Caros leitores, temos visto e lido, recentemente, uma verdadeira enxurrada de artigos e notícias sobre a nova lei de Proteção aos Dados Pessoais, à LGPD. Principalmente, referente as possibilidades de tratamento de dados pessoais, elencadas no artigo 7º, que, dispõe de um rol horizontal de hipóteses, pertinentes e aplicáveis a cada caso concreto, até aqui tudo certo!
Embora o consentimento seja a primeira possibilidade constante na lei, prevista no inciso I do referido artigo, que, em linhas gerais é a necessidade da coleta comprovada, do consentimento do titular dos dados pessoais, pelo tratador dos dados, esse consentimento deve ser de forma inequívoca, livre, informada e em alguns casos até específica, cujo objetivo é a validação da autonomia de vontade ou escolha do titular dos dados (pessoa natural) acerca da forma e do modo como é realizado o tratamento de suas informações ou dados que compõem juridicamente a sua personalidade e privacidade.
Observem, também que a lei, diferentemente, do que acontece no Marco Civil da Internet e nos seus anteprojetos de lei (2010 adiante (2) ) retiraram topograficamente a hierarquia do consentimento sobre as demais bases legais (3) , como por exemplo, o legítimo interesse (art. 7º, inciso IX, da LGPD).
Assim, ao passarmos os olhos de modo superficial sobre o artigo 7º da norma e ao analisarmos vários artigos publicados na Rede afora, seria razoável os leitores terem uma aparente e, de certa forma a falsa percepção que o consentimento do titular fora renegado e deixado de lado, ao passo que o operador ou controlador responsável pelo tratamento, simplesmente, pudesse escolher ao seu bel-prazer e conveniência, no lugar do consentimento, uma das demais 9 (nove) hipóteses legais de tratamento de dados pessoais.
Contudo, caros, como diz o velho ditado: “o buraco aqui é mais embaixo”!
Isto porque, assim, como a lei foi toda desenhada durante sua tramitação legislativa, para que houvesse a possibilidade de cumprimento e efetivação da base principiológica de direitos e garantais, prevista na Constituição Federal , bem como na própria LGPD , de modo que o consentimento não poderia ser mais a única base legal para o tratamento de dados pessoais sob a consequência do “engessamento” ou da inviabilidade das novas dinâmicas de mercado, principalmente, em razão da impossibilidade técnica de se obter o consentimento (opt-in) em determinados modelos de negócios.
Observem também que ao não fixar o consentimento como a única base legal para o tratamento dos dados pessoais, o legislador ao possibilitar que houvesse um leque de opções o fez com o objetivo de garantir não só as garantias e direitos fundamentais dos respectivos titulares, sobretudo, resguardar a possibilidade de desenvolvimento sustentável dos negócios e, na mesma via criar um terreno fértil para a inovação, contrariando assim, o discurso que preconiza que a LGPD seria um obstáculo para a própria inovação.
Deste modo, o novo regramento de proteção de dados pessoais possibilitará maior segurança jurídica e sustentabilidade econômica para os negócios.
Contudo, tropeçará no abismo, o tratador de dados (controlador ou operador) que apenas se apoiar no exame do artigo 7º de modo isolado, mesmo que encontre lastro argumentativo frente ao caso concreto. Pois, há previsão na mesma lei, que, ainda, que haja lastro hipotético para a aplicação em outra base legal, que, a princípio isentaria o tratador de responsabilização posterior, porém, dependendo da circunstância poderia necessitar de consentimento posterior do titular, como nos revela a reflexão sobre o §º6, do artigo do próprio artigo 7º.
Artigo 7º – “O tratamento de dados pessoais somente poderá ser realizado nas seguintes hipóteses:
(…) § 6º A eventual dispensa da exigência do consentimento não desobriga os agentes de tratamento das demais obrigações previstas nesta Lei, especialmente da observância dos princípios gerais e da garantia dos direitos do titular.”
Deste modo, concluímos que mesmo nos casos em que haja “solo aparentemente seguro” para o tratamento com apoio em outras bases legais, que não exigem a coleta do consentimento, se faz necessário a estrita observância e cuidado pelos agentes de tratamento desses dados pessoais, da salvaguarda dos direitos e garantias dos titulares. Recomenda-se assim, a elaboração do Relatório de Impacto à Proteção de Dados (RIPD ou em inglês DPIA – Data Protection Impact Assessment) e o LIA (legitimate interests assessment), de sorte que a fragilidade ou escolha desarrazoada de quaisquer das bases legais (dez no total) poderá suscitar não só oposição justificada do titular do dado tratado, além, com a possibilidade de interpelação do órgão fiscalizador (ANPD).
Desta forma, a melhor saída, a nosso ver é que o controlador dos dados venha se valer do apoio estratégico e técnico de consultoria especializada, com participação cooperativa e multidisciplinar dos atores envolvidos na cadeia de tratamento e nas operações.
1 – Imagem extraída do site: https://br.freepik.com/vetores-gratis/clipboard-fundo-lapis-checklist-apartamento-desenho_1103513.htm
2 – Fonte: acesso em 13/08/2019.
3 – BIONI, Bruno, Proteção de Dados Pessoais: a função e os limites do consentimento, Rio de Janeiro, Editora Forense, 2019, p. 135/136.
4 – Constituição Federal, artigos, 1º, II, III e IV, 5º, V e X e 170, IV e V.
5 – Art.6º da LGPD.
#MissãoDigitalMente #EducaçãoDigital
Publicado em 17 de outubro de 2019
https://www.linkedin.com/pulse/complexidade-real-por-trás-da-aparente-tranquilidade-das-fernandes/
Elvis Davantel
Consultor Jurídico, apaixonado por Direito e Tecnologia e co-fundador do DigitalMente
Jean Carlos Fernandes
Advogado e entusiasta da Privacidade, Segurança e Proteção de Dados e co-fundador do DigitalMente
