integral possui dupla função: a) piso indenizatório (todo o dano); b) teto indenizatório (não mais que o dano). Nada obstante, em caráter inovador, o legislador trouxe uma exceção ao princípio da restitutio in integro. Conforme o parágrafo único, do art. 944, "Se houver excessiva desproporção entre a gravidade da culpa e o dano, poderá o juiz reduzir, equitativamente, a indenização". A mensagem é clara: O valor da indenização não pode ultrapassar a extensão do dano, preservando-se a função de teto do princípio da reparação integral, porém pode ficar aquém, indenizando-se menos do que o montante total dos prejuízos sofridos pelo lesado. Isto se dá quando o agente, agindo com uma mínima negligência causa danos vultosos. Nas situações prosaicas da vida, ilustramos com o condutor de uma motocicleta de categoria básica que, por uma distração, colide com luxuoso automóvel, acarretando consideráveis danos patrimoniais. O valor do motociclo não é suficiente para arcar com a totalidade do prejuízo. O exemplo demonstra que o legislador tinha em mente evitar que a "desgraça" fosse transferida do ofendido para ofensor em razão de um mero descuido. A meu sentir, o referido dispositivo é um ponto de partida para aproveitarmos as enormes potencialidades do compliance, alargando os horizontes da responsabilidade civil, destacando a sua "função promocional", na qual a tônica será a aplicação das sanções premiais, tão decantadas por Norberto Bobbio. Para além de compensar, punir e prevenir danos, a responsabilidade civil deve criteriosamente recompensar a virtude e os comportamentos benevolentes de pessoas naturais e jurídicas. Pode-se definir o 'encorajamento', com Norberto Bobbio, como aquela forma de persuasão em que Y tentará influenciar X a fazer, assegurando uma consequência agradável caso X faça. Enquanto o momento inicial de uma medida de desencorajamento é uma ameaça, o da medida de encorajamento é uma promessa que obrigatoriamente será mantida pelo promitente juridicamente autorizado. A técnica de encorajamento é conexa com a predisposição e a atuação das sanções positivas, com função promocional (ou propulsiva), de estímulo a atos inovadores. Ao contrário da sanção negativa, a sanção positiva não é devida. O prêmio pelo mérito não se encontra no nível estrutural da norma, mas psicológico daquele que agirá em busca da recompensa. Certamente, as sanções positivas surgirão eventualmente no ordenamento, isto por duas razões: (a) o sistema não possui recursos para premiar todo e qualquer comportamento meritório; (b) o direito não pode ser visto como um mínimo ético, mas um máximo ético. Neste sentido, colhe-se a função de incentivar o adimplemento e não o de reagir ao inadimplemento. A título ilustrativo, tenha-se a hipótese do bônus previsto no contrato de seguro de responsabilidade civil pela circulação de veículos. Trata-se de um prêmio, uma recompensa a um comportamento. O direito não se presta a um papel conservador e inerte de mera proteção de interesses mediante a repressão de atos proibidos, mas preferencialmente o de promover o encontro entre as normas e as necessárias transformações sociais. Na senda da eficácia promocional de direitos fundamentais, é possível fazer do direito privado um local em que algumas normas sirvam não apenas para tutelar, como também para provocar efeitos benéficos aos valores da solidariedade e da igualdade material. No plano funcional, as sanções positivas atuam de maneira a provocar nos indivíduos o exercício de sua autonomia para alterar sua forma de comportamento. Se uma sanção pretende maximizar comportamentos conformes e minimizar comportamentos disformes, deverá se servir do instrumento de socialização, que com técnicas variadas investe o indivíduo na condição de membro participante de uma sociedade e de sua cultura. A socialização - que obviamente se aplica à pessoa jurídica - cria uma disposição para a observância das regras que comandam o grupo. Quando o processo de socialização não funciona para algum indivíduo, em um segundo momento se estabelecerá a técnica de controle social. Quando este processo quer encorajar não apenas comportamentos conforme o direito, mas em "superconformidade", recorrerá às sanções positivas, pela via de prêmios e incentivos. Nessa toada, creio que uma legítima situação de incidência da função promocional é o citado parágrafo único do art. 944 do Código Civil. Para a doutrina majoritária, a referida norma só poderá ser utilizada na teoria subjetiva da responsabilidade civil, seja pela própria literalidade do dispositivo, como também pelo próprio apelo à orientação sistemática pela qual no nexo de imputação objetiva será expurgada qualquer discussão sobre a culpa. Quer dizer, quando determinada atividade econômica, pela sua própria natureza, independentemente de quem a promova, oferece riscos que a experiência repute como excessivos, anormais, provocando danos patrimoniais ou existenciais em escala superior a outros setores do mercado, a orientação dada ao empreendimento pelos seus dirigentes será irrelevante para a avaliação das consequências dos danos, relevando apenas a aferição do nexo de causalidade entre o dano injusto e o exercício da atividade. Entretanto, se assim for, priva-se de qualquer efeito jurídico qualquer ação meritória em sede de teoria objetiva. Quer dizer, o fato do condutor da atividade - ciente de seu risco anormal - propor-se a realizar investimentos em segurança e compliance perante os seus funcionários ou terceiros em nada repercutirá positivamente em caso de produção de uma lesão resultante do exercício desta atividade. Daí nasce a questão lógica: se inexiste qualquer estímulo para provocar um comportamento direcionado ao cuidado e à diligência extraordinários, qual será a ênfase de um agente econômico em despender recursos que poderiam ser direcionados a várias outras finalidades, quando ciente de que isto nada valerá na eventualidade de um julgamento desfavorável em uma lide de responsabilidade civil? Esta indagação se torna ainda mais veemente quando o empreendedor percebe que os seus concorrentes "arregaçam os braços" ou se limitam a esforços mínimos em termos de cautela, canalizando os recursos excedentes para outras vantagens mercadológicas perante contratantes e consumidores. O debate avulta em um cenário de afirmação de um direito fundamental autônomo à proteção de dados, desconectado do direito à privacidade. Aqui, a responsabilidade civil não se restringe à mera condição de ferramenta de resguardo, porém a de promover e difundir o direito fundamental à proteção de dados. Não obstante os dissídios doutrinários, quanto ao nexo de imputação de danos adotado na LGPD, alinhamo-nos a Rafael Dresch e Lilian Stein, que em coluna aqui publicada preconizam que a forma de responsabilidade civil adotada enquadra-se em uma categoria especial de responsabilidade objetiva que se dará ante o cometimento de um ilícito: o não cumprimento de deveres impostos pela legislação de proteção de dados, em especial o dever de segurança por parte do agente de tratamento. É o que se extrai, inclusive, da análise do dever geral de segurança do qual esse se incumbe, conforme disposição do art. 44 da LGPD, e cuja violação é que acaba por ensejar sua responsabilização civil. Em outras palavras, faz-se fundamental observar eventual cumprimento ou não dos deveres decorrentes da tutela dos dados pessoais, face à legítima expectativa quanto à possível conduta do agente, o que se faz por meio de standards de conduta - critérios que, não atendidos, apontam para o não cumprimento do dever de segurança. O ilícito objetivo previsto na LGPD demanda apenas a análise externa das práticas do agente de tratamento, de sua conduta de forma objetiva, para verificar se tal conduta está em conformidade (compliance) ou não com o padrão de conduta que se pode exigir de um agente de tratamento com base em standards técnicos de mercado e regulatórios. Face ao exposto, propomos a existência de três "standards" de diligência em sede de exercício de atividades potencialmente danosas na LGPD: (a) ausência de diligência; (b) diligência ordinária; (c) diligência extraordinária. No primeiro caso - ausência de diligência -, a ausência de previsão legal de um modelo jurídico similar aos punitive damages, não impede que em resposta às infrações cometidas por Agentes de Tratamento de Dados, a Autoridade Nacional de Proteção de Dados, sirva-se da accountability para a estipulação de sanções de natureza punitiva e quantificação de multas, conforme previsão do artigo 52 da LGPD. No segundo caso - diligência ordinária - aferindo-se que os parâmetros de vigilância do empreendedor se encontram na normalidade de seu setor econômico, o resultado será neutro no aspecto punitivo, resumindo-se a sanção por danos injustos à medida de sua reparação, tanto na esfera patrimonial como extrapatrimonial. Naquilo que nos interessa - a terceira hipótese - na LGPD, a excepcional diligência da pessoa do agente se afere não apenas pela conformidade à regulação de gestão de riscos, como por práticas proativas de sua mitigação, seja por parte de um desenvolvedor de tecnologias digitais emergentes como de um agente de tratamento. O art. 50 da lei 13.709/18 estatui que controladores e operadores, pelo tratamento de dados pessoais, poderão formular regras de boas práticas e de governança - levando em consideração, a natureza, o escopo, a finalidade e a probabilidade e a gravidade dos riscos e dos benefícios decorrentes de tratamento de dados do titular. Resta evidenciada a função promocional, mas, paradoxalmente, o referido dispositivo não dialoga com outro que concretamente proporcione benefícios aos agentes que cumpriram o script à risca. Ou seja, como muito bem colocado por Adalberto Simão Filho e Janaina de Souza Cunha Rodrigues nessa prestigiada coluna, se o Artigo 50 da lei usa claramente a expressão "poderão formular regras de boas práticas e de governança" isso significa que se trata tão só de mera faculdade e, portanto, não se precisará  destinar neste momento, recursos, ativos e trabalhos para o desenvolvimento de políticas internas que possam atender a esta disposição. Então, qual será o atrativo para que se implantem as políticas sugeridas? Aqui se situa o parágrafo único do art. 944, reforçando a centralidade do Código Civil perante o microssistema jurídico destinado à proteção de dados. Através da mitigação equitativa da obrigação de indenizar, o dispositivo atua como uma forma desejável de estímulo a todo e qualquer agente econômico que, não obstante o risco inerente à sua atividade, não meça esforços para refrear a possibilidade de causação de danos a terceiros. Esta é a eficácia do compliance em termos de liability. Contudo, em nível de accountability, é papel do regulador criar uma espécie de cadastro positivo de louváveis agentes econômicos, cuja publicidade propicie um aceno a uma "corrida por incentivos", derivados de uma percepção positiva da sociedade em termos de imagem, com reflexos patrimoniais e morais. Indubitavelmente, a credibilidade é um bem imaterial de enorme valor em sociedades que objetivam implantar mecanismos meritocráticos. Ressalte-se o efeito pedagógico de se inibir o ingresso em determinado setor do mercado de potenciais concorrentes sem o potencial de fazer frente às exigências de uma competitividade pautada na eficiência em detrimento do compadrio e paternalismo, tão evidentes nas sociedades oligárquicas. Corroborando o argumento, a própria LGPD toma em consideração o merecimento do agente de tratamento para fins de mensuração de sanções administrativas. Em seu art. 52, dentre os parâmetros e critérios que informarão as peculiaridades do caso concreto, no rol do § 1º ressalta: VII - a cooperação do infrator; VIII - a adoção reiterada e demonstrada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados; IX - a adoção de política de boas práticas e governança; X - a pronta adoção de medidas corretivas; e XI - a proporcionalidade entre a gravidade da falta e a intensidade da sanção. O fato é que o mercado é suscetível aos estímulos derivados do ordenamento jurídico. Não precisamos recorrer a "law and economics" para percebermos que o emprego difuso de técnicas de encorajamento, através de recompensas em termos de redução de custos, motiva o empreendedor a coordenar os seus meios aos fins eleitos pelo sistema jurídico. Ao invés de um castigo, um prêmio. Quando os incentivos estão mal alinhados é apropriado para o sistema jurídico retificar esse problema, realinhando-os. Abordagens baseadas em incentivos se mostram eficientes e eficazes, sem desrespeitar a liberdade de escolha dos agentes econômicos. Trata-se de um sistema que recompensa ao invés de punir e, para alcançar este propósito, não se furta a oferecer os melhores incentivos. Os arquitetos de escolhas públicas querem guiar as pessoas em direções que irão melhorar as suas vidas. Estão dando uma cutucada. Cutucadas não são ordens, mas orientações, tais como aquelas que pais virtuosos transmitem aos filhos. *Nelson Rosenvald é procurador de Justiça do Ministério Público de Minas Gerais. Pós-Doutor em Direito Civil na Università Roma Tre (IT-2011). Pós-Doutor em Direito Societário na Universidade de Coimbra (PO-2017). Visiting Academic na Oxford University (UK-2016/17). Professor Visitante na Universidade Carlos III (ES-2018). Doutor e Mestre em Direito Civil pela PUC/SP. Presidente do Instituto Brasileiro de Estudos de Responsabilidade Civil (IBERC). Professor do corpo permanente do Doutorado e Mestrado do IDP/DF. Associado Fundador do Instituto Avançado de Proteção de Dados (IAPD).
A mineração de processos é uma abordagem, relativamente recente, para fornecer conhecimento sobre processos de negócio com base em dados disponíveis em sistemas de informação (Fernandes et al., 2020). Na era da informação, dados são considerados "o novo petróleo", e por isso muitas técnicas computacionais para extrair conhecimento de dados ficaram conhecidas como mineração de dados. A mineração de processos é considerada a ponte entre a mineração de dados e a gestão de processos de negócio (BPM ou Business Process Management em inglês), uma disciplina dedicada ao estudo dos fluxos de atividades que produzem valor para clientes ou organizações (Dumas et al., 2018). Mineração de processos: um compromisso entre a análise orientada a processo, explorada na ciência de processo, e a análise dirigida por dados, explorada na ciência de dados. A matéria-prima da mineração de processos é o log de eventos, um conjunto de "pegadas digitais" da ocorrência de atividades que ficam registradas nos sistemas de informação. Quando mineramos processos, diferentes resultados são possíveis, destacando-se: logs de eventos são transformados em modelos de processos, revelando como as atividades ocorrem em um determinado contexto do mundo real; expectativas sobre a conformidade entre comportamentos esperados e comportamentos de fato presentes na dinâmica de processos organizacionais podem ser mensuradas e analisadas; anomalias ou ineficiências na condução de um conjunto de atividades são reveladas permitindo o estabelecimento de adequações de conduta. Tipos de mineração de processos, estabelecendo a ponte entre registros de eventos e modelos de processos de negócio. No âmbito jurídico, a digitalização de várias atividades tem resultado na disponibilidade cada vez maior de grandes massas de dados: verdadeiras "jazidas" de conhecimento jurídico. São muitas as fontes de informação: legislativas, processuais, jurisprudenciais, extrajudiciais. Essa abundância de dados aliada ao advento de novas tecnologias tem levado ao surgimento de soluções computacionais que apoiam diferentes atividades jurídicas. Exemplos incluem o crescente uso de ciência de dados, inteligência artificial, aprendizado de máquina e blockchain nos ambientes de inovação público (laboratórios de inovação dos Poderes Judiciário e Legislativo) e privado (lawtechs e legaltechs). Especificamente na área de conformidade legal ou legal compliance, um fenômeno conhecido como Compliance 4.0 (em analogia à Indústria 4.0 ou Quarta Revolução Industrial) tem agregado soluções para monitoramento regulatório e avaliação de conformidade, conhecidas como regtechs. Muitas dessas soluções se dedicam a apoiar a conformidade legal no âmbito corporativo, motivadas principalmente pelo aumento da pressão regulatória exercida por novas legislações com alto grau de complexidade, como a Lei Geral de Proteção de Dados (LGPD). A gestão da conformidade legal nas empresas é geralmente implantada por meio de uma estrutura de Governança, Gestão de Riscos e Compliance (GRC ou Governance, Risk Management and Compliance em inglês). Nesse contexto, verificações de conformidade são tradicionalmente realizadas por meio de auditorias pontuais, efetuadas com base em análises manuais de amostras de evidências e documentação, normalmente retroativas. É esse paradigma de realização de auditorias de conformidade que a mineração de processos se propõe a transformar. Em mineração de processos, a verificação de conformidade permite comparar um modelo de processo normativo com o comportamento real da execução das atividades, registrado nos logs de eventos dos sistemas de informação. Usando ferramentas automatizadas, é possível identificar discrepâncias que podem representar desvios indesejáveis (tais como fraudes ou práticas inadequadas) e investigar a causa-raiz de cada violação de modo a sugerir melhorias no controle dos processos. Além disso, todas as não conformidades ocorridas podem ser detectadas, resultando em uma variação da taxa de conformidade ao longo do tempo. Também é possível observar violações em tempo real e até mesmo predizer possíveis desvios de conformidade no futuro. Empresas globais de auditoria já usam ferramentas de mineração de processos para conduzir auditorias internas, especialmente nas áreas contábil e financeira. Aplicações na área jurídica, entretanto, ainda são muito limitadas, e isso se deve principalmente aos desafios específicos da formalização computacional dos requisitos legais. Atores e artefatos envolvidos na implementação da checagem de conformidade legal (acima); Painel de instrumentos para checagem de conformidade oferecido pela ferramenta de mineração de processos Celonis (abaixo). Para permitir a representação do conhecimento jurídico e seu pleno uso no raciocínio computacional e no domínio das regras de negócio, é preciso vencer a lacuna entre o texto das leis e as regras e ontologias. Nesse sentido, o direito computável, um ramo da informática jurídica também conhecido como "law as code'', trata da aplicação de tecnologias e padrões da web semântica para modelar informações legais, permitindo que essas possam ser consumidas e interpretadas por sistemas de informação. Os fundamentos teóricos do direito computável são intrinsecamente relacionados à relação entre a lei e a lógica. O raciocínio jurídico é tradicionalmente não monotônico, ou seja, mesmo partindo da mesma premissa legal, é possível obter resultados diferentes. Diferentes tipos de lógica são usados para capturar a natureza das normas legais, suas múltiplas interpretações e evolução, tais como: lógica deôntica, lógica de argumentação derrotável, lógica input/output e lógica temporal reificada. Linguagens como a Legal Rule Markup Language (LegalRuleML) conseguem expressar operadores lógicos próprios para modelar leis e normas. Ontologias legais, muitas delas formalizadas usando o padrão Ontology Web Language (OWL), são criadas para descrever os conceitos jurídicos e o conhecimento legal de cada domínio específico do direito. Um importante exemplo de aplicação do direito computável diz respeito justamente ao direito à proteção de dados. Atualmente, a maior base de conhecimento legal usando lógica input/output disponível online é a Data Protection Regulation Compliance (DAPRECO) (Robaldo et al., 2020). O DAPRECO é um repositório de regras escritas em LegalRuleML que, usando a ontologia de privacidade Privacy Ontology (PrOnto), representam as provisões da General Data Protection Regulation (GDPR), a legislação de proteção de dados europeia. Essa base de conhecimento foi criada especialmente para apoiar o raciocínio computacional para conformidade legal. Representação lógica e computável do § 2º do art. 33 da GDPR: texto (acima, à esquerda) e formalização lógica (acima, à direita) de Robaldo et al. (2019); representação computacional (abaixo) do repositório DAPRECO disponível aqui. Esse cenário caracteriza oportunidade para a pesquisa interdisciplinar entre a computação e o direito. No Process Mining Research Group @ USP, um grupo de pesquisa na EACH-USP dedicado ao tema da mineração de processos, um estudo está pesquisando a verificação de conformidade apoiada por mineração de processos aliada às técnicas do direito computável para formalização computacional dos requisitos legais, para apoio a avaliação da conformidade legal. Com esse estudo, os pesquisadores têm a expectativa de revelar o potencial da mineração de processos no monitoramento contínuo da conformidade dos processos de negócio em relação à legislação vigente, de modo a auxiliar empresas e o setor público na gestão da conformidade legal, especialmente no que se refere à LGPD. Referências Dumas, Marlon; La Rosa, Marcello; Mendling, Jan; Reijers, Hajo A. Fundamentals of Business Process Management. 2 ed. Springer-Verlag Berlin Heidelberg, 2018. Fernandes, Alexandre Gastaldi Lopes; Santos Neto, José Francisco dos; Fantinato, Marcelo; Peres, Sarajane Marques. Mineração de processos: Uma evolução no apoio à gestão de processos de negócio. SBC Horizontes, junho 2020. ISSN 2175-9235. Disponível aqui. Acesso em: 03 março. 2021. Robaldo, Livio; Bartolini, Cesare; Palmirani, Monica; Rossi, Arianna; Martoni, Michele; Lenzini, Gabriele. Formalizing GDPR Provisions in Reified I/O Logic: The DAPRECO Knowledge Base. Journal of Logic, Language and Information, v. 29, n. 4, p. 401-449, 2020.  *Adriana Jacoto Unger é membro do Process Mining Research Group @USP. Doutoranda em Sistemas de Informação na Universidade de São Paulo (USP). Mestre em Engenharia de Produção, 2018, e Engenheira Mecatrônica, 1999, pela Escola Politécnica da USP.  Possui certificação da ABPMP (Association of Business Process Management Professionals) - CBPP (Certified Business Process Professional) Blue Seal e da Celonis - Certified Analyst and Data Engineer.  **Marcelo Fantinato é coordenador do Process Mining Research Group @ USP. Professor Associado da Universidade de São Paulo (USP). É bolsista PQ do CNPq. Foi pesquisador convidado na Vrije Universiteit Amsterdam, 2018, e na Universidade de Utrecht, 2019, Países Baixos. Livre docente em Gestão de Processos de Negócio, 2014, pela USP; Doutor em Ciência da Computação, 2007 pela Unicamp. Certificado Green Belt no Programa de Melhoria de Qualidade Six Sigma da Motorola, 2007. Possui experiência profissional no setor de desenvolvimento de software na Fundação CPqD, Campinas, 2001-2006, e na Motorola, Jaguariúna, 2006-2008. É membro do Comitê Técnico do IEEE em Computação de Serviços. Representa a USP no Centro Europeu de Pesquisa em Sistemas de Informação (ERCIS). É editor associado do International Journal of Cooperative Information Systems. ***Sarajane Marques Peres é coordenadora do Process Mining Research Group @ USP. Professora Associada na Universidade de São Paulo (USP), Brasil.  Livre docente em Aprendizado de Máquina e Inteligência Computacional pela USP. Doutora em Engenharia Elétrica (2006) pela Unicamp. Trabalhou como professora assistente na Unioeste-PR (1998-2005) e na UEM-PR (2005-2007), Brasil. É coautora de um livro-texto na área de mineração de dados. Trabalhou como tutora no Programa de Educação Tutorial do Ministério da Educação (2010-2017), e como pesquisadora visitante na Vrije Universiteit Amsterdam (2018) e na Utrecht University (2019), Países Baixos.  É membro do quadro de pesquisadores do C4AI - Center for Artificial Intelligence (USP/IBM/Fapesp) e do AI2 - Advanced Institute for Artificial Intelligence (Brasil). 
Comentários iniciais Neste artigo serão efetuados breves comentários sobre o provimento nº 23, de 3 de setembro de 2020, editado pelo Corregedor Geral da Justiça do Estado de São Paulo, o Excelentíssimo Desembargador Ricardo Mair Anafe, em que regulamentada a aplicação da lei 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais - LGPD), na prestação dos Serviços Extrajudiciais de Notas e de Registro. Cuida-se de norma pioneira, elaborada de forma a permitir que os serviços notariais e de registro, no Estado de São Paulo, sejam prestados em consonância com a tutela dos direitos fundamentais promovida pela LGPD que, conforme previsto em seu art. 1º, dispõe sobre o tratamento de dados pessoais, por meios físicos e digitais, realizados por pessoa natural, ou por pessoa jurídica de direito público ou privado, com a finalidade de proteger "(...) os direitos fundamentais de liberdade e de privacidade e o livre desenvolvimento da personalidade da pessoa natural" (art. 1º). A LGPD, desse modo, tutela os direitos de toda pessoa natural que é, sempre, a titular dos seus dados pessoais (arts. 5º, V, e 17). O conceito de pessoa natural, para esse efeito, deve ser fixado em conformidade com o art. 6º do Código Civil: "Art. 6º A existência da pessoa natural termina com a morte; presume-se esta, quanto aos ausentes, nos casos em que a lei autoriza a abertura de sucessão definitiva". Isso não significa que os direitos de que o morto era titular não são passíveis de proteção, mas, somente, que essa tutela não decorre diretamente da LGPD, embora encontre amparo em outras normas, como o art. 12 do Código Civil que em seu parágrafo único confere legitimidade ao cônjuge sobrevivente, ou qualquer parente em linha reta, ou colateral até o quarto grau, para: "(...) exigir que cesse a ameaça, ou a lesão, a direito da personalidade, e reclamar perdas e danos, sem prejuízo de outras sanções previstas em lei". No âmbito das relações jurídicas, importa observar a eficaz aplicação da LGPD também repercutirá nas relações internacionais que envolvam tráfego de dados, incluídos os países que possuem regras tão ou mais abrangentes que a brasileira, como ocorre com o regulamento da União Europeia (GDPR - General Data Protection Regulation). Antes da vigência da LGPD, o Tribunal de Justiça do Estado de São Paulo, por meio de atividades desenvolvidas por sua Presidência, pela Corregedoria Geral da Justiça e pela Escola Paulista da Magistratura, realizou estudos para a edição de normas e a implantação de procedimentos destinados à observação da LGPD nas atividades jurisdicionais e administrativas1. Esses estudos contribuíram para a edição do Provimento CG nº 23, de 03 de setembro de 2020.  O Provimento CG nº 23/2020 e as Normas de Serviço da Corregedoria Geral da Justiça O Provimento CG nº 23/2020 alterou as Normas de Serviço da Corregedoria Geral da Justiça do Estado de São Paulo (NSCGJ) mediante introdução dos itens 127 a 152 do Capítulo XIII do Tomo II. Para a sua redação foram adotadas, sempre que possível, a estrutura e a terminologia da Lei Geral de Proteção de Dados Pessoais, com reprodução de parte dos seus dispositivos a que foram acrescidas normas sobre as medidas concretas que deverão ser adotadas pelos responsáveis pela prestação dos serviços extrajudiciais de notas e de registro. Isso porque a norma não visou criar obrigação nova, mas prever os requisitos mínimos dos procedimentos, ou da forma de prestação dos serviços extrajudiciais, que deverão ser observados para o cumprimento das obrigações decorrentes da LGPD. Desse modo, os conceitos de dado pessoal e seu titular, de tratamento, de controlador, operador e encarregado são os contidos na LGPD que, especificamente em relação ao tratamento, prevê em seu art. 5º, inciso X, que é: "(...) toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração;". Por isso, em sua atuação os responsáveis pelas delegações dos serviços notariais e de registro devem observar que a proteção da LGPD não se restringe ao nome e aos dados de qualificação da pessoa, pois abrange, entre outros, os arquivos contendo imagens, biometria e gravações de áudio. Devem ter em conta, ainda, que embora as sanções previstas nos arts. 52, 53 e 54 da LGPD entrarão em vigência em 1º de agosto de 2021 (art. 65, I-A), seus demais dispositivos devem ser respeitados em sua totalidade. E no que se refere aos serviços extrajudiciais de notas e de registro, o desrespeito às normas da LGDP não afasta a imediata possibilidade de reparação civil por danos, nem a imposição de sanção de natureza disciplinar prevista na lei 8.935/94.  Disposições específicas do Provimento CG nº 23/2020 Em conformidade com a estrutura da LGPD, o Provimento inicia dispondo que em toda operação de tratamento de dados os serviços notariais e de registro devem observar os objetivos, fundamentos e princípios previstos nos arts. 1º, 2º e 6º da lei 13.709/2018 (itens 127 e 128 das NSCGJ). Embora os objetivos, fundamentos e princípios sejam indissociáveis, os responsáveis pelas delegações de notas e de registro devem prestar especial atenção aos princípios previstos no art. 6º, pois delimitam a sua forma de atuação (finalidade, adequação, necessidade, qualidade dos dados, transparência, segurança e prevenção). O Provimento, a seguir, esclarece que os responsáveis pelas delegações dos serviços notariais e de registro, na qualidade de titulares, interventores ou interinos, são considerados controladores e, portanto, responsáveis pelas decisões referentes ao tratamento dos dados pessoais (item 129 das Normas de Serviço da Corregedoria Geral da Justiça). Isso porque compete ao responsável, seja titular ou não, a gestão da prestação dos serviços extrajudiciais, o que não se altera pelas limitações impostas aos interinos no que se refere ao limite de remuneração e contratação de despesas que possam onerar a renda líquida da unidade. Além disso, no Provimento foram diferenciados os atos inerentes ao exercício dos ofícios extrajudiciais de notas e de registro, que na forma do § 4º do art. 23 da LGPD recebem o tratamento dispensado às pessoas jurídicas de direito público referidas no art. 1º da lei 12.527/2011 (Lei de Acesso à Informação), dos atos relacionados ao gerenciamento administrativo e financeiro para a prestação do serviço público delegado (itens 130, 130.1 e 131 do Capítulo XIII das Normas de Serviço da Corregedoria Geral da Justiça). Foram, mais, previstas normas específicas sobre a política de segurança que deve ser adotada pelo responsável pela delegação e que repercute na atuação dos seus prepostos e prestadores de serviços terceirizados. Os prepostos e prestadores de serviços terceirizados devem ser treinados, informados sobre os seus deveres e responsabilidades, e orientados sobre os dados pessoais a que poderão ter acesso, em conformidade com as atividades que exercem. A orientação aos prepostos e operadores abrange as formas de atuação para o tratamento dos dados pessoais, desde a coleta, e as responsabilidades decorrentes da atuação indevida, tudo a ser feito sob fiscalização do responsável pela delegação (itens 132.2 e 132.4 das Normas de Serviço). Essas providências são inerentes à gestão administrativa e, mais, poderão servir para a defesa do responsável pela delegação em caso de descumprimento da LGPD, inclusive perante a Autoridade Nacional de Proteção de Dados - ANPD que pode impor sanções distintas das previstas na lei 8.935/94 (art. 52, § 1º, incisos VIII e IX). Por isso, foram previstos requisitos mínimos para o controle do fluxo de dados pessoais e os registros dos tratamentos promovidos, o que deverá ser feito dentro de padrões adequados para atender os requisitos de segurança, boa prática e governança conforme os princípios, objetivos e finalidades da LGPD (item 138.2) e para permitir a adoção de medidas de segurança, técnicas e administrativas, de proteção dos dados contra acessos não autorizados, situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito (itens 133.6 e 135 das Normas de Serviço). Também servem para a elaboração de relatórios de impacto e para a adoção de medidas de redução de danos decorrentes de acessos ou comunicações não autorizadas (item 137 das Normas de Serviço). Lembra-se, nesse ponto, que a responsabilidade por incidente decorrente da falta de controle de fluxo não é restrita ao aspecto disciplinar, uma vez que poderá acarretar sanção específica pela Autoridade Nacional de Proteção de Dados quando a LGPD entrar integralmente em vigência. Contudo, a ANPD poderá, dentro dos seus limites de atuação, fixar hipóteses em que os controles individualizados serão dispensados dependendo do porte e atividade da pessoa que faz o tratamento de dados.  Outras disposições específicas O Provimento, ainda, introduziu no Capítulo XIII nas Normas de Serviço da Corregedoria Geral da Justiça disposições sobre: I) manutenção de política de privacidade e canal de atendimento aos titulares dos dados pessoais; II) forma de atuação diante de incidentes de segurança (itens 139 e 139.1); III) nomeação de encarregado (itens 138 e 138.1): IV) prestação de informações aos titulares dos dados pessoais e fornecimento de certidões referentes aos atos notariais e registrais (itens 141 e 143 seguintes); V) correção de dados pessoais não contidos em atos notariais e de registro; VI) retificações de registro que devem observar a legislação específica (item 146); VII) cautelas para a emissão de certidões solicitadas em bloco, ou por meio eletrônico, especialmente com uso das Centrais de Serviços Eletrônicos Compartilhadas (itens 144 a 145); VIII) prazos de conservação de dados pessoais, para o que deverão ser observadas a Tabela de Temporalidade prevista no Provimento nº 50/2015, da Corregedoria Nacional de Justiça) e as cautelas para que a inutilização de documentos e arquivos não deixem expostos dados pessoais (item 148).  Conclusão O Provimento, desse modo, aborda todos os aspectos da prestação dos serviços notariais e de registro que deverão ser adequados à LGPD, o que foi feito de forma a permitir o respeito à nova legislação e, principalmente, aos direitos dos titulares dos dados pessoais. Buscou-se, também, preservar a atuação dos responsáveis pelas delegações dos serviços extrajudiciais de notas e de registro que passaram a contar com normas que permitem a adoção de procedimentos uniformes de serviço e, portanto, acarretam segurança nas suas atividades.                *José Marcelo Tossi Silva é juiz de Direito em SP. Mestre em Direito Civil pela PUC/SP. Especialista em Direito de Família e das Sucessões pela Escola Paulista da Magistratura - EPM. __________ 1 As medidas adotadas pelo Tribunal de Justiça em decorrência da LGPD estão relacionadas em Portal mantido na Internet (consulta em 15/02/2021).
A Lei Geral de Proteção de Dados (LGPD), lei 13.709 de 2018, determina, no caput de seu art. 7º, que o tratamento de dados pessoais somente poderá ser realizado nas dez hipóteses que elenca1. Trata-se do que se denomina de enquadramento da hipótese de tratamento de dados pessoais em base legal adequada. A necessidade de fundamentar adequadamente o tratamento dos dados pessoais em base legal é um traço característico do que se poderia denominar de escola de proteção de dados com raízes europeias, a qual se filia a disciplina de proteção de dados existente no Brasil. Daniel Solove chega a afirmar que uma das distinções das leis europeias acerca da temática, quando comparadas com as norte-americanas, é a de que as europeias exigem uma base legal para que o dado pessoal possa ser tratado, enquanto que nos Estados Unidos, como regra geral, o tratamento poderá ser realizado, a menos que determinada lei especificamente proíba a atividade2. Pela dicção da LGPD, o agente de tratamento de dados pessoais terá o ônus de fundamentar as suas operações de tratamento de dados pessoais num dos incisos do art. 7º. Esses incisos contemplam as variadas autorizações para o tratamento  dos dados pessoais: desde o clássico consentimento (inciso I), passando pelo cumprimento de obrigação legal ou regulatória pelo controlador (inciso II), bem como uma das bases legais mais desafiadoras ao controlador, que é o denominado interesse legítimo (inciso IX). E a pergunta que se coloca é a de se o controlador dos dados pessoais estará obrigado a enquadrar cada operação de tratamento de dados pessoais em apenas uma única base legal ou se haverá a possibilidade de enquadrar em mais de uma. Exemplificando, poderá o controlador fundamentar o tratamento na base legal da execução contratual e ao mesmo tempo se valer do interesse legítimo? Trata-se de indagação de alto interesse prático, pois a nova legislação brasileira passou a exigir um padrão de atuação dos agentes de tratamento de dados pessoais baseado na atuação preventiva e em boas práticas, dentre as quais se encontra o percurso de um iter concatenado de passos para implementar as diretrizes legais. E, nesse iter, encontram-se as etapas do mapeamento de processos de tratamento de dados pessoais (por exemplo para a admissão de um colaborador em determinada organização), e, num momento posterior, a do mapeamento dos dados pessoais que são tratados (no mesmo exemplo, chega-se á conclusão de que são tratados diversos dados pessoais como nome, endereço, foto da pessoa, CPF, RG entre outros). E, no âmbito do mapeamento dos dados pessoais, o controlador deverá explicitar qual a base legal (ou as bases legais) que fundamenta(m) a operação de tratamento de cada dado ou conjunto de dados pessoais. Antes de se realizar a análise da LGPD, propõe-se rápido exame do  Regulamento  Geral de Proteção de Dados Europeu (GDPR). E, neste ponto, faz-se o necessário alerta de que a regra europeia pode servir de base de estudo e reflexão, mas no contexto brasileiro é imperioso que sejam desenvolvidas análises adequadas do direito positivo brasileiro em vigor, tanto da LGPD quanto das regras setoriais, se for o caso, bem como de nosso ordenamento jurídico como um todo, evitando-se a importação de conceitos que tenham disciplinas distintas da legislação europeia, como é o caso, entre outros exemplos, da figura do legítimo interesse. O dispositivo do GDPR análogo ao art. 7º da LGPD, que  dispõe sobre as bases legais, determina, em seu art. 6 (1), que "o tratamento só é lícito se e na medida em que se verifique pelo menos uma das seguintes situações:". Consoante se depreende da literalidade do texto do GDPR, não haveria maiores dúvidas em apontar que há uma abertura de sua redação para que mais de uma base legal seja eleita pelo controlador, haja vista e emprego da expressão "pelo menos uma". Muito embora seja esse o teor do principal artigo referente a bases legais no GDPR, a leitura dos considerandos3 relativiza o conteúdo do dispositivo mencionado.   Nessa ordem de ideias, o Considerando 40 estabelece "Para que o tratamento seja lícito, os dados pessoais deverão ser tratados com base no consentimento do titular dos dados em causa ou noutro fundamento legítimo, previsto por lei, quer no presente regulamento quer noutro(...)". Ne mesma linha, o art. 13 (1) (c)  prevê que "Quando os dados pessoais forem recolhidos junto do titular, o responsável pelo tratamento faculta-lhe, quando da recolha desses dados pessoais, as seguintes informações: (...) c) As finalidades do tratamento a que os dados pessoais se destinam, bem como o fundamento jurídico para o tratamento;"4. O emprego, no Considerando 40, das expressões "ou noutro fundamento legítimo" e no art. art. 13 (1) (c): "(...) bem como o fundamento jurídico para o tratamento", denota a intenção do dispositivo de que apenas uma base legal seja utilizada pelo controlador. Na doutrina alemã, Jan Phillip Albrecht, nos comentários ao GDPR organizados por Simitis, Hornung e Spiecker, ao se debruçar sobre a questão, indica que apenas uma das bases legais elencadas no art. 6 (1) deve ser apontada pelo controlador5. Peter Gola, por outro lado, defende a interpretação literal do dispositivo, no sentido de que pelo menos uma das bases legais deverá ser eleita pelo controlador6. Em complemento, um outro dispositivo do GDPR indica que efetivamente é permitido ao controlador enquadrar o tratamento de dados pessoais em mais de uma base legal7. Cuida-se do art. 17 (1) (b), que trata das ocorrências em que o titular poder requerer ao controlador o denominado apagamento de seus dados pessoais. Nesse contexto, a norma estabelece que o titular poderá revogar o seu consentimento no qual se baseia o tratamento dos dados pessoais, caso não exista outro fundamento jurídico, leia-se, base legal, para o referido tratamento. Em síntese, pode haver certa divergência acerca da questão no âmbito do GDPR, mas existem autorizadas interpretações no sentido da possibilidade de que os controladores trabalhem com mais de uma base legal, o que é confirmado pela Autoridade de Proteção de Dados do Reino Unido na última edição de seu manual8. Quando se volta a análise para a LGPD, e se examina o artigo pertinente, verifica-se que sua literalidade é diferente do GDPR: "Art. 7º O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses". Não há, na literalidade da lei brasileira, comando expresso para que apenas uma base legal seja adotada quando do tratamento de dados pessoais. Recentemente, no Tratado de Proteção de Dados Pessoais, Mario Viola e Chiara Spadaccini de Teffé9 defenderam que, no âmbito da LGPD, existe a possibilidade de que ocorra "o encaixe do tratamento em pelo menos uma das hipóteses legais para que ele seja considerado legítimo e lícito, sendo possível inclusive cumular as mesmas, assim como no GDPR". Há que se considerar que, efetivamente, o entendimento mais adequado, de acordo com a redação  da LGPD, é o de que é possível ao controlador de dados pessoais fundamentar o tratamento em mais de uma base legal.   Primeiramente, porque não há a restrição no texto da lei. Quisesse o legislador limitar a fundamentação das operações de tratamento a apenas uma base legal, teria de expressar a exigência no caput do art. 7º, a partir do emprego de outra redação, como a seguinte: "Art. 7º O tratamento de dados pessoais somente poderá ser realizado de acordo com uma das seguintes hipóteses". Em segundo lugar, não parece razoável, a priori,  o entendimento de que a opção por mais de uma base legal viole a principiologia e o espírito da LGPD. Neste ponto, não se pode olvidar que a boa-fé (na posição preferencial do caput do art. 6º da LGPD) é o princípio chave para aferir em que hipóteses o controlador elege mais de uma base legal como mera medida de salvaguarda, na ideia de prevenir por prevenir, e sem maiores cuidados, uma eventual contestação por parte da Autoridade Nacional de Proteção de Dados, por outros órgãos de poder ou prejudicados, ou quando existe efetivamente uma insegurança concreta enfrentada pelo controlador quando do enquadramento ou até mesmo a convicção de que a operação em questão efetivamente possa ser compatibilizada com mais de uma base legal. Tudo dependerá da análise da documentação que respalda a específica operação de tratamento de dados pessoais em que o controlador  fundamenta em mais de uma base legal. Recorde-se,  quanto a isso, de um dos mais relevantes princípios da LGPD, que é o do art. 6º, X, responsabilização e prestação de contas, sendo o qual é exigida, a "demonstração, pelo agente, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas". A atuação conforme a boa-fé, como se sabe, e como a longa tradição do Direito Civil nos ensinou10, é aquela que se coaduna com um padrão objetivo de conduta pautado por elementos como coerência, lealdade, fidelidade, não surpresa e atendimento das expectativas alheias. No caso, de nada vale o controlador indicar em sua documentação uma segunda base legal a fundamentar o tratamento de determinado dado pessoal, se finalidades não são explicitadas, restam ocultas e vêm a surpreender ou de alguma prejudicar o titular de dados pessoais. Nesse ponto, a escolha de uma segunda base de tratamento clama pela observância de outro princípio da LGPD que é o princípio da transparência11. É imperioso que o controlador atue indicando os dados efetivamente coletados, as finalidades específicas, se haverá o uso secundário e qual a sua finalidade. No caso de uma das bases legais escolhidas recair sobre o legítimo interesse12, dever-se-á adotar a metodologia adequada, com o emprego do teste de proporcionalidade. Nessa hipótese, o dever prévio de fundamentação é ainda mais reforçado, e, em virtude do previsto no art. 10, § 3º, da LGPD, "A autoridade nacional poderá solicitar ao controlador relatório de impacto à proteção de dados pessoais, quando o tratamento tiver como fundamento seu interesse legítimo, observados os segredos comercial e industrial". Em síntese, pode-se concluir que é razoável a interpretação do caput do art. 7º da LGPD, no sentido de que seja permitido o enquadramento da operação de tratamento de dados pessoais em mais de uma base legal. A aferição de se o controlador fará uso adequado de mais de um dos incisos do art. 7º, é esforço a ser empreendido, no caso concreto, na atuação da Autoridade Nacional de Proteção de Dados, de eventuais titulares de dados pessoais que tenham seus direitos violados, e, de um modo geral, dos atores que tenham a função de valorar o comportamento daqueles que realizam o tratamento. Os parâmetros de aferição de se a escolha da base legal é adequada podem ser extraídos do conjunto das regras da LGPD, com especial atenção aos princípios, valendo citar a boa-fé, a finalidade, a adequação, a transparência e a responsabilização e prestação de contas.  Fabiano Menke  é advogado e consultor jurídico em Porto Alegre, professor associado de Direito Civil da Faculdade de Direito e do programa de pós-graduação em Direito da Universidade Federal do Rio Grande do Sul - UFRGS. Doutor em Direito pela Universidade de Kassel, com bolsa de estudos de doutorado integral CAPES/DAAD. Coordenador do Projeto de Pesquisa "Os fundamentos da proteção de dados na contemporaneidade", na UFRGS.  Membro Fundador do Instituto Avançado de Proteção de Dados - IAPD . Instagram: menkefabiano. __________ 1 São as seguintes as bases legais do Art. 7º da LGPD: I - mediante o fornecimento de consentimento pelo titular; II - para o cumprimento de obrigação legal ou regulatória pelo controlador; III - pela administração pública, para o tratamento e uso compartilhado de dados necessários à execução de políticas públicas previstas em leis e regulamentos ou respaldadas em contratos, convênios ou instrumentos congêneres, observadas as disposições do Capítulo IV desta Lei; IV - para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais; V - quando necessário para a execução de contrato ou de procedimentos preliminares relacionados a contrato do qual seja parte o titular, a pedido do titular dos dados; VI - para o exercício regular de direitos em processo judicial, administrativo ou arbitral, esse último nos termos da Lei nº 9.307, de 23 de setembro de 1996 (Lei de Arbitragem) ; VII - para a proteção da vida ou da incolumidade física do titular ou de terceiro; VIII - para a tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária; IX - quando necessário para atender aos interesses legítimos do controlador ou de terceiro, exceto no caso de prevalecerem direitos e liberdades fundamentais do titular que exijam a proteção dos dados pessoais; ou X - para a proteção do crédito, inclusive quanto ao disposto na legislação pertinente. 2 SOLOVE, Daniel J. "Introduction: Privacy Self-Management and the Consent Dilemma." Harvard Law Review, vol. 126, nº 7, Maio 2013, p. 1880-1903. HeinOnline. 3 Como se sabe, e consoante a técnica legislativa dos textos legais editados no âmbito da União Europeia, o GDPR contempla uma lista de cento e setenta e três considerandos sobre o conteúdo de suas regras, com a função de auxiliar o intérprete. Os considerandos não têm função vinculativa, como a pesquisa de Carlos Affonso Souza, Christian Perrone e Eduardo Magrani aponta, devendo ser dado destaque à decisão referida pelos autores do Tribunal de Justiça da União Europeia, Caso 215/88 Casa Fleischhandels, 1989. ECR 2789, parágrafo 31. SOUZA, Carlos Affonso; PERRONE, Christian; MAGRANI, Eduardo. O Direito à explicação entre a experiência europeia e a sua positivação na LGPD. In: Tratado de Proteção de Dados Pessoais. BIONI, Bruno Ricardo; DONEDA, Danilo; SARLET, Ingo Wolfgang; MENDES, Laura Schertel; RODRIGUES JR, Otavio Luiz. (Org.), São Paulo: Editora Forense, 2021, p. 243-270.  4 Na versão em inglês do GDPR é empregada a expressão "as well as the legal basis for the processing". 5 ALBRECHT, Jan Philipp. Comentário Art. 6 DSGV. In: SIMITIS, Spiros; HORNUNG, Gerrit; SPIECKER, Indra. (Org.): Datenschutzrecht: DSGVO mit BDSG. Nomos: Baden-Baden, 2019, p. 401. 6 GOLA, Peter. Datenschutz-Grundverordnung VO (EU) 2016/679 - Kommentar. Beck: Munique, 2017, p. 199. 7 Quem nos chamou a atenção para o dispositivo específico no âmbito do GDPR foi o Professor Gerrit Hornung, da Universidade de Kassel, no âmbito de troca de impressões acerca da temática  com o subscritor do presente artigo. 8 Conferir o Guia, a partir da p. 49. Como se sabe, depois do Brexit, o GDPR foi incorporado ao direito de proteção de dados inglês, e, na prática, há pouca diferença entre as regras de proteção de dados inglesas, quando comparadas às da União Europeia. 9 VIOLA, Mario; TEFFÉ, Chiara Spadaccini de. Tratamento de Dados Pessoais na LGPD: estudo sobre as bases legais dos artigos 7º e 11. In: BIONI, Bruno Ricardo; DONEDA, Danilo; SARLET, Ingo Wolfgang; MENDES, Laura Schertel; RODRIGUES JR, Otavio Luiz. (Org.). Tratado de Proteção de Dados. 1ed.São Paulo: Editora Forense, 2021, p. 117-148. 10 E, no ponto, remetemos o leitor tanto aos trabalhos de Clóvis do Couto e Silva, quanto aos de Judith Martins-Costa e Claudia Lima Marques, juristas que, como poucos, souberam traduzir em palavras o conteúdo e a metodologia adequada para operar a boa-fé objetiva. COUTO E SILVA, Clóvis do. O princípio da boa-fé no Direito brasileiro e português. In: FRADERA, Vera Maria Jacob. O Direito Privado brasileiro na visão de Clóvis do Couto e Silva. Porto Alegre: Livraria do Advogado, 1997, p. 33-58; MARTINS-COSTA, Judith. A boa-fé no direito privado: sistema e tópica no processo obrigacional. São Paulo: Revista dos Tribunais, 1999, e, da mesma autora, A boa-fé no direito privado: critérios para a sua aplicação. São Paulo: Marcial Pons, 2015. MARQUES, Cláudia Lima. Contratos no Código de Defesa do Consumidor. 9. ed. rev. e atual. São Paulo: Revista dos Tribunais, 2019.   11 VI - transparência: garantia, aos titulares, de informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial. 12 JOELSONS, Marcela. O legítimo interesse do controlador no tratamento de dados pessoais e o teste de proporcionalidade. Revista de Direito e as Novas Tecnologias, v. 8/2020, Jul-Set, p. 11430.
Que tipo de contribuição aos estudos jurídicos sistemáticos e regulares da Lei Geral de Proteção de Dados, a LGPD poderá gerar uma série televisiva que trata essencialmente de partidas de xadrez, relacionadas à experiência de vida da interlocutora? A imperdível série intitulada o Gambito da Rainha, contando com mais de  62 milhões de visualizações nos serviços de streaming ao redor do mundo, foi  baseada no livro escrito por Walter Tevis, publicado em 1983 e adaptada, roteirizada e dirigida por Scott Frank, tendo Anya Taylor-Joy no papel da personagem principal Elizabeth Harmon que  como enxadrista, foi obtendo vitórias sucessivas, até se consagrar campeã mundial. Durante os capítulos, procura-se mostrar a estrita relação entre os movimentos de xadrez e os atos, fatos e consequências relacionados à  protagonista, cuja personalidade foi ricamente construída, não se afastando o autor de imprimir-lhe uma visão filosófica existencial, no contexto de sua vida de sacrifícios e de superação, descrita desde tenra idade, como também das demais personagens ao seu redor que, reconhecendo certas características de sua personalidade, por ela se sacrificam altruisticamente, contribuindo para que esta  possa atingir bons resultados, inclusive no crescimento como pessoa.   Neste cenário, a tomada de decisão estratégica e ponderada, é essencial e fundamental para o sucesso nas competições e a artista principal o faz, por meio de exercícios de visualização prévia de inúmeras jogadas (a partir da fixação de seu olhar num ponto qualquer do espaço), contando com a contribuição daqueles enxadristas que fora derrotando ao longo de  sua trajetória e que com ela se uniram no mesmo ideário de  fazê-la vitoriosa,  exercitando preditivamente, todas as jogadas plausíveis e possíveis  aos  adversários competidores,  com vistas a obter a oportunidade almejada. Mas as escolhas presentes e reais da personagem se ligam ao seu passado e às suas circunstâncias familiares, nas quais se inclui a morte da mãe em acidente automobilístico e a sua criação e educação em orfanato onde iniciou em tenra idade, o seu contato com o fascinante jogo de xadrez, tendo as primeiras lições sido ministradas por  um zelador  dedicado que lhe ensinava os movimentos do jogo, no porão do orfanato nas suas horas vagas e, a quem efetivou emocionante póstuma homenagem, dedicando-lhe  uma de suas vitórias avassaladoras.  Estas breves linhas não pretendem dar spoiler desta reputada série, mas sim, contribuir para que se possa traçar um paralelo analógico e metafórico, visando demonstrar a importância da certeira e temporalmente eficiente  tomada de decisão na gestão em assuntos de  LGPD, lastreada na avaliação das circunstâncias passadas e  presentes, com  vistas  ao futuro protetivo e agregador. Apesar da correlação pretendida se adaptar a todo o teor da LGPD, fazemos  aqui um recorte do Art. 50 desta lei que menciona que  os controladores e operadores, no âmbito de suas competências, pelo tratamento de dados pessoais, individualmente ou por meio de associações, poderão formular regras de boas práticas e de governança que estabeleçam as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais. A questão primária que se coloca, reside na intelecção da necessidade de formulação destas regras voltadas para o desenvolvimento de políticas internas de boas práticas e de governança de Dados,  como uma faculdade ou como uma obrigação ou dever imposto. A tomada de decisão de todos aqueles que estão em processo de adequação empresarial ou institucional aos termos da LGPD, do ponto de vista meramente financeiro, será clara pois estas políticas previstas, demandam planejamento sólido, desembolso financeiro, preparo, envolvimento de pessoas e manutenção para que possam ser minimamente implantadas de forma eficiente. Há assim, clara correlação de escolhas e consequências entre a tomada de decisão do gestor e  a tomada de decisão da personagem, pela escolha da jogada de abertura denominada Gambito da Rainha. Para que melhor se entenda esta simetria relacional, retornamos ao jogo de  xadrez e a explicação rasa do contexto que envolve esta jogada. Composto de 16 peças brancas e pretas de cada lado do tabuleiro, o jogo de xadrez envolve raciocínio lógico e estratégia constante onde, na  partida que objetiva dar o xeque mate no adversário, é afastado o elemento sorte. Segundo a história, o xadrez surgiu no século VI na Índia, com o nome de Shaturanga, sendo praticado também na China e na Pérsia. No modelo atual de jogo, o desenvolvimento se deu no Sudoeste da Europa em meados do século XV, tendo o enxadrismo sido reconhecido como esporte pelo Comitê Olímpico Internacional no ano de  2001. Não vamos aqui dissertar sobre o funcionamento e regras deste jogo. Todavia, para a analogia pretendida, é oportuno que se mencione a visão conceitual segundo a qual, no jogo de xadrez se empreende uma batalha entre dois reinos, a partir de um grupo de soldados (peões) que devem proteger primariamente o Rei. Há ainda a Rainha (Dama) e três níveis de oficiais denominados de  Bispo, Cavalo e Torre e, cada qual  destes possui no tabuleiro, uma trajetória e movimento específico, ligados aos seus porquês e às suas funções e  aspirações protetivas no jogo. Há características importantes que devem ser observadas nestes soldados peões de infantaria.  São desbravadores de terreno e possibilitam que os demais possam avançar sobre o campo inimigo, muito embora  tenham movimentos restritos e inferiores aos demais personagens da batalha. Neste contexto de batalha campal, não podem se arrepender em sua trajetória, não se admitindo  regressão.   Quando um destes soldados consegue avançar no tabuleiro até a última linha do lado opositor (oitava casa), imediatamente sofre uma mutação e é transformado em importante rainha, se a originária já havia sido liquidada ou, ainda, num bispo, torre ou cavalo, a critério do jogador e das condições de perdas anteriores destas peças assemelhadas  no jogo. Portanto, um peão, do ponto de vista existencial, é essencialmente uma resplandecente Rainha em botão. A expressão "Gambito" (ou "cambito" que é sinônimo de pernas finas no Brasil)  origina-se do italiano gambetta (perninha) , que é o diminutivo de gamba. Por sua vez, "Gambito da Rainha" é uma expressão utilizada para representar  um movimento de abertura  inicial  no jogo  de xadrez onde um soldado de infantaria  "peão",  pode ser colocado  sumariamente ao sacrifício,  para se tirar vantagem e possibilitar o ganho da partida, na  forma idealizada pelo enxadrista, cabendo ao oponente aceitar ou não o  "Gambito da Rainha". Se aceita esta jogada, o peão de abertura será sacrificado imediatamente, gerando vantagem inicial àquele que efetivou a jogada. Esta metáfora, na nossa ótica,  pode  claramente ser aplicada na tomada de decisão sobre a matéria que envolve LGPD e, em especial, na interpretação do artigo 50. A partir de uma análise econômica do direito, efetivada de forma precária e  ligeira, sem se considerar o conjunto completo e contexto da LGPD e a sua  relação com as necessidades e expectativas empresariais e institucionais, se poderia optar por  "não sacrificar o peão" logo no início da aplicabilidade da lei. Em outras palavras, esta opção pode ser construída a partir da  seguinte narrativa: Se o Artigo 50 da lei usa claramente a expressão "poderão formular regras de boas práticas e de governança" isso significa que se trata tão só de mera faculdade e, portanto, não se precisará  destinar neste momento, recursos, ativos e trabalhos para o desenvolvimento de políticas internas que possam atender a esta disposição. Assim, metaforicamente falando, não vamos iniciar esta fase, com um "Gambito da Rainha"  que levará  ao sacrifício do  peão, pois teremos tempo para construir um cenário estrutural adequado, ao longo da partida. A contraposição a este raciocínio, seria o seguinte: apesar de se  reconhecer que em tese, nada obstará que se faça o preparo previsto em lei com o estabelecimento de políticas de boa governança de dados e melhores práticas, haja vista que o artigo 50 apresenta uma mera faculdade e não um dever ou uma obrigação, dada a repercussão da LGPD sob o campo jurídico de terceiros; seu caráter preventivo e protetivo e em observância ao seu conjunto de princípios e fundamentos, o ideal será efetivar a jogada "Gambito da Rainha" de imediato, logo na abertura, mesmo com riscos enormes de se  "sacrificar o peão", imponto o necessário para a imediata implantação das políticas dispostas, reduzindo incertezas,  gerando segurança futura na partida e possível vitória. A partir de um conjunto sistemático de norma de caráter principiológico, a  LGPD propugna por buscar também a  adequação e cumprimento pelos agentes que a ela se sujeitam, de uma série de rotinas visando proteção de dados pessoais, através da busca da harmonização, estabelecimento de padrões de proteção à privacidade e aos dados pessoais, criação de  um sistema completo de proteção e padronização de tal forma que competirá aos agentes de  mercado, no âmbito da responsividade social, criar procedimentos para gerar a  adequação e proteção dos direitos tutelados, através de modelos apropriados e da   adoção efetiva de melhores práticas na  governança de dados. Assim é que, observando-se a regra contida no artigo 50 da LGPD, a partir dos seus parágrafos, a implantação das políticas sugeridas, atenderá a um conjunto de regras que se vinculam ao sentido finalista da norma. O parágrafo primeiro menciona que ao estabelecer regras de boas práticas, o controlador e o operador deverão levar em consideração, quando do tratamento de dados, a sua  natureza, escopo e a finalidade, bem como a probabilidade e a gravidade dos riscos, considerando-se os benefícios decorrentes do tratamento de dados. Por sua vez, do parágrafo segundo do mesmo artigo, infere-se que, na aplicação dos princípios estabelecidos na LGPD, o controlador, uma vez observada a estrutura, escala, volume de suas operações, bem como a sensibilidade dos dados tratados e probabilidade de geração de danos aos seus titulares, poderá implementar um programa de governança em privacidade com requisitos mínimos previstos na lei e ainda,  demonstrar a efetividade de seu programa, em especial, a pedido da autoridade nacional ou de outra entidade responsável por promover o cumprimento de boas práticas ou códigos de conduta, os quais, de forma independente, promovam o cumprimento da Lei. Assim, atentando-se para os fundamentos da LGPD, lastreados no  respeito à privacidade; a autodeterminação informativa; a liberdade de expressão, de informação, de comunicação e de opinião; a inviolabilidade da intimidade, da honra e da imagem; o desenvolvimento econômico e tecnológico e a inovação; a livre iniciativa, a livre concorrência e a defesa do consumidor; e os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoas naturais, fica mais intuitiva a tomada de decisão pela jogada "Gambito da Rainha", na abertura dos procedimentos de adequação à LGPD. O Artigo 50, contendo a previsão de uma faculdade, deve ser interpretado em sintonia com os demais dispositivos legais, demonstrando-se, na realidade, ser esta faculdade um dever, na medida em que constitui uma regra programática alinhada com o fundamento e a principiologia do sistema protetivo de dados, idealizado pelo legislador para a consecução pelo Estado, das finalidades sociais previstas. E este poder - dever que justifica a tomada de decisão por parte da empresa ou da instituição, de implantação imediata das políticas mencionadas pelo legislador, encontra plena ressonância e sintonia com os princípios que norteiam o sistema protetivo de dados pessoais brasileiro, consubstanciados na  finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas como forma de demonstração, pelo agente de tratamento, da adoção de medidas eficazes e capazes de comprovar a observância e o cumprimento das normas de proteção de dados pessoais e, inclusive, da eficácia dessas medidas. Deste ponto de vista, a governança de dados não poderá ser reduzida a uma simples conferência de adequabilidade acerca dos cumprimentos dos ditames legais pois, existe a real necessidade de adoção de um eficiente sistema para detectar riscos, fragilidades e exposições nocivas de dados, para que seja possível a mitigação e/ou a sua a anulação. Há assim, o dever de se construir um eficiente programa de compliance e prevenção, corroborando um cenário que comprove melhores práticas e boa-fé dos agentes na governança e no tratamento de dados pessoais, além de todos os esforços envidados para mitigar qualquer incidente de vazamento de dados que se possa vir a sofrer. A LGPD, quando trata das questões relacionadas aos programas de integridade,  incentivando os agentes de tratamento à formulação de  regras de boas práticas e  de governança que estabeleçam condições, normas de segurança, padrões técnicos e mecanismos de mitigação de riscos, demonstra também a necessidade e a  busca atual de Accountability no sentido de se estabelecer uma nova visão acerca da responsabilidade  na proteção de dados pessoais e no tratamento,  como categoria autônoma no rol de direitos fundamentais, trazendo a este conteúdo normativo, a necessária independência perante os demais direitos de proteção existentes no ordenamento. E, observando-se a natureza principiológica da regra, esta faculdade descrita no Art. 50, não deverá ser interpretada de forma isolada, assim como nenhum dos artigos da LGPD, na nossa ótica, deve ser analisado isoladamente pois há a necessidade de se avaliar todo o sistema em que a norma ou determinado artigo desta, está inserido. Tomada a decisão pela imediata elaboração das políticas protetivas concernentes, decorrentes do Art. 50, quando da edição de um Código de Melhores Práticas, poder-se-á adotar um padrão organizacional e de cunho ético contendo capítulo específico voltado para a formulação das regras de boas práticas e de governança de dados,  observando-se para com relação à matéria de tratamento e  proteção de dados, certas conformidades a serem seguidas no estabelecimento deste regramento, atentando-se para a sua  natureza, escopo,  finalidade, e probabilidade dos riscos e dos benefícios decorrentes do tratamento de dados do titular, observada a finalidade protecionista da norma. Dois princípios podem ser observados na elaboração do regramento do Código de Melhores Práticas. O primeiro é voltado para a segurança que devem ser utilizadas as medidas técnicas e administrativas eficientes e existentes à época, aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou difusão dos dados. O segundo princípio é reservado para a prevenção pelo qual se relacionarão as medidas que possam ser adotadas para prevenir e contingenciar a ocorrência de danos em virtude de incidentes no tratamento e/ou armazenamento dos dados pessoais. Um programa de governança adequado, deve objetivar o estabelecimento de relação de confiança com o titular dos dados, por meio de atuação transparente e que assegure mecanismos de participação ativa deste quanto ao controle e destino dos seus dados pessoais. Ainda, deve estar integrado à estrutura geral de governança corporativa da empresa como já mencionado, e deve estabelecer as regras de aplicação dos mecanismos de supervisão internos e externos. O monitoramento do programa de governança de dados deve contar com planos de respostas a incidentes e remediação de ocorrências, com vistas a minimizar riscos, assim como deve ser continuamente aperfeiçoado e atualizado, observando-se a sua submissão às avaliações periódicas. Há ainda o aspecto extremamente positivo ao consumidor titular dos dados, quando a empresa/instituição ou quem estiver obrigado pela lei, efetivamente se propõe a ajustar o necessário do ponto de vista interno, para estruturar um programa de governança de dados e de políticas de natureza protetiva. Trata-se da transparência ao consumidor e da possibilidade de adesão prévia às políticas especificas, quando da oferta de serviços, principalmente por aplicativos. Neste contexto, não seria aplicável a prática de alguns provedores de serviços, de simplesmente negar acesso ao serviço, pelo fato de o Consumidor não concordar com a política de privacidade ou com o teor contido em algumas de suas disposições.  A negativa de serviços àquele que discorda da forma de uso de seus dados, parece não se sintonizar com o espírito da LGPD e, neste ponto, regras de governança de dados, poderão corrigir de início esta delicada questão.   Retomamos agora, ao paralelo pretendido acerca da tomada de decisão de gestão  consistente do  estabelecimento de  uma  jogada nos moldes "Gambito da Rainha",  que leva ao  sacrifício inicial do peão, tendo como consequência a imediata implementação dos ditames legais voltados para a completa segurança e proteção de dados, ou efetivar um programa de governança de dados, nos moldes  estabelecido no Art. 50, utilizando-se tão só de  variável finalista,  voltada para os custos e investimentos necessários na adoção e implantação deste sistema, como forma de gerar o necessário compliance, diferindo as providencias  executórias no tempo e no espaço. O sistema de governança de dados conjugado aos conceitos de boa governança corporativa, pretende a adoção de melhores práticas que possa levar a uma relação harmônica entre todos estes agentes responsáveis pelo tratamento de dados, titulares dos dados, empresas, instituições  e mercados.  A necessidade de adoção de códigos de conduta na materia protetiva de dados pessoais, faz também parte do Regulamento Europeu de Dados, inspirador da legislação brasileira,  onde a secção 5 trata de Códigos de Conduta e Certificação e, em especial o Artigo 40 disciplina acerca da promoção por parte dos  Estados-Membros, das autoridades de controle, Comitê e da Comissão de dados, da  elaboração de códigos de conduta destinados a contribuir para a correta aplicação do regulamento, tendo-se em conta as características dos diferentes setores de tratamento e, ainda, as necessidades específicas das empresas.  Nesta perspectiva europeia, as associações e os outros organismos representantes de categorias de responsáveis pelo tratamento ou de subcontratantes, também podem elaborar códigos de conduta, a fim de especificar as melhores práticas, no ambito de matérias que são que sugeridas.  Este regramento  visa buscar tratamento equitativo e transparente na matéria protetiva de dados, com a observância dos legítimos interesses dos responsáveis pelo tratamento em contextos específicos, efetivando previsões especificas sobre temas como a pseudonimização dos dados pessoais, a necessidade de  informação  a ser prestada ao público e aos titulares dos dados; a previsão do exercício dos direitos dos titulares dos dados; especificações sobre  informações prestadas às crianças e a sua proteção, e o modo pelo qual o consentimento do titular das responsabilidades parentais da criança deve ser obtido; as ações extrajudiciais e outros procedimentos de resolução de litígios entre os responsáveis pelo tratamento e os titulares dos dados e medidas destinadas a garantir a segurança do tratamento; notificação de violações de dados pessoais às autoridades de controle e a comunicação dessas violações de dados pessoais aos titulares dos dados.  Observa-se que os códigos de conduta são de importância na consecução das políticas públicas europeias e devem ser  submetidos  à  Autoridade de Controle para compliance, análise prévia e aprovação. Após, estes códigos serão registrados, disponibilizados ao público pelo princípio da publicidade e por ela supervisionados ou por um organismo credenciado pela Autoridade de Controle, gerando absoluta transparência.  Na medida em que a ANPD-Autoridade Nacional de Proteção de Dados brasileira implemente as suas políticas, parece que ganhará força e estrutura a matéria sobre a governança de dados, gerando a expectativa e a necessidade de sua implantação imediata e eficaz, de forma plena, a exemplo do que ocorre na Europa.   Ao adicionar mais variáveis na construção do paralelo inicialmente apresentado,  poderá se conseguir gerar estrita  eficiência na tomada de decisão imediata pela jogada de gestão nos moldes  "Gambito da Rainha", gerando o possível  sacrifício do peão a partir da  implantação do programa de governança de dados e políticas concernentes, de forma imediata,  visando a proteção dos dados pessoais nos exatos moldes idealizados pelas regras legais, em sintonia com as políticas pública, tendo como consequência a  prevenção e mitigação dos riscos decorrentes de vazamentos e incidentes e representando um ato de cidadania social.  Por fim,  quando  no jogo real  de xadrez  da vida  empresarial e institucional, uma vez verificado o conjunto de circunstâncias que envolvem a    tomada de decisão acerca da adoção da LGPD, sua  forma de adequação, intensidade e momento, conjugado com a racionalização de seus objetivos,  custos e  investimentos envolvidos,  e esforços para que se possa  bem cumprir com o sistema legal de proteção de dados pessoais, qual será a sua jogada? Vamos Jogar... Diria Beth Harmon.
Introdução  A lei 13.787, de 27 de dezembro de 2018 dispõe sobre a digitalização, guarda, armazenamento e manuseio dos prontuários eletrônicos (PE) de paciente. Este mesmo ano marca a promulgação da Lei Geral de Proteção de Dados (LGPD), lei 13.709, de 14 de agosto de 2018. A vinculação de ambas é direta por determinação do artigo 1º da lei 13.787/2018 que dispõe: a digitalização e a utilização de sistemas informatizados para a guarda, o armazenamento e o manuseio de prontuário de paciente são regidas por esta lei e pela lei 13.709, de 14 de agosto de 2018. O estudo de aspectos centrais na regulação concernente ao prontuário eletrônico de paciente (PEP) e a proteção de dados e informações pessoais no âmbito de instituições de saúde, clínicas e consultórios privados, será o objetivo central deste texto. O texto está estruturado da seguinte forma: 1) Aspectos legais e deontológicos na regulação dos PEP; 2) O PEP no contexto da LGPD e 3) A certificação de sistemas de prontuário eletrônico. Prontuário eletrônico no Brasil: aspectos legais e deontológicos O prontuário de paciente é um documento essencial e necessário na assistência à saúde, para o registro acurado e guarda de dados pessoais e informações sobre a história de saúde e de informações adicionais de pacientes. O prontuário de paciente, seja físico ou eletrônico, é pauta de códigos deontológicos de vários profissionais da área da saúde - tais como médicos, enfermeiros, psicólogos, fisioterapeutas e nutricionistas -, pois é o documento mais importante para o registro da assistência prestada ao paciente. Os prontuários eletrônicos de paciente (PEP), tecnicamente, são considerados Registros Eletrônicos em Saúde (RES), e devem estar incorporados a um Sistema de Registro Eletrônico (S-RES). O Manual de Certificação de Sistemas de Registro Eletrônico, formulado e publicado pela Sociedade Brasileira de Informática em Saúde (IBIS), define RES como o repositório de informação a respeito da saúde de indivíduos, numa forma processável eletronicamente. E  S-RES como um sistema para registro, recuperação e manipulação das informações de um Registro Eletrônico em Saúde. Neste mesmo sentido, ABNT ISSO/TR 20514 - Informática em saúde - Registro eletrônico de saúde - Definição, escopo e contexto-, define o S-RES como qualquer sistema que capture, armazene, apresente, transmita ou imprima informação identificada em saúde. Entende-se por informação identificada aquela que permite individualizar um paciente, o que abrange não apenas o seu nome, mas também números de identificação (tais como RG e CPF etc.) ou outros dados que, se tomados em conjunto, possibilitem a identificação do indivíduo. O PEP pode ser uniprofissional, quando é restrito ao atendimento realizado por apenas um profissional da saúde, em seu consultório ou clínica, ou pode ser multiprofissional, quando o paciente está vinculado, por exemplo, à uma clínica ou instituição de saúde. Entretanto, em qualquer uma das situações, o PEP deve conter dados pessoais e informações da história clínica, do diagnóstico, do prognóstico, condutas e planos de cuidado, de resultados de exames clínicos, laudos, imagens e demais anotações complementares, necessárias para promover a melhor assistência ao paciente, como as situações de vulnerabilidade social e/ou familiar.1 Os prontuários eletrônicos podem auxiliar na promoção à assistência integral de saúde do paciente. Igualmente, os dados e informações registrados no PEP pode ser fonte de pesquisa, retrospectiva, para estabelecer políticas públicas e garantir melhoramentos na assistência à saúde no presente e no futuro.2-3-4  Aliás, o princípio da integralidade em saúde é um dos princípios basilares ao Sistema Único de Saúde, lei 8080/1990, expresso no artigo 7º, inciso II, entendido como conjunto articulado e contínuo das ações e serviços preventivos e curativos, individuais e coletivos, exigidos para cada caso em todos os níveis de complexidade do sistema.5-6 É inegável a importância do Conselho Federal de Medicina (CFM) no estabelecimento de padrões normativos no que concerne ao prontuário de paciente (também denominado de prontuário médico), físico ou eletrônico. A resolução 1.331/1989 foi a primeira a explicitamente tratar do tema, limitando-se a determinar que o prontuário médico deveria ser documento de documentação permanente dos estabelecimentos de saúde - públicos ou privados.  Na sequencia, a Resolução 1.331/1989 foi revogada pela resolução 1638/2002 e esta, por sua vez, revogada pela resolução 1.821/2007, ora vigente.7 O Código de Ética Médica e resolução CFM 1.821/2007 determinam que o médico deve manter o registro adequado das informações, em respeito ao sigilo profissional, para garantir a privacidade do paciente.8 Em particular, a Resolução define "Normas Técnicas para o Uso de Sistemas Informatizados para a Guarda e Manuseio do Prontuário Médico" e também regula os critérios de segurança que devem ser observados na utilização dos Prontuários Eletrônicos de Paciente (PEPs), estabelecendo critérios para certificação dos sistemas de informação em saúde. A resolução CFM 1.821/2007 estabelece  nove regras que devem ser observados nos sistemas de prontuário eletrônico: 1) garantir a integridade da informação e qualidade do serviço; 2) garantir a privacidade e a confidencialidade dos dados e informações armazenadas; 3) organizar bancos de dados seguros e confiáveis; 4) garantir a autenticidade dos dados e informações, na medida possibilidade; 5) auditar o sistema de segurança; 6) garantir a transmissão de dados e informações em segurança; 7) utilizar software certificado; 8) exigir digitalização de prontuários existentes em meio físico e 9) fazer cópia de segurança na medida da possibilidade.9 Critérios semelhantes previstos na resolução CFM 1.821/2007 pautam a lei 13.787/2018. A lei, em seu artigo 2º, determina que o prontuário digitalizado deve assegurar a integridade, a autenticidade e a confidencialidade e, para tanto, o sistema deve obedecer a requisitos previstos em regulamento específico (§3º) e deve ser certificado por padrões legalmente aceitos (§2º). O PEP tem valor probatório para fins de direito, assim como os prontuário físicos, desde que respeitadas as normas legais (artigo 5º). Quanto ao tempo de guarda dos prontuários físicos ou microfilmados, após digitalização, deve ser de 20 anos (artigo 6º), a não ser quando diferente prazo for previsto em regulamento; por exemplo para fins de estudo e pesquisa (artigo 6º, §1º). Assim, a regulação concernente ao PEP exige uma análise sistemática, intra e extrajurídica, envolvendo aspectos jurídicos, técnicos, deontológicos e bioéticos. O princípio da confiança, da integridade das informações, do acesso livre e seguro ao sistema PEP, de forma não editável, obriga os responsáveis pelo tratamento de dados e informações de pacientes - controladores -, sejam eles profissionais liberais ou designados por instituições de saúde, públicas ou privadas. Os prontuários eletrônicos de paciente no contexto da LGPD Os dados e informações registrados no PEP têm natureza individual e, grande parte deles, têm natureza sensível, pois são relacionados diretamente à saúde e à intimidade do paciente (artigo 5º, incisos I e II e 11 da LGPD).10 Destaco: os fundamentos (artigo 2º), os princípios (artigo  6º), requisitos aplicáveis (artigo 7º); a forma para o consentimento informado de paciente (artigo 8º);  a finalidade, a necessidade e o limite para organização e elaboração do PEP (artigo 9º); a demonstração do legítimo interesse para o tratamento dos dados (10º) e, primordialmente, as exigências para o tratamento de dados pessoais sensíveis (artigo 11º).11 Assim, todas as instituições, públicas ou privadas ou profissionais da área da saúde responsáveis pelo tratamento de dados pessoais, deverão ter suas atividades estruturadas e ajustadas conforme as regras e princípios da LGPD e da Autoridade Nacional de Proteção de Dados (ANPD), criada pelo decreto 10.474/2020. Da mesma forma, compete aos responsáveis pelas instituições ou aos profissionais liberais responsáveis pelos PEP as decisões referentes ao tratamento de dados pessoais de pacientes. Portanto, os controladores têm o dever de observar e respeitar os direitos fundamentais de liberdade, de intimidade e de privacidade dos pacientes, expressamente previstos no artigo 17 da LGPD, reforçando a previsão expressa da Constituição Federal, artigo 5º.12 Em particular, devem ser previstas formas e estruturas institucionais para, em segurança, dar conhecimento e acesso ao PEP ao paciente ou a terceiros autorizados, conforme deveres previstos no artigo 18 da LGPD.  A exceção para o livre acesso, envolve dados ou informações que possam comprometer ou vulnerabilizar os cuidados assistenciais do paciente, tais como informações relacionadas a saúde mental; abuso e violência de vulnerável, entre outras. Por isso, o PEP deverá conter campos com restrição de acesso, justificados, para atender ao princípio da beneficência, em prol do paciente. Neste contexto, a forma mais adequada de nominar, talvez, seja o prontuário vinculado ao paciente e não o prontuário de paciente. O PEP possibilita que os dados e informações de saúde sejam registradas de forma sequencial, não editável, centralizada e coesa.  Em tese, o PEP permite que os dados e informações possam ser compartilhados e/ou portabilizados entre profissionais e instituições de saúde. Por exemplo, a tecnologia de blockchain vem sendo testada em pesquisas na área da saúde - ainda em nível experimental - para permitir a interoperabilidade de sistemas de PEP e, simultaneamente, o estabelecer registro com índice único, mas com acesso distribuído, garantindo, assim a segurança e a privacidade dos pacientes.13 O E-saúde, caracterizado por práticas de digitalização em saúde e pela utilização de tecnologias de informação e comunicação (TIC), poderá ser fundamental para concretizar o princípio da integralidade na atenção à saúde, possibilitando a interligação de sistemas, equipamentos e aplicativos para saúde pessoal. No entanto, sabe-se que para atingir este objetivo, os desafios são significativos, sejam técnicos (p.ex. a interoperabilidade dos sistemas), bioéticos (p.ex.  o respeito à pessoa e a atenção ao princípio da beneficência e da confiança) e jurídicos (p.ex. a garantia aos direitos fundamentais e ao livre desenvolvimento da personalidade, entre eles a privacidade e a proteção de dados pessoais). É importante, neste cenário, destacar o papel das figuras do controlador, operador e encarregado (artigo 5º, incisos VI, VII e VIII) para o ajuste de políticas e culturas em prol da proteção de dados pessoais de pacientes. Em particular, o controlador a quem compete as decisões referentes ao tratamento de dados pessoais, e que deve exigir do operador a implementação de todas as medidas técnicas, de segurança e de certificação dos sistemas utilizados e, exigir do encarregado a composição e elaboração de políticas institucionais, educacionais e de assessoria, por meio de comissões específicas ou grupos de trabalho. A certificação de prontuários eletrônicos  A certificação dos sistemas envolvidos no tratamento de dados pessoais e sensíveis é uma das medidas fundamentais para garantir a segurança e o sigilo dos dados e informações; assim como, de forma preventiva, orientar e estabelecer medidas contra acidentes ou mesmo acessos ilícitos, não autorizados, que possam provocar a destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito, conforme determina o artigo 46 LGPD. A certificação também é relevante como meio de comprovação das medidas de segurança adotadas para serem apresentadas, quando necessário, à Autoridade Nacional de Proteção de Dados (ANPD) no exercício de suas competências (artigo 55-J). O risco de acessos ilícitos ou não autorizados envolvendo os dados de saúde são robustos, o setor da saúde é o mais visado por cibercriminosos. A empresa Check Point relata um aumento de 45% nos ataques cibernéticos a instituições e organizações de saúde em todo o mundo, particularmente nos meses de novembro e dezembro de 2020.Os hospitais são alvos de ataques atraentes porque têm se mostrado mais dispostos a atender às demandas geradas por ransomware (software maliciosos que limitam o acesso), uma vez, que estão sob forte pressão ao enfrentarem o número crescente de casos de Coronavírus e os programas de vacinas. Este aumento é mais que o dobro do crescimento geral (22%) de ataques cibernéticos, sofridos pelos demais setores no mundo durante o mesmo período.14 Arte da certificação está, como bem detalharam Simão Filho e Rodrigues, na certificação multinível, para prevenir e garantir a segurança necessária ao setor da saúde. A certificação deve ocorrer de forma conjugada entre o nível interno e externo às empresas, às instituições ou à prática de profissionais liberais.15 O nível interno, envolve as práticas primárias, que são àquelas para verificar a eficácia dos processos e procedimentos internos; a qualidade dos dados, de sistemas informáticos e de segurança, assim como o nível de adequação no tratamento de dados sensíveis, de crianças e de idosos, eventuais falhas sistêmicas, além da análise nas operações de compartilhamento e ou para transferência internacional de dados. Por sua vez, a certificação institucional, em nível externo, deve conectar as atividades a apreciação externa, realizada por órgãos de certificação, reconhecidos e independentes, que realizam a fiscalização e auditoria de sistemas e, também, estabelecem padrões e normas técnicas legalmente.16  No caso de PEP, a certificação é uma exigência desde 2007. A Resolução do CFM 1821/2007, artigos 2º, §2º, letra c; 3º, 4º e 5º, e o Manual de Certificação para Sistemas de Registro em Saúde exigem que a certificação seja realizada em todos os sistemas de PEP, em diferentes níveis.17  O CFM estabeleceu convênio com a Sociedade Brasileira de Informática em Saúde (SBIS)18 para estabelecer o padrão de qualidade brasileiro para os Sistemas de Registro Eletrônico de Saúde (S-RES), entre eles os prontuários eletrônicos. Os critérios de qualidade estabelecidos incluem padrões e nível de segurança indispensáveis para o uso legal e confiável; a certificação eletrônica dos usuários do sistema, a impossibilidade de alteração dos registros e o versionamento do sistema.19-20 A certificação da SBIS estabelece critérios distintos para as categorias de PEP, e seus respectivos Sistemas de Registro Eletrônico de Saúde (S-RES), para as instituições de saúde, como os hospitais, consultório de assistência individual e clínicas e ambulatórios, considerando as suas peculiaridades. No entanto, a LGPD exige de todos agentes, o respeito às suas normas, requisitos, conceitos e princípios, tanto no âmbito administrativo, submetido à fiscalização da ANPD, como em âmbito do controle jurisdicional, civil e/ou penal.21-22 Além da certificação do S-RES, deverá haver a adequação da certificação aos padrões e normas técnicas aceitas pela LGPD, sejam estes padrões internos ou externos, nas diferentes áreas de controle e comissões. Particularmente, no que que concerne aos hospitais, instituições ou unidades que prestem assistência médica e assistência de saúde, o RES deve estar sob atribuição da Comissão Permanente de Avaliação de Documentos, ou da Comissão de Revisão de Prontuários, conforme a Resolução do CFM 1.821/2007, artigo 9º. Conclusão O PEP registra dados e informações pessoais e sensíveis, portanto todas as atividades envolvidas na assistência e na prestação de serviços em saúde, que tenham RES, devem respeitar as regras e princípios estabelecidos na LGPD e as orientações da ANPD. O prontuário vinculado ao paciente, como entendo ser a denominação mais apropriado na sociedade da informação, consolida todas as espécies de dados e informações envolvidos na assistência ou na prestação de serviços na área da saúde Por fim, a LGPD impõe aos profissionais e instituições na área da saúde a necessidade de adequação organizacional e de cultura assistencial e de cuidado, para garantir a proteção de dados pessoais, a privacidade e a confidencialidade de pacientes, conjugada com a observância de normas deontológicas, referenciais bioéticos e respeito às exigências técnicas, de certificação dos S-RES. __________ 1 FERNANDES, M. S.; GOLDIM, J.R. A sistematização de dados e informações em saúde em um contexto de big data e blockchain, in Lucca, N.; Pereira de Lima, C.R.; Simão, A.; Maciel, R.M  (Org). Direito e Internet IV, São Paulo: Quartier Latin, 2019. 2 HAUG CJ. Whose Data Are They Anyway? Can a Patient Perspective Advance the Data-Sharing Debate? N Engl J Med. 2017;;376(23):2203-5. 3 GOLDIM JR, GIBBON S. Between personal and relational privacy: understanding the work of informed consent in cancer genetics in Brazil. J Community Genet. 2015;6:287-93.). 4 MORAIS, L. S.; FERNANDES, M.S. ; ASHTON-PROLLA, P. ; GOLDIM, J. R. . Privacidade relacional no Ambulatório de Oncogenética do Hospital de Clínicas de Porto Alegre. Revista Brasileira de Políticas Públicas, v. 8, p. 146-174, 2018. 5 BRASIL, lei 8080, de 19 de setembro de 1990. Acessível aqui. 6 MINISTÉRIO DA SAÚDE. O SUS, no ano de 2020 apresentou a versão 4.0 do Prontuário Eletrônico do Cidadão (PEC) do e-SUS APS, projeto em vista de integrar os sistemas de PE de pacientes do SUS. Acessado em 08 de fevereiro de 2021, disponível em https://aps.saude.gov.br/noticia/9456 7 CONSELHO FEDERAL DE MEDICINA. Resolução nº 1.821/2007 do CFM, de 23 de novembro de 2007. Acessível aqui. 8 CONSELHO FEDERAL DE MEDICINA. Código de Ética Médica. Resolução nº 2.217/2018 do CFM, de 01 de novembro de 2018. Acessível aqui. 9 CONSELHO FEDERAL DE MEDICINA. Resolução nº 1.821/2007 do CFM, de 23 de novembro de 2007. Acessível aqui. 10 PEREIRA DE LIMA, C. R.; PEROLI, K. Epidemiologia, infectividade e os dados pessoais relativos à saúde: do passado ao presente. Migalhas, 25 de setembro de 2020. Acessado em 03 de fevereiro de 2021, disponível aqui. 11 SARLET, G. B.S; FERNANDES, M. S.; RUARO, R. L. A proteção de dados no setor de saúde em face do sistema normativo brasileiro atual, in Tratado de Proteção de Dados Pessoais, coord. Mendes, Laura; Doneda, Danilo; Sarlet, Ingo W. e Rodrigues Jr.; Otávio, Rio de Janeiro: Editora Forense, 2021. 12 SARLET, I. W. Fundamentos Constitucionais: o Direito fundamental à proteção de dados, in Tratado de Proteção de Dados Pessoais, coord. Mendes, Laura; Doneda, Danilo; Sarlet, Ingo W. e Rodrigues Jr.; Otávio, Rio de Janeiro: Editora Forense, 2021. 13 ROEHRS, A. ; DA COSTA,  C. A.; DA ROSA RIGHIA, R., DA SILVA, V.F. , GOLDIM, J.R; SCHMIDT, D.C. Analyzing the performance of a blockchain-based personal health record implementation, J Biomed Inform. 2019 Apr;92:103140. doi: 10.1016/j.jbi.2019.103140. Epub 2019 Mar 4.(2019). 14 SECURITY REPORT. Instituições brasileiras do setor de saúde sofrem mais de 60% de ataques cibernéticos. Acessado em 08 de fevereiro de 2021, acessível aqui. 15 SIMÃO FILHO, A. e RODRIGUES, J. C. Certificarte: a arte da certificação em LGPD. Migalhas, 2020. Acessado em 05 de fevereiro de 2021, disponível aqui. 16 SIMÃO FILHO, A. e RODRIGUES, J. C. Op.Cit. 17 SOCIEDADE BRASILEIRA DE INFORMÁTICA EM SAÚDE (IBIS). Documentos e Manuais. Acessado em 05 de fevereiro de 2021, disponível aqui. 18 CONSELHO FEDERAL DE MEDICINA, Resolução CFM 2.218/2018. Acessada em 04 de fevereiro de 2021, disponível aqui. 19 CONSELHO FEDERAL DE MEDICINA, SOCIEDADE BRASILEIRA DE INFORMÁTICA EM SAÚDE. Cartilha sobre Prontuário Eletrônico - A certificação de sistemas de registro eletrônico de saúde. Brasília DF: CFM; SBIS; 2012.).  20 FERNANDES, M. S.; GOLDIM, J.R. A sistematização de dados e informações em saúde em um contexto de big data e blockchain, in Lucca, N.; Pereira de Lima, C.R.; Simão, A.; Maciel, R.M  (Org). Direito e Internet IV, São Paulo: Quartier Latin, 2019. 21 A falta de prontuário de paciente ou o seu inadequado registro pode ser um aspecto crucial para a condenação por danos à saúde a integridade física de paciente. Neste sentido, o Tribunal de Justiça de São Paulo condenou Plano de saúde e corrés, instituição hospitalar e médico, ao pagamento R$400.000 reais, a título de indenização por danos materiais e morais, por erro médico. Neste caso, os réus deixaram de apresentar o prontuário da paciente, impossibilitando a comprovação de seus argumentos. Para maiores detalhes ver: o AgInt no AGRAVO EM RECURSO ESPECIAL Nº 1.610.097 - SP (2019/0321202-4), Superior Tribunal de Justiça, de 29 de junho de 2020, que julgou a improcedência do Recurso de Agravo. 22 ROSENVALD, N.; CORREIA, A.; MONTEIRO FILHO, C. E. do R.; KHOURI, P. R. e WESENDONCK, T. A LGPD e o fundamento da responsabilidade civil dos agentes de tratamento de dados pessoais: culpa ou risco? Migalhas, 30 de junho de 2020. Acessado em 01 de fevereiro de 2021, disponível aqui.
A popularidade da plataforma de compartilhamento de vídeos curtos 'TikTok' no Ocidente tem suscitado dúvidas quanto aos métodos adotados por sua desenvolvedora, a companhia chinesa ByteDance, para a proteção de dados pessoais de seus usuários, especialmente de crianças. Recente notícia informa o descumprimento de acordo, formalizado pela referida empresa com a Federal Trade Commission (FTC) norte-americana, que previa multa de US$ 5,7 milhões caso não fossem removidos os dados coletados, tratados e armazenados a partir de contas utilizadas por usuários com menos de 13 anos de idade.1 Feito o download de um aplicativo que está disponível para os principais sistemas operacionais móveis, é realizado um cadastro que permite aos usuários a gravação de vídeos de 3 a 15 segundos de duração para a realização de sincronia labial (lip-sync) com músicas ou trechos de outros vídeos, ou vídeos em autorrepetição (looping) com duração de 3 a 60 segundos, tendo por objetivo precípuo o compartilhamento desses conteúdos para a propagação de diversão interativa e para a confecção de memes.2 Originalmente, a plataforma era chamada Douyin (??) e sua popularidade era restrita aos países do Oriente, destacadamente a China. Entre 2017 e 2018, com a aquisição de uma outra plataforma chamada Musical.ly, passou a ganhar maior projeção nos Estados Unidos da América, e foi nesse contexto que a FTC impôs a mencionada multa - antes mesmo da adoção da marca 'TikTok'. Entretanto, o debate que se apresenta vai muito além das práticas de outrora e passa a sinalizar a necessidade inevitável de que a Ciência Jurídica apresente respostas aos abusos perpetrados em detrimento de crianças, que "estão em posição de maior debilidade em relação à vulnerabilidade reconhecida ao consumidor-padrão."3 Estratégias interativas e baseadas em gamificação constituem o núcleo da plataforma 'TikTok', que possui interface baseada nos jogos e na "busca por recursos e soluções de design inspirados na lógica dos games, no sentido de provocar, de alguma maneira, experiências de envolvimento e diversão, mas que não são caracterizados efetivamente como jogos."4 Com o tempo dedicado pelos usuários à criação, ao compartilhamento e à troca de reações no 'TikTok', a plataforma mais parece um playground eletrônico do que um aplicativo de compartilhamento de vídeos passivo. O 'TikTok' instiga seu usuário a 'jogar' através da criação de vídeos criativos, usualmente de teor cômico e aptos à "viralização", inclusive noutras redes sociais. É o ambiente perfeito para que crianças, exatamente pela vulnerabilidade fática descrita nas linhas acima, sejam instigadas a se inscreverem, criando contas na plataforma para poderem aderir à diversão 'do momento'. Os riscos são evidentes e podemos sintetizá-los a partir de uma reflexão de Jaqueline Vickery: "computadores, Internet, tecnologias móveis, jogos de computador e mídias sociais não são exceções; isto é, são simultaneamente consideradas tecnologias de oportunidade, bem como tecnologias de risco na vida dos jovens; eles evocam muita ansiedade e atenção de adultos."5 Fala-se na necessidade de indicação de classificação indicativa em portais eletrônicos e na disponibilização de mecanismos de controle parental (parental control) em ferramentas de entretenimento na Internet como exemplos6 do escopo protetivo que o artigo 29 da lei 12.965/2014 (Marco Civil da Internet, ou MCI) já anunciava.7 Nem todo controle é facilmente exercido pelos pais, o que revela a importância do debate mais específico sobre dados pessoais. É exatamente o caso do 'TikTok', cuja ascensão desregulada e desprovida de mecanismos de controle eficientes revelou a imperiosidade da proteção aos dados de crianças eventualmente expostas à plataforma, com consequências como a sanção imposta pela FTC. No Brasil, a Lei nº 13.709, de 14 de agosto de 2018 (Lei Geral de Proteção de Dados Pessoais, ou apenas LGPD) dedicou dispositivos específicos ao assunto, definindo que o "tratamento de dados pessoais de crianças e de adolescentes deverá ser realizado em seu melhor interesse" (art. 14, caput), a demandar "consentimento específico e em destaque dado por pelo menos um dos pais ou pelo responsável legal" (art. 14, §1º). Tais previsões se alinham ao disposto no artigo 227 da Constituição da República8 e no artigo 4º da lei 8.069, de 13 de julho de 1990 (Estatuto da Criança e do Adolescente, ou ECA)9, realçando a condição especial da criança enquanto pessoa em condição peculiar de desenvolvimento para que a sociedade coopere no intuito de livrá-la de riscos. E, obviamente, isso inclui uma série de deveres protetivos atribuíveis a quem desenvolve e explora software de Internet, se enquadrando no conceito de provedor de aplicações, o que implica a obrigação de "prestar, na forma da regulamentação, informações que permitam a verificação quanto ao cumprimento da legislação brasileira referente à coleta, à guarda, ao armazenamento ou ao tratamento de dados, bem como quanto ao respeito à privacidade e ao sigilo de comunicações" (art. 11, §3º, do MCI). Essas emanações se coadunam, ainda, com o direito ao respeito, que, nos termos do artigo 17 do ECA, contemplam a "inviolabilidade da integridade física, psíquica e moral da criança e do adolescente, abrangendo a preservação da imagem, da identidade, da autonomia, dos valores, ideias e crenças, dos espaços e objetos pessoais." Nesse sentido, se os brinquedos já se transformaram em aparatos de alta tecnologia, com a substituição da diversão lúdica e da imaginação construída a partir de objetos por gadgets e aplicativos interconectados - denotando verdadeira "Internet of Toys", como sugere a doutrina10 -, será ainda mais importante a atuação conjunta dos pais ou responsáveis, em cooperação com o Poder Público e os provedores de aplicação, na fiscalização e efetiva prevenção de riscos e danos às crianças, cabendo aos últimos, ainda, "promover a educação e fornecer informações sobre o uso de programas de computador, inclusive para a definição de boas práticas para a inclusão digital de crianças e adolescentes."11 É fundamental que sejam criadas salvaguardas e, para isso, a já citada LGPD exercerá papel de destaque. Para além da dúvida sobre o escopo de seu art. 14, que trata de crianças e adolescentes em seu caput, mas apenas de crianças em seus parágrafos12, devem os provedores de aplicação implementar mecanismos de segurança de dados, como os listados por Bruno Bioni: (...) a principal salvaguarda nesses casos é a adoção de mecanismos de transparência que permitam ao titular dos dados se opor a tal tipo de tratamento (opt-out). Quanto mais visível for tal prática e mais fácil for o exercício do opt-out, maiores serão as chances de a aplicação do legítimo interesse ser considerada como uma base legal válida. (...) Retoma-se, com isso, o vocabulário próprio da privacidade contextual que ganha gatilhos no próprio desenho normativo da LGPD. Como seu saldo final: a) deve haver um fluxo informacional que seja íntegro-apropriado para o livre desenvolvimento da personalidade do titular do dado (proteção dos seis direitos e liberdades fundamentais); b) que esteja dentro da sua esfera de controle (legítimas expectativas), garantindo-se, inclusive, medidas de transparência que reforcem a sua carga participativa no fluxo das suas informações, ainda que a posteriori.13  O que se notou com o 'TikTok', porém, foi uma completa desatenção a parâmetros mínimos de controle na plataforma quanto à criação de perfis por crianças. A título de exemplo, não havia mecanismo adequado para a confirmação etária, o que catalisava o número de contas criadas e gerenciadas por crianças, sem qualquer supervisão parental.14 E, na metáfora do playground, diferentemente do mundo real, onde um genitor ou responsável pode monitorar as brincadeiras das crianças, no mundo virtual e no espaço restrito dos smartphones e tablets, a dificuldade de cognição das atividades empreendidas dificulta sobremaneira a prevenção da superexposição danosa. A pressão sofrida pela empresa ByteDance, após duras críticas no ano de 2019, culminou em atualizações que passaram a permitir, por exemplo, o cadastramento de um genitor-supervisor (designed parent), com acesso às atividades do menor na plataforma.15 Além disso, foram desenvolvidos algoritmos para a realização de varreduras rotineiras e para a exclusão de palavrões e comentários abusivos e/ou obscenos16, mas o percurso ainda é longo: não se tem uma política rígida para prevenir a criação de contas por crianças, não se tem um mecanismo de controle que permita ao genitor/responsável amplo controle sobre os acervos de dados coletados (ou coletáveis) dos menores - inclusive de dados pessoais sensíveis, como a geolocalização -, ou mesmo sobre a existência de um sistema 'opt-out'. Embora a experiência estrangeira já demonstre quais são os principais gargalos dessa plataforma, no Brasil, a LGPD está em vigência apenas desde setembro de 2020 e, embora a Agência Nacional de Proteção de Dados (ANPD) já esteja formalmente criada há mais tempo - uma vez que os dispositivos que dela trataram (arts. 55-A a 55-L, LGPD) tiveram vigência imediata, e não diferida (art. 65, I, LGPD) -, o enforcement de qualquer dos demais dispositivos da lei ainda demandará tempo. Em atuação administrativa, porém, o Procon-SP já solicitou à ByteDance informações sobre a coleta e o tratamento de dados realizado pelo 'TikTok'.17 A medida, a nosso ver, é válida e necessária, mesmo na ausência de desejável atuação ostensiva da ANPD. Não obstante, os diversos desdobramentos previsíveis para casos como esse ainda suscitarão discussões que irão muito além da evidente necessidade de investimentos para a operacionalização da ANPD. A questão é, também, cultural e sociológica, e implica reflexões sobre o papel da tecnologia na formação das novas gerações18, no fomento à educação digital e, enfim, quanto à indispensabilidade da atenção constante de pais e educadores, em cooperação com o Poder Público e os provedores, às atividades realizadas por crianças na Internet. *José Luiz de Moura Faleiros Júnior é doutorando em Direito pela USP. Mestre e bacharel em Direito pela Faculdade de Direito da UFU. Especialista em Direito Processual Civil, Direito Civil e Empresarial, Direito Digital e Compliance. Membro do Instituto Avançado de Proteção de Dados - IAPD e do Instituto Brasileiro de Estudos de Responsabilidade Civil - IBERC. Advogado.  **Roberta Densa é doutora em Direitos Difusos e Coletivos pela PUC/SP e Professora de Direito do Consumidor da Faculdade de Direito de São Bernardo do Campo. __________ 1 CASTRO, Alex. TikTok hit with complaint from child privacy advocates who say it's still flouting the law. The Verge, 14 maio 2020. Disponível aqui. Acesso em: 25 jan. 2021. 2 HERRMAN, John. How TikTok is rewriting the world. The New York Times, 10 mar. 2019. Disponível aqui. Acesso em: 25 jan. 2021. 3 CARVALHO, Diógenes Faria de; OLIVEIRA, Thaynara de Souza. A categoria jurídica de 'consumidor-criança' e sua hipervulnerabilidade no mercado de consumo brasileiro. Revista Luso-Brasileira de Direito do Consumo, Curitiba, v. V, n. 17, p. 207-230, mar. 2015, p. 224. Os autores ainda acrescentam: "Cuida-se de uma vulnerabilidade fática (física, psíquica e social) agravada ou dupla vulnerabilidade, isto é: o consumidor-criança, em razão de suas qualidades específicas (reduzido discernimento, falta de percepção) são mais susceptíveis aos apelos dos fornecedores". 4 FAVA, Fabrício. A emergência da gamificação na cultura do jogo. In: SANTAELLA, Lucia; NESTERIUK, Sérgio; FAVA, Fabrício (Orgs.). Gamificação em debate. São Paulo: Blucher, 2018, p. 54. 5 VICKERY, Jacqueline R. Worried about the wrong things: Youth, risk, and opportunity in the digital world. Cambridge: The MIT Press, 2018, p. 6, tradução livre. No original: "Computers, the Internet, mobile technologies, computer games, and social media are not exceptions; that is, they are simultaneously considered to be technologies of opportunity, as well as technologies of risk in the lives of young people; they evoke a lot of adult anxiety and attention." 6 DENSA, Roberta. Proteção jurídica da criança consumidora. Indaiatuba: Foco, 2018, p. 191. 7 "Art. 29. O usuário terá a opção de livre escolha na utilização de programa de computador em seu terminal para exercício do controle parental de conteúdo entendido por ele como impróprio a seus filhos menores, desde que respeitados os princípios desta lei e da lei 8.069, de 13 de julho de 1990 - Estatuto da Criança e do Adolescente." 8 "Art. 227. É dever da família, da sociedade e do Estado assegurar à criança, ao adolescente e ao jovem, com absoluta prioridade, o direito à vida, à saúde, à alimentação, à educação, ao lazer, à profissionalização, à cultura, à dignidade, ao respeito, à liberdade e à convivência familiar e comunitária, além de colocá-los a salvo de toda forma de negligência, discriminação, exploração, violência, crueldade e opressão." 9 "Art. 4º É dever da família, da comunidade, da sociedade em geral e do poder público assegurar, com absoluta prioridade, a efetivação dos direitos referentes à vida, à saúde, à alimentação, à educação, ao esporte, ao lazer, à profissionalização, à cultura, à dignidade, ao respeito, à liberdade e à convivência familiar e comunitária." 10 Para um estudo que analisa especificamente a adoção de técnicas de design de software voltadas às crianças e a seus brinquedos, leia-se: YAMADA-RICE, Dylan. Including children in the design of the Internet of Toys. In: MASCHERONI, Giovanna; HOLLOWAY, Donell (Eds.). The Internet of Toys: Practices, affordances and the political economy of children's smart play. Londres: Palgrave Macmillan, 2019. 11 LEAL, Lívia Teixeira. Internet of Toys: os brinquedos conectados à Internet e o direito da criança e do adolescente. Revista Brasileira de Direito Civil, Belo Horizonte, v. 12, p. 175-187, abr./jun. 2017, p. 183. 12 Sobre o tema, veja-se: AMARAL, Claudio do Prado. Proteção de dados pessoais de crianças e adolescentes. In: LIMA, Cíntia Rosa Pereira de (Coord.). Comentários à Lei Geral de Proteção de Dados. São Paulo: Almedina, 2020, p. 175. 13 BIONI, Bruno Ricardo. Proteção de dados pessoais: a função e os limites do consentimento. Rio de Janeiro: Forense, 2019, p. 265; 267-268 14 TIMBERG, Craig; ROMM, Tony. The U.S. government fined the app now known as TikTok $5.7 million for illegally collecting children's data. The Washington Post, 27 fev. 2019. Disponível aqui. Acesso em: 25 jan. 2021. 15 FANG, Alex. TikTok parent ByteDance to launch smartphone as app family grows. Nikkei Asia, 31 jul. 2019. Disponível aqui. Acesso em: 25 jan. 2021. 16 BRESNICK, Ethan. Intensified Play: Cinematic study of TikTok mobile app. Medium, 25 abr. 2019. Disponível aqui. Acesso em: 25 jan. 2021. 17 SÃO PAULO. Secretaria Extraordinária de Defesa do Consumidor - Procon/SP. Notificação TikTok. Disponível aqui. Acesso em: 25 jan. 2021. 18 BOGOST, Ian. How to talk about videogames. Minneapolis: University of Minnesota Press, 2015, p. 185.
sexta-feira, 29 de janeiro de 2021

Cookies: doces ou travessuras na LGPD

O que são esses cookies? Os cookies são o nome genérico para os pequenos arquivos de dados deixados nos nossos computadores quando visitamos algum site. Os cookies foram projetados para serem um repositório confiável para armazenamento de dados de operações que realizamos na web. Por exemplo, os cookies podem armazenar nosso login, os itens de um "carrinho virtual de compras", nossa preferência pelo idioma de um site, entre outros. Na navegação web os cookies são muito úteis como, por exemplo, em sites de serviços como os da Google. Se estamos usando o Gmail, por exemplo, e optamos por criar uma planilha usando o serviço Planilhas Google (Google Sheets), não precisamos entrar com a senha novamente. Para isso os cookies lembram nossos nomes de usuário e nossas senhas. Os cookies são essenciais no mundo da web para proporcionar uma navegação mais fluida, mais agradável e desembaraçada. Nestes termos, os cookies de autenticação são os mais utilizados atualmente pois eles armazenam as informações que mostram se estamos logados ou não num website enquanto, por exemplo, visitamos momentaneamente outra página. Bem, podemos falar mais de outros tipos de cookies mais adiante, mas, por hora, vale a pergunta: Devo me preocupar com esses cookies ou não? Sinto dizer que sim. O nome 'cookie' é charmoso, mas sua utilização muitas vezes passa ao largo deste prestígio. A própria história dos cookies na Computação já começa estranha. Eles foram criados e utilizados pela primeira vez em outubro de 1994 pelo navegador Mosaic Netscape mas o grande público só soube de sua existência em fevereiro de 1996 depois de um grande alarde da imprensa o que provocou até audiências na poderosa Federal Trade Commission dos EUA, a agência independente que também atua como um serviço de proteção ao consumidor. Hoje os cookies podem e devem, por obrigação da Lei Geral de Proteção de Dados, obedecer a todos os preceitos da lei. No entanto, talvez por causa de sua natureza abstrusa, por momentos falsamente recatada, verificar o conteúdo de cookies, o que eles armazenam e compartilham, não é considerada uma tarefa relevante. Vejamos agora as principais características que podem estar associadas a cookies e como elas podem ou não impactar a proteção de dados do usuário. Publicidade Como visto no início de artigo, muitos alertas para cookies são diretos a esse ponto "Este website utiliza cookies e tecnologias semelhantes para recomendar conteúdo e publicidade." Essa mensagem não foi criada por mim. Esta frase é parte de uma mensagem inicial de um dos sites de conteúdo de mídia mais acessados do Brasil. Nesse mesmo site eles são claros em dizer que irão usar os seus dados para "empurrar" anúncios de produtos e serviços para os usuários. Ooops! Eu não contei que os cookies também servem para isso, não é? Pois é, além daqueles cookies que servem para gerenciar a sua entrada e permanência no site, os chamados cookies de autenticação e de sessão, existem também os cookies de personalização. Reforço que tanto os cookies de autenticação como os cookies de sessão podem ser classificados de cookies funcionais. Estes servem para melhorar a experiência de navegação do usuário e, como toda informação armazenada e utilizada pelo serviço, essa também deveria obter o consentimento livre e esclarecido do usuário. Procedimento que raramente vemos nos websites brasileiros. Já os cookies de personalização armazenam todo tipo de preferência do usuário, não só como a moeda de negociação mostrada, por exemplo, nos preços dos produtos, mas também sobre os detalhes e características dos produtos que você mais consome, nas cores destes produtos, nas suas funcionalidades, entre outros. Armazenando esses dados no seu próprio computador o site poderá, numa próxima visita, oferecer-lhe produtos baseados nas suas escolhas anteriores. Complemento que, de maneira análoga, esse armazenamento de dados serve também para serviços em geral, desde streaming de músicas até serviços de hospedagem e hotelaria. Um pouco de tecnicalidade Os cookies são a memória da web. Eles armazenam senhas, números cartões, dados de compras anteriores, hiperlinks visitados, enfim, podem armazenar uma grande quantidade de informações. Tecnicamente um cookie pode armazenar até 4096 bytes, o equivalente a mais ou menos 4 mil caracteres. Quanto? Esse texto, até esse ponto tem um pouco mais de 4 mil caracteres. É isso que um cookie pode armazenar. É muita informação! Por padrão, todos os navegadores web devem manter até 50 cookies por site e armazenarem um mínimo total de até 3 mil cookies. Pergunto: Mas nós precisamos de tantos cookies assim? Talvez o usuário comum não necessite de tantos cookies assim para facilitar a sua navegação, mas não existem apenas os cookies primários. Como assim? Os cookies podem também ser classificados de acordo com o seu serviço de origem, ou seja, entre cookies primários e cookies de terceiros. Os chamados cookies primários são os cookies criados pelo próprio website acessado, ou seja, pelo site exibido na barra de endereços. Por outro lado, os cookies de terceiros são os cookies criados por outros sites, por exemplo, sites de anunciantes, de patrocinadores, apoiadores e que também são armazenados no seu computador junto com os cookies primários. Saliento que muitos navegadores permitem o bloqueio de cookies de terceiros, mas poucos usuários conhecem esse recurso. Dada a existência desses cookies de terceiros, sabemos que existem sites que armazenam até 800 cookies no seu computador numa única visita e que, em média, os websites armazenam 10 cookies cada. Esse assunto está ficando cada vez mais sombrio, não! Cookies usados para rastreamento Suponha que você acabou de trocar o seu computador por outro "novinho em folha". Ele deve estar com a memória limpa de qualquer dado, a não ser o seu sistema operacional. Tão logo você o instala, você acessa seu navegar para o seu site favorito. O computador servidor deste site logo percebe que você requisitou uma página pela primeira vez usando essa máquina nova e que esta ainda não tem nenhum cookie armazenado. O servidor cria assim um identificador único (ID) para você, uma cadeia complicada de números e letras, manda a página web que você solicitou e manda também esse ID na forma de cookie o qual o seu computador gentilmente armazena. Aqui começa a história. Nas próximas visitas a esta mesma página o servidor deste site será seu "parceiro" de navegação. Ele irá armazenar neste cookie todas as suas páginas preferidas, os horários e dias que você visitou, eventualmente outras preferências suas, ou seja, terá o seu histórico de navegação nestes 4Kbytes de dados. E não se preocupe, o servidor é tão bonzinho que irá permitir que sites de anunciantes façam coisa parecida pois, eles têm certeza de que é pelo seu bem. Nessa simples viagem você poderá terminar seu passeio virtual com a sua máquina carregada com dezenas ou centenas de cookies. Legal, não?! Ah! E tem mais, o periódico Wall Street Journal há tempos já anunciou que os top 50 websites dos EUA armazenavam uma média de 64 cookies cada um, de um total de 3.180 cookies coletados [RAINIE & WELLMAN, 2012], os quais depois podem ser vendidos, leiloados ou simplesmente usados por outras empresas. Bacana, não?! Segundo o artigo de URBAN e seus colegas da Westphalia University of Applied Sciences Gelsenkirchen [URBAN, 2020], na Alemanha, 99% dos cookies são usados para rastrear usuário ou para anunciar. Ainda, 72% dos cookies são usados por usuários de quarta ordem, ou seja, são "colegas dos colegas" do site que você visitou. Algo similar a famosa expressão "O amigo do amigo do meu pai". Um reforço nesse ponto.  Estes mesmos autores também acharam muitos cookies de terceira ordem que permitem inclusão de "cargas secretas", como por exemplo Trojans que são softwares malware tipo Cavalo de Tróia, ou seja, um tipo de praga computacional que pode acabar com seus dados no computador.  Cookies na GDPR e na LGPD Talvez a GDPR tendo percebido todas essas potencialidades boas e más dos cookies tenha até citado esse tipo de armazenamento diretamente no Recital 30. Lembro todos que a GDPR é constituída de dois componentes majoritários, os artigos e os recitais. Os artigos descrevem os requisitos legais a serem seguidos pelas organizações e indivíduos, enquanto os recitais proporcionam informações adicionais e de suporte aos artigos. A GDPR em seu Recital 30 diz: "Pessoas físicas podem estar associadas a identificadores on-line fornecidos por seus dispositivos, aplicativos, ferramentas e protocolos, como endereços de protocolos da Internet, identificadores de cookies ou outros identificadores, como etiquetas de identificação por radiofrequência. Isso pode deixar rastros que, em particular quando combinados com identificadores exclusivos e outras informações recebidas pelos servidores, podem ser usados para criar perfis das pessoas físicas e identificá-los." Ocorre que os cookies são um artefato tecnológico, talvez um dos muitos que entram em cena por um tempo e se rarefazem com o tempo. Hoje existem algumas alternativas aos cookies, tais como os JSON web tokens e os serviços de web storage do HTML5, a linguagem padrão de escrita das páginas web. Dadas essas condições, penso que o legislador acertou em não ter incluído os cookies como artigos da GDPR, o que também foi seguido na LGPD. De forma análoga esperamos que os documentos advindos da Autoridade Nacional de Proteção de Dados, ANPD, possam também tratar dos cookies. Hoje, como usuários da web e como cidadãos resta-nos alertar que cabe ao usuário da web o domínio sobre seus dados. Cabe ao usuário permitir ou não o uso de cookies, cabe a ele ser informado sobre a real utilidade e finalidade desses cookies como qualquer outro dado armazenado em seu computador ou em outro dispositivo (o dado é seu!), cabe saber por quanto tempo ele é armazenado e como o usuário pode apagar esses dados. Cabe a ele a ciência se esses dados são compartilhados, quais são os dados compartilhados e com quem são compartilhados, como também cabe ao usuário ter o controle desse compartilhamento. Raramente vemos Termos de Uso e funcionalidades nos sites que permitem todas essas prerrogativas da lei. Somos todos cientes que o combustível da web são os dados pessoais, mas, como usuários, devemos escolher quais tanques vamos encher. ____________ RAINIE, Harrison; WELLMAN, Barry. Networked: The new social operating system. Cambridge, MA: MIT Press, 2012. P. 237 URBAN, Tobias et al. Beyond the front page: Measuring third party dynamics in the field. In: Proceedings of The Web Conference 2020. 2020. p. 1275-1286.
Introdução O uso da Inteligência Artificial (IA) está cada vez mais presente em nosso cotidiano, sendo que alguns questionamentos de natureza ética e jurídica surgem à medida que novas aplicações ocorrem. Adicionalmente, deve-se lembrar de que a legislação protetiva de dados auxilia no estabelecimento de certos critérios de uso da IA e a maneira de processar os dados pessoais utilizados para o aprendizado de máquina (machine learning). Neste sentido, neste texto, discutiremos acerca do conceito de profiling (definição de perfil) e a sua conexão com a aplicação de IA, notando-se como a legislação sobre proteção de dados ajudará para que alguns limites sejam aplicados, dificultando, por exemplo, a perpetuação de discriminações de natureza econômica, racial etc. Assim, em um primeiro instante, falaremos sobre o conceito de profiling, para, em seguida, discutirmos acerca de sua relação com a IA e a Proteção de dados e, finalmente, analisarmos a proteção concernente aos dados pessoais inferidos para a definição de perfis. Inteligência Artificial e Proteção de Dados: o que é definição de perfil (profiling)? O emprego da inteligência artificial (IA) para a definição de perfil (profiling) é algo cada vez mais frequente, por exemplo, profiling para a concessão de crédito bancário. Assim, nota-se que, para o uso de máquinas de aprendizado (machine learning), é preciso um elevado volume de dados para estabelecer padrões comportamentais e criar conexões que permitam o aprimoramento da definição de perfil. Por conseguinte, surgem questionamentos quanto às regras de proteção de dados e aos obstáculos enfrentados para o uso de IA sem a violação dos direitos dos titulares de dados pessoais. Neste sentido, para iniciarmos o desenvolvimento de nossas reflexões, primeiramente, é importante mencionar que o artigo 4(4) do Regulamento Geral sobre Proteção de Dados no (GDRP) âmbito da União Europeia define o que é profiling: "Definição de perfis, qualquer forma de tratamento automatizado de dados pessoais que consista em utilizar esses dados pessoais para avaliar certos aspectos pessoais de uma pessoa singular, nomeadamente para analisar ou prever aspectos relacionados com o seu desempenho profissional, a sua situação econômica, saúde, preferências pessoais, interesses, fiabilidade, comportamento, localização ou deslocações;" Adicionalmente, para compreendermos o que é definição de perfil, cumpre-se destacar que a Opinião nº 216/679 (revisada em 2018) do Grupo de Trabalho do artigo 29 (hoje, intitulado Comitê Europeu para a Proteção de Dados (CEPD)) apresenta três elementos que integram o conceito de profiling: a) A automatização: corresponde à forma de processamento; b) O processamento: é realizado por intermédio dos dados pessoais coletados; c) A finalidade: é a avaliação de aspectos pessoais de pessoais naturais. Além disso, como o processamento automatizado dos dados pessoais para a definição de perfil pode ser realizado de forma livre, não há impedimento quanto à participação humana para a configuração do conceito estabelecido no artigo 4(4) do GDPR (Regulamento Geral sobre Proteção de Dados da União Europeia). Outro aspecto interessante a ser destacado na conceituação de profiling é o fato de existir o emprego do termo "avaliar" que exige a realização de um julgamento sobre determinados aspectos de uma pessoa singular1. Neste diapasão, ao analisarmos, atentamente, o conceito de profiling, observamos que é preciso existir um trabalho de elaboração de precisões e conclusões decorrentes da avaliação dos dados pessoais os quais são coletados e classificados. Assim, o mero ato de classificar os clientes de acordo com o gênero, a idade, a altura etc. para fins estatísticos não pode ser considerada uma definição de perfil caso não seja utilizada para prever ou para gerar conclusões acerca de um indivíduo. Consequentemente, ao discutirmos acerca da definição de profiling, é preciso mencionar o conceito apresentado pelo Conselho Europeu na Recomendação CM/Rec (2010)13, sobre proteção dos indivíduos face ao processamento automatizado de dados pessoais no contexto da definição de perfil, em que se estabelece: "1.e. Profiling: significa uma técnica de processamento de dados automatizados que consiste na aplicação de uma definição de perfil individual para tomar decisões concernentes a preferências pessoais dela ou dele, comportamentos ou atitudes". Diante do exposto, segundo a Recomendação CM/Rec(2010), a definição de perfil possui três fases: 1) coleta de dados; 2) análise automatizada para profiling e 3) aplicação dos padrões auferidos e das conclusões decorrentes da análise automatizada para identificar características presentes e futuras do titular de dados pessoais. No que tange à Lei Geral de Proteção de Dados do Brasil (LGPD), embora tenha existido inspiração no Regulamento Geral Europeu, notam-se algumas diferenças em relação à disciplina do profiling: a) Na LGPD, não há um conceito de definição de perfil; b) A LGPD não é tão restritiva como a GDPR em relação ao profiling; c) Não há proibições em relação ao processamento de dados pessoais para a definição de perfis. Ademais, é necessário ressaltar que a LGPD não possui um dispositivo semelhante ao artigo 22 da GDPR que estabelece o direito à não sujeição a decisões, exclusivamente, automatizadas, inclusive no que se refere à definição de perfis quando gerar efeitos na esfera jurídica do titular de dados pessoais. Assim, pode-se verificar que a GDPR inseriu um dispositivo relevante para a autodeterminação informacional, ou seja, para "o controle dos titulares dos dados de suas informações"2. Como há ausência de definição de profiling na LGPD, cumpre-se mencionar que há dois dispositivos que regulam a questão concernente à definição de perfil: 1) art. 12, §2º, da LGPD e 2) art. 20, caput, da LGPD. Assim, veremos a seguir cada um destes artigos da LGPD para compreendermos como o direito brasileiro protege os titulares de dados pessoais em relação ao profiling. Por fim, cumpre-se asseverar que, como é possível compreender profiling de diversas maneiras, possuir clareza quanto ao seu conceito é importante para se aplicar de forma efetiva a legislação de proteção de dados. No caso brasileiro, observa-se que será necessário o trabalho da doutrina e da jurisprudência para termos os contornos precisos em relação à definição de perfil, sendo que é possível prever que a GDPR inspirará a construção deste significado de profiling. IA, Proteção de Dados e Profiling Após abordarmos o tema relativo a profiling, deve-se explicar o funcionamento das máquinas de aprendizado (machine learning) e os desafios de aplicação da legislação de proteção de dados no contexto de aplicação da IA. Para treinar uma machine learning, torna-se necessário um elevado volume de dados, pois o treinamento de máquina depende de dados e de identificação de padrões mediante conexões que, muitas vezes, não seriam realizadas por seres humanos, já que possuímos limitações quanto à quantidade de dados que podemos processar. Diante do exposto, ao se treinar máquinas mediante a exposição a dados de diversos indivíduos (por exemplo, clientes), para, posteriormente, analisar os resultados deste treinamento para prever novos comportamento, é possível afirmar que novos dados pessoais são gerados por meio do profiling. Como as previsões e as conclusões obtidas por meio do emprego de machine learning podem impactar a vida dos indivíduos de múltiplas maneiras, é preciso redobrar a atenção no que se refere aos limites éticos da definição de perfil e à transparência em relação ao profiling para que os titulares de dados pessoais possam recorrer das decisões automatizadas decorrentes do emprego de IA. Dessa maneira, pode-se salientar que a definição de perfil pode ser empregada para fins políticos, para manipulação eleitoral, para proliferação de fake news etc., ou seja, o profiling não é empregado apenas pela iniciativa privada, logo, pode-se notar que impacta as instituições democráticas e o processo eleitoral. Finalmente, é preciso regular a definição de perfil para que a legislação de proteção de dados atinja os seus objetivos Inferências como dados pessoais Após o que fora discutido nos tópicos anteriores, é importante mencionar que o profiling deve ser considerado como uma nova informação pessoal ao serem empregados os resultados da machine learning para a definição de perfil, gerando previsões comportamentais ou guiando determinadas tomadas de decisões. Assim, apenas classificações e informações estatísticas não se configuram como definição de perfil que exija a aplicação da legislação de proteção de dados. Por conseguinte, as conclusões e as previsões decorrentes do uso da máquina de aprendizado geram dados e informações pessoais por inferência. Desse modo, podemos notar que dados pessoais por inferência também são objeto de proteção conforme observamos, claramente, na GDPR. Da mesma maneira, observamos que, no art. 12, §2º, da LGPD, também há a proteção de dados por inferência, pois, segundo mencionado dispositivo: "§2º Poderão ser igualmente considerados como dados pessoais, para os fins desta Lei, aqueles utilizados para formação do perfil comportamental de determinada pessoa natural, se identificada." Além disso, verificamos, no art. 20, caput, da LGPD, o direito do titular dos dados pessoais a pedir a revisão de decisões automatizadas que afetem os interesses do titular, incluindo a definição de perfil. Diante do exposto, podemos afirmar que a Lei Geral de Proteção de Dados também protege, de maneira clara os dados pessoais por inferência, notadamente, os decorrentes de processos de tratamento de dados pessoais automatizados. Como se pode observar, a proteção de dados inferidos auxilia na aplicação de inteligência artificial para que esta seja confiável, estabelecendo obstáculos para a perpetuação de possíveis condutas discriminatória e prejudiciais ao Estado Democrático de Direito. Ademais, cumpre-se ressaltar que os critérios aplicáveis para dados pessoais inferidos para a definição de perfil de pessoas naturais, estabelecidos no estudo desenvolvido pelo Painel para o Futuro da Ciência e da Tecnologia do Parlamento Europeu sobre o impacto do Regulamento Geral sobre Proteção de Dados da União Europeia (GDPR) nas questões relativas à inteligência artificial, são: a) Aceitabilidade: os dados pessoais utilizados para a definição de perfil devem ser juridicamente aceitáveis; b) Relevância: como desdobramento do critério anterior, o dado pessoal inferido deve ser relevante para as decisões e para as conclusões elaboradas; c) Confiabilidade: a acurácia e os resultados estatísticos devem ser confiáveis no que se refere ao treinamento de máquinas. Por fim, deve-se salientar que, conforme a GDPR, os dados pessoais inferidos decorrentes de estudos científicos não possuem as mesmas limitações acima apresentadas, já que são utilizados para pesquisas científicas, não atingindo ou ferindo os interesses dos titulares dos dados. Conclusões Em linhas gerais, buscamos apontar alguns dos principais elementos que integram os questionamentos concernentes ao profiling por meio do emprego de Inteligência Artificial. Conforme pudemos notar, a legislação sobre proteção de dados auxilia no estabelecimento dos limites para a aplicação da IA, sendo necessário compreender os desdobramentos advindos do emprego de máquinas de aprendizado para a definição de perfil. Além disso, como a LGPD não definiu o que é profiling, cumpre-se ressaltar que o conceito apresentado pela GDPR pode nos auxiliar para estabelecer os contornos de sua definição para que o art. 12, §2º, e o art. 20, caput, ambos da LGPD possam ser efetivados na sua integralidade alcançando os seus objetivos. Em suma, ao decorrer do tempo, mediante o surgimento de casos relacionados ao profiling, verificaremos que o conceito será melhor definido por meio da doutrina e da jurisprudência. No entanto, algo é claro: a LGPD buscou proteger, de forma expressa, os dados pessoais inferidos no caso de profiling. *Rafael Meira Silva é advogado e consultor jurídico. Graduado e doutor em Filosofia do Direito pela Faculdade de Direito da USP, com estágio doutoral pela Université Paris 1 Panthéon-Sorbonne pelo programa de doutorado sanduíche pela CAPES (2014/2015). Associado fundador do Instituto Avançado de Proteção de Dados - IAPD. **Cristina Godoy Bernardo de Oliveira é professora doutora da Faculdade de Direito de Ribeirão Preto - Universidade de São Paulo desde 2011. Academic Visitor da Faculty of Law of the University of Oxford (2015-2016). Pós-doutora pela Université Paris I Panthéon-Sorbonne (2014-2015). Doutora em Filosofia do Direito pela Faculdade de Direito da USP (2011).  Graduada pela Faculdade de Direito da USP (2006). Líder do Grupo de Pesquisa Direito, Ética e Inteligência Artificial da USP - CNPq. Coordenadora do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP). Associada fundadora do Instituto Avançado de Proteção de Dados - IAPD. __________ 1 OLIVEIRA, Cristina Godoy Bernardo; SILVA, Rafael Meira.  Inteligência Artificial e Proteção de Dados: Desafios e Debates - Parte 2. In Instituto Avançado de Proteção de Dados, Ribeirão Preto, 2021. Disponível em aqui. Acesso em: 20 de janeiro de 2021. 2 LIMA, Cíntia Rosa Pereira. Política de proteção de dados e privacidade e o mito do consentimento. In Migalhas de Proteção de Dados, 2021. Disponível em aqui. Acesso em: 20 de janeiro de 2021.
Quem já não ouviu falar nas políticas de privacidade e políticas de proteção de dados? Mesmo aqueles que não atuam na área de proteção de dados, estes documentos já fazem parte do cotidiano de todos nós. Smart Phones, Smart TVs, além de todas as aplicações de Internet apresentam estes documentos, demasiadamente extenso e pouco ou quase nenhum pouco explicativo, com os quais os usuários devem anuir para poder usufruir destes bens e serviços. Neste contexto, surgem graves problemas quanto ao consentimento destes usuários, que geralmente concordam sem ao menos ler estes textos longos e fartos do "juridiquês". Há vários estudos e pesquisas que demonstram os problemas que surgem pelo fato dos usuários não lerem as denominadas EULA.1 Estes motivos va~o desde a pressa e ingenuidade do usuário à complexidade de compreensão dos termos usados pelo fornecedor. Entretanto, o consentimento deve ser informado, isto é, o conteúdo das políticas de proteção de dados e privacidade deve efetivamente chegar ao conhecimento dos usuários. Neste texto, pretende-se analisar em que consistem estas políticas de proteção de dados e privacidade, indicando o seu conteúdo mínimo e indicando algumas sugestões para o compliance à LGPD2. Ademais, o texto enfrenta o fenômeno denominado "mito do consentimento", a indicar uma atuação constante da ANPD para a efetiva proteção dos titulares de dados pessoais. Políticas de Proteção de Dados e Privacidade: conceito e conteúdo  As políticas de proteção de dados e privacidade, disponibilizadas nos sites dos agentes de tratamento de dados pessoais3, poderão assumir uma das três figuras, quais sejam: "shrink-wrap", "click-wrap" ou "browse-wrap"4. Por isso, torna-se ainda mais relevante o estudo dos contratos de adesão eletrônicos e dos termos e condições de uso. Entretanto, via de regra, utiliza-se a expressão "políticas de privacidade". No entanto, entendemos que tal terminologia não é a mais adequada tendo em vista a distinção entre privacidade e proteção de dados. A origem do termo privacidade no sentido jurídico moderno remete ao famoso artigo de Samuel Warren e Louis Brandeis intitulado "The right to privacy". Nesta obra paradigmática, os autores definiram privacidade (privacy) como o direito de estar só ou, talvez mais preciso, o direito de ser deixado só ("right to be let alone")5. Este direito impõe que os agentes de tratamento exponham nas políticas de privacidade as obrigações para com as informações sobre a vida privada e intimidade do usuário (titular dos dados pessoais6). O direito à proteção dos dados pessoais, por sua vez, é uma evolução do direito à privacidade, sintetizado por Stefano Rodotà7 que destaca as quatro fases de evolução do direito à privacidade, a saber: 1) do direito de ser deixado só ao direito de manter o controle sobre suas próprias informações; 2) da privacidade ao direito à autodeterminação informativa; 3) da privacidade a não discriminação; 4) do segredo ao controle. Neste sentido, garante-se para além da privacidade, a autodeterminação informacional, entendida como o controle dos titulares dos dados de suas informações.8 Portanto, este direito assegura diversas ferramentas para o exercício de diversos direitos, hoje previstos nos arts. 18 e seguintes da Lei Geral de Proteção de Dados, a saber: a confirmação do tratamento e o acesso aos dados, a correção dos dados incompletos, inexatos ou desatualizados, a anonimização dos dados nos termos da lei, a portabilidade dos dados, a eliminação dos dados nos termos da lei e a revogação do consentimento, além de outros. Em verdade tal distinção já estava estampada no Marco Civil da Internet que, no art. 3o, prevê a proteção à privacidade (inc. II) e a proteção dos dados pessoais (inc. III) em incisos distintos. Muito embora o MCI tenha previsto algumas destas ferramentas de proteção de dados (art. 7o, incisos VI a X), a LGPD trouxe um sistema de proteção de dados, inspirada claramente no Regulamento Geral europeu sobre Proteção de Dados (GDPR, Regulation 2018/679). Assim, exige-se que estas políticas de privacidade e de proteção de dados pessoais estejam disponibilizadas de maneira fácil, com informações claras e completas sobre os contratos (art. 7o, inc. XI). Neste sentido, o art. 9o da LGPD determina: Art. 9º O titular tem direito ao acesso facilitado às informações sobre o tratamento de seus dados, que deverão ser disponibilizadas de forma clara, adequada e ostensiva acerca de, entre outras características previstas em regulamentação para o atendimento do princípio do livre acesso: I - finalidade específica do tratamento; II - forma e duração do tratamento, observados os segredos comercial e industrial; III - identificação do controlador; IV - informações de contato do controlador; V - informações acerca do uso compartilhado de dados pelo controlador e a finalidade; VI - responsabilidades dos agentes que realizarão o tratamento; e VII - direitos do titular, com menção explícita aos direitos contidos no art. 18 desta lei. Diante da atual normativa, o agente de tratamento de dados pessoais deve indicar, no mínimo, nas políticas de proteção de dados pessoais a finalidade específica do tratamento, a forma e duração do tratamento, a identificação e informações do controlador, informações sobre o compartilhamento de dados pessoais e responsabilidade dos agentes de tratamento. A estas deve-se acrescentar a indicação do encarregado que, nos termos do art. 5o, inc. VIII da LGPD, será a pessoa indicada pelo controlador para atuar como canal de comunicação entre este e os titulares dos dados pessoais, bem como entre os controladores e a Autoridade Nacional de Proteção de Dados (ANPD). Ora se o encarregado tem esta função, os titulares dos dados devem ter todas as informações e como entrar em contato com esta figura afim de que possa exercer os direitos previstos na lei. Substancialmente, os termos elencados na política de proteção de dados não podem contrariar o texto de lei, devendo-se atentar também aos deveres estabelecidos no CDC diante da possibilidade quase que certa de se enquadrar como fornecedor nos termos do art. 3o do CDC combinado com o art. 45 da LGPD. Além do conteúdo das políticas de privacidade e de proteção de dados, os agentes de tratamento devem se atentar à técnica contratual empregada. Isto porque, se adotarem um "shrink-wrap", por exemplo um aparelho de Smart TV, comprado em uma loja, mas que o consumidor somente terá acesso aos termos destas políticas quando iniciar o uso do produto na sua casa, deve ser garantido a ele a devolução do bem (direito de arrependimento), caso ele não concorde com as políticas de privacidade e de proteção de dados. Ademais, se o fornecedor, no caso também, agente de tratamento não disponibilizar estes termos de maneira fácil, o "shrink-wrap" deve ser considerado inexistente por ausência de consentimento.9 Se, por outro lado, o instrumento utilizado for um "click-wrap", o titular dos dados apenas concluirá a compra se concordar com os termos, clicando no ícone correspondente. Somente este padrão pode garantir que o consumidor (titular dos dados) tenha a efetiva oportunidade de ler os termos antes de manifestar sua aceitação. Outra possibilidade é inserir as políticas de privacidade e de proteção de dados no site do agente de tratamento por meio de um hiperlink, ou seja, um "browse-wrap". Nesta hipótese, destaca-se a necessidade de indicar ostensivamente a existência destes termos, cujo acesso deve ser facilitado, indicando a conduta do titular dos dados que implica em anuência. Assim, a prática contratual denominada "browse-wrap" com aviso (with notice) concilia a dinâmica das transações eletrônicas e a necessária transparência imposta tanto pelo CDC quanto pela LGPD. Esta prática tem sido usada para disponibilizar as políticas de uso de cookies, considerados este um dado pessoal, pois identifica ou pode identificar a pessoa. A autodeterminação informativa e o mito do consentimento  De fato, o consentimento do titular de dados deve ser analisado com atenção, pois é uma das bases para o tratamento de dados elencadas no art. 7o da LGPD. A autodeterminação informacional é exercida por meio do consentimento do titular dos dados pessoais.10 A LGPD trouxe um conceito de consentimento no art. 5o, inc. XII, ou seja, a "manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada". A LGPD adjetiva o consentimento, que deve ser informado, o que ressalta ainda mais o dever de informar e de transparência conforme destacado supra, ou seja, deve-se dar efetiva oportunidade para que o titular possa tomar conhecimento dos termos das políticas de proteção de dados. Entretanto, o Marco Civil da Internet estabeleceu como direito dos usuários da internet o "consentimento expresso sobre a coleta, o uso, o armazenamento e o tratamento de dados pessoais, que deverá ocorrer de forma destacada das demais cláusulas contratuais". Surgindo, portanto, um conflito aparente de norma. Todavia, o MCI é lei geral, porque estabelece princípios, garantias, direitos e deveres para o uso da Internet no Brasil. Ao passo que a LGPD, além de ser posterior, é específica em comparação ao MCI, portanto, pelas regras de solução de antinomias normativas, prevalece a lei posterior e especial. Ainda que o título normativo seja "Lei Geral de Proteção de Dados", expressamente indicado na alteração feita pela lei 13.853, de 08 de julho de 2019, a LGPD deve ser compreendida como um microssistema de proteção de dados pessoais, à semelhança do Código de Defesa do Consumidor (CDC). Entretanto, ressalva algumas leis setoriais, como a Lei do Cadastro Positivo, que quando comparadas à LGPD, esta é geral em relação àquelas. Em suma, o agente de tratamento deve demonstrar que as políticas de privacidade e de proteção de dados pessoais são redigidas de forma clara e disponibilizadas ao titular que as pode acessar facilmente se assim o desejar. Portanto, caberá à ANPD uma fiscalização intensa sobre as práticas dos agentes de tratamento de dados com relação às políticas de proteção de dados, bem como orientá-los sobre as melhores práticas.11 *Cíntia Rosa Pereira de Lima é professora de Direito Civil da Faculdade de Direito da USP Ribeirão Preto - FDRP. Doutora em Direito Civil pela Faculdade de Direito da USP com estágio na Universidade de Ottawa (Canadá) com bolsa CAPES - PDEE - Doutorado Sanduíche e livre-docente em Direito Civil Existencial e Patrimonial pela Faculdade de Direito de Ribeirão Preto (USP). Pós-Doutora em Direito Civil pela Università degli Studi di Camerino (Itália) com fomento FAPESP e CAPES. Líder e Coordenadora dos Grupos de Pesquisa "Tutela Jurídica dos Dados Pessoais dos Usuários da Internet" e "Observatório do Marco Civil da Internet", cadastrados no Diretório de Grupos de Pesquisa do CNPq e do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP).  Presidente do Instituto Avançado de Proteção de Dados - IAPD. Advogada. __________ 1 AYRES, Ian; SCHWARTZ, Alan. The no-reading problem in consumer contract law. In: Stanford Law Review, vol. 66, março de 2014, pp. 545 - 610. p. 547. 2 PEROLI, Kelvin. LGPD: 07 passos para implementá-la nas empresas. Disponível aqui, acessado em 14/1/2021. 3 Nos termos do art. 5º, inc. IX da LGPD, agentes são o controlador e o operador, definidos respectivamente no inc. VI e VII da lei. Controlador é a pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais; e operador é a pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador. 4 LIMA, Cíntia Rosa Pereira de Lima. Contratos de Adesão Eletrônicos (Shrink-Wrap e Click-Wrap) e Termos e Condições de Uso (Browse-Wrap). São Paulo: Quartier Latin, 2021. No prelo. 5 WARREN, Samuel D.; BRANDEIS, Louis D. The Right to Privacy. In: Harvard Law Review, v.4, pp. 193-220, 1890. p. 193. 6 Entendido como a pessoa natural a quem se referem os dados pessoais que são objeto de tratamento (art. 5º, inc. V da LGPD). A LGPD considera dado pessoal qualquer informação relacionada a pessoa natural identificada ou identificável (art. 5o, inc. I). 7 Persona, riservatezza, identità. Prime note sistematiche sulla protezione dei dati personali. In: Rivista Critica del Diritto Privato, anno XV, n. 1, março 1997, pp. 583 - 609. pp. 588 - 591. 8 LIMA, Cíntia Rosa Pereira de. O que é LGPD? Disponível aqui, último acesso em 2/2/2020. 9 CELSO, Fernando. PROTEÇÃO DA LGPD: APENAS MAIS UM CLICK? Uma análise da L 13.709/2019. Disponível aqui, acessado em 14 de janeiro de 2021. 10 NIGER, Sergio. Le nuove dimensioni dela privacy: dal diritto ala riservatezza ala protezione dei dati personali. Napoli: CEDAM, 2006. p. 127. p. 153.   11 Sobre a Autoridade Nacional de Proteção de Dados e os argumentos do veto à criação da ANPD vide: DE LUCCA, Newton; LIMA, Cíntia Rosa Pereira de. Autoridade Nacional de Proteção de Dados Pessoais (ANPD) e Conselho Nacional de Proteção de Dados Pessoais e da Privacidade. In: LIMA, Cíntia Rosa Pereira de. Comentários à Lei Geral de Proteção de Dados. São Paulo: Editora Almedina, 2019. pp. 373 - 398.
A Lei Geral de Proteção de Dados (LGPD) prevê duas figuras como agentes de tratamentos de dados: o controlador e o operador1. O controlador é a pessoa responsável pelas decisões referentes ao tratamento de dados2. O operador é quem realiza o tratamento de dados em nome do controlador3. A partir do art. 42, a lei estabelece as regras de responsabilidade civil para os dois agentes. A diferença de responsabilidade em relação a outros sujeitos de dados é justificada pela diferença de poder e competência de atuação4. Estabelece-se também que a responsabilidade do agente ou controlador ocorreria por descumprimento da violação da legislação da proteção de dados. Contudo, quando da fixação de quais as espécies de danos indenizáveis, o legislador poderia ter sido mais preciso. O caput do art. 42 menciona a responsabilidade por danos materiais, morais, individuais e coletivos5. Essas expressões podem parecer banais, mas os conceitos empregados não foram técnicos. O termo dano é ambíguo e pode representar dois momentos da análise do resultado da conduta. Essa percepção ficou evidente com o termo empregado pelo direito italiano "dano injusto"6. A previsão italiana tem uma carga normativa extremamente relevante por deslocar o ilícito da conduta para resultado danoso. No Brasil, essa concepção gerou a discussão sobre a presença de dois momentos de análise do fenômeno danoso: o dano-evento e o dano-prejuízo. O dano-evento é a violação de um direito ou de um interesse juridicamente relevante no resultado da conduta. Essa hipótese não afasta o ilícito na conduta, mas exige a violação no seu resultado7. A violação das normas de LGPD representa um ilícito na conduta, mas, se não existir também violação do direito no resultado, não há dano indenizável. Um exemplo de dano indenizável seria a violação da LGPD que, no resultado, violou também um direito à honra. Essa hipótese permitiria indenização por dano moral. Contudo, sem que se caracterize violação à honra, por exemplo, não há que se falar em responsabilidade civil. Será possível sanções de natureza administrativa, tutela de natureza inibitória, mas indenização, sem a violação do direito no resultado da conduta, não será possível. O dano-prejuízo é representado pela consequência patrimonial ou extrapatrimonial correlata ao dano-evento8. É preciso compreender também que o pensamento jurídico em geral, principalmente no direito privado, pressupõe um forte cunho dicotômico em que basta a definição de algo que o "contra-algo" ocorra por exclusão9. Feitas as apresentações iniciais, o art. 42 da LGPD apresenta quatro espécies de danos: danos materiais, morais, individuais e coletivos. Pela redação, deduz-se que o legislador pretendeu estabelecer duas dicotomias: a) danos patrimoniais e danos morais; b) danos individuais e danos coletivos. Os danos materiais representam uma definição a partir do momento "dano-prejuízo", representam o resultado danoso suscetível de avaliação econômica. O contraposto dicotômico do dano material é o dano extrapatrimonial10. O dano moral é apenas uma das espécies de dano extrapatrimonial. A doutrina e a jurisprudência definem dano moral como o dano extrapatrimonial decorrente da violação do direito da violação de um direito da personalidade. Sua definição, portanto, parte do direito violado (dano-evento) e não de sua consequência. Logo, o dano moral não é contraposto ao dano material por utilizar critério de definição e identificação completamente distinto. Dessa forma, o art. 42 da LGPD, quando diz dano material e dano moral, em verdade, quer dizer dano material e dano extrapatrimonial. A segunda dicotomia também está mal empregada. Quando se pensa em dano individual, foca-se na consequência que atinge uma pessoa determinada ou determinável. Trata-se de uma definição, referente ao dano-prejuízo. No entanto, seu contraposto não é o dano coletivo. O dano coletivo é definido a partir do direito ou interesse violado. É a consequência da violação de um direito transindividual (difuso, coletivo em sentido estrito ou individual homogêneo)11. Logo, o dano coletivo representa outro critério de definição que parte de outro momento da análise do dano, o dano-evento. O contraposto ao dano individual é o dano social. O dano social é uma categoria autônoma de dano que, da mesma forma que o dano individual, parte do dano-prejuízo12. Ele representa a consequência patrimonial ou extrapatrimonial que ultrapassa a esfera do indivíduo13. Essa espécie autônoma já foi debatida nas Jornadas de Direito Civil14, que consagraram sua autonomia conceitual em relação ao dano coletivo e foi reconhecida pelo STJ como categoria indenizável15. Como se vê, o legislador da LGPD perdeu uma excelente oportunidade de precisão conceitual no tratamento do dano na responsabilidade civil ao disciplinar a matéria a partir de supostas dicotomias que não existem. Pela finalidade pretendida pelo legislador, o controlador e o operador de dados pessoais responderão por danos materiais, extrapatrimoniais, individuais e sociais. A utilização dessas expressões é mais precisa que a empregada e reflete o escopo pretendido pela legislação. *Silvano José Gomes Flumignan é doutor, mestre e bacharel em direito pela USP. Professor permanente do mestrado profissional do CERS. Professor adjunto da UPE e da Asces/UNITA. Membro do IEA da Asces/UNITA. Procurador do Estado de Pernambuco. Advogado. __________ 1 Art. 5º da LGPD. Para os fins desta Lei, considera-se: (...) IX - agentes de tratamento: o controlador e o operador. Ressalta-se que Cíntia Rosa Pereira de Lima entende que o encarregado também seria agente de tratamento (Agentes de tratamento de dados pessoais (controlador, operador e encarregado pelo tratamento de dados pessoais. In: LIMA, Cíntia Rosa Pereira de (coord.). Comentários à lei geral de proteção de dados. São Paulo: Almedina, 2020, p. 279). 2 Art. 5º, VI, da LGPD. Controlador: pessoa natural ou jurídica, de direito público ou privado, a quem competem as decisões referentes ao tratamento de dados pessoais. 3 Art. 5º, VII, da LGPD. Operador: pessoa natural ou jurídica, de direito público ou privado, que realiza o tratamento de dados pessoais em nome do controlador. 4 AZEVEDO, Antônio Junqueira de. Novos estudos e pareceres de direito privado. São Paulo: Saraiva, 2010, p. 408-409. "Na verdade, aprofundando teoricamente esse ponto, é nossa opinião que o poder sobre algo ou alguém é sempre um pressuposto da responsabilidade. Os pais têm poder sobre os filhos menores e, por isso, respondem por seus atos; o Estado tem poder sobre os presos e, assim, responde pelo que acontece no cárcere; as empresas têm poder sobre suas atividades e, por causa disso, respondem objetivamente etc. A responsabilidade resulta do poder". 5 Art. 42, caput, da LGPD. O controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo. 6 BERGSTEIN, Laís. Pequenos grandes danos: a relevância da tutela coletiva do consumidor face aos danos de pequena expressão econômica. In: Revista de Direito do Consumidor, vol. 129, p. 341-368 (acesso online p. 1-23), Maio-Jun./2020, p. 4 "Diante de uma vasta gama de interesses que não mais se acomodam no conceito tradicional de ato ilícito, formou-se na pós-modernidade a compreensão de que a reparação de danos deve estar mais ligada à noção de dano injusto." No direito italiano também é o dano injusto que enseja a responsabilidade civil. O art. 2043 do Código Civil italiano, ao tratar do risarcimento per fatto illecito, estipula que: "Qualquer ato malicioso ou pernicioso, que causa danos injustos aos outros, obriga aquele que o fez a compensar o dano". 7 AZEVEDO, Antônio Junqueira de. Estudos e pareceres de direito privado. São Paulo: Saraiva, 2004, p. 33-34; FLUMIGNAN, Silvano José. Dano-evento e dano-prejuízo. Dissertação de Mestrado. São Paulo: USP, 2009, p. 204; MENDONÇA, Diogo Naves. Análise econômica da responsabilidade civil: o dano e a sua quantificação. São Paulo: Atlas, 2012, p. 74; REINIG, Guilherme Henrique Lima. A teoria da causalidade adequada no direito civil alemão. In: Revista de Direito Civil Contemporâneo, vol. 18, p. 215-248 (acesso online p. 1-25), Jan.-Mar./2019, p. 19. 8 AZEVEDO, Antônio Junqueira de. Ob. Cit., p. 33-34; FLUMIGNAN, Silvano José. Ob. Cit., p. 204; MENDONÇA, Diogo Naves. Ob. Cit., p. 74; REINIG, Guilherme Henrique Lima. Ob. Cit., p. 19. [9] FERRAZ JÚNIOR, Tércio Sampaio. Introdução ao estudo do direito: técnica, decisão, dominação. 4ª ed. São Paulo: Atlas, 2003, p. 132-133. 10 Antônio Junqueira de Azevedo discorda da definição de dano moral como o decorrente da violação de um direito da personalidade. Posto isso, o autor identifica o dano moral como contraposto ao dano material, definindo-o por exclusão (Ob. Cit. p. 378 "O dano moral, por sua vez, é, na verdade, o não-patrimonial; deve ser conceituado por exclusão e é todo aquele dano que ou não tem valor econômico ou não pode ser quantificado com precisão"). Contudo, como é consagrado na doutrina que o dano moral é o decorrente da violação de um direito da personalidade (SCHREIBER, Anderson. Direitos da personalidade. Rio de Janeiro: Atlas, 2011, 16), essa definição não seria possível. 11 BESSA, Leonardo Roscoe. Dano moral coletivo e seu caráter punitivo. In: Revista dos Tribunais, vol. 919, p. 515-528 (acesso online p. 1-10), Maio/2012, p. 6; 10. "Os tribunais brasileiros, com frequência, tem reconhecido a possibilidade jurídica de condenação por dano moral coletivo em face de ofensa a direito metaindividual. (...) Destaque-se, para finalizar estas considerações, que o denominado dano moral coletivo não se confunde com a indenização decorrente de tutela de direitos individuais homogêneos. Constitui-se em hipótese de condenação judicial em valor pecuniário com função punitiva em face de ofensa a direitos difusos e coletivos". 12 AZEVEDO, Antônio Junqueira de. Ob. Cit., p. 377 e ss. 13 FLUMIGNAN, Silvano José Gomes. Uma nova proposta para a diferenciação entre o dano moral, o dano social e os punitive damages. In: Revista dos Tribunais, vol. 958, p. 119-147 (acesso online p. 1-23), Ago./2015, p. 7. 14 Enunciado nº 456 da V Jornada de Direito Civil do CJF. A expressão "dano" no art. 944 abrange não só os danos individuais, materiais ou imateriais, mas também os danos sociais, difusos, coletivos e individuais homogêneos a serem reclamados pelos legitimados para propor ações coletivas. 15 STJ, Rcl 12.062/GO, Rel. Ministro Raul Araújo, Segunda Seção, julgado em 12/11/2014, DJe 20/11/2014.
A pandemia da Covid-19 tem suscitado diversas iniciativas estatais voltadas ao controle de grandes aglomerações e à contenção da propagação viral, com impactos variados. Novas tecnologias baseadas em técnicas algorítmicas têm sido utilizadas amplamente pelo Poder Público, com destaque para o Sistema de Monitoramento Inteligente do Estado de São Paulo - Simi-SP, instituído pelo decreto estadual 64.963, de 5 de maio de 2020, que se tornou viável a partir de uma parceria com quatro grandes operadoras de telefonia do país e cuja finalidade é "consultar informações georreferenciadas de mobilidade urbana em tempo real nos municípios paulistas".1 A Lei Geral de Proteção de Dados Pessoais brasileira (lei 13.709, de 14 de agosto de 2018) não vigorou durante a pandemia, mas o debate em torno da coleta e do tratamento de dados de geolocalização para a contenção de aglomerações despertou inúmeras preocupações em razão do potencial discriminatório do chamado "profiling"2 - que aparece de forma tímida no artigo 12, §2º, da lei. Apesar do negacionismo3, fato é que, para embasar a finalidade de coleta e tratamento desses dados de mobilidade urbana, tem sido utilizada como justificativa a anonimização. O conceito de 'dado anonimizado' consta do artigo 5º, inciso III, da LGPD: trata-se de "dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento". Já o conceito de 'anonimização' aparece no inciso XI do mesmo artigo: é a "utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, por meio dos quais um dado perde a possibilidade de associação, direta ou indireta, a um indivíduo". Em complemento, no artigo 12, §1º, da norma, o legislador buscou descrever 'critérios objetivos' para a aferição dos sobreditos 'meios técnicos razoáveis', e elencou, exemplificativamente, "tempo e custo para reverter o processo de anonimização, de acordo com as tecnologias disponíveis, e a utilização exclusiva de meios próprios". 'Anonimização' de dados pessoais é um tema complexo, carente de testagem e de difícil fiscalização e regulação. A doutrina debate, há anos, a necessidade de um critério de aferição adequado; um 'filtro', ou uma 'régua', que permita mensurar a 'qualidade' da técnica empregada. No ano 2000, Latanya Sweeney, uma das mais renomadas pesquisadoras do tema, demonstrou que mais de 87% dos cidadãos norte-americanos poderiam ser identificados exclusivamente por seu código postal de cinco dígitos (ZIP Code), combinado com data de nascimento (incluindo ano) e sexo.4 Sequer era necessário um nome ou social security number! O tema foi revisitado em 2006 por Philippe Golle, que esperava uma redução drástica desse resultado em razão da evolução das técnicas de anonimização de dados ao longo de seis anos, mas o número obtido também foi alarmante: 61%!5 Outros doutrinadores, como Arvind Narayanan e Vitaly Shmatikov, são vozes eloquentes quando se trata de registrar o desconforto e a desconfiança quanto às experiências de anonimização, conduzindo a dúvidas sobre sua real viabilidade.6 Por sua vez, Paul Ohm já listou alguns exemplos em que a facilidade de reversão de bases de dados originalmente anonimizadas desvelou a falibilidade de técnicas consideradas confiáveis.7 Inúmeros procedimentos específicos podem ser utilizados, quase sempre a partir da eliminação de determinados elementos identificadores que constam de uma base de dados, por meio de supressão, generalização, randomização ou pseudonimização.8 Quanto a esta última, a controvérsia é tão aguda que o termo aparece no artigo 13, §4º, da LGPD como subespécie ou técnica diversa, aplicável aos casos de estudos em saúde pública e se diferenciando por exigir a manutenção, em ambiente seguro, da parcela informacional suprimida do acervo de dados pseudonimizado. É importante comentar que o Regulamento Geral de Proteção de Dados europeu (2016/679) se reporta ao termo "pseudonimização"9 para descrever o que a lei brasileira enuncia como "anonimização". Na Europa - que está adiante nesse debate - já vigora o Regulamento (UE) 2018/1807, de 14 de novembro de 2018, relativo a um regime para o livre fluxo de 'dados não pessoais' na União Europeia, o qual complementa o RGPD.10 Lá, antes mesmo de ser editado este regulamento mais específico, já era notada a preocupação com o tema nos "considerandos" do RGPD, a exemplo do 83:  A fim de preservar a segurança e evitar o tratamento em violação do presente regulamento, o responsável pelo tratamento [controlador], ou o subcontratante [operador], deverá avaliar os riscos que o tratamento implica e aplicar medidas que os atenuem, como a cifragem. Essas medidas deverão assegurar um nível de segurança adequado, nomeadamente a confidencialidade, tendo em conta as técnicas mais avançadas e os custos da sua aplicação em função dos riscos e da natureza dos dados pessoais a proteger. Ao avaliar os riscos para a segurança dos dados, deverão ser tidos em conta os riscos apresentados pelo tratamento dos dados pessoais, tais como a destruição, perda e alteração acidentais ou ilícitas, e a divulgação ou o acesso não autorizados a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento, riscos esses que podem dar azo, em particular, a danos físicos, materiais ou imateriais. (Considerando 83)  No caso europeu, há detalhamento, clareza e ênfase à imperativa avaliação de riscos... E, a despeito de qualquer predileção semântica, insta anotar que o dado anonimizado não se confunde com o dado "anônimo", pois é passível de reversão (ou reidentificação); se situa, em verdade, em posição mediana de um espectro que varia entre o dado pessoal e o anônimo, ou, nos dizeres de Doneda e Machado, em um continuum descritivo que demanda investigações mais profundas do que a puramente semântica.11 Para além da preocupação com a imposição de freios à hipervigilância, que decorre, na hipótese, da amplíssima utilização de smartphones que fornecem, em tempo real, as informações de mobilidade georreferenciada - epítome da tão debatida Internet das Coisas12 -, o que se nota, mesmo quando o legislador tenta aclarar o ambiente de nebulosidade conceitual, é que se recorre a conceitos abertos e de difícil aferição. Fala-se em 'meios técnicos razoáveis', mas não se esclarece quais são os critérios para dizê-los como tal; fala-se, ainda, em 'meios disponíveis por ocasião do tratamento', mas não se considera as conjecturas dessa disponibilidade, que pode ser afetada pela finalidade do tratamento, pela natureza da atividade explorada pelo agente de dados ou mesmo pela técnica de anonimização empregada; assevera-se, também, a necessidade de parametrização objetiva dos critérios de aferição de razoabilidade, embora o próprio exemplo indicado na norma (custo e tempo de reversão, no art. 12, §1º) seja baseado em aspectos que podem variar conforme o caso concreto. As perspectivas vislumbradas com o advento da Internet sempre foram norteadas por preocupações com o controle da técnica e com o favorecimento de determinados fatores de predição de resultados na tomada de decisões, especialmente com lastro em vasto repertório informacional.13 Assim, a intenção do legislador de trazer luz a um tema de grande complexidade técnica, embora louvável, acaba por incidir em um dilema de aplicação do direito, pois contribui para a proliferação de normas gerais e abstratas, que nada resolvem. A reforma de 2018 à Lei de Introdução às Normas do Direito Brasileiro trouxe a seguinte previsão, contida no artigo 20: "Nas esferas administrativa, controladora e judicial, não se decidirá com base em valores jurídicos abstratos sem que sejam consideradas as consequências práticas da decisão." Comentando o dispositivo, Justen Filho enfatiza não se tratar de uma alusão ao consequencialismo jurídico, mas ressalta a necessidade de contemplação dos eventos adversos (e consequenciais) que uma medida pode trazer:  O art. 20 não impôs a preponderância de uma concepção consequencialista do direito. Não estabeleceu que a avaliação dos efeitos determinará a solução a ser adotada, independentemente das regras jurídicas aplicadas. O dispositivo restringe-se a exigir, de modo específico, que a autoridade estatal tome em consideração as consequências práticas da decisão adotada, inclusive para efeito de avaliação da proporcionalidade da decisão a ser adotada.14  No continuum em que se situa o dado anonimizado, defendemos, assim como Paul Ohm15, o conceito de entropia de dados: o termo é utilizado na física para, em um sistema termodinâmico bem definido, medir seu grau de irreversibilidade. Em breve nota, asseveramos que o conceito "surge como um parâmetro de reforço. Para além da razoabilidade que a lei já prevê, seria possível, a depender da heurística aplicada na aferição dos riscos de determinado procedimento de reidentificação, inferir falibilidades e, consequentemente, responsabilidades."16 Se um código postal (ZIP Code), combinado com outros dados, pode expor a identidade de uma pessoa, imagine-se o potencial de malversação de dados de geolocalização que, embora "anonimizados", podem ser cruzados com outros dados para revelar seu titular! O mínimo que se espera de uma iniciativa de controle, ainda que engendrada a partir de finalidade justa (controlar a propagação do coronavírus), é a clareza de seus fins, riscos e métodos. Se não é possível mapeá-los por completo, ao menos deve-se alertar os cidadãos potencialmente afetados quanto aos aspectos consequenciais da medida, como determina o art. 20 da LINDB. Insofismavelmente, o Simi-SP, ainda que louvável, é falho em sua gênese: (i) ao invés de primar pela transparência, não informa quais são as técnicas de segurança de dados utilizadas; (ii) ao invés de assumir verdadeira accountability, descrevendo riscos previsíveis e mapeáveis de malversação, utiliza a nebulosa 'anonimização' como escudo contra questionamentos. *José Luiz de Moura Faleiros Júnior é mestre e bacharel em Direito pela Faculdade de Direito da Universidade Federal de Uberlândia. Especialista em Direito Processual Civil, Direito Civil e Empresarial, Direito Digital e Compliance. Membro do Instituto Avançado de Proteção de Dados - IAPD e do Instituto Brasileiro de Estudos de Responsabilidade Civil - IBERC. Advogado. __________  1 Disponível aqui. Acesso em: 14 ago. 2020. Para mais detalhes, conferir o sítio oficial do referido sistema: SÃO PAULO. Sistema de Monitoramento Inteligente. Acesso em: 14 ago. 2020. 2 MARTINS, Guilherme Magalhães; LONGHI, João Victor Rozatti; FALEIROS JÚNIOR, José Luiz de Moura. A pandemia da Covid-19, o "profiling" e a Lei Geral de Proteção de Dados. Migalhas, 28 abr. 2020. Disponível aqui. Acesso em: 14 ago. 2020. 3 ARRUDA, Maria Clara Villasbôas. O Governo do Estado de São Paulo não utiliza dados pessoais para medir aglomerações: A privacidade dos titulares de aparelhos de celular está preservada. Migalhas, 28 maio 2020. Disponível aqui. Acesso em: 14 ago. 2020. 4 SWEENEY, Latanya. Uniqueness of Simple Demographics in the U.S. Population. Laboratory for International Data Privacy, Working Paper LIDAP-WP4, 2000. Disponível aqui. Acesso em: 14 ago. 2020. 5 GOLLE, Philippe. Revisiting the Uniqueness of Simple Demographics in the US Population. Proceedings of the 2006 ACM Workshop on Privacy in the Electronic Society, WPES 2006, Alexandria, VA, USA, out. 2006. Disponível aqui. Acesso em: 14 ago. 2020. 6 NARAYANAN, Arvind; SHMATIKOV, Vitaly. Myths and fallacies of "Personally Identifiable Information". Communications of the ACM, Nova York, v. 53, n. 06, p. 24-26, jun. 2010. 7 OHM, Paul. Broken promises of privacy. UCLA Law Review, Los Angeles, v. 57, p. 1701-1777, 2010, p. 1717. 8 MARTINS, Guilherme Magalhães; FALEIROS JÚNIOR, José Luiz de Moura. A anonimização de dados pessoais: consequências jurídicas do processo de reversão, a importância da entropia e sua tutela à luz da Lei Geral de Proteção de Dados. In: DE LUCCA, Newton; SIMÃO FILHO, Adalberto; LIMA, Cíntia Rosa Pereira de; MACIEL, Renata Mota (Coord.). Direito & Internet IV: sistema de proteção de dados pessoais. São Paulo: Quartier Latin, 2019, p. 61. 9 O tema consta do artigo 25(1) do RGPD: "Tendo em conta as técnicas mais avançadas, os custos de aplicação e a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos, de probabilidade e gravidade variável, para os direitos e liberdades das pessoas singulares [físicas], o responsável pelo tratamento [controlador] e o subcontratante [operador] aplicam as medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco (.), (Art.º 32.º n.º 1)". 10 CORDEIRO, A. Barreto Menezes. Direito da proteção de dados. Coimbra: Almedina, 2020, p. 326-335; 347-347. 11 DONEDA, Danilo; MACHADO, Diogo. Proteção de dados pessoais e criptografia: tecnologias criptográficas entre anonimização e pseudonimização de dados. In: DONEDA, Danilo; MACHADO, Diogo (Coords.). A criptografia no direito brasileiro. São Paulo: Revista dos Tribunais, 2019, p. 149. 12 Samuel Greengard sintetiza a preocupação que passou a permear a sociedade da informação do novo milênio: "Within this emerging IoT framework, a dizzying array of issues, questions, and challenges arise. One of the biggest questions revolves around living in a world where almost everything is monitored, recorded, and analyzed. While this has huge privacy implications, it also influences politics, social structures, and laws." GREENGARD, Samuel. The Internet of Things. Cambridge: The MIT Press, 2015, p. 58. 13 WIENER, Jonathan B. The regulation of technology, and the technology of regulation. Technology in Society, Durham, n. 26, p. 483-500, 2004, p. 485. 14 JUSTEN FILHO, Marçal. Art. 20 da LINDB: dever de transparência, concretude e proporcionalidade nas decisões públicas. Revista de Direito Administrativo, Rio de Janeiro, Edição Especial: Direito Público na Lei de Introdução às Normas do Direito Brasileiro - LINDB (Lei nº 13.655/2018), p. 13-41, nov. 2018, p. 38. 15 OHM, Paul. Broken promises of privacy. UCLA Law Review, Los Angeles, v. 57, p. 1701-1777, 2010, p. 1760. 16 MARTINS, Guilherme Magalhães; FALEIROS JÚNIOR, José Luiz de Moura. A anonimização de dados pessoais: consequências jurídicas do processo de reversão, a importância da entropia e sua tutela à luz da Lei Geral de Proteção de Dados. In: DE LUCCA, Newton; SIMÃO FILHO, Adalberto; LIMA, Cíntia Rosa Pereira de; MACIEL, Renata Mota (Coord.). Direito & Internet IV: sistema de proteção de dados pessoais. São Paulo: Quartier Latin, 2019, p. 74.
sexta-feira, 18 de dezembro de 2020

Meu nome é Silva, José da Silva

Na nossa coluna do último dia 20 de novembro, neste mesmo periódico ("LGPD, qual é a cor do meu sapato?"), vimos como os identificadores diretos (nome, endereço, e-mail, CPF, só para citar alguns) e os indiretos (nossas preferências na web) podem ser usados não só para rastrear nossos caminhos digitais, como também para criar perfis de consumo que podem ser usados para discriminar qualquer usuário da web. Hoje a web é um paraíso para estes stalkers virtuais que tiram o sono da LGPD. Vamos aqui "pisar em ovos" e comentar sobre uma solução para este problema. Adianto que a solução está na identificação digital (eID) e, a expressão "pisar em ovos", vem para invocar as eventuais implicações, ou não, na liberdade individual que a escolha do modelo de eID pode trazer. Dai, con calma, piano piano. Segundo o periódico O Estado de São Paulo, em sua edição de 29 de novembro de 2011, o Brasil tinha, há quase 10 anos, mais de 165 milhões de indivíduos cadastrados no CPF e, neste mesmo cadastro tínhamos 72.463 brasileiras chamadas Maria Jose' da Silva. Algumas delas irmãs, acreditem ou não. Talvez algumas até com a mesma mãe. Imagine só o problema destas pessoas na aquisição de crédito, ou na prova de identidade. Um identificador único (ID), um número por exemplo, para cada indivíduo, ajuda a sanar esse problema. Essa é a base de um sistema de identificação. No entanto, quando esse número é atrelado a uma pessoa física diretamente, esse ID pode gerar situações inconvenientes. Voltemos ao caso do CPF. Ele é hoje nosso principal meio de identificação unívoca o qual associa um número, um ID, a uma única entidade física. Vejamos a seguinte situação: vou à farmácia e informo CPF para ganhar um desconto no medicamento X. Foi criado um registro que associa meu ID, o CPF, ao medicamento X. Também vou ao banco fazer um seguro de vida. Eles já têm o meu CPF, claro! O CPF é fundamental para a operação do banco. Fiz o seguro. Formou-se assim um registro que associa meu CPF ao seguro Y. No entanto, vejam o perigo da associação de registros. Por meio do CPF é possível associar o medicamento X ao seguro Y. Como a identificação pessoal permite acesso a quase todo o espectro de serviços e produtos online, sempre usamos os mesmos identificadores pessoais para qualquer atividade na web e no mundo real também. A conta no banco, a compra numa loja física ou de e-comerce, a matrícula na escola, o serviço de saúde, a conta de água, de luz, de telefone...enfim, todas as relações de saúde, comerciais, educacionais, trabalhistas, contratuais...envolvem um ID ligado a uma pessoa física. Esse relacionamento direto entre um identificador único e uma pessoa nos parece tão inquestionável que nem pensamos em outras alternativas. No entanto, essa associação direta entre ID e pessoa forma o mundo da entrega total da sua privacidade, não só ao Estado, mas a praticamente todas as entidades que você se relaciona. Veremos aqui que esse modelo antiquado de identificação não é o único e que temos opções mais sensatas e mais adequadas a realidade atual. Embora a identificação civil não seja obrigatória no Brasil (como é, por exemplo, na Alemanha), a identificação abre as portas para inúmeros serviços e benefícios do Estado e alimenta uma sequência de outros documentos que liga o cidadão a demais bancos de dados. No Brasil embora a obrigatoriedade da identificação não existe, na prática não temos outra escolha. Hoje os bebês brasileiros já são associados a um identificador fiscal já no seu registro de nascimento. Com essa imposição de um identificador fiscal em tão tenra idade não há LGPD que aguente tanta associação direta de registros. É interessante destacar que a identificação civil compulsória nasceu na Alemanha em 23 de julho de 1938, durante o regime nazista. Quando criada, exigia que todo judeu solicitasse seu documento de identificação até o final daquele ano [GHDI]. Embora, no Brasil, a identificação civil traga uma série de benefícios do Estado, nos dias atuais, com a tecnologia que dispomos, a chave de identificação, o ID pessoal, não necessariamente precisa estar ligado à pessoa física, mas poderia estar ligada ao serviço ou aos dados que o serviço necessita. Por exemplo, segundo a lei 13.106/15 é proibida a venda de bebidas alcoólicas a menores de idade no Brasil. Com uma identificação digital, eID, quando solicitada para este fim, não seria necessário revelar o nome, o RG, e muito menos a delicada informação data de nascimento do portador da identidade, ou qualquer outro dado pessoal. Restaria a eID afirmar se o seu portador é ou não maior de idade. Só! A concepção de atrelar um identificador à totalidade de dados de uma pessoa não faz sentido a uma variedade enorme de serviços atuais, como por exemplo, suas compras diárias. O cerne de qualquer compra é a aquisição de uma coisa ou serviço mediante o pagamento pelo preço estipulado numa moeda ou meio de pagamento acordado. A priori, na grande maioria das compras bem sucedidas, além do intercâmbio coisa/serviço-moeda, é completamente dispensável qualquer outro dado, inclusive o nome do comprador, e às vezes, até seu endereço. Na prática, a eID já existe na Europa desde o início deste século. A eID está presente em países como na Bélgica, Alemanha, Itália, Malta, Holanda, Noruega, Espanha entre outros. Está presente também no México, Uruguai, Paquistão, Costa Rica, para citar alguns. A Comissão Europeia não só estimula o governo eletrônico oferecendo kits para implementação de identidades digitais, como outros serviços, incluindo infraestrutura de blockchain, nota fiscal eletrônica, assinatura eletrônica, entre outros serviços [CEF Digital]. Cabe explicar que embora todos esses países já tenham alguma forma de identificação digital, os modelos de eID não são necessariamente semelhantes entre esses países. Antes de avançarmos e mostrarmos alguns exemplos de uso de eID, vejamos como essa identificação digital funciona. Todas as informações individuais continuam armazenadas numa base de dados a qual é conectada por meio de um identificador, um número, por exemplo, semelhante a um CPF. Para certificar-se que a pessoa tem o direito de acessar alguma informação pessoal desta base de dados, alguns passos são necessários: Conectar o ID aos dados da base de dados. Procedimento esse que é feito por um certificado digital (de maneira análoga ao que ocorre hoje com os certificados digitais de muitos profissionais); e Conectar o ID às informações específicas e requeridas da base de dados. Um dos formatos preferidos de eID é o tradicional cartão plástico de policarbonato, modelo ID-1 (ISO/IEC 7810), no formato de um cartão bancário que inclui um microchip com RFID (opera por aproximação, ISO/IEC 7816), semelhante aos chips de passaportes. O chip pode armazenar as informações dispostas nas faces do cartão (número do documento, foto e nome, por exemplo) entre outros dados tais como dados biométricos, tipo sanguíneo, nome da mãe ou números de outros documentos. O cartão pode ser usado como meio de identificação ou autenticação. Uma assinatura eletrônica pode ser armazenada quando proporcionada por uma empresa. Certamente a eID não se limita a versão cartão e pode vir na forma de um arquivo ou de um aplicativo para smartphones. Aliada a identificação, a eID pode também trazer o benefício da autenticação, ou seja, da confirmação de alguém como autêntico, que certifica a autoria e a pertinência do documento. A autenticação é de extrema relevância na proteção dos dados e gestão da informação, pois ela garante o acesso e a alteração de dados apenas às pessoas devidamente autorizadas. Na grande maioria dos países que usam eID a identificação digital é proporcionada pelo estado, no entanto, na Suécia, na Finlândia e na Noruega as autoridades governamentais aceitam cartões bancários eletrônicos como forma de identificação. Esse é o caso do BankID. BankID é a maior empresa sueca de eID e responsável pela identificação de 94% de todos os usuários de smartphones na Suécia [BankID Company]. Não por acaso, a Suécia é um grande exemplo de uso de eID o qual, como é proporcionado por bancos, é um serviço sem taxas para seus usuários. Como já está subentendido, além do uso no sistema bancário, ele é aceito como cartão de saúde, aceitos pelos organismos governamentais e por mais de 600 web sites que incluem serviços e comércio. Na Noruega o sistema de eID também tem o mesmo nome, mas é um serviço distinto. Lá esse cartão é inclusive aceito com identificação nas Universidades. Tecnicamente difere do modelo sueco por usar um chip modelo SIM (o mesmo dos smartphones) e não um chip RFID. O custo de operação desta eID está incluído nas taxas bancárias. Na Bélgica, mesmo com a exigência de portar um documento de identificação a partir dos 12 anos de idade, existe uma eID para crianças (Kids ID) que pode ser adotada voluntariamente. Nesta eID podem conter os dados da criança, nomes de seus pais, telefones de contatos de parentes e informações sobre como proceder em caso de acidentes. O Kids-ID card permite a participação da criança nos clubes juvenis de chat usando esse documento como meio de entrada e evitando assim a participação de pedófilos. Na Alemanha o seu Personalausweis têm algumas características interessantes, dentre as quais o uso de pseudônimo. Depois de se registrar pela primeira vez com seu ID e criar um perfil de usuário, os titulares do novo cartão de identificação podem fazer novos acessos a vários serviços sem revelar dados privados. O sistema "reconhece" o usuário. O chip do novo cartão de identificação gera um pseudônimo que o titular pode usar para se identificar, mas que não fornece acesso a quaisquer dados pessoais. Junto com o PIN de 6 dígitos, este método é igual ao familiar procedimento de login, mas muito mais seguro. Outro serviço interessante é a verificação da idade. Alguns provedores de serviços online só precisam saber se um usuário atingiu uma determinada idade. Em casos como esses, o provedor de serviços pode usar a função de verificação de idade. Isto é usado, por exemplo, em máquinas de cigarro ou para serviços online com conteúdo adulto. Ao invés de transmitir a data completa de nascimento ao prestador de serviços, tudo o que o cartão de identificação transmite é se o seu titular atingiu a idade exigida. O mesmo procedimento da verificação de idade também pode ser usado quando um fornecedor oferece seus serviços em uma determinada região e, portanto, precisa saber se um usuário está registrado na área relevante. Também neste caso, a resposta é apenas "Sim" ou "Não". Ambas as funcionalidades são projetadas para assegurar e garantir que apenas os dados absolutamente necessários sejam divulgados [BENDER, 2012]. Um modelo de eID seguro é a única forma de proteção dos dados pessoais e de prevenção a fraudes, como o roubo de identidade. A proteção de dados pessoais, como garantida pela LGPD, é a base para uma sociedade que tira proveito das transações eletrônicas em que os cidadãos e as entidades precisam confiar que ambas as partes tratem os dados no rigor da lei. No Brasil temos o Decreto 9.278, de 5 de fevereiro de 2018, que estabelece uma normativa para o novo Documento Nacional de Identificação, DNI, que será uma versão digitalizada da Carteira de Identidade [Decreto 9.278]. Essa nova versão também será fornecida na forma de um cartão bancário e poderá ter, opcionalmente, os números de vários outros documentos, como o CPF, Título de eleitor, Carteira de Trabalho, Certificado Militar, entre outros. Apesar do avanço, essa nova mídia ainda manterá o antigo modelo de associação direta do ID com a pessoa física e não seguirá os novos modelos em que a associação do ID com o serviço faz mais sentido do que modelo nacional atual. Com todos os números de documentos numa única mídia, perder esse DNI será como participar de um filme de terror. Essa LGPD terá muito trabalho com esse novo modelo. Em tempo, a partir de 1º de março de 2020, os órgãos de identificação estarão obrigados a adotar os padrões de Carteira de Identidade estabelecidos neste Decreto. (Redação dada pelo decreto 10.257, de 2020). Enquanto isso, na Europa, na fila de uma padaria local, dois clientes conversam: "- Pode passar na frente, ainda vou pegar o pão", disse JB; "- Muita gentileza sua. Prazer, sou José da Silva.", disse JS; " - O prazer é meu. Sou Bond, James." disse JB. E a fila anda. São apenas mais dois clientes da padaria.  Referências bibliográficas GHDI, German History in Documents and Images. Disponível aqui. Última visita em 15 de dezembro de 2020. CEF Digital. Choose your building block. Disponível aqui. Última visita em 15 de dezembro de 2020. BankID Company. Dsponível aqui. Última visita em 15 de dezembro de 2020. BENDER, Jens et al. Domain-specific pseudonymous signatures for the german identity card. In: International Conference on Information Security. Springer, Berlin, Heidelberg, 2012. p. 104-119. Decreto 9.278.Regulamenta a lei 7.116, de 29 de agosto de 1983, que assegura validade nacional às Carteiras de Identidade e regula sua expedição. Disponível aqui. Última visita em 15 de dezembro de 2020.  *Evandro Eduardo Seron Ruiz é professor Associado do Departamento de Computação e Matemática, FFCLRP - USP, onde é docente em dedicação exclusiva. Atua também como orientador no Programa de Pós-graduação em Computação Aplicada do DCM-USP. Bacharel em Ciências de Computação pela USP, mestre pela Faculdade de Engenharia Elétrica da UNICAMP, Ph.D. em Electronic Engineering pela University of Kent at Canterbury, Grã-Bretanha, professor Livre-docente pela USP e estágios sabáticos na Columbia University, NYC e no Instituto de Estudos Avançados da USP (IEA-USP). Coordenador do Grupo de Pesquisa "Tech Law" do IEA-USP. Membro fundador do Instituto Avançado de Proteção de Dados - IAPD.
Introdução Não é novidade que a nossa vida cotidiana está intimamente ligada e dependente de recursos tecnológicos e informáticos. No mesmo sentido, já há vários anos, o Judiciário brasileiro está praticamente todo informatizado e também com seu funcionamento baseado em meios eletrônicos. Todo esse cenário foi ainda bastante potencializado pela pandemia da Covid-19, que nos levou ao trabalho remoto e com Poder Judiciário desenvolvendo suas atividades à distância. Desse modo, a notícia do ataque de hackers aos sistemas do Superior Tribunal de Justiça1 no último dia 3 de novembro aterrorizou a comunidade jurídica e a sociedade como um todo. Conforme amplamente noticiado2, inclusive pelo próprio STJ, os servidores da corte sofreram um ataque cibernético, que levou ao bloqueio dos processos e endereços de e-mails de todo o tribunal. Com o bloqueio do acesso a todos os documentos do STJ, foram necessariamente suspensas todas as sessões de julgamento e prazos processuais. Do mesmo modo, todos os sistemas do STJ foram retirados do ar, a fim de se preservar sua inteireza. Tratou-se de um ataque por meio de um malware, com uma atuação compatível com ransomware, que tipicamente sequestra o sistema da vítima, bloqueando o seu acesso e criptografando os dados. Por conseguinte, o hacker cobra um valor em dinheiro pelo resgate, geralmente, em criptomoedas, dificultando sobremaneira o rastreamento de quem possa vir a receber o valor. Provavelmente, o vírus em questão é uma versão avançada do RansomExx, aquele que foi responsável em junho de 2020 pela invasão do Departamento de Trânsito do Texas, nos Estados Unidos3. Um ataque dessas proporções aos sistemas do STJ pode gerar a destruição desses dados processuais, acarretando um caos generalizado na Justiça brasileira, além de possibilitar o acesso a informações confidenciais e de conteúdo sensível. Entendendo os tipos de ataques cibernéticos É difícil acompanhar o ritmo relativo ao desenvolvimento de novas formas de explorar as vulnerabilidades existentes no espaço cibernético e nos dispositivos eletrônicos. Com o crescimento da Internet das Coisas, dos serviços de armazenamento nas nuvens, das empresas de digitalização de documentos etc., diversas maneiras de realizar os ataques são desenvolvidas, tornando-se um grande desafio acompanhar a velocidade das mudanças. Para compreendermos melhor o ataque cibernético na rede de informática do Superior Tribunal de Justiça, é importante sabermos os tipos de ataques cibernéticos possíveis e qual é o objetivo de cada um deles. Desse modo, cumpre-se mencionar alguns tipos de ciberataques para compreendermos de que maneira as vulnerabilidades em dispositivos podem ser exploradas: A) Malware: trata-se de um termo genérico relativo a qualquer "software nocivo" desenhado com o objetivo de gerar danos aos dispositivos em que se infiltram sem serem notados. Alguns tipos que se enquadram como malware são: cavalos de Tróia, ransomware, spyware, worms etc. Vejamos, rapidamente, o que faz cada um deles: A.1) Cavalos de Tróia: visam a realizar ataques ocultos por meio de uma instalação, que aparenta ser legítima, no dispositivo da vítima. Muitas vezes, viabiliza a entrada de malwares adicionais; A.2) Ransomware: trata-se de um malware que bloqueia ou nega o acesso ao dispositivo ou aos arquivos até que o "resgate" seja pago. De acordo com a Europol, estes ataques são dominantes no âmbito da União Europeia e diversos tipos de ransomware surgiram nos últimos anos4; A.3) Spyware: busca coletar informações sobre a vítima via dispositivo ou rede, transmitindo os respectivos dados ao invasor. Este malware é muito utilizado para se obter informações como dados do cartão de crédito da vítima, login em determinados sites etc.; A.4) Worms:  trata-se de agentes de entrega de instalações para infectar dispositivos com malware adicionais. O objetivo principal dos worms é infectar o maior número possível de dispositivos. B) Ataques DoS (Denial of Service) e DDoS (Distributed Denial of Service): ataques de DoS (negação de serviço) e de DDoS (negação de serviço distribuída) sobrecarregam o tráfego na internet, inviabilizando a realização de operações normais dos servidores, serviço ou rede. O ataque de DoS é realizado de uma máquina mediante uma inundação de pings (utilitário que emprega o ICMP (Internet Control Message Protocol) para a realização de testes relativos à conectividade entre equipamentos), por exemplo. Já o ataque de DDoS consiste na ação mal-intencionada direcionada contra o tráfego do alvo realizada por diversas máquinas. Em via de regra, os ataques de DDoS ocorrem mediante uma ação do invasor que controla, remotamente, diversas máquinas infectadas por um malware (essas máquinas integram uma botnet). Por outro lado, há ataques de DDoS em que os invasores atuam em conjunto para realizarem o ataque ao tráfego; C) Phishing: ataque que corresponde à captação fraudulenta da identidade digital da vítima. O ataque corresponde ao envio de mensagens por e-mail, por SMS ou por WhatsApp, por exemplo, em que há um link, que ao ser clicado, infecta o dispositivo, coletando dados e informações da vítima, sendo que, em alguns casos, difunde-se o vírus à lista de contatos presente nas redes sociais ou do celular; D) Advanced Persistent Threats (APTs): empregando, geralmente, engenharia social, este tipo de ataque é um dos mais nefastos, pois, ele busca monitorar e coletar o máximo de dados e informações possíveis, sendo que o seu maior objetivo é permanecer no dispositivo, sem ser detectado, por um longo tempo. Este tipo de ataque visa a setores estratégicos, como tecnologia, defesa, infraestrutura etc. Entendendo o ataque ao STJ No dia 3 de novembro de 2020, o Superior Tribunal de Justiça identificou o ataque cibernético a sua rede e sistemas. As atividades do STJ foram suspensas e, apenas em 18 de novembro de 2020, o tribunal comunicou que a Secretaria de Tecnologia e Informação e Comunicação concluiu o restabelecimento do sistema. O STJ não confirmou se houve o pedido de resgate por parte dos invasores; portanto, não se pode afirmar com segurança que se trata de um malware do tipo ransomware. Alguns jornais5 afirmaram que foi deixada uma mensagem, em formato txt, em uma das pastas do STJ, pedindo o resgate pelo "sequestro digital"; porém, não houve confirmação do STJ. Provavelmente, caso o STJ não tivesse o backup para restabelecer o sistema, sairia mais barato pagar o resgate do que "quebrar" a criptografia e recuperar os arquivos "sequestrados". Como o STJ possuía uma cópia de segurança, foi mais fácil restabelecer o sistema. No entanto, se realizarmos um exercício especulativo, cumpre-se indagar: seria possível o STJ pagar pelo "resgate"? Por não existir esta hipótese no ordenamento jurídico, é provável que a resposta seja tendente a se considerar inviável o pagamento por um "resgate" em situações similares. A pedido do Presidente do STJ, Ministro Humberto Martins, foi instaurando um inquérito policial pela Polícia Federal para investigar o ataque cibernético. Ademais, passou-se a investigar se existe uma conexão entre o ataque ao STJ e os ataques ao Ministério da Saúde e à Secretaria da Economia do Distrito Federal; todavia, até o presente momento, não há confirmação. No dia 18 de novembro, os inscritos no curso A eficiência dos precedentes judiciais no STJ, que contava com 500 vagas, receberam um e-mail oficial do STJ em que se comunicava que os dados relativos às atividades realizadas pelos inscritos no mencionado curso não puderam ser recuperados, logo, os certificados não poderiam ser emitidos6. O Presidente do STJ, em entrevista, declarou que "os dados do acervo do STJ estão integralmente preservados no backup"7. Diante desta declaração, surge a dúvida acerca do sentido relativo à integralidade do acervo do STJ mencionado pelo Ministro Humberto Martins, pois, como se pode notar, os dados pessoais sensíveis8 concernentes aos cursos on-line não foram preservados no backup. Será que esta é a única exceção? Será que há processos que não foram estabelecidos na integralidade? Estas são algumas dúvidas que surgem diante do que verificamos com os cursos ofertados pela Escola Corporativa do STJ (Ecorp). Outra dúvida ainda não respondida é relacionada à entrada do malware, ou seja, como o sistema do STJ foi infectado? Foi um servidor público, um ministro, um estagiário etc. que clicaram em um link que permitiu a invasão. Assim, torna-se relevante compreender qual foi a abertura para a ocorrência do ataque cibernético. O restabelecimento do sistema do tribunal não minimiza o impacto do ataque cibernético, já que o acesso a processos sigilosos do STJ ocorreu. Além disso, os dados sensíveis dos cursos on-line foram coletados pelos invasores. Diante dos riscos decorrentes deste ataque cibernético, deve-se indagar se houve realmente o cumprimento da Resolução do STJ referente à política de segurança da informação (IN STJ/GP n. 11/2015). O Presidente do STJ, em entrevista, mencionou que se estava estudando a realização de melhorias no que se refere à prevenção de ataques; contudo, nada foi realizado a tempo9. Em suma, ainda há muitas dúvidas relativas a um dos maiores ataques cibernéticos ocorridos no Brasil, sendo que deveremos acompanhar não apenas os desdobramentos decorrentes desta invasão ao sistema do STJ, mas também as ações adotadas para inviabilizar novos ataques, como, por exemplo, treinamento dos servidores públicos, ministros, estagiários etc para que não pressionem, por exemplo, links, que possam gerar uma abertura para a entrada de malwares, por meio do emprego de engenharia social. Conclusões Esse ataque revela um grande temor da comunidade jurídica e confirma o que se sabe desde os tempos mais remotos da humanidade: a necessidade de confiança e de segurança jurídica. Desde as fontes escritas mais antigas que conhecemos, provenientes da Mesopotâmia10, a confiança na autoridade que aplicaria as regras regentes da sociedade, ou seja, o direito, é fundamental para o funcionamento dessa comunidade. A estrutura das legislações de escrita cuneiforme, por exemplo, o famoso Código de Hammurabi, revela a presença de três partes distintas: um prólogo, o texto normativo e o epílogo11. Assim, o prólogo tinha a função de legitimar a autoridade real, enaltecendo as características do soberano e revelando que ele tinha sido escolhido pelos deuses para governar sobre os povos, criando as normas a serem seguidas por todos. O texto normativo trazia as regras a serem aplicadas, com o mais variado conteúdo, típico para a sociedade da época. Por fim, o epílogo trazia maldições e consequências nefastas, estabelecidas pelo soberano, para aqueles que não cumprissem suas normas. Desse modo, não diferentemente do que temos em períodos posteriores, já na origem conhecida do direito o elemento da confiança no sistema era decisivo. Era preciso que a autoridade fosse considerada competente e legítima para criar e aplicar o direito. Por sua vez, a autoridade impunha a obediência a esse direito, obrigando a sua aplicação. Apenas assim é possível vislumbrar um sistema funcionante. Quando ataques ao seu funcionamento, como aqueles sofridos pelo STJ, revelam uma fragilidade desse sistema, a confiança depositada também é abalada. Para que se continue a acreditar no sistema jurídico é imprescindível que o nível de segurança seja o mais elevado possível, elemento fundamento para que ele produza seus melhores efeitos. *Alessandro Hirata é professor associado da Faculdade de Direito de Ribeirão Preto da Universidade de São Paulo (desde 2008). Visiting professor da Universitá degli studi di Sassari (2017 e 2019). Livre-docente pela Faculdade de Direito da USP (2008). Doutor pela Ludwig-Maximilians-Universität München (2004-2007). Cristina Godoy Bernardo de Oliveira é professora Doutora da Faculdade de Direito de Ribeirão Preto - Universidade de São Paulo desde 2011. Academic Visitor da Faculty of Law of the University of Oxford (2015-2016). Pós-doutora pela Université Paris I Panthéon-Sorbonne (2014-2015). Doutora em Filosofia do Direito pela Faculdade de Direito da USP (2011).  Graduada pela Faculdade de Direito da Universidade de São Paulo (2006). Líder do Grupo de Pesquisa Direito, Ética e Inteligência Artificial da USP - CNPq. Coordenadora do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP). Associada fundadora do Instituto Avançado de Proteção de Dados - IAPD. __________ 1 Vd., VALENTE, Fernanda; VITAL, Danilo. STJ sofre ataque hacker e suspende prazos processuais até segunda (9/11). In Conjur, 4 de novembro de 2020. Disponível aqui. Acesso em: 08 de dezembro de 2020. 2 Vd., ALVES, Paulo. Ataque hacker ao STJ: seis coisas que você precisa saber sobre o caso. In: Techtudo, 7 de novembro de 2020. Disponível aqui. Acesso em: 08 de dezembro de 2020. 3 Vd., GATLAN, Sergiu. Brazil's court system under massive RansomExx ransomware attack. In: Bleeping Computer, 5 de novembro de 2020. Disponível aqui. Acesso em: 08 de dezembro de 2020. 4 Vd., EUROPEAN COURT AUDITORS. Challenges to effective EU cybersecurity policy. Bruxelas: EU, 2019, p. 08. Disponível aqui. Acesso em: 08 de dezembro de 2020. 5 Vd., ESCOSTEGUY, Diego. Hacker do STJ segue na ativa e cobra resgate mais uma vez. In O Bastidor, 06 de novembro de 2020. Disponível aqui. Acesso em: 08 de dezembro de 2020. 6 Vd., CAMPOREZ, Patrik. Após ataque hacker ao STJ, notas de cursos somem e alunos ficam sem certificados. In UOL, São Paulo, 20 de novembro de 2020. Disponível aqui. Acesso em 08 de dezembro de 2020. 7 Vd., MOTTA, Rayssa; MACEDO, Fausto. Presidente do STJ diz que foi alertado sobre possibilidade de novo ataque hacker. In ESBRASIL, 11 de novembro de 2020. Disponível aqui. Acesso em 08 de dezembro de 2020. 8 PEROLI, Kelvin. O que são dados pessoais sensíveis? In IAPD, Ribeirão Preto, 03 de novembro de 2019. Disponível aqui. Acesso em: 08 de dezembro de 2020. 9 Vd., MOTTA, Rayssa; MACEDO, Fausto. Presidente do STJ diz que foi alertado sobre possibilidade de novo ataque hacker. In ESBRASIL, 11 de novembro de 2020. Disponível aqui. Acesso em 08 de dezembro de 2020. 10 Vd., HIRATA, Alessandro, A responsabilidade do nauta sob perspectiva de direito histórico comparado no Código de Hammurabi, in Interpretatio Prudentium, v.2 n.2 (2017), p.155-164. 11 Vd., RIES, Gerhard, Prolog und Epilog in Gesetzen des Altertums. München: C. H. Beck, 1983.  
O encarregado de dados é uma das principais figuras do sistema brasileiro de proteção de dados  pessoais. A própria lei o define como "pessoa indicada pelo controlador e operador para atuar como canal de comunicação entre o controlador, os titulares dos dados e a Autoridade Nacional de Proteção de Dados" (Art. 5º, VIII, LGPD). Conforme leciona Patrícia Peck Pinheiro, busca-se com a determinação do art. 41 "garantir que as informações fiquem centralizadas e que o controlador se certifique de que a aplicação das normas receberá efetiva validação. Esse encarregado deve ser pessoa natural, mas pode ser uma pessoa contratada de equipe própria ou terceirizada."1 Em uma leitura menos detida, a figura do encarregado no Brasil assemelhar-se-ia ao que é conhecido no Regulamento Geral de Proteção de Dados da União Europeia (RGPD), paradigma da legislação brasileira, por Data Protection Officer ou apenas DPO. Por seu turno, os artigos 37 a 39 do RGPD tratam propriamente da figura do encarregado de dados (DPO), cuja leitura  revela se tratar "mais um serviço do que a atividade de uma única pessoa."2 Nos termos do art. 37 do RGPD, enumeram-se as hipóteses em que é obrigatória a designação do encarregado da proteção de dados. Ao analisar o dispositivo, Cintia Rosa Pereira Lima  sintetiza que é obrigatória sua designação quando: a) o tratamento for efetuado por uma autoridade ou um organismo público, excetuando os tribunais no exercício da sua função jurisdicional; b) As atividades principais do responsável pelo tratamento ou do subcontratante consistam em operações de tratamento que, devido à sua natureza, âmbito e/ou finalidade, exijam um controlo regular e sistemático dos titulares dos dados em grande escala; ou c) As atividades principais do responsável pelo tratamento ou do subcontratante consistam em operações de tratamento em grande escala.3 Ademais, o mesmo dispositivo dá a possibilidade de que se grupos empresariais ou várias entidades ou órgãos públicos indiquem terceiro coletivamente um único encarregado, ao mesmo passo que "o encarregado da proteção de dados pode ser um elemento do pessoal da entidade responsável pelo tratamento ou do subcontratante, ou exercer as suas funções com base num contrato de prestação de serviços (art. 37º, 6.)", sendo o elo entre as autoridades de controle. O art. 39º do RGPD, por sua vez, detalha as funções do encarregado da proteção de dados . O item 2 do mesmo dispositivo, em suma, leva consideração que, "no desempenho das suas funções, o encarregado da proteção de dados tem em devida consideração os riscos associados às operações de tratamento, tendo em conta a natureza, o âmbito, o contexto e as finalidades do tratamento." A regra de proporcionalidade entre o risco assumido pelo encarregado e os elementos de sua atividade se assemelha com  regra do art. 41, §2º, da LGPD brasileira, dirigindo o comando inclusive à Agência Nacional de Proteção de Dados, quem reproduz o dispositivo ao asseverar que incumbe ao órgão "estabelecer normas complementares sobre a definição e as atribuições do encarregado pelo tratamento de dados pessoais, inclusive nas hipóteses de dispensa da necessidade de sua indicação, conforme a natureza e o porte da entidade ou o volume de operações de tratamento de dados" (art. 4º, VIII, alínea b, Dec. Fed. 10.474/20). Conforme destacou-se, a figura do encarregado brasileiro poderia ser análoga à do DPO europeu. Entretanto, Cintia Rosa Pereira Lima é taxativa ao asseverar que o encarregado, conforme designado na Lei Geral de Proteção de Dados brasileira, não é o DPO do RGPD, especialmente pela inegável complexidade de regras que hoje constam do Regulamento europeu ao encarregado, situação diferente da brasileira. Narra a autora, entretanto, que o que poderá vir a acontecer é que a Autoridade Nacional brasileira possa vir a transformar o encarregado de dados na figura do DPO nos termos e critérios do art. 41, §3º, LGPD.4 A lei brasileira é incipiente e até o presente momento o que se pode concluir com segurança é que  não há grande detalhamento das funções do encarregado de dados no Brasil se comparado com a Europa.  A LGPD é de fato mais suscinta quanto aos deveres e atividades do encarregado nos no art. 41 da LGPD, que essencialmente trata da transparência quanto à identidade e informações de contato do encarregado, determinando ao controlador que as divulgue publicamente, de forma clara e objetiva, preferencialmente em seu sítio eletrônico (§1º) ao mesmo passo que enumera não exaustivamente  as atividades do encarregado, que, em síntese, são receber petições de titulares de dados pessoais, prestando-lhe as devidas informações e adotando providências; receber comunicações da ANPD e adotar providências;  promover a orientação de colaboradores a respeito das práticas em relação à proteção de dados pessoais; e executar as demais atribuições determinadas pelo controlador ou estabelecidas em normas complementares, às quais se espera sejam especialmente provindas da Autoridade Nacional. Certo é que a figura do encarregado de dados veio para ser obrigatória para agentes e controladores privados e oriundos do poder público. Não obstante, o manejo de dados é um tema que tem sempre maior apelo junto ao setor privado, especialmente pela multiplicidade do modelo de negócios envolvendo este recente ativo empresarial, seja por que o poder público tradicionalmente gravita sob princípios próprios no concernente ao manejo de dados. No setor público o que se tem até o presente momento é uma relativa produção normativa infralegal de instituições públicas indicando como DPOs servidores ou membros das instituições respectivas e enumerando atribuições que procuram espelhar a LGPD sem que haja no presente momento maior detalhamento normativo à míngua de maiores diretrizes da Agência. O que se pode ao menos destacar é que é obrigatória indicação pelo poder público do encarregado de dados quanto houver tratamento de dados nos termos do art. 39 da lei (Art. 23, III, LGPD), lembrando sempre que os relatórios de impacto à proteção de dados deverão ser solicitados pela ANPD aos que se encontram na exceção à Proteção legal (art. 4º, inciso III c.c. §3º, LGPD). Nesse sentido, Fabrício da Mota Alves afirma que: "Parece evidente, nesse caso, que a indicação do DPO público seja compulsória e inafastável, uma vez que se trata de conditio sine qua non para o tratamento de dados pessoais pelo poder público. Porém, a questão é mais complexa do que se apresenta."5 No concernente à questão das requisições de dados pessoais do art. 19 da LGPD, há duas hipóteses legais. Uma (inciso I) diz respeito às respostas "automáticas" e, portanto, imediatas - que induzem à conclusão de que se trata de buscas simples e pressupõe sistemas automatizados. Já o inciso II dá o prazo de 15 dias para o fornecimento de "declaração clara e completa, que indique a origem dos dados, a inexistência de registro, os critérios utilizados e a finalidade do tratamento, observados os segredos comercial e industrial, fornecida no prazo de até 15 (quinze) dias, contado da data do requerimento do titular." Destaque-se que o art. 4º do decreto 10.474/20 que regulamenta a Lei e estrutura a Autoridade Nacional de Proteção de Dados, dentre outras providências, estabelece que o Conselho Diretor da entidade "estabelecer prazos para o atendimento às requisições de que tratam os incisos I e II do caput do art. 19 da Lei nº 13.709, de 2018 [LPGD], para setores específicos, mediante avaliação fundamentada, observado o disposto no § 4º do art. 19 da referida Lei" (Art. 4º, inciso VII). Assim, resta a esperança que aos poucos a multiplicidade das figuras dos encarregados contribua para o fortalecimento da cultura de proteção dos dados pessoais no Brasil. Por essa razão, conforme leciona José Luiz de Moura Faleiros Júnior, não deve o administrador público ficar preso à legislação e aguardar que a Autoridade traga todas as normas prontas e acabadas, produzindo a "indesejável dependência tecnocrática" contrárias às boas práticas da Administração Pública Digital.6 É necessário ser proativo, em especial porque a administração pública deve combinar a proteção dos dados dos cidadãos como direito fundamental com outros interesses diretamente ligados à sua dignidade informacional, tais como a publicidade e transparência (art. 37, caput, CF). João Victor Rozatti Longhi é associado do IAPD e defensor público no Estado do Paraná, além de presidente da Comissão de Implementação da LGPD na Defensoria Pública do Estado do Paraná. Professor visitante do PPGD da Universidade Estadual do Norte do Paraná e de graduação da União Dinâmica das Faculdades das Cataratas-UDC. Pós-doutorando no International Post-doctoral Programme in New Technologies and Law do Mediterranea International Centre for Human Rights Research (MICHR) - Itália.  Pós-doutor em Direito na UENP. Doutor em Direito Público pela USP. Mestre em Direito Civil pela Faculdade de Direito da UERJ. Bacharel em Direito pela UNESP, com intercâmbio na Universidade de Santiago de Compostela (Espanha).  __________ 1 PINHEIRO, Patrícia Peck. Proteção de dados pessoais: comentários à Lei n. 13.709/2018 (LGPD). São Paulo: Saraiva. p. 99. 2 Idem. p. 99. 3 LIMA, Cintia Rosa Pereira. Comentários à Lei Geral de Proteção de Dados. Coimbra: Almedina, 2020. p. 269. 4 Idem. p. 293. 5 ALVES, Fabrício da Mota. Estruturação do cargo de DPO em entes públicos. BLUM, Renato Opice, VAINZOF, Rony; MORAES, Henrique Fabretti. Data Protection Officer (Encarregado) -  Revista dos Tribunais, 2020.  Página RB-24.3. Disponível aqui. Acesso em: 03 dez. 2020.   6 FALEIROS JÚNIOR, José Luiz de Moura. Administração Pública Digital: proposições para o aperfeiçoamento do regime jurídico administrativo na sociedade da informação. Indaiatuba/SP: Foco, 2020. p. 345.
"Camaradas, disse, tenho certeza de que cada animal compreende o sacrifício que o Camarada Napoleão faz ao tomar sobre seus ombros mais esse trabalho. Não penseis, camaradas, que a liderança seja um prazer.Pelo contrário, é uma enorme e pesada responsabilidade. Ninguém mais que o Camarada Napoleão crê firmemente que todos os bichos são iguais. Feliz seria ele se pudesse deixar-vos tomar decisões por vossa própria vontade; mas, às vezes, poderíeis tomar decisões erradas, camaradas; então, onde iríamos parar?"Orwell, George. A Revolução dos Bichos1 Foi junto à evolução histórica e ao surgimento de demandas da vida em sociedade que emergiu a necessidade de se reconhecer e assegurar novos direitos fundamentais. O cenário atual, da consolidada era da informação, definida por Castells2 como sociedade em rede, convida a um importante debate acerca da imprescindibilidade de se resguardar dados pessoais, seja frente ao Estado, seja frente a outros particulares. Enquanto se entende que tal proteção de dados tem sido recepcionada inclusive pelo Supremo Tribunal Federal como um direito fundamental autônomo, há que se refletir, também, sobre o papel da responsabilidade civil como fonte de incentivos a que esse direito seja efetivamente resguardado. Não se pode deixar de sublinhar, ainda que de maneira bastante breve, que os direitos fundamentais denominados de primeira geração apontam para a ideia de liberdade negativa clássica, tendo surgido ainda ao final do século XVIII, frente ao Estado absolutista. Dizem respeito, por exemplo, ao direito à vida, à propriedade, à inviolabilidade de domicílio, à liberdade de expressão e à participação política e religiosa. A primeira geração evidencia, portanto, uma ideia de abstenção (ou não prestação) do Estado em relação ao indivíduo, dando início "à fase inaugural do constitucionalismo do Ocidente"3. Se em relação a esses direitos, de liberdade, são impostos limites à força estatal, a segunda geração, de direitos sociais (ou de igualdade), impõe, já a partir do século XX, a necessidade de que o Estado intervenha de modo a assegurar garantias individuais, especialmente em relação à educação, saúde, alimentação, trabalho, moradia, lazer, segurança etc.4 A terceira geração, consolidada após a Segunda Guerra Mundial, lançou luz sobre a importância direitos transindividuais e direcionados à globalização, ligados a valores de fraternidade e solidariedade, e voltados ao desenvolvimento, progresso, autodeterminação dos povos, meio ambiente e comunicação. O direito fundamental à proteção de dados, por sua vez, estaria inserido em uma nova geração de direitos fundamentais. Vale dizer, aliás, que a quarta e até mesmo quinta gerações ainda são objeto de discussão pela doutrina. Nas palavras do saudoso Paulo Bonavides5, ao mencionar a quarta geração, "Deles depende a concretização da sociedade aberta ao futuro, em sua dimensão de máxima universalidade, para a qual parece o mundo inclinar-se no plano de todas as relações de convivência. (...) Tão-somente com eles será legítima e possível a globalização política". A quarta geração tem origem, então, nos direitos à democracia, à informação e ao pluralismo. É justamente nesse cenário, de novos direitos, especialmente frente a uma sociedade globalizada, dinâmica e volátil, que parece repousar o direito fundamental à proteção de dados pessoais.    Importante notar que os direitos fundamentais contavam, originalmente e em essência, com eficácia vertical, eis que oponíveis pelo indivíduo em face do Estado. Preocupação e necessidade similares, entretanto, surgiram também em relação a arbítrios eventualmente cometidos por particulares, dando espaço à chamada horizontalização dos direitos fundamentais - e vinculando a esses direitos, portanto, não apenas o Estado, mas também os particulares, em suas relações privadas. Esse movimento, diga-se, surgiu ao se perceber que o poder já não era de exclusividade do Estado. Impôs-se aos poderes públicos, então, "a tarefa de preservar a sociedade civil dos perigos de deterioração que ela própria fermentava"6. O risco à proteção dos dados pessoais, a propósito, evidencia-se nessas duas direções, tendo em vista poder partir tanto do Estado, quanto de entes privados, especialmente em relação às grandes corporações que atuam na economia globalizada dos dados. Diante desse cenário, notabiliza-se a importância de compreender se o direito à proteção de dados efetivamente se configuraria como um direito fundamental autônomo. Entende-se que sim. A proteção de dados, afinal, não se restringe à privacidade e à intimidade, como incialmente se poderia pensar. Isso porque há vários outros valores vinculados, como autodeterminação, não discriminação, livre iniciativa, livre concorrência, além da proteção do consumidor. Marco importante desta discussão se revelou o julgamento de Medida Cautelar na Ação Direta de Inconstitucionalidade 6.387/DF, proposta pelo Conselho Federal da Ordem dos Advogados do Brasil - CFOAB contra a Medida Provisória 954, de 17 de abril de 2020, que dispunha sobre "o compartilhamento de dados por empresas de telecomunicações prestadoras de Serviço Telefônico Fixo Comutado e de Serviço Móvel Pessoal com a Fundação Instituto Brasileiro de Geografia e Estatística, para fins de suporte à produção estatística oficial durante a situação de emergência de saúde pública de importância internacional decorrente do coronavírus (covid19), de que trata a lei 13.979, de 6 de fevereiro de 2020". A lista de informações que se pretendia fossem disponibilizadas envolvia nomes, números de telefone e endereço dos consumidores (pessoas físicas e jurídicas). A liminar que suspendeu a MP foi concedida em razão da ausência de indicação expressa de sua finalidade e de demonstração do interesse público que se visava a alcançar, além de não explicitar como e para que fim seriam utilizados os dados coletados. Ainda conforme o entendimento da relatora, Ministra Rosa Weber, permitir a liberação, ao IBGE, de dados de pessoas naturais e jurídicas por empresas de telefonia poderia causar "danos irreparáveis à intimidade e ao sigilo da vida privada de mais de uma centena de milhão de usuários". O voto ainda faz referência ao art. 5º, inciso XII da Constituição Federal, que assegura a inviolabilidade do sigilo da correspondência e das comunicações telegráficas, de dados e das comunicações telefônicas, para referir expressamente a necessidade de tutela do direito fundamental autônomo à proteção de dados pessoais. Chama-se a atenção, portanto, para o fato de que o entendimento adotado pelo STF no referido caso IBGE aponta para a existência de um direito fundamental autônomo à proteção de dados, que se desprende pura e simplesmente do direito à privacidade. É justamente daí que passam a merecer ainda mais destaque comprometidas discussões a respeito da responsabilidade civil na condição de ferramenta a não apenas resguardar, mas a promover e difundir o direito fundamental à proteção de dados. Mostra-se imprescindível, então, refletir sobre qual seria a mais adequada interpretação do art. 42 e seguintes da Lei Geral de Proteção de Dados (LGPD), que tratam, justamente, da responsabilidade do controlador ou operador de dados pessoais. Haveria, nesse sentido, três possíveis cenários, conforme inclusive abordado pelo autor Rafael Dresc7: parte da doutrina entende estar-se a tratar de responsabilidade subjetiva, que demandaria análise da culpa dos agentes de tratamento em casos de danos aos titulares de dados pessoais8; outra parcela defende que a LGPD apontaria para a responsabilidade objetiva, ante o risco proveito ou da atividade9; e, ainda, a responsabilidade objetiva especial - que, para fins do debate aqui proposto, merece destaque.   É prudente afirmar que a forma de responsabilidade civil adotada pela LGPD, em verdade, enquadra-se em uma categoria especial de responsabilidade objetiva10, que se dará ante o cometimento de um ilícito: o não cumprimento de deveres impostos pela legislação de proteção de dados, especial o dever de segurança por parte do agente de tratamento. É o que se extrai, inclusive, da análise do dever geral de segurança do qual esse se incumbe, conforme disposição do art. 44 da LGPD, e cuja violação é que acaba por ensejar sua responsabilização civil. Em outras palavras, faz-se fundamental observar eventual cumprimento ou não dos deveres decorrentes da tutela dos dados pessoais, especialmente, do dever geral de segurança ante a legítima expectativa quanto à possível conduta do agente, o que se faz por meio de standards de conduta - critérios que, não atendidos, apontam para o não cumprimento do dever de segurança. Essencial à responsabilização civil dos agentes de tratamento, portanto, é a existência de um ilícito. Contudo, o ilícito previsto nos artigos 42 e 44 não está centrado na culpa do agente, como ocorre no artigo 187 do Código Civil, mas no ilícito objetivo, pois não se indaga sobre dolo ou culpa em sentido estrito. Não há a necessidade da análise subjetiva - interna ao sujeito - com base na sua intenção ou falta de cuidado, caracterizada pela negligência, imprudência ou imperícia. O ilícito objetivo previsto na LGPD, assim como o do artigo 188 do Código Civil, demanda apenas a análise externa das práticas do agente de tratamento, de sua conduta de forma objetiva, para verificar se tal conduta está em conformidade (compliance) ou não com o padrão de conduta que se pode exigir de um agente de tratamento com base em standards técnicos de mercado e regulatórios. Ademais, transbordando a análise deontológica, a partir de uma análise funcionalista, essa parece ser a alternativa mais adequada com vistas a atender à finalidade de resguardar o indivíduo no campo da proteção de dados. Isso porque a responsabilidade objetiva pelo risco proveito ou pelo risco da atividade, ainda que defendida por muitos respeitados estudiosos do tema, não parece criar os corretos incentivos à proteção de dados da pessoa humana, especialmente porque toma iguais o agente que busca garantir a segurança no tratamento de dados (e que, para isso, se vale das adequadas ferramentas de tecnologia e corretas políticas de privacidade, de certificações e governança) e o agente que nada faz a esse respeito. O critério de imputação pelo risco (seja risco proveito, da atividade ou integral) trata indistintamente "bons e maus" agentes - e, nesse caso, pela ausência de distinção, acaba por não incentivar comportamentos cooperativos de proteção de dados da pessoa humana e incentivar comportamentos estratégicos omissivos em relação à segurança. Ao se adotar a teoria objetiva especial centrada no ilícito objetivo, por outro lado, dispensa-se, para fins de responsabilização civil, a análise da culpa para se proceder, de maneira objetiva, a verificação quanto à ocorrência ou não de uma falta aos deveres, em especial ao dever geral de segurança com base em padrões técnicos. Tal distinção acaba por se mostrar uma importante ferramenta a estimular os agentes de tratamento a investirem na proteção de dados pessoais. No fim do dia, é preciso refletir sobre o que se está a buscar: uma distopia coletivista, que trata a todos agentes de tratamento de forma indistinta, ou o fortalecimento dos indivíduos através do incentivo às boas práticas de segurança e proteção de dados? *Rafael Dresch é mestre pela UFRGS em Direito Privado. Doutor em Direito na PUC/RS, com estágio doutoral na University of Edinburgh/UK, Pós-doutor na University of Illinois/US e professor da UFRGS. Sócio-fundador do Coulon, Dresch e Masina Advogados. **Lílian Brandt Stein é mestranda em Direito na UFRGS e cursa especialização em Direito dos Contratos e Responsabilidade Civil na Unisinos. Bacharel em Direito e em Jornalismo pela Unisinos. Advogada no Neubarth Trindade Advogados. __________ 1 ORWELL, George. A Revolução dos Bichos / George Orwell - Cornélio Procópio, PR: UENP, 2015, 86p. p. 36. 2 CASTELLS, Manuel. A sociedade em rede. 6. ed. São Paulo: Paz e Terra, 2012. 3 BONAVIDES, Paulo. Curso de Direito Constitucional. 15. ed. São Paulo: Malheiros, 2004. p. 563. 4 BOBBIO, Norberto. A era dos direitos. Trad. de Carlos Nelson Coutinho. Rio de Janeiro: Elsevier, 2004. p. 09. 5 BONAVIDES, Paulo. Curso de Direito Constitucional. 15. ed. São Paulo: Malheiros, 2004. p. 571-572. 6 BRANCO, Paulo Gustavo Gonet; COELHO, Inocêncio Mártires; MENDES, Gilmar Ferreira. Curso de direito constitucional. 3. ed. São Paulo: Saraiva, 2008. 7 Vide: DRESCH, Rafael de Freitas Valle. A especial responsabilidade civil na Lei Geral de Proteção de Dados. Migalhas, Ribeirão Preto, 02 jul. 2020. Disponível aqui. Acesso em: 16 nov. 2020. 8 BODIN DE MORAES, Maria Celina. QUEIROZ, João Quinelato de. Autodeterminação informativa e responsabilização proativa: novos instrumentos de tutela da pessoa humana na LGPD. In: Cadernos Adenauer - Proteção de dados pessoais: privacidade versus avanço tecnológico. Rio de Janeiro: Fundação Konrad Adenauer, 2019, ano XX, n. 3, p. 113-135 e; CRUZ, Gisela Sampaio da; MEIRELES, Rose Melo Venceslau. Término do tratamento de dados. In: Lei Geral de Proteção de Dados e suas repercussões no Direito Brasileiro. FRAZÃO, Ana; TEPEDINO, Gustavo; OLIVA, Milena Donato (coord.). São Paulo: Thomson Reuters Brasil, 2019, p. 219-241. 9 DONEDA, Danilo; MENDES, Laura Schertel. Reflexões iniciais sobre a nova Lei Geral de Proteção de Dados. Revista de Direito do Consumidor, v. 120, nov.-dez., 2018, p. 469-483. 10 Vide análise mais detalhada por Rafael Dresch e José Faleiros em: DRESCH, Rafael de Freitas Valle; FALEIROS JUNIOR, José Luiz de Moura. Reflexões sobre a responsabilidade civil na Lei Geral de Proteção de Dados (lei 13.709/2018. In: ROSENVALD, Nelson; WESENDONCK, Tula; DRESCH, Rafael. (Org.). Responsabilidade civil: novos riscos. Indaiatuba: Editora Foco Jurídico Ltda., 2019. p. 65-90.
sexta-feira, 20 de novembro de 2020

LGPD, qual é a cor do meu sapato?

Evandro Eduardo Seron Ruiz, brasileiro, casado, professor, portador da cédula de identidade número 98.765.432, SSP-SP, inscrito no CPF sob número 123.456.789-10, residente e domiciliado descendo a Rua da Ladeira, 22, Ribeirão Preto, SP.  Acima vemos uma clássica qualificação individual que poderia constar de muitos documentos oficiais não fosse por alguns desvios de veracidade. Nesta qualificação, saltam aos olhos dois números importantes, o da cédula de identidade e o da inscrição no CPF. Esses números são também conhecidos como identificadores diretos de um indivíduo. Na linguagem das tecnologias de informação e comunicação, TIC, esses dois números são capazes de identificar univocamente um cidadão no território nacional. A bem da verdade, sabemos que o famoso número do RG não é um número nacional, mas mesmo assim, conhecendo o emissor deste identificador, essa identificação individual é possível. Até aqui, são poucas as novidades já que, se refletirmos um pouco mais, nós também, como cidadãos da webesfera, criamos endereços de emails, e nomes de perfis nas redes sociais que, neste universo de informação e conhecimento, também podem ser tratados como identificadores diretos. No entanto, do outro lado da vida real de consumidores, o poder destes identificadores diretos é ampliado quando muitos repositórios de dados usam os mesmos identificadores. Tomemos como base o CPF. Hoje o CPF é tudo o que a LGPD não gostaria de ter como BFF (best friend forever). O CPF, dado o enorme poder da Receita Federal de controlar da unicidade do seu cadastro, é certamente o mais confiável identificador direto que temos no Brasil. Além de ser usado como comprovação de identidade, o CPF está sendo utilizado com chave de acesso a benefícios sociais e cadastros dos mais variados, da conta da farmácia, aos serviços privados de medicina, do boleto da tv por assinatura à matrícula escolar. E qual seria o prejuízo ao consumidor desta 'viralidade' do CPF? O grande prejuízo ao consumidor, ao cidadão, é o que chamamos de ligação de registros [DE LIMA, 2020]. O fato de termos um único identificador como fator de ligação entre todos esses vários bancos de dados permite a fusão destes dados e a geração de novas informações e novos conhecimentos. Essa fusão de dados permite, por exemplo, identificarmos não só que uma mesma pessoa que compra um medicamento X na farmácia local é a mesma pessoa que está matriculada na escola Y do bairro, mas também que essa mesma pessoa pode estar vinculada a uma seguradora ou plano privado de saúde. Reparem no perigo desta circulação de dados indexados por um identificador único como o CPF. Nesta situação particular do vínculo entre farmácias e provedores de saúde, reparo que esse assunto já foi tema de investigação do MP do Distrito Federal em 2018 sobre eventuais repasses de dados de clientes de farmácias para planos de saúde [VEJA, 2018]. O CPF nunca teve essa finalidade, sempre foi apenas um identificador fiscal e deveria ficar restrito a este âmbito. No entanto, hoje ele é estranhamente vinculado até às certidões de nascimento, desde o ano de 2015, sob o pretexto de "agilizar a emissão para quem pretende, por exemplo, abrir um plano de previdência para o filho que acabou de nascer, em casos de doação de imóvel e inscrições em programas sociais ou ainda no acesso a remédios que são distribuídos de graça na área de saúde" [EBC, 2015]. Sob o mantra de incentivar a praticidade a despeito dos direitos à privacidade, seja bem-vindos os novos cidadãos a esse locus horrendus da privação de escolha e da liberdade a partir do momento em que seus pais compram, pela primeira vez, um singelo antibiótico. Há anos deveria estar claro, como elucida a LGPD, que o direito à privacidade compreende o direito à reserva de informações pessoais. Isso é claro como o sol entre os norte-americanos que reservam o uso do seu Social Security Number a situações muito específicas. Menos sutil é a sugestão de uso do CPF para a realização deste novo modelo nacional de pagamento instantâneo, o Pix. Além dos objetivos de estimular a competitividade e a eficiência dos sistemas de pagamento, o Pix surgiu como uma forma de promover a inclusão financeira. Os pagamentos via Pix são formas facilitadas de pagamento pois os correntistas bancários podem depositar em contas de outros correntistas usando apenas uma chave ao invés de usarem o nome, o tipo de conta, o banco, a agência e o número da conta do beneficiário, não esquecendo de citar o CPF ou o CNPJ deste. Agora, os pagamentos via Pix, podem ser realizados usando apenas uma chave. Esta chave pode ser uma chave aleatória criada pelo banco, um e-mail, um número de celular ou um dos dois cúmplices, o CPF, ou seu assemelhado, o CNPJ. Vejamos, a título de exemplo, como seria a praticidade da inclusão financeira de um ambulante. Agora este ambulante também pode aceitar pagamentos eletrônicos dispensando essas máquinas que operam com cartões bancários. Ele pode alcançar esse benefício dando publicidade ao seu email, ou ao número do seu telefone celular, ou a uma chave estranha para humanos lerem, ou também ao seu já calejado CPF. Estreia assim mais um capítulo da série "Adeus à sua privacidade". Oras BCB, ainda temos que comentar que aparte essa forçada paridade da segurança do CPF, garantido pela Receita Federal, a identificadores como emails gerados por agentes de qualquer provedor de endereço eletrônico, acompanha-se a sofrível confiabilidade do sistema de pagamentos quando o vê sugerindo chaves criadas por agentes externos ao sistema financeiro. Perde o Pix a grande oportunidade de gerar ou co-gerar essas chaves com seus usuários. Ganham os oportunistas que roubam identidades, os que promovem a ligação de registros, enfim, àqueles que não se importam com seu "direito de ser deixado em paz", numa tradução adaptada da expressão inglesa "the right to be let alone" que se tornou marca do artigo Warren e Brandeis, 1890, "um dos ensaios mais influentes na história do direito dos Estados Unidos da América" (GALLAGHER). Situações como essa apontada acima revelam a potencialidade da utilização dos identificadores diretos como promotores da agregação de um sem número de bases de dados que usam um mesmo tipo de atributo (o CPF, por exemplo) para identificar seus clientes. Se assim feito, o armazenamento deste tipo de dado e também o seu intercâmbio com outros agentes, deve ser sempre um motivo de alerta e preocupação tanto para o controlador, como para operador de dados. Cabe também a todos, nos seus papeis de cidadãos que zelam pelo bem comum, a tarefa de alertar os titulares dos dados sobre a real necessidade ou não de algumas instituições armazenarem identificadores deste tipo, ou pior, usarem estes identificadores para promoções de marketing e descontos em produtos. A banalidade no tratamento desse tipo de dado pessoal não só deveria nos impressionar pela investida inescrupulosa sobre nossos dados pessoais como também pela abrangência de instituições e serviços que usam deste expediente. Nessas situações, a moeda de troca invariavelmente é o desconto ou alguma vantagem promocional que resulta em favorecimento pecuniário ao usuário. A de se reparar, no entanto, que a clara moeda de troca, ou seja, o que o consumidor assente, é a violação do seu direito à privacidade e à sua liberdade. A troca implica na aquiescência, na permissão para esses agentes estabelecerem 'perfis de consumidor', na anuência tácita para a segmentação do extrato social ao bel-prazer dos interesses destas instituições a despeito de nossos direitos fundamentais. E o sapato? Bem, vamos agora mergulhar mais profundamente nestes conceitos de identificadores e analisá-los sob a luz da LGPD. Apertem os cintos! Não é novidade para os leitores dessa coluna que a navegação na web deixa vestígios. Esses vestígios não se resumem apenas ao histórico de navegação armazenado no nosso navegado de web, mas podem incluir a sua localização geográfica, seu IP, o tipo de dispositivo que você usa, o software que esse dispositivo usa, os anúncios que o usuário clica, o tempo de permanência em cada página, entre outros vários e vários indicadores que, na linguagem da Computação, chamamos de atributos. Esses atributos da navegação são marcas deixadas pelo usuário ao surfar na web. Alguns destes atributos também são conhecidos como metadados e eles expandem esse universo de informação que existe abaixo dos textos e imagens que vimos na tela. Esses metadados são dados que conceitualizam outros dados, ou seja, são dados que explicam outros dados. Por exemplo, uma mensagem de Twitter carrega mais de 100 metadados, dados que colocam a mensagem trocada num contexto. São alguns metadados de um tweet: data, hora, nome do usuário, localização, imagem de fundo da tela, hashtags usadas, links para outras páginas, entre vários outros. É obvio que esses dados não existiriam sem a ação do usuário, seja ele humano ou não. É este usuário que interage com a web e as suas "pegadas" são próprias daquela navegação. Em 2006 a Netflix lançou um grande desafio na intenção de melhorar o desempenho dos seus algoritmos de sugestão de filmes aos seus clientes. Para tanto, disponibilizaram dados anonimizados de 100 milhões de avaliações, de 480 mil clientes escolhidos aleatoriamente e que avaliaram mais de 17 mil títulos da, então, locadora de DVD. No mesmo ano, dois pesquisadores da Universidade do Texas, Arvind Narayanan e Vitaly Shmatikov [NARAYANAN; SHMATIKOV, 2006] mostraram que pouca informação é necessária para reidentificar um cliente destes registros proporcionados pela Netflix. Reforço que os dados anonimizados correspondiam a apenas 1/8 da base original da empresa. Com apenas 8 avaliações (2 das quais podem estar completamente erradas) e suas datas (com erro de até 14 dias) é possível reidentificar 99% dos clientes. É... lamento lembrar, mas o tinhoso mora nos detalhes. O Dr. Murilo Rosa é leitor assíduo da nossa coluna e não tardou em nos alertar sobre essa empresa que agrupa dados de navegação para formar um perfil de usuário e promover a venda de produtos da empresa. Ou seja, eles escolhem a cor do seu tênis para a próxima estação. Clever! Dangerous! Tirem suas conclusões [CROCT]. A minha todos sabem: Être entre le marteau et l'enclume. ____________  DE LIMA, Cíntia Rosa Pereira (Coord.). Comentários à Lei Geral de Proteção de Dados: Lei 13.709/18, com alteração da lei 13.853/19. Almedina, 2020. Cap.4, p. 101-121. VEJA. MP investiga se farmácias repassam dados de clientes a planos de saúde. Disponível em: clique aqui. Acesso em: em 14 nov. 2020. EBC Agência Brasil. CPF passa a ser emitido junto com a certidão de nascimento. Disponível em: clique aqui. Acesso em: em 14 nov. 2020. Pix Banco Central do Brasil. Disponível em: clique aqui. Acesso em: em 14 nov. 2020. WARREN, Samuel D.; BRANDEIS, Louis D. The right to privacy. Harvard Law Review, p. 193-220, 1890. GALLAGHER, Susan E. Introduction the "The Right to Privacy" by Louis D. Brandeis and Samuel Warren: A Digital Critical Edition. A ser publicado. NARAYANAN, Arvind; SHMATIKOV, Vitaly. How to break anonymity of the netflix prize dataset. arXiv preprint cs/0610105, 2006. Disponível em: clique aqui. Croct. Brazil Journal. Disponível em: clique aqui. Acesso em: em 14 nov. 2020.
Introdução Poucos dias após ter sido divulgada a notícia de que hackers invadiram as bases de dados do Superior Tribunal de Justiça e de outros órgãos públicos, incluindo Ministérios1, colocando em risco concreto dados de milhões de jurisdicionados, parece mais que oportuno à presente coluna dedicar atenção ao tema da responsabilidade civil no tratamento de dados pessoais pela Administração Pública. A matéria é complexa, por dizer respeito ao chamado "sistema legal de proteção de dados"2, que abrange a Lei de Acesso à Informação (Lei 12.527/11 - "LAI") e a Lei Geral de Proteção de Dados Pessoais (Lei 13.709/18 - "LGPD"), dentre outros diplomas legais correlatos. A tarefa do intérprete torna-se, além de árdua, delicada, diante da constatação, para alguns perturbadora, da colossal magnitude do poder que os agentes de tratamento de dados exercem sobre os mais variados aspectos das vidas de muitos - em se tratando de órgão do Estado, quiçá de todos. A potência dos recursos tecnológicos atualmente disponíveis, com seus algoritmos e inteligência artificial3, tem o efeito de difundir uma perene sensação de exposição e fragilidade. Basta alguém comentar com um amigo que está com vontade de comer um bolo de chocolate, que logo surgirão notificações publicitárias em seu celular indicando uma doçaria há poucos quarteirões de sua casa. Imagine-se o que o Estado não consegue fazer com todos os dados pessoais que controla! Nesse incômodo estado de coisas, é natural esperar-se que o poder do tratamento de dados (com a natural correspectiva vulnerabilidade do titular de dados) seja balanceado por mecanismos de controle e, sobretudo, responsabilidade. A vida de todos está sendo registrada diariamente em indiscretos livros abertos. O "consentimento" que legitimaria o tratamento de dados pessoais é, no mais das vezes - certamente no caso das relações com o Estado - uma vazia formalidade. Não existe alternativa, é claro; pois permanecer alheio à economia digital, ou ao próprio contrato social, não é escolha viável. Resta, assim, esperar do Direito - tal qual elucidado pela Doutrina e pela jurisprudência - que cumpra a sua tarefa de impor efetiva responsabilidade a quem, exercendo o assustador poder do tratamento de dados pessoais, cause danos aos titulares indefesos. A responsabilidade civil do Estado no tratamento de dados pessoais pode ser examinada por diversos ângulos de ataque. Nas linhas seguintes, apresentaremos um panorama da matéria tendo por mote a interação entre a LAI e a LGPD. A Responsabilidade Civil na LAI A LAI trata da responsabilidade pelos danos causados pelo Estado ao titular de informações pessoais no art. 31, § 2º, cuja redação é a seguinte: "[a]quele que obtiver acesso às informações de que trata este artigo [as informações pessoais] será responsabilizado por seu uso indevido". Complementando este enunciado normativo, o art. 34 da LAI estabelece: "Art. 34. Os órgãos e entidades públicas respondem diretamente pelos danos causados em decorrência da divulgação não autorizada ou utilização indevida de informações sigilosas ou informações pessoais (...)". O sentido da norma é satisfatoriamente elucidado pelo "estado da arte" da Doutrina e da jurisprudência acerca da responsabilidade civil do Estado. A evolução científica neste campo conduziu a` paulatina mitigac¸a~o dos requisitos exigidos para a responsabilização do Estado. A teoria tida como dominante no estágio civilizatório em que nos encontramos, a teoria do risco administrativo, sustenta que, revertendo os benefi'cios da atividade pu'blica a todos os administrados, impo~e-se da mesma forma reverter os seus riscos, devendo eles ser suportados por toda a coletividade. Desse modo, independentemente da culpa do agente pu'blico ou mesmo do servic¸o, deve o Estado responder pelos danos que causar ao particular, o qual na~o arcara' sozinho com esse o^nus, que sera' repartido por toda a sociedade4. Nestes moldes, confere-se sentido e extensão ao art. 37, § 6º, da Constituição. A responsabilidade estatal objetiva é atestada inclusive em casos de conduta omissiva, quando esta é específica, isto é, quando o Estado se encontra na condição de garante (ou guardião) de um bem jurídico do jurisdicionado5. Ainda que se dispense a análise da culpa da Administrac¸a~o para a sua responsabilização, impõe-se, a este fim, a demonstração do nexo de causalidade entre a conduta estatal e o dano causado ao particular (resultado do não acolhimento de outra teoria, a do risco integral, que ignoraria até mesmo o liame causal no exame da responsabilidade civil do Estado). E' dizer: na~o se imputa ao Poder Pu'blico a reparac¸a~o de danos que na~o decorram das suas atividades, mas de fatos exclusivamente atribui'veis a terceiros, a` pro'pria vi'tima, ou mesmo derivados de caso fortuito ou forc¸a maior. Com isto, constata-se que a responsabilidade civil do ente Estatal, conforme prevista no art. 31, §4º, e no art. 34 da LAI, é objetiva, logo, independente, da culpa do agente público; e somente se elide pela demonstração do rompimento do nexo causal, em razão de fato exclusivo da vítima ou de terceiro, ou de caso fortuito ou força maior. Frise-se que, ainda que estes dispositivos façam alusão, em sua textualidade, exclusivamente aos danos decorrentes da divulgação ou utilização indevidas das informações pessoais, a responsabilidade objetiva aplica-se, nestas mesmas bases conceituais, aos danos decorrentes de qualquer tratamento de dados pessoais, ante a inexistência de qualquer fundamento, nesta seara, para o enquadramento da responsabilidade estatal na categoria da responsabilidade subjetiva. De mais a mais, sublinhe-se que a LAI se mostra compatível com o CDC, o que será particularmente importante para os casos de tratamento de informações pessoais vinculados à prestação de serviços públicos uti singuli. Como se sabe, o art. 22 do CDC submete os órgãos públicos à disciplina ali estabelecida, relativamente aos serviços públicos prestados em contextos que se caracterizem como relação de consumo. Esta possibilidade de aplicação conjunta da LAI com o CDC atrairia as regras de responsabilidade civil previstas na legislação consumerista para o âmbito do tratamento de informações pessoais realizadas por órgãos públicos. A Responsabilidade Civil na LGPD O art. 42 da LGPD estabelece que "[o] controlador ou o operador que, em razão do exercício de atividade de tratamento de dados pessoais, causar a outrem dano patrimonial, moral, individual ou coletivo, em violação à legislação de proteção de dados pessoais, é obrigado a repará-lo". Chama atenção, em linha de partida, o fato de o dispositivo não fazer referência à culpa do agente de tratamento de dados6, o que levaria à crer que ali teria o legislador preconizado a responsabilidade objetiva pelos danos sofridos pelos titulares, em linha com a cláusula geral de responsabilidade objetiva prevista no § único do art. 927 e no art. 931 do CC7. A questão ganha contornos duvidosos, porém, quando se leva em conta as menções, presentes no art. 42, à "violação à legislação de proteção de dados pessoais"; e o disposto no art. 43 da LGPD, que estabelece, como causa de exclusão de reponsabilidade do agente de tratamento de dados, a prova de que "não houve violação à legislação de proteção de dados". A redação conjugada desses artigos é sintaticamente criticável, pois o mesmo elemento (violação à legislação de dados) aparece na delimitação positiva do antecedente normativo (art. 42) e na sua delimitação negativa (art. 43). Se a violação à legislação de dados fosse condicionante da responsabilidade (art. 42), a sua ausência evidentemente implicaria a irresponsabilidade, figurando como redundante e inócua a referência a ela no art. 43. Apesar da imprecisão redacional, o art. 43, ao tratar da ilicitude da conduta, parece desempenhar um papel - que exclui sua inutilidade -, qual seja, a de impor ao agente de tratamento de dados o ônus da prova da ausência da violação à legislação de dados. Daí decorrem importantes constatações. A primeira é a de que o legislador incorporou na LGPD um sistema de responsabilidade subjetiva8, baseado na culpa presumida9 do agente de tratamento de dados, que pode ser afastada pela prova do cumprimento da lei. Cuida-se, nessa instância, da designada culpa contra a legalidade, que consiste na consideração de que a infração de dever legal induz à presunção de culpa, sendo desnecessária a demonstração de qualquer imprevisão ou imprudência10. A segunda é a de que a violação à legislação de dados é, como ilícito e índice da culpa, elemento do suporte fático da responsabilidade. No entanto - esta é a terceira - a violação à lei é também presumida, bastando ao titular de dados, para formular uma pretensão ressarcitória, atribuir a um agente a realização do tratamento de dados, demonstrar o sofrimento do dano (sem prejuízo de, em certos casos, considerar-se caracterizado o dano in re ipsa), e demonstrar o nexo de causalidade entre ambos11. Fica, a essa altura do discurso, ainda "em suspensão" a elucidação do alcance da "ausência de violação legal" enquanto excludente de responsabilidade. Sobre isso, vale assinalar que o §3º do art. 12 e o § 3º do art. 14 do CDC, em que o art. 43 claramente foi inspirado, não indicam a conformidade legal do comportamento do agente como excludente de responsabilidade pelo fato do produto ou do serviço (matéria a que se dedicam esses dispositivos). Esses dispositivos estabelecem a responsabilidade por produtos ou serviços defeituosos, entendidos os que não atendem à legitima expectativa de segurança nutrida pelo consumidor. A ausência, neles, de menção ao cumprimento da lei como excludente de responsabilidade, deve-se, em primeiro lugar, ao paradigma teórico que se encontra ali acolhido (teoria objetiva fundada no risco da atividade), o qual se deixa identificar pela explícita irrelevância atribuída à culpa para fins da responsabilidade (cf. caput dos arts. 12 e 14 do CDC). Além disso, não faria sentido que essas normas aludissem à legalidade da conduta, como excludente de responsabilidade, quando a presença do defeito seria, por si, uma ilicitude (violação do dever geral de segurança12). Por fim, o cumprimento ou descumprimento da lei (texto expresso) é tido, no plano da responsabilidade por produtos ou serviços defeituosos, como elemento estranho à aferição da responsabilidade, que decorre unicamente do nexo de causalidade entre o dano e o defeito do produto ou do serviço. A redação da LGPD causa incerteza, todavia, ao contemplar, no art. 4413 (ou seja, depois da enumeração das excludentes de responsabilidade), a descrição do tratamento de dados "irregular": o tratamento de dados realizado com descumprimento da legislação de dados, ou que não ofereça a segurança que o titular dele pode esperar. Nesse dispositivo, a LGPD novamente se inspira no CDC (§1º do art. 12 e do §1º 14 do CDC). Ele, todavia, vem depois da regra geral (art. 42) e da exceção geral (art. 43). A ordem dos fatores pode, nesse caso, alterar o produto. É plausível sustentar que o art. 44 teria como finalidade preceituar a responsabilidade pelo "fato do tratamento de dados"; mas não teria, como faz o CDC nos arts. 12 e 14, estabelecido a responsabilidade imediata pelo descumprimento do "dever geral de segurança14. Dir-se-ia, nessa esteira, que o agente de tratamento de dados poderia, em qualquer caso, demonstrar que cumpriu os procedimentos de governança, controle, boas práticas etc. exigidos expressamente pela legislação de dados; e que, por conta disso, ainda que se constatasse a deficiência de segurança, não haveria responsabilidade a lhe ser imputada. Nesse caso, a ilicitude, enquanto índice da culpa, seria excluída. O caput do art. 44, ao apontar a violação à legislação de dados, e a frustração da expectativa de segurança do titular de dados, como causas alternativas de "irregularidade", não teria tratado esta última como causa de responsabilização par excellence, mas unicamente como circunstância capaz de caracterizar o "fato do tratamento de dados". Entrever-se-ia, então, a irregularidade pela qual o agente de tratamento de dados responde (com culpa presumida), e aquela pela qual ele não responde (afastada a culpa presumida). Por outras palavras, a LGPD teria traçado uma distinção entre "a segurança que o titular dele [do tratamento de dados] pode esperar" e a "segurança pela qual o agente de tratamento responde"15. Esse debate tende a ser superado em situações que, segundo a própria LGPD, continuam sujeitas ao CDC (art. 45), ou ainda em situações envolvendo o descumprimento deliberado ou evidente da legislação de dados. Todavia, nos casos mais complexos envolvendo invasões de bancos de dados por pessoas mal intencionadas, em relações não submetidas ao estatuto consumerista, deparar-se-ia com a dúvida sobre se, uma vez tendo cumprido tudo o que a legislação exigia (expressamente), o agente de tratamento de dados poderia ser responsabilizado - ainda que o dano decorresse de um risco anormal ao tratamento de dados. A solução afirmativa seria, sem dúvidas, mas simpática. Não nos parece, contudo, que seja a mais bem embasada. O legislador demonstrou, na LGPD, uma destacada preocupação em apontar o descumprimento da lei como pressuposto da responsabilidade do agente de tratamento de dados, e o seu cumprimento como excludente de responsabilidade. Demais disso, a suposição de que a LGPD teria contemplado um dever geral de segurança cuja violação seria suficiente para a responsabilização, como no CDC  não se compatibiliza com o texto do art. 44, que alude à infração legal como uma coisa, e à deficiência de segurança como outra ("[o] tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar (...)"). Se toda deficiência de segurança correspondesse ontologicamente ao descumprimento da legislação de dados, a estrutura proposicional do caput desse dispositivo revelar-se-ia sem sentido. Daí a conclusão de que há irregularidades pela qual se responde, e outras que - pelo afastamento da culpa presumida - não induzem o dever de reparação de danos. Tais considerações, frise-se, não dão conta de toda a complexidade do tema. Questões outras relativas à densidade da comprovação do dano, à extensão da indenização, à caracterização de fortuitos internos no tratamento de dados, dentre outras, devem ainda ser enfrentadas - se bem que escapam ao espaço desta coluna. LAI x LGPD16 Por tudo que foi dito, pode-se concluir que a disciplina responsabilidade civil da LAI e da LGPD, no que possuem escopos coincidentes (tratamento de dados pessoais por entes públicos), não é idêntica. A questão que fica é a de definir qual marco normativo haveria de prevalecer. Levando-se em conta o fundamento constitucional da responsabilidade civil do Estado, parece que a disciplina da LAI é mais adequada. A bem se ver, a LGPD, no que se descola da teoria do risco administrativo, haveria de ser reputada inconstitucional. Com isso, mais especificamente, quer-se sustentar que o Estado não deve eximir-se de responsabilidade pela simples comprovação do cumprimento da legislação de dados (texto expresso). Do ponto de vista axiológico, a assertiva mostra-se sobremaneira consistente, dado que aquela relação de poder (e contraposta vulnerabilidade) que se verifica nas relações entre o Estado e os particulares, encontra nesse contexto sua máxima intensidade. Certamente estas linhas não têm a pretensão de encerrar a discussão. Muito pelo contrário, o que aqui se busca é tomar parte dela. Os influxos da Doutrina e da jurisprudência que já foram ofertados, e que ainda o serão, permitirão o amadurecimento dos entendimentos sobre o tema. _____________ 1 Clique aqui 2 Cf. BELIZZE OLIVEIRA, Marco Aurélio; LOPES, Isabela Maria Pereira. "Os princípios norteadores da proteção de dados pessoais no Brasil e sua otimização pela Lei nº 13.709/2018". In: Tepedino, Gustavo; Frazão, Ana; Oliva, Milena Donato. "Lei Geral de Proteção de Dados Pessoais". 2ª ed. São Paulo: RT, 2020, p.53-82. 3 ROSENVALD, Nelson; MONTEIRO FILHO, Carlos Edison do Rêgo. Danos causados a dados pessoais: novos contornos. In Migalhas de Proteção de Dados, São Paulo, 28 de agosto de 2020. Disponível em: clique aqui. Acesso em 09 de novembro de 2020. 4 DI PIETRO, Maria Sylvia Zanella. "Direito Administrativo". 25ª ed. Sa~o Paulo: Atlas, 2012, p. 701; Supremo Tribunal Federal, Recurso Extraordinário 841526, Rel. Min. Luiz Fux, j. 30/03/2016. 5 CAVALIERI FILHO, Sérgio. "Programa de Responsabilidade Civil". 14ª ed. SP: Atlas, 2020, p. 283 ss. 6 LIMA, Cíntia Rosa Pereira de. Os agentes de tratamento de dados pessoais na LGPD. In Instituto de Estudos Avançados: Artigos, Ribeirão Preto, 03 de novembro de 2019. Disponível em: clique aqui. Acesso em: 09 de novrmbro de 2020. 7 A doutrina e a jurisprudência sedimentaram o entendimento de que estes dispositivos orientam-se pela teoria do risco (em lugar da teoria da culpa), mais especificamente à variação da teoria do risco criado. Cuida-se de um avanço em direção à proteção das vítimas de danos, considerado o contexto de intensificação das atividades de risco verificada no curso das revoluções industriais e do amadurecimento do capitalismo tecnológico; e à maximização da probabilidade do ideal da reparação integral. 8 No mesmo sentido: GUEDES, Gisela Sampaio da Cruz; MEIRELES, Rose Melo Vencelau, "Término do tratamento de dados", In: Tepedino, Gustavo; Frazão, Ana; Oliva, Milena Donato. "Lei Geral de Proteção de Dados Pessoais". 2ª ed. São Paulo: RT, 2020, p.217-236. Contra: MENDES, Laura Schertel; DONEDA, D. "Comentário à nova Lei de Proteção de Dados (Lei 13.709/2018), o novo paradigma da proteção de dados no Brasil".In: Revista de Direito do Consumidor, v. 120, p. 555, 2018. Por uma terceira via (responsabilidade "pró-ativa"), cuja distinção para com a responsabilidade subjetiva não é demonstrada com clareza, porém, vide: MORAES, Maria Celina Bodin de; QUEIROZ, João Quinelato de. "Autodeterminação informativa e responsabilização proativa: novos instrumentos de tutela da pessoa humana na LGDP". IN: Cadernos Adenauer, volume 3, Ano XX, 2019. 9 Cf. MENEZES CORDEIRO, A. Barreto. "Repercussões do RGPD sobre a responsabilidade civil". In: Tepedino, Gustavo; Frazão, Ana; Oliva, Milena Donato. "Lei Geral de Proteção de Dados Pessoais". 2ª ed. São Paulo: RT, 2020, p.771-790. 10 CAVALIERI FILHO, Sérgio. "Programa de Responsabilidade Civil". 14ª ed. SP: Atlas, 2020, p.51-54. 11 A inversão do ônus da prova a que se refere o art. 42, §2º, diz respeito a esses elementos, não ao descumprimento da lei, que se presume presente diante da prova do tratamento de dados, do dano e do nexo de causalidade. 12 MIRAGEM, Bruno. "Curso de Direito do Consumidor". 7ª ed. São Paulo: RT, 2018, p.602 ss. 13 "Art. 44. O tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais: I - o modo pelo qual é realizado; II - o resultado e os riscos que razoavelmente dele se esperam; III - as técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado. Parágrafo único. Responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta Lei, der causa ao dano". 14 O art. 44 se inspira em dispositivos do CDC que seguem a teoria do risco da atividade, mas submete-se a um regime, instaurado pelos arts. 42 e 43, de responsabilidade subjetiva. A escolha legislativa é problemática, pois inclui um suporte fático próprio da responsabilidade objetiva numa moldura diretiva orientada pela responsabilidade subjetiva. No final das contas, diante da redação dos arts. 42 e 43, o art. 44 vocaciona-se a cumprir duas funções: a impositiva de um dever (que, sob certa perspectiva, é um dever "de meio"), de atender as expectativas de segurança nutridas pelos titulares de dados, ou seja, cuidar dos investimentos de confiança por estes depositados no tratamento de dados; e a de servir de parâmetro para a avaliação das instâncias de fortuito interno (para afastamento do nexo de causalidade por caso fortuito ou força maior nas hipóteses de deficiência de segurança). 15 Note-se que o art. 43 da LGPD não traz a comprovação da ausência da deficiência de segurança (que seria o paralelo da comprovação da ausência do defeito, nos termos do §3º do art. 12 e do §3º do art. 14 do CDC), como excludente de responsabilidade. A rigor, o art. 44, ao prever a responsabilidade pelo "fato do tratamento de dados", cumpre o desiderato de expandir o campo da materialidade da responsabilidade, para contemplar as relações causais entre a deficiência de segurança e o dano (indo além, pois, da responsabilidade pelo "vício do tratamento de dados"). Dessa implicação causal decorre a presunção de ilicitude, como índice da culpa. Se o agente de tratamento de dados comprova que o tratamento oferecia a segurança esperada, mas não demonstra que cumpria a lei, permanece a responsabilidade. 16 ANDRADE Jr., Luiz Carlos. Lei de Acesso à Informação e a Lei Geral de Proteção de Dados Pessoais. In Instituto Avançado de Proteção de Dados: Eventos. Ribeirão Preto, 27 de outubro de 2020. Disponível em: clique aqui. Acesso em 09 de novembro de 2020.
sexta-feira, 6 de novembro de 2020

A polissemia da responsabilidade civil na LGPD

You cannot escape the responsibility of tomorrow by evading it today.Abraham Lincoln Muito se discute sobre responsabilidade civil na LGPD. A responsabilidade civil insculpida na lei 13.709/18 seria objetiva ou subjetiva? Caso considerada objetiva, o nexo de imputação remeteria ao risco da atividade (em razão do exercício - art. 42) ou ao defeito do produto/serviço (tratamento irregular- art. 44)? Em sendo a responsabilidade apreciada como subjetiva, assume-se a culpa como fator atributivo, ou nos serviremos de um conceito objetivo de ilícito? Em sendo assim, a eliminação da culpa excluiria a responsabilidade subjetiva (como em França) ou só se alcança a real obrigação objetiva de indenizar quando afastamos a ilicitude, tal como na legislação da Alemanha ou Portugal? Esse debate é importante - bem como as diversas soluções até então construídas -, mas não esgota as múltiplas variáveis e dimensões do termo "responsabilidade" e as suas possíveis aplicações na LGPD. Em verdade, a controvérsia sobre o exato fator de atribuição da responsabilidade civil concerne tão somente à qualificação da obrigação de indenizar, para que se proceda à reparação integral de danos patrimoniais e extrapatrimoniais a serem transferidos da esfera da vítima para o patrimônio dos causadores de danos. No common law há um termo que se ajusta perfeitamente ao clássico sentido civilistico da responsabilidade. Trata-se da "liability". Várias teorias desenvolvem a liability no contexto da responsabilidade civil. Em comum, remetem à uma indenização cujo núcleo consiste em um nexo causal entre uma conduta e um dano, acrescida por outros elementos conforme o nexo de imputação concreto, tendo em consideração as peculiaridades de cada jurisdição. Porém, este é apenas um dos sentidos da responsabilidade. Ao lado dela, colocam-se três outros vocábulos: "responsibility", "accountability" e "answerability". Os três podem ser traduzidos em nossa língua de maneira direta com o significado de responsabilidade, mas na verdade diferem do sentido monopolístico que as jurisdições da civil law conferem a liability, como palco iluminado da responsabilidade civil (artigos 927 a 954 do Código Civil). Em comum, os três vocábulos transcendem a função judicial de desfazimento de prejuízos, conferindo novas camadas à responsabilidade, capazes de responder à complexidade e velocidade dos arranjos sociais. Cremos ser importante enfatizar o sentido de cada um dos termos utilizados na língua inglesa para ampliarmos o sentido de responsabilidade. Palavras muitas vezes servem como redomas de compreensão do sentido, sendo que a polissemia da responsabilidade nos auxilia a escapar do monopólio da função compensatória da responsabilidade civil (liability), como se ela se resumisse ao pagamento de uma quantia em dinheiro apta a repor o ofendido na situação pré-danosa. A liability não é o epicentro da responsabilidade civil, mas apenas a sua epiderme. Em verdade, trata-se apenas de um last resort para aquilo que se pretende da responsabilidade civil no século XXI, destacadamente na tutela dos dados pessoais. Começando por "responsibility", trata-se do sentido moral de responsabilidade, voluntariamente aceito e jamais legalmente imposto. É um conceito prospectivo de responsabilidade, no qual ela se converte em instrumento para autogoverno e modelação da vida. No campo do tratamento dos dados pessoais, assume duas vertentes: para agentes de tratamentos, significa a inserção da ética no exercício de sua atividade; para os titulares dos dados, a educação digital, no sentido de "...capacitação, integrada a outras práticas educacionais, para o uso seguro, consciente e responsável da internet como ferramenta para o exercício da cidadania" (art. 26 MCI). Se uma pessoa não sabe o que acontece com os seus dados, não poderá se proteger. Conceitos como de "anonimização de dados", sequer são dominados por advogados, quanto mais pelo cidadão em geral. Por isto a educação digital não se confunde com o direito fundamental à inclusão digital (tratado neste espaço na coluna de 23/10 por Carlos Edison do Rêgo e Diana Loureiro). A educação digital extrapola a ideia de acesso à internet, alcançando o sentido de uma autodeterminação informativa, tal como delineado entre os fundamentos da LGPD (art. 2, II, lei 13.709/18). Avançando para a "accountability", ampliamos o espectro da responsabilidade, mediante a inclusão de parâmetros regulatórios preventivos, que promovem uma interação entre a liability do Código Civil com uma regulamentação voltada à governança de dados, seja em caráter ex ante ou ex post. No plano ex ante a accountability é compreendida como um guia para controladores e operadores, protagonistas do tratamento de dados pessoais, mediante a inserção de regras de boas práticas que estabeleçam procedimentos, normas de segurança e padrões técnicos, tal como se extraí do artigo 50 da LGPD. Impõe-se o compliance como planificação para os riscos de maior impacto negativo. Não por outra razão, ao discorrer sobre os princípios da atividade de tratamento de dados, o art. 6. da lei 13.709/18 se refere à "responsabilização e prestação de contas", ou seja, liability e accountability. Aliás, ao tratar da avaliação de impacto sobre a proteção de dados, em um viés de direitos humanos, a GDPR da União Europeia amplia o espectro do accountability para que os stakeholders sejam cientificados sobre operações que impactem em vulneração ao livre desenvolvimento da personalidade, causem discriminação, violem a dignidade e o exercício da cidadania. Já na vertente ex post, a accountability atua como um guia para o magistrado e outras autoridades, tanto para identificar e quantificar responsabilidades, como para estabelecer os remédios mais adequados. Assim, ao invés do juiz se socorrer da discricionariedade para aferir o risco intrínseco de uma certa atividade por sua elevada danosidade - o desincentivo ao empreendedorismo é a reação dos agentes econômicos à insegurança jurídica -, estabelecem-se padrões e garantias instrumentais que atuam como parâmetros objetivos para a mensuração do risco em comparação com outras atividades. Aliás, se o causador do dano houver investido em compliance, com efetividade, pode-se mesmo cogitar da redução da indenização, como espécie de sanção premial, a teor do parágrafo único do art. 944 do Código Civil. Em acréscimo, a ausência de previsão legal de um modelo jurídico similar aos punitive damages, não impede que em resposta às infrações cometidas por Agentes de Tratamento de Dados, a Autoridade Nacional de Proteção de Dados, sirva-se da accountability para a estipulação de sanções de natureza punitiva e quantificação de multas, conforme previsão do artigo 52 da LGPD. Não se pode afastar a possibilidade de que, em reação a perspectiva de uma liability acrescida de uma accountability, os agentes econômicos respondam ao esforço conjunto de legislação e regulação, mediante a padronização de arranjos contratuais aptos à diluição dos custos dos acidentes. O recurso à gestão contratual dos riscos, pode ser dar mediante a limitação de responsabilidade ou a sua transferência ao usuário ou a seguradoras. Mas não podemos olvidar da assimetria informativa dos usuários, associada à sua frequente condição de consumidores, para a rígida aferição das cláusulas contratuais gerais. Por último, entramos na seara da answerability. O termo é traduzido ao pé da letra como "explicabilidade", impondo-se como mais uma camada da função preventiva da responsabilidade. A answerability é um procedimento de justificação de escolhas que extrapola o direito à informação, facultando-se a compreensão de todo o cenário da operação de tratamento de dados. No âmbito da LGPD ela amplia o seu raio, convertendo-se em uma "ability to appeal", ou seja, o titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade (art. 20, lei 13.709/18). Prioriza-se uma revisão extrajudicial por humanos, de decisões produzidas por inteligência artificial. A liability surgirá em um momento posterior, se eventualmente eclodem danos em razão de atos ou atividades danosas que vulneram o profiling da pessoa ou alcançam situações existenciais. Responsibility, accountability e answerability executam exemplarmente as funções preventiva e precaucional da responsabilidade civil, eventualmente complementadas pela função compensatória (liability). Ao contrário do que propaga a escola clássica da responsabilidade, distancia-se o efeito preventivo de um mero efeito colateral de uma sentença condenatória a um ressarcimento. Aliás, a multifuncionalidade da responsabilidade civil não se resume a uma discussão acadêmica: a perspectiva plural da sua aplicabilidade à LGPD é um bem-acabado exemplo legislativo da necessidade de ampliarmos a percepção sobre a responsabilidade civil. Não se trata tão somente de um mecanismo de contenção de danos, mas também de contenção de comportamentos. Transpusemos o "direito de danos" e alcançamos uma responsabilidade civil para muito além dos danos. Evidencia-se, assim, uma renovada perspectiva bilateralizada: a responsabilidade como mecanismo de imputação de danos - foco da análise reparatória - no qual o agente se responsabiliza "perante" a vítima, convive com a responsabilidade "pelo outro", o ser humano. Aqui, agrega-se a pessoa do agente e a indução à conformidade mediante uma regulação de gestão de riscos, sobremaneira a sua mitigação, seja por parte de um desenvolvedor de tecnologias digitais emergentes como de um agente de tratamento (accountability/answerability). Porém, em uma noção de reciprocidade, a mitigação de ilícitos e danos também incumbe a cada um de nós, mediante a paulatina construção de uma autodeterminação responsável que nos alforrie da heteronomia e vitimização (responsibility), pois como já inferia Isaiah Berlin "O paternalismo é a pior forma de opressão". *Nelson Rosenvald é procurador de Justiça do MP/MG. Pós-doutor em Direito Civil na Università Roma Tre (IT-2011). Pós-doutor em Direito Societário na Universidade de Coimbra (PO-2017). Visiting Academic na Oxford University (UK-2016/17). Professor visitante na Universidade Carlos III (ES-2018). Doutor e mestre em Direito Civil pela PUC/SP. Presidente do Instituto Brasileiro de Estudos de Responsabilidade Civil (IBERC).  Professor do corpo permanente do Doutorado e Mestrado do IDP/DF. Associado Fundador do Instituto Avançado de Proteção de Dados - IAPD.
A Lei Geral de Proteção de Dados (LGPD), lei 13.709 de 2018, elenca, em seu art. 2º, inciso II, como um dos  fundamentos da disciplina da proteção de dados pessoais, a autodeterminação informativa1. É possível dizer, que dos fundamentos presentes no art. 2º da LGDP, a autodeterminação informativa é aquele que guarda, juntamente com o respeito à privacidade, a relação mais próxima com a disciplina da proteção de dados pessoais. Isso porque consiste no único presente no rol dos incisos do dispositivo que tem a sua origem atrelada a esta matéria, que nos dias de hoje ganhou contornos de autonomia. Não há precedentes legislativos2 no Brasil de previsão da autodeterminação informativa3 em qualquer contexto. Na jurisprudência, antes do julgamento da ADIN 6389, havia aparecido em alguns precedentes4 do Supremo Tribunal Federal e do Superior Tribunal de Justiça, mas sem desenvolvimento mais detalhado. O objetivo do presente texto é o de abordar as origens alemãs da autodeterminação informativa, bem como o seu conteúdo, de forma a traçar alguns contornos de seu significado, com vistas a lançar luzes para o debate do significado que alcançará no ordenamento jurídico brasileiro. As origens alemãs da autodeterminação informativa   A opção do legislador da LGPD, de incluir a autodeterminação informativa no texto da lei, indica inspiração na dogmática alemã acerca da matéria, pois foi naquele país em que efetivamente se tornou conhecido e se desenvolveu com profundidade esse fundamento da disciplina de proteção de dados pessoais, a partir do julgamento da decisão do censo, de 1983. É certo que a decisão do censo foi influenciada por pensamentos anteriores5. No Parlamento Alemão, no ano de 1971, no contexto do início das discussões para a edição da Lei de Proteção de Dados Federal6, fora publicado extenso parecer abordando amplamente o tema proteção de dados em que já se fazia uso da expressão direito à autodeterminação informativa (informationelles Selbstbestimmungsrecht)7. Spiros Simitis indica que havia muita expectativa pela publicação da decisão do censo, e que nenhum caso, pelo menos até então8, havia gerado tamanha discussão pública9. Para que se tenha uma ideia, foram ajuizadas mil e seiscentas reclamações constitucionais contra a Lei do Censo de 1982, das quais quatro foram selecionadas para integrar os debates da sessão pública anterior ao julgamento10.    Nas palavras de Hornung e Schnabel, o direito à autodeterminação informativa, como âncora constitucional da proteção de dados, integra o denominado direito geral da personalidade11. O direito geral da personalidade na Alemanha teve origens na doutrina de Otto Von Gierke, no final do Século XIX, e posteriormente foi reconhecido pioneiramente pelo Tribunal Superior Federal (Bundesgerichtshof - BGH), em decisão de 195412. Na sequência, foi e vem sendo e desenvolvido pelo Tribunal Constitucional Federal (Bundesverfassungsgericht), sendo derivado da combinação do art. 1º, I (dignidade da pessoa) e art. 2º, I (livre desenvolvimento da personalidade) da Lei Fundamental13, ou seja, a sua atuação em conjunto garante a cada indivíduo a possibilidade de desenvolver a sua própria personalidade14.  O direito geral da personalidade protege elementos da personalidade que não estejam cobertos pelas garantias especiais de liberdade da Lei Fundamental15. Na dogmática do direito geral da personalidade, é possível distinguir três categorias ou implementações, conforme o desenvolvimento do Tribunal Constitucional Federal: o direito à autodeterminação (Recht der Selbstbestimmung), o direito à autopreservação (Recht der Selbstbewahrung) e direito à auto-apresentação (Recht der Selbstdarstellung)16.  Conteúdo da autodeterminação informativa A autodeterminação informativa pretende conceder ao indivíduo o poder, de ele próprio decidir acerca da divulgação e utilização de seus dados pessoais17. Em passagem clássica da decisão do censo, assentou-se que: "Aquele que, com segurança suficiente, não pode vislumbrar quais informações pessoais a si relacionadas existem em áreas determinadas de seu meio social, e aquele que não pode estimar em certa medida qual o conhecimento que um possível interlocutor tenha da sua pessoa, pode ter sua liberdade consideravelmente tolhida"18. Uma das preocupações fundamentais da disciplina da proteção de dados é a de que o indivíduo não seja manipulado por informações que os seus interlocutores (sejam eles entes estatais ou privados) tenham sobre a sua pessoa, sem que ele saiba disso. Nestes casos de conhecimento prévio das informações sobre a outra parte, o detentor da informação invariavelmente se coloca numa posição privilegiada. Ele atalha os caminhos, adquirindo a possibilidade de manipulação e de direcionamento. Pode fazer colocações e perguntas dirigidas, pois todo um caminho que teria de ser traçado para que chegasse a uma informação não precisa ser percorrido. Em suma, a relação não se desenvolve como no caso de um encontro que inicia "do zero": perde sua espontaneidade e o seu natural desenvolvimento19. É por isso que na dogmática da área, a expressão livre desenvolvimento da personalidade (freie Entfaltung der Persönlichkeit), do art. 2º, I, da Lei Fundamental, ganha realce, significando que o indivíduo deve ter a liberdade de "desdobrar" a sua personalidade, no sentido de ele próprio se desenvolver: não deve ser permitido que tenha a sua personalidade encolhida. Não é sem razão, que a LGPD, da mesma forma, e muito embora em nível infraconstitucional20, contemplou a previsão do livre desenvolvimento da personalidade da pessoa natural, tanto como objetivo (art. 1º), quanto como fundamento da lei (art. 2º, VII). É por isso que a chave da melhor compreensão da autodeterminação informativa é a de sua leitura conjunta com o denominado livre desenvolvimento da personalidade. É de se notar a peculiaridade da criação e do significado do livre desenvolvimento da personalidade a partir do processo legislativo da Lei Fundamental, na Alemanha. Gabriele Britz21, juíza do Tribunal Constitucional Federal, registra que o legislador se valeu de uma expressão incomum, sem precedentes, sequer no exterior. Portanto, trata-se de criação genuinamente alemã. E, na origem dos trabalhos parlamentares, menciona-se a contribuição do deputado Eberhard, que associou o livre desenvolvimento da personalidade à ideia de atuação da pessoa com personalidade e posturas próprias, imune à manipulação por terceiros bem como livre da incitação que culmine em posturas extremistas22. Na linha de raciocínio do parlamentar Eberhard, há que se destacar outro aspecto do conteúdo da autodeterminação informativa extraído da decisão do censo, acerca do qual Alexander Roßnagel chama a atenção: é o de que a proteção de dados e consequentemente a autodeterminação informativa consistem em elementos estruturais da comunicação realizada no âmbito da sociedade23.  Inspirado por passagem da decisão, Roßnagel afirma que a proteção de dados é o pré-requisito de um engajamento do indivíduo em questões públicas e, portanto, pressuposto funcional da comunicação democrática (Funktionsbedingung demokratischer Kommunikation)24. Segundo o Professor da Universidade de Kassel, ao criar regras de proteção de dados, o Estado democrático cria as condições indispensáveis para a sua continuidade25. Portanto, a restrição do direito de liberdade do indivíduo pode acarretar a limitação do exercício de outros direitos fundamentais, conforme assenta a decisão do Tribunal Constitucional Federal: "Aquele que tem insegurança acerca de se o seu modo comportamental desviante seja, a todo momento registrado, e como informação, ao longo do tempo armazenado, utilizado ou disponibilizado a terceiros, tentará não incidir em tal modo comportamental. Aquele que parte do pressuposto de que, por exemplo, a participação em uma reunião ou em uma iniciativa do exercício de cidadania seja registrado por um órgão público, e que a partir dessas atividades possam lhe advir riscos, provavelmente abdicará do exercício dos direitos fundamentais relativos a essas atividades"26. Mas a importância da proteção de dados não se esgota na sua faceta de pressuposto funcional da comunicação democrática. Ao mesmo tempo é pressuposto de uma "autodeterminada decisão contratual" (selbstbestimmte Vertragsentscheidung) e, por conseguinte, pressuposto funcional de uma livre economia de mercado (Funktionsbedingung einer freien Marktwirtschaft),  no sentido de que uma decisão livre dos contratantes de um modo geral, e dos consumidores em particular, uma decisão ausente de manipulações, só é possível quando o fornecedor em potencial só tenha conhecimento dos dados fornecidos pelo próprio consumidor, ou que, no mínimo, este conheça as informações relativas a sua pessoa que o fornecedor disponha27. De outra banda, não se pode descurar   que o muito embora o poder que a autodeterminação informativa pretende garantir ao titular dos dados pessoais, não há o estabelecimento de uma relação absoluta entre o indivíduo e os dados a ele relacionados. No contexto da proteção de dados é importante referir a lição da decisão do censo de que não é adequado falar em propriedade por parte do indivíduo dos dados relativos a sua pessoa28. Ainda segundo  Roßnagel,  a concepção do ordenamento jurídico relativo à proteção de dados não se coaduna com a ideia de propriedade sobre os dados pessoais29. O mais adequado é que se considere os dados relacionados a uma pessoa como resultado de uma observação social ou de um processo de comunicação social multirrelacional30. Como modelos da realidade, teriam os dados pessoais sempre um autor e um objeto. Os dados têm relação com um objeto, mas também com o autor. Não podem ser associados exclusivamente ao objeto.  Assim, o direito da proteção de dados não regula a propriedade, mas sim consiste num ordenamento sobre a informação e a comunicação a eles relacionada, determinando quem, em qual relação, e em que situação, está autorizado a lidar com os modelos de uma determinada pessoa de uma determinada maneira. Em suma, a autodeterminação informativa não pode ser compreendida como garantidora de um domínio absoluto da pessoa sobre os dados a ela relacionados, como se fossem "seus" dados numa relação de exclusão de todos os demais membros da sociedade31. Roßnagel arremata dizendo que o direito da proteção de dados resguarda a pessoa não como proprietário de seus dados, mas a auxilia como titular de interesses e tomador de decisões no contexto do ordenamento comunicacional e informacional32. Veja-se o foco da proteção: a tomada de decisões pelo próprio indivíduo33. É por essa razão, que o conceito de dado pessoal, tanto na LGPD (art. 5º, I), quanto nas fontes normativas internacionais, emprega a expressão "informação relacionada a pessoa" e não "informação da pessoa". Enfim, esses alguns contornos das origens e do conteúdo da  autodeterminação informativa na Alemanha, de modo a lançar luzes para o debate acerca do significado que, na leitura da LGPD, será desenvolvido no Brasil. Um dos grandes desafios que nos dias de hoje enfrenta a autodeterminação informativa certamente é o relacionado à crise do consentimento e à dificuldade de garantir o poder decisório do indivíduo acerca do tratamento dos dados pessoais. A previsão legal de autoridades de proteção de dados34 robustas e independentes bem como as regras de responsabilização e prestação de contas são alguns dos aliados da autodeterminação informativa na missão de garantia do livre desenvolvimento da personalidade dos indivíduos. *Fabiano Menke é professor associado de Direito Civil da Faculdade de Direito e do programa de pós-graduação em Direito da UFRGS. Doutor em Direito pela Universidade de Kassel, com bolsa de estudos de doutorado integral CAPES/DAAD. Coordenador do Projeto de Pesquisa "Os fundamentos da proteção de dados na contemporaneidade", na UFRGS. Membro Fundador do Instituto Avançado de Proteção de Dados - IAPD. Advogado. Instagram: menkefabiano. __________ 1 O art. 2º da LGPD prevê ainda os seguintes fundamentos da disciplina da proteção de dados pessoais, nos incisos apontados a seguir: I - privacidade; III- a liberdade de expressão, de informação, de comunicação e de opinião; IV- a inviolabilidade da intimidade, da honra e da imagem; V- o desenvolvimento econômico e tecnológico e a inovação; VI- a livre iniciativa, a livre concorrência e a defesa do consumidor; e VII- os direitos humanos, o livre desenvolvimento da personalidade, a dignidade e o exercício da cidadania pelas pessoais naturais. 2 O Projeto de Lei do Senado, nº 281, de 2012, que tinha por objetivo reforçar a proteção do consumidor no comércio eletrônico, pretendia incluir o inciso XI no art. 6º do Código de Defesa do Consumidor, com a seguinte redação: "a autodeterminação, a privacidade e a segurança das informações e dados pessoais prestados ou coletados, por qualquer meio, inclusive o eletrônico"; 3 A LGPD adotou a expressão "autodeterminação informativa", mas também é possível o emprego da variação "autodeterminação informacional". 4 RE 673.707, Plenário, Rel. Min. Luiz Fux, j. 17.06.2015, DJ 30.09.2015; SS 3902, Min. Gilmar Mendes, j. 08.07.2009, DJ04.08.2009; REsp 1.630.659, 3ª Turma, Rel. Min. Nancy Andrighi, j. 27.11.2018, DJ 06.12.2018. 5 Como bem destaca Veridiana Alimonti, a ideia de autodeterminação já estava presente na obra de Alan Westin, Privacy and Freedom, de 1967, bem como em outras iniciativas normativas norte-americanas e europeias. ALIMONTI, Veridiana. Autodeterminação informacional na LGPD: antecedentes, influências e desafios. In: VILLAS BÔAS CUEVA, Ricardo, DONEDA, Danilo, MENDES, Laura Schertel (Org.). Lei Geral de Proteção de Dados (lei 13.709/2018) - A caminho da efetividade: contribuições para a implementação da LGPD. São Paulo: Thomson Reuters, 2020, p. 177-192, p. 177-178. 6 Bundesdatenschutzgesetz, que viria a ser editada em 1977. 7 Disponível aqui. Acesso em 26.10.2020. Ainda sobre histórico do parecer e do julgamento da decisão do censo, ver STEINMÜLLER, Wilhelm. Das informationelle Selbstbestimmungsrecht: Wie es entstanden ist und was man daraus lernen kann. Disponível aqui. Acesso em: 20.10.2020. Sobre o histórico da decisão, ver ainda o primoroso trabalho de Laura Schertel Mendes: Autodeterminação informacional: origem e desenvolvimento conceitual na jurisprudência da corte constitucional alemã. In: VILLAS BÔAS CUEVA, Ricardo, DONEDA, Danilo, MENDES, Laura Schertel (Org.). Lei Geral de Proteção de Dados (Lei nº 13.709/2018) - A caminho da efetividade: contribuições para a implementação da LGPD. São Paulo: Thomson Reuters, 2020, p. 177-192, p. 177-178. 8 Posteriormente, Marion Albers equiparou a ressonância da discussão da decisão do censo com aquela havida no âmbito do contexto da denominada Vorratsdatenspeicherung, que diz respeito ao dever dos fornecedores de acesso e das aplicações de armazenarem os respectivos dados de acesso e de conexão dos usuários, o que, no Brasil, é disciplinado no Marco Civil da Internet. ALBERS, Marion. Informationelle Selbstbestimmung als vielsichtiges Bündel von Rechtsbindungen und Rechtspositionen. In:  FRIEDEWALD, Michael, LAMLA, Jörn, ROßNAGEL, Alexander (Org.). Informationelle Selbstbestimmung im digitalen Wandel, Wiesbaden: Springer Vieweg, 2017, p. 11-35, p. 13. 9 SIMITIS, Spiros. Die informationelle Selbstbestimmung: Grundbedingung einer verfassungskonformen Informationsordnung. Neue Juristenwochenschrift, 1984, vol. 8, p. 394. 10 STEINMÜLLER, Wilhelm. Das informationelle Selbstbestimmungsrecht: Wie es entstanden ist und was man daraus lernen kann, p. 17. Disponível aqui. Acesso em: 20.10.2020. 11 HORNUNG, Gerrit, SCHNABEL, Christoph; Data protection in Germany I: The population census decision and the right to information self-determination. Computer Law & Security Report, vol. 25, número 1, 2009, p. 84. 12 GÖTTING, Horst-Peter. Inhalt, Zweck und Natur des Persönlichkeitsrechts. In: Handbuch des Persönlichkeitsrechts. GÖTTING, Horst-Peter; SCHERTZ, Christian; SEITZ, Walter. C.H. Beck, Munique, 2008, p. 2. 13 Art. 1º, I : A dignidade da pessoa é intangível. Respeitá-la e protegê-la é obrigação de todo poder público. Art. 2º, I, Toda pessoa tem o direito ao livre desenvolvimento de sua personalidade, desde que os direitos dos outros não sejam violados e desde que não atente contra a ordem constitucional ou contra a lei moral. (tradução livre da Lei Fundamental). 14 PIEROTH, B.; SCHLINK, B., Grundrechte Staatsrecht II, 27ª ed., Heidelberg: C.F.Müller, 2011, p. 91. 15 ROßNAGEL, Alexander; SCHNABEL, Christoph, Das Grundrecht auf Gewährleistung der Vertraulichkeit und Integrität informationstechnischer Systeme und sein Einfluss auf das Privatrecht. Neue Juristische Wochenschrift, 2008, 3534. 16 PIEROTH, B.; SCHLINK, B., Grundrechte Staatsrecht II, 27ª ed., Heidelberg: C.F.Müller, 2011, p. 91. 17 Sobre este ponto ver ROßNAGEL, Alexander. 20 Jahre Volkszählungsurteil. Multimedia und Recht, vol. 11, 2003, ps. 693-694. 18 Tradução livre do autor. Para a íntegra da decisão, acessar aqui. 19 Este raciocínio serve tanto para uma relação entre duas empresas que estão negociando, em que uma delas domine segredos corporativos da outra sem que esta saiba, quanto para uma relação entre um spammer que, por exemplo, obtém indevidamente dados sensíveis de um consumidor e lhe envia propaganda direcionada, relacionada a determinada doença que lhe acomete. Se numa entrevista de emprego o empregador conhece informações sobre o candidato, sem que este saiba, a entrevista também poderá perder a sua espontaneidade. Daí a importância de as pessoas serem alertadas sobre os riscos de exporem os seus dados sem nenhum controle em redes sociais e demais aplicativos disponibilizados na Internet.   20 A Constituição Federal de 1988 não contempla a expressão "livre desenvolvimento da personalidade". 21 BRITZ, Gabriele. Freie Entfaltung der Persönlichkeit (Art. 2 I 1 GG) - Verfassungsversprechen zwischen Naivität und Hybris? Neue Zeitschrift für Verwaltungsrecht (NVwZ) 2019, p. 672-677, 672. 22 BRITZ, Gabriele. Freie Entfaltung der Persönlichkeit (Art. 2 I 1 GG) - Verfassungsversprechen zwischen Naivität und Hybris? Neue Zeitschrift für Verwaltungsrecht (NVwZ) 2019, p. 672-677, 676. 23 Roßnagel, A. Einleitung. In: Roßnagel, A. (Org.). Handbuch Datenschutzrecht: Die neuen Grundlagen für Wirtschaft und Verwaltung, Munique, Beck Verlag, 2003,p. 8. 24 Roßnagel, A. Einleitung. In: Roßnagel, A. (Org.). Handbuch Datenschutzrecht: Die neuen Grundlagen für Wirtschaft und Verwaltung, Munique, Beck Verlag, 2003,p. 8. 25 Roßnagel, A. Einleitung. In: Roßnagel, A. (Org.). Handbuch Datenschutzrecht: Die neuen Grundlagen für Wirtschaft und Verwaltung, Munique, Beck Verlag, 2003,p. 8. 26 Tradução livre do autor, de trecho da decisão. 27 Idem, p. 4. 28 Idem, ibidem. 29 No Brasil, ver Marcel Leonardi, Tutela e Privacidade na Internet, São Paulo: Saraiva, 2012, p. 77, que também rejeita a ideia de propriedade sobre os dados. 30 Idem, ibidem. 31 Idem, p.4. Em passagem específica de seu escrito, Roßnagel cita trecho emblemático da decisão do censo, a seguir traduzido livremente: "O indivíduo não tem um direito no sentido de um domínio absoluto, e irrestrito sobre os "seus" dados; antes pelo contrário, ele consiste em personalidade que se desenvolve no âmbito de uma comunidade social e que não prescinde da comunicação. A informação, até mesmo enquanto associada a uma pessoa, representa um retrato da realidade social, que não pode ser exclusivamente reservada ao usuário". 32 Idem, ibidem. 33 Na origem dogmática desta autodeterminação da pessoa, que está na base da autodeterminação informativa está a dignidade da pessoa humana, sendo que a base filosófica da autodeterminação está localizada na filosofia de Kant. Quanto a isso, ver SARLET, Ingo Wolfgang. As dimensões da dignidade da pessoa humana: construindo uma compreensão jurídico-constitucional necessária e possível, in:  Sarlet, Ingo Wolfgang (Org.), Dimensões da Dignidade - Ensaios de Filosofia do Direito e Direito Constitucional, Porto Alegre: Livraria do Advogado, 2009, p. 22, com especial destaque para a nota de rodapé 27, que faz menção à literatura alemã acerca do assunto. Sarlet aborda com precisão o denominado elemento nuclear da dignidade na "fórmula desenvolvida por Günter Dürig, na Alemanha, para quem (na esteira da concepção kantiana) a dignidade da pessoa humana poderia ser considerada atingida sempre que a pessoa concreta (o indivíduo) fosse rebaixada a objeto, a mero instrumento, tratada como uma coisa, em outras palavras, sempre que a pessoa venha a ser descaracterizada e desconsiderada como sujeito de direitos", idem, p. 34. Atente-se ainda ao exposto por Judith Martins-Costa em sua tese de livre-docência apresentada na USP, onde aborda a problemática referindo as contribuições de Max Scheler para o movimento personalista contemporâneo e a afirmação deste autor que a pessoa não se situa na ordem da substância ou do objeto e é, pois, essencialmente inobjetivável, sendo a unidade ontológica concreta dos atos. Martins-Costa, Judith, Pessoa, Personalidade, Dignidade (ensaio de uma qualificação), Tese de Livre Docência, USP, 2003, p. 176-178. 34 Sobre o tema, ver a excelente pesquisa da tese de Cíntia Rosa Pereira de Lima. LIMA, Cíntia Rosa Pereira de. Autoridade nacional de proteção de dados e a efetividade da Lei Geral de Proteção de Dados: de acordo com a Lei Geral de Proteção de Dados (lei 13.709/2018 e as alterações da lei 13.853/2019, o Marco Civil da Internet (lei 12.965/2014) e as sugestões de alteração do CDC (PL 3.514/2015). São Paulo: Almedina, 2020.
Em um sistema aberto, as figuras jurídicas passam por alterações em seus sentidos ao longo do tempo, ainda que a terminologia permaneça idêntica. Trata-se do caráter histórico-relativo dos conceitos, que sofrem verdadeira mutabilidade de significado, podendo desempenhar distintas funções, a depender do contexto histórico, geográfico, cultural e social em que se inserem. A privacidade parece constituir boa ilustração de tal característica. Tradicionalmente, a privacidade era definida como o direito a ser deixado só, isto é, a um espaço reservado de intromissões indesejadas. Todavia, na sociedade tecnológica, o conceito de privacidade passa a se distinguir do de intimidade e a ser concebido também como direito ao controle dos dados pessoais. Analisa-se a privacidade em perspectiva extrapatrimonial, diante de sua relação essencial com o princípio da dignidade da pessoa humana, fundamento do sistema jurídico (art. 1º, III, CRFB/88). Na prática, a adequada tutela do direito à privacidade depende essencialmente da efetividade do que se denomina de direito de acesso. De fato, escanteado do tratamento dos dados que lhe pertencem, torna-se inviável qualquer possibilidade de exercício do controle por parte do titular. O direito de acesso se traduz, assim, em pedra angular para a proteção das informações pessoais. Há, contudo, barreiras que devem ser transpostas para a plena realização das potencialidades funcionais do direito de acesso. A esse respeito, Stefano Rodotà enunciou as principais causas do tímido exercício desse direito na prática, as quais foram por nós divididas, para fins didáticos, em três grupos: (i) o aspecto do procedimento do acesso, relativo aos custos financeiros e de tempo envolvidos, à carência de alfabetização, à falta de informação e ao desnível de poder entre os titulares dos dados pessoais e os agentes que detêm as informações; (ii) o aspecto do funcionamento do acesso, que diz com a escassa relevância das informações fornecidas quando não se conhece a maneira de atuação do sistema de tratamento e (iii) o aspecto do âmbito de incidência do acesso, referente ao excesso de vedações a certas categorias de informações1. Buscando superar, de certo modo, esses conhecidos obstáculos, o legislador brasileiro fornece, na recém-vigente Lei Geral de Proteção de Dados Pessoais (LGPD, lei 13.709/2018), inúmeras previsões para a efetividade do direito de acesso. É o que se passa a ver. A LGPD consagra, como dois de seus princípios basilares, o do livre acesso, estabelecendo a "garantia, aos titulares, de consulta facilitada e gratuita sobre a forma e a duração do tratamento, bem como sobre a integralidade de seus dados pessoais" (art. 6º, IV), e o da transparência, assegurando aos titulares "informações claras, precisas e facilmente acessíveis sobre a realização do tratamento e os respectivos agentes de tratamento, observados os segredos comercial e industrial" (art. 6º, VI). Mais especificamente quanto ao procedimento do acesso, cabe destacar que os custos financeiros envolvidos no exercício do direito em análise sem dúvida se traduzem em barreira à sua efetividade, sobretudo em países marcados por desigualdades sociais, como no caso brasileiro. Por tal razão, essencial a previsão do artigo 6º, IV, da LGPD, a respeito da gratuidade no exercício do direito, ao dispor sobre o princípio do livre acesso. No mesmo sentido, demanda o artigo 18, § 5º, da LGPD, que o requerimento de acesso seja atendido sem custos para o solicitante. Também no que diz com a superação dos obstáculos referentes à obtenção e à compreensão dos dados pelo titular, bem como à demora do processo, a lei visa a assegurar a facilitação do acesso (art. 6º, IV). Nesse sentido, estabelece o artigo 9º que as informações sejam disponibilizadas de forma clara, adequada e ostensiva. Além disso, o requerimento de acesso será atendido em formato simplificado, de modo imediato, ou no prazo de 15 dias, contados da data do pedido, por meio de declaração clara e completa, que informe a origem dos dados, a inexistência de registro, os critérios utilizados e o objetivo do tratamento, ressalvado o sigilo comercial e o industrial (art. 19, I e II)2.  As informações poderão ser obtidas por meio digital, seguro e idôneo, ou por meio físico. A escolha da forma de atendimento do pedido caberá ao requerente (art. 19, § 2º, I e II). Por fim, prevê o artigo 19, em seu § 1º, que os dados pessoais serão armazenados em condições que favoreçam o exercício do direito de acesso. Sob outro ângulo, os obstáculos descritos, referentes ao desnível de poder entre as partes e à falta de informação do requerente, encontram importante solução na possibilidade de assistência do titular por profissional qualificado bem como de tutela coletiva desse direito. De fato, a assistência do titular por um especialista permite mitigar a disparidade de conhecimentos técnicos e jurídicos entre o titular dos dados e o agente de tratamento. No mesmo sentido, a forma coletiva de tutela do direito de acesso assegura uma ação coordenada, sistemática e, por consequência, possivelmente mais assertiva. A lei cuida do tema no artigo 18, § 3º, ao dispor que "os direitos previstos neste artigo serão exercidos mediante requerimento expresso do titular ou de representante legalmente constituído, a agente de tratamento", e no artigo 22, ao prever que "a defesa dos interesses e dos direitos dos titulares de dados poderá ser exercida em juízo, individual ou coletivamente, na forma do disposto na legislação pertinente, acerca dos instrumentos de tutela individual e coletiva", de modo a dotar de efetividade o direito de acesso. Já no aspecto do funcionamento do acesso, o obstáculo a ser superado diz com a escassa relevância das informações fornecidas quando não se conhece a maneira de atuação do sistema. A esse respeito, a lei permite que o acesso seja estendido, para além do dado pessoal em si, à forma de operação do tratamento, bem como à circulação da informação. Assegura-se, desta feita, que o direito de controle dos dados pessoais seja exercido de modo efetivo, abarcando o modo de desempenho do sistema e alcançando as informações onde quer que estejam, no bojo do processo dinâmico de uso e compartilhamento dos dados. Nesse sentido, o artigo 9º da LGPD garante o acesso a informações sobre a finalidade específica, a forma e a duração do tratamento, ressalvados os segredos comercial e industrial, a identificação e os dados de contato do controlador, o uso compartilhado de dados pelo controlador e a finalidade, as responsabilidades dos agentes que realizarão o tratamento e os direitos do titular, com menção explícita aos contidos no artigo 18 da lei. Ainda no tocante ao funcionamento do sistema, destaca-se a previsão do artigo 20, que, em tema de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais, inclusive com a formação de perfis, permite o pedido de revisão dessas decisões, bem como o acesso aos critérios e procedimentos utilizados na operação, observados os segredos comercial e industrial. Neste último caso, se o conhecimento esbarrar na proteção do sigilo, a autoridade nacional zelará pelo princípio da não discriminação, assegurando a isonomia. O dispositivo se destina à tutela do livre desenvolvimento da personalidade do titular. Com efeito, constata-se que, na sociedade tecnológica, a construção da identidade do sujeito passa a depender do modo como os dados o descrevem. O corpo se torna eletrônico e a percepção de si se opera de fora para dentro - a personalidade é aquela definida pelo conjunto de informações3. Nessa toada, o controle dos dados pessoais, por meio do acesso aos critérios e procedimentos utilizados e da solicitação de revisão das decisões automatizadas, objetiva evitar que aquela pessoa humana seja indevidamente discriminada com base em característica que lhe foi atribuída por meio do tratamento de dados pessoais. Sobre o tema, a lei contempla como princípio basilar de sua incidência o de não discriminação, que preconiza a "impossibilidade de realização do tratamento para fins discriminatórios ilícitos ou abusivos" (art. 6º, IX). Note-se, portanto, que se admite que os titulares de dados pessoais sejam tratados de modo distinto, como o oferecimento de condições de crédito diferenciadas a partir do perfil de cada consumidor, mas se afigura vedada a discriminação quando ilícita ou abusiva4. Além disso, tomando-se o direito de acesso como instrumento de efetividade da tutela de diferentes situações jurídicas existenciais, cabe destacar a amplitude dos direitos conferidos pela lei ao titular dos dados pessoais, que pode requerer: (i) confirmação da existência de tratamento; (ii) correção de dados incompletos, inexatos ou desatualizados; (iii) anonimização, bloqueio ou eliminação de dados desnecessários, excessivos ou tratados em desconformidade com o disposto na lei; (iv) portabilidade dos dados a outro fornecedor de serviço ou produto, mediante requisição expressa, de acordo com a regulamentação da autoridade nacional, observados os segredos comercial e industrial5;  (v) eliminação dos dados pessoais tratados com o consentimento do titular, exceto nas hipóteses previstas no artigo 16 da lei; (vi) informação das entidades com as quais o controlador realizou uso compartilhado de dados; (vii) informação sobre a possibilidade de não fornecer consentimento e sobre as consequências da negativa; (viii) revogação do consentimento, nos termos do § 5º do artigo 8º da lei6  (art. 18, incisos I a IX7); (ix) medidas em relação aos seus dados contra o controlador perante a autoridade nacional, bem como perante os organismos de defesa do consumidor (art. 18, §§ 1º e 8º); (x) oposição a tratamento realizado com fundamento em uma das hipóteses de dispensa de consentimento, uma vez descumprida a lei (art. 18, § 2º) e (xi) cópia eletrônica integral de seus dados pessoais, observados os segredos comercial e industrial, quando o tratamento tiver origem no consentimento do titular ou em contrato (art. 19, § 3º8).9 No que tange ao âmbito de incidência do acesso, pretendeu o legislador superar o obstáculo relativo ao excesso de vedações a certas categorias de informações. Para tanto, foi contemplado o direito de acesso à integralidade dos dados pessoais (art. 6º, IV) e prevista a regra da possibilidade de seu exercício em relação a qualquer tratamento realizado por pessoa natural ou por pessoa jurídica, de forma a estabelecer, em todas as searas sociais, a prevalência do controle sobre o sigilo (arts. 1º e 3º). Em síntese, o recém-chegado direito de acesso se apresenta, no cenário jurídico nacional, marcado pela busca por efetividade. Trata-se de produto da nova concepção do direito à privacidade e associado à transparência que permeia grande parte das relações sociais na contemporaneidade. Nesse cenário, a Lei Geral de Proteção de Dados Pessoais, que acaba de entrar em vigor no ordenamento pátrio, escorada nos avanços doutrinários sobre os assuntos de que se ocupa, procurou enfrentar as principais barreiras que obstaculizam o controle dos dados pessoais.  Incorporou, assim, poderoso cabedal de ferramentas, ora postas à disposição das pessoas, convidando-as, então, ao exercício do direito de controle de suas informações pessoais. Em meio às turbulências do mundo líquido do Século XXI, a plena eficácia social do direito de acesso consubstancia gigantesco passo civilizatório a favor da tutela integral da pessoa humana. *Carlos Edison do Rêgo Monteiro Filho é professor Titular e ex-coordenador do programa de pós-graduação em Direito da Faculdade de Direito da UERJ. Doutor em Direito Civil e mestre em Direito da Cidade pela UERJ. Procurador do Estado do Rio de Janeiro. Presidente do Fórum Permanente de Direito Civil da Escola Superior de Advocacia Pública da PGE-RJ (ESAP). Vice-presidente do Instituto Brasileiro de Estudos de Responsabilidade Civil (IBERC). Associado Fundador do Instituto Avançado de Proteção de Dados (IAPD). Advogado, parecerista em temas de Direito Privado. **Diana Loureiro Paiva de Castro é mestre em Direito Civil pela UERJ.  __________ 1 RODOTÀ, Stefano. A vida na sociedade da vigilância: a privacidade hoje. Rio de Janeiro: Renovar, 2008, p. 68. 2 Ressalve-se a previsão do artigo 19, § 4º, da LGPD: "A autoridade nacional poderá dispor de forma diferenciada acerca dos prazos previstos nos incisos I e II do caput deste artigo para os setores específicos". 3 RODOTÀ, Stefano. Dal soggetto alla persona. Napoli: Editoriale Scientifica, 2007, p. 35. 4 MULHOLLAND, Caitlin Sampaio. Dados pessoais sensíveis e a tutela de direitos fundamentais: uma análise à luz da Lei Geral de Proteção de Dados (lei 13.709/18). Revista de Direitos e Garantias Fundamentais, v. 19, n. 3, 2018, p. 164. 5 Conforme o artigo 18, § 7º, da LGPD, "a portabilidade dos dados pessoais a que se refere o inciso V do caput deste artigo não inclui dados que já tenham sido anonimizados pelo controlador". 6 Aqui também há a garantia de gratuidade, conforme prevê o artigo 8º, § 5º, da LGPD. 7 Importante ressaltar que, consoante o artigo 18, § 6º, da LGPD, "O responsável deverá informar, de maneira imediata, aos agentes de tratamento com os quais tenha realizado uso compartilhado de dados a correção, a eliminação, a anonimização ou o bloqueio dos dados, para que repitam idêntico procedimento, exceto nos casos em que esta comunicação seja comprovadamente impossível ou implique esforço desproporcional". 8 Isso se dará, segundo o dispositivo, "nos termos de regulamentação da autoridade nacional, em formato que permita a sua utilização subsequente, inclusive em outras operações de tratamento". 9 Ademais, dispõe o artigo 21 da LGPD: "os dados pessoais referentes ao exercício regular de direitos pelo titular não podem ser utilizados em seu prejuízo".
Diante do cenário da nova lei 13.709/2018, a chamada Lei Geral de Proteção de Dados (LGPD), que entrou em vigor em 18 de setembro de 2020, mudará muita coisa nas eleições municipais de 2020, adiadas para novembro devido à pandemia de coronavírus. A LGPD, quando interpretada em vistas ao processo eleitoral, visa a coibir as fake news1, as deepfakes2e os disparos em massa, sobretudo mediante a atenção dispensada ao uso de dados pessoais dos eleitores. Isso porque já são comuns as ferramentas que simulam vozes em áudios, vídeos, além daqueles que são chamados robôs - bots (programas de automatização) - sendo que conseguem, por exemplo, atingir grupos de pessoas específicos do colégio eleitoral do candidato que as contrata, por meio de empresas que utilizam os dados pessoais de usuários do facebook e instagram, Não obstante, as eleições municipais são, tradicionalmente, palco das primeiras aplicações de mudanças estruturais. Dessa vez, não será diferente, pois se sabe que o estado pandêmico altera gravemente, para além da data do pleito, as possibilidades de realização de campanha eleitoral. Além disso, a vigência da nova Lei Geral de Proteção de Dados tende a criar novos desafios para os candidatos, sobretudo, para aqueles desconhecidos do grande público. As intersecções possíveis entre os temas eleitorais e a proteção de dados são inúmeras. Fala-se, principalmente, na Resolução 23.610/2019 do TSE, que perfaz o assunto em seus dispositivos, dentre os quais, destacam-se: Art. 31. É vedada às pessoas relacionadas no art. 24 da Lei nº 9.504/1997, bem como às pessoas jurídicas de direito privado, a utilização, doação ou cessão de dados pessoais de seus clientes, em favor de candidatos, de partidos políticos ou de coligações. § 1º É proibida às pessoas jurídicas e às pessoas naturais a venda de cadastro de endereços eletrônicos, nos termos do art. 57- E, § 1º, da Lei nº 9.504/1997. § 4º Observadas as vedações do caput deste artigo, o tratamento de dados pessoais, inclusive a utilização, doação ou cessão destes por pessoa jurídica ou por pessoa natural, observará as disposições da Lei nº 13.709/2018 (LGPD) (Lei nº 9.504/1997, art. 57-J). (destaques nossos). A medida possui íntima relação com os ocorridos nos recentes pleitos em toda a comunidade internacional, sobretudo com o método utilizado pela Cambridge Analytica - a captação maciça de dados pessoais, como preferências pessoais e, a partir de tal, a personalização da propaganda nas redes, de modo a atingir os usuários em sua "bolha"3. Ainda que, a priori, tal relação possa não despertar problematização, basta um olhar atento aos resultados da crescente divisão popular e polarização política nas democracias modernas. O ambiente criado favorece a circulação de desinformação a partir da apresentação tautológica de uma "realidade virtual" personalizada que agrada o usuário e o aproxima do candidato, enquanto cria uma barreira intransponível para o contato com os outros, impossibilitando que as informações cheguem de maneira democrática. A LGPD, portanto, contribuirá para coibir tais práticas por meio da obrigatoriedade do consentimento do usuário em hipóteses de captação de dados pessoais, por exemplo, para que este faça parte da listagem de disparos propagandísticos em massa como já mencionado. É importante esclarecer que, na LGPD, não se proibiu a coleta de dados, o que se lê é a exigência do consentimento expresso do eleitor, com esclarecimento da finalidade para práticas de utilização dos dados pessoais. Trata-se de instituto novo e que carece de mais regulamentações por parte do legislador, da futura Autoridade Nacional de Proteção de Dados (ANPD) e de esclarecimentos pelas resoluções do Tribunal Superior Eleitoral como explorado por Cíntia Rosa Pereira de Lima e Maria Eduarda Sampaio de Sousa na Coluna Migalhas de Proteção de Dados "LGPD e combate às fake news"4. O PL 2630, polêmico projeto de 'Lei das Fake News', prevê, em seu texto inicial, tratamento específico para a disseminação de mensagens em massa, sobretudo em período de propaganda eleitoral, emergência ou calamidade pública, determinando, nessas situações, a limitação de encaminhamento de mensagem privada a um usuário ou grupo, conforme o §1º do art. 135 (do texto inicial). Essa medida vai ao encontro da Resolução 23.610/2019 do TSE. São diversas maneiras de se enfrentar o problema da desinformação, para além da mera problemática da coleta de dados. Em todo caso, fomentam-se boas práticas no ambiente virtual, como a exigência de consentimento, a transparência e a vedação às contas inautênticas. Por esses motivos que a legislação eleitoral no Brasil é reconhecida por seu alto nível de intervenção, com inúmeras regras para realização da propaganda, como as legislações sobre comício, aparições midiáticas e regulamentações de audiovisual. Ainda, a campanha eleitoral terá duração de, aproximadamente, 45 dias6, sem possibilidade de doações financeiras provenientes de pessoa jurídica, proibidas pelo STF em 2015. Depreende-se disso uma grande dificuldade para que novos candidatos possam despontar no cenário político, com uma taxa alta de reeleição e perpetuação de nomes já conhecidos. A forma como se delineará, juridicamente, a campanha eleitoral em respeito à proteção de dados, portanto, passará pela compreensão dos candidatos e de sua equipe acerca do que são dados pessoais sensíveis e dados pessoais e como será o tratamento dos dados no período de campanha. O que são dados pessoais sensíveis?  A própria LGPD define em seu art. 5º, inc. II, que dados pessoais sensíveis são: "dado pessoal sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural"7. Portanto, os dados dos eleitores podem ser dados pessoais sensíveis no que se referem às preferências políticas e pautas ideológicas dos candidatos, às filiações partidárias, às páginas e perfis dos candidatos curtidas, etc. O candidato que conhecer tais dados dos eleitores, por meio de uma equipe de marketing eleitoral, pode traçar sua campanha a fim de atingir públicos específicos e em grande quantidade. Acontece que a LGPD oferece proteção aos dados pessoais sensíveis e isso tem implicação direta numa campanha eleitoral, pois delimita o que pode ou não ser utilizado. Vale ressaltar o exemplo problemático do sistema "Filiaweb", da Justiça Eleitoral, que disponibiliza a relação de filiados a partidos políticos, um dado sensível, sem necessidade de qualquer informação ou consentimento. Para tanto, questiona-se a validade de tal mecanismo com a vigência do novo dispositivo. Contrapõem-se transparência e direito à privacidade. Essa limitação para a utilização de dados pessoais sensíveis exige o consentimento de cada usuário, e a LGPD dispõe, em seu art. 7,º as hipóteses em que pode haver tratamento de dados pessoais. As eleições municipais de 2020 e a LGPD  Com a campanha eleitoral em curso, o que se verifica é o aumento do marketing político dos candidatos nas redes sociais. Mesmo com a proibição do TSE aos disparos de mensagens em massa, o jornal Folha de São Paulo identificou ao menos 5 empresas vendendo o serviço de coleta de dados de perfis no facebook, instagram e whatsapp e oferecendo a candidatos8. Em razão disso, o Ministério Público eleitoral já anunciou abertura de investigação sobre o caso9. No Brasil, há 91 milhões de usuários do Instagram10; aproximadamente ,141 milhões de usuários do facebook11 e, aproximadamente, 142 milhões de usuários do aplicativo whatsapp12. Acrescenta-se que, por mais que essas plataformas sejam distintas, pertencem ao mesmo grupo empresarial Facebook, possibilitando o compartilhamento de dados de um mesmo usuário que possua 2 ou mais plataformas da empresa. Com tantos eleitores utilizando as redes sociais, sobretudo, neste período de isolamento social, é lógico e provável que os candidatos tracem seu marketing político com os dados do usuário, entretanto, essa prática, como entendeu o TSE, visa a burlar o processo eleitoral, impedindo que o eleitor reflita livremente sobre os candidatos, pois seria alvo de mensagens direcionadas quando utilizasse a sua rede. A prática ilegal na utilização de dados pessoais prevê multa de até R$50 milhões. Ressalta-se, mais uma vez, que a problemática das eleições municipais é complexa. Para além das novas restrições previstas, o cenário de adiamento eleitoral e das outras restrições legais no sentido de coibir abusos, dificulta, em muito, a viabilidade de novos candidatos desconhecidos disputarem a eleição em pé de igualdade com aqueles já conhecidos e que já puderam ocupar cargos eletivos anteriormente. É inevitável que surjam conflitos de interpretação na aplicação da LGPD nas lides eleitorais, tendo em vista muitas lacunas legais, o contexto de pandemia, o pioneirismo dos dispositivos legais e o tradicional protagonismo do Tribunal Superior Eleitoral em editar Resoluções que regulam a dinâmica das campanhas eleitorais. Essa realidade deve ser levada em conta ao se analisar a extensão das restrições trazidas pela LGPD no que concerne a sua aplicação nas eleições. Assim, ao se exigir o consentimento do eleitor para o recebimento de informações sobre o candidato, para coletar de dados e para as demais operações possíveis; visa-se a estabelecer uma barreira entre o cidadãos e o possível representante, fato que pode tornar a democracia ainda mais indireta, impactando, negativamente, no Estado Democrático de Direito, mas que também auxilia na redução da manipulação do processo eleitoral pelo abuso na utilização de dados dos eleitores. Por conseguinte, deve-se buscar um equilíbrio entre estas duas forças (disputas eleitorais em que haja viabilidade de novos candidatos disputarem de forma equânime as eleições e proteção dos dados) para preservar os princípios democráticos de nosso Estado. *Cristina Godoy Bernardo de Oliveira é professora doutora da Faculdade de Direito de Ribeirão Preto - Universidade de São Paulo desde 2011. Academic Visitor da Faculty of Law of the University of Oxford (2015-2016). Pós-doutora pela Université Paris I Panthéon-Sorbonne (2014-2015). Doutora em Filosofia do Direito pela Faculdade de Direito da USP (2011). Graduada pela Faculdade de Direito da USP (2006). Líder do Grupo de Pesquisa Direito, Ética e Inteligência Artificial da USP - CNPq. Coordenadora do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP). Associada fundadora do Instituto Avançado de Proteção de Dados - IAPD. **Tiago Augustini de Lima é graduando em Direito na Faculdade de Direito de Ribeirão Preto - USP, bolsista PET e bolsista da Iniciação Científica PUB-USP. ***Pedro Sberni Rodrigues é graduando em Direito na Faculdade de Direito de Ribeirão Preto - USP. __________ 1 SOUSA, Maria Eduarda Sampaio de. Proteção de dados pessoais: LGPD e possibilidade de combate às fake News. Disponível aqui, último acesso em 15 de outubro de 2020. 2 BRASIL. Justiça Eleitoral. Disponível aqui. Acesso em 06 de outubro de 2020. 3 SOUSA, Maria Eduarda Sampaio de. LGPD e Eleições: Proteção dos Dados Pessoais dos Eleitores na era do Big Data. Disponível aqui, último acesso em 15 de outubro de 2020. 4 Disponível aqui, último acesso em 14 de outubro de 2020. 5 BRASIL. PL 2630/2020. Art. 13. Os provedores de aplicação que prestarem serviços de mensageria privada desenvolverão políticas de uso que limitem o número de encaminhamentos de uma mesma mensagem a no máximo 5 (cinco) usuários ou grupos, bem como o número máximo de membros de cada grupo de usuários para o máximo de 256 (duzentos e cinquenta e seis) membros. §1º Em período de propaganda eleitoral, estabelecido pelo art. 36 da lei 9.504 de 1997 e durante situações de emergência ou de calamidade pública, o número de encaminhamentos de uma mesma mensagem fica limitado a no máximo 1 (um) usuários ou grupos. Disponivel aqui, último acesso em 14 de outubro de 2020. 6 Disponível aqui, último acesso em 14 de outubro de 2020. 7 Cf. PEROLI, Kelvin. O que são dados pessoais sensíveis? Instituto Avançado de Proteção de Dados, Ribeirão Preto, 03 de novembro de 2019. Disponível aqui, último acesso em 14 de outubro de 2020. 8 Disponível aqui, último acesso em 14 de outubro de 2020. 9 Disponível aqui, último acesso em 14 de outubro de 2020. 10 Disponível aqui, último acesso em 14 de outubro de 2020. 11 Disponível aqui, último acesso em 14 de outubro de 2020. 12 Disponível aqui, último acesso em 14 de outubro de 2020.
O mundo enfrenta, desde o final do ano de 2019, a tragédia que o novo vírus, conhecido como SARS-CoV-2, desencadeou ceifando a vida de mais de 1 milhão de pessoas conforme último relatório da Organização Mundial da Saúde (OMS)1. Diante dos altos níveis de contágio pelo novo Coronavírus, cuja transmissão ocorre a partir do contato com o vírus transportado em gotículas no ar, além de outras formas de contágio, constatou-se que a forma mais eficiente de achatar a curva da disseminação da covid-19 é o isolamento e o distanciamento social. A corrida para o desenvolvimento da vacina tem mobilizado governos, empresas e entidades de pesquisa científica por todo mundo. Além disso, diante do avanço rápido da doença, alguns sistemas tecnológicos foram desenvolvidos, entre eles, aplicativos para celulares e sistemas de informação geográfica, que poderiam analisar tanto o contato pessoal, como também mapear o espalhamento da doença, a taxa de isolamento social, a interação entre grupos sociais, além de prever os riscos de contaminação. É importante destacar que a funcionalidade destes aplicativos está fundada na coleta e na análise de inúmeras informações sobre pessoas identificadas ou identificáveis. Portanto, os desenvolvedores destes aplicativos devem estar atentos aos princípios, às regras de tratamento de dados pessoais e aos direitos dos titulares de dados pessoais trazidos pela LGPD. A LGPD, em vigor desde 18 de setembro de 2020, quando o Presidente Jair Bolsonaro sancionou a lei 14.058/2020, convertendo em lei a Medida Provisória 959/2020, como debatido no primeiro texto desta coluna2 sobre as polêmicas em torno da vigência da LGPD. Muito embora as sanções administrativas previstas nos arts. 52, 53 e 54 da LGPD somente poderem ser aplicadas a partir de 1º de agosto de 2021, os desenvolvedores destes aplicativos podem ser processados caso os titulares de dados venham a sofrer danos materiais ou morais decorrentes do tratamento de dados. Assim, a quantificação do contato e o rastreamento pessoal é hoje fundamentada na utilização da telefonia móvel pessoal. Em outras palavras, os celulares (smart phones) são utilizados como ferramenta para poder identificar a locomoção, os trajetos, e, como cruzamento destas informações com outras, poder detectar se a pessoa está viajando, está em um shopping, foi diagnosticada com o novo coronavirus, etc... Esse modelo de aproximação da eventual realidade física de analisar contatos e fazer um rastreamento pessoal tem na telefonia celular um elevado grau de confiabilidade dada a permeabilidade destes aparelhos na sociedade. O Brasil, por exemplo, tem hoje mais de 227,3 milhões de aparelhos telefônicos móveis, o que indica uma densidade de 107,11 aparelhos a cada 100 habitantes, segundo informações da ANATEL divulgadas no portal TELECO Inteligência em Comunicações3. Portanto, como o número de aparelhos supera o número de habitantes, além de estarem os smart phones conectados com redes sociais, e tantos outros aplicativos utilizados pelo indivíduo, escolheu-se esse como uma boa ferramenta para viabilizar a medida de aproximação tanto do contato quanto do deslocamento de pessoas. As tecnologias de contato e rastreamento utilizam-se de dois tipos de sinais oriundos da telefonia móvel. O primeiro deles é o sinal de posicionamento global (GPS), obtido de satélites que circundam a terra a uma altitude aproximada de 20Km. Captando-se o sinal de ao menos três satélites os telefones conseguem se localizar na superfície terrestre por meio das coordenadas de latitude e longitude. Para comunicação sem fio entre aparelhos celulares, ou entre celulares e outros dispositivos eletrônicos, estes utilizam-se de sinais Bluetooth, que é um protocolo de comunicação padronizado projetado para o baixo consumo de energia. Neste contexto, o FluPhone foi um aplicativo, desenvolvido em Java, para telefones móveis planejado para coletar dados de outros dispositivos móveis na proximidade, dados de GPS e dados de sintomas auto reportados, todos esses por meio de sinais Bluetooth. Este aplicativo foi desenvolvido na Universidade de Cambridge, por uma equipe liderada pela Dra. Eiko Yoneki4. Os dados coletados destes dispositivos móveis eram eventualmente transferidos via protocolo 3G para um computador central, um servidor, que analisava os dados recebidos. O FluPhone era um aplicativo que carregava um patógeno virtual, ou melhor, um modelo matemático de um vírus, que era transmitido para outros telefones que possuíam o aplicativo e "infectava" esses aparelhos. O objetivo é simular a dispersão de uma doença na população, analisar as taxas de contágio e como era o comportamento das pessoas quando em contato com este vírus. Por tal razão, a Medida Provisória 959, de 17 de abril de 2020, autorizava o compartilhamento de informações pessoais entre as empresas de telefonia móvel e fixa com a Fundação IBGE para fins estatísticos cujo objetivo era o de monitorar as taxas de isolamento social. Os perigos deste tipo de compartilhamento são muitos, por isso, o Supremo Tribunal Federal5 suspendeu esta Medida Provisória, em caráter liminar, nas Ações Diretas de Inconstitucionalidade 6387, 6388, 6389, 6390 e 6393. Assim, deve-se distinguir entre "tecnologias de análise de contato pessoal" e "tecnologias de rastreamento pessoal", ambas são utilizadas na batalha contra a disseminação da covid-19. Mas os modelos para "análise de contato" visam prioritariamente informar e educar o usuário deste modelo sobre a doença em curso e suas possibilidades de contágio. Estes modelos são usualmente descentralizados, voluntários e limitados quanto à participação do Estado, pois o uso dos dados obtidos somente pode ocorrer para atender as finalidades informadas e relacionadas estritamente aos eventos epidemiológicos e para salvaguardar a vida e a saúde coletiva. Enquanto, as "tecnologias de rastreamento pessoal" partem de modelos centralizados, muitas vezes compulsórios, em que a unidade central busca mapear e controlar o avanço da doença a partir de informações pessoais dos usuários. Na Singapura, desde 20 de março de 2020, utiliza-se o aplicativo TraceTogether6, que usa a tecnologia Bluetooth para trocar sinas (tokens) com outros aplicativos.  As pessoas infectadas pelo coronavírus devem usar esse aplicativo, que rastreia e identifica pessoas com quem o infectado teve contato, em seguida, o aplicativo avisa essas pessoas, aconselhando-as a fazer quarentena e procurar o sistema de saúde. No início de abril de 2020, a China começou a rastrear seus cidadãos por meio de um aplicativo "detector de proximidade" para telefones móveis o qual estabelece as cores vermelha, amarela e verde aos portadores destes aparelhos7. A Índia lançou, no mês de abril de 2020, o aplicativo Aarogya Setu, que em tradução livre do sânscrito, pode ser aproximado para "uma ponte para saúde", para monitorar possíveis contatos com pessoas infectadas pelo novo coronavírus, tornando-se obrigatório o uso deste aplicativo em determinadas cidades8. No Japão, o COCOA, um acrônimo de Covid-19 Contact-Confirming Application, é um aplicativo desenvolvido pela Microsoft sobre uma infraestrutura de software, criada por um consórcio entre Google e Apple, denominado Privacy-Preserving Contact Tracing9, que criaram um aplicativo especialmente para essa finalidade de rastreamento de doenças. Na Alemanha, o Corona-Warn-App (CWA) foi totalmente desenvolvido usando o DP-3T, Decentralized Privacy-Preserving Proximity Tracing, que é um protocolo aberto, criado especialmente em resposta à pandemia da Covid-19 para facilitar o rastreamento do contato digital entre infectados. Este aplicativo adota técnicas de anonimização, além de vedar o compartilhamento das informações, estando adequado ao Regulamento Geral Europeu sobre Proteção de Dados10. Este sistema inspirou o aplicativo Stopp-Corona na Suíça, porém ele é mais restrito na medida em que inviabiliza o compartilhamento de informações via códigos QR de laboratórios. Na França, o aplicativo StopCovid foi desenvolvido pelo INRIA, Institut National de Recherche en Sciences et Technologies du Numérique, muito parecido com o aplicativo suíço, a única diferença é que a França preferiu adotar um modelo centralizado, ou seja, o Governo francês fica com todas as informações a fim de estabelecer políticas públicas e estratégias de contágio da doença, bem como servir como fonte de pesquisa na área da saúde11. Neste contexto pandêmico, o Brasil foi um dos piores países quanto aos resultados do enfrentamento da pandemia do novo coronavírus, ficando atrás dos Estados Unidos e da Índia, tendo 4.969.141 casos confirmados e 147.494 mortes segundo a Organização Mundial de Saúde12. Quanto à proteção de dados pessoais, o país também não pode ser tido como exemplo. Tal constatação pode ser feita a partir do Sistema de Informações e Monitoramento Inteligente (SIMI) do Governo do Estado de São Paulo, instituído por meio do Decreto Estadual nº 64.963, de 5 de maio de 2020, como a "ferramenta de consolidação de dados e informações coligidos por órgãos e entidades da Administração Pública estadual". Tema já analisado na segunda Coluna Migalhas de Proteção de Dados13 por Cristina Godoy Bernardo de Oliveira e Isadora Maria Roseiro Ruiz. O SIMI usado pelo Governo do Estado de São Paulo utilizava informações compartilhadas pelas empresas de telefonia móvel para medir o deslocamento das pessoas, monitorando a taxa de isolamento social. Todavia, a falta de transparência quanto ao processo de anonimização destes dados e quanto à segurança da informação armazenada, bem como a ausência de consentimento do titular de dados ou, ao menos, informar que este tratamento de dados está sendo feito e a inexistência de um Relatório de Impacto à Proteção de Dados conforme o art. XVII do art. 5º da LGPD, colocam em xeque o Sistema de Informações e Monitoramento Inteligente do Estado de São Paulo. Em nível federal, a Medida Provisória 954, de 17 de abril de 2020, autorizava o compartilhamento de informações como nome, número de telefone e endereço pelas empresas de telefonia móvel e fixa com o IBGE. Todavia, ao analisar esta MP, o Supremo Tribunal Federal (nas Ações Diretas de Inconstitucionalidades n. 6387, 6388, 6389, 6393, 6390) suspendeu a aplicação desta MP, e reconheceu a proteção de dados pessoais como um direito fundamental14. Nota-se que estas informações relacionadas ao contágio da covid-19 são consideradas dados sensíveis, pois relevam informações sobre a saúde do indivíduo15. Portanto, deve-se observar as regras de tratamento de dados pessoais sensíveis estabelecidas no art. 11 da LGPD, quais sejam: - cumprimento de obrigação legal ou regulatória; - pela administração pública quando necessários à execução de políticas públicas; - para a realização de estudos por órgão de pesquisa (garantida a anonimização sempre que possível); - exercício regular de direito; obrigação legal ou regulatória; - para a proteção da vida ou da incolumidade física do titular ou de terceiro; - para a tutela da saúde; e para a prevenção à fraude e à segurança do titular de dados. Destas, destacam-se a proteção da vida ou da incolumidade física do titular de dados ou de terceiros e a tutela da saúde, alíneas "e" e "f", respectivamente, do art. 11 da LGPD. Assim, ainda que seja dispensado o consentimento do titular dos dados, pois o tratamento se justifica na tutela da saúde dos titulares de dados e de terceiros, não se pode olvidar dos ditames legais. Portanto, alguns cuidados devem ser tomados notadamente quanto à segurança destas informações e ao compartilhamento de dados entre entes públicos e privados. Assim, todas estas informações devem ser coletadas e armazenadas com muita responsabilidade, apresentando o Relatório de Impacto à Proteção dos Dados Pessoais (art. 38), conceituado no inc. XVII do art. 5º da LGPD como a documentação que contem a descrição dos processos de tratamento de dados que podem gerar riscos às liberdades civis e aos direitos fundamentais, apontando as medidas, salvaguardas e mecanismos de mitigação de risco. Ainda que não seja obrigatória a manifestação do consentimento, se não for esta a base para o tratamento de dados, os agentes de tratamento de dados devem comunicar publicamente tal prática, pois a transparência é um princípio do tratamento de dados (inc. VI do art. 6º da LGPD), bem como o direito à informação previsto no art. 18, inc. I, II, VII e VIII da LGPD. Em suma, conclui-se que a União Europeia tem enfrentado o uso dessas tecnologias com muita responsabilidade com destaque para a Declaração Conjunta do Conselho Europeu sobre Proteção de Dados no Contexto da COVID-19, de 30/3/202016. As diretrizes na União Europeia quanto à proteção de dados na época da pandemia da covid-19 são: - tratar os dados minimamente necessários; - eliminação desses dados após a situação de emergência global decorrente da pandemia; - precedência do relatório de impacto à proteção de dados; - adoção de medidas técnicas e organizacionais que asseguram a inviolabilidade destes bancos de dados; - tecnologias de coleta e tratamento de dados pessoais, como as tecnologias de rastreamento pessoal, somente podem ser utilizadas se se comprovar que os benefícios superam em muito os prejuízos à proteção de dados pessoais. Parece-nos que tais diretrizes estão de acordo com a LGPD, devendo orientar os aplicativos de rastreamento pessoal, bem como para o compartilhamento de dados pessoais entre entes públicos e privados. *Cíntia Rosa Pereira de Lima é professora de Direito Civil da Faculdade de Direito da USP Ribeirão Preto - FDRP. Doutora em Direito Civil pela Faculdade de Direito da USP com estágio na Universidade de Ottawa (Canadá) com bolsa CAPES - PDEE - Doutorado Sanduíche e livre-docente em Direito Civil Existencial e Patrimonial pela Faculdade de Direito de Ribeirão Preto (USP). Pós-doutora em Direito Civil pela Università degli Studi di Camerino (Itália) com fomento FAPESP e CAPES. Líder e Coordenadora dos Grupos de Pesquisa "Tutela Jurídica dos Dados Pessoais dos Usuários da Internet" e "Observatório do Marco Civil da Internet", cadastrados no Diretório de Grupos de Pesquisa do CNPq e do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP).  Presidente do Instituto Avançado de Proteção de Dados - IAPD. Advogada. **Evandro Eduardo Seron Ruiz é professor Associado do Departamento de Computação e Matemática, FFCLRP - USP, onde é docente em dedicação exclusiva. Atua também como orientador no programa de pós-graduação em Computação Aplicada do DCM-USP. Bacharel em Ciências de Computação pela USP, mestre pela Faculdade de Engenharia Elétrica da UNICAMP, Ph.D. em Electronic Engineering pela University of Kent at Canterbury, Grã-Bretanha, professor Livre-docente pela USP e pós-Doc. pela Columbia University, NYC. Coordenador do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP). Membro fundador do Instituto Avançado de Proteção de Dados - IAPD. __________ 1 Disponível aqui, último acesso em 8 de outubro de 2020. 2 Disponível aqui, último acesso em 8 de outubro de 2020. 3 Disponível aqui, último acesso em 8 de outubro de 2020. 4 YONEKI, Eiko. Fluphone study: Virtual disease spread using haggle. In: Proceedings of the 6th ACM Workshop on Challenged Networks. 2011. pp. 65-66. 5 Disponível aqui, último acesso em 8 de outubro de 2020. 6 Disponível aqui, último acesso em 8 de outubro de 2020. Cf., último acesso em 08 de outubro de 2020. 7 ABC News, 14 de abril de 2020. Disponível aqui, último acesso em 8 de outubro de 2020. 8 GARG, Suneela; BHATNAGAR, Nidhi; GANGADHARAN, Navya. A case for participatory disease surveillance of the COVID-19 pandemic in India. In: JMIR Public Health and Surveillance, v. 6, n. 2, p. e18795, 2020. 9 APPLE 2020. Disponível aqui, último acesso em 8 de outubro de 2020. 10 REELFS, Jens Helge; HOHLFELD, Oliver; POESE, Ingmar. Corona-Warn-App: Tracing the Start of the Official COVID-19 Exposure Notification App for Germany. Disponível aqui, último acesso em 8 de outubro de 2020. 11 Cf. CNIL Revision. Disponível aqui, último acesso em 8 de outubro de 2020. 12 Disponível aqui, último acesso em 8 de outubro de 2020. 13 Disponível aqui, último acesso em 8 de outubro de 2020. 14 Cf. STF, último acesso em 8 de outubro de 2020. 15 Cf. PEROLI, Kelvin. O que são dados pessoais sensíveis? Instituto Avançado de Proteção de Dados, Ribeirão Preto, 03 de novembro de 2019. Disponível aqui. Acesso em 7/9/2020. 16 Joint Statement on the right to data protection in the context of the COVID-19 pandemic by Alessandra Pierucci, Chair of the Committee of Convention 108 and Jean-Philippe Walter, Data Protection Commissioner of the Council of Europe. Disponível aqui, último acesso em 2/8/2020.
Nesta semana, a sociedade brasileira poderá ter uma definição sobre o "direito ao esquecimento". Isso é o que se espera, tendo em vista o Supremo Tribunal Federal ter pautado para o dia 30/09/2020, o julgamento do "Tema 786 - Aplicabilidade do direito ao esquecimento na esfera civil quando for invocado pela própria vítima ou pelos seus familiares". No entanto, este artigo pretende demonstrar que esta é uma figura caleidoscópica o que compromete a funcionalidade da aplicação de uma tese para outros casos "análogos". Isto porque dificilmente existirão casos análogos, o que se pode constatar da própria experiência dos tribunais estrangeiros e dos tribunais brasileiros, que enfrentou esta tese em casos propostos pelos condenados, pelas vítimas, pelos familiares das vítimas (como é o caso em debate no STF), e como se fosse sinônimo de direito à desindexação, etc. Preliminarmente cumpre  esmiuçar o conceito de "direito ao esquecimento". A gênese do direito ao esquecimento está relacionada à privacidade (riservatezza ou privacy) e proteção dos dados pessoais (autodeterminação informativa); mas não só1. Neste sentido, destaca-se a vagueza semântica do que vem a ser o "direito ao esquecimento". Quanto à terminologia, etimologicamente, a expressão que melhor traduz este direito é a expressão em inglês "right to oblivion", do grego Lethe (????), entendida como a perda forçada da memória2. Assim, percebe-se que em outros idiomas prevalece esta origem, por exemplo, na Itália, diritto all'oblio; na França, le droit à l'oublie; na Espanha, derecho al olvido. Quanto ao conteúdo, entende-se que o direito ao esquecimento é um direito de personalidade autônomo por meio do qual o indivíduo, a fim de não ser estigmatizado como o ser humano em determinado momento de sua vida, pode pedir para excluir ou deletar as informações a seu respeito, ou mesmo impedir a propagação e divulgação de determinado conteúdo que lhe diga respeito, notadamente quando tenha passado um lapso temporal considerável desde a sua coleta e utilização ou sua ocorrência, e desde que tais informações não tenham mais utilidade ou não interfiram no direito de liberdade de expressão, científica, artística, literária e jornalística3. Esta parte final é para destacar a dinamicidade do direito ao esquecimento, que é o resultado da ponderação entre outros direitos de personalidade e direitos e garantias fundamentais. Na feliz síntese de Massimiliano Mezzanotte4, trata-se de uma situação jurídica subjetiva com corpus de um direito à identidade pessoal; mas animus de direito à privacidade. Em outras palavras, para a pessoa não ser estigmatizada como aquela em determinado momento de sua vida, alguns fatos pregressos não podem ser veiculados de forma trivial, podendo ser até mesmo excluídos se esta for a maneira pela qual se deva efetivar o "direito ao esquecimento". Diante do conteúdo dinâmico do direito ao esquecimento, questiona-se a (in)utilidade de um tema de repercussão geral, pois dificilmente poderá ser aplicado a casos análogos. A Emenda Constitucional 45, de 30 de dezembro de 2004, acrescentou o § 3º ao art. 102 da Constituição Federal de 1988, na tentativa de estabelecer um outro critério para a admissibilidade dos recursos extraordinários5. Este critério foi regulado pela lei 11.418/2006, que acrescentou os artigos 543-A e 543-B no antigo Código de Processo Civil, bem como a reforma do artigo 21 do Regimento Interno do STF, de 03 de maio de 2007. Atualmente, estes dispositivos são os artigos 1.035 e 1.036 do Código de Processo Civil, lei 13.105/2015. Entretanto, o art. 926 do atual CPC determina, in verbis: Art. 926. Os tribunais devem uniformizar sua jurisprudência e mantê-la estável, íntegra e coerente.  § 1º Na forma estabelecida e segundo os pressupostos fixados no regimento interno, os tribunais editarão enunciados de súmula correspondentes a sua jurisprudência dominante.  § 2º Ao editar enunciados de súmula, os tribunais devem ater-se às circunstâncias fáticas dos precedentes que motivaram sua criação. Deve-se atentar ao § 2º do art. 926, que obriga os tribunais atentarem-se às circunstâncias fáticas dos precedentes para que possam ser aplicados em fatos análogos. Aí está o principal problema em se tratando do direito ao esquecimento, seu conteúdo é dinâmico (o que chamamos "caleidoscópico") o que dificultará em muito a aplicação de um precedente em outros casos, pois estes apresentam tantos fatos distintos ("distinguishing facts"), o que compromete a utilidade de uma tese sobre o tema do direito ao esquecimento. Para citar alguns exemplos diversos sobre o "direito ao esquecimento", em um julgado pelo Tribunal de Justiça do Rio de Janeiro6, uma esteticista que queimara sua cliente em um procedimento a lazer, solicitou, com base no direito ao esquecimento, que este fato fosse retirado da plataforma de busca da Yahoo! Em outro caso, o Tribunal de Justiça de São Paulo7 considerou inaplicável o direito ao esquecimento para um "skinhead", que participava de uma manifestação deste grupo e teve suas fotos publicadas nas notícias sobre tal acontecimento. O TJ/SP entendeu que o fato era recente e socialmente relevante na medida em que outras pessoas devem ter conhecimento desta manifestação, inclusive as autoridades públicas para as providências cabíveis. Nestes casos, quem ingressou com o pedido foi quem realizou a ação à qual se pretendia mitigar o acesso. Entretanto, no caso ora em debate iniciou-se no STJ8, sendo que o Ministro Relator Luis Felipe Salomão afirma reconhecer o direito ao esquecimento para todos, porém não se aplica no caso concreto. Em recurso, o caso está em debate no STF9, RE 1010606, Relator Ministro Dias Toffoli, em que os familiares da vítima se insurgem contra um documentário a ser transmitido sobre o brutal feminicídio do qual foi vítima sua parente. Observe-se que, nesse caso, trata-se de programa de televisão (não sobre ferramentas de busca na Internet como os casos supra mencionados), sendo o pedido feito pelos familiares da vítima. Estas circunstâncias fáticas tão distintas revelam à impossibilidade de se aplicar a tese sobre direito ao esquecimento a todos estes casos por serem distintos. Portanto, não se pode confundir o direito ao esquecimento com o  caso mais emblemático que tem chamado a atenção dos acadêmicos e pesquisadores de Direito, o famoso Google Spain. No dia 13 de maio de 2014, em decisão inédita, a Grande Seção do Tribunal de Justiça da União Europeia reconheceu, em face da Google, o direito à desindexação, determinando a remoção ou "de-listagem" de dados sensíveis dos resultados de busca na Internet, (do inglês, right  to be delisted). O caso teve como origem um litígio entre a Google e um cidadão espanhol, Mario Costeja González. Ele pretendia excluir seus dados pessoais da ferramenta de busca, especialmente com relação ao fato de que seu imóvel, nos anos 1990, foi levado a leilão para pagamento de dívidas com a previdência social da Espanha, sendo que o débito chegou a ser quitado de modo a evitar a venda judicial. Foi rejeitado o argumento da Google de que somente exibe conteúdos indexáveis (que estão online e são passíveis de serem encontrados) e não teria responsabilidade sobre o seu conteúdo.  Embora satisfeito o débito, as dívidas e a referência ao leilão continuaram aparecendo nas buscas pelo nome do interessado no site da Google, de maneira ofensiva à sua dignidade, não obstante se tratasse de informação pretérita e sem relevância social, tendo em vista a publicação, em 1998, pelo jornal espanhol La Vanguardia, de dois editais de leilão do bem em questão.  O Tribunal de Justiça Europeu considerou que o operador de um motor de busca sofre a incidência do Artigo 2.º, d, da Diretiva 95/46 da Comunidade Econômica Europeia, que define o responsável pelo tratamento de dados pessoais como "a pessoa singular ou coletiva, a autoridade pública, o serviço ou qualquer outro organismo que, individualmente ou em conjunto com outrem, determine as finalidades e os meios de tratamento dos dados pessoais".                A desindexação envolve a possibilidade de se se pleitear a retirada de certos resultados (conteúdos ou páginas) relativos a uma pessoa específica de determinada pesquisa, em razão de o conteúdo apresentado ser prejudicial ao seu convívio em sociedade, expor fato ou característica que não mais se coaduna com a identidade construída com a pessoa ou apresente informação equivocada ou inverídica. A desindexação não atinge a publicação em si, pois não importa na remoção de conteúdo de página da web, mas sim importa na eliminação de referências a partir de pesquisas feitas com base em determinadas palavras-chave10.   Outra figura que não se confunde com o direito ao esquecimento, a remoção de conteúdo, que pode funcionar como um dos instrumentos ou meios para o seu exercício, do ponto de vista processual, nos termos do artigo 497, parágrafo único do Código de Processo Civil, no campo das obrigações de fazer ou não fazer,  independentemente de dolo ou culpa11. Em outras palavras, pode haver o exercício do direito ao esquecimento sem remoção de conteúdo, cingindo-se o pedido à indenização por perdas e danos  ou a outras medidas de apoio. Uma corrente contrária ao direito ao esquecimento aponta um Estado censor da liberdade de imprensa, que, em troca de indenizações às vítimas, permitiria que tudo fosse publicado, apagando-se todos os danos às situações jurídicas existenciais. As vozes contrárias ao direito ao esquecimento argumentam, muitas vezes, que é necessário atribuir preferência à liberdade de informação, resolvendo-se a questão em futura indenização por danos causados. Afirma-se que haveria uma imprevisibilidade quanto à possibilidade jurídica de realização de programas televisivos, edição de livros e daí por diante, instaurando-se uma insegurança generalizada que poderia prejudicar a liberdade de informação em detrimento de toda a sociedade12. Mas a principal consequência do exercício do direito ao esquecimento, tendo em vista o princípio da precaução, deve ser a imposição de obrigações de fazer e não fazer, consagrando o "direito de não ser vítima de danos", tendo em vista, após a ponderação dos interesses envolvidos, a retirada do material ofensivo. O contrário afronta a principiologia de toda a responsabilidade civil contemporânea, de modo que a deturpação da projeção do ser humano sobre a esfera pública é frequentemente irremediável e a "marca" que lhe é atribuível publicamente não se apaga com o recebimento de qualquer soma em dinheiro. Segundo Anderson Schreiber13, indenizações pecuniárias são ineficazes na reparação de um dano que se liga à própria identificação social de um indivíduo e que pode acompanhá-lo de modo permanente por toda a vida. Se algum dos interesses em conflito deve contar com uma preferência apriorística, certamente é o interesse ligado à dignidade da pessoa humana. O argumento de que o interesse da sociedade pela livre informação prevalece sobre interesses individuais reedita perigosamente uma equação tipicamente autoritária, que defende o coletivo como sendo superior ao individual. Em se tratando de atributos essenciais da personalidade humana, ocorre o oposto: o individual é que deve prevalecer, em sintonia com a ideia de autonomia existencial do ser humano, que não pode sofrer intervenções fundadas no existencial do ser humano, que não pode sofrer intervenções fundadas no interesse alheio. O corpo do ser humano é inviolável, ainda que a sociedade possa ser beneficiada por tratamentos médicos compulsórios; a privacidade e a imagem do ser humano não podem ser usurpadas, ainda que um banco de dados universal pudesse dar mais segurança á coletividade contra a prática de crimes; e assim sucessivamente. O utilitarismo social não justifica violações a interesses existenciais do ser humano, que são importante conquista da humanidade14.  A reparação de danos somente ocorrerá excepcionalmente, caso se trate de ofensa consumada a situação jurídica existencial, não passível de remédio por meio da execução específica15.  O ideal deveria ter sido a LGPD mencionar expressamente este direito como o faz o art. 17 do Regulamento Geral Europeu sobre Proteção de Dados (General Data Protection Regulation - GDPR)16. Entretanto, tal omissão não impede o reconhecimento do direito ao esquecimento como um direito de personalidade autônomo. Esperamos que o STF esteja sensível às ponderações feitas neste artigo, conforme a melhor doutrina e jurisprudência sobre a matéria. Para além do julgamento do dia 30/9/2020 sobre o caso, a Autoridade Nacional de Proteção de Dados poderá, assim esperamos, atuar de maneira eficiente, recebendo reclamações dos titulares de dados conforme previsto no inciso V do art. 55-J da LGPD, reiterado no inciso V do art. 2º do decreto 10.474, de 26 de agosto de 2020.  Cíntia Rosa Pereira de Lima é professora de Direito Civil da Faculdade de Direito da USP Ribeirão Preto - FDRP. Doutora em Direito Civil pela Faculdade de Direito da USP com estágio na Universidade de Ottawa (Canadá) com bolsa CAPES - PDEE - Doutorado Sanduíche e livre-docente em Direito Civil Existencial e Patrimonial pela Faculdade de Direito de Ribeirão Preto (USP). Pós-Doutora em Direito Civil pela Università degli Studi di Camerino (Itália) com fomento FAPESP e CAPES. Líder e Coordenadora dos Grupos de Pesquisa "Tutela Jurídica dos Dados Pessoais dos Usuários da Internet" e "Observatório do Marco Civil da Internet", cadastrados no Diretório de Grupos de Pesquisa do CNPq e do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP).  Presidente do Instituto Avançado de Proteção de Dados - IAPD. Advogada.  Guilherme Magalhães Martins é promotor de Justiça. Professor associado de Direito Civil-UFRJ. Doutor em Direito Civil pela UERJ. Pós-doutorando pela Faculdade de Direito da Universidade de São Paulo. Integrante do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP). Associado fundador do Instituto Avançado de Proteção de Dados. __________ 1 LIMA, Cíntia Rosa Pereira de. Direito ao Esquecimento. Disponível aqui. Último acesso em 28/9/2020. 2 PARENTONI, Leonardo. O Direito ao Esquecimento (Right to Oblivion). In: DE LUCCA, Newton; SIMÃO FILHO, Adalberto; LIMA, Cíntia Rosa Pereira de. Direito & Internet III: Marco Civil da Internet (Lei n. 12.965/2014). São Paulo: Quartier Latin, 2015. pp. 539 - 618. 3 LIMA, Cíntia Rosa Pereira de. Direito ao esquecimento e internet: o fundamento legal no Direito Comunitário Europeu, no Direito Italiano e no Direito Brasileiro. In: CLÊVE, Clêmerson Merlin; BARROSO, Luis Roberto. Coleção Doutrinas Essenciais em Direito Constitucional: direitos e garantias fundamentais, volume VIII, São Paulo, Revista dos Tribunais, 2015, p. 511 - 544. 4 Il diritto all'oblio: contributo allo studio della privacy storica. Napoli: Edizioni Scientifiche Italiane, 2009. p. 81. 5 TUCCI, José Rogério Cruz e. A "repercussão geral" como pressuposto de admissibilidade do recurso extraordinário, In: Doutrinas Essenciais de Direito Constitucional, vol. 10, pp. 1223-1230, São Paulo: Revista dos Tribunais, agosto, 2015. 6 Agravo de Instrumento n° 0051483-50.2012.8.19.0000, julgado em 23/10/2012, rel. Des. Antônio Saldanha Palheiro. 7 Apelação no 1113869-27.2014.8.26.0100 - São Paulo - VOTO No 14.177 C - 2/16. 8 Rel. Ministro LUIS FELIPE SALOMÃO, 4a TURMA, giudicato a 28/05/2013. Disponível aqui, último acesso em 28/9/2020. 9 STF. 10 TEFFÉ, Chiara Spadaccini de; BARLETTA, Fabiana Rodrigues. O direito ao esquecimento: uma expressão possível do direito à privacidade. In: TEPEDINO, Gustavo; TEIXEIRA, Ana Carolina Brochado; ALMEIDA, Vitor. O Direito Civil entre entre o sujeito e a pessoa; estudos em homenagem ao professor Stefano Rodotà. Belo Horizonte: Fórum, 2016. p.267-268. 11 Código de Processo Civil,  art. 497, p.único: "Na ação que tenha por objeto a prestação de fazer ou não fazer, o juiz, se procedente o pedido, concederá tutela específica ou determinará providências que assegurem a obtenção da tutela pelo  resultado prático equivalente. Parágrafo único. Para a concessão da tutela específica destinada a inibir a prática , a reiteração ou a continuação de um ilícito, ou a sua remoção, é irrelevante a demonstração da ocorrëncia de dano ou da existência de culpa ou dolo". 12 SCHREIBER, Anderson. Direito ao esquecimento, In SALOMÃO, Luis Felipe; TARTUCE, Flavio. Direito Civil; Diálogos entre a doutrina e a jurisprudência. São Paulo: Atlas, 2018, p.77-78. 13 SCHREIBER, Anderson. Direito ao esquecimento, In SALOMÃO, Luis Felipe; TARTUCE, Flavio. Direito Civil,  op.cit, p. 78. 14 SCHREIBER, Anderson. Direito ao esquecimento, In SALOMÃO, Luis Felipe; TARTUCE, Flavio. Direito Civil,  op.cit, p. 78. 15 Como já tivemos a oportunidade de escrever, o princípio da precaução volta-se à "eliminação prévia (anterior à produção do dano) dos riscos da  lesão, paralelamente ao espaço já ocupado pela reparação dos danos já ocorridos, cujo monopólio deixa de existir". MARTINS, Guilherme Magalhães. Risco, solidariedade e responsabilidade civil. In: ______. (coord.)Temas de responsabilidade civil. Rio de Janeiro: Lumen Juris, 2012. p. xiii. 16 Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation). Disponível aqui, último acesso em 2/8/2020.
Controle epidemiológico requer sistematização, que, por sua vez, necessita, como um prompt de comando algorítmico, de informação: a coleta de dados pessoais e de dados sobre a situação da infraestrutura do sistema de saúde das regiões atingidas. O combate à COVID-19 demandou, portanto, os dados, sempre acurados, a refletir a realidade de cada instante. Isso somente foi possível tendo em vista algumas ferramentas, como a Inteligência Artificial, o Big Data, dentre outras. A "gripe espanhola" (assim conhecida após o Rei Afonso XIII e grande parte do Gabinete do governo espanhol convalescerem-se da doença, e divulgarem-na seriamente ao mundo), ou "gripe brasileira", no Senegal, ou "soldado de Nápoles", em Madrid, ou até "oença dos bolcheviques", na Polônia1, era, no início de 1918, tão incerta quanto o seu nome.  No entanto, o seu legado foi a revolução do modo de lidar com a saúde pública: a medicina socializada foi gradualmente sendo implementada em diversos países (inicialmente, na União Soviética)2 e a epidemiologia, como o estudo das causas e dos efeitos das patologias, considerada como uma ciência. Na Áustria, em 1919, foi inaugurada uma organização internacional de combate às pandemias - a precursora da OMS. Diversos países criaram seus ministérios da saúde apenas após a pandemia, durante a década de 1920. Na União Soviética, em 1924, o médico do futuro foi descrito como o profissional que teria a capacidade de não somente curar, mas de sugerir medidas de prevenção. É esta a visão que influenciou os sistemas públicos de saúde durante as décadas seguintes. É neste contexto que entra o âmbito epidemiológico - e a utilização de dados pessoais relativos à saúde, ou seja, de uma categoria de dados pessoais sensíveis3. A epidemiologia é o estudo dos fatores que determinam a frequência e a distribuição das doenças nas coletividades humanas: enquanto a clínica é o estudo da doença no indivíduo, realizando análises casuísticas. A epidemiologia estuda os problemas de saúde em grupos de pessoas - por vezes, grupos pequenos, porém, majoritariamente, envolvendo populações numerosas4, de acordo com a Associação Internacional de Epidemiologia (IEA, em inglês), já em 1973. No contexto epidemiológico, a capacidade de contágio de um microorganismo é denominada de R0. R0=1 significa dizer que uma pessoa infectada infecta uma outra. R0>1 significa que uma pessoa infectada está a infectar muitas outras, em crescimento exponencial - o que desenvolve, ao passar do tempo, um contexto de epidemia ou, mais gravosamente, de pandemia5. No gráfico a seguir, é representada a situação da capacidade de contágio (da infectividade), no Brasil, da Covid-19, do início de março até meados de setembro de 2020, com dados tratados por Flávio Figueiredo6: Figura I: Infectividade estimada no Brasil pela SARS-CoV-2, entre 03 de março e 13 de setembro de 2020. Observa-se que o contágio por pessoa no Brasil ultrapassou a marca de seis, ou seja, uma pessoa foi capaz de contaminar outras seis, durante o período de proliferação do vírus, no mês de março, havendo um decréscimo nos meses posteriores, chegando, recentemente, a um índice de infectividade menor que um (R0<1), o que pode indicar a passagem do plateau da doença - a depender, por exemplo, da manutenção da taxa atual de isolamento social e do reforçamento da cultura de prevenção. Neste contexto, pergunta-se: qual a utilidade na exposição dos dados estatísticos da infectividade da Covid-19? Essencialmente, proporcionar os dados para o planejamento, para a execução e para a avaliação das ações de prevenção e contenção do vírus, estabelecendo prioridades para cada região, mais ou menos atingidas, isto para os agentes de saúde e para os policymakers. Estes últimos devem estar atentos aos estudos da epidemiologia sem se descuidar dos outros interesses da sociedade - neste caso, também a proteção dos dados pessoais relativos à saúde. Destaca-se que a proteção aos dados pessoais já foi reconhecida como um direito fundamental pelo STF no julgamento das ADIs 6387, 6388, 6389, 6390 e 6393, suspendendo os efeitos da Medida Provisória n. 954/2020. Neste julgado, a Ministra Relatora Rosa Weber destacou que, no atual estágio da sociedade informacional, não existem dados pessoais insignificantes ou inofensivos e que o grande volume de informações coletadas é tratado com outras informações, resultando em valiosos perfis de cada pessoa, podendo ser utilizados para inúmeras finalidades, seja pelo Poder Público, seja pelos entes privados. Neste sentido, constatou-se uma corrida desenfreada pela coleta e pelo tratamento de dados pessoais, durante este período pandêmico, v.g., por softwares de localização de pessoas, em meio ao monitoramento do isolamento na pandemia, desenvolvidos e utilizados em diversos países, inclusive no Brasil (como o SIMI - Sistema de Informações e Monitoramento Inteligente do Estado de São Paulo, cujas irregularidades já foram pauta de Isadora Maria Roseiro Ruiz e Cristina Godoy Bernardo de Oliveira7, nesta coluna). Todavia, percebe-se que os dados pessoais sensíveis são protegidos com maior rigor na LGPD. Entendem-se por dados pessoais sensíveis as informações sobre origem racial e étnica, convicção religiosa, opinião política filiação sindical, de caráter religioso, filosófico ou político e informações sobre a saúde, vida sexual, dado genético ou biométrico, conforme o art. 5º, inc. II da LGPD, em vigor desde 18 de setembro de 20208. Portanto, para o tratamento destes dados pessoais, deve-se atentar às regras de tratamento de dados previstas no art. 11 da LGPD9, quais sejam: - consentimento do titular ou seu responsável legal de forma específica e destacada; - cumprimento de obrigação legal ou regulatória; - pela administração pública quando necessários à execução de políticas públicas; - para a realização de estudos por órgão de pesquisa (garantida a anonimização sempre que possível); - exercício regular de direito; obrigação legal ou regulatória; - para a proteção da vida ou da incolumidade física do titular ou de terceiro; - para a tutela da saúde; e - para a prevenção à fraude e à segurança do titular de dados. Dentre estas bases de tratamento de dados sensíveis, as alíneas "e" e "f" (acima, em destaque), além do art. 13 da LGPD, bem como o que dispõe o vigente Regulamento Sanitário Internacional, acordado na 58ª Assembleia Geral da Organização Mundial de Saúde, em 23 de maio de 2005, e promulgado pelo decreto 10.212/202010, sobretudo em relação ao seu art. 45. Quanto ao art. 11 da LGPD, faz-se referimento à alínea "e" (para a proteção da vida ou da incolumidade física do titular ou de terceiro) e à alínea "f", relativamente à "tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária". Quanto ao seu art. 13, quando da realização dos estudos de saúde pública - "os órgãos de pesquisa poderão ter acesso a bases de dados pessoais, que serão tratados exclusivamente dentro do órgão e estritamente para a finalidade de realização de estudos e pesquisas e mantidos em ambiente controlado e seguro, conforme práticas de segurança previstas em regulamento específico e que incluam, sempre que possível, a anonimização ou pseudonimização dos dados, bem como considerem os devidos padrões éticos relacionados a estudos e pesquisas" - cujo acesso aos dados ainda deverá ser objeto de regulamentação pela ANPD e pelas autoridades de saúde, como impõe o § 3° do referido artigo. Quanto ao art. 45 do Regulamento Sanitário Internacional, faz-se referimento à transferência internacional de dados pessoais relativos à saúde, de valor fundamental no âmbito da reabertura de fronteiras e circulação de pessoas e da necessidade do monitoramento:  "1. As informações de saúde coletadas ou recebidas por um Estado Parte de outro Estado Parte ou da OMS, consoante este Regulamento, referentes a pessoas identificadas ou identificáveis, deverão ser mantidas em sigilo e processadas anonimamente, conforme exigido pela legislação nacional. 2. Não obstante o Parágrafo 1º, os Estados Partes poderão revelar e processar dados pessoais quando isso for essencial para os fins de avaliação e manejo de um risco para a saúde pública, no entanto os Estados Partes, em conformidade com a legislação nacional, e a OMS, devem garantir que os dados pessoais sejam: (a) processados de modo justo e legal, e sem outros processamentos desnecessários e incompatíveis com tal propósito; (b) adequados, relevantes e não excessivos em relação a esse propósito; (c) acurados e, quando necessário, mantidos atualizados; todas as medidas razoáveis deverão ser tomadas a fim de garantir que dados imprecisos ou incompletos sejam apagados ou retificados; e (d) conservados apenas pelo tempo necessário." É de se destacar, por fim, a imprescindibilidade do conhecimento, por parte dos policymakers, desse equilíbrio entre as necessidades da proteção aos direitos e liberdades fundamentais (dentre eles, a proteção de dados pessoais11) e do relevo da medicina epidemiológica, especialmente, capaz de sublinhar os efeitos de escala. Portanto, todo tratamento de dados pessoais deve atender à uma finalidade determinada, observada a base legal para o referido tratamento. Por isso, todas as ferramentas de tratamento de dados pessoais sensíveis devem observar, preferencialmente, o consentimento do titular de dados, que deve anuir às finalidades especificadas de forma destacada. A tutela da vida e da saúde do titular de dados e de terceiros, como duas das bases de tratamento, devem observar a real eficácia ao combate da disseminação da doença, a fim de justificar a conduta. De qualquer maneira, um pressuposto importante para realizar o tratamento de dados pessoais sensíveis em massa, ainda que num contexto pandêmico como o atual, é o Relatório de Impacto, entendido como "documentação do controlador que contém a descrição dos processos de tratamento de dados pessoais que podem gerar riscos às liberdades civis e aos direitos fundamentais, bem como medidas, salvaguardas e mecanismos de mitigação de risco", nos termos do inc. XVII do art. 5º da LGPD. Em suma, deve-se buscar um equilíbrio necessário entre o tratamento de dados pessoais, em épocas históricas de pandemia, e a imperiosa proteção aos titulares dos dados pessoais, sem ignorar, por óbvio, os estudos epidemiológicos - como destacado por Ferreira Gullar, em 1962, em Poema Brasileiro12: "No Piauí,de cada 100 crianças que nascem78 morremantesde completar8 anos de idadeantes de completar 8 anos de idadeantes de completar 8 anos de idadeantes de completar 8 anos de idadeantes de completar 8 anos de idade."  E cada uma tem um nome.  Cíntia Rosa Pereira de Lima é professora de Direito Civil da Faculdade de Direito da USP Ribeirão Preto - FDRP. Doutora em Direito Civil pela Faculdade de Direito da USP com estágio na Universidade de Ottawa (Canadá) com bolsa CAPES - PDEE - Doutorado Sanduíche e livre-docente em Direito Civil Existencial e Patrimonial pela Faculdade de Direito de Ribeirão Preto (USP). Pós-Doutora em Direito Civil pela Università degli Studi di Camerino (Itália) com fomento FAPESP e CAPES. Líder e Coordenadora dos Grupos de Pesquisa "Tutela Jurídica dos Dados Pessoais dos Usuários da Internet" e "Observatório do Marco Civil da Internet", cadastrados no Diretório de Grupos de Pesquisa do CNPq e do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP).  Presidente do Instituto Avançado de Proteção de Dados - IAPD. Advogada. Kelvin Peroli é graduando em Direito na Faculdade de Direito de Ribeirão Preto da USP, com experiência acadêmica na Seconda Università degli Studi di Napoli (Itália). Membro dos Grupos de Pesquisa "Tutela Jurídica dos Dados Pessoais dos Usuários da Internet" e "Observatório do Marco Civil da Internet", cadastrados no Diretório de Pesquisa do CNPq. Integrante do Grupo de Estudos "Tech Law", do Instituto de Estudos Avançados da USP. Associado Fundador do Instituto Avançado de Proteção de Dados - IAPD. Membro do IBDCONT - Instituto Brasileiro de Direito Contratual. Autor de livro e artigos sobre Direito Digital. __________ 1 FRANCIS, Gavin. The Untreatable. London Review of Books, vol. 40, n. 02, 25 de janeiro de 2018. Disponível aqui. Acesso em 5/9/2020. 2 SPINNEY, Laura. The 1918 Flu Pandemic that revolutionized Public Health: mass death changed how we think about illness, and Government's role in treating it. Zócalo Public Square, 26 de setembro de 2017. Disponível aqui. Acesso em 7/9/2020. 3 Cf. PEROLI, Kelvin. O que são dados pessoais sensíveis? Instituto Avançado de Proteção de Dados, Ribeirão Preto, 03 de novembro de 2019. Disponível aqui. Acesso em 7/9/2020. 4 WHITE, Kerr Lachlan. Contemporary Epidemiology. International Journal of Epidemiology, vol. 3, n. 4, dezembro de 1974, pp. 295-303. Disponível aqui. Acesso em 7/9/2020. 5 MARRONE, Cristina. Coronavirus, che cosa è l'indice Rt e che differenza c'è con L'R0. Corriere della Sera, 17 de maio de 2020. Disponível aqui. Acesso em 5/9/2020. 6 FIGUEIREDO, Flávio. Estimativas de R(t) por Estados do Brasil. Disponível aqui. Acesso em 19/9/2020. 7 RUIZ, Isadora Maria Roseiro; OLIVEIRA, Cristina Godoy Bernardo. Os 4 problemas do Sistema de Informações e Monitoramento Inteligente do governo de SP. Migalhas, 14 de agosto de 2020. Disponível aqui. Acesso em 7/9/2020. 8 Cf. PEROLI, Kelvin. O que são dados pessoais sensíveis? Instituto Avançado de Proteção de Dados, Ribeirão Preto, 03 de novembro de 2019. Disponível aqui. Acesso em 7/9/2020. 9 LIMA, Cíntia Rosa Pereira de Lima. O que é a LGPD? Instituto Avançado de Proteção de Dados, Ribeirão Preto, 03 de novembro de 2019. Diponível aqui. Acesso em 7/9/2020. 10 BRASIL. Decreto 10.212, de 30 de janeiro de 2020. Promulga o texto revisado do Regulamento Sanitário Internacional, acordado na 58ª Assembleia Geral da Organização Mundial de Saúde, em 23 de maio de 2005. Brasília, Diário Oficial da União, 31 de janeiro de 2020. Disponível aqui. Acesso em 6/9/2020. 11 SARLET, Ingo Wolfgang. Precisamos da previsão de um direito fundamental à proteção de dados no texto da CF? Consultor Jurídico, 04 de setembro de 2020. Disponível aqui. Acesso em 5/9/2020. 12 MONTEIRO, Elisa. Literatura em tempos de pandemia. ADUFRJ, 27 de junho de 2020. Disponível aqui. Acesso em 7/9/2020.
Há grande expectativa quanto aos impactos da Lei Geral de Proteção de Dados Pessoais brasileira. Sua própria vigência tem sido objeto de amplas discussões e tem gerado controvérsias acerca dos desdobramentos que poderá vir a ter, especialmente quanto às sanções administrativas que prevê (artigos 52 a 54) e à responsabilidade civil (artigos 42 e seguintes). O legislador brasileiro não cuidou, todavia, de aspectos penais relacionados às más práticas que envolvam dados pessoais, e este é um debate que suscita reflexões. Por isso, notícia recente informa que uma comissão de juristas está cuidando da elaboração de um anteprojeto voltado exatamente a este fim1. Uma das intenções é regulamentar a utilização de dados pessoais e as hipóteses de fornecimento nos casos de investigação penal, sendo que a hipótese de interesse público não poderia ser utilizada de forma ampla e irrestrita. Não se trata, portanto, da criação de tipos penais especificamente relacionados às violações de dados pessoais. Noutros ordenamentos jurídicos, porém, tem-se previsões de natureza penal mais específicas, e alguns breves apontamentos podem propiciar reflexões importantes sobre o tema e até mesmo sobre sua viabilidade no Brasil. Exemplo emblemático é o Japão, onde vigora uma legislação especificamente voltada à proteção de dados pessoais desde 30 de maio de 2017 - trata-se da   (lê-se "Kojin joho no hogo ni kansuru horitsu", na transliteração Hepburn), a "lei de proteção de dados pessoais" japonesa - que prevê tipos penais específicos em seus artigos 82 a 88. As penas são, basicamente, de multa, à exceção do crime descrito no artigo 84, que prevê pena restritiva de liberdade de até 6 (seis) meses, além de multa, para hipóteses variadas de violações (tendo em vista que o dispositivo faz remissão ao artigo 42, ns. 2 e 3):  Artigo 84. A pessoa que violar os termos do artigo 42, parágrafo (2) ou parágrafo (3) será punida com pena de prisão, com possibilidade de trabalho, por período não superior a seis meses ou multa de até 300.000 ienes. (tradução livre) Artigo 42. (...) (2) A Comissão de Proteção de Dados Pessoais pode ordenar ao operador de tratamento de dados pessoais que atue em conformidade com recomendação por ela expedida, ao reconhecer que uma violação grave aos direitos e interesses de um indivíduo é iminente quando já tenha, anteriormente, expedido uma recomendação ao agente de tratamento de dados pessoais, nos termos do parágrafo anterior, e este não tenha realizado ação em conformidade com a recomendação, tampouco apresentado fundamento legítimo para não fazê-lo. (tradução livre) (3) A Comissão de Proteção de Dados Pessoais pode, não obstante as disposições dos dois parágrafos anteriores, ao reconhecer a necessidade de tomar medidas urgentes porque há um fato que prejudica gravemente os direitos e interesses de um indivíduo, nos casos em que um operador de dados manipula informações pessoais e tenha violado as disposições dos Artigos 16, 17, 20 a 22, do Artigo 23, parágrafo (1), do Artigo 24 ou do Artigo 36, parágrafo (1), parágrafo (2) ou parágrafo (5), ou nos casos em que tenha havido violação às disposições do Artigo 38 (gestão de dados anonimizados), ordenar ao operador que tome as medidas necessárias para retificar a violação, como suspender o ato respectivo. (tradução livre)2.  O exemplo do país asiático não é isolado. Na Itália, um dos países pioneiros na positivação de normas para a proteção de dados pessoais, as alterações realizadas pelo decreto legislativo 101/2018 à Parte III, do Título II, do decreto legislativo 193/2003 (Codice della Privacy), justamente para adaptar a legislação já existente aos rigores do Regulamento Geral sobre a Proteção de Dados (2016/679), da União Europeia (o conhecido RGPD europeu), ampliou o escopo protetivo da norma local, adaptando-a aos regramentos supranacionais, mas mantendo a tipificação penal. Basicamente, o DL 101/2018 passou a prever seis condutas típicas: (i) tratamento ilícito de dados (art. 167); (ii) comunicação e difusão ilegais de dados pessoais processados em grande escala (art. 167-bis); (iii) aquisição fraudulenta de dados pessoais processados em grande escala (art. 167-ter); (iv) comunicação falsa de ilícito à Autoridade Garante (Garante della Privacy) ou embaraço ao cumprimento, por esta, de suas funções institucionais (art. 168); (v) inobservância de provimentos emanados da Autoridade Garante (art. 170); (vi) violação de disposições em matéria de controle (art. 171). Além de anotar o fato de que, no referido país, a tipificação penal por decreto legislativo não viola o princípio da reserva legal3, cumpre analisar a hipótese clara de novatio legis incriminadora, na medida em que a redação anterior contemplava apenas a punição ao tratamento ilícito de dados (art. 167); a comunicação falsa de ilícito, embora sem a remissão - inserida pela reforma de 2018 - à possibilidade de enquadramento típico noutro delito, com pena mais grave ("[s]alvo che il fatto costituisca più grave reato", art. 168); e a omissão de medidas de proteção (art. 169), mantida com a mesma redação. Quanto à primeira figura, qual seja, o tratamento ilícito de dados (art. 167), a menos que o ato constitua uma ofensa mais grave, quem quer que, a fim de obter lucro para si ou para outrem ou causar danos à pessoa, agindo em violação às regras definidas, será punido com reclusão, que poderá variar de seis meses a um ano e seis meses. E, nos casos mais graves, até três anos4. A comunicação e difusão ilegais de dados pessoais processados em grande escala (art. 167-bis) é punível com pena de reclusão de um a seis anos5. Por sua vez, aquisição fraudulenta de dados pessoais processados em grande escala (art. 167-ter) é punível com pena de reclusão de um a quatro anos6. Enfim, o não cumprimento das funções de garante, devido à comunicação falsa ou à criação de embaraços (art. 168), gera sanção penal (pena de reclusão de três meses a dois anos) a quem o fizer, tendo ocorrido alteração, neste ponto, apenas quanto à já mencionada ressalva inserida na parte inicial do dispositivo. Os artigos 170 e 171, por outro lado, sofreram apenas alterações textuais para a correção de remissões feitas a outros dispositivos legais. Neste ponto específico, nota-se a preocupação do legislador italiano com a sanção de eventos relacionados à utilização indevida de dados pessoais. Indo além das sanções administrativas e da responsabilidade civil visualizadas nos artigos 77 a 84 do RGPD, tem-se tipos penais7, o que revela a preocupação extrema em punir determinadas condutas, notadamente em cenários de comercialização de dados e de criação de embaraços ou empecilhos ao exercício das funções da Autoridade Garante. Outrossim, a Lei de Proteção de Dados Pessoais Portuguesa (lei 58/2019), que regulamenta o RGPD, estabelece como crime a utilização de dados de forma incompatível com a finalidade da coleta. Nesse diapasão, o art. 46º da referida norma prevê a pena de prisão até um ano ou multa para a referida hipótese. No mesmo sentido, o acesso indevido de dados pessoais também é combatido pelo art. 47 com prisão ou multa. Há naquele diploma a hipótese para desvio de dados, destruição de dados, inserção de dados falsos e também tipo penal para a violação do dever de sigilo. A LGPD brasileira, embora admita a sanção penal ao fazer remissão específica aos crimes tipificados no Código de Defesa do Consumidor (artigo 52, §2º8), não a regulamenta, deixando ao legislador a missão de, em lei própria, tipificar condutas relacionadas à violação da proteção de dados. Com efeito, o objetivo da Comissão de juristas, é ampliar o espectro de aplicação material da LGPD. Atualmente, o microssistema protetivo dos dados pessoais não se sujeita às atividades de segurança pública, assim como de investigação e repressão de infrações penais, como dispõe o art. 4º da lei. De acordo com a informação exarada, o objetivo é vincular as hipóteses de tratamento de dados pessoais em persecução penal, efetivamente, para melhor circunscrever o interesse público nessas hipóteses de tratamento. Por oportuno, é importante observar que em matéria de tramitação processual, notadamente, no que concerne aos atos, a regra constitucional é da publicidade dos mesmos (art. 5º, LX, e 93, IX, da Constituição da República). Nesse sentido, inevitavelmente, em termos práticos, as eventuais adequações devem observar essa máxima. Naturalmente, por força de processo judicial ou do próprio inquérito, dados são tratados e, inclusive, expostos em sistemas públicos. Em sendo assim, as hipóteses de avanço da proteção de dados pessoais em matéria persecutória deverão encontrar apoio nas balizas dos princípios constitucionais que iluminam o sistema de justiça brasileiro. Desse modo, a estrutura principiológica da carta constitucional endereça os limites da publicidade dos atos por meio da redação do inc. IX do art. 93:  "todos os julgamentos dos órgãos do Poder Judiciário serão públicos, e fundamentadas todas as decisões, sob pena de nulidade, podendo a lei limitar a presença, em determinados atos, às próprias partes e a seus advogados, ou somente a estes, em casos nos quais a preservação do direito à intimidade do interessado no sigilo não prejudique o interesse público à informação".                Nessa senda, a opacidade do tratamento referenciado pela Constituição deve ser analisada no caso concreto, situação em que o Juiz detém legitimidade para mitigar a publicidade. Entretanto, ao que consta, a iniciativa pretende avançar no cerne dos agentes responsáveis por investigações e/ou gestões de informação sobre inteligência. Atualmente, a cooperação entre agentes ocorre sob a tutela do controle jurisdicional, que não esclarece o dever do uso de bases de dados, assim como compartilhamento de informações para fins de investigação. Como se sabe, a estrutura estatal possui marcante capacidade de gerenciamento, organização e processamento de dados pessoais dos cidadãos em geral. O uso indevido dessas informações, sem limitações claras, pode mitigar as garantias constitucionais que permeiam a relação entre o indivíduo e o Estado. Nesse sentido, observa-se que o compartilhamento de dados entre agentes de investigação, em suas linhas gerais, enquadra-se como flexão de hipótese de tratamento de dados. Sendo assim, o avanço da LGPD penal poderia prever sanções claras para hipóteses dessa natureza, resguardando a legitimidade para situações suportadas por decisões judiciais autorizadoras nos limites da finalidade requerida. Acreditar que as pretensões não comprometeram a liberdade investigativa é um equívoco. De outro modo, sob a ótica do contraditório, ampla defesa e, principalmente, paridade de armas, será possível o debate aprofundado pelas partes angularizadas em um determinado procedimento de natureza penal. Por fim, a referida comissão de juristas acena para a possibilidade de regulação da cooperação internacional em matéria de compartilhamento de dados. O tema é de extrema relevância. Contudo, destacamos que eventual previsão nesse sentido deve prever a hipótese de resguardo técnico hígido dos dados pessoais, assim como não fazer com que o compartilhamento de dados entre Estados promova a alimentação de bancos de dados pessoais transfronteiriços.  *José Luiz de Moura Faleiros Júnior é mestre e bacharel em Direito pela Faculdade de Direito da UFU. Especialista em Direito Processual Civil, Direito Civil e Empresarial, Direito Digital e Compliance. Membro do Instituto Avançado de Proteção de Dados - IAPD e do Instituto Brasileiro de Estudos de Responsabilidade Civil - IBERC. Advogado. **Juliano Madalena é professor de Direito na Fundação Escola Superior do Ministério Público. Doutorando e mestre em Direito pela Faculdade de Direito da Universidade Federal do Rio Grande do Sul, onde também adquiriu o título de especialista em Direito Internacional. É graduado em Direito pela Fundação Escola Superior do Ministério Público. Pesquisador do Grupo de Pesquisa Mercosul e Direito do Consumidor - CNPQ/UFRGS. Coordenador do curso de pós-graduação em Direito Digital e Advocacia Corporativa da Fundação Escola Superior do Ministério Público. __________ 1 IGNACIO, Laura. Comissão de juristas elabora proposta para a LGPD penal. Valor Econômico, 15 set. 2020. Disponível aqui. Acesso em 16 set. 2020.  2 JAPÃO. Kojin joho no hogo ni kansuru horitsu [Lei para a Proteção de Dados Pessoais], No. 57/2003 (30 maio 2003), com alterações pela Lei No. 51/2016. Disponível, no original, aqui. Disponível, em tradução para o inglês, atualizada até as emendas realizadas pela lei 65/2015, aqui. Acesso em 16 set. 2020.  3 O princípio da reserva legal, em matéria de direito penal, implica a expressa proibição de punir uma conduta específica na ausência de uma lei preexistente que a constitua como crime. Está previsto no art. 25, II, da Constituição italiana. Ocorre que, no sistema jurídico da Itália, para parte da doutrina, decretos legislativos e decretos-lei, que são comumente utilizados, não são compatíveis com a reserva legal. A doutrina dominante, porém, entende que tanto o decreto legislativo, quanto o decreto-lei, podem ser fontes do direito penal, uma vez que é o mesmo sistema constitucional que reconhece esses atos normativos de forma eficiente como ocorre quanto às leis comuns, em sentido formal. Nesse sentido, a doutrina anota que, na hipótese do decreto legislativo, o princípio da reserva legal é garantido pelo fato de o Parlamento preservar, com a lei de delegação, a iniciativa legislativa e a identificação das escolhas políticas criminais, ao passo que, no caso do decreto-lei, o mesmo requisito de proteção é satisfeito através do mecanismo de conversão do decreto em lei. (MANTOVANI, Ferrando. Principi di diritto penale. 2. ed. Pádua: Cedam, 2007, p. 11-16.).  4"Art. 167 (Trattamento illecito di dati).   1. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre per se o per altri profitto ovvero di arrecare danno all'interessato, operando in violazione di quanto disposto dagli articoli 123, 126 e 130 o dal provvedimento di cui all'articolo 129 arreca nocumento all'interessato, è punito con la reclusione da sei mesi a un anno e sei mesi.  2. Salvo che il fatto costituisca più grave reato, chiunque, al fine di trarre per se o per altri profitto ovvero di arrecare danno all'interessato, procedendo al trattamento dei dati personali di cui agli articoli 9 e 10 del Regolamento in violazione delle disposizioni di cui agli articoli 2-sexies e 2-octies, o delle misure di garanzia di cui all'articolo 2-septies ovvero operando in violazione delle misure adottate ai sensi dell'articolo 2-quinquiesdecies arreca nocumento all'interessato, è punito con la reclusione da uno a tre anni.  3. Salvo che il fatto costituisca più grave reato, la pena di cui al comma 2 si applica altresì a chiunque, al fine di trarre per se' o per altri profitto ovvero di arrecare danno all'interessato, procedendo al trasferimento dei dati personali verso un paese terzo o un'organizzazione internazionale al di fuori dei casi consentiti ai sensi degli articoli 45, 46 o 49 del Regolamento, arreca nocumento all'interessato.  4. Il Pubblico ministero, quando ha notizia dei reati di cui ai commi 1, 2 e 3, ne informa senza ritardo il Garante.  5. Il Garante trasmette al pubblico ministero, con una relazione motivata, la documentazione raccolta nello svolgimento dell'attività di accertamento nel caso in cui emergano elementi che facciano presumere la esistenza di un reato. La trasmissione degli atti al pubblico ministero avviene al più tardi al termine dell'attività di accertamento delle violazioni delle disposizioni di cui al presente decreto.  6. Quando per lo stesso fatto è stata applicata a norma del presente codice o del Regolamento a carico dell'imputato o dell'ente una sanzione amministrativa pecuniaria dal Garante e questa è stata riscossa, la pena è diminuita."  5 "Art. 167-bis (Comunicazione e diffusione illecita di dati personali oggetto di trattamento su larga scala).   1. Salvo che il fatto costituisca più grave reato, chiunque comunica o diffonde al fine di trarre profitto per se' o altri ovvero al fine di arrecare danno, un archivio automatizzato o una parte sostanziale di esso contenente dati personali oggetto di trattamento su larga scala, in violazione degli articoli 2-ter, 2-sexies e 2-octies, è punito con la reclusione da uno a sei anni.  2. Salvo che il fatto costituisca più grave reato, chiunque, al fine trarne profitto per se' o altri ovvero di arrecare danno, comunica o diffonde, senza consenso, un archivio automatizzato o una parte sostanziale di esso contenente dati personali oggetto di trattamento su larga scala, è punito con la reclusione da uno a sei anni, quando il consenso dell'interessato è richiesto per le operazioni di comunicazione e di diffusione.  3. Per i reati di cui ai commi 1 e 2, si applicano i commi 4, 5 e 6 dell'articolo 167."  6 "Art. 167-ter (Acquisizione fraudolenta di dati personali oggetto di trattamento su larga scala).  1. Salvo che il fatto costituisca più grave reato, chiunque, al fine trarne profitto per se' o altri ovvero di arrecare danno, acquisisce con mezzi fraudolenti un archivio automatizzato o una parte sostanziale di esso contenente dati personali oggetto di trattamento su larga scala è punito con la reclusione da uno a quattro anni.  2. Per il reato di cui al comma 1 si applicano i commi 4, 5 e 6 dell'articolo 167." 7 A responsabilidade civil e seus desdobramentos administrativos estão contemplados no regulamento europeu e na lei brasileira, mas, nota-se uma lacuna no que diz respeito à tutela penal que, em eventos relacionados às violações de dados, se entrelaça fortemente às outras esferas punitivas. Nesse contexto, para uma melhor compreensão da correlação entre responsabilidade civil e crimes, confira-se: DYSON, Matthew. Tort and crime. University of Cambridge Faculty of Law, Cambridge, Research Paper n. 48, p. 1-26, out. 2013. Disponível aqui. Acesso em 19 jun. 2020. 8 "Art. 52. (.) § 2º O disposto neste artigo não substitui a aplicação de sanções administrativas, civis ou penais definidas na lei 8.078, de 11 de setembro de 1990, e em legislação específica."
sexta-feira, 11 de setembro de 2020

Certificarte: a arte da certificação em LGPD

Quando uma legislação possui normas de conteúdo programático, principiológico, aspiracional e sancionador a ponto de significar um verdadeiro marco regulatório  sobre o seu  objeto, levando àqueles que estarão sobre os seus efeitos, a tomarem providencias várias de adaptabilidade  e planejarem-se econômico e financeiramente para que possam bem cumprir o seu conteúdo e evitar a ação estatal sancionadora, mormente quando a norma não se encontra diretamente relacionada ao seu objetivo ou objeto social de atuação, diz-se que ocorreu uma externalidade negativa onde, objetivando a perenização das atividades praticadas pelo agente econômico, deve imediatamente ser internalizada, com margem de cautela, observando-se uma programação plena e eficiente para a absorção interna destes impactos gerados pela norma, independentemente dos eventuais sacrifícios econômicos a serem efetivados.  Com a LGPD vigorante, acompanhada das normas de estruturação regimental da recém-criada Autoridade Nacional de Proteção de Dados (decreto 10.474/20), não será diferente. Todavia, estas reflexões procurarão demonstrar que o advento destas normas de caráter protetivo, se trata sim de uma externalidade, porém,  positiva na medida em  que contribuirá não só para a harmonização de mercados e melhor proteção da privacidade da pessoa, como também, gerará segurança sistêmica e imporá claros limites na atuação das empresas e entes institucionais públicos ou privados,  a quem a norma se destina. Dentro deste escopo, pretende-se  apresentar, mesmo em visão absolutamente simplista,  algumas das  razões pelas quais,  devem empresas e instituições, independente das suas  naturezas jurídicas, familiarizarem-se com a cultura de proteção de dados e certificarem-se internamente acerca dos reflexos da LGPD sobre as suas atividades, revisando todos os seus processos e sistemas, buscando eventuais gaps de segurança, analisando setores, coletas e formas de tratamento de dados, preparando pessoal interno ou externo para vivenciar esta  realidade, contribuindo para a especialização e  sustentabilidade  no tratamento dos dados, em sintonia com os  princípios da prevenção, responsabilização e prestação de contas aos entes públicos regulatórios1. A outro lado, procurar-se-á demonstrar a necessidade de se incluir no contexto da adequação sistêmica esperada, o desenvolvimento da cultura da certificação  externa,  para com relação aos processo e  cautelosos procedimentos  que serão efetivados com vistas à adequabilidade à citada lei, não como forma de burocratizar ou onerar  as atividades organizacionais que já são por demais complexas, mas sim,  como forma de contribuir preventivamente para a contenção de danos, efetivando-se a  necessária proteção ao cidadão, gerando a possibilidade de   redução da  potencialização de riscos, danos e  impactos nocivos, com reflexos na eventual  aplicação  de  sanção decorrente de evento e/ou  incidente de vazamento  no tratamento ou na exposição de dados. A partir do momento em que houve a atualização pelo Supremo Tribunal Federal, da proteção constitucional do direito à proteção de dados como categoria autônoma no rol de direitos fundamentais do cidadão2, com conteúdo normativo independente dos direitos até então praticados com base na proteção ao sigilo das comunicações, não se pode dizer que uma norma de caráter protetivo que representa um minissistema completo, na sua pretensão e função social e econômica, possa ser visto como uma externalidade negativa cuja entronização na corporação,  deva ser efetivada apenas e tão só  como parte do cumprimento de regras de compliance ou para se evitar expressivas  perdas econômicas futuras. Trata-se, na realidade, da colaboração de todos os agentes e cidadãos para a construção de uma sociedade justa e solidária, observados os princípios cooperativos e  preceitos voltados para a proteção da ordem econômica. E será neste ambiente que o agente responsável, econômico ou institucional, independente de sua natureza, deverá certificar-se da adequabilidade da operação sobre o seu controle, com relação a todos os aspectos protetivos previstos em LGPD,  de maneira que possa ter melhor certeza de que terá dado guarida  ao direito fundamental do cidadão à proteção de dados. Esta certificação primária lhes compete,  não só em razão dos deveres de diligencia próprios daqueles que possuem  atividades empresarias3,  onde há a preponderância  legislativa de incentivos à criação de estruturas e programas voltados para o cumprimento de regras de compliance, como também por parte de todos os entes públicos e privados que, de alguma forma, tratam dados pessoais de terceiros. Estas condutas preventivas, acabam por contribuir para a melhoria da própria atividade e ou dos serviços ofertados, gerando clara responsividade por parte dos titulares dos dados, quer em razão destes passarem a ter ciência de que há real interesse dos agentes de qualquer natureza na sua proteção, quer porque são sabedores de que existem normas rígidas de caráter protetivo que podem penalizar excessivamente o não tratamento; a falha de tratamento ou qualquer problema que possa atingi-los, em razão de não terem  adequadamente manifestado a sua vontade ou, ainda, obtido  o necessário  respeito ao domínio de sua opção voltada para a concordância na utilização de seus dados  no âmbito de uma  finalidade especifica, direito de cancelamento, suspensão, modificação ou alteração no nível de seu consentimento. Se  a autonomia da pessoa jurídica a quem cabe realizar o tratamento de dados, não pode ser considerada como elemento de justificação de falhas ou negligencia na administração, a ponto de mitigar as consequências de um tratamento ineficiente de dados, é fato que  tanto os próprios dados, como seu sistema de tratamento e forma de utilização,  estão sendo vistos como ativos monetizáveis de tal natureza que, a depender dos métodos classificatórios e analíticos empregados, podem ressignificar os valores intangíveis de um estabelecimento empresarial. Também será fato que,  quanto mais o agente de tratamento se certificar de que as suas bases coletadoras estão eficientemente adequadas e seguras, no que tange aos riscos próprios do ambiente informacional e a necessária  obtenção de consentimento, quando for pertinente, ou de aplicação de outras bases legais autorizadoras de uso trazidas pela lei,  mais terá contribuído para a proteção dos titulares e o fomento e monetização deste importante ativo imaterial. Caberá assim,  aos agentes econômicos e institucionais que responsáveis pela efetivação da coleta e do tratamento de dados, entre outras verificações,  certificarem-se  de que este tratamento é regular e observa a legislação4, fornecendo e adotando as medidas de segurança esperadas, com a observância do modo de realização, resultados e  riscos inerentes, sempre lastreados nas  técnicas de tratamento de dados disponíveis à época. Quando da certificação interna, é de se adotar os necessários cuidados,  na qualificação e formação do  quadro de agentes de tratamento de dados composto pelo controlador e operador, como também, na contratação de encarregado (DPO-Data Protection Officer) interno ou externo, que  desenvolverá, além dos seus serviços regulares,  a integração  com a ANPD - Autoridade  Nacional de Proteção de Dados. E será neste ambiente que poderá ocorrer a certificação primária,  rigorosa e eficiente dos processos e procedimentos internos, voltados para a verificação da  qualidade dos dados, sistemas informáticos e de segurança, nível de adequação no  tratamento de dados sensíveis, de crianças e de idosos, eventuais falhas sistêmicas, além da análise nas operações de compartilhamento e ou de  transferência internacional de dados, implantando-se o necessário  sistema de  governança de dados5. A outro lado, não se pode descuidar das atividades a serem realizadas pelos agentes de qualquer natureza,  com vistas a gerar segurança na proteção de dados e a clara participação nas políticas públicas institucionais deste segmento, atividades estas,   voltadas para a obtenção  de  níveis  de  certificações institucionais. As certificações institucionais cumprem importante papel quando vigorantes as normas de natureza programática e com viés regulatório e sancionador, pois,  além de  atestarem níveis de segurança e de capacitações sistêmicas no tratamento de dados, também poderão certificar experiências pessoais, institucionais  ou empresariais e, ainda, o "estado da arte" com vistas a detectar um certo momento tecnológico, suas  evoluções ou, ainda,  lacunas e condições sistêmicas específicas como detalharemos oportunamente. A certificação institucional pode assim, ser entendida como uma comprovação realizada por uma Instituição ou ente independente, relativa a processos, produtos, serviços,  sistemas e pessoas. Seu objetivo maior é apontar se determinada empresa, instituição ou agente econômico, cumpre os padrões e normas técnicas exigidos e regularmente aceitos, gerando a comprovação da conformidade, com reflexos positivos  na  confiabilidade do produto ou do serviço ofertado, bem como, nos sistemas, pessoas  e processos envolvidos.  A certificação de adequabilidade com relação às normas e processos previstos em LGPD, deve abranger todo o ecossistema, gerando resultados de excelência e agregando valor econômico.    A outro lado, a certificação institucional de pessoas objetiva comprovar determinadas competências daqueles que pretendam obtê-la como forma precedente ao exercício de atividades técnicas específicas. Neste contexto, caberá às entidades certificadoras que possuam tal escopo, conceder certificados em vários níveis ao interessado, com prazos de duração e de validade especificados, mediante o cumprimento de determinados  critérios técnicos estabelecidos e parâmetros específicos e objetivos  a serem cumpridos pelo candidato. Como mencionado, há vários níveis de certificações possíveis e, ainda, várias espécies de entidades certificadoras, algumas independentes e autônomas e outras vinculadas a instituições nacionais ou internacionais, com objetivos certificatórios e tecnologias específicas, voltadas ao que pretendem realizar neste segmento.  Os parâmetros de certificação podem estar relacionados tanto à normas internas da entidade certificadora pública ou privada, como também a padrões internacionais, a exemplo das regras técnicas editadas pela International Organization for Standardization - ISO que proporciona especificações para produtos, serviços e sistemas visando assegurar a qualidade, eficiência e segurança com benefícios ao comércio internacional6.  No que se refere a certificação e acreditação inclusive de pessoa, registra-se a experiência europeia na geração de ferramenta que permite aos profissionais interessados, a confirmação de suas aptidões, habilidades e conhecimentos,  atestando-as em face de terceiros e  proporcionando maior comprometimento e segurança. Dentro deste escopo situa-se a  ENAC - Entidad Nacional de Acreditación, entidade fundada há mais de vinte anos, vinculada  a um ecossistema global de certificação, reconhecido em mais de sessenta países, cuja representante europeia é a entidade denominada EA-European Accreditation que opera na instrumentalização da certificação a nível internacional, como forma de medir competências.    No Brasil, entidades públicas ou privadas que pretendam instrumentalizar as certificações de sistemas, processo, serviços, produtos ou de pessoas, de forma  vinculada a entes públicos certificatórios,  devem  cumprir não só as  disposições do SBC-Sistema Brasileiro de Certificação que possui como organismo de acreditação Inmetro - Instituto Nacional de  Metrologia, Qualidade e Tecnologia,  como também, às eventuais normas a serem editadas pela  ANPD - Autoridade Nacional de Proteção de Dados,  que possam estar voltadas para a acreditação ou para a   certificação em seus diversos níveis. As entidades que se habilitarem e se credenciarem para conduzir e conceder a  certificação de conformidade, com base nos princípios e políticas adotados no âmbito do SBC e nos critérios, procedimentos e regulamentos estabelecidos pelo Inmetro (autarquia Federal vinculada ao Ministério da Economia), são designadas por  Organismo de Certificação Credenciado - OCC. Estes  Organismos de Certificação Credenciados pelo Inmetro, por sua vez, podem fazer acordos de reconhecimento de suas atividades com organismos de outros sistemas estrangeiros, para que suas certificações sejam aceitas mutuamente, desde que haja garantia de que tais certificações sejam realizadas segundo regras equivalentes às utilizadas no SBC. Na área de certificação voluntária, o OCC pode buscar o reconhecimento de entidades estrangeiras similares por meio de convênios, associações e subcontratações. Todavia, o OCC deve  atender continuamente os requisitos de acreditação estabelecidos pelo Inmetro e é  vedada a  sua participação na atividade de consultoria, de acordo com as normas e guias ABNT ISO/IEC e as recomendações dos foros internacionais, devendo exercer e acompanhar as atividades de certificação de acordo com os princípios e rotinas estabelecidos no âmbito do SBC- Sistema Brasileiro de Certificação. Qualquer entidade, independentemente de sua origem, pode ser credenciada como organismo de certificação, desde que atenda aos princípios e políticas do SBC e os critérios, regulamentos e procedimentos estabelecidos pelo Inmetro. Com o advento do Decreto nº. 10.474/2020, os assuntos relacionados à certificação em ambiente de proteção de dados, foram carreados ao Conselho Diretor, a quem compete, entre outras atividades, designar e fiscalizar organismos de certificação para a verificação da permissão para a transferência de dados internacional, como também, definir o conteúdo de cláusulas padrão e verificar, diretamente ou mediante designação de organismo de certificação, a garantia de cláusulas contratuais específicas, normas corporativas globais ou selos, certificados e códigos de conduta para transferência internacional por controlador de dados pessoais. O Conselho Diretor da ANPD funcionará, também, como revisor dos atos realizados por organismos de certificação, podendo, inclusive,  anulá-los quando forem tomados em descumprimento das disposições da LGPD. Tanto as certificações institucionais como as acreditações são voluntárias e,  além de um papel  contributivo na informação técnica acerca do objeto da análise, serão ferramentas auxiliares  dos agentes econômicos, quando eventualmente demandados, tanto administrativamente como civil ou  penalmente,  para comprovação de regularidades.  A exemplo temos o regramento do art. 43 da LGPD que trata da não responsabilização do agente quando este provar que não realizou o tratamento dos dados pessoais que lhe fora atribuído; embora tenha realizado o tratamento de dados pessoais, não violou a legislação de proteção de dados ou, ainda,  que o dano informado, decorreu de culpa exclusiva do titular dos dados ou de terceiros. Considerando-se, também, o elenco de sanções administrativas previsto no  art. 52 da LGPD,  a ser aplicado pela ANPD que compreende desde simples advertência buscando medidas corretivas, até a imposição de multas de variadas espécies e valores;  bloqueio ou eliminação de dados, além da suspensão parcial do funcionamento do banco de dados, até regularização da atividade infratora, chegando a suspensão total ou proibição desta atividade de tratamento de dados, é fato que a lei prestigia o pleno contraditório   ao mencionar a aplicabilidade de  sanções administrativas, deve ocorrer  somente após um procedimento que possibilite a oportunidade de ampla defesa, de forma gradativa, isolada ou cumulativa, de acordo com as peculiaridades do caso concreto. Esta regra é objetiva e propugna pela consideração, na aplicação da sanção, dos seguintes  parâmetros e critérios: gravidade e natureza das infrações e   dos direitos pessoais afetados,  boa-fé do infrator,  vantagem auferida ou pretendida pelo infrator,  sua condição econômica,  cooperação, reincidência e grau de dano, além da  adoção de políticas de boas práticas e governança. A Adoção demonstrada e reiterada de mecanismos e procedimentos internos capazes de minimizar o dano, voltados ao tratamento seguro e adequado de dados, na forma da lei e, ainda,  a implantação de medidas corretivas associada a verificação da proporcionalidade entre a gravidade da falta e a intensidade da sanção, são elementos complementares deste critério e  contribuem para demonstrar, em seu conjunto, a clara necessidade e a busca da habitualidade nos procedimentos de certificações institucionais concernentes às  atividades voltadas para o tratamento de dados. No Brasil, a ANPD, como órgão de regulação responsável por elaborar as diretrizes da Política Nacional de Proteção de Dados Pessoais e da Privacidade,  contribuirá, como mencionado, não só na  fiscalização e edição de  normas disciplinatórias no âmbito da certificação,  apresentando caminhos e rumos para o aprimoramento das entidades certificadoras públicas e privadas, como também, promover as ações cooperadas para a execução destas políticas,  em cumprimento de sua missão estimuladora da adoção de padrões que facilitem o exercício de controle dos titulares sobre os seus dados pessoais.   Neste contexto, anseia-se pela colaboração indistinta da sociedade,  na construção do ideário protetivo de dados pessoais, com a necessária especialização daqueles que pretendem atuar nesta área, facilitando o acesso às  certificações e  atestados profissionalizantes, assim como nas atividades e ofertas de serviços, produtos e soluções, de forma tal que possa se propiciar a preservação e as esperada proteção no tratamento de dados. A importância de os agentes adotarem a prática da obtenção das certificações institucionais regulares e perenes, a ponto de  poder se situar o  exato "estado da arte", encontra-se na própria lei a exemplo do que dispõe o art. 44 ao afirmar que o tratamento de dados pessoais será irregular quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar, consideradas as circunstâncias relevantes, entre as quais o modo de realização, os resultados e riscos que razoavelmente dele se esperam e as técnicas de tratamento de dados pessoais disponíveis à época em que foi realizado. Desta forma, uma instituição que possa certificar e/ou atestar as condições tecnológicas  e o exato momento em que os fatos relacionados aos dados pessoais ocorreram, a partir de uma  verificação criteriosa, lastreada em metodologia apropriada, estará demonstrando o que denominamos de "estado da arte", contribuindo para com o sistema protetivo de dados de forma ativa, além de reduzir incertezas probantes. E a necessidade de se captar e de se  obter as "fotografias tecnológicas  de época", gerando  segurança na construção da caracterização  deste importante momento captador de um fato e de suas circunstâncias, permeia a LGPD. O art. 46, a exemplo, que trata de medidas de  segurança e  sigilo de dados no capítulo das  boas práticas,  já efetiva a previsão do que será o futuro ao dispor claramente sobre dois princípios: i) Padrões técnicos Mínimos: A autoridade Nacional poderá dispor sobre padrões técnicos mínimos para tornar aplicável as medidas de segurança disposta, considerados a natureza das informações tratadas, as características especificas do tratamento e o estado atual da tecnologia, especialmente no caso de dados pessoais sensíveis, assim como os princípios previstos no caput do art. 6º da lei  e, ii) privacy by design: Representa o emprego de mecanismos e soluções de privacidade e de  medidas protetivas, que  devem ser observadas desde a fase de concepção do produto,  até a sua execução e colocação no mercado.  Assim é que as entidades certificadoras institucionais devem se especializar para que possam bem cumprir a parcela informativa da LGPD, registrando, certificando e atestando o que for pertinente às necessidades dos agentes econômicos e aos interesses da comunidade, inclusive acerca do mencionado "estado da arte" para com relação aos  processos, sistemas tecnológicos e aos programas de boas práticas e de governança, levando-se em conta o princípio da atualização periódica contido na regra. E é desta forma que propugnamos por uma visão aberta e multidisciplinar da certificação institucional em que, as entidades voltadas  a estes objetivos, possam bem entender a importância de também  se habilitarem para certificações pontuais e temporais de temáticas variadas, todas relacionadas aos propósitos protetivos da LGPD, prestando serviço de utilidade pública de excelência e contribuindo para a redução das incertezas e  apaziguação social. As certificações internas, efetivadas primariamente pelos gestores e agentes de tratamento de dados, incrementadas pelas certificações institucionais,   desenvolvidas  a partir de técnicas e metodologias apropriadas, a nosso ver, se  assemelham  à  verdadeira  arte da certificação, tanto no contexto da percepção da relevância do fato e sensibilidade  na detecção do necessário para gerar a adequação prevista pelo legislador, como no conjunto de atividades humanas coordenadas e sincronizadas,  visando a formação de um processo criativo original,  eis que cada elo deste sistema possui particularidades e sinais  a serem   expressados  como resultado final da certificação, que se harmonizará com o todo, proporcionando  um significado protetivo único, embora diferente. *Adalberto Simão Filho é professor titular dos programas de mestrado e doutorado em Direitos Coletivos e Cidadania da UNAERP/RP. Obteve os títulos de mestre e de doutor em direito das relações sociais pela PUC/SP e de pós-doutor em Direito e Educação pela Universidade de Coimbra.  Diretor Jurídico do Instituto Avançado de Proteção de Dados - IAPD. É autor de obras temáticas envolvendo o direito da sociedade da informação e a nova empresarialidade. **Janaina de Souza Cunha Rodrigues é advogada com mais de quinze anos de experiencia em departamentos jurídicos empresariais e escritórios de advocacia, com atuação na área empresarial e tecnológica. Associada fundadora e membro da Comissão permanente de assuntos Jurídicos do Instituto Avançado de Proteção de Dados - IAPD.  Pesquisadora externa em grupo de estudo voltado para o Direito e a Tecnologia.  __________ 1  De Lucca, Newton et  Maciel,Renata Mota. A lei 13.709 de 14 de agosto de 2018: a disciplina normativa que faltava. Direito e Internet IV - Sistema de proteção de dados pessoais. Coordenação: Newton De Lucca, Adalberto Simão Filho.Cintia Rosa Pereira de Lima. Renata Mota Maciel. Quartier Latin: São Paulo, 2019, pag.21. 2 A eficácia da MP 954/2020  que permitia o compartilhamento de dados de usuários de telecomunicações com o Instituto Brasileiro de Geografia e Estatística  (IBGE), durante a pandemia,  foi suspensa nas ADINS 6387  da OAB e 6388 a 6393 de  Partidos Políticos. 3 Coelho,Fabio Ulhoa et Lotufo, Mirelle Bittencourt. A lei geral de proteção aos dados pessoais e as investigações internas das empresas. Direito e Internet IV - Sistema de proteção de dados pessoais. Coordenação: Newton De Lucca, Adalberto Simão Filho.Cintia Rosa Pereira de Lima. Renata Mota Maciel. Quartier Latin: São Paulo, 2019, pag.225 a 233. 4 Lima,Cintia Rosa Pereira de et Peroli, Kelvin. A aplicação da lei geral de proteção de dados do Brasil no tempo e no espaço. Comentários a lei geral de proteção de dados. Coordenação:Cintia Rosa Pereira de Lima. Editora Almedina: São Paulo, 2020,pág. 69. 5 Simão Filho, Adalberto. Regime jurídico do banco de dados- Função econômica e reflexos na monetização. Direito e Internet IV - Sistema de proteção de dados pessoais. Coordenação: Newton De Lucca, Adalberto Simão Filho.Cintia Rosa Pereira de Lima. Renata Mota Maciel. Quartier latin: São Paulo, 2019, pags.167- 189. 6 Gayo.Miguel Recio. El estatuto jurídico del data protection officer. Wolters Kluwer España:Madrid, 2019, pág. 224.
sexta-feira, 4 de setembro de 2020

LGPD e combate às fake news

As fake news são compostas por três elementos fundamentais: (i) intencionalidade do locutor em enganar o interlocutor; (ii) apropriação da estética jornalística a fim de auferir certo grau de legitimidade e; (iii) dimensão sistêmica, empoderando-se do modelo de fluxo de informações próprio das novas Tecnologias da Informação e da Comunicação (TICs)1. A presente abordagem se concentra neste último aspecto, visto que a forma de circulação de conteúdos nas mídias digitais contribui para potencializar a disseminação de informações falsas. A migração do centro das discussões políticas para Internet conduz à reflexão sobre as consequências da mediação corporativa das relações políticas, num ambiente que segue modelos de negócios da publicidade. Aliás, observa-se que o mecanismo de segmentação de informações, inerente ao funcionamento das redes sociais, como Facebook, Instagram e Twitter, é um dos pilares da desordem informacional. O combustível que move a rede algorítmica de distribuição de informações nas redes sociais são os dados pessoais disponíveis às plataformas. Tais empresas coletam e analisam os dados pessoais dos seus usuários a fim de construir modelos de predição e identificar tendências de comportamento, atraindo o marketing direcionado. É possível citar dois casos em que informações pessoais de cidadãos foram empregadas na construção de redes de desinformação e manipulação do debate público, quais sejam: Cambridge Analytica nas eleições presidenciais estadunidenses de 2016 e; Yacows na campanha presidencial de 2018, no Brasil. A empresa Cambridge Analytica (CA) realizou a coleta de dados de 50 milhões de usuários do Facebook, por meio de um aplicativo chamado This Is Your Digital Life (tradução livre: "está é a sua vida digital"). O usuário ao conceder permissão de acesso ao respectivo aplicativo, também permitia, sem ter consciência, o acesso a informações sobre sua rede de amigos. A partir daí, deu-se a coleta de dados pessoais dos usuários, a maioria dos quais não concedeu permissão explícita de acesso à empresa CA2. Em posse desses dados pessoais, a Cambrige Analytica conseguiu construir perfis dos indivíduos, a partir dos quais era possível identificar o gênero, sexualidade, posições políticas e traços de personalidade dos usuários. Sabe-se, que CA foi utilizada na campanha eleitoral de Donald Trump durante as eleições presidenciais dos Estados Unidos de 2016, para direcionamento de mensagens e notícias falsas a grupos eleitorais específicos3. No Brasil, verificou-se a contratação de serviços disparo de mensagens por campanhas eleitorais de 2018. Em depoimento na CPMI das Fake News, o sr. Lindolfo Alves, um dos sócios da empresa de marketing digital Yacows, informou que seus serviços foram contratados para algumas campanhas presidenciais, tais como a dos candidatos Fernando Haddad e Jair Bolsonaro. Ao explicar o modo de funcionamento dos seus serviços, Lindolfo alegou que os clientes disponibilizavam a lista de dados cadastrais do público destinatário das mensagens4. Importante ressaltar que à época, isto é, durante as eleições de 2018, não havia vedação legal expressa quanto ao emprego de serviços de disparo em massa de conteúdo, tal proibição passou a constar no art. 28, inc. IV, alíneas "a" e "b", da Resolução nº 23.610, de 18 de dezembro de 20195. De qualquer forma, as alegações do sr. Lindolfo permitem refletir sobre o emprego de dados pessoais dos eleitores com finalidades de propaganda eleitoral, questão que ainda persiste haja vista a possibilidade de contratação dos serviços de impulsionamento de conteúdo oferecidos por provedores de aplicação de Internet, nos termos do art. 57-B, §3º, da lei 9.504/19976. Tais instrumentos de marketing relacionam-se às fake news à medida que o exercício de coleta e tratamento de dados pessoais pode ser empregado como mecanismo de distribuição de propaganda legítima ou enganosa. Evidente, portanto, a necessidade de regulação e fiscalização deste meio, principalmente no que diz respeito à proteção dos dados dos usuários, que correspondem à parcela considerável do eleitorado brasileiro7. Pois bem, a Resolução n. 23.610/2019 do TSE, que regula a propaganda eleitoral, menciona expressamente a LGPD em três momentos. Primeiro, o art. 28, inc. III da Resolução determina que a propaganda eleitoral na Internet por meio de mensagem eletrônica para endereços cadastrados gratuitamente pelo candidato, partido político ou coligação, deve observar a Lei Geral de Proteção de Dados quanto ao consentimento do titular. Em seguida, o art. 31, § 4º, prevê que as atividades de utilização, doação ou cessão de dados pessoais deve observar as disposições da lei 13.709/2018. Por fim, o art. 41 do regramento dispõe sobre a aplicação da LGPD, no que couber. A partir da leitura do art. 28, inc. III, supracitado, depreende-se a eleição da base legal do consentimento para reger os processos de tratamento de dados pessoais no contexto de propaganda eleitoral. A hipótese de tratamento de dados pessoais mediante o consentimento do titular está prevista no art. 7º, inc. I, da lei 13.709/2018, sendo necessário o consentimento específico caso o controlador deseje comunicar ou compartilhar dados pessoais com outros controladores, nos termos do art. 7º, § 5º, do respectivo Diploma Legal8. Importante ressaltar que diversos candidatos e partidos contratam empresas de marketing para gerenciamento da campanha eleitoral, assim, é necessário que os contratos definam a posição de cada um dos agentes perante a LGPD. Desse modo, deve-se distinguir a pessoa do controlador, ou seja, aquele que toma decisões referentes ao tratamento de dados pessoais (art. 5º, VI, da lei 13.709/2018); o operador, pessoa que realiza o tratamento de dados pessoais em nome do controlador (art. 5º, VII, da lei 13.709/2018 ; ou , ainda, o encarregado, aquele indicado pelo controlador e operador para atuar como canal de comunicação entre o controlador e os titulares dos dados (art. 5º, VIII, da Lei n. 13.709/2018). Tais discriminações são essenciais para fins de transparência e eventual responsabilização nos termos da Lei Geral de Proteção de Dados Pessoais, inclusive, ressalte-se que a Lei determina que o controlador apresente o relatório de impacto à proteção de dados pessoais, documento que parecer ser também exigível no âmbito da campanha eleitoral. Apesar da referência expressa à LGPD, importa observar que o Marco Civil da Internet (MCI) já menciona o direito ao consentimento livre, expresso e informado para o fornecimento de dados pessoais a terceiros (art. 7º, inc. VII, da lei12.965/2014). No mesmo sentido, o inciso IX, do art. 7º, do MCI determina que o consentimento expresso sobre coleta, uso, armazenamento e tratamento de dados pessoais deve ocorrer de forma destacada em relação às demais cláusulas contratuais. Todavia, quanto à qualificação do consentimento, o art. 5º, inc. XII da LGPD determina que o consentimento é a manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada. Assim, vigora o regramento atual e mais específico trazido pela lei 13.709/2018, ou seja, deve-se obter o consentimento livre e inequívoco dos possíveis eleitores, que devem ser informados sobre a finalidade para qual seus dados pessoais serão utilizados. Cabe mencionar, ainda, o art. 31 da Res. n. 23.610/2019 do TSE, que veda o compartilhamento de dados pessoais de clientes de pessoas jurídicas de direito privado e das entidades citadas no art. 24, da lei 9.504/97, em favor de candidatos partidos ou de coligações. Nesse ponto, há ampliação do escopo do art. 57-E, da Lei n. 9.504/97, pois este veda a utilização, doação ou cessão "de cadastro eletrônico" dos clientes das pessoas elencadas no art. 24, supracitado, em favor de candidatos partidos ou coligações. Ademias, o parágrafo quarto no art. 31, em questão, prevê a observância da LGPD no tratamento de dados pessoais, inclusive, sua utilização, doação ou concessão por pessoa jurídica ou por pessoa natural, observada as vedações citadas. Os dispositivos legislativos apresentados evidenciam que ainda é vaga a correlação entre a legislação eleitoral e a Lei Geral de Proteção de Dados Pessoais. Sendo assim, é fundamental a construção de arcabouço interpretativo sobre a proteção de dados pessoais no âmbito eleitoral a partir a conjunção de atividades entre a Justiça Eleitoral e a Autoridade Nacional de Proteção de Dados Pessoais. Aliás, entende-se ser necessário que as atividades de tratamento de dados pessoais na esfera eleitoral sigam os princípios dispostos na Lei Geral de Proteção de Dados Pessoais, quais sejam: finalidade (art. 6º, inc. I); adequação (art. 6º, inc. II); necessidade (art. 6º, inc. III); livre acesso (art. 6º, inc. IV); qualidade (art. 6º, inc. V); transparência (art. 6º, VI); segurança (art. 6º, VII); prevenção (art. 6º, VIII); não discriminação (art. 6º, IX) e; responsabilização e prestação de contas (art. 6º, X). Cumpre destacar os princípios da transparência e da prestação de contas como essenciais para manutenção do processo eleitoral democrático. Ora, a prestação de informações referentes não apenas aos custos dispendidos com atividades de tratamento de dados pessoais, mas, também, relativas ao próprio processo de tratamento e identificação dos agentes contribui para preservar a autodeterminação informacional dos titulares-eleitores, em consonância com o princípio da autonomia da vontade e do direito à informação, que fundamentam a participação popular democrática. Além disso, a procidimentalização do processo de tratamento de dados pessoais, segundo as diretrizes previstas nas legislações eleitorais e na LGPD, reforça o princípio da igualdade de condições entre os candidatos participantes da corrida eleitoral, partindo do pressuposto de que os dados pessoais são combustível basilar das estratégias de marketing digital direcionado, o acesso ilícito acarreta em abuso de poder por parte do candidato ou partido político. Diante do exposto, urge a necessidade de construção de modelos legislativos e doutrinários a respeito da proteção de dados pessoais sob a perspectiva do Direito Eleitoral, da Lei Geral de Proteção de Dados Pessoais e do Marco Civil da Internet, haja vista à expansão da Era do Big Data sobre as campanhas eleitorais e a comunicação política. Por fim, cabe mencionar as contribuições do PL 2630/2020 como mecanismo de combate à desinformação. O referido projeto, que institui a Lei Brasileira de Liberdade, Responsabilidade e Transparência na Internet, apresenta normas e instrumentos de transparência a serem seguidos por provedores de redes sociais e serviços de mensageria privada, além de impor regras de conduta ao comportamento dos agentes políticos no meio digital, com o objetivo de "garantir segurança e ampla liberdade de expressão, comunicação e manifestação do pensamento".  É certo que medidas legislativas, por si só, não são capazes de controlar, por completo, o fenômeno extremamente complexo da desinformação, entretanto, a conjunção do Projeto de Lei nº 2630/2020 e a LGPD representam passos importantes para o enfrentamento da questão. *Cíntia Rosa Pereira de Lima é professora de Direito Civil da Faculdade de Direito da USP Ribeirão Preto - FDRP. Doutora em Direito Civil pela Faculdade de Direito da USP com estágio na Universidade de Ottawa (Canadá) com bolsa CAPES - PDEE - Doutorado Sanduíche e livre-docente em Direito Civil Existencial e Patrimonial pela Faculdade de Direito de Ribeirão Preto (USP). Pós-doutora em Direito Civil pela Università degli Studi di Camerino (Itália) com fomento FAPESP e CAPES. Líder e coordenadora dos Grupos de Pesquisa "Tutela Jurídica dos Dados Pessoais dos Usuários da Internet" e "Observatório do Marco Civil da Internet", cadastrados no Diretório de Grupos de Pesquisa do CNPq e do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP). Presidente do Instituto Avançado de Proteção de Dados - IAPD. Advogada.  **Maria Eduarda Sampaio de Sousa é graduanda em Direito pela Faculdade de Direito da USP Ribeirão Preto - FDRP. Integrante dos Grupos de Pesquisa "Tutela Jurídica dos Dados Pessoais dos Usuários da Internet" e "Observatório do Marco Civil da Internet" (CNPq) e do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP). Associada Fundadora e pesquisadora do Instituto Avançado de Proteção de Dados - IAPD. Bolsista FAPESP em Iniciação Científica ("Disseminação de informações falaciosas referentes ao processo eleitoral presidencial brasileiro de 2018: análise casuística e perspectivas de regulação"), orientado pela professora Dra. Cíntia Rosa Pereira de Lima. __________ 1 SOUSA, Maria Eduarda Sampaio de. LGPD e Eleições: Proteção dos Dados Pessoais dos Eleitores na era do Big Data. Disponível aqui, último acesso em 01 de setembro de 2020. 2 GRANVILLE, Kevin. Facebook and Cambridge Analytica: What Your Need To Know as Fallout Widens. The New York Times, Nova Iorque, Estados Unidos, 19 mar. 2018. Disponível aqui. Acesso em: 15 ago. 2018. 3 VASU, Norman; ANG, Benjamin; et.al. Fake News: National Security in the Post-truth Era. S. Rajaratnam School of International Studies, Singapura, jan. 2018, p. 11. Disponível aqui. Acesso em: 15 ago. 2018. 4 BRASIL. CPMI Fake News - Depoimentos dos sócios-proprietários da empresa Yacows. Vídeo (4:43:53) TV Senado, 21 fev. 2020. Disponível aqui. Acesso em: 08 ago. 2020. 5 BRASIL. Tribunal Superior Eleitoral. Resolução nº 23.610, de 18 de dezembro de 2019. Dispõe sobre propaganda eleitoral, utilização e geração do horário gratuito e condutas ilícitas em campanha eleitoral. Disponível aqui. Acesso em: 14 ago. 2020. 6 BRASIL. Lei nº 9.504 de 30 de setembro de 1997. Estabelece norma para eleições. Disponível aqui. Acesso em: 14 ago. 2020. 7 SOUSA, Maria Eduarda Sampaio de. Proteção de dados pessoais: LGPD e possibilidade de combate às fake News. Disponível aqui, último acesso em 01 de setembro de 2020. 8 BRASIL. Lei 13.709, de 14 de agosto de 2018. Lei Geral de Proteção de Dados Pessoais (LGPD). Disponível aqui. Acesso em: 14 ago. 2020.    
Uma das vantagens de compreendermos os direitos da personalidade em um enfoque de cláusula geral de tutela da pessoa humana é o de percebermos a sua permeabilidade, a vagueza do conteúdo semântico e a aptidão evolutiva das situações existenciais conforme a sociedade e a cultura que lhe conferem substrato. Não há numerus clausus em matéria de direitos da personalidade, pois o ser humano se exibe em inesgotáveis manifestações1.  Destarte, para além de um direito geral da personalidade - globalmente considerado - há um direito especial da personalidade composto por bens intrínsecos já mapeados (só para ficarmos nos limites do Código Civil direito ao corpo, imagem, nome, honra e intimidade), sem que isso impeça a progressiva decantação de novas zonas de relevância ainda não proclamadas de um conceito elástico, em permanente expansão2. Na sociedade tecnológica, defende-se abertamente a existência de um direito da personalidade à proteção de dados pessoais com autonomia perante o direito à privacidade3. Em todas as suas derivações, a privacidade revela aquilo que a pessoa tem ou faz em um contexto espacial delimitado. Todavia, em matéria de dados pessoais a informação extrapola o âmbito da pessoa. Ela ainda é um bem em si, mas capaz de ser objetivado e tratado longe e a despeito dela. Em um cenário de despersonalização, no qual a premissa antropocêntrica do ordenamento é subvertida pela coisificação do ser humano em um conjunto de algoritmos passíveis de transação no mercado, a consolidação de um direito da personalidade à tutela dos dados - voltada aos poderes público e privado - converte-se em pré-condição de cidadania na era eletrônica. O conceito dinâmico de autodeterminação informativa demanda mesmo um estatuto jurídico de dados, afinal, eles definem autonomia, identidade e liberdade da pessoa4. Paradoxalmente, a IA e outras tecnologias digitais emergentes não desafiam a gama já existente de danos reparáveis. Em países que seguem a tradição francesa, o dano como pré-requisito para a obrigação de indenizar é um conceito flexível e qualquer lesão a um interesse lícito pode ser o ponto de partida para a responsabilidade extracontratual5, cujo controle se dará pela verificação do nexo causal entre o dano e o comportamento culposo ou o risco de uma atividade.  Por conseguinte, o interesse em jogo pode ser mais ou menos significativo e a extensão do dano a esse interesse também pode variar, com impacto na avaliação quanto à justificação da indenização em um caso concreto6.   Nada obstante, algumas incipientes categorias de danos podem ser mais relevantes em casos futuros do que em cenários tradicionais de responsabilidade civil7-8. Os danos causados ??aos dados pessoais podem resultar em responsabilidade civil quando a responsabilidade surge do contrato9; ou quando a responsabilidade decorra da interferência de terceiro no ambiente em que os dados foram armazenados10; ou ainda, naquilo que nos interessa de maneira mais próxima, o dano foi causado por conduta antijurídica (violadora do dever geral de não lesar)11. Não é universalmente aceito que destruição de dados seja equiparada à perda de propriedade, uma vez que em alguns sistemas jurídicos a noção de propriedade é limitada a objetos corporais e exclui bens intangíveis, todavia12 o surgimento de tecnologias digitais enfatizou a importância dos danos aos dados, por meio de sua subtração, deterioração, contaminação, criptografia, alteração ou supressão13. Com grande parte de nossas vidas e nossas propriedades sendo "digitalizadas", é inviável, por óbvio, limitar a responsabilidade civil ao mundo tangível14. Referimo-nos à categoria dos digital assets, digital property ou bens digitais, como aqueles ativos incorpóreos, progressivamente inseridos na internet, que consistem em informações intangíveis fisicamente, de caráter pessoal - conteúdos postados ou compartilhados no ambiente virtual -, que trazem em si utilidade, tenham ou não conteúdo econômico15. No terreno da responsabilidade extracontratual, uma adaptação recorrente é a de traduzir os danos aos dados como danos ao meio físico no qual os dados foram armazenados. Assim, se A armazena os seus arquivos na unidade de disco rígido de seu computador pessoal em casa e um colega de faculdade negligentemente danifica o computador, tornando os arquivos ilegíveis. Independentemente da qualificação dos danos aos dados, em qualquer caso, a ilicitude se dirigiu à propriedade tangível de A (a unidade de disco rígido) e, apenas por esse motivo, B já seria responsável. Contudo, não é adequado simplesmente equiparar o tratamento normativo entre ambos objetos. Basta uma pequena modificação no exemplo, para o caso em que o proprietário do computador não coincida com a pessoa que tem um interesse digno de tutela nos dados. Seria o caso de classificar esse interesse merecedor de proteção semelhante à propriedade como propriedade intelectual ou um segredo comercial, ou a necessidade de tutelar o progresso intelectual em nada se relaciona com o resguardo de um "hard disk" inserido em computador? Seja como for, da lesão a dados pessoais podem decorrer danos patrimoniais ou extrapatrimoniais, nas mais variadas correntes de qualificação da responsabilidade, de seus fundamentos e de sua justificação. Caberá aos juristas, estudiosos do direito de danos e das novas tecnologias, a árdua tarefa de construir um sistema de responsabilidade civil adequado que, ao mesmo tempo que possibilite a efetiva prevenção e a reparação dos danos residualmente sofridos, permita o pleno desenvolvimento das tecnologias emergentes que tanto beneficiarão a sociedade. *Carlos Edison do Rêgo Monteiro Filho é professor titular e ex-coordenador do programa de pós-graduação em Direito da Faculdade de Direito da UERJ. Doutor em Direito Civil e mestre em Direito da Cidade pela UERJ. Procurador do Estado do Rio de Janeiro. Presidente do Fórum Permanente de Direito Civil da Escola Superior de Advocacia Pública da PGE-RJ (ESAP). Vice-presidente do Instituto Brasileiro de Estudos de Responsabilidade Civil (IBERC). Associado Fundador do Instituto Avançado de Proteção de Dados (IAPD). Advogado, pareceirista em temas de Direito Privado. **Nelson Rosenvald é professor do corpo permanente do doutorado e mestrado do IDP/DF. Procurador de Justiça do Ministério Público de Minas Gerais. Pós-doutor em Direito Civil na Università Roma Tre (IT-2011). Pós-doutor em Direito Societário na Universidade de Coimbra (PO-2017). Visiting Academic Oxford University (UK-2016/17). Professor Visitante na Universidade Carlos III (ES-2018). Doutor e mestre em Direito Civil pela PUC/SP. Presidente do Instituto Brasileiro de Estudos de Responsabilidade Civil (IBERC) e Associado Fundador do Instituto Avançado de Proteção de Dados (IAPD) __________ 1 Talvez Saramago tenha explicado o conceito de personalidade de forma mais clara do que qualquer jurista: "Dentro de nós há uma coisa que não tem nome, essa coisa é o que somos". SARAMAGO, José. Ensaio sobre a cegueira. Lisboa: Editorial Caminho, 1995. 2 "O que está em causa nos direitos da personalidade não é apenas a tutela de um aspecto particular da pessoa humana, mas sim a tutela da pessoa humana globalmente considerada, podendo abranger novas zonas de relevância. Trata-se da pessoa não apenas perspectivada estaticamente, como ser humano, mas também em devir, em desenvolvimento" PINTO, Paulo Mota. Direitos da personalidade e direitos fundamentais. Coimbra: Gestlegal, 2018, p. 334. 3 "O esforço a ser empreendido pela doutrina e pela jurisprudência seria emo nosso ponto de vista uma interpretação dos incisos X e XII do art. 5. que seja mais fiel ao nosso tempo, reconhecendo a intima ligação que passam a ostentar os direitos relacionados à privacidade e à comunicação de dados. Dessa forma, a garantia da proteção dos dados pessoais, em si próprios considerados, com caráter de direito fundamental representa o passo necessário à integração da personalidade em sua acepção mais ampla e adequada à sociedade de informação" DONEDA, Danilo. O Direito fundamental à proteção de dados pessoais. In: MARTINS, Guilherme Magalhães; LONGHI, João Victor Rozatti. Direito digital, 3. Ed, Indaituba: Foco, 2020, p. 52. 4 Neste conceito dinâmico do direito à proteção dos dados pessoais já se insere o direito à portabilidade dos dados: "trata-se de uma ferramenta posta à disposição dos titulares para incrementar o controle dos mesmos sobre os seus dados pessoais de uma forma ativa, concorrendo dessa maneira para o exercício da autodeterminação informativa, ou seja, o controle das informações que lhe digam respeito, evitando que os ados se tornem mero objeto de transação". CRAVO, Daniella Copetti; KESSLER, Daniela Seadi e DRESCH, Rafael de Freitas Valle. Responsabilidade civil na portabilidade de dados. In: MARTINS, Guilherme Magalhães; ROSENVALD, Nelson. (orgs.) Responsabilidade civil e novas tecnologias. 1ed. Indaiatuba: Foco, 2020, p. 187. 5 Art. 927 CC/2002: "Aquele que, por ato ilícito (arts. 186 e 187), causar dano a outrem, fica obrigado a repará-lo. Parágrafo único. Haverá obrigação de reparar o dano, independentemente de culpa, nos casos especificados em lei, ou quando a atividade normalmente desenvolvida pelo autor do dano implicar, por sua natureza, risco para os direitos de outrem". 6 Neste sentido, o artigo 2:102 parágrafo 1, do PETL (Principles of European Tort Law): "O alcance da proteção de um interesse depende de sua natureza; sua proteção será mais ampla, quanto maior seja o seu valor, a precisão de sua definição e sua obviedade". 7 Exemplos sugeridos no Report from the expert group on liability and new technologies-New technologies formation-European Union 2019. Texto disponível aqui. 8 A utilização de dados pessoais para alimentar os novos sistemas de inteligência artificial e a sua utilização para tomar decisões proporcionam uma acurácia bastante significativa para um número crescentes de aplicações. Isto abre espaço para, ao menos, dois temas centrais para os debates sobre autonomia e direitos fundamentais nos próximos anos: os efeitos que a utilização desses sistemas causará para a pessoa e sua autonomia pessoal, bem como a necessidade de qualificar a natureza desses instrumentos e sistemas de inteligência artificial. (DONEDA, Danilo Cesar Maganhoto; MENDES, Laura Schertel; SOUZA, Carlos Affonso Pereira de; ANDRADE, Norberto Nuno Gomes de.  Considerações iniciais sobre inteligência artificial, ética e autonomia pessoal. In: Pensar: Revista de Ciências Jurídicas, v. 23, n. 4, p. 1-17, out./dez. 2018, p. 3). 9 Ilustrativamente, A armazena os seus arquivos no espaço em nuvem fornecido pelo provedor B com base contratual. B não protege adequadamente o espaço na nuvem, e, aproveitando-se disso, um hacker exclui todas as fotos de A. B será responsável perante A pela violação contratual, com fundamento em danos patrimoniais consubstanciados nos custos que A assumiu para restaurar os arquivos. Porém, pode-se acrescer os danos extrapatrimoniais pela perda de memórias familiares. 10 Exemplificando, os arquivos de A estão armazenados no espaço em nuvem fornecida por C. Sem nenhuma negligência da parte de C, B danifica negligentemente os seus servidores e todos os arquivos de A são excluídos. Não está claro por que deveria fazer diferença na responsabilidade de B se os arquivos continham texto ou fotos sobre os quais A detinha os direitos autorais;  os arquivos continham texto ou fotos sobre as quais terceiros detinham os direitos autorais, ou, por fim, os arquivos continham "machine data" de grande valor econômico, sobre os quais ninguém ainda titularizava direito autoral ou outro direito de propriedade intelectual. Trata-se da necessidade do ordenamento assegurar a tutela dos referidos interesses legais protegidos com eficácia contra terceiros. Um ponto de partida para a incidência da responsabilidade pelo ato ilícito é a semelhança dos danos aos dados com a ofensa à propriedade. 11 "Em havendo grandes fluxos de dados, grandes preocupações passam a permear a sociedade da informação, não apenas com os riscos de eventual uso discriminatório dos acervos de dados, mas também com o surgimento de potencial dependência em relação a eles e às práticas de coleta massiva e mineração (data mining). Nesse espírito, o intuito do legislador brasileiro, ao promulgar a Lei Geral de Proteção de Dados Pessoais está adequadamente alinhado ao propósito de assegurar direitos e promover o titular de dados - aqui visto como vulnerável". (MARTINS, Guilherme Magalhães; FALEIROS JÚNIOR, José Luiz de Moura. Compliance digital e responsabilidade civil na lei geral de proteção de dados. In: MARTINS, Guilherme Magalhães; ROSENVALD, Nelson. (orgs.) Responsabilidade civil e novas tecnologias. 1ed.Indaiatuba: Foco, 2020, p. 271). 12 Ilustrativamente, enuncia o §90 do Código Civil da Alemanha - BGB: "conceito de coisa: apenas objetos corpóreos são coisas, como definido por lei". 13 "Le tecnologie dell'informazione non solo si impadroniscono della nostra vita, ma costruiscono un corpo elettronico, l'insieme delle nostre informazioni personali custodite in infinite banche dati, che vive accanto al corpo físico". (RODOTÀ, Stefano. Persona, libertà, tecnologia. Note per una discussione. In: Diritto e questioni pubbliche, v. 5, 2005). 14 Quando B ingressa no espaço na nuvem e exclui os arquivos de A, para além da esfera cível, o comportamento doloso se qualifica como ilícito criminal. Na União Europeia o art. 82 do Regulamento Geral de Proteção de Dados (RGPD) explicita que há responsabilidade quando os danos foram causados pela intencional violação dos seus requisitos. Ao definir tais regras o legislador assume a relevância dos dados como ativo e a sua ubiquidade. Se em tese é possível introduzir uma regra declarando amplamente a proibição de acesso ou modificação de quaisquer dados controlados por outra pessoa, atribuindo responsabilidade se esse padrão for violado, isso pode resultar em um desbalanceamento, na medida em que todos nós, constantemente acessamos e modificamos dados controlados por outras pessoas. 15 LACERDA, Bruno Torquato Zampier. A responsabilidade civil no universo dos bens digitais. In: MARTINS, Guilherme Magalhães; ROSENVALD, Nelson. (orgs.) Responsabilidade civil e novas tecnologias. 1ed.Indaiatuba: Foco, 2020, p. 95. O autor se serve de quatro categorias para retratar as possibilidades de lesões a bens digitais: "a) Lesões oriundas de conduta de outro particular; b) lesões oriundas da conduta do próprio provedor; c) lesões oriundas da conduta do estado; d) lesões oriundas da conduta de familiares do titular".Op.cit, p. 97.