A Lei Geral de Proteção de Dados Pessoais trouxe dispositivos próprios acerca da responsabilidade civil e muito se tem pesquisado sobre o tema, notadamente quanto ao regime ou regimes adotado(s) na LGPD.

Entre as previsões de responsabilidade civil na Lei Geral está a do parágrafo único do artigo 44 que estabelece a responsabilidade por violação de segurança que cause danos, "ao deixar de adotar as medidas de segurança" contidas no artigo 46 da mesma lei.

Por sua vez, a previsão do artigo 46, que está na seção seguinte à da responsabilidade civil e trata de segurança e sigilo de dados, inaugura o capítulo da Lei sobre segurança e boas práticas com o comando aos agentes de tratamento de dados para agirem adotando medidas capazes de evitar "qualquer forma de tratamento inadequado ou ilícito".

Portanto, um assunto que ainda merece ser enfrentado é a figura da responsabilidade civil por tratamento inadequado. Seria uma espécie de responsabilidade civil por ato lícito? No caso de vislumbrada a figura por abuso de direito, há possibilidade de já se inserir no tratamento ilícito, dada previsão do artigo 187 do Código Civil.

Importante se rememorar que a seção da Responsabilidade Civil engloba os artigos 42 a 45, sendo que o parágrafo único do artigo 44 assim estabelece: "Responde pelos danos decorrentes da violação da segurança dos dados o controlador ou o operador que, ao deixar de adotar as medidas de segurança previstas no art. 46 desta lei, der causa ao dano".

Nota-se a responsabilização por danos decorrentes da violação de segurança por não adoção de medidas estipuladas no artigo 46 impõe que devem ser realizadas medidas aptas a evitar qualquer forma de "tratamento inadequado ou ilícito", sendo que a não adoção dessa medidas pode acarretar responsabilização. Há, na lei, a determinação para evitar qualquer forma de tratamento ilícito. O que está claro! Todavia, também há - ligada por conjunção alternativa ou - a mesma previsão tocante a tratamentos que, mesmo não sendo ilícitos, sejam inadequados.

Ao separar inadequado de ilícito pela conjunção alternativa, a LGPD teria estabelecido que responde por danos decorrentes da violação de segurança dos dados o agente de tratamento de dados que deixar de adotar medidas de segurança aptas a evitarem tratamento inadequado.

Isto é, do tratamento inadequado que advierem danos, o agente será responsabilizado ao ressarcimento. Oportuno destacar desde já que a referida normativa não diz o que seria tratamento adequado tampouco inadequado. A bem da verdade, tratamento inadequado é somente mencionado na lei em uma única ocasião: exatamente, a aqui tratada.

Para melhor compreensão, é prudente o exame da responsabilidade civil na LGPD como um todo para se particularizar a aqui examinada.

A LGPD constitui um diploma legal inspirado (além do Regulamento Geral de Proteção de Dados) no Código de Defesa do Consumidor. E, tal qual o CDC, a Lei Geral cria uma teia interconectada de dispositivos, ligando um princípio a um direito do titular, um fundamento a um conceito e, assim sucessivamente. Nada obstante essa intraconexão normativa, referidos diplomas legais expressamente abrem-se para outros ao estabelecerem que suas previsões não excluem diferentes disposições legais (artigos 7º do CDC e 64 da LGPD), com consequências também na seara da responsabilidade civil.

Nesse sentido, o próprio artigo 45 da LGPD faz remissão para o CDC quando estatui a aplicabilidade de normas atinentes à defesa do consumidor em caso de violações de direitos de titulares de dados ocorrem em relações de consumo. Merece anotação que não apenas em relações de consumo poderá haver incidência conjunta da LGPD e do CDC, mas também nas situações jurídicas de consumo, como pode ser o caso de eventual vazamento de dados representando, ao mesmo tempo, um acidente de consumo. O que atrai a incidência do CDC, por força do artigo 17 do Código do Consumidor.

Já nos artigos 42 a 44, a LGPD trata especificamente da responsabilidade civil, sem esquecer de outros dispositivos da própria Lei Geral que envolvem a responsabilidade civil, como o princípio da responsabilização e prestação de contas (artigo 6º, X), associando a não observância de adoção e realização de deveres de cuidado e transparência com as consequências danosas e os deveres de ressarcimento.

E é destes dispositivos que nascem as teorias sobre os regimes estabelecidos, como é o caso da denominada responsabilidade civil proativa¹, da responsabilidade civil objetiva pelo risco², objetiva por falha nos deveres de segurança³ e, ainda, da responsabilidade subjetiva⁴, bem como de posicionamentos que compreendem pela coexistência dos regimes subjetivo e objetivo na LGPD⁵. Ou, ainda, uma responsabilidade civil objetiva por violação dos deveres de segurança agregada⁶ a um dever de proatividade e, pois de prevenção de danos.

No tocante à responsabilidade civil por tratamento inadequado, não há⁷ exames pela doutrina ou jurisprudência. De toda forma, nota-se a previsão de responsabilidade civil por não adoção de medidas capazes de prevenir tratamento inadequado⁸. Acrescente-se que a LGPD igualmente impõe responsabilização para tratamento irregular que cause danos (caput do artigo 44).

Assim, haveria as figuras de tratamento ilícito, tratamento irregular e tratamento inadequado. O primeiro acontece quando há tratamento em violação à legislação de proteção de dados, já o irregular "quando deixar de observar a legislação ou quando não fornecer a segurança que o titular dele pode esperar", nos termos do mencionado artigo 44.

Examina-se, então, o tratamento inadequado, sendo que não há previsão expressa sobre tratamento adequado⁹ (tampouco inadequado). Estaria a LGPD, ao distinguir tratamento inadequado de ilícito, dispondo sobre responsabilidade civil por ato lícito?

Ou, ainda, seria, tal qual o CDC, um diverso regime de responsabilidade civil para além dos especificamente estabelecidos? Isso porque o CDC disciplina a responsabilidade civil pelo fato do produto ou do serviço, como também pelo vício. Além destes, há o direito básico do consumidor de prevenção e reparação de danos, sendo considerado como um terceiro regime de responsabilidade civil, qual seja, uma cláusula geral de responsabilidade civil no CDC¹⁰.

Seria, assim, uma cláusula geral de responsabilidade civil na LGPD a responsabilidade civil por tratamento inadequado? O que poderia estar em consonância com os princípios expressos no referido diploma legal, notadamente com os princípios da prevenção e da responsabilização e prestação de contas.

Nesse caso, na presença de danos injustos e ressarcíveis decorrentes de situações que envolvam tratamento de dados pessoais, sem que ocorra específica incidência de um dos artigos da LGPD, se poderia estar diante do dever de ressarcimento por tratamento inadequado de dados pessoais, ainda que não haja ilicitude.

Com efeito, a Lei Geral traz campo fértil aos estudos sobre responsabilidade civil. De forma que o presente texto compartilha dúvidas para, quem sabe, lançar novas sementes para investigações ainda necessárias.