A pandemia da covid-19 vem gerando respostas duras por parte dos governos. Muitas vezes, medidas tomadas produzem efeitos na privacidade e no âmbito de proteção dos dados pessoais dos cidadãos, já que o combate à doença exige acesso a informações de saúde, dados de localização, informações sobre pessoas com que os contaminados tiveram contato, dentre outros dados.

A China, primeiro país afetado pela doença, adotou medidas bastante restritivas de isolamento social no início do ano. Com o alegado fim de rastrear a disseminação da doença, as autoridades chinesas fizeram o tratamento massivo de dados coletados especialmente de celulares de centenas de milhões de cidadãos. Os algoritmos desenvolvidos são capazes, segundo o governo chinês, de estimar a probabilidade de uma dada vizinhança, ou mesmo um indivíduo, serem expostos à doença. O sistema gerou muitas críticas em virtude da falta de transparência do uso desses dados e de como esses algoritmos funcionavam.

Num primeiro momento, pode-se pensar que medidas rígidas como essa são adotadas com maior facilidade em regimes autoritários. Porém, a pandemia de covid-19 mostra que mesmo países democráticos vêm utilizando a tecnologia para garantir o isolamento de pessoas doentes ou potencialmente expostas ao vírus.

Combate a pandemia abriu debate sobre a proteção de dados

A Coreia do Sul, por exemplo, um país que obteve muito sucesso na contenção da disseminação da doença, disponibilizou um aplicativo que possibilita que os cidadãos saibam se houve algum caso de contaminação em suas vizinhanças. Os alertas chegam para as pessoas várias vezes ao dia, com informações sobre a idade da pessoa contaminada, além da região em que mora ou trabalha. Não são disponibilizados os nomes e os endereços exatos, mas em muitos casos as informações enviadas permitem a identificação dessas pessoas.

A discussão sobre os limites da vigilância estatal começou nos países asiáticos, mas já chegou aos ocidentais. Na segunda semana de março, o governo dos Estados Unidos se reuniu com gigantes do Vale do Silício, como Amazon, Google, Twitter e Facebook para discutir como essas empresas poderiam ajudar no combate ao novo coronavírus. Um dos pontos tratados foi o compartilhamento de dados com o governo. Segundo o Washington Post, o CEO do Facebook, Mark Zuckerberg, comprometeu-se a fornecer dados anonimizados para pesquisadores que estudam a doença. Um representante da Amazon, por sua vez, afirmou que ferramentas de computação em nuvem da empresa podem ajudar as autoridades a rastrear turistas.

O Reino Unido busca adaptar o aplicativo usado pela China a um contexto democrático. Pesquisadores da Universidade de Oxford estão participando do projeto em parceria com o governo britânico e seu sistema de saúde. As pessoas ingressariam voluntariamente no aplicativo e concordariam com o compartilhamento de dados, em especial relacionados à localização. Os pesquisadores afirmam que o governo pode garantir a exclusão dos dados quando o armazenamento se mostrar desnecessário, e que não tornariam públicas informações sobre indivíduos, diferentemente do que foi feito na Coreia do Sul.

Essa discussão inevitavelmente chegará ao Brasil nas próximas semanas. De fato, a tecnologia pode ser aliada no combate a essa pandemia. Trata-se de uma grande vantagem em relação a outras pandemias que a humanidade sofreu em outros momentos. Porém, é importante que a discussão não se restrinja a uma dicotomia simplista entre a saúde e a vida da população, de um lado, e a proteção de dados pessoais e a privacidade, de outro.

Uma dicotomia semelhante é bastante comum em discussões envolvendo o combate à criminalidade: é comum verificar argumentos no sentido de que as pessoas devem renunciar à privacidade ou à proteção de seus dados pessoais em virtude de uma “causa maior”, que seria a proteção da vida das pessoas. Esses argumentos parecem convincentes num primeiro momento, já que é óbvio que a tendência das pessoas é proteger suas próprias vidas, ainda que precisem dispor de parte de suas liberdades. Contudo, apesar de convincentes, não deixam de estar errados. Não se deve estabelecer uma dicotomia que exija uma escolha entre segurança, de um lado, e privacidade e proteção de dados pessoais, de outro, pois a conciliação entre esses dois fins é possível.

Para isso, a Lei Geral de Proteção de Dados (Lei nº 13.709/2018), embora entre em vigor apenas em agosto deste ano, pode fornecer alguns subsídios para as discussões que virão. Ela trata dos princípios que devem nortear o tratamento de dados pessoais: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas.

Além disso, dados referentes à saúde são sensíveis e se submetem a maiores restrições, como, por exemplo, a tutela da saúde, limitando-se a procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridade sanitária, e a vedação às operadoras de planos privados de assistência à saúde o tratamento de dados de saúde para a prática de seleção de riscos na contratação ou na exclusão de beneficiários.

A lei também prevê as bases legais para tratamento de dados pessoais em geral, quando relacionados à saúde: dados como nome, CPF, RG, endereço e dados de localização podem ser utilizados no contexto de um tratamento. Contudo, a permissão legal de tratamento também é limitada a procedimentos realizados por profissionais de saúde, serviços de saúde ou autoridade sanitária.

A LGPD permite o tratamento e o compartilhamento de dados pessoais pela administração pública para execução de políticas públicas. Mas observa que sempre que o tratamento for feito por pessoa jurídica de direito público, deve ser atendida sua finalidade pública, na persecução do interesse público. O poder público deve ainda informar “as hipóteses em que, no exercício de suas competências, realizam o tratamento de dados pessoais, fornecendo informações claras e atualizadas sobre a previsão legal, a finalidade, os procedimentos e as práticas utilizadas para a execução dessas atividades, em veículos de fácil acesso, preferencialmente em seus sítios eletrônicos”.

Em qualquer hipótese, os dados utilizados devem ser anonimizados ou ao menos pseudonimizados na medida do possível, para garantir maior proteção dos cidadãos contra utilização indevida ou vazamentos.

Portanto, deve-se ter atenção, nas próximas semanas, para essa falsa dicotomia entre a proteção da vida e da saúde das pessoas, de um lado, e a proteção de dados pessoais e da privacidade, de outro.

Muitos governantes costumam aproveitar momentos de turbulência para ampliarem seus poderes de vigilância sobre a população, e esses instrumentos podem ser usados para finalidades que vão muito além do combate à pandemia. Pode-se perfeitamente adotar um uso eficiente dos dados dos cidadãos, sejam pessoais ou anonimizados, sem que haja uma interferência excessiva no âmbito de proteção dos indivíduos contra o arbítrio estatal. Para isso, a LGPD aparece como uma luz que deve guiar as decisões a serem tomadas pelos governos e pela sociedade em geral.

Publicado no Nexo Jornal.

Muitos ainda não se atentaram para a necessidade de adequar suas práticas à LGPD. Importante ressaltar que a nova lei não se aplicará apenas a grandes empresas de tecnologia como Facebook, Google e Uber, mas também a pequenas empresas ou até mesmo a pessoas físicas. Com pequenas exceções previstas expressamente na lei, todos que tratam dados pessoais devem cumprir a nova lei.

Cabe também destacar, de início, que o conceito de “dado pessoal” é bastante amplo, pois abrange qualquer informação relacionada a pessoa natural identificada ou identificável. A imagem de uma pessoa, por exemplo, é dado pessoal, desde que seja possível identificá-la. Isso se aplica tanto a fotos quanto a vídeos1. Com isso, o tratamento2 de fotografias e vídeos que retratem pessoas identificadas ou identificáveis deve respeitar os princípios e as regras da LGPD.

Não apenas isso. A partir de uma imagem (que é um dado em si), pode-se extrair outras informações relevantes sobre um indivíduo. Uma fotografia ou um vídeo que mostra uma pessoa rezando dentro de uma igreja, ou participando da reunião de um partido político, torna possível identificar a religião e as opiniões políticas dessa pessoa.

O que diz a LGPD sobre o assunto

No exemplo mencionado no parágrafo anterior, o problema se torna ainda mais complexo, uma vez que informações relacionadas a convicções religiosas e opiniões políticas são consideradas pela LGPD “dados pessoais sensíveis”. Essa espécie de dado pessoal recebe uma proteção ainda maior da lei e seu tratamento exige um cuidado especial por parte das pessoas físicas e jurídicas que o tratam.

Ou seja, ainda que a imagem em si não seja necessariamente um dado sensível, pode-se inferir dados sensíveis a partir dela. Nessa hipótese, o parágrafo 1º do artigo 11 prevê que a tutela dos dados pessoais sensíveis também se aplica a “qualquer tratamento de dados pessoais que revele dados pessoais sensíveis e que possa causar dano ao titular”. Dessa forma, o tratamento de uma imagem capaz de levar a inferências sobre dados pessoais sensíveis deve seguir os padrões mais restritivos previstos na lei para o tratamento dessa espécie de dados pessoais

Isso não significa, porém, que qualquer utilização de imagens de pessoas naturais deva seguir todas as regras e princípios previstos na LGPD. O artigo 4º, inciso I, exclui a aplicação da lei em relação ao tratamento de dados pessoais “realizado por pessoa natural para fins exclusivamente particulares e não econômicos”. Além disso, o inciso II do artigo 4º exclui a aplicação da LGPD quanto o tratamento de dados pessoais se der para fins jornalísticos, artísticos ou acadêmicos (observados, neste último caso, disposições especiais previstas nos artigos 7º e 11).

Disso não decorre ser possível postar qualquer imagem sem autorização das pessoas retratadas nesses casos de exceção de aplicação da LGPD, uma vez que continua em vigor o direito de imagem. Nesses casos, permanece importante analisar se houve consentimento (ainda que tácito) das pessoas retratadas, ou se a foto ou o vídeo foram produzidos em espaço público, se houve ou não destaque para as pessoas retratadas, se há interesse público na divulgação da imagem, dentre outros pontos tradicionalmente discutidos quanto a esse direito da personalidade.

Mas, no casos em que a LGPD se aplica, surgirão novos ônus ao responsável pelo tratamento, como a necessidade de respeitar todos os princípios3 e regras presentes na nova lei. Assim, caso um indivíduo ou entidade realize um tratamento da imagem de uma pessoa em relação ao qual incida a LGPD, deve-se utilizar a imagem para propósitos legítimos, específicos, explícitos e informados ao titular (inciso I do artigo 6º), o tratamento deve ser apenas no nível adequado e necessário para o atingimento dessas finalidades (incisos II e III do artigo 6º), deve-se garantir ao titular dos dados liberdade de acesso à forma e à duração do tratamento (inciso IV do artigo 6º), e o responsável pelo tratamento deve oferecer a maior transparência possível ao titular (inciso VI do artigo 6º), dentre outros pontos.

Se a imagem for capaz de revelar dados sensíveis da pessoa retratada (como preferência religiosa ou filiação política), os cuidados devem ser ainda maiores. Nesse caso, o consentimento deve se dar de forma específica e destacada, para finalidades específicas (inciso I). As hipóteses de dispensa do consentimento previstas no inciso II são muito mais restritivas do que aquelas previstas no artigo 7º, as quais se aplicam para o tratamento de dados pessoais não sensíveis.

Certamente haverá muita discussão quanto à aplicação da nova lei a pessoas ou entidades que utilizam redes sociais para publicar fotos ou vídeos com finalidade lucrativa, mas não se enquadram na concepção tradicional de “jornalista”. Um youtuber que publica imagens de pessoas em espaços públicos e que obtém recompensas financeiras dessa rede social deve ser enquadrado na LGPD ou aplica-se a ele a excludente da atividade jornalística? Ainda que se entenda não ser aplicável a excludente, deve-se ressaltar que a LGPD é uma lei ordinária, portanto a Constituição está hierarquicamente acima. Assim, a depender do caso concreto, as exigências da LGPD (em especial aquelas previstas para tratamento de dados sensíveis) podem impor limites excessivos à liberdade de expressão, direito fundamental garantido a todos os cidadãos.

Portanto, a LGPD trará maior complexidade ao debate sobre os cuidados que pessoas e entidades devem ter antes de publicar fotos ou vídeos que retratem indivíduos identificados ou identificáveis. Esse debate não se limitará, porém, exclusivamente à legislação ordinária, uma vez que há clara interferência em direitos fundamentais previstos na Constituição, em especial a liberdade de expressão.

_________________________________________________________________

1 Ainda que não seja exibido o rosto do indivíduo, a imagem pode ser considerada um dado pessoal caso algum outro elemento torne possível identificar a pessoa retratada.

2 Tratamento de dados pessoais é, de acordo com o artigo 5º, inciso X, da LGPD, “toda operação realizada com dados pessoais, como as que se referem a coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação ou controle da informação, modificação, comunicação, transferência, difusão ou extração”.

3 Os princípios estão previstos no artigo 6º da LGPD, sendo eles: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação e responsabilização e prestação de contas.

Publicado no Jota.

A promulgação do Marco Civil da Internet (Lei 12.965/14) trouxe grande destaque a conflitos envolvendo privacidade, intimidade e dados pessoais no ambiente digital. Como esses debates ainda estão engatinhando no Brasil, nossa jurisprudência não apresenta, muitas vezes, uniformidade. Recentemente, um juiz de Campinas e outro de Curitiba pronunciaram duas decisões opostas tratando do mesmo site.

Trata-se de um portal (http://www.consultasocio.com) que oferece ao usuário a possibilidade de pesquisar, por meio do nome de uma pessoa, se ela é sócia de alguma empresa, ou integrante de alguma outra pessoa jurídica, como fundação, sociedade de advogados, igreja, ONG.

Os autores de ambas as ações alegam, em suma, que a divulgação dessas informações fere os direitos fundamentais à vida privada e intimidade (artigo 5°, inciso X, da Constituição Federal), bem como uma série de dispositivos do Marco Civil da Internet que tratam da proteção da privacidade e dos dados pessoais (artigo 3°, incisos II e III). Além disso, haveria desrespeito às regras presentes no artigo 7°, incisos VII a IX da mesma lei, em razão do fornecimento de dados pessoais sem o consentimento livre, expresso e informado dos titulares.

Ocorre que, analisando-se as provas juntadas aos autos, verifica-se que esse site nada mais faz do que compilar informações que se encontram públicas no portal da Receita Federal.

A diferença é que a pesquisa no site da Receita é feita pelo CNPJ, enquanto o Consultasocio.com possibilita a pesquisa pelo nome dos indivíduos.

Entenda o caso em questão sobre privacidade e proteção de dados

Nos dois casos, porém, os dados disponibilizados são os mesmos, quais sejam: nome empresarial, título do estabelecimento, descrição do ramo de atividade, endereço, telefone e e-mail da pessoa jurídica, capital sócio e nomes dos integrantes. Ao fazer a pesquisa no site Consultasocio.com, verifica-se ainda a seguinte advertência: “Para obter acesso a demais informações como número do CPF, consulta de dívidas, processos e outras informações, acesse os sites oficiais. Este site permite consulta ao número de CNPJ, razão social, endereço completo e capital social de empresas. Para verificar demais informações, consulte os sites oficiais.” Ou seja, não se encontra cabalmente demonstrada a alegação de que o site em questão divulgaria dados confidenciais.

Ao constituir uma empresa ou integrar outra pessoa jurídica, o indivíduo consente com a divulgação de determinadas informações ao público. Por isso, não se deve exigir um novo consentimento dele a cada compilação ou divulgação dessas informações. Enquanto não se demonstrar o uso de informações confidenciais ou de acesso restrito, não há desrespeito à Constituição ou ao Marco Civil da Internet.

Se de um lado há o interesse do indivíduo de proteger sua privacidade e seus dados pessoais, de outro lado há o interesse público quanto à divulgação desses dados, o que se consubstancia no direito à informação. Nesse caso, deve prevalecer este último, visto que os referidos dados já são acessíveis ao público no site da Receita Federal. O portal Consultasocio apenas compila as informações e facilita o acesso a elas, mas não torna público o que antes era privado.

Quanto a essa questão do consentimento para uso de dados pessoais, os autores também invocam os artigos 4° e 5°, incisos V e VII, da Lei n° 12.414/11. Todavia, tais dispositivos tratam de bancos de dados com informações de adimplemento, de pessoas naturais ou jurídicas, para formação de histórico de crédito (o chamado “cadastro positivo”). Trata-se de uma situação completamente diferente daquela discutida nesses processos. Por isso, tais normas não são aplicáveis.

Outros argumentos apresentados pelos autores são no sentido de que os responsáveis pelo site, apesar de não cobrarem pelo acesso, lucram com publicidade. Além disso, o fato de a empresa administradora do site estar sediada na Austrália, o domínio estar situado nos Estados Unidos e o servidor de hospedagem ser da Hungria seriam provas de que a empresa busca se esquivar da legislação brasileira. Deve-se analisar se esses elementos são relevantes para o julgamento.

Ora, a empresa presta um serviço ao facilitar a pesquisa de empresas ou outras pessoas jurídicas que estejam em nome de determinado indivíduo, o que facilita a vida de credores que buscam essas informações. Compila dados públicos, portanto, para facilitar pesquisas por parte de usuários. Nada há de errado, portanto, em obter lucro indireto por meio de propaganda.

Em relação ao segundo ponto, o Marco Civil da Internet é claro ao estabelecer, em seu artigo 11, que em qualquer operação de coleta, armazenamento, guarda e tratamento de dados pessoais, caso algum desses atos ocorra em território nacional, devem ser respeitados a legislação brasileira, os direitos à privacidade e à proteção dos dados pessoais. A legislação brasileira claramente se aplica, portanto, ao caso analisado; por outro lado, não pode haver qualquer tratamento diferenciado a provedores ou empresas sediadas no exterior. Não pode ser relevante para a decisão o simples fato de a empresa, o provedor ou o servidor estarem sediados fora do país.

Em Curitiba, o juiz da 24ª Vara Cível [1] concedeu parcialmente a antecipação de tutela pedida pelos autores, determinando a retirada dos dados dos autores do site. O magistrado parte da premissa equivocada de que o site retira as informações das juntas comerciais. Nos sites destas há, de fato, certa restrição de acesso na medida em que os dados cadastrais das sociedades são disponibilizadas mediante prévio requerimento, com fornecimento de dados pessoais daquele que pleiteia, e em alguns casos exige-se até o pagamento de taxas.

No entanto, ao contrário do que afirma o magistrado, as provas até aqui apresentadas vão no sentido de que o site em questão apresenta exclusivamente informações que se encontram disponíveis ao público no site da Receita Federal, sem que haja necessidade de prévio cadastro ou pagamento de taxa. Dados como CPFs e endereços pessoais dos sócios, que são disponibilizadas pelas Juntas Comerciais, não se encontram no portal do réu. Não há prova, neste momento, de que foram obtidas informações confidenciais ou disponibilizadas de forma restrita ou controlada.

Ao final de sua decisão, apesar de mostrar um mínimo de cautela ao negar o pedido de bloqueio total do acesso ao site no Brasil, via provedores de backbone, o magistrado intimou esses provedores a inserir obstáculos tecnológicos capazes de inviabilizar o acesso àquelas informações pessoais dos autores. Segundo Omar Kaminski, gestor do Observatório do Marco Civil da Internet, há impossibilidade técnica para realização desse filtro de conteúdos específicos [2].

A decisão mais acertada foi aquela proferida pelo juiz de Campinas [3], que foi mantida pelo Tribunal de Justiça em agravo de instrumento [4], negando a retirada dos dados pessoais do autor, bem como qualquer tipo de bloqueio via provedores de backbone. As provas apresentadas em ambos os processos, até o momento, levam à conclusão de que o portal simplesmente compila informações disponibilizadas ao público pela Receita Federal e facilita o acesso, ao possibilitar a pesquisa por meio de nomes de indivíduos, e não pelo CNPJ. Enquanto não se provar de forma cabal que o site colhe seus dados aproveitando-se de informações confidenciais