Privacy by Design e LGPD: Um legado de estudos em privacidade e proteção de dados

A privacidade é um tema definitivamente em voga quando se fala sobre proteção de dados pessoais. No entanto, engana-se quem pensa que a discussão está restrita aos últimos anos: a literatura jurídica nos posiciona em diversos períodos e até séculos diferentes.

Com a data de entrada em vigor da Lei Geral de Proteção de Dados (LGPD) brasileira se aproximando, está na hora de empresas tornarem a adequação organizacional à legislação um propósito. Isso porque se em 1988 a Constituição cidadã previu a proteção à vida privada e à intimidade como direito fundamental, foi na década de 1990 que houve um maior desenvolvimento de normativas e orientações no sentido de garantir tratamento adequado dos dados pessoais.

Conceitos como o de Privacy by Design (PbD) podem auxiliar na compreensão de que a privacidade, se já não ocupava, agora ocupa papel central na maneira como empresas e usuários se relacionam. Este é o legado de estudos sobre o qual o texto trata.

Alguns antecedentes, ou a privacidade é das décadas de 90

Em finais do século XIX, mais precisamente em 1890, o advogado Samuel D. Warren e o ex-juiz associado da Suprema Corte norte-americana Louis D. Brandeis publicaram o artigo 'The Right to Privacy'¹, considerado um dos maiores estudos relacionados à defesa da privacidade.  

É nesta obra que se aponta a interrelação entre o 'right to be let alone' e o direito à privacidade², no sentido de que, à época, o indivíduo deveria possuir o direito de ter sua intimidade e vida privada protegidas de invasões pelos jornais. Neste contexto, já havia um embate entre privacidade e publicidade, temas que por si sós demandam abordagem própria.

Muitos estudos e novas tecnologias marcaram a história a partir de então, até que na década de 1990 uma série de acontecimentos começa a moldar conceitos e definições profundamente ligados à atualidade. Esta década demarca o intervalo temporal do que aqui se propõe discutir.

O início se dá com o lançamento da World Wide Web pelo cientista da computação britânico Tim Berners-Lee, em outubro de 1990, que possibilitava (e possibilita) criar e editar páginas navegáveis com base em três tecnologias fundamentais: a linguagem HTML, o endereço URL e o protocolo HTTP³. Quase 30 anos depois já não se faz muita coisa fora dos ambientes virtuais e dos sites, os quais, é sabido, armazenam e coletam dados pessoais de variadas formas.

Com esse avanço de forma acelerada, o campo da legislação e das normas começou a apresentar algumas respostas. Jan Holvast (2009, p. 30) destaca o 'Children's Online Privacy Protection Act' (COPPA), de 1998, o 'Fair Health Information Practice' (1997), e as emendas ao 'Fair Credit Reporting Act' de 1997, todos nos Estados Unidos, como maneiras de se assegurar a proteção dos dados de cidadãos. O Parlamento do Reino Unido, por sua vez, adotou em 1998 o 'Data Protection Act'⁴.

É também na metade da década de 1990 que o Parlamento Europeu e o Conselho adotaram a Diretiva 95/46/CE, relacionada à proteção das pessoas no que toca ao tratamento de dados pessoais e à livre circulação desses dados.

Anota-se que nesta diretiva havia menção ao conceito de tratamento de dados, muito caro ao General Data Protection Regulation (GDPR) e à própria LGPD. O artigo 2º da diretiva o descrevia como "qualquer operação ou conjunto de operações efetuadas sobre dados pessoais, com ou sem meios automatizados, tais como a recolha, registo, organização, conservação, adaptação ou alteração, recuperação, consulta, utilização, comunicação por transmissão, difusão ou qualquer outra forma de colocação à disposição, com comparação ou interconexão, bem como o bloqueio, apagamento ou destruição"⁵.

Veja-se que não havia limitação a meios físicos ou digitais isoladamente, mas sim a abrangência de ambos. A segurança do tratamento era uma das preocupações do instrumento, particularmente expressada na redação do artigo 17, que previa ao controlador a incumbência de adotar medidas técnicas e organizacionais adequadas a fim de evitar a perda, destruição, alteração, difusão e acesso não autorizado aos dados.

Todavia, o que de fato se destaca na última década do século XX, para fins deste texto, é o desenvolvimento do conceito de 'Privacy by Design' (PbD) pela ex-comissária de informação e privacidade da província de Ontário, Canadá, Ann Cavoukian.

Cavoukian estabeleceu sete princípios que norteiam a "incorporação da privacidade em tecnologias da informação, práticas comerciais e infraestruturas de rede como funcionalidade central, desde o início" (2012, p. 8, tradução minha). Estes princípios se mostram relevantes porque dialogam, em certa medida, com as legislações de proteção de dados.

A partir disso, a preocupação passaria a estar focada em mecanismos que resguardassem a privacidade do usuário ainda antes do início da coleta dos dados, e não no curso do tratamento. Nas palavras de Cavoukian, "a privacidade não pode ser assegurada somente pelo compliance com estruturas regulatórias; pelo contrário, a garantia da privacidade deve de preferência se tornar um modo de operação padrão da organização"⁶.

Trata-se, isso sim, de orientação e estudo apurados em um campo ambivalente como o da privacidade, que é tão antigo quanto atual. Antigo porque remonta a discussão não restrita a determinado período; atual porque gera debates a cada nova tecnologia desenvolvida.

Do berço ao túmulo: um caminho para a privacidade, não para a reputação da empresa

A privacidade como algo garantido durante todo o ciclo de vida do dado, a transparência quanto ao seu tratamento e o respeito ao usuário, na forma de inviolabilidade de seus direitos, são exemplos da relação entre o PbD e a LGPD. Isto é dizer que para estar em conformidade com a lei, a organização precisa adotar e respeitar a privacidade desde a coleta até a eliminação do dado, ou, nas palavras de Cavoukian, "do berço ao túmulo" (from cradle to grave⁷).

Embora pareça estar restrito aos aplicativos e sistemas de tecnologia da informação, o PbD pode ser muito mais amplo⁸ e relacionar-se também com práticas comerciais e processos internos, conforme estabelecido na 'Resolution on Privacy by Design'⁹ da 32nd International Conference of Data Protection and Privacy Comissioners, realizada em Jerusalém no ano de 2010.

Tal afirmação fica ainda mais compreensível com a leitura do artigo 25 do GDPR, que trata especificamente do que escolheu chamar de "data protection by design and by default". O regulamento europeu determina que o controlador deve implementar medidas técnicas e organizacionais desenvolvidas para efetivar princípios de proteção de dados e que garantam que, por padrão, só serão processados os dados pessoais estritamente necessários e com propósitos definidos.

Sem querer aprofundar a análise neste ponto, observa-se que se não robusta, há vaga lembrança do artigo 17 da diretiva europeia de 1995. Ainda, quer parecer que o GPDR adotou a ideia advinda do PbD de privacidade como ponto fundamental de produtos e serviços, ou ainda como parte do design¹⁰ destes.

Em terras brasileiras, a LGPD não menciona expressamente, mas os princípios de PbD estão invariavelmente dispostos entre os dispositivos da lei. Basta analisar cada um desses princípios e depois procurar pela previsão correspondente, como é o caso da privacidade como algo proativo e preventivo (1º princípio), a garantia da privacidade e da segurança de dados ao mesmo tempo - e não uma em detrimento da outra (4º princípio), segurança de ponta a ponta ou durante todo o ciclo de vida do dado (5º princípio), transparência quanto ao tratamento e dentro dos limites do consentimento (6º princípio), etc.

Não é preciso levar à exaustão as premissas de que a empresa ou organização que sobretudo respeita a privacidade do usuário, a despeito de ter em mente que assim o faz para evitar sanções administrativas, também tem mais chances de melhor se posicionar dentro de seu setor de atuação.

Conhecer todo o ciclo de vida dos dados que são tratados, assim como zelar pelas melhores práticas em transparência, acessibilidade, manutenção da qualidade dos dados, prevenção de acessos não autorizados e prestação de contas (accountability) passam também a ser padrão de atuação organizacional.

Se, como mencionado previamente, a privacidade é algo que se estende "do berço ao túmulo" na gestão da informação, não pode a reputação da empresa ou da organização seguir pelo mesmo caminho. Aquelas (empresas) que resistirem a adotar práticas eficientes de proteção poderão, sim, receber sanções, mas muito pior é perder a confiança de quem acreditava que seus dados estariam protegidos enquanto durasse a execução do serviço ou a entrega do produto.

Conclusão, ou próximos passos

A LGPD está programada para entrar em vigor em 3 de maio de 2021, com exceção dos artigos 52, 53 e 54, que cuidam das sanções administrativas. Mais do que se preocupar com a adequação das práticas organizacionais com vistas a evitar tais sanções, quer parecer que é hora de se entender, definitivamente, o papel da privacidade como um direito muito caro ao seu titular.

Este direito positivado constitucionalmente foi conquistado, ao longo da história, a duras penas. Neste sentido, cabe às empresas compreenderem as necessidades dos usuários e clientes tal como compreendem as do negócio. Exemplos de benefícios a ambos os lados desta parceria não faltam.

O que será da próxima década de 90, e como se comportará o legado do tema da privacidade até lá, ninguém sabe. Porém, já se pode adiantar que, ainda que haja certo tempo até a entrada em vigor da lei brasileira, a urgência da sociedade em ter direitos respeitados e a confiança nas organizações mantida é algo de hoje, e que pode não admitir mais delongas.

_________

1 WARREN, Samuel D.; BRANDEIS, Louis D. The Right to Privacy. Harvard Law Review, vol. 4, n. 5, p. 193-220, 1890.

_________

CAVOUKIAN, Ann. Operationalizing Privacy by Design: A Guide to Implementing Strong Privacy Practices. Dez. 2012. Disponível clicando aqui. Acesso em: 10 jul. 2020.

HOLVAST, Jan. History of Privacy. In: Matyás V., Fischer-Hübner S., Cvrcek D., Svenda P. (eds) The Future of Identity in the Information Society. Privacy and Identity 2008. IFIP Advances in Information and Communication Technology, vol 298. Springer: Berlin, Heidelberg, 2009.

_________

*Mario Cesar Lobo Junior é colaborador da L. Baddauy Advocacia.