Intrigante questão que a práxis tem despertado diz respeito à viabilidade (ou não) da formalização de mandato para a expressão do consentimento para o tratamento de dados pessoais, haja vista a liberdade de forma conferida ao consentimento pela Lei Geral de Proteção de Dados Pessoais - LGPD. Em síntese, não se exige forma escrita para o consentimento, que pode ser verbal ou implícito. Entretanto, não há absoluta clareza quanto à viabilidade do mandato para que o consentimento possa ser expressado pelo titular. Além disso, admitir que o mandato também possa ser estruturado com absoluta liberdade de forma, nesse contexto específico, revela idiossincrasias bastante peculiares, pois isso abre margem a grande insegurança jurídica.

Tais inquietações surgem a partir da interpretação dos artigos 656 e 657 do Código Civil, cujas previsões são as seguintes:

Art. 656. O mandato pode ser expresso ou tácito, verbal ou escrito.

Art. 657. A outorga do mandato está sujeita à forma exigida por lei para o ato a ser praticado. Não se admite mandato verbal quando o ato deva ser celebrado por escrito. 

Pelo conceito do artigo 5º, inciso XII, da LGPD, o consentimento é a "manifestação livre, informada e inequívoca pela qual o titular concorda com o tratamento de seus dados pessoais para uma finalidade determinada". Sobre a forma, o artigo 8º, caput, é categórico ao prever que poderá ser fornecido "por escrito ou por outro meio que demonstre a manifestação de vontade do titular". Contudo, de acordo com o §1º do artigo 8º, "caso o consentimento seja fornecido por escrito, esse deverá constar de cláusula destacada das demais".

Certos pressupostos do consentimento, como a citada exigência de que seja "informado", envolvem assimilação cognitiva das circunstâncias que o configuram e que, caso se admita o mandato, serão repassadas ao mandatário. Logo, mesmo que este tenha a autonomia necessária para se informar em nome do mandante, certas particularidades concernentes ao tratamento podem demandar-lhe a necessidade de que se reporte ao mandante, aplicando-se, na hipótese, o disposto no artigo 668 do Código Civil¹, ainda que não seja obtida vantagem econômica, em conjugação com os deveres anexos à boa-fé objetiva².

Em verdade, o próprio ato de consentir, para que seja considerado "informado", usualmente se revestirá de contornos tipicamente visualizados na estruturação dogmática da boa-fé objetiva. Como ressaltam Isabella Frajhof e Ana Lara Mangeth, "reconhecendo que as informações prestadas ao titular de dados constituem elemento legitimador da sua concordância em relação ao tratamento de seus dados pessoais, (...) deverá ser informado sobre determinadas particularidades do tratamento para que haja a completa compreensão sobre o destino que será atribuído aos seus dados pessoais"³.

De fato, embora a própria etimologia do verbo 'consentir' denote aparente limitação semântica, não há dúvidas de que o consentimento como hipótese (ou, coloquialmente, "base legal") para o tratamento de dados pessoais se reveste de características extremamente peculiares, pois, em essência, permite identificar conteúdo negocial que, na linha do que expressa o posicionamento acima transcrito, pode revelar feições absolutamente distintivas.

O mandato está regulamentado pelos artigos 653 e seguintes do Código Civil e é negócio jurídico que viabiliza a prática de atos no interesse de pessoas que não podem fazê-lo autonomamente. Consta do próprio artigo 653, caput, do CC⁴ que a procuração é o instrumento pelo qual se realiza o mandato, embora essa seja uma leitura simplista e criticada pela doutrina.⁵ Como forma de garantir a assimilação de particularidades concernentes ao tratamento de dados pessoais, seria esperada a lavratura de um documento, com atribuição de destaque visual aos termos que revelem o consentimento para o tratamento de dados pessoais, embora tal exigência não conste da LGPD.

Normalmente, o mandato é negócio jurídico unilateral e gratuito, mas nada o impede de ser bilateral e oneroso, quando múltiplas prestações forem reciprocamente exigidas. Sua outorga pode se dar por instrumento público ou particular, sendo admitido o substabelecimento (art. 655 do Código Civil)⁶. Sua natureza intuito personae, entretanto, o torna peculiar para os fins da prática de eventual ato concernente ao consentimento para o tratamento de dados pessoais, pois o mandatário deverá agir imbuído de boa-fé - objetiva e subjetiva - para contrair obrigações que serão assumidas pelo mandante. Nota-se, pelas características desse negócio jurídico, que a confiança entre os envolvidos será elemento determinante para sua formalização.

Os problemas quanto à sua admissão para o consentimento quanto ao tratamento de dados pessoais surgem pelo próprio conceito do artigo 5º, inciso XII, da LGPD, que é categórico ao conceituar o consentimento como o ato de concordância do titular. Não há, todavia, vedação textual à formalização do mandato. Na hipótese ("base legal") do artigo 7º, inciso I (quanto aos dados pessoais), há menção expressa à pessoa do próprio titular; na do artigo 11, inciso I (quanto aos dados pessoais sensíveis), menciona-se "o titular ou seu responsável legal". A se considerar a ausência de vedação expressa e a natureza da manifestação de vontade em questão⁷, não parece haver óbice à aceitação do mandato para consentir quanto ao tratamento de dados pessoais e de dados pessoais sensíveis.

Nesse ponto, o modelo de consentimento "opt-in" parece preponderar como técnica de adesão para atribuição do destaque que tornem a manifestação "inequívoca"⁸. Em síntese, ao invés de o titular optar por não permitir o tratamento de seus dados pessoais, realiza ação que pode ser interpretada como manifestação de vontade positiva. É possível fazê-lo por várias técnicas: (i) marcando uma caixa de seleção; (ii) clicando em um botão ou link; (iii) selecionando a partir de uma opção binária (sim/não), de botões ou de um menu drop-down; (iv) escolhendo configurações ou preferências no painel da conta; (v) respondendo a um e-mail que solicita o consentimento; (vi) respondendo positivamente a um pedido claro de consentimento verbal gravado, seja na presença do interlocutor ou por ligação; (vii) mediante aposição de assinatura em uma declaração de consentimento em formulário de papel; (viii) assinando eletronicamente um documento, por técnica criptográfica lícita e suficientemente confiável.

Trata-se de evidente rol exemplificativo, que ainda abre margem a discussões mais curiosas e atuais sobre a relação de proximidade entre design, interatividade e direito. Sem dúvidas, mais do que simplificar a cognição, certas técnicas e ferramentas podem otimizar a interlocução entre o titular, eventual mandatário e o agente de tratamento para a obtenção do consentimento e, especialmente, quanto ao esperado destaque que se deve atribuir ao modelo escrito, por força do que exige o §1º do artigo 8º.

Também é importante lembrar que a finalidade é pressuposto do consentimento e princípio expresso da LGPD (art. 6º, I). Vale dizer que, além de consentir de forma livre, informada e inequívoca, o titular também deve fazê-lo para o atingimento de um fim previamente especificado. De fato, para que haja clareza suficiente sobre os contornos dessa manifestação, é preciso romper um paradigma. Os modelos-padrão, usualmente formatados com as nomenclaturas já popularizadas de "termos de uso" e "políticas de privacidade", raramente refletem a complexidade da elucidação exigida para que o consentimento seja livre, informado e inequívoco, como exige a lei, pois,

(...) apesar de a nossa lei permitir que o consentimento possa se dar de maneira inequívoca, é verdade que a forma como atualmente essa manifestação de vontade é colhida, por meio de termos de uso e políticas de privacidade extensos, com uma linguagem hermética, não permite reconhecer que há o pleno conhecimento e consciência do titular do que será feito com os seus dados.⁹ 

Nesse aspecto, uma preocupação surge quanto à leitura conjunta que se deve fazer dos §§ 4º e 6º do artigo 8º, que tratam da exigência de finalidade determinada, em contraste à figura do mandato geral (art. 660, in fine, do CC). Isso porque, a depender da finalidade para a qual o titular consentiu quanto ao tratamento de seus dados pessoais, se houver alteração superveniente, esta poderá macular o consentimento de outrora, inviabilizando a atividade de tratamento e, em paralelo, os limites para execução do mandato. Noutros termos, em respeito ao princípio da transparência (art. 6º, VI, da LGPD), qualquer circunstância que altere o modo, a duração, a forma ou qualquer outra característica do tratamento para o qual se consentiu deverá ser prontamente informada ao titular de dados, que poderá não aquiescer ou até revogar o consentimento por haver alteração na finalidade subjacente à manifestação de vontade.

Nessa dinâmica, havendo mandato previamente outorgado, um novo elemento deverá ser considerado na aferição do modo pelo qual se pode operacionalizar a informação sobre as consequências da negativa e a revogação do consentimento, que são direitos do titular de dados (art. 18, VIII e IX) com repercussões sobre o mandato e sobre a nova decisão que deverá ser tomada a partir da ciência quanto a essas alterações supervenientes, uma vez que, por força do artigo 663 do CC, "sempre que o mandatário estipular negócios expressamente em nome do mandante, será este o único responsável; ficará, porém, o mandatário pessoalmente obrigado, se agir no seu próprio nome, ainda que o negócio seja de conta do mandante".

Ainda sobre a revogação do consentimento, convém registrar que o artigo 18, inciso IX, da LGPD¹⁰ remete ao § 5º do artigo 8º. Trata-se da faculdade atribuída ao titular, que pode ser exercida a qualquer tempo, de fazer cessar o tratamento de seus dados. As consequências naturais dessa ação são duas: em razão da paralisação do tratamento que até então era realizado, a eliminação de dados pessoais deverá ser aferida a partir de requerimento, em exercício do direito previsto no artigo 18, VI, e em sintonia, ainda, com as previsões dos artigos 15 e 16 da LGPD; a outra consequência envolverá a análise de viabilidade da continuidade do tratamento (ainda que parcial), com lastro noutra(s) hipótese(s) ("base(s) legal(is)"), uma vez que o consentimento não é a única delas.

Entendemos que o mandato, na hipótese, deverá ser admitido, desde que seja claramente delimitado, específico e excepcionalmente escrito para que o titular possa expressar o consentimento de forma livre, informada e inequívoca em nome do titular para o atingimento de finalidade determinada (art. 5º, XII, da LGPD). Fica afastado da dinâmica em questão, portanto, o mandato em termos gerais (arts. 660 e 661 do CC). Sobre a modalidade verbal do mandato, embora uma leitura simplista dos artigos 656 e 657 do CC revele sua viabilidade, defendê-la amplamente criaria indesejável zona de risco para o acautelamento do titular de dados. Não obstante, trata-se de tema pouco explorado e que ainda demandará reflexões mais aprofundadas. 

*José Luiz de Moura Faleiros Júnior é doutorando em Direito pela USP e pela UFMG. Mestre e bacharel em Direito pela Faculdade de Direito da UFU. Especialista em Direito Processual Civil, Direito Civil e Empresarial, Direito Digital e Compliance. Membro do Instituto Avançado de Proteção de Dados - IAPD e do Instituto Brasileiro de Estudos de Responsabilidade Civil - IBERC. Advogado e professor.

__________

1 "Art. 668. O mandatário é obrigado a dar contas de sua gerência ao mandante, transferindo-lhe as vantagens provenientes do mandato, por qualquer título que seja".