A pandemia da covid-19, o "profiling" e a Lei Geral de Proteção de Dados

O recente cenário de pandemia inaugurado pela propagação da covid-19 (espécie de coronavírus) trouxe à tona uma nova dinâmica para a compreensão de diversos institutos da Lei Geral de Proteção de Dados (LGPD) brasileira - a lei 13.709, de 14 de agosto de 2018 -, e um dos assuntos mais inquietantes concerne à prática denominada profiling (ou 'perfilamento', como se convencionou denominar em português)¹.

Para o direito digital, referido termo possui grande importância, pois reflete uma faceta inexorável da utilização dos algoritmos que, empregados nos processos de tratamento de grandes acervos de dados (Big Data), propiciam o delineamento do "perfil comportamental" do indivíduo, que passa a ser analisado e objetificado a partir dessas projeções.

Na LGPD, dispositivo bastante tímido, inserido em um único parágrafo do artigo que cuida da anonimização de dados (artigo 12, §2º), conceitua a referida prática: "Poderão ser igualmente considerados como dados pessoais, para os fins desta lei, aqueles utilizados para formação do perfil comportamental de determinada pessoa natural, se identificada."

A doutrina já se dedica à compreensão dos desdobramentos jurídicos dessa prática, antevendo os principais impactos da discriminação algorítmica. Nesse contexto, são eloquentes os registros de William Staples quanto à violação que isso causa ao direito fundamental à privacidade², e também o são as preocupações expressadas por Michael Froomkin acerca da necessidade de que sejam adotadas contramedidas urgentes a tais práticas, sob pena de estarmos todos vivendo em uma goldfish bowl³ - metonímia utilizada pelo autor para se referir ao aquário esférico e transparente no qual peixes-dourados são usualmente expostos, sem qualquer privacidade.

Essa situação é amplificada em tempos de pandemia, pois se almeja amplo controle populacional a partir da vigilância de dados (dataveillance)⁴ Com isso, iniciativas de monitoramento passam a ser festejadas e não mais repudiadas e exemplo disso já se notou anos atrás, em 2009, por ocasião da pandemia da Influenza H1N1, no Reino Unido⁵, onde operadoras de telefonia móvel foram instadas a fornecer dados de geolocalização de seus usuários ao governo britânico.

O mesmo cenário vem se repetindo com a covid-19. Na China, foi lançado um aplicativo que cruza dados da Comissão Nacional de Saúde, do Ministério de Transportes e da Agência de Aviação Civil, a fim de identificar indivíduos que tiveram contato com pessoas infectadas (ou com suspeita de infecção pelo vírus), o que, segundo a justificativa apresentada, possibilita reprimir a exponencial transmissão da covid-19, antes mesmo de se ter certeza se a pessoa fora ou não infectada.⁶

Iniciativas semelhantes também estão sendo vistas no Brasil. No Estado de São Paulo, pioneiro na implementação dessa espécie de medida, uma parceria do governo estadual com as operadoras Vivo, Claro, Oi e TIM passou a alimentar um sistema denominado Simi-SP, sob a seguinte justificativa: "Com o Simi-SP, o Governo de São Paulo pode consultar informações georreferenciadas de mobilidade urbana em tempo real nos municípios paulistas. Para garantir a privacidade de cada cidadão, o monitoramento é feito com base em dados coletivos coletados em aglomerados a partir de 30 mil pessoas."⁷ Medidas parecidas também foram noticiadas no Rio de Janeiro.⁸

Após o anúncio das medidas adotadas pelos governos estaduais, a União também se mobilizou, pelo Ministério da Ciência, Tecnologia, Inovações e Comunicações (MCTIC), que se uniu às quatro operadoras citadas, incluindo ainda uma quinta (Algar Telecom), para que, a partir das informações de suas torres de transmissão, que podem identificar a movimentação das pessoas, seja realizado o monitoramento de dados de 220 milhões de aparelhos móveis⁹, a partir de dados que, segundo informaram, "estão uma camada acima dos dados pessoais".¹⁰ Seriam dados anonimizados, portanto.¹¹

Sobre isso, e ressaltando a importância de marcos regulatórios para a proteção de dados pessoais, ensina Danilo Doneda:

Estando a proteção de dados vocacionada à proteção do cidadão, a sua disciplina compreende dispositivos capazes de legitimar a utilização de seus dados pessoais em situações nas quais o seu interesse ou o da sociedade é prioritário, como ocorre em situação como a que estamos passando. (...) Este elemento fundamental que é a legitimação para o uso em situações de emergência não é, de forma alguma, uma carta em branco fornecida pelas legislações de proteção de dados para o emprego irrestrito de dados pessoais: assim como em outras situações, o seu tratamento deve respeitar direitos e garantias individuais (...) somente para a estrita finalidade de conter a emergência, a minimização de riscos através da utilização de um conjunto mínimo de dados possível, a anonimização e pseudonimização sempre que possível, o emprego das medidas de segurança necessárias.¹²

Não há dúvidas sobre a relevância do tratamento de dados - ainda que anonimizados - para que se tenha controle estatal, em temos de pandemia, sobre a circulação de pessoas, especialmente em regiões de maior risco, como bairros onde residam muitos idosos ou nas cercanias de nosocômios ou casas de repouso, e até mesmo em áreas propensas à formação de grandes aglomerações, como parques, praças públicas, estações de metrô e ônibus, supermercados etc.

O que não se pode admitir é o uso não transparente, amplo e baseado em critérios que, embora divulgados - como, no caso do Estado de São Paulo, da contenção apenas de aglomerações com mais de 30 mil pessoas - não são facilmente auditáveis. E essa preocupação é sinalizada pela doutrina há anos!

Em 2010, por exemplo, Serge Gutwirth e Mireille Hildebrandt já defendiam a necessidade de que a criação de perfis pressuponha um sistema de proteção contra o processamento de dados que afetam comportamentos (como as restrições de circulação), mesmo que esses dados não possam ser considerados dados pessoais (caso dos dados anonimizados, pela exegese do artigo 12, caput, da LGPD brasileira).¹³ Ocorre que a própria noção de 'anonimização' é nebulosa e não apresenta critérios objetivos claros no atual estado da arte das Ciências da Computação. Fala-se em entropia¹⁴ como uma metodologia adequada à parametrização desses critérios, mas, como diz Paul Ohm, "estudos recentes comprometeram a fé dos cientistas nos processos de anonimização".¹⁵

Antevendo o risco de que medidas de perfilamento se materializassem no panóptico idealizado por Bentham¹⁶, a doutrina estrangeira já registrava que "a experiência pessoal, as histórias da mídia e o aumento da invasão e sobreposição da vigilância na era do combate ao terrorismo e à prevenção de pandemias provavelmente promoverão um reconhecimento crescente da interconectividade, agilidade e impacto potencialmente implícitos dos sistemas de vigilância na vida de alguém."¹⁷ Se, por um lado, "esta situação torna-se propícia a que se pense em alternativas ao modo de viver, de produzir, de consumir e de conviver nestes primeiros anos do século XXI"¹⁸, por outro, não se pode deixar de ressaltar o importante papel que uma Lei Geral de Proteção de Dados tem a cumprir nesse exato cenário.

Embora a LGPD ainda esteja em período de vacatio legis - e, possivelmente, venha a ter esse prazo prorrogado¹⁹ - diversos de seus dispositivos poderiam contribuir positivamente para que se tenha maior clareza quanto aos impactos da coleta e do tratamento de dados nesses tempos de confinamento e isolamento social. A autodeterminação informativa, fundamento da lei (artigo 2º, inciso II), é uma evidência concreta da necessidade de que se tenha eficácia normativa para a prevenção de ilícitos e de danos oriundos de um cenário indesejado de hipervigilância de dados.

Sem um instrumento vigoroso como a LGPD para que se possa esperar legitimamente um 'uso ético' dos algoritmos²⁰, grande nebulosidade continuará a pairar sobre os processos utilizados para o monitoramento social e as bases fundamentais para a definição de tão importante marco protetivo - com destaque para os direitos fundamentais à privacidade, à liberdade e à intimidade - permanecerão no vazio em razão da própria dificuldade de se desvendar abusos e excessos praticados nos processos de coleta e tratamento de dados, ainda que anonimizados.

_________

_________

*Guilherme Magalhães Martins é promotor de Justiça titular da 5ª Promotoria de Tutela Coletiva do Consumidor da Capital - Rio de Janeiro. Professor adjunto de Direito Civil da Faculdade Nacional de Direito - Universidade Federal do Rio de Janeiro e do Doutorado em Direito, Instituições e Negócios da Universidade Federal Fluminense - UFF.

*João Victor Rozatti Longhi é defensor público no Estado do Paraná. Professor visitante do PPGD da Universidade Estadual do Norte do Paraná (UENP) e de Graduação do Centro de Ensino Superior de Foz do Iguaçu (CESUFOZ). Pós-Doutor em Direito na Universidade Estadual do Norte do Paraná (UENP).

*José Luiz de Moura Faleiros Júnior é advogado mestre e Bacharel em Direito pela Faculdade de Direito da Universidade Federal de Uberlândia. Especialista em Direito Processual Civil, Direito Civil e Empresarial, Direito Digital e Compliance.