1. Proteção de dados pessoais: conceito em movimento

Mais do que conceitos ou palavras. Proteção de dados, privacidade, segurança cibernética, consentimento, big data, consentimento ou inteligência artificial se tornaram expressões de ordem, que indicam o lugar e os pressupostos daquele que fala e aplica esses conceitos; signos de uma forma de pensar, que prioriza a segurança do indivíduo em um mundo de crescentes incertezas, geradas pela troca constante de informações e pela multiplicação de meios de coleta de dados e de vigilância comportamental, seja ela estatal ou privada; são, enfim, indicativos de uma nova era, em que os conceitos de jurídicos são suplantados, muitas vezes colonizados, por terminologias vindas das ciências da computação, engenharias e até das ciências da linguagem, que ditam o modus do desenvolvimento de toda uma gama de artigos, livros, teses, palestras e especialistas. 

A produção sobre proteção de dados é titânica e torrencial, assim como os debates, as teses, os comentários e, obviamente, problemas a serem enfrentados por quem, de alguma forma, ouse se aventurar no mundo novo e desconhecido da proteção de dados pessoais.¹ Aqui proponho uma visão panorâmica de alguns aspectos centrais de diferentes modelos de proteção de dados pessoais, alguns deles já bem conhecidos do público brasileiro. Não se trata, porém, de uma aventura puramente especulativa, ou comparativa; não só porque, como será adiante indicado, esses modelos apresentam pontos de interconexão, no que muitos poderiam chamar de diálogo internacional de sistemas jurídicos,² mas também e sobretudo porque adoto aqui o pressuposto teórico, com reflexos práticos, de que os conceitos jurídicos não são gerados no vazio, muito menos são concebidos e aplicados em um território, ou jurisdição, de forma isolada ou estante.³  

O pensamento, jurídico ou não, não conhece fronteiras físicas ou imaginárias e, por isso, não é possível pensar na “proteção de dados brasileira” sem ter em mente o que é, o que foi e o que se espera do direito fundamental, ou humano, à proteção de dados na américa do norte ou no “antigo continente”. 

Sobretudo em um mundo hiper conectado, com alto fluxo de informações e dados em todos os sentidos do globo, realmente não é mais possível pensar em direitos como a liberdade de expressão, a privacidade ou a proteção de dados com base em conceitos isolacionistas, que separam o pensamento e o direito nacional dos parâmetros internacionais de proteção de direitos humanos e regulação do comércio internacional.⁴ Aqui a viagem tem início pelo local que foi a origem do direito, que muitas vezes é visto como o sinônimo, ou o ancestral, da proteção de dados pessoais: a privacidade, nascida nos Estados Unidos da América.

2. Modelo norte-americano de proteção

Tão conhecido como incompreendido, o texto de Samuel Warren e Luis Brandeis, escrito em 1890 e ainda atual,⁵ indica os fundamentos e as bases de compreensão da privacidade e, como consequência, da proteção de dados pessoais, no direito norte-americano. As bases, ou raízes, desse direito, aparecem logo no início do conhecido artigo: a proteção do direito à liberdade e propriedade, que, com base na evolução da common law, devem ser, de tempos em tempos, renovados e reinterpretados, sobretudo em virtude do progresso. No caso, o progresso a que se referem os autores tem duas dimensões: uma econômico-social, outra de raiz tecnológica. Sob o ponto de vista social e econômico, a renovação interpretativa proposta pelos autores tem lastro na mudança da configuração da sociedade norte-americana, antes rural e extrativista, com a separação de sujeitos e famílias por grandes espaços, com poucos espaços de contato entre membros da sociedade (esparsos, os encontros ocorriam sobretudo em igrejas ou festas religiosas). A industrialização e o desenvolvimento do comércio internacional modificam essa estrutura, criando aglomerações urbanas e intensificando o contato entre grupos e classes.⁶ Essa modificação estrutural veio acompanhada de uma revolução tecnológica: a descoberta da máquina fotográfica, com a possibilidade de perpetuar a captura de momentos, situações e atos, que antes eram esquecidos pelo tempo. 

Disso resultou o surgimento de uma nova forma de comunicação: o penny press, yellow journal, ou mídia marrom, meios de comunicação especializados em disseminar fatos inusitados da vida de celebridades e políticos, notícias falsas, enfim, fofocas da vida quotidiana. Se, por um lado, o público pertencente às camadas sociais mais baixas saciava sua sede de entretenimento e laser com essas publicações, as classes mais abastadas passaram a nutrir um crescente sentimento de aversão em relação a essas mídias e a tudo o que elas significavam. Foi o que ocorreu com Luis Brandeis, um bem-sucedido advogado descendente de abastada família de origem francesa, que, após realizar uma festa em sua casa, teve divulgada a sua imagem em conjunto com conhecidos e familiares.⁷  

A conclusão do trabalho de Warren e Brandeis é um reflexo dessa situação e marca a posição dos autores frente ao avanço da sociedade sobre a esfera do segredo pessoal: “a imprensa está ultrapassando em todas as direções os limites óbvios da propriedade e de decência. A fofoca não é mais o recurso dos ociosos e do vicioso, mas tornou-se um comércio, perseguido com indústria, bem como descaramento”.⁸  O “direito fundamental”⁹ que decorre desta constatação é uma das inovações mais relevantes e perenes da história do direito constitucional norte-americano: o direito “de estar só”, visto como a prerrogativa de seu titular de se afastar do olhar do público e, com isso, impedir que o olhar invasivo do governo e da sociedade interfira no espaço garantido pela privacidade. As consequências deste direito são e foram tão amplas quanto controversas. Acoplado à quarta emenda da Constituição norte-americana (igualdade perante a lei e devido processo legal), ele não só faz com que certos espaços (locais de trabalho, universidades, escolas e residências) estejam a salvo do ingresso de autoridades estatais, como limita o acesso dessas mesmas autoridades a informações pessoais transmitidas, ou acessadas, por meios de comunicação interindividuais (telefone, carta).¹⁰  

Isso não quer dizer que a proteção conferida pela privacidade no direito norte-americano seja ampla e exauriente. Ao contrário, seja quando as informações acessadas e divulgadas estejam em domínio público, seja porque o tratamento ou coleta de dados tenha ocorrido por agentes privados, a eficácia do direito fundamental à privacidade é automaticamente afastada. Nessas últimas hipóteses, para que o titular tenha direito ao acesso ou retenção dos dados tratados por terceiros, é necessário que a legislação infraconstitucional especifique os limites e o conteúdo deste direito, o que já ocorreu em hipóteses conhecidas, mas que têm alcance restrito (entre elas, cite-se o Health Insurance Portability and Accountability Act, de 1996, o Electronic Communications Privacy Act e o Fair Credit Reporting Act, o Privacy Act, de 1974, o Computer Fraud e o Abuse Act, enfim, o Digital Millennium Copyright Act). Com isso, sites e portais de internet que “mineram dados” de seus usuários, ou utilizam instrumentos maliciosos para acessar dados de navegação, ou até mesmo informações pessoais, de seus usuários, podem agir sem medo no território virtual norte-americano. Mesmo com os esforços da administração Obama, lá persiste a lógica do mercado quando se trata do controle do fluxo de informações em ambiente virtual.¹¹ Na Europa a situação é diferente.

3. Modelo germânico-europeu de proteção

1977. Esse foi o ano em que a República Federal Alemã criou sua primeira lei de proteção de dados pessoais,¹²  que tinha a finalidade específica de “proteger os particulares contra interferências na utilização de seus dados pessoais” (§1, Abs. 1, BDSG), norma direcionada exclusivamente contra a ação estatal que interfira negativamente (por meio da coleta de dados individuais de forma não autorizada) ou positivamente (impedindo que os particulares utilizem os dados da forma que lhes agrade) na autodeterminação individual dos dados pessoais.¹³ O pressuposto de tal criação legislativa era a existência de uma relação de poder e conhecimento assimétrica entre a entidade coletora dos dados (Estado) e os sujeitos que se viam submetidos à atividade da coleta. Isso gerava duas consequências. Primeiro, com a instalação do Estado de bem-estar social e o consequente aumento das funções estatais, a coleta de dados pessoais se tornou uma atividade necessária à organização das funções públicas, sobretudo à prestação de serviços públicos com eficiência e atualidade.¹⁴ A coleta de dados, nesse sentido, foi pensada como um instrumento de tutela do usuário dos serviços públicos, que tem direito à continuidade e à qualidade da atividade pública fornecida pelo Estado ou por concessionários desses serviços.¹⁵ Segundo, para a realização de tais atividades, os órgãos públicos passaram a criar grandes bancos de dados, nos quais informações relacionadas às características e hábitos pessoais passaram a ser catalogados de forma centralizada e sistemática.¹⁶ O poder de controle decorrente desse acúmulo de informações foi o estopim para a criação de um escudo chamado de proteção da liberdade pessoal. 

Sem a garantia de que suas ações não seriam influenciadas por detentores de informações pessoais e que o acesso a serviços essenciais não seria limitado com base em informações pessoais, a liberdade e a espontaneidade individuais seriam pelos próprios particulares (chilling effect), que controlariam suas ações prevendo possíveis danos que delas poderiam decorrer.¹⁷ A proteção de dados pessoais surge, dessa forma, como um direito duplamente instrumental: não só protege a liberdade individual contra intromissões não autorizadas e excessivas do Estado, assim como ocorre com todos os demais direitos fundamentais,¹⁸ mas também garante que todos os demais direitos fundamentais, como por exemplo a liberdade de expressão, a liberdade artística, a liberdade de ir e vir e a liberdade de reunião, sejam exercidos e realizados sem que os titulares desses direitos se sintam ameaçados por um observador onipresente e onisciente: o Estado. Defender a proteção de dados era vista, portanto, como sinônimo da defesa da democracia liberal e, ao contrário, quem se opõe a esse direto era identificado como um dos defensores do autoritarismo.

Essa construção ganhou contornos políticos e sociais dramáticos no contexto do julgamento da constitucionalidade da Lei do Censo de 1983 (Volkszählungsentscheidung). Em meio a protestos contrários à política armamentista do início da década de 80, surgiu o mote: “Abaixo o censo”. Era o mesmo Estado que agredia o meio ambiente, que concentrava renda, que estava alinhado à política de combate instalada pela Organização do Tratado do Atlântico Norte, que agora, de forma sub-reptícia, exigia dos cidadãos a entrega de dados. E se ele, Estado, é capaz de realizar ações tão atrozes, o que fará com os dados que foram coletados da população? Foi por tudo isso que a lei do censo concentrou a ira e a fúria de toda uma geração formada pela ameaça constante e presente do socialismo e da guerra nuclear: a ameaça da destruição súbita, causada por um inimigo que nem mesmo se sabe quem é. Incentivados por governos estaduais contrários à expansão do poder da União, mais de quatrocentos protestos foram realizados contra a lei do censo, sendo que muitos deles solicitaram um levante popular generalizado e até a insurreição civil contra a lei do censo.¹⁹  

A resposta do Tribunal constitucional alemão a essa situação de convulsão social generalizada foi simplesmente a criação da Magna carta da proteção de dados:²⁰ uma decisão que afirma que não existem dados sem valor jurídico, afinal por menos que seja a informação pessoal, quando agregada a outros dados, ela pode ser o fundamento para a criação de perfis informacionais que substituem a individualidade concreta. Por isso mesmo, todo titular dos dados passou a ter o direito a saber “quem, onde, como, e para qual finalidade, seus dados foram utilizados”.²¹ Só assim os indivíduos teriam a possibilidade de saber quem é o detentor de seus dados, quais aspectos de sua personalidade foram identificados e coletados, enfim, por qual razão o Estado passou a se interessar por sua vida e qual a finalidade buscada pela coleta desses dados. Dados são pessoais e sua proteção assegura a autodeterminação da personalidade.

Essa ideia se espraiou em nível europeu, com duas consequências. A primeira delas está na superação a vinculação da proteção de dados em relação à privacidade, pois a violação do dever de proteção de dados ocorre sobretudo quando o Estado, ou particulares, atua de forma sub-reptícia, vigiando ou coletando dados pessoais sem a autorização, ou consentimento, de seus titulares, representa um ataque à própria democracia e, portanto, à condição de cidadão. O direito fundamental à proteção de dados pessoais passa, então, a receber funções próprias, bem distintas de sua matriz de origem norte-americana: enquanto a privacidade protege a esfera do segredo e da vida íntima, a proteção de dados cria deveres procedimentais, destinados a criar mecanismos de controle e maior transparência dos procedimentos de coleta e armazenamento de informações ligadas, real ou potencialmente, aos titulares.²²  

A segunda consequência está relacionada à criação de situações típicas, ou específicas, que fazem surgir o dever de proteção do titular de dados pessoais: mesmo adotando uma concepção ampliada de dados pessoais, de acordo com a qual toda e qualquer informação que, potencialmente, identifique o titular, pode ser considerada como dado pessoal, o Tribunal de Justiça da União Europeia foi obrigado a criar um complexo sistema de restrições deste direito, sob pena de transformar a proteção de dados pessoais em um direito sem limites: para que uma informação seja considerada dado pessoal, é necessário avaliar se, considerando os recursos técnicos e financeiros disponíveis no momento do tratamento, o controlador tinha condições de identificar o titular.²³ Com essas modificações e características, o direito fundamental à proteção de dados chegou ao solo brasileiro.

4. Modelo brasileiro de proteção de dados pessoais

Desde a promulgação da Constituição de 1988, o dispositivo que garante o “sigilo de dados” (art. 5º, XII, CF) tem gerado debate e confusão interpretativa: primeiro pelo simples uso do termo “dados”, que de forma ampla poderia significar toda e qualquer informação;²⁴ segundo porque, quando o dispositivo utiliza o termo restritivo “no último caso”, não fica claro se este “caso” engloba todas as formas de comunicação antes citadas (telegráficas, de dados e telefônicas),²⁵ ou se a exceção se dirige somente a uma dessas modalidades (telefônica);²⁶ enfim, não está claro se o que se protege são os dados em trânsito de comunicação (comunicação de dados),²⁷  ou se os dados arquivados (estáticos) também estariam protegidos pela inviolabilidade.²⁸ A resposta do legislador a essa série de incertezas foi criar uma Lei geral para tratar da matéria (Lei Geral de Proteção de Dados Pessoais (LGPD), Lei Federal 13.709/2018), seguida de uma emenda constitucional (115, de 2022), ambas tratando a proteção de dados pessoais como um direito fundamental autônomo, seja no que diz respeito ao direito à autodeterminação informacional, seja em face da privacidade ou da liberdade de expressão (art. 2º, LGPD). 

As semelhanças com o sistema Europeu de proteção de dados são notórias: para além da citação explícita, e muito discutível,²⁹ da autodeterminação informativa como um dos fundamentos do regime de proteção de dados pessoais brasileiro, o núcleo do sistema, encontrado na definição de dados pessoais (art. 5º, I, LGPD) e nas bases legais de tratamento (art. 7º, LGPD) repetem, de forma literal, os dispositivos encontrados no Regulamento europeu de proteção de dados (GDPR, arts. 4 e 7).³⁰ Como resultado, o que se tem é a importação das soluções (entre elas, as definições e limites dos atos de coleta construídas pela jurisprudência do Tribunal de Justiça a União Europeia), mas também os problemas, e o mais saliente deles: a absolutização da proteção de dados em face da proteção de outros direitos fundamentais. Alguns desses temas e problemas serão tratados no item seguinte.

5. Balanço da evolução do direito à proteção de dados pessoais

O movimento tectônico de criação, modificação e assimilação da proteção de dados pessoais atingiu em cheio o direito brasileiro, onde causou um frenesi de estudiosos, autoridades e curiosos. De um momento para o outro, o capitalismo se tornou capitalismo de vigilância, os mecanismos de combate à pandemia se tornaram instrumentos de invasão da privacidade, enfim, a inteligência artificial se apresenta como a última fronteira da onda de novas opiniões, todas elas lastreadas em conceitos estrangeiros e ciberjurídicos, que transformam a proteção de dados em um novo campo de batalha, no qual não há meio termo: ou se admite que ocorrerá a coleta e o compartilhamento secundário dos dados pessoais, mesmo sem a aquiescência do titular, ou não se serão realizadas as políticas públicas. E, neste ponto, a proteção de dados, sua lógica e discurso, tem apresentado resultados bem desanimadores. 

Primeiro porque, apesar de todos os esforços de reconstrução e delimitação de seus requisitos, a base legal por excelência, o consentimento do titular nunca foi realmente efetivo. Isso não só porque os usuários dos sistemas de coleta mais efetivos (redes sociais, mecanismos de compra, streamings variados) não têm conhecimento suficiente para compreender os termos de uso e as condições e finalidades das operações de coleta de dados a eles vinculados, mas também e sobretudo porque eles não têm tempo para fazer isso. Quem, afinal, quer ler documentos técnicos e extensos, que tratam das condições e hipóteses de compartilhamento de dados, se eles, usuários, podem simplesmente clicar no botão: autorizo? A hipótese contrária – simplificar o linguajar dos termos de consentimento – vem acompanhada da óbvia perda de sentido desses documentos, que, para espelhar a tecnicidade do mundo da proteção de dados, precisam ser realmente técnicos. Na encruzilhada entre o Cila de dizer tudo, sem que ninguém entenda nada, e Caríbdis, de não dizer pouco ou quase nada, para que todos entendam alguma coisa, a base legal do consentimento permanece como sempre esteve: sem função ou efetividade.³¹ 

Problemas similares se repetem com noções e ideias centrais dos sistemas brasileiro e europeu de proteção de dados. A lei comanda: deve haver uma finalidade no ato de coleta (art. 6º, I, LGPD); ao que a realidade responde: a combinação crescente de bancos de dados, que muitas vezes ocorre de forma automatizada, torna esse requisito legal ilusório. A lei determina: a operação de tratamento deve utilizar o mínimo de dados necessários ao atingimento da finalidade perseguida (art. 6º, II, LGPD); e a realidade retruca: ano após ano, o volume de dados processados em nível global aumenta, de forma exponencial – em 2020 foram 60 Zetabites, com crescimento previsto para 180 Zetabites até 2025. Disso se segue o resultado mais grave: o sistema de proteção de dados como um todo não funciona na prática, mas cria problemas burocráticos e conflitos jurídicos em escala mundial. Nos resta esperar que seus problemas sejam minimizados, apesar de sua efetividade continuar precária.