A proteção da privacidade e dos dados pessoais e a corretagem de dados na internet

Outro dia li num artigo sobre a adequação dos mercados digitais à LGPD (Lei Geral de Proteção de Dados Pessoais – Lei 13.709/2018) um texto que tratava da base legal do legítimo interesse em operações digitais de coleta de dados, apresentando a necessidade do Teste de Legítimo Interesse, por meio do qual se identifica a presença de legitimidade (se a coleta é feita para a realização de uma finalidade legal, legítima, permitida, lícita), da necessidade (se realmente a coleta e sua forma são necessárias porque o controlador não poderia utilizar de outro meio), da expectativa (avaliação balanceada entre os interesses do controlador e as expectativas do titular em receber um contato a partir dos dados coletados) e das salvaguardas (a demonstração de medidas de segurança para tratamento dos dados, incluindo o exercício dos direitos do titular, como o opt-out, isto é o descadastramento da lista).

No texto havia uma afirmação de que a compra de lista de contatos não é permitida pela LGPD, pois o titular não teria relação alguma com o adquirente da lista, não configurando o requisito “expectativa”, o que destruiria a possibilidade do uso do legítimo interesse como base legal de coleta e tratamento de dados pelas empresas que capturam essas listas. E, na falta desta base legal, a única restante a ser aplicada será a do consentimento, o que não ocorre na geração robotizada das listas de contatos.

No mesmo texto, havia a afirmação de que o controlador não pode ferir os direitos de privacidade do titular. Em outro texto que encontrei havia a afirmação de que a prática de captura das listas e venda dos dados se constituiria crime (sem mencionar qual). Ainda, em outro texto, que a prática se referia a um ilícito civil, por aplicação do artigo 21 do Código Civil (inviolabilidade da vida privada), dos artigos 186 e 187 (caraterização do ato ilícito e dos excessos cometidos em atos lícitos que passam a se caracterizar – estes excessos – como ilícitos).

Com a implantação da LGPD e todas as novidades que essa implantação está trazendo para o cenário brasileiro, é natural que estejamos num momento de confusões e dúvidas sobre os limites da aplicação da nova legislação, que ainda carece de regulamentação em diversos pontos, carência que deverá ser suprida nos próximos tempos por meio das atividades regulatórias da ANPD – Autoridade Nacional de Proteção de Dados.

No objetivo de suscitar a discussão sobre essa polêmica da atividade de corretagem de dados digitais, proponho o debate salutar de ideias, sem o intuito de defender ou condenar essa atividade. Apenas para que exercitemos a reflexão de forma mais profunda.

O que vem a ser a corretagem de dados?

No material publicado pela Data Privacy, entidade sem fins lucrativos que se dedica ao estudo e à pesquisa de temas relacionados à privacidade, proteção de dados pessoais e suas intersecções com outros direitos fundamentais, o Prof. Rafael A.F. Zanatta (disponível em https://dataprivacy.com.br/wp-content/uploads/2021/04/apresentacao_justica_federal29.04.2021.pdf), apresenta que os corretores de dados pessoais (ou data brokers) são, conforme os conceitos trazidos da literatura estrangeira, “Entidades que coletam, agregam e vendem dados pessoais, seus derivados e inferências por meio de fontes públicas e privadas díspares” (Abbott, 2019), ou “Empresas que coletam e vendem ou licenciam os dados pessoais de indivíduos com os quais não têm nenhuma relação comercial” (Jerome, 2018), ou “Corretores de dados adquirem e armazenam dados individuais como produtos em uma infraestrutura de dados confidencial, que armazena, compartilha e consome dados por meio de tecnologias em rede. Os dados serão alugados ou vendidos para fins lucrativos” (Alowairdhi & Ma, 2018). O site CanalTech apresenta uma excelente matéria sobre Data Brokers (disponível em https://canaltech.com.br/segurança/o-que-são-data-brokersecomo-eles-funcionam-176757/).

Essa atividade, como muitas outras novas atividades que surgiram no mundo digital, constitui-se, então, numa prestação de serviços, salvo melhor juízo, em que o data broker buscará, a partir dos requisitos solicitados por um cliente (o tomador do serviço), uma lista de contatos com pessoas físicas ou jurídicas que se enquadrem no perfil desejado. Por exemplo, uma lista de contatos de engenheiros da cidade X, para os quais será remetida uma campanha publicitária de um software para engenharia ou um convite para o lançamento de um produto para construção civil. É o famoso marketing direcionado ao público-alvo. Quando se referir às listas de contato de pessoa jurídica, como as construtoras e escritórios de engenharia, não há qualquer obstáculo à atividade; não se aplicará a LGPD, por não ter dados pessoais. Mas quando se referir às pessoas físicas, como são os engenheiros, aí se aplica a LGPD, que é destinada à proteção dos dados de pessoa natural.

Numa primeira análise, não me parece que a mesma atividade, somente por sua natureza, possa ser lícita para as pessoas jurídicas e ilícita para as pessoas físicas. Melhor seria se pudéssemos caracterizar em ambas as situações a ilicitude. Será que podemos?

Bom, esqueçamos as pessoas jurídicas e foquemos nas atividades de captura de listas de contatos de pessoas físicas. Será que toda lista é uma invasão de privacidade? Para responder a isso, vamos ao conceito de privacidade.

O que vem a ser a privacidade?

Conceituar a privacidade não é tão simples. À primeira vista nos leva a pensar naquilo que é privativo, particular da pessoa. Alessandro Hirata escreve sobre isso no verbete “direito à privacidade” da Enciclopédia Jurídica da PUCSP (disponível em https://enciclopediajuridica.pucsp.br/verbete/71/edicao-1/direitoaprivacidade). Para o autor, a “privacidade deve ser interpretada como sendo o ‘direito de ser deixado só’, que remete à não interferência pelo Estado na vida do indivíduo. Todavia, deve-se entender a privacidade não apenas como a não interferência do Estado na vida do indivíduo, mas também como o poder de se reivindicar ao Estado a tutela dessa privacidade, protegendo o indivíduo de terceiros”.

Podemos confundir a privacidade com a intimidade, mas a nossa legislação apresenta termos distintos, quando traz textos como o art. 5º, inciso X, da Constituição Federal: “são invioláveis a intimidade, a vida privada, a honra e a imagem das pessoas”. Como escreve Hirata: “A intimidade poderia ser considerada no âmbito do exclusivo, referente ao que alguém reserva para si, sem qualquer tipo de repercussão social, nem sequer ao alcance de sua vida privada. Já a vida privada, por mais isolada que possa ser, sempre se caracteriza pelo viver entre outros (por exemplo, em família, no trabalho, no lazer em comum)”, explicando a diferenciação entre os dois conceitos. Na sequência indica que não há uma posição unânime da doutrina sobre a real distinção, trazendo a ideia de níveis de privacidade (teoria das esferas), ou a simples sinonímia (uniformização terminológica).

A delimitação do conceito de privacidade vai além. Por exemplo, podemos identificar numa organização documentos com o selo confidencial, com o selo privativo e com o selo secreto, referindo-se a documentos que devem receber tratamento restrito e por isso não podem vir a público até que seja autorizada a sua divulgação. Na esfera pessoal, isso também se aplica. O que consideramos íntimo, secreto e privado é uma questão de definição pessoal, tendo essa condição até que o divulguemos.

Gosto do exemplo dos famosos “nudes”. Se uma pessoa bate uma foto de seu próprio corpo nu, com a câmera do seu celular e guarda apenas para si; está decidindo que se trata de algo íntimo, privado e até mesmo secreto. A ninguém é dado o direito de capturar esse dado pessoal (a foto), vê-lo e divulgá-lo. E violar essa regra constitui-se em violação de direito.

No entanto, se a pessoa compartilha a sua foto com uma pessoa de confiança, o próprio titular do direito está renunciando ao que lhe é secreto, e estendendo a sua intimidade para outra pessoa, o que, dependendo da regra pelo qual a foto foi compartilhada (se foi de maneira privativa), será privado para as duas pessoas e confidencial, pois não há a autorização para divulgação nem para compartilhamentos com terceiros.

Mas, se o titular da foto decide, ele mesmo, divulgar a imagem de sua nudez em seu perfil de uma rede social, aquilo que poderia ser caracterizado como privativo perde essa característica e passa a ser público. E se o titular disponibiliza a foto no perfil de forma aberta ao público, o que é uma possibilidade de escolha ao fazer a postagem, estaria, em princípio, autorizando os compartilhamentos e divulgações alheias. Não raras vezes vemos matérias sobre celebridades que postaram fotos mostrando sua boa forma física em seus perfis de redes sociais sendo divulgadas em outras mídias, digitais ou impressas. Ou seja, a privacidade ali não existe mais, por feito do próprio titular.

Publicidade dos dados pessoais

A lógica acima se aplica também aos nomes das pessoas, seus telefones e e-mails (dados pessoais classificados pela LGPD como dados comuns), disponibilizados em redes sociais, mas também em muitos outros aplicativos e sites (lojas, órgãos públicos, sites de promoção, jogos na internet). Em busca de usar um benefício ou uma comodidade, deixamos nossos rastros de dados e informações na internet. Ao ler esse artigo você entrará em contato com meu nome e meu e-mail, além de outros dados de perfil, porque estou tornando esses dados públicos com o objetivo de divulgar esse artigo e de possibilitar a você fazer contato se achar interessante.

Mas além de você, existem “robôs” que coletam os dados e conseguem fazer isso de forma inteligente e muito rápida, em razão da capacidade de rastreamento, muito maior que a humana. Se um data broker for contratado para rastrear dados sobre profissionais envolvidos com privacidade e proteção de dados, certamente o robô vai me encontrar, assim como você me achou. E ao me encontrar, vai registrar meu nome e e-mail no perfil da lista contratada. Não seria de admirar que logo eu estivesse recebendo oferta de livros e eventos sobre LGPD, privacidade ou temas correlatos, mesmo que eu não tenha entregado meus dados para a livraria ou a empresa promotora de eventos.

O titular de dados pessoais ainda não tem a cultura da autoproteção de seus dados. A cultura do “não li e aceito” é na maioria das vezes a responsável pela divulgação de dados a público sem o devido entendimento do que isso possa significar. Por isso a LGPD traz como fundamento a autodeterminação informativa, que se combina com o direito à informação sobre os próprios dados. E isso é um cuidado que os controladores de dados devem ter ao oferecer portas de coleta de dados em seus sites, para que o titular seja avisado sobre o que está fazendo e as consequências de entregar os seus dados. Esse é outro viés da cultura de proteção de dados, que precisa ser construído no Brasil e para a qual existe a disposição da Lei trazendo os deveres para as organizações.

Mas se li, aceito e desejo compartilhar meus dados a público, seria ilegal ou ilícito a captura desses dados para a construção de listas de contatos?

A atividade de corretagem de dados é ilegal?

Podemos entender, pelo que foi exposto até agora, que a atividade de data broker, por si só, não se caracteriza como ilegal? OK. Vamos classificá-la como uma atividade legal, que envolve as novas tecnologias, promove o “desenvolvimento econômico e tecnológico e a inovação”, e está dentro do escopo de “livre iniciativa e livre concorrência” dentro do mercado digital, que são também fundamentos da LGPD. Lembremos que a finalidade da LGPD é proteger os dados pessoais e não impedir o desenvolvimento de negócios lícitos. Voltemos ao argumento: se forem dados de pessoas jurídicas, não há problema na captação das listas de contato, certo? Então, o negócio em si será lícito.

Como toda atividade lícita, caso entendamos que é assim, faz-se necessário definir os limites de atuação. É o que ocorre quando há a regulamentação de uma profissão ou atividade, como é o caso dos corretores de imóveis (é só um exemplo), regulados pelo CRECI. Não havendo regulamentação, não são definidos os limites de atuação de uma atividade, tornando-a geralmente autorregulada pelo “mercado” e aceita desde que não infrinja as regras gerais da legislação (no direito privado, aquilo que não é proibido, é permitido).

Mas todos compreendemos que as listas não devem ser utilizadas para a prática de crime, não devem trazer dados de crianças e adolescentes, não devem trazer os dados sensíveis definidos pela LGPD. Isto porque a LGPD não permite o tratamento destes tipos de dados pessoais tendo como base legal o legítimo interesse e nem o tratamento de qualquer tipo de dado pessoal que infrinja o princípio da boa-fé nas relações.

Para que a atividade de corretagem de dados seja realizada de forma lícita, há que se ter cuidados no que se captura (somente dados comuns) e em como se captura (somente dados públicos), não se utilizando de atividades ilícitas para a captação dos dados (como as invasões feitas por crackers, os furtos e sequestros de bancos de dados, e outros cibercrimes).

Ao vender a lista para o cliente, o corretor de dados deve se preocupar, também, quanto ao uso desses dados de forma lícita, cobrando do cliente a finalidade para a qual esses dados serão utilizados e o compromisso de uso nos limites da lei. Isso é o mínimo num processo de due diligence que se pode esperar da relação entre um corretor sério e um cliente sério. Significa que o cliente deve exigir do corretor de dados que este atue em conformidade à LGPD e vice-versa. E para isso, precisa implantar um bom contrato entre as partes, a partir de um processo controlado de oferta dos serviços. Como apresentou Rafael Zanatta, “É necessário que a finalidade dessa coleta e tratamento seja legítima (os corretores têm o dever de accountability no que tange à finalidade da operação)”.

Para o titular de dados, é necessário o corretor abrir a comunicação, permitindo o exercício dos direitos previstos no art. 18 da LGPD. Seu processo precisa garantir a transparência e ser capaz de identificar as fontes onde os dados pessoais foram coletados, quando foram coletadas (rastreabilidade da coleta), o compartilhamento dos dados (para quem vendeu as listas), permitir a correção dos dados incorretos, a oposição ao tratamento e garantir a eliminação dos dados.

A pergunta que fica para seguirmos no debate é: será que os data brokers conseguem garantir que seus robôs coletem corretamente e somente os dados comuns colocados a público? Será que conseguem garantir os direitos dos titulares?

AUTORA

Milene Pacheco Kindermann – Graduada em Direito pela Universidade do Sul de Santa Catarina, com especializações em Economia, Direito e Gestão, e Doutorado em Direito e Ciências Sociais. Consultora em privacidade e proteção de dados, com atividade principal em programas de conformidade à LGPD – Lei Geral de Proteção de Dados. Sócia administradora da Limas & Kindermann Assessoria, Consultoria e Treinamento Ltda. Encarregada de Proteção de Dados (DPO as a service). Foi professora na UNISUL – Universidade do Sul de Santa Catarina por 28 anos, tendo exercido as funções de Coordenadora do Curso de Relações Internacionais, Diretora do Campus Universitário de Tubarão e Coordenadora Institucional da Extensão Universitária. Advogada inscrita na OAB/SC desde 1992.