Damnum in datis ipsis: resgatando o papel instrumental da responsabilidade civil na proteção de dados

Após quase 14 meses de vigência da Lei Geral de Proteção de Dados (LGPD),¹ verificamos um avanço no processo de sensibilização e criação de cultura voltada à privacidade e à proteção de dados pessoais. Se antes ecoavam vozes descrentes da futura adequação dos agentes de tratamentos de dados à legislação - "será que a Lei vai pegar?"-, as já mais de sete centenas de decisões judiciais não apenas indicam o contrário, como as calam. Sobre tais julgamentos nos tribunais brasileiros, e a partir de respectivo mapeamento e estudo - parte da pesquisa conduzida no projeto "E-commerce: regulação e novos modelos de negócio", do Centro de Tecnologia e Sociedade (CTS), da FGV Direito Rio -, verifica-se que a maioria envolve o pleito de ressarcimento de danos decorrentes do descumprimento dos termos legais. Dentre os argumentos recorrentes defendidos que merecem destaque no presente ensaio, elevam-se (i) o indeferimento de indenizações por danos materiais e morais devido à ausência de comprovação não apenas dos prejuízos experimentados, como também do próprio nexo de causalidade, por exemplo, de eventual vazamento de dados e posterior importunação excessiva, bem como publicidade direcionada; e, (ii) as interpretações questionáveis acerca da natureza de dados pessoais expostos, enquanto capazes ou não de gerar prejuízo aos respectivos titulares.² Perante tal constatação, pergunta-se quais os princípios que devem fundamentar essas decisões? A fim de articular resposta e raciocínio lógico, relata-se julgamento emblemático, divulgado na semana passada, pela Suprema Corte inglesa no caso Lloyd v Google.³ A decisão nos trouxe alguns importantes esclarecimentos, não deixando de levantar, por sua vez, críticas e reflexões sobre as suas implicações na judicialização de celeumas futuras.  

O caso específico envolvia a inserção de um cookie⁴ nos dispositivos dos utilizadores do navegador Safari no iPhone, sem o devido consentimento, para coletar as preferências e outras informações associadas às páginas da Web visitadas. O ativista digital Richard Lloyd entrou com ação compensatória em nome próprio e de um grupo expressivo (4 milhões) de utilizadores de iPhone no Reino Unido, reportando que a coleta indevida de dados teria lhes causado prejuízos. Provavelmente em razão da natureza coletiva da ação e das situações subjetivas dos diferentes indivíduos representados, Lloyd não alegou fatos que demonstrassem um dano específico (tais como a classificação dos dados que foram coletados e o período de utilização), ponto que foi invocado pelo Google, em defesa, para fundamentar a rejeição das reclamações.  

As questões centrais para a resolução da disputa foram duas. A primeira é um aspecto processual sobre a legitimidade dessa ação representativa e, portanto, sobre a avaliação de interesses comuns desses indivíduos, justificando a proposição de ações que mereçam ser tratadas conjuntamente. Devido aos limites e objeto do presente ensaio, não nos debruçaremos sobre esse aspecto, nos restringindo apenas a indicar que a Corte aceitou a utilização de respectivo mecanismo de tutela coletiva. A segunda, essencial para nossa análise, é se haveria na lei inglesa um direito à indenização pela perda de controle sobre os próprios dados pessoais, independentemente da existência de impactos pecuniários ou psicológicos. Nesse sentido, em defesa ao direito às compensações, Lloyd sugeriu a imposição de uma indenização nominal de 750 libras (cerca de 5.000 reais) como dano mínimo comum a cada membro do grupo, somando-se 3 bilhões de libras (por volta de 22 bilhões de reais) relativo ao total de vítimas.

 Na tese utilizada pelo advogado de Lloyd, que já havia sido sustentada em ação similar envolvendo um número mais restrito de usuários de iPhone (Vidal Hall v Google⁵), defendeu-se que a proteção de dados tem uma raiz comum com a privacidade, na qual a última representa um objetivo explicitamente reconhecido pela primeira. Portanto, argumentou-se que os titulares deveriam ser protegidos com remédios igualmente efetivos por ambos marcos regulatórios (da privacidade e da proteção de dados pessoais), na medida em que os fatos revelam uma violação grave ao direito à privacidade: ou seja, nesses casos, a tutela oferecida pelo sistema jurídico deveria incluir a possibilidade de ressarcir o titular por dano imaterial apesar da inexistência de prova desse prejuízo. Tal conclusão seria necessária devido ao reconhecimento de ambos direitos como fundamentais, para os quais o sistema jurídico deve providenciar um remédio que perpassa a esfera exclusivamente econômica. 

Aceitando essa tese, a Corte de Apelo em Vidal Hall estendeu às violações da lei de proteção de dados o nível de tutela civil já concedido à privacidade na common law. Para tanto, a Corte resolveu não aplicar as disposições legislativas do artigo 13 (2) do Data Protection Act,⁶ que limitavam expressamente a compensação por danos imateriais eventualmente sofridos devido à ofensa ao direito à proteção de dados a dois casos específicos: (i) quando o indivíduo sofra um prejuízo, e (ii) quando sua informação tenha sido utilizada para fins jornalísticos, artísticos ou literários. Desse modo, uma vítima de violação não trivial da privacidade poderia obter compensação pelo mero fato da "perda de controle" que deriva do descumprimento das normas de proteção de dados, independentemente da demonstração de um dano, da mesma forma em que um bebê teria direito à indenização pela publicação indevida de suas fotos independentemente da sua (in)capacidade de perceber respectivo desconforto e impacto, como já proferido em decisões pretéritas.⁷

Por outro lado, a Suprema Corte não considerou a teoria de origem comum suficiente para fundamentar o afastamento dessas disposições, apontando por sua vez a existência de uma clara distinção entre "dano" e "violação" na diretiva europeia sobre proteção de dados pessoais,⁸ bem como a inexistência de normativas nacionais que tenham equiparado tais conceitos. Nos argumentos que fundamentaram a decisão da Corte, Lord Leggatt distinguiu a responsabilidade por violação de privacidade daquela de proteção de dados devido à natureza objetiva da primeira, e subjetiva da segunda, haja vista a obrigação de diligência na tomada de medidas de proteção adequadas. O ministro afirmou que atribuir uma compensação automática e, portanto, sem provas, nos casos em que não houve diligência, seria uma anomalia jurídica. Para ilustrar, lembrou que a demonstração do dano concreto se faz necessária nos casos de responsabilização por falta de medidas protetivas em relação aos riscos à integridade física ou à propriedade alheia: por exemplo, quando por falta de manutenção da construção predial se rompa e a queda do material caia na residência de alguém, gerando prejuízos materiais. Assim, a ação foi rejeitada pela mesma razão que a tornava tão poderosa: a conjunção de um grupo muito extenso de reclamantes sem a inclusão de elementos individuais e característicos sobre seus integrantes, o que permitiria conectar mais especificamente a teoria de dano aos usuários envolvidos. Nesse sentido, é interessante mencionar que a Corte de Apelo em Vidal Hall considerou a submissão de listas confidenciais de históricos de navegação das vítimas apta a demonstrar que o cookie promovia a coleta de informação de natureza eminentemente privada, levando à conclusão que existiria um dano in re ipsa.⁹ Isso ressalta a importância crucial de evidenciar a existência de um tratamento de dados pessoais com potencial significativo para gerar um dano: Lord Legatt inclusive mencionou que a instalação de um cookie com fins de publicidade direcionada, quando apreciado isoladamente, não tem valor econômico nenhum.¹⁰

Ante o exposto, apesar de fornecer indicações estratégicas para futuros litigantes, a decisão da Suprema Corte pode ser criticada por se alinhar com uma preocupante tendência na tutela judicial da proteção de dados: criar relação de dependência entre  eventual compensação pecuniária e a comprovação de danos materiais, ou seja, danos de expressão patrimonial -- sejam esses prejuízos financeiros já experimentados no momento da propositura da ação (danos emergentes), sejam valores que se deixou de ganhar em virtude do infortúnio (lucros cessantes). Como bem apontado pela Corte de Apelo em Vidal Hall, o objetivo da proteção de dados não é proteger direitos econômicos e, portanto, não é razoável limitar a tutela judicial à comprovação de um prejuízo patrimonial. O Regulamento Europeu sobre proteção de dados (GDPR),^[11] que ainda não estava em vigor na época das violações cometidas pelo Google no caso ora em debate, é explícito ao prever o direito ao ressarcimento por danos tanto material, quanto imaterial, e fornecer, a título exemplificativo, uma série de situações que incluem desvantagens não apenas econômicas, mas também sociais.¹² Infelizmente, apesar da estratégia clara e elucidativa, tal esclarecimento não foi satisfatório para a orientação das implementações nacionais, consequentemente, no reconhecimento da hipossuficiência dos titulares de dados e no estabelecimento de presunções de dano em situações de alto risco de prejuízo econômico ou social, tal qual foi desenvolvido em outras áreas do direito.¹³ Para fins comparativos, cabe ressaltar que, no contexto brasileiro, o instrumento de inversão do ônus probatório, disposto no artigo 42, §2^o, da LGPD, pode ser aproveitado para alcançar esse resultado quando se tratar de alegação verossímil, houver hipossuficiência para fins de produção de prova ou quando a sua produção pelo titular resultar-lhe excessivamente onerosa. Além dessas circunstâncias que justificam a alteração da titularidade dos responsáveis por gerar evidências, uma postura mais garantista pode ser fundamentada na intrínseca potencialidade de perda de controle dos dados pessoais pelos seus respectivos titulares: tal prospecção é um elemento fundamental e necessário para distinguir a violação da proteção de dados de formas de responsabilidade subjetiva em relação a objetos tangíveis, como o exemplo supracitado de desfazimento de construção predial. É importante que os tribunais provocados a aplicar a legislação da proteção de dados considerem o seu valor instrumental para a efetivação de uma série de direitos: não apenas aqueles com impacto facilmente mensurável, como os de propriedade e de livre iniciativa, mas também os mais abstratos, como a dignidade, a saúde mental, o direito à informação, o justo processo e outros valores que podem depender da autodeterminação informativa.

Por fim, vale ressaltar que a responsabilidade civil tem uma dupla função: por um lado, assegurar a compensação das vítimas e, por outro, servir como dissuasivo à prática da conduta ilícita. Graças ao segundo efeito, as autoridades podem aproveitar das ações privadas como forma de apoiar a conscientização, retração e supervisão da prática indesejada e, dessa maneira, poupar os limitados recursos públicos para as demais áreas prioritárias. Essa função é particularmente importante no âmbito da proteção de dados no Brasil, considerando o número restrito de servidores da autoridade nacional de proteção de dados¹⁴ e as diversas tarefas que a autoridade identificou como primárias em seu plano anual.¹⁵ Para preservar a eficácia desse papel dissuasivo, sugerimos que o modo mais correto de implementação do regime de responsabilidade civil seria o reconhecimento de um dano simbólico (ou seja, eleição de um valor mínimo, cuja métrica não deixe de ser significativa e gere um desestímulo expressivo em caso de ações de tutela coletiva) para situações de descumprimento da lei que resultem em risco substancial para os direitos dos titulares. Como exemplo, destacam-se aquelas situações envolvendo a perda de controle sobre dados sensíveis que possuem maior predisposição de serem utilizadas para fins de discriminação. A identificação dos critérios adequados para a concessão de danos simbólicos poderia ser alvo de diretrizes e guias a serem produzidas pela autoridade, visando reconciliar as diferentes orientações adotadas nos tribunais, no âmbito da sua função educativa. Claramente,  respectiva presunção não obstaculizaria a possibilidade de comprovação de danos maiores, quando perante perspectiva individual díspar, nem de exclusão de responsabilidade nos casos previstos pela LGPD, no artigo 43.

______________