O caso TikTok e os riscos de consumerização da LGPD

Enquanto o Congresso Nacional decide sobre quando a lei 13.709/18 (Lei Geral de Proteção de Dados Pessoais - LGPD) entrará em vigor, alguns órgãos de defesa do consumidor parecem acreditar que a lei já está em plena vigência, além de darem singelas demonstrações da abordagem agressiva que deverão adotar em relação ao tema da privacidade e proteção de dados. O caso TikTok é um bom exemplo do que está por vir.

Em 14 de maio, o Procon-SP notificou a ByteDance Brasil (TikTok) pedindo explicações sobre suposta violação da privacidade de crianças e questionando se a empresa estaria adequada à LGPD.¹ A atitude do órgão contribui ainda mais com a insegurança jurídica em torno da vigência da nova lei, cuja data é ainda incerta, além de ser mais um sinal da indesejada "consumerização" da LGPD, que é agravada pelo fato de a Autoridade Nacional de Proteção de Dados (ANPD) ainda não ter sido criada.

A exigência de que o aplicativo esteja em conformidade com as diretrizes da LGPD antes de sua entrada em vigor, constitui flagrante violação ao princípio da legalidade previsto no art. 5º, II, da Constituição Federal, que estabelece que "ninguém será obrigado a fazer ou deixar de fazer alguma coisa senão em virtude de lei". E ao assim proceder, o Procon-SP contribui para aumentar ainda mais o cenário de incerteza em relação à aplicação das normas de proteção de dados no Brasil, considerando o debate atualmente travado no Congresso Nacional por conta das votações do projeto de lei 1.179/20 e da medida provisória 959/20, que propõem a prorrogação da vigência da LGPD para 2021.

Não bastasse exigir conformidade com a LGPD, o Procon-SP parece ignorar a legislação atualmente posta, que traz normas sobre privacidade e proteção de dados que já seriam aplicáveis ao modelo de negócios da TikTok, tais como a própria Constituição Federal, o Código de Defesa do Consumidor, o Marco Civil da Internet e até mesmo o Estatuto da Criança e do Adolescente, considerando que um dos temas abordados diz respeito ao suposto tratamento de dados de menores de idade.

A infeliz notificação do Procon-SP só faz intensificar as preocupações com a chamada "consumerização" da LGPD. Para alguns, a LGPD seria um "Código do Consumidor 2.0", uma espécie de releitura e aprimoramento dos seus dispositivos que buscam proteger o consumidor, vulnerável perante os fornecedores de bens e serviços, de modo a garantir o respeito e efetividade de seus direitos. Nessa perspectiva, os cidadãos, titulares dos dados, seriam igualmente vulneráveis diante de grandes grupos econômicos e de novas tecnologias de big data analytics, algoritmos de inteligência artificial, Internet das Coisas (Internet of Things - IoT), tecnologias de rastreamento, dentre outras, que possibilitam a coleta, processamento e o compartilhamento de dados pessoais em larga escala, de maneira opaca e pouco visível para os seus respectivos titulares.

É inegável que essa nova economia orientada em dados pode vir a tolher dos titulares de dados a autonomia e controle que deveriam ter sobre os fluxos de suas informações pessoais. É nesse contexto que a LGPD promete empoderar os cidadãos, para que estes tenham maior controle sobre o tratamento de seus dados pessoais. Essa ideia de autonomia e controle do indivíduo sobre suas informações pessoais foi recentemente revigorada em decisão histórica do Supremo Tribunal Federal, que reconheceu a existência de um direito fundamental autônomo à proteção de dados pessoais. No caso, o plenário referendou a medida cautelar em ações diretas de inconstitucionalidade², que suspendeu os efeitos da medida provisória 954/20, que obrigava as operadoras de telefonia a repassarem ao IBGE dados pessoais de seus consumidores para a produção de estatística oficial durante a pandemia do covid-19.

Desse modo, não é exagero afirmar que a LGPD terá impacto semelhante ao que o Código de Defesa do Consumidor teve no início dos anos 90. Contudo, o novo lugar de destaque que a proteção de dados pessoais passou a ocupar no Brasil não significa que a LGPD deva ser encarada como um "Código do Consumidor 2.0". Enquanto o Código de Defesa do Consumidor é um microssistema que estabelece deveres de conduta e instrumentos punitivos de proteção ao consumidor, podendo ter intersecções com o tema da privacidade, a LGPD é uma lei geral focada na proteção dos dados pessoais para além de relações de consumo, possuindo mecanismos de proteção mais sofisticados.

A LGPD não apenas aprimora e expande as regras de transparência e direito de acesso à informação que o Código de Defesa do Consumidor já previa, como também estabelece outros mecanismos de proteção do titular dos dados, os quais praticamente impõem às empresas e aos entes públicos a adoção de programas de governança de privacidade, além de medidas preventivas e mecanismos de compliance necessários para o cumprimento da lei e da efetiva demonstração de conformidade (accountability).

Isso não significa que devemos ignorar os instrumentos punitivos da LGPD, por meio de sanções que poderão vir a ser impostas pela ANPD, que será a autoridade responsável pela fiscalização da lei. Os instrumentos punitivos da LGPD não substituem e nem se sobrepõem àqueles previstos no Código de Defesa do Consumidor. São instrumentos complementares, devendo cada autoridade atuar dentro de suas atribuições legais, cada qual aplicando a LGPD e o Código de Defesa do Consumidor, respectivamente, nas situações em que o tratamento de dados pessoais ocorrer no âmbito de relações de consumo.³

Percebe-se, contudo, que alguns órgãos consumeristas vêm buscando ocupar o espaço que deveria ser da ANPD, exercendo funções de fiscalização da LGPD. Mas se a ANPD já estivesse criada, seria razoável supor que, ao invés de buscar punições ou exigir conformidade antes da vigência da lei, estaria editando normas e diretrizes para orientar as empresas e entes públicos nos tortuosos caminhos da adequação.

O recente episódio envolvendo a TikTok é um alerta para os perigos da "consumerização" da LGPD, que poderá acabar levando à judicialização excessiva da lei e à intensificação de uma verdadeira indústria de indenizações, à exemplo do que ocorreu nos anos que seguiram após a vigência do Código de Defesa do Consumidor. Já existem associações criadas do dia para a noite prometendo defender os interesses dos titulares de dados, e que estão atuando como se a LGPD estivesse em vigor, enviando notificações para empresas e ameaçando ingressar com ações judiciais.

A dita "consumerização" da LGPD, e sua consequente judicialização, seriam a própria negação dos objetivos que a lei busca atingir, consubstanciados na disseminação de uma cultura de proteção de dados, na governança preventiva e no accountability.

Na ausência de uma autoridade de proteção de dados, os riscos da "consumerização" serão ainda maiores, já que alguns órgãos de proteção do consumidor poderão acabar absorvendo parte das competências que seriam da ANPD, levando à descentralização e fragmentação da fiscalização da LGPD. Como resultado, teremos mais insegurança jurídica, uma vez que os diferentes órgãos consumeristas, o Ministério Público e tribunais poderão adotar interpretações diferentes, e até mesmo conflitantes, em relação aos dispositivos da lei.

A postura do Procon-SP perante a TikTok é apenas uma amostra do que está por vir. Curioso que, ao navegar pelo website da TikTok, nota-se que a empresa disponibiliza termos de uso, política de privacidade e até mesmo política de cookies em língua portuguesa e em linguagem clara e acessível. Já o website do Procon-SP não possui política de privacidade e nem informações sobre como órgão trata os dados pessoais dos cidadãos. Isso nos permite indagar: será que o Procon-SP já está adequado à LGPD?

_________

_________

*Paulo Lilla é advogado responsável pela área de Tecnologia, Proteção de Dados e Propriedade Intelectual no escritório Lefosse Advogados. Doutor e Mestre em Direito Internacional pela Faculdade de Direito da Universidade de São Paulo. Professor de Direito Digital e Proteção de Dados em instituições de ensino em São Paulo.