Migalhas de IA e Proteção de Dados

Introdução Na Parte I deste texto, publicada no Migalhas em 1º de outubro de 20211, abordamos o processo de consentimento na pesquisa envolvendo seres humanos e os relativos à Lei Geral de Proteção de Dados - LGPD; Lei 13.709/2018. Na sequencia, na Parte II, ora publicada, temos como propósito focar nossa análise nas características do processo de consentimento na assistência à saúde e suas relações com o estabelecido na LGPD. Para recuperar alguns pressupostos centrais e que integram todas Partes, destacamos aspectos tratados na Parte I, são eles: 1- O processo de consentimento na área da saúde é essencial - ele representa "o ritual clínico moderno da confiança"2, seja na perspectiva bioética3, moral e jurídica.4-5 2- O ato humano de consentir está diretamente conectado à liberdade e à autonomia da pessoa natural, podendo representar diferentes sentidos e formas de manifestação de vontade, tenha este ato efeitos jurídicos ou não. 3- Consentir, o ato de consentir e o processo de consentir são palavras que em seu entorno gravitam sentidos diversos, apesar dos inúmeros pontos de contato na rede do "universo normativo" e que também é o "universo narrativo" de conceitos, princípios, modelos normativos e hermenêuticos - sendo o verbo consentir aquele que dá a forma primordial as distintas roupagens, atuando  como uma "concha" receptora de sentidos; em referência a metáfora da "concha do marisco abandonado" empregada por Martins-Costa.6 4- O verbo consentir antecipado pela palavra "processo" é complemento integrador de sentidos jurídicos e bioéticos. 5- O processo sendo entendido como - aqui replicamos nosso texto-: A cadeia de atos e/ou procedimentos, não necessariamente consecutivos ou postos de forma sequencial, envolvendo elementos intrínsecos e elementos extrínsecos na perspectiva da pessoa natural que consente. Os elementos extrínsecos, aqueles postos pela situação concreta e jurídica, essenciais ao conhecimento do consentidor para respeitar os seus direitos informativos, de personalidade e de autodeterminação. O ato de consentir deve ser realizado sem inadequações éticas7 e/ou vícios de consentimento (erro ou ignorância, dolo, coação e estado de perigo)8. É fundamental diferenciar a obtenção de um consentimento em situações assistenciais das que ocorrem em pesquisa. Na assistência sempre existe uma demanda de atenção, por parte do indivíduo, paciente ou de seus familiares, baseada em uma necessidade, que é apresentada aos profissionais de saúde. Por outro lado, o pesquisador oferece a possibilidade de participação em um projeto de pesquisa a pessoas que preenchem os critérios de inclusão previamente estabelecidos. Resumindo, a assistência se baseia em um critério de necessidade e a pesquisa no de possibilidade, conforme tivemos a oportunidade de destacar na Parte I deste texto.  A necessidade envolvida na assistência a saúde está relacionada a uma prestação de serviço que tem como objeto central os cuidados de saúde. Desta forma, o consentimento na assistência, por definição, envolve a relação profissional-paciente que é assimétrica, devido à vulnerabilidade associada ao assistido.9 A obtenção do consentimento é um importante elemento de uma adequada relação profissional-paciente em ambientes assistenciais, sendo uma atividade intrínseca e fundamental, e não tangencial, à relação jurídica existente. A assistência à saúde, aqui tratada, contempla o conceito de saúde proposto pela Organização Mundial da Saúde (OMS) - estado de completo bem-estar físico, mental e social e não somente ausência de afecções e enfermidades - e que hoje é central entre os Objetivos do Desenvolvimento Sustentável (ODS) e o Pacto Global da Organizações das Nações Unidas (ONU), portanto envolve todas as áreas da saúde e não somente a medicina. Também deve envolver necessariamente o tratamento de dados pessoais e dados pessoais sensíveis. O processo de consentimento envolve diversas facetas do atual exercício dos cuidados em saúde. Este processo de consentimento não é apenas uma doutrina legal, é também um direito moral dos pacientes que gera obrigações legais e morais para os profissionais da área da saúde. O processo de consentimento pode assumir diferentes significados. A relação jurídica estabelecida entre as partes tem como foco e objetivo central a assistência à saúde do assistido, pautada pela consideração que o direito à saúde é um direito fundamental e social, estabelecido nos artigos 5º e 6º da Constituição Federal e em demais regras de direito público e privado. A assistência à saúde pressupõe um negócio jurídico, que poderá conjugar deveres e obrigações contratuais ou existencial, entre o prestador dos serviços à saúde. O prestador poderá ser um ente público, com o por exemplo, a assistência efetivada pelo Sistema Único de Saúde (SUS); ou poderá ser uma pessoa jurídica de direito privado, como as clinicas e hospitais privados e filantrópicos, ou ainda, por uma pessoa natural, quando a assistência é realizada por um profissional liberal individualmente. Neste contexto, e com o objetivo de integrar um conjunto de textos abarcando os diferentes processos de consentimento na área da saúde, passamos a tratar sobre aspectos característicos do processo de consentimento na assistência à saúde, em especial a sua natureza e efeitos jurídicos e, por fim, os pontos de contato com o estabelecido na à Lei Geral de Proteção de Dados - LGPD; lei 13.709/2018. Clique aqui e confira a coluna na íntegra. __________ 1 FERNANDES, Márcia S.; GOLDIM, J.R. Os diferentes processos de consentimento na pesquisa envolvendo seres humanos e na LGPD - Parte I. Publicado em 1 de outubro de 2021. Acessível aqui.  2 WOLPE, Paul Root.The triumph of autonomy in American Bioethics: a sociological view. In: Raymond De Vires, Janardan Subedi. Bioethics and Society: constructing the ethical enterprise. Englewood Cliffs: Prentice-Hall, 1998, p. 49. 3 GOLDIM, José Roberto Goldim. Consentimento, capacidade e alteridade. In: Giovana Benetti; André Rodrigues Corrêa; Márcia Santana Fernandes; Guilherme Monteiro Nitschke; Mariana Pargendler; Laura Beck Varela. (Org.). Direito, Cultura e Método - Leituras da obra de Judith Martins-Costa. 1ed.Rio de Janeiro: GZ Editora, 2019, v. 1, p. 169-181. 4 CEZAR, Denise Oliveira. Pesquisa com medicamentos - aspectos bioéticos. São Paulo: Editora Saraiva, 2012, p. 178 e seguintes. 5 MARTINS-COSTA, Judith. A Boa-fé no Direito Privado - critérios para sua aplicação. São Paulo: Editora Marciel Pons, 2015, §21, p. 228-237. 6 MARTINS-COSTA, Judith. A concha do marisco abandonado e o nomos; in Narração e Normatividade - Ensaios de Direito e Literatura, MARTINS-COSTA, Judith (Cood.); São Paulo: Editora GZ, 2013, pgs. 8-11. 7 GOLDIM, José Roberto Goldim. O consentimento informado numa perspectiva além da autonomia. Revista AMRIGS, Porto Alegre, 46(3,4): 109-116, jul.-dez. 2002. Também acessível aqui. 8 Código Civil Brasileiro, Lei 10.406/2002; Capítulo IV - Dos Defeitos do Negócio Jurídico; artigos 138 ao 156 e Capitulo V - Da invalidade do Negócio Jurídico. 9 GENRO, B.; GOLDIM, J. R.. Acreditação Hospitalar e o Processo de Consentimento Informado. Rev HCPA 2012;32(4).

O presente trabalho enfrenta o problema do acesso de terceiros a dados de vacinação detidos por entes públicos, nos casos em que se objetiva controlar a atuação estatal e coibir irregularidades no processo de imunização. Nessas hipóteses, tem-se na balança, de um lado, o direito fundamental de acesso à informação e o princípio da transparência administrativa, e, de outro lado, o direito fundamental à proteção dos dados pessoais. O conflito deve ser analisado à luz do critério hermenêutico da razoabilidade. Isso porque se fará necessária a ponderação dos diversos interesses, integrando-se regras, princípios e valores do sistema, para que se possa, ao final, construir a norma do caso concreto que melhor realize a tábua axiológica constitucional. Na parte I deste artigo, examinou-se a situação de divulgação, ao público, de dados pessoais pertinentes ao processo de vacinação. A partir da análise da incidência simultânea da disciplina da Lei de Acesso à Informação e da Lei Geral de Proteção de Dados Pessoais, lidas à luz dos princípios e valores constitucionais, concluiu-se pela inviabilidade da referida divulgação sem consentimento de cada titular. Diga-se entre parênteses que a racionalidade da questão em tela não se confunde com a da obrigatoriedade de exibição, pelo próprio titular, de atestado de vacinação para ingresso em determinados ambientes (o chamado "passaporte vacinal"), com suporte fático e pressupostos diversos, inclusive a tutela da saúde de terceiros, o que justifica e fundamenta a exigência da comprovação. Agora, nesta parte II, serão examinadas duas outras hipóteses: (i) a divulgação, ao público, de dados anonimizados pertinentes ao processo de vacinação e (ii) o acesso a dados pessoais pertinentes ao processo de vacinação por órgãos públicos responsáveis pela defesa da ordem jurídica e pelo controle da Administração Pública. Primeiramente, cabe destacar que é viável a divulgação pública de dados anonimizados. Nessa situação, o direito à proteção dos dados pessoais estará resguardado, ao mesmo tempo em que se assegura transparência ao processo de vacinação. Constitui exemplo de publicação de dados nacionais de vacinação o chamado "vacinômetro", que indica diariamente, no site do Conselho Nacional de Saúde, a quantidade de doses aplicadas no país: em 8/12/21, já haviam sido aplicadas 314.158.730 doses. A Lei Geral de Proteção de Dados Pessoais qualifica como anonimizado o "dado relativo a titular que não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis na ocasião de seu tratamento" (art. 5º, III, LGPD). A caracterização do dado como pessoal ou anonimizado é de extrema relevância, em virtude da diferenciação de disciplina aplicável. Nessa direção, o art. 12, caput, da LGPD estabelece que, para os fins da lei, dados anonimizados não são considerados dados pessoais. Para diferenciar o dado pessoal do dado anonimizado, a lei 13.709/2018 adotou o "filtro da razoabilidade".1 Assim, quando um dado não puder ser associado, direta ou indiretamente, a um indivíduo, considerando a utilização de meios técnicos razoáveis e disponíveis no momento do tratamento, esse dado será considerado anonimizado e a disciplina da Lei Geral de Proteção de Dados Pessoais não incidirá (art. 5º, XI, LGPD). Para concretizar o que se considera razoável, o art. 12, § 1º, da LGPD elege os seguintes fatores: "custo e tempo necessários para reverter o processo de anonimização", conforme as tecnologias disponíveis, e "utilização exclusiva de meios próprios". Desse modo, admite-se a divulgação, ao público, de dados anonimizados pertinentes à vacinação. Faz-se necessário, todavia, o controle da efetividade do processo de anonimização, devendo-se assegurar que o titular não possa ser identificado, considerando o referido filtro da razoabilidade. É certo, contudo, que, para a finalidade de coibir irregularidades no processo de vacinação, a divulgação de dados anonimizados pode não constituir solução tão eficaz quanto o acesso à lista de vacinados, de modo identificado. Nesse cenário, faz-se mister a análise de outra hipótese: o acesso a dados pessoais pertinentes ao processo de vacinação por órgãos públicos responsáveis pela defesa da ordem jurídica e pelo controle da Administração Pública. Aqui, também se deve considerar a incidência simultânea da disciplina da Lei Geral de Proteção de Dados Pessoais (lei 13.709/18 - LGPD) e da Lei de Acesso à Informação (lei 12.527/11 - LAI), sempre lidas à luz da tábua axiológica constitucional. Como visto na parte I deste trabalho, a LAI restringe o acesso à informação pessoal a "agentes públicos legalmente autorizados" e ao seu titular (art. 31, § 1º, I). Os servidores de órgãos públicos responsáveis pela defesa da ordem jurídica e pelo controle da Administração Pública se caracterizam como "agentes públicos legalmente autorizados". Além disso, o art. 31, § 2º, da lei 12.527/11 estabelece que aquele que obtiver acesso aos dados pessoais será responsabilizado por seu uso indevido. Assim, o dever de sigilo será transferido ex lege ao órgão público requisitante. Pela disciplina da LAI, é, portanto, viável o acesso a dados de vacinação por órgãos públicos responsáveis pela defesa da ordem jurídica e pelo controle da Administração Pública. A mesma conclusão é extraída da disciplina da Lei Geral de Proteção de Dados Pessoais. Isso porque a LGPD permite o tratamento de dados pessoais para o cumprimento de obrigação legal ou regulatória pelo controlador (art. 7º, II), inclusive para dados pessoais sensíveis (art. 11, II, "a").2 Nessas hipóteses, dispensa-se a obtenção de consentimento do titular. Além disso, o art. 26, caput, da Lei 13.709/18 autoriza o uso compartilhado de dados pessoais pelo Poder Público, desde que a finalidade seja a execução de políticas públicas e atribuição legal pelos órgãos e pelas entidades públicas, devendo ser respeitados os princípios de proteção de dados pessoais enumerados no art. 6º da lei. O dever legal de proteção dos dados pessoais será transferido ao órgão público que requereu o acesso. Em síntese, nesse caso, é permitido o tratamento de dados pessoais e de dados pessoais sensíveis. Deverão, contudo, ser atendidos os princípios previstos no art. 6º da LGPD. De acordo com tal dispositivo, o tratamento de dados pessoais deve ser realizado para finalidade legítima, específica, explícita e devidamente informada, sendo certo que o tratamento não pode se dar para fins discriminatórios ilícitos ou abusivos (princípios da finalidade e da não discriminação). Faz-se mister que a operação prevista seja compatível com a finalidade aventada e que o procedimento ocorra sem excessos, na exata medida para se alcançar o dito propósito. Com efeito, o tratamento de dados pessoais deve ocorrer conforme sua razão justificadora e no limite desse escopo, encerrando-se a operação tão logo haja seu cumprimento (princípios da adequação e da necessidade).3 Assegura-se ao titular do dado pessoal acesso facilitado e gratuito à forma, à duração do tratamento e à integralidade das informações pessoais (princípio do livre acesso). Os dados devem estar corretos, claros, atualizados e se afigurarem relevantes para o atendimento do objetivo da operação (princípio da qualidade dos dados). São garantidas ao titular informações claras, precisas e facilmente acessíveis a respeito dos tratamentos realizados e dos agentes que os promovem, respeitados os segredos comercial e industrial, bem como que a operação seja efetuada de acordo com medidas técnicas e administrativas seguras (princípios da transparência e da segurança). Exige-se a adoção de providências que evitem a ocorrência de danos, determinando-se aos agentes de tratamento a demonstração do implemento das normas de proteção e da eficácia das medidas cumpridas (princípios da prevenção e da responsabilização e prestação de contas). Mais uma vez, o diálogo entre a Lei Geral de Proteção de Dados Pessoais e a Lei de Acesso à Informação aponta para solução única: a viabilidade do acesso, por órgão público responsável pela defesa da ordem jurídica e pelo controle da Administração Pública, a dados pessoais pertinentes ao processo de vacinação, independentemente de consentimento do titular da informação pessoal.  Assim, é individualizada solução coerente e harmônica, que assegura, a uma só vez, a unidade do sistema e a promoção dos valores emanados do topo da pirâmide normativa.4 Na situação vislumbrada, tutela-se o princípio da transparência administrativa, integrante do núcleo axiológico do regime democrático, sem, contudo, se aniquilar o direito fundamental à proteção dos dados pessoais. Na verdade, o dever de proteção e de sigilo será transferido ao órgão público requisitante, o qual se torna responsável por qualquer uso indevido das informações pessoais. Imagine-se que o MP, "instituição permanente, essencial à função jurisdicional do Estado" e responsável pela "defesa da ordem jurídica, do regime democrático e dos interesses sociais e individuais indisponíveis" (art. 127, caput, CF/88), requeira ao Poder Executivo o acesso a dados de vacinação para fins de instrução de procedimento administrativo regularmente instaurado para apurar irregularidades no processo de vacinação. Como se sabe, a CF/88 atribui ao Ministério Público, como função institucional, "expedir notificações nos procedimentos administrativos de sua competência, requisitando informações e documentos para instruí-los" (art. 129, VI). Será viável, portanto, o atendimento à requisição ministerial. Veja-se que o direito à proteção dos dados pessoais não pode ser interpretado de forma tão extremada que impeça o acesso a informações de vacinação por instituição pública responsável pela defesa da ordem jurídica.  É dizer: não existem direitos absolutos. Tanto o direito fundamental de acesso à informação quanto o direito fundamental à proteção dos dados pessoais encontram limites no arcabouço normativo vigente. Caberá ao intérprete, considerando o ordenamento jurídico em sua unidade, coerência, heterogeneidade e complexidade, individualizar a solução que melhor realize os valores constitucionais, a partir da acurada análise de cada situação concreta. Diante do exposto na Parte I e na Parte II deste trabalho, conclui-se que, no contexto da pandemia da covid-19, sobressai, mais do que nunca, a preocupação com a pessoa humana e seus valores existenciais, a serem tutelados pelo ordenamento jurídico com máxima prioridade. Os direitos da pessoa demandam, talvez mais do que em qualquer outra quadra da história, deveres de proteção. Nessa toada, proteger os dados pessoais significa amparar e salvaguardar o livre desenvolvimento da personalidade de cada indivíduo, reconhecendo e protegendo sua dignidade. Nesse cenário, a divulgação, ao público, de dados pessoais pertinentes ao processo de vacinação sem consentimento dos titulares das informações constitui solução inviável, sob pena de se aniquilar o direito à proteção dos dados pessoais, que é diretamente informado pelo princípio da dignidade da pessoa humana, fundamento do sistema jurídico. Há, ademais, outros meios menos gravosos para se assegurar a transparência administrativa e o alcance da finalidade de controle e de fiscalização do processo de vacinação. O prato da balança pende, assim, para a tutela da pessoa humana. De outro giro, afigura-se viável a divulgação, ao público, de dados anonimizados pertinentes ao processo de vacinação. Nesse caso, o direito à proteção dos dados pessoais estará resguardado, ao mesmo tempo em que se assegura transparência na atuação estatal. Deve haver, contudo, o controle da efetividade do processo de anonimização, assegurando-se que o titular não possa ser identificado, considerando a utilização de meios técnicos razoáveis e disponíveis no momento do tratamento. Também se admite o acesso por órgão público responsável pela defesa da ordem jurídica e pelo controle da Administração Pública aos dados de imunização. Nessa situação, tutela-se o princípio da transparência administrativa, sem, contudo, se aniquilar o direito fundamental à proteção dos dados pessoais. Na verdade, o dever de proteção e de sigilo será transferido ao órgão público que requereu o acesso, o qual se torna responsável por qualquer uso indevido das informações pessoais. Nessa hipótese, o consentimento do titular do dado pessoal é dispensado. Parece urgente, portanto, a modificação na atuação do Estado-legislador, de forma que não sejam mais editadas leis para obrigar a Administração Pública a divulgar, por meio de seu site oficial, a lista nominal de vacinados. Ilustre-se com o recente PL 42/21, que visava a tornar "obrigatória a publicação de dados a respeito dos lotes de vacinação e da população vacinada no âmbito do Plano Estadual de Imunização contra a covid-19", aprovado pela Assembleia Legislativa do Estado de São Paulo, mas totalmente vetado pelo Governador do Estado, em outubro de 2021, em razão do conflito com o art. 5º, inciso X, da CF/88. O PL 42/21 previa a (inadmissível) obrigatoriedade de publicação, em  sítio eletrônico, dos seguintes dados:  nome completo da pessoa vacinada, trecho do CPF, grupo de vacinação, data e local da vacinação, lote da vacina aplicada, identificação da dose recebida e identificação nominal e de registro funcional do profissional que aplicou a vacina. Também parece necessária a pacificação do entendimento jurisprudencial na direção da inviabilidade de se compelir o Poder Executivo a divulgar, ao público, a lista nominal de vacinados. A existência de posicionamentos divergentes na jurisprudência pode ser ilustrada com os casos dos municípios de Nova Odessa, Monte Alto e Santa Cruz das Palmeiras. Nas três hipóteses, o Órgão Especial do TJ/SP enfrentou a questão da edição de leis para obrigar a prefeitura a publicar os nomes completos das pessoas vacinadas, entendendo pela constitucionalidade no caso de Nova Odessa e pela inconstitucionalidade nos casos de Monte Alto e Santa Cruz das Palmeiras.5 Fundamental que o Estado-juiz consolide, em definitivo, sua atuação no sentido de considerar inadmissível a divulgação, ao público, de dados pessoais pertinentes ao processo de vacinação sem consentimento dos titulares das informações. ______ 1 Bruno Ricardo Bioni. Proteção de dados pessoais: a função e os limites do consentimento. Rio de Janeiro: Forense, 2020, p. 66. 2 Considera-se que, no que interessa ao tema do presente trabalho, o art. 23 da LGPD não constitui uma base legal de tratamento autônoma. As hipóteses em que a Administração Pública poderá realizar o tratamento de dados pessoais já estão abrangidas pelas bases legais dos arts. 7º e 11 da LGPD. Como se vê dos próprios termos utilizados pela LGPD, o art. 23 fixa as "regras" que deverão ser observadas pelo Poder Público no exercício de tal atividade. 3 Pietro Perlingieri. La pubblica amministrazione e la tutela della privacy. In: Pietro Perlingieri. La persona e i suoi diritti: problemi del diritto civile. Napoli: Edizioni Scientifiche Italiane, 2005, p. 259. 4 Carlos Edison do Rêgo Monteiro Filho. Reflexões metodológicas: a construção do observatório de jurisprudência no âmbito da pesquisa jurídica. Revista Brasileira de Direito Civil, v. 9, n. 3, 2016, Disponível aqui. 5 TJ/SP, ADI 2047923-56.2021.8.26.0000, Órgão Especial, julg. 07/07/2021; TJ/SP, ADI 2133878-55.2021.8.26.0000, Órgão Especial, julg. 27/10/2021; TJ/SP, ADI 2112146-18.2021.8.26.0000, Órgão Especial, julg. 27/10/2021.

Desde o início da pandemia da Covid-19, incalculável sofrimento vem sendo imposto à humanidade. Depois do fim do mais insólito ano há muito não vivido, 2021 começou com um sopro de esperança.1 Em 17 de janeiro, foi aplicada a primeira vacina contra a doença no país.2 Daí se seguiram milhões de doses aplicadas, de acordo com a ordem de prioridade estabelecida. Os impactos do início da vacinação reverberaram no campo jurídico. A intervenção do Estado-administrador para protagonizar o combate à Covid-19 por meio do processo de vacinação gerou a correspondente necessidade de controle e de fiscalização da atuação estatal, de modo a se coibir irregularidades, como no caso de desobediência à ordem de prioridades ("fura-fila"). Em alguns locais, o Estado-legislador reagiu editando leis que obrigam a Administração Pública a divulgar, por meio de seu site oficial, a lista nominal de vacinados. Também foi chamado a entrar em cena o Estado-juiz, a partir de ações ajuizadas com o objetivo de compelir o Poder Executivo a publicar a lista de vacinados. Vejam-se alguns exemplos. O Ministério Público do Estado do Rio de Janeiro propôs ação civil pública, pretendendo compelir o Município do Rio de Janeiro a conferir publicidade ao processo de vacinação que estava sendo implementado, através da disponibilização diária, no site oficial da Prefeitura, de listagem de vacinados. Alegou o Ministério Público que o plano de vacinação continha falhas, com desvios de doses para indivíduos que não faziam parte dos grupos prioritários, e que a publicidade era necessária para permitir o controle e a fiscalização do processo de imunização. Todavia, em agosto de 2021, a 9ª Vara da Fazenda Pública do Tribunal de Justiça do Estado do Rio de Janeiro julgou improcedente o pedido. Dentre outros fundamentos, o magistrado ressaltou a importância do respeito à disciplina da Lei Geral de Proteção de Dados Pessoais (LGPD). Exemplificou que, embora a pessoa infectada não possa se opor ao compartilhamento de seu nome e demais informações com o Ministério da Saúde, o tratamento de dados pessoais pela Administração Pública deve obedecer aos princípios previstos na LGPD, sendo admissível "a divulgação, ao público, apenas dos números e da divisão dos casos por região do Brasil e não das informações específicas daqueles com diagnóstico positivo e que possam, de alguma forma, servir para identificá-los, ainda que combinados com outros dados".3 O magistrado também havia, anteriormente, indeferido o pedido liminar, o que foi confirmado, em sede de agravo de instrumento, pela 10ª Câmara Cível do Tribunal de Justiça do Estado do Rio de Janeiro.4 Já no Município de Nova Odessa (SP), foi editada a lei municipal nº 3.381, de 23.2.2021, que dispôs sobre a obrigatoriedade de publicação, no site oficial da Prefeitura, da lista de vacinados contra a Covid-19, atualizada diariamente, com indicação do nome completo da pessoa vacinada, número de seu CPF (ocultando os seis primeiros dígitos com asterisco), data e local da vacinação, além da referência ao respectivo grupo prioritário. O Prefeito de Nova Odessa, contudo, ingressou com ação direta de inconstitucionalidade em face do artigo 2º, inciso I, da referida lei, que determinava a publicação do nome completo da pessoa vacinada, alegando, no que interessa ao presente trabalho, a violação da intimidade e da vida privada dos munícipes vacinados (art. 5º, X, CRFB/88). Em julho de 2021, o Órgão Especial do Tribunal de Justiça do Estado de São Paulo julgou improcedente a ação direta de inconstitucionalidade. Aduziu que a Administração Pública tem o dever fundamental de adotar o quanto necessário para prevenir doenças, inexistindo, na espécie, violação à intimidade ou à vida privada dos cidadãos. Assim, deveria prevalecer o valor da transparência. Também se considerou que a ausência de divulgação da lista nominal comprometeria a decisão do Supremo Tribunal Federal acerca da constitucionalidade da vacinação compulsória, embora não forçada, para preservar a saúde da coletividade (ADIs nº 6.586 e 6.587).5 A partir desses exemplos, vê-se que o debate sobre a viabilidade da divulgação da lista de vacinados é não só atual, como também tem gerado posicionamentos divergentes na jurisprudência. Nesse contexto de incertezas jurídicas, a doutrina assume importante papel de contribuir com a construção da disciplina incidente, por meio do exame do arcabouço normativo imposto pelo ordenamento, dos valores em jogo e dos instrumentos para a ponderação de interesses conflitantes. O presente trabalho se dividirá em duas partes. Nesta primeira, será analisada a situação de divulgação, ao público, de dados pessoais pertinentes ao processo de vacinação. Na Parte II, serão examinadas duas outras hipóteses: (i) a divulgação, ao público, de dados anonimizados pertinentes ao processo de vacinação e (ii) o acesso a dados pessoais pertinentes ao processo de vacinação por órgãos públicos responsáveis pela defesa da ordem jurídica e pelo controle da Administração Pública. Como se sabe, a Constituição da República de 1988 contemplou, como direitos fundamentais, o direito de acesso à informação e o direito à proteção dos dados pessoais.6 Trouxe, ainda, como princípio, a transparência na atuação da Administração Pública. Nas situações em que a informação detida por ente público a que se pretende ter acesso é um dado pessoal de terceiro, entram em rota de colisão, de um lado, o direito fundamental de acesso à informação e o princípio da transparência administrativa, e, de outro lado, o direito fundamental à proteção dos dados pessoais.  Em um dos pratos da balança, valores integrantes do núcleo axiológico do regime democrático; no outro prato da balança, interesses existenciais que são diretamente informados pelo princípio da dignidade da pessoa humana. Quid juris? Nesses casos, haverá a incidência simultânea da disciplina da Lei Geral de Proteção de Dados Pessoais (lei 13.709/2018 - LGPD) e da Lei de Acesso à Informação (lei 12.527/2011 - LAI). A interpretação deve ser sistemática, promovendo-se o diálogo entre as normativas, à luz dos princípios e valores constitucionais. Pense-se no exemplo de divulgação de lista que contém o nome das pessoas vacinadas naquela localidade, acompanhado da doença que a inclui no denominado "grupo de risco" da Covid-19 e que justificou a sua vacinação prioritária, por meio de disponibilização no sítio eletrônico oficial do ente público. A lista de vacinados conterá, inevitavelmente, dados pessoais e dados pessoais sensíveis.  A lei 13.709/2018 conceitua dado pessoal como aquele titularizado por pessoa natural identificada ou identificável, excluindo de sua proteção a informação relativa à pessoa jurídica (art. 5º, I e V, LGPD). Por outro lado, com relação ao dado pessoal sensível, a LGPD traz lista exemplificativa em seu artigo 5º, II: informação "sobre origem racial ou étnica, convicção religiosa, opinião política, filiação a sindicato ou a organização de caráter religioso, filosófico ou político, dado referente à saúde ou à vida sexual, dado genético ou biométrico, quando vinculado a uma pessoa natural". A qualificação de determinado dado pessoal como sensível deve ocorrer concretamente, conforme a identificação da maior probabilidade de uso discriminatório por terceiros. Na disciplina da LGPD, o tratamento de dados pessoais só pode ocorrer se estiver fundamentado em uma das bases legais previstas nos artigos 7º e 11.  O artigo 7º da LGPD contempla como bases legais, em linhas gerais: (i) consentimento; (ii) cumprimento de obrigação legal ou regulatória; (iii) execução de políticas públicas; (iv) realização de estudos por órgão de pesquisa; (v) execução de contrato ou de procedimentos preliminares relacionados a contrato; (vi) exercício regular de direitos em processo judicial, administrativo ou arbitral; (vii) proteção da vida ou da incolumidade física do titular ou de terceiro; (viii) tutela da saúde; (ix) legítimo interesse e (x) proteção do crédito. De outro giro, o artigo 11 da LGPD fornece disciplina específica para os dados pessoais sensíveis, e prevê, resumidamente, as seguintes bases legais: (i) consentimento; (ii) cumprimento de obrigação legal ou regulatória; (iii) execução de políticas públicas; (iv) realização de estudos por órgão de pesquisa; (v) exercício regular de direitos, inclusive em contrato e em processo judicial, administrativo ou arbitral; (vi) proteção da vida ou da incolumidade física do titular ou de terceiro; (vii) tutela da saúde; (viii) garantia da prevenção à fraude e à segurança do titular, nos processos de identificação e autenticação de cadastro em sistemas eletrônicos. A partir da análise das bases legais previstas na LGPD, vê-se que a divulgação pública de dados pessoais pertinentes ao processo de vacinação não pode ocorrer, senão mediante consentimento de cada titular. Se, de um lado, não se encontra base legal para fundamentar o tratamento desses dados pessoais sem consentimento (sensíveis ou não), de outro lado é certo que a exposição pública da lista de vacinados aniquila o direito à proteção dos dados pessoais. A mesma conclusão decorre do exame da disciplina da Lei de Acesso à Informação. O artigo 3º estabelece as diretrizes de aplicação da lei: (i) observância da publicidade como regra e do sigilo como exceção; (ii) divulgação de informações de interesse público, sem que se faça necessária solicitação; (iii) emprego de meios de comunicação viabilizados pela tecnologia da informação; (iv) estímulo ao desenvolvimento da cultura de transparência na administração pública; (v) edificação do controle social da administração pública. De mais a mais, o artigo 8º prevê que os órgãos e as entidades públicas têm o dever de divulgar informações de interesse coletivo ou geral por eles produzidas ou custodiadas, no âmbito de suas competências. A publicação deve se dar em local de fácil acesso e prescindir de requerimento. No entanto, a LAI contempla disciplina específica para as informações pessoais, que não pode ser desconsiderada pelo intérprete. A normativa traz limites ao direito fundamental de acesso à informação, concretizando o comando do artigo 5º, XXXIII, da CRFB/88, que prevê o direito do indivíduo a receber informações de interesse particular, ou de interesse coletivo ou geral detidas por órgãos públicos, mas ressalva aquelas cujo sigilo seja imprescindível à segurança da sociedade e do Estado. Nessa direção, o artigo 6º, III, da LAI determina a proteção tanto da informação sigilosa quanto da informação pessoal, observados os aspectos de disponibilidade, autenticidade, integridade e eventual restrição de acesso. Passo adiante, o artigo 31, caput, da LAI estabelece que o tratamento dos dados pessoais deve ser feito com transparência e respeito às liberdades e garantias individuais e aos direitos à intimidade, à privacidade, à honra e à imagem. As informações pessoais terão seu acesso restrito a agentes públicos legalmente autorizados e ao seu titular, pelo prazo máximo de cem anos a contar de sua produção, independentemente de classificação de sigilo (art. 31, § 1º, I, LAI). O acesso a dado pessoal por terceiro só será admitido diante de previsão legal ou consentimento expresso da pessoa a que a informação se refere (art. 31, § 1º, II, LAI). O consentimento do titular, todavia, não será exigido quando os dados forem necessários: (i) à prevenção e diagnóstico médico, nas situações em que a pessoa estiver física ou legalmente incapaz, e para utilização única e exclusivamente para o tratamento médico; (ii) à realização de estatísticas e pesquisas científicas de evidente interesse público ou geral, previstos em lei, sendo proibida a identificação do titular das informações; (iii) ao cumprimento de ordem judicial; (iv) à defesa de direitos humanos; (v) à proteção do interesse público e geral preponderante; (vi) à apuração de irregularidades em que o titular dos dados estiver envolvido e (vii) em ações que visam à recuperação de fatos históricos de maior relevância (art. 31, § 3º, I a V, e § 4º, LAI). Ponha-se entre parêntese que, embora o artigo 10, § 3º, da LAI proíba a exigência relativa a motivos determinantes do pedido de acesso à informação, essa vedação não se aplica a informações pessoais, caso em que a solicitação precisará estar fundamentada em uma das hipóteses descritas que excepcionam a restrição de acesso. Ocorre que, novamente, nenhuma das referidas exceções é capaz de fundamentar a divulgação, ao público, de dados pessoais pertinentes ao processo de vacinação, a demandar a obtenção de consentimento de cada titular.  Há, portanto, na espécie, a incidência simultânea da Lei de Acesso à Informação e da Lei Geral de Proteção de Dados Pessoais. O diálogo entre as normativas aponta para solução única: a inviabilidade da divulgação, ao público, de dados pessoais pertinentes ao processo de vacinação sem consentimento de cada titular. À luz do princípio da dignidade da pessoa humana, é individualizada solução coerente e harmônica, que assegura, a uma só vez, a unidade do sistema e a promoção da tábua axiológica constitucional.   O direito à proteção dos dados pessoais é diretamente informado pelo princípio da dignidade da pessoa humana, fundamento do sistema jurídico (art. 1º, III, CRFB/88).7 Assim, a exposição pública da lista de vacinados, ao aniquilar o direito à proteção dos dados pessoais, viola, em última análise, o princípio da dignidade da pessoa humana, o que, evidentemente, não se pode admitir.  Há, ademais, outros meios menos gravosos de se assegurar a transparência administrativa e o alcance da finalidade de controle e de fiscalização do processo de vacinação. É deste tema que se ocupará a Parte II deste trabalho - cenas do próximo capítulo.  *Carlos Edison do Rêgo Monteiro Filho é professor Titular de Direito Civil da UERJ (graduação, mestrado e doutorado) e ex-coordenador do Programa de Pós-Graduação em Direito da UERJ. Doutor em Direito Civil e Mestre em Direito da Cidade pela UERJ. Procurador do Estado do Rio de Janeiro. Vice-presidente do Instituto Brasileiro de Estudos de Responsabilidade Civil (IBERC). Associado Fundador do Instituto Avançado de Proteção de Dados (IAPD). Membro da Comissão de Direito Civil da OAB/RJ, do IBDCivil e da AHC-Brasil. Advogado, parecerista em temas de direito privado.   **Diana Loureiro Paiva de Castro é procuradora do Estado de São Paulo. Coordenadora do Núcleo de Propriedade Intelectual e Inovação da PGE-SP. Mestre em Direito Civil pela UERJ. Professora em cursos de pós-graduação da UERJ, da PUC-Rio e da ESNAP/USP. Associada Fundadora do IAPD. Membro do IBDCivil, do IBERC e da AHC-Brasil. Vice-Presidente da Região Sudeste na ANAPE. Foi Procuradora da FAPESP. __________ 1 Carlos Edison do Rêgo Monteiro Filho. Pandemia e responsabilidade: a pessoa no centro do tabuleiro. Revista IBERC, v. 3, n. 3, 2020. Disponível aqui. 2 Portal do Governo. "Estado de São Paulo inicia vacinação contra COVID-19". Disponível aqui. 3 TJ/RJ, ACP nº 0015047-74.2021.8.19.0001, 9ª Vara da Fazenda Pública, julg. 19/08/2021. 4 TJ/RJ, AI nº 0004292-91.2021.8.19.0000, 10ª Câmara Cível, julg. 14/07/2021. 5 TJ/SP, ADI nº 2047923-56.2021.8.26.0000, Órgão Especial, julg. 07/07/2021. 6 Cabe mencionar, em enunciação exemplificativa, os incisos X, XII, XIV, XXXIII e LXXII do artigo 5º e o caput e o inciso II do § 3º do artigo 37, todos da Constituição da República de 1988. Sublinhe-se também que o Plenário do Senado Federal aprovou, em outubro deste ano, a Proposta de Emenda à Constituição (PEC) 17/2019, que visa a prever expressamente a proteção de dados pessoais como um direito fundamental, tema objeto de recente artigo nesta coluna. 7 Carlos Edison do Rêgo Monteiro Filho; Diana Loureiro Paiva de Castro. Proteção de dados pessoais e cláusulas de não indenizar. Migalhas. Disponível aqui.

Breve introdução O Congresso Nacional aprovou no dia 20 de outubro de 2021 a Proposta de Emenda à Constituição n. 17/2019, que incluiu a proteção de dados pessoais no rol de direitos e garantias fundamentais. O novo inciso LXXIX assegura, nos termos da lei, o direito à proteção dos dados pessoais, inclusive nos meios digitais. Além da inclusão expressa da norma como direito fundamental, o artigo inclui a competência privativa da União para legislar sobre a matéria de proteção e tratamento de dados. A intenção dos autores que apresentaram o texto é a de evitar "a fragmentação e pulverização de assunto tão caro à sociedade (...)", evitando-se, assim, "dezenas, talvez milhares" - de conceitos legais sobre o que é "dado pessoal" ou sobre quem são os "agentes de tratamento" sujeitos à norma legal.1 Diante da proposta apresentada, já aprovada pelo Congresso Nacional e no aguardo de promulgação da norma, convém analisar os reais efeitos jurídicos dessa nova distribuição de competência, considerando os princípios inerentes ao federalismo, igualmente protegido por cláusula pétrea.  Centralização do tema na União Talvez a maior divergência verificada nas audiências públicas realizadas pela Câmara dos Deputados sobre o tema tenha sido justamente a inserção da regulamentação da proteção e do tratamento de dados na esfera de competência privativa da União ou em esfera concorrente. Alguns especialistas apontaram a necessidade ou vantagens da uniformização, como isonomia em relação à competência privativa em informática e telecomunicações (Sérgio Gallindo), o predomínio do interesse (Danilo Doneda) e até mesmo a redução de custos com compliance (Gileno Barreto).2 Outros especialistas, todavia, reconheceram a conveniência de manutenção de um espaço criativo subnacional (Bruna dos Santos), havendo preocupações pontuais com o sistema de dados utilizado por serviços de interesse local ou regional, como aplicativos de transporte (Bruno Bioni), com a competência democrática para a população local ou regional se manifestar sobre a proteção de dados em temas de seu interesse, por meio de conselhos representativos (Marina Pita), ou com engessamento de competências legislativas e administrativas transversais tais quais o  direito do consumidor ou  da criança e adolescente, para citar alguns (Cassiana de Carvalho).3 Com efeito, para a teoria federativa, o argumento colocado por esse segundo grupo de especialistas se mostra pertinente, pois reconhece o predomínio do interesse específico, a par do próprio poder, presente nos regimes federativos, de estabelecimento do nível mais elevado de proteção jusfundamental por parte dos entes dotados de autonomia federativa.4 Nesse sentido, apesar da louvável iniciativa da Câmara dos Deputados em ouvir a sociedade civil e os especialistas, sentiu-se falta da participação de constitucionalistas, uma vez que o sistema de direitos fundamentais e a forma de Estado brasileiro possuem suas particularidades e princípios de interpretação e aplicação, muito desenvolvidos pela doutrina e jurisprudência nacionais, com supedâneo na melhor doutrina estrangeira e direito comparado. Ao elevar um tema transversal como a proteção de dados a direito fundamental expresso, desenhado como norma de eficácia restringível (uma vez que a lei poderá restringir o alcance da proteção), atribuindo competência privativa a apenas um dos entes federativos, outras normas do sistema constitucional são impactadas. Como ficará a autonomia constituinte dos Estados-membros, uma vez que, no sistema federativo, deve prevalecer o nível mais elevado de proteção dos direitos fundamentais? Haverá alguma distinção no que toca à sua competência administrativa e legislativa, conforme se trate das impropriamente5 chamadas eficácias horizontal e vertical desse novo direito fundamental (ou seja, respectivamente eficácia na relação entre particulares e eficácia na relação entre particulares e o Estado)? E qual competência deverá prevalecer na hipótese de conflitos federativos, como no caso de leis transversais, como a proteção do consumo em matérias de competência privativa da União, como serviço de telecomunicações, trânsito e transporte? Os especialistas convidados e os próprios autores da PEC 17/2019 defenderam interesses específicos, espelhando-se em legislações e sistemas normativos distintos do Brasil. Parece bastante aceitável que um profissional de compliance esteja preocupado em ter que administrar o conhecimento de uma normatização pulverizada. Por outro lado, não se pode relevar a preocupação de empresas que recorrem a sistemas informatizados para prestação de serviços públicos de interesse local, tampouco olvidar o legítimo direito da sociedade local ou regional a decidir questões específicas que possam ser adotadas apenas localmente. O argumento econômico apresenta sentido, econômico. Ninguém desconsidera que o tema do fluxo de dados entre pontos situados em diferentes estados possa exigir uma regra uniforme. Mas a proteção e o tratamento de dados não se resumem ao fluxo de dados. Há diversas outras questões que devem ser analisadas. Se uma empresa se beneficia da economia de escala proporcionada pelo tamanho do país, é razoável que ela se prepare também para as diversidades que a Constituição desse país recepcionou e protegeu ao adotar o sistema federativo. Recentemente, por exemplo, verificou-se uma verdadeira guerra legislativa entre governo federal e governos estaduais e municipais no que se referia à proteção à saúde. Nessa oportunidade, o Supremo Tribunal Federal nada mais fez que implicitamente reconhecer o nível mais elevado de proteção à saúde, ou seja, no caso de normas federais conflitantes com normas estaduais, deveria prevalecer aquela que potencializasse os princípios da precaução e da proteção. O Tribunal reafirmou que, no campo de competências comuns e concorrentes, deve prevalecer o predomínio do interesse.6 Alguns podem objetar que, no caso da proteção de dados, a sua menção expressa nos artigos 21 e 22 evitaria qualquer espaço para atuação administrativa ou legislativa dos demais entes federativos. Mais uma vez cabe reforçar que, a despeito de qualquer orientação do STF nesse sentido, o tratamento pode ser outro quando se trata de direito fundamental. A propósito, o artigo 23, I, da Constituição Federal também confere competência comum para zelar pela guarda da Constituição, a par de o artigo 24 também prever competências concorrentes que podem conflitar com a novel competência privativa. O nível mais elevado de proteção do direito fundamental no Brasil A pretendida uniformização de tratamento do tema promovida pela PEC 17/2019, a despeito de sua plausibilidade, pode enfrentar algum óbice na teoria do federalismo, aplicável ao Brasil. É que, em um Estado federativo, com entes dotados de competência constituinte, os entes federados podem conferir maior proteção aos direitos fundamentais previstos na Constituição Federal. O que não podem é reduzir o alcance de proteção a tais direitos. Deveras, a possibilidade de ampliação do leque de proteção jusfundamental é corolário lógico do federalismo. Compreendido como Estado composto de Estados7, só existe federação quando os entes autônomos apresentem também os elementos essenciais para configuração do estado, ou seja, uma estatalidade. Entre tais elementos se encontra o poder constituinte (por alguns chamados "decorrente"), apenas limitado e subordinado ao poder constituinte originário. Característica básica para a existência de uma Constituição é a disciplina de direitos fundamentais, como reconhece o artigo 16 da Declaração dos Direitos do Homem e do Cidadão, que sobremaneira influenciou o constitucionalismo contemporâneo. Não haveria sentido admitir a estatalidade de uma sociedade política, como a de entes federados, portanto, se não se reconhecesse a eles um espaço para ampliar os direitos fundamentais. Assim fosse, não possuiriam rol próprio de direitos fundamentais, bastando aplicar os direitos previstos na Constituição Federal, tendo apenas competência para organização de poderes, o que o tornaria um Estado unitário descentralizado, não federativo. Assim, não se pode entender que a nova redação impeça a adoção de normas complementares que tenham por objetivo aumentar a proteção conferida pela Constituição Federal, especialmente na relação entre o poder público local e regional e o particular. Como se sabe, o modelo de federalismo adotado pelo Brasil é do tipo cooperativo e taxativo-central, ou seja, demarca competências taxativas da União, deixando aos Estados a competência residual.8 Desse modo, tudo aquilo que o poder constituinte originário não reservou expressamente à União, cabe aos Estados. Isso não impede que novos direitos fundamentais sejam reconhecidos pelo poder constituinte derivado, mas impede que sejam subtraídas competências implícitas concedidas aos Estados, como a de conferir maior proteção a direitos fundamentais, como a intimidade, a privacidade e ao próprio sigilo de dados. Nesse sentido, cabe sublinhar que, no caso da Carta de Direitos Fundamentais da União Europeia (CDFUE), a previsão contida em seu artigo 8º, que expressamente trata da proteção de dados, deve ser interpretada, no espaço eurocomunitário, à luz do artigo 53, que assegura o nível mais elevado de proteção jusfundamental. Segundo o referido artigo 53, o artigo 8º da CDFUE, bem como o Regulamento Geral de Proteção de Dados no Espaço Europeu, devem ser observados pelos Estados-Membros da União Europeia apenas quando estiverem aplicando o Direito da União.9 Cabe frisar que a União Europeia, apesar das discussões em torno de sua natureza quase estatal, apenas possui poderes de soberania delegados taxativamente pelos Estados-membros, não uma competência constituinte originária e ilimitada, como se verifica no caso brasileiro, em relação à Assembleia Nacional Constituinte de 1988. Conflitos federativos em temas transversais Outro espaço que continuará aberto para tratamento do tema pelos demais entes federativos é o da intervenção do poder público local ou estadual em temas transversais. Nesse ponto, o STF ainda oscila. Em casos análogos, em que uma lei estadual disciplina uma matéria para a qual o Estado possua competência, mas, ao mesmo tempo, afeta tema de competência privativa da União, ainda falta à Corte um critério que confira maior segurança jurídica para a solução do conflito. É o caso típico do direito do consumidor de serviços de telecomunicações. Há decisões em que o STF reconhece se tratar de relação de consumo e, portanto, aceita a intervenção estadual (ADI 5745). Em outros casos, a Corte entendeu haver invasão da competência privativa da União (ADI 5568). Ambos foram julgados em 2019. Como se vê, a busca pela uniformidade de tratamento na matéria em âmbito nacional resta comprometida quando nem mesmo o STF possui um critério claro para solução de conflitos federativos em caso de temas transversais que reclamem competências constitucionais paralelas. A nosso ver, tal solução deve se dar prestigiando a autonomia federativa dos entes subnacionais, a qual apenas deve ser restringida nesses casos quando houver flagrante intenção de invasão em competência privativa da União, ainda que de forma oblíqua, mas não quando, ao disciplinar tema de sua competência, apenas resvale o campo material da competência privativa. Assim, em matéria de transporte individual ou coletivo privado, direito do consumidor, proteção ao patrimônio público, saúde, educação, segurança pública ou proteção de direitos fundamentais, entre outras que competem aos entes subnacionais, eventual conflito com a competência privativa da União para legislar sobre proteção e tratamento de dados poderá ainda dar espaço a entes subnacionais.  Conclusão A restrição estabelecida pela PEC 17/19, com a colocação da matéria no rol de competências privativas da União, não impede a adoção de normas complementares por Estados e Municípios, especialmente por meio de suas Constituições ou Leis Orgânicas, que tenham por objetivo aumentar a proteção conferida pela Constituição Federal à privacidade, à intimidade e ao sigilo de dados, tampouco a edição de normas que, ao pretenderem regulamentar assuntos de sua competência, atinjam de maneira reflexa o tema da proteção e tratamento de dados, desde que não se reduza a proteção conferida aos direitos fundamentais envolvidos. Nem sempre a lei tem os efeitos que os legisladores pretenderam dar, pois o texto respira o ar de seu contexto, inclusive jurídico. Felizmente, a lei é mais sábia que o legislador. *Leonardo David Quintiliano é advogado. Professor de Direito Constitucional e Administrativo da Universidade Ibirapuera e da Escola Paulista de Direito. Associado Fundador e Pesquisador do IAPD - Instituto Avançado de Proteção de Dados. Especialista em Direito Constitucional pela Faculdade de Direito da Universidade de Lisboa. Mestre em Ciências Jurídico-Políticas pela Faculdade de Direito da Universidade de Lisboa. Doutor em Direito do Estado pela Faculdade de Direito da Universidade de São Paulo.  __________ 1 Cf. Senado Federal. PEC 17/2019. Disponível aqui. 2 Cf. Câmara dos Deputados. Relatório da Comissão Especial destinada a proferir parecer à Proposta de Emenda à Constituição n. 17/2019, p. 6 e 7. 3 Cf. Câmara dos Deputados. Relatório da Comissão Especial destinada a proferir parecer à Proposta de Emenda à Constituição n. 17/2019, p. 6 e 7. Disponível aqui. 4 Cf., QUINTILIANO, Leonardo David. Autonomia federativa: delimitação no direito constitucional brasileiro. 2012, p. 267. Disponível aqui. 5 Sobre as razões de tais impropriedades, cf. SOMBRA, Thiago Luís Santos. Supremo Tribunal Federal e a eficácia dos direitos fundamentais entre particulares. Revista da Procuradoria Geral do Estado de São Paulo, São Paulo, n. 65/66:29-86, jan./dez. 2007, p. 33.  6 Cf. STF. ADPF 672-DF. Rel. Min. Alexandre de Moraes. J. 13.10.2020. 7 Cf., QUINTILIANO, Leonardo David. Autonomia federativa...cit, p. 61. 8 Ibid., p. 88. 9 Cf., a respeito, nosso artigo intitulado: "O conflito entre os níveis nacionais de proteção jusfundamental e o direito  eurocomunitário à luz do artigo 53 da carta de direitos fundamentais da união europeia". UNIO/CONPEDI E-book 2017 Interconstitucionalidade: Democracia e Cidadania de Direitos na Sociedade Mundial - Atualização e Perspectivas. v. l. Braga - Portugal: 2018, p. 257. 

Nos diversos trabalhos dedicados à disciplina da proteção de dados, é usual que se aponte, para fins de registro histórico, a Lei do Estado alemão de Hesse como o primeiro texto legal a ser editado no mundo, no ano de 19701.   O exemplo serve para demonstrar o pioneirismo dos alemães no tratamento da matéria: mensagem que é acompanhada da informação de que no ano de 1977 seria editada a Lei Federal Alemã de Proteção de Dados (Bundesdatenschutzgesetz), e, no ano de 1983, o Tribunal Constitucional Federal (Bundesverfassungsgericht) pronunciaria, no âmbito da decisão do censo, o direito fundamental à autodeterminação informativa.  O objeto do presente texto é o de abordar o contexto em que a Lei de Hesse de 1970 foi editada, com destaque para a participação do jurista Spiros Simitis, bem como o seu conteúdo principal, de modo a investigar como foi estruturada e acerca do que efetivamente dispôs, colocando em evidência a criação da figura da autoridade de supervisão, ou comissário.  O contexto da edição da Lei de Hesse  Cogita-se que a elaboração de uma lei de proteção de dados no Estado de Hesse tenha sido motivada por um artigo publicado em 10.6.1969, no tradicional jornal Frankfurter Allgemeine Zeitung, de autoria de seu redator-chefe Hanno Kühnert, de formação jurídica, e que alertava para os perigos do lado sombrio dos computadores e dos bancos de dados2.  O articulista temia pela utilização totalitária das informações relacionadas aos cidadãos, e clamava por regras que disciplinassem o assunto.  Relata-se que chefe de governo do Estado de Hesse à época, Georg-August Zinn, leu o artigo de Hanno Kühnert e de pronto tomou a decisão de que editaria uma lei que disciplinasse a utilização das informações relacionadas ao cidadão3.  Mas a elaboração da Lei de Hesse não pode ser dissociada da figura de Spiros Simitis. Esse jurista nasceu na Grécia em 19.10.1934 e mudou-se para a Alemanha após o período escolar para cursar a Faculdade de Direito na tradicional Universidade de Marburg (1952-1956), localizada em Hesse, onde também concluiu seu doutorado4.  Interessante para os que se dedicam ao estudo do Direito Civil é descobrir que a tese de doutorado de Spiros Simitis, de nada mais nada menos do que 619 páginas(!) abordou o tema das relações contratuais de fato, desempenhando um relevante papel para uma figura jurídica que posteriormente seria superada na Alemanha5, mas que também obteve repercussão em Portugal e no Brasil6.  Posteriormente, realizou sua habilitação na Universidade de Frankfurt, mas iniciou a docência na Universidade de Giessen, vindo a receber um convite para voltar, como professor, para Frankfurt no ano de 1969, onde lecionou Direito Civil, Direito do Trabalho, Direito Europeu e Informática Jurídica com ênfase em proteção de dados.  Todas essas cidades de sua trajetória acadêmica se encontram em Hesse, de modo que Simitis sempre manteve a vinculação com esse Estado da federação alemã, onde vive até hoje.  Em 2015, Simitis concedeu entrevista à Revista da Universidade de Frankfurt, Forschung Frankfurt, oportunidade em que esclareceu os detalhes dos fatos que levaram à edição da Lei de Hesse7.  Simitis esteve diretamente envolvido com a edição da pioneira lei de 1970 e com a própria criação da disciplina da proteção de dados. É reconhecido internacionalmente como o "Pai da proteção de dados" ou "Prof. Dr. Proteção de Dados", qualificativos que aceita, pois entende que efetivamente participou ativamente do desenvolvimento da disciplina8.  Simitis relata que no final dos anos 1960, a Alemanha9, no contexto da modernização da área da saúde, empenhou-se na construção de diversos hospitais públicos. Essa iniciativa foi seguida com muita seriedade pelo governo do Estado de Hesse. E, como se tratava de hospitais que dispunham de uma multiplicidade de dados, especialmente de pacientes, o processamento automatizado das informações chegava no momento oportuno.  Sob a justificativa de uma maior eficiência no diagnóstico e tratamento dos pacientes, os dados pessoais seriam coletados e formariam bancos de dados centralizados. E aí está o ponto que fez de Hesse o Estado de vanguarda na proteção de dados, pois foi justamente lá onde a informatização e a automação da administração pública se encontravam bastante avançadas para os padrões da época. E, nesse ambiente, conforme enfatiza Simitis, os hospitais funcionaram como um primeiro pilar central do debate público acerca da proteção de dados.  O jurista de origem grega seria, no âmbito das discussões, convocado pelo chefe de governo de Hesse, com o pedido de que apresentasse uma proposta de legislação sobre proteção de dados.  A razão que levou ao seu chamamento, segundo ele próprio10, teria sido a publicação de um relevante e pioneiro artigo jurídico para os tempos de então, sob o título "Oportunidades de utilização de sistemas cibernéticos para o direito"11.  As publicações anteriores de Simitis não se dedicavam ao assunto, e é possível supor que jamais imaginasse que a repercussão de um único artigo de sua autoria pudesse guindá-lo à condição de autor do anteprojeto do que viria a ser a primeira lei do mundo de proteção de dados, e por consequência no reconhecimento de sua condição de pioneiro internacional da disciplina.  Atendendo ao convite formulado por Georg-August Zinn, prontamente redigiu o anteprojeto que passou por uma revisão interna no gabinete de governo, e, em alguns pontos modificado, para logo em seguida ser apresentado ao Parlamento de Hesse que em 07.10.1970 o aprovou e passou a vigorar em 13.10.197012.  Estrutura e conteúdo da Lei de Hesse: a figura da autoridade  A primeira lei do mundo, na sua versão original, não se notabilizou por sua extensão. Ela contemplou dezessete parágrafos distribuídos em três capítulos. Algo bastante diferente do que a Lei de Hesse, após diversas modificações, apresenta em 2021, uma vez que, na versão de sua última alteração, em 2018, contém cinco capítulos e noventa e um parágrafos.  Passa-se a destacar alguns dos dispositivos da lei originária.  O parágrafo primeiro estabelece regra sobre o que denomina "área da proteção de dados", estatuindo a abrangência da lei para todos os documentos confeccionados por meio de processamento automatizado de dados bem como para todos os dados armazenados e para o resultado de seu processamento. Esse dispositivo deixa claro, em sua parte final, que a lei se aplicava, e assim permaneceu até o ano de 2011, como se verá abaixo, exclusivamente ao setor público do Estado de Hesse.  O segundo parágrafo sob o título de "conteúdo da proteção de dados" estipula uma regra de segurança da informação, ao determinar que os documentos, dados e resultados referidos no parágrafo primeiro devem ser utilizados, compartilhados e conservados, de modo a vedar que pessoas não autorizadas os acessem, modifiquem ou os eliminem, o que deve ser implementado por meio de medidas técnicas.     E o parágrafo terceiro, por seu turno, contempla o dever geral de confidencialidade das pessoas que desempenhassem as funções de coleta, transmissão, armazenamento ou processamento automatizado de dados.  No parágrafo quarto foi disciplinado, sob a denominação de "pretensão à proteção de dados", e ainda que de forma incipiente, o que nos tempos atuais se conhece como direitos dos titulares de dados pessoais, expressos no dever do controlador de correção dos dados armazenados bem como no direito de restabelecimento da situação anterior sempre que ocorrer uma consulta, modificação ou eliminação irregular dos dados pessoais. A previsão de tutela inibitória em caso de ameaça também constou no dispositivo.  O parágrafo quinto dispõe sobre regras acerca de bancos de dados e sistemas de informação, contendo a diretriz de que deveria ser garantido, no âmbito da administração pública, a vedação a acessos ou à utilização de documentos, bem como aos dados e às inferências dos mesmos, a menos que houvesse vinculação com as atribuições do respectivo órgão ou entidade da administração. Com efeito, a questão da confidencialidade das informações é uma marca da lei.  No segundo capítulo da Lei de Hesse constou aquela que talvez tenha sido uma das maiores contribuições para a disciplina de proteção de dados, qual seja a previsão da autoridade de proteção de dados, na expressão em alemão, Datenschutzbeauftragter, e que Danilo Doneda traduziu por comissário de proteção de dados13.  Nesse contexto, é importante que se faça uma distinção por conta da terminologia utilizada na língua alemã, que pode levar a incompreensões quando se analisa a questão com base no quadro que temos no presente.  É que a palavra Datenschutzbeauftragter pode ser utilizada em três circunstâncias no sistema de proteção de dados alemão: ela designa, como no exemplo pioneiro de Hesse, a autoridade dos estados da federação, chamada Landesdatenschutzbeauftragter, no sentido de autoridade de proteção de dados que tem as atribuições de supervisão14, nos dias de hoje, tanto do setor público quanto do setor privado que tenha sede na respectiva unidade da federação.  A assunção da supervisão do setor privado pelos Landesdatenschutzbeauftragter se deu apenas a partir do ano de 2011, após modificações legislativas em reação à decisão do Tribunal de Justiça da União Europeia, que considerou insuficientes os mecanismos de fiscalização da atuação das pessoas jurídicas de direito privado.  Ao mesmo tempo, existe o Bundesdatenschutzbeauftragter, e que funciona como instância de controle independente para a supervisão da proteção de dados no setor público federal e em empresas que fornecem serviços postais e de telecomunicações.  E, por fim, há o Datenschutzbeauftragter, que é o que no Brasil se localiza na figura do encarregado no âmbito das pessoas jurídicas de direito privado e de direito público, não atuando, portanto, como autoridade, mas sim como ponto focal das questões internas relativas à proteção de dados das organizações bem como canal de comunicação com os titulares de dados pessoais15.   Para o modelo alemão que persiste até os dias de hoje no exemplo de Hesse, há a personificação da figura da autoridade, tanto do Landesdatenschutzbeauftragter quanto do Bundesdatenschutzbeauftragter, que goza de uma autonomia e de uma posição hierárquica com status do que no Brasil, na esfera estadual, estaria equiparado a uma secretaria de Estado. E, pelo menos no que toca a Hesse, desde a pioneira Lei de 1970, o Parlamento Estadual escolhe a pessoa que exercerá a função de autoridade16.  Uma curiosidade é que na versão atual da Lei de Hesse, a figura é tratada tanto como "ele", assim como "ela", não deixando dúvidas de que o cargo possa ser ocupado por um homem ou por uma mulher17.  Desde 2018, a Autoridade de Proteção de Dados de Hessen também acumula a função de supervisionar a garantia do acesso à informação aos cidadãos18.      Spiros Simitis marcou época na atuação como autoridade de proteção de dados do Estado de Hesse, posto que ocupou de 1975, após obter a cidadania alemã, até 1991. No transcurso de sua gestão, o Tribunal Constitucional Federal proferiu a decisão do censo (1983), em que reconheceu o direito fundamental à autodeterminação informativa. Simitis se refere à decisão como a "bíblia da proteção de dados" e o maior marco da disciplina, tendo chegado a afirmar que depois dessa decisão "não se brinca mais com a proteção de dados"19.  Simitis20 foi sucedido por outras importantes personalidades, como Winfried Hassemer, que deixou o cargo para se tornar juiz do Tribunal Constitucional Federal, e, desde janeiro de 2021, personifica o papel de autoridade de proteção de dados de Hesse o Prof. Alexander Roßnagel21, da Universidade de Kassel, que apresenta um extenso currículo de atuação na área.  Por fim, há que se fazer o registro de que o trabalho de Spiros Simitis deixou marcas de excelência, indeléveis na área de proteção de dados: uma herança que ressoa em todos os pontos do mundo, inclusive na nossa Lei Geral de Proteção de Dados, o que se pode constatar pelo exame da pioneira Lei de Proteção de Dados de Hesse de 1970.      FABIANO MENKE é advogado e consultor jurídico em Porto Alegre, professor associado de Direito Civil da Faculdade de Direito e do Programa de Pós-Graduação em Direito da Universidade Federal do Rio Grande do Sul - UFRGS. Doutor em Direito pela Universidade de Kassel, com bolsa de estudos de doutorado integral CAPES/DAAD. Membro titular do Comitê Nacional de Proteção de Dados e da Privacidade. Coordenador do Projeto de Pesquisa "Os fundamentos da proteção de dados na contemporaneidade", na UFRGS.  Membro Fundador do Instituto Avançado de Proteção de Dados - IAPD. Advogado. Instagram: menkefabiano ____________ 1 Ver, por todos, DONEDA, Danilo. Da privacidade à proteção de dados pessoais: elementos da formação da Lei geral de proteção de dados. 2ª ed. São Paulo: Thomson Reuters, 2019, p. 191. 2 DITTRICH, Monika. Eine Idee wird 50: Wie in Hessen der Datenschutz erfunden wurde. Disponível em https://www.deutschlandfunk.de/eine-idee-wird-50-wie-in-hessen-der-datenschutz-erfunden-100.html 3 Idem. 4 https://www.munzinger.de/search/portrait/Spiros+Simitis/0/15230.html 5 Sobre o ponto, ver: CANARIS, Claus-Wilhelm. O "contato social" no ordenamento jurídico alemão. Revista de Direito Civil Contemporâneo, vol. 16, ano 5. p. 211-219. São Paulo: Ed. RT, jul.-set. 2018.  6 A tese foi publicada sob o título: Die faktischen Vertragsverhältnisse als Ausdruck der gewandelten sozialen Funktion der Rechtsinstitute des Privatrechts. Frankfurt a. M.: Vittorio Klostermann, 1957. Em tradução livre, "As relações contratuais de fato como expressão transformadora da função social dos institutos jurídicos de direito privado". No Brasil, a título de exemplo, ver o texto da Profa. Vera Fradera em homenagem à obra e aos julgados do Min. Ruy Rosado de Aguiar Júnior, em que cita a acolhida das relações contratuais de fato na jurisprudência do STJ com inspiração na doutrina de Clóvis do Couto e Silva: https://www.conjur.com.br/2019-dez-16/direito-civil-atual-contribuicao-ruy-rosado-junior-magistrado-parte-ii#sdfootnote6sym 7 Ver entrevista de Spiros Simitis, concedida à Revista Forschung Frankfurt: Das Wissenschaftsmagazin der Goethe-Universität, vol. 1/2015, disponível em www.forschung-frankfurt.uni-frankfurt.de 8 Idem. 9 Recorde-se que no final da década de 1960 a Alemanha estava dividida em Alemanha Ocidental e Alemanha Oriental. O depoimento de Simitis se refere à Alemanha Ocidental (Bundesrepublik Deutschland). 10 Entrevista disponível em https://netzpolitik.org/2015/spiros-simitis-man-spielt-nicht-mehr-mit-dem-datenschutz/ 11 Tradução livre do título da seguinte publicação: SIMITIS, Spiros. Rechtliche Anwendungsmöglichkeiten kybernetischer Systeme. Mohr: Tübingen, 1966. 12 Entrevista de Spiros Simitis à Revista Forschung Frankfurt: Das Wissenschaftsmagazin der Goethe-Universität, vol. 1/2015, disponível em www.forschung-frankfurt.uni-frankfurt.de  13 DONEDA, Danilo. Da privacidade à proteção de dados pessoais: elementos da formação da Lei geral de proteção de dados. 2ª ed. São Paulo: Thomson Reuters, 2019, p. 308. 14 A competência pela supervisão das atividades do que hoje se denomina agentes de tratamento de dados pessoais foi estabelecida no § 10, 1, da Lei de Hesse de 1970. A regra estipula que a autoridade de proteção de dados supervisiona a observância das regras da lei e das demais disposições legais sobre o tratamento confidencial de informações relacionadas aos cidadãos. Na parte final do dispositivo consta ainda que a autoridade instruirá as repartições públicas do Estado acerca de violações e sugere medidas para aprimorar a proteção de dados. 15 A teor do que determina o art. 38 do Regulamento Europeu de Proteção de Dados.  16 Na lei originária, o §7º, I contemplava a forma de eleição da autoridade por parte do Parlamento, após sugestão do chefe de governo, e na lei atual dispositivo equivalente consta no § 9º. 17 Já no título do Capítulo IV da Lei de Hesse em vigor consta o artigo "a" ou "o" para designar a autoridade, ou comissária(o) de proteção de dados. No original: "Die oder der Hessische Datenschutzbeauftragte". 18 Temática que no Brasil é regrada pela Lei de Acesso à Informação, Lei Federal nº 12.527, de 18.11.2011. Note-se que no Brasil não existem autoridades centrais dedicadas ao assunto. 19 Entrevista disponível em https://netzpolitik.org/2015/spiros-simitis-man-spielt-nicht-mehr-mit-dem-datenschutz/ 20 Vale à pena a leitura dos comentários ao Regulamento Europeu de Proteção de Dados, de autoria de Spiros Simitis em conjunto com Indra Spiecker e Gerrit Hornung, estes últimos professores atuantes no Estado de Hesse. SIMITIS, Spiros; HORNUNG, Gerrit; SPIECKER, Indra. (Org.): Datenschutzrecht: DSGVO mit BDSG. Nomos: Baden-Baden, 2019. 21 Para a biografia do Prof. Alexander Roßnagel: https://datenschutz.hessen.de/ueber-uns/biografie-der-hessische-datenschutzbeauftragte

1 Breve introdução A Lei Geral de Proteção de Dados (LGPD) impacta, expressivamente, no modo como as organizações gerenciam as informações pessoais capazes de identificar os cidadãos brasileiros1. Estabelecendo e instrumentalizando a dinâmica que contribui para o incremento da importância e do valor dos dados pessoais no capitalismo informacional. A fim de reequilibrar estes interesses, a LGPD estabelece dez princípios materiais, balizadores das atividades de tratamento de dados pessoais, além da boa-fé objetiva, são eles: finalidade, adequação, necessidade, livre acesso, qualidade dos dados, transparência, segurança, prevenção, não discriminação, responsabilização e prestação de contas (art. 6º).2 Vale repassar, ainda, que seu art. 2° relaciona os fundamentos da proteção de dados pessoais, devendo, o tratamento de dados pessoais, ser lastreado no respeito à privacidade; à autodeterminação informativa; à liberdade de expressão, de informação, de comunicação e de opinião; à inviolabilidade da intimidade, da honra e da imagem; ao desenvolvimento econômico e tecnológico e a inovação; à livre iniciativa, livre concorrência e defesa do consumidor; e aos direitos humanos, livre desenvolvimento da personalidade, dignidade e exercício da cidadania pelas pessoas naturais. Outrossim, a LGPD propugna por buscar a adequação e o cumprimento pelos agentes de tratamento de dados dos dispositivos legais por meio de modelos apropriados e da adoção efetiva de melhores práticas na governança de dados3, sempre visando resguardar a específica proteção jurídica diante da "hipervulnerabilidade" do titular de dados pessoais. Diante deste contexto, é inegável que os serviços extrajudiciais de notas e de registro realizam diversas das atividades descritas no inc. X do art. 5º da LGPD, tais como a coleta, produção, classificação, acesso reprodução arquivamento, armazenamento, avaliação ou controle de informação, para citar algumas. Portanto, o Legislador não poderia deixar de mencionar a aplicação da LGPD aos cartórios extrajudiciais. Nesse sentido, os §4º e §5º do art. 23, da LGPD, fazem referência expressa aos notariais e de registro, equiparando-os ao Poder Público consoante o capítulo IV da LGPD, que disciplina algumas regras específicas sobre o tratamento de dados realizados pelas pessoas jurídicas de direito público. No entanto, surge o intenso debate sobre a aparente contradição que existiria entre os princípios elencados pela LGPD e o princípio da publicidade registral, tal como previsto no art. 17 da Lei de Registros Públicos (Lei n. 6.015/73). Sob este olhar, é importante analisar o tratamento de dados pessoais realizado pelos serviços notariais e de registro, serviços que assumem especial importância no cotidiano da sociedade, seja pelo viés dos indivíduos, seja pelo das empresas e, ainda, pelo Poder Público, haja vista o intenso compartilhamento de dados entre os cartórios extrajudiciais e órgãos públicos. Um ponto de partida para esta análise é que os dados pessoais tratados, neste cenário, "são para o exercício de finalidade pública essencial, a fim de conferir a estabilidade de relações jurídicas, bem como garantir a eficácia formal e substancial por meio da realização de registros pelos delegados de fé pública."4 De outro lado, importante pontuar que o art. 1° da Lei 8.935, de 18 de novembro de 1994 (Lei dos Notários e Registradores), relaciona que os serviços notariais e de registro são destinados a garantir a publicidade, autenticidade, segurança e eficácia dos atos jurídicos. Portanto, tais atividades devem observar os princípios elencados na legislação específica, com destaque para o princípio da publicidade. Assim, no que tange ao princípio da publicidade dos atos praticados, é imperiosa a análise da existência de aparente conflito e riscos, que devem ser considerados sob o prisma da proteção de dados pessoais. 2 Dicotomia: proteção de dados pessoais e proteção à privacidade versus transparência e publicidade Preliminarmente, deve-se evidenciar a distinção entre proteção de dados pessoais e privacidade, cuja distinção foi tratada nesta coluna.5 O direito à proteção dos dados pessoais, por sua vez, é uma evolução do direito à privacidade, sintetizado por Stefano Rodotà,6 que destaca as quatro fases de evolução do direito à privacidade, a saber: 1) do direito de ser deixado só ao direito de manter o controle sobre suas próprias informações; 2) da privacidade ao direito à autodeterminação informativa; 3) da privacidade a não discriminação; 4) do segredo ao controle. Cumpre trazer à baila, a distinção entre o direito à privacidade e o direito à proteção de dados pessoais. Em suma, pode-se dizer que o direito à privacidade é construído em torno da liberdade de o indivíduo não sofrer ingerências alheias, lhe sendo facultado retrair aspectos de sua vida ao domínio público, tendo como escopo, portanto, resguardar parcela da vida privada. Enquanto o direito à proteção de dados pessoais, direito fundamental7 decorrente do corolário da dignidade da pessoa humana8, tem como objeto a proteção dos titulares dos dados pessoais, possibilitando, desta maneira, que exerçam o acesso e controle de suas informações e impedindo que sejam tratados em desacordo com as regras e códigos de conduta.9 Nesse diapasão, a LGPD relaciona, no art. 2º, inciso II, a autodeterminação informativa, como um dos fundamentos da disciplina da proteção de dados. Sua inspiração é a dogmática alemã, uma vez que, foi naquele país onde efetivamente se tornou conhecido e se desenvolveu com profundidade, a partir do julgamento, pelo Tribunal Constitucional Alemão, da decisão do censo do ano de 1983. A autodeterminação informativa busca conceder ao indivíduo o poder para que ele possa decidir acerca da divulgação e utilização de seus dados pessoais como tratado nesta coluna.10 Para além, a LGPD traz em seu bojo, uma série de princípios que servem como norte para a atividade de tratamento de dados pessoais. Dentre estes, damos destaque ao princípio da transparência, expresso no art. 6°, inciso VI, da LGPD, que é a garantia relacionada à ciência do titular quanto ao tratamento de seus dados pessoais por terceiros. Da mesma forma, a transparência é exigida em todo processo de tratamento de dados, como se verifica no § 1° do art. 9°, § 2° do art. 10 e art. 40. Ressalte-se que a publicidade, desdobramento do princípio da transparência, encontra-se prevista no art. 11, § 2º, art. 23, § 1º, art. 27, inciso II e art. 33, inciso VII da LGPD11. É justamente ante a este novo paradigma de tratamento de dados trazido, que resta evidente que toda operação de tratamento de dados realizada pelos serviços notariais e de registro deve observar os objetivos, fundamentos e princípios previstos na LGPD como salientado no Provimento 23/2021 que incorporou regras específicas às Normas de Serviços Extrajudiciais pela Corregedoria Geral de Justiça do Estado de São Paulo (tema analisado nesta coluna)12. Importante pontuar, ainda, que os serviços notariais e de registro são exercidos em caráter privado, por delegação direta do poder público, conforme previsão do artigo 236 da Constituição Federal, sendo regulamentados por leis específicas, como a Lei de Registros Públicos, a Lei dos Notários e Registradores, Normas de Serviços Extrajudiciais, Provimentos do CNJ, dentre outras. Por outro lado, a transparência e a publicidade, importantes para viabilizar a segurança jurídica, ao controle da Administração Pública, a última mencionada expressamente no caput do art. 37 da CF/88, impõe a disponibilização de determinadas informações como evidenciado na Lei de Acesso à Informação (LAI - Lei n. 12.527/11)13. Este debate esbarra automaticamente no princípio da publicidade registral. 3 Publicidade registral O art. 17 da Lei dos Registros Públicos determina: "Qualquer pessoa pode requerer certidão do registro sem informar ao oficial ou ao funcionário o motivo ou interesse do pedido." Além disso, o art. 16, § 1º da mesma lei impõe aos oficiais a obrigação de lavrar certidões do que lhes for requerido. Tais dispositivos parecem colidir com a LGPD em uma leitura apressada. No entanto, alguns pontos devem ser levantados: - a LGPD garante um sigilo ou segredo ao titular de dados? - a expedição de certidão deve ser considerada compartilhamento de dados pessoais? e  - quais são os caminhos possíveis para harmonizar os princípios da Lei de Registros Públicos com a LGPD? A primeira indagação pode ser respondida negativamente, ou seja, a LGPD não traz no rol dos direitos previstos no art. 18 o direito ao sigilo ou ao segredo das informações. A segunda reflexão, ainda mais complexa, a certidão é o instrumento para a eficácia do princípio da publicidade atingindo, portanto, a segurança jurídica que se espera.14 Para tanto, resgata-se o conceito de uso compartilhado de dados pessoais previsto no inc. XVI do art. 5º da LGPD, ou seja, é a interconexão de dados pessoais por órgãos e entidades públicos no cumprimento de suas competências legais, ou entre esses e entes privados, com uma autorização específica. Assim, quando o cartório envia informações solicitadas por órgãos públicos, trata-se de uso compartilhado de dados pessoais para o qual se deve ter uma autorização legal específica, além de manter tais informações no controle de fluxo de dados pessoais da serventia atualizado a fim de cumprir o direito dos titulares de dados em receber informações sobre compartilhamento de seus dados pessoais como assegurado no inc. VII do art. 18 da LGPD. No entanto, se uma pessoa pede uma certidão em um cartório, ao emitir esta certidão, o cartório estaria compartilhando dados? Entendemos, por se tratar de uma atividade fim dos serviços extrajudiciais, não se trata de uso compartilhado de dados, e sim observância dos deveres estabelecidos pela lei em observância do princípio da publicidade. Não estando o titular da serventia obrigado a informar quantas certidões e para quem tais certidões foram emitidas. Todavia, ainda que não seja uso compartilhado de dados a expedição de certidão para particular, o titular da serventia extrajudicial deve se acautelar exigindo o requerimento do solicitante e a descrição da finalidade para convergir o princípio da publicidade registral com o princípio da finalidade estabelecido no inc. I do art. 6º da LGPD. Conclusão A caminhada para a compreensão global da LGPD e sua intersecção em diversos setores é longa, ainda há muito para se debater e construir. Assim, deve-se conciliar os princípios previstos na LGPD com os princípios assegurados na Lei de Registros Públicos e os previstos na Lei dos Notários e Registradores, bem como outros em legislação específica e nas normas de serviços extrajudiciais das Corregedorias de Justiça dos Tribunais de Justiça. O que nos parece não haver nenhum óbice, observadas as peculiaridades dos serviços extrajudiciais. _____________ 1 RUIZ, Evandro Eduardo Seron. Análise de Princípios de Gerenciamento de Dados Pessoais para a modelagem e Implementação da LGPD. In: LIMA, Cintia Rosa Pereira de (Coord). ANPD e LGPD: Desafios e Perspectivas. São Paulo, SP: Editora Almedina, 2021. pp. 233 - 249. 2 Cf. LIMA, Cíntia Rosa Pereira de. Autoridade Nacional de Proteção de Dados e a Efetividade da Lei Geral de Proteção de Dados. São Paulo: Almedina, 2020. pp. 168 - 209. 3 SIMÃO FILHO, Adalberto, RODRIGUES, Janaina de Souza Cunha e LIMA, Marilia Ostini Ayello Alves de. A Governança e o registro de dados em LGPD sob a ótica da tomada de decisão estratégica, calcada na experiência "Gambito da Rainha". In: Direito, governança e novas tecnologias III [Recurso eletrônico on-line] organização CONPEDI Coordenadores: Aires Jose Rover; Danielle Jacon Ayres Pinto; Henrique Ribeiro Cardoso - Florianópolis: CONPEDI, 2021. Disponível em: http://site.conpedi.org.br/publicacoes/276gsltp/d908sd02/SJWH86sd223LrXz8.pdf Acesso em: 01 de novembro de 2021. 4 DONEDA, Danilo; BACHUR, João Paulo e FUJIMOTO, Mônica. As centrais de cartórios e os riscos à proteção de dados pessoais: Centralização do sistema registral é incompatível com as disposições da LGPD. 5 Cf. LIMA, Cíntia Rosa Pereira de. Políticas de proteção de dados e privacidade e o mito do consentimento. Migalhas de Proteção de Dados. Disponível em: https://www.migalhas.com.br/coluna/migalhas-de-protecao-de-dados/338947/politicas-de-protecao-de-dados-e-privacidade-e-o-mito-do-consentimento. Acesso em: 10 de novembro de 2021. 6 Persona, riservatezza, identità. Prime note sistematiche sulla protezione dei dati personali. Rivista Critica del Diritto Privato, anno XV, n. 1, março 1997, pp. 583 - 609. pp. 588 - 591. 7 A Proposta de Emenda à Constituição (PEC) n° 17/2019, recentemente aprovada pelo Senado Federal e que aguarda sua promulgação, insere o inciso XII-A, ao art. 5º, e o inciso XXX, ao art. 22, da Constituição Federal incluindo a proteção de dados pessoais entre os direitos fundamentais do cidadão. 8 No dia 07 de maio de 2020, o Supremo Tribunal Federal, na Ação Direta de Inconstitucionalidade (ADI) 6387, afirmou ser o direito à proteção de dados um direito fundamental. Disponível em: https://jurisprudencia.stf.jus.br/pages/search?base=acordaos&pesquisa_inteiro_teor=false&sinonimo=true&plural=true&radicais=false&buscaExata=true&page=1&pageSize=10&queryString=ADI%206387&sort=_score&sortBy=desc, Acesso em: 30 de julho de 2021. 9 LIMA, Cíntia Rosa Pereira de. Da inviolabilidade da cláusula de não indenizar em matéria de proteção de dados. In: FALEIROS JÚNIOR, José Luiz de Moura; LONGHI, João Victor Rozatti; GUGLIARA, Rodrigo (Coords). Proteção de dados pessoais na sociedade da informação: entre dados e danos. Indaiatuba, SP: Editora Foco, 2021. p. 397-404. 10 MENKE, Fabiano. Coluna Migalhas de Proteção de Dados. As origens alemãs e o significado da autodeterminação informativa. https://www.migalhas.com.br/coluna/migalhas-de-protecao-de-dados/335735/as-origens-alemas-e-o-significado-da-autodeterminacao-informativa Acesso em: 01 de novembro de 2021. 11 DE LUCCA, Newton. MACIEL, Renata Mota. A Lei n° 13.709, de 14 de agosto de 2018: a Disciplina Normativa que faltava. In Direito e Internet IV, SIMÃO FILAHO, Adalberto, DE LUCCA, Newton e LIMA, Cíntia Rosa Pereira de (Coords.) São Paulo: Quartier Latin, 2019. pp.21 -50. 12 SILVA, José Marcelo Tossi. O provimento 23/2020 da Corregedoria Geral da Justiça do Estado de São Paulo: a LGPD e os serviços extrajudiciais de notas e de registro. Migalhas de Proteção de Dados, sexta-feira, 05 de março de 2021. Disponível em: https://www.migalhas.com.br/coluna/migalhas-de-protecao-de-dados/341184/o-provimento-23-2020-da-corregedoria-geral-da-justica-do-estado-de-sp. Acesso em 10 de novembro de 2021. 13 Sobre o debate LGPD e LAI vide OLIVEIRA, Cristina Godoy Bernardo de; ANDRADE JÚNIOR, Luiz Carlos. A responsabilidade civil do estado por danos no tratamento de dados pessoais: LGPD & LAI. Migalhas de Proteção de Dados, sexta-feira, 13 de novembro de 2021. Disponível em: https://www.migalhas.com.br/coluna/migalhas-de-protecao-de-dados/336327/a-responsabilidade-civil-do-estado-por-danos-no-tratamento-de-dados-pessoais--lgpd---lai, Acesso em: 10 de novembro de 2021. 14 CENEVIVA, Walter. Lei dos Registros Públicos Comentada. 20ª ed. São Paulo: Saraiva, 2010. p. 55. CENEVIVA, Walter. Lei dos Notários e dos Registradores Comentada. 8ª. Ed. São Paulo: Saraiva, 2010. p. 40.

O tema da proteção de dados é cada vez mais discutido nos diversos setores da sociedade. Esse interesse ocorre porque há uma maior consciência de que o uso indevido de dados pode acarretar severos danos, bem como em função dos cada vez mais comuns vazamentos de dados noticiados pelas mídias. É nesse cenário que surgiu a Lei Geral de Proteção de Dados no Brasil, em vigor desde setembro de 2020. Uma das novidades trazidas com o surgimento da LGPD é a criação da Autoridade Nacional de Proteção de Dados (ANPD), órgão responsável pela fiscalização da referida Lei. Por se tratar, todavia, de uma lei nova, surgem questionamentos sobre quais seriam os seus limites de atuação. Diante desse cenário de dúvidas, o presente artigo busca analisar o papel da ANPD, examinando quais seriam os limites dos seus poderes fiscalizador e sancionador. Cabe fazer, inicialmente, uma breve conceituação da ANPD. Nos termos do artigo 5º, inciso XIX, da LGPD, trata-se de órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento da LGPD em todo o território nacional.1 O estabelecimento de uma autoridade verdadeiramente independente, autônoma e com corpo técnico qualificado é o desafio fundamental para que a regulação do tema ocorra de forma apropriada.2 Em 27 de agosto de 2020, foi publicado o decreto 10.474/2020, que aprovou a Estrutura Regimental e o Quadro Demonstrativo dos Cargos em Comissão e das Funções de Confiança da ANPD. Tal decreto, no seu artigo primeiro, reiterou a característica de autonomia técnica e decisória da autoridade nacional.3 Por fim, em 20 de outubro de 2020, o Plenário do Senado aprovou, após sabatina, os nomes indicados pelo governo para compor a primeira diretoria da ANPD. Quanto à sua estrutura, a ANPD é composta, nos termos do art. 55-C da LGPD, de um Conselho Diretor; um Conselho Nacional de Proteção de Dados Pessoais e da Privacidade; corregedoria; ouvidoria; órgão de assessoramento jurídico próprio; e unidades administrativas e especializadas necessárias à aplicação do disposto na LGPD. A criação da ANPD pode garantir ao Brasil a condição de se inserir no mercado informacional em igualdade de condições, já que suas empresas poderão receber informações de outros países que adotem a lei de proteção de dados pessoais quando necessário para sua atuação.4 Nesse sentido, o fluxo livre de dados pessoais entre o Brasil e os países do bloco europeu poderia, inclusive, facilitar o ingresso do país na OCDE - Organização para a Cooperação e Desenvolvimento Econômico.5 No que concerne ao seu poder fiscalizador, cabe destacar que recentemente, no final de outubro de 2021, foi aprovado o Regulamento de Fiscalização e Aplicação de Sanções Administrativas, através da Resolução CD/ANPD Nº 1º/2021. Destaca-se o parágrafo único do artigo 16 dessa Resolução, que afirma que a fiscalização da ANPD promoverá o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança, de forma a disseminar boas práticas, nos termos da LGPD, sem prejuízo de eventual sanção administrativa em caso de descumprimento da Lei.6 A respeito dessa questão de boas práticas, a ANPD, no intuito de orientar para que haja um efetivo tratamento dos dados pessoais, disponibilizou, recentemente, Guia de Boas Práticas para Implementação na Administração Pública Federal7, cartilhas de Segurança para a Internet8 e Guia Orientativo para Definições dos Agentes de Tratamento de Dados Pessoais e do Encarregado9. Trata-se, pois, de uma atuação preventiva da autoridade nacional, com o objetivo de implementar medidas de boas práticas e governança, a fim de que haja uma adequação à LGPD. Ressalta-se ainda que a ANPD exerce o papel de órgão central, sendo lhe atribuída não apenas a primazia na uniformização de conceitos, na interpretação e na aplicação na LGPD, mas também um papel construtivo com outros órgãos públicos com competências correlatas.10 A esse respeito, o artigo 2, § 3º, do Decreto 10.474/2020, prevê um dever de coordenação entre a ANPD e os órgãos e entidades públicos responsáveis pela regulação de setores específicos da atividade econômica e governamental, com o objetivo de assegurar o cumprimento de suas atribuições e o tratamento de dados pessoais.11 Isso já está ocorrendo: nesse sentido, a ANPD e a Secretaria Nacional do Consumidor (SENACON) firmaram um acordo de cooperação técnica que tem por objetivo proteger os dados do consumidor no Brasil, no qual as duas entidades pretendem alinhar esforços e reforçar as fiscalizações, de forma a evitar incidentes de segurança.12 Tal cooperação já está dando resultado: após recomendação destes órgãos, o Whatsapp se comprometeu a realizar algumas mudanças em sua política de privacidade direcionada aos usuários brasileiros, que previa originalmente o compartilhamento de mais dados com o Facebook.13 Outro convênio realizado foi com o Conselho Administrativo de Defesa Econômica (CADE), em que foi assinado um Acordo de Cooperação Técnica, com o objetivo de combater as atividades lesivas à ordem econômica e incentivar a disseminação da cultura da livre concorrência nos serviços que exigirem a proteção de dados pessoais.14 E quanto ao seu papel sancionador? O artigo 52 da LGPD estabelece que controlador e o operador ficam sujeitos às sanções administrativas aplicáveis pela autoridade nacional em razão das infrações cometidas às normas previstas. Nesse ponto, fica clara a intenção de atribuir centralidade a um único órgão, em nível federal, a fim de que se possa fazer valer as regras da LGPD.15 As sanções aplicáveis podem ser, por exemplo, desde advertências, com indicação de prazo para adoção de medidas corretivas, até multa simples, de até 2% do faturamento, limitada a R$ 50.000.000,00, e proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. A fim de se evitar uma "indústria da multa", em que o órgão que aplicaria a sanção estaria "interessado" no proveito econômico dessa penalidade, o produto da arrecadação das multas aplicadas pela ANPD será destinado ao Fundo de Defesa de Direitos Difusos16, nos termos do artigo 52, § 5º, da LGPD. Tendo em vista que a ANPD inicia sua atuação sancionadora após a aprovação do Regulamento de Fiscalização e de Aplicação de Sanções Administrativas e que a resolução que a aprovou foi publicada em 29 de outubro de 2021, a Autoridade ainda não aplicou nenhuma multa administrativa. Por outro lado, na União Europeia, em que o Regulamento Geral de Proteção de Dados entrou em vigor em 2018, já há diversos casos com condenação pelo tratamento indevido de dados. Recentemente, a Amazon foi multada em 746 milhões de euros - recorde na União Europeia - por não estar em conformidade com o RGPD.17 Além disso, cabe destacar que a multa aplicada pela ANPD pode ser cumulada com a de outros órgãos, como a do SENACON, observadas as suas competências. Nesse sentido, os § 2º e § 3º do artigo 52, da LGPD, são claros ao afirmar, respectivamente, que as sanções podem ser aplicadas de forma cumulativa e que o seu dispositivo não substitui a aplicação de sanções administrativas, civis ou penais definidas na lei 8.078/1990 (Código de Defesa do Consumidor), e em legislação específica.18 Nesse mesmo sentido, o CDC ressalta, no seu artigo 56, que "as infrações das normas de defesa do consumidor ficam sujeitas, conforme o caso, às seguintes sanções administrativas, sem prejuízo das de natureza civil, penal e das definidas em normas específicas." Oportuno ressaltar que a aplicação de multa será utilizada como última alternativa, conforme afirmado pelo próprio Diretor-Presidente do Conselho Diretor da ANPD ao ser sabatinado pela Comissão de Infraestrutura do Senado.19 Assim, pode-se afirmar que a autoridade nacional somente deverá utilizar o seu poder sancionador quando o seu poder fiscalizador não for suficiente para que haja conformidade à LGPD. Desse modo, espera-se que tal poder seja utilizado de forma prudente, pois será um sinal de que os agentes - tanto públicos, quanto privados - estarão buscando a adequação à cultura da proteção de dados. Contudo, se depender do bom começo de atuação da ANPD, que, embora tenha sido nomeada apenas recentemente, já está cumprindo com seu papel fiscalizador, a tendência é que o poder sancionador não seja de fato tão aplicado. *Rafael Dresch é mestre pela UFRGS em Direito Privado. Doutor em Direito na PUC/RS, com estágio doutoral na University of Edinburgh/UK, Pós-doutor na University of Illinois/US e professor da UFRGS. Sócio-fundador do Coulon, Dresch e Masina Advogados. Associado Fundador do IAPD - Instituto Avançado de Proteção de Dados. Linkedin: https://www.linkedin.com/in/rafaeldresch/ | Instagram: @dreschrafael. **Gustavo da Silva Melo é mestrando em direito civil e empresarial pela Universidade Federal do Rio Grande do Sul - UFRGS. Especialista em responsabilidade civil, contratos e direito imobiliário pela PUCRS. Graduado em Ciência Jurídicas e Sociais pela UFRGS. Advogado. __________ 1 XIX - autoridade nacional: órgão da administração pública responsável por zelar, implementar e fiscalizar o cumprimento desta Lei em todo o território nacional.   2 TEFFÉ, Chiara Spadaccini de; VIOLA, Mário. Proposta para a criação da Autoridade Brasileira de Proteção aos Dados Pessoais. Instituto de Tecnologia & Sociedade do Rio. Disponível aqui. Acesso em: 18 ago. 2021. 3 Art. 1º A Autoridade Nacional de Proteção de Dados - ANPD, órgão integrante da Presidência da República, dotada de autonomia técnica e decisória, com jurisdição no território nacional e com sede e foro no Distrito Federal, tem o objetivo de proteger os direitos fundamentais de liberdade e privacidade e o livre desenvolvimento da personalidade da pessoa natural, orientada pelo disposto na lei 13.709, de 14 de agosto de 2018. 4 LIMA, Cíntia Rosa Pereira de. Autoridade nacional de proteção de dados e a efetividade da Lei Geral de Proteção de Dados: de acordo com a Lei Geral de Proteção de Dados (lei 13.709/2018 e as alterações da lei 13.853/2019), o Marco Civil da Internet (lei 12.965/2014) e as sugestões de alteração do CDC (PL 3.514/2015). São Paulo: Almedina, 2020, p. 304. 5 DONEDA, Danilo. A Autoridade Nacional de Proteção de Dados e o Conselho Nacional de Proteção de Dados. In: BIONI, Bruno et al. (Org.). Tratado de Proteção de Dados Pessoais. 1ª ed. São Paulo: Editora Forense, 2020. E-book. 6 Parágrafo único. A fiscalização da ANPD promoverá, junto aos titulares de dados e aos agentes de tratamento, o conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança, de forma a disseminar boas práticas, nos termos da LGPD. In: BRASIL. ANPD. Resolução CD/ANPD Nº 1, de 28 de outubro de 2021. Disponível aqui. Acesso em: 04 nov. 2021. 7 Disponível aqui. 8 Disponível aqui. 9 Disponível aqui. 10 WIMMER, Miriam. Os desafios da enforcement na LGPD: fiscalização, aplicação de sanções administrativas e coordenação intergovernamental. In: BIONI, Bruno et al. (Org.). Tratado de Proteção de Dados Pessoais. 1ª ed. São Paulo: Editora Forense, 2020. E-book. 11 § 3º A ANPD e os órgãos e entidades públicos responsáveis pela regulação de setores específicos da atividade econômica e governamental devem coordenar suas atividades, nas respectivas esferas de atuação, com vistas a assegurar o cumprimento de suas atribuições com a maior eficiência e promover o adequado funcionamento dos setores regulados, conforme legislação específica, e o tratamento de dados pessoais, na forma da lei 13.709, de 2018. 12 PEDUZZI, Pedro. Senacon e ANPD assinam acordo para proteção de dados do consumidor. Agência Brasil, 22 mar. de 2021. Disponível aqui. Acesso em: 25 ago. de 2021. 13 G1. WhatsApp deve atualizar política de privacidade no Brasil após pedidos de órgãos públicos. Disponível aqui. Acesso em: 25 ago. de 2021. 14 BRASIL. ANPD. ANPD e CADE assinam Acordo de Cooperação Técnica. Disponível aqui. Acesso em: 30 ago. de 2021. 15 WIMMER, Miriam. Os desafios da enforcement na LGPD: fiscalização, aplicação de sanções administrativas e e coordenação intergovernamental. In: BIONI, Bruno et al. (Org.). Tratado de Proteção de Dados Pessoais. 1ª ed. São Paulo: Editora Forense, 2020. E-book. 16 LIMA, Cíntia Rosa Pereira de. As funções da autoridade nacional de proteção de dados e as sanções previstas na LGPD. In:  FRANCOSKI, Denise de Souza Luiz; TASSO, Fernando Antônio (Coords.). A Lei Geral de Proteção de Dados Pessoais: LGPD - Ed. 2021. São Paulo: Revista dos Tribunais. E-book. 17 LEGGETT, Theo. Amazon hit with $886m fine for alleged data law breach. BBC, 30 jul. de 2021. Disponível aqui. Acesso em: 17 ago. de 2021.  18 § 1º As sanções serão aplicadas após procedimento administrativo que possibilite a oportunidade da ampla defesa, de forma gradativa, isolada ou cumulativa, de acordo com as peculiaridades do caso concreto e considerados os seguintes parâmetros e critérios: (...) § 2º O disposto neste artigo não substitui a aplicação de sanções administrativas, civis ou penais definidas na Lei nº 8.078, de 11 de setembro de 1990, e em legislação específica. 19 MELO, Karine. Indicado à Agência Proteção de Dados destaca dever de proteger cidadão. Agência Brasil, 19 out. de 2021. Disponível aqui. Acesso em: 26 ago. de 2021.

Introdução Quem nunca se deparou com as palavras "política de cookies" ao navegar em um site na internet? Tal mensagem tende a ocupar a tela inteira do nosso computador, sendo impossível ler o conteúdo da página na qual nos interessamos. Seja por conta da pressa em pesquisar algo ou até mesmo por não entender o que aquela mensagem significa, na maioria das vezes, selecionamos "aceito as políticas de cookies" e nos livramos instantaneamente daquele empecilho. No entanto, aqueles curiosos que clicam em "quero redefinir minhas políticas de cookies" amedrontam-se com uma nova aba repleta de termos técnicos das áreas jurídica e informática, os quais impedem que qualquer indivíduo que não tenha uma mínima familiaridade com tais esferas saiba executar corretamente os comandos ali dispostos. Analogamente, apesar dos passageiros de veículos autônomos terem a oportunidade de consentir ou não com a coleta de dados pessoais durante suas viagens, eles provavelmente terão dificuldades em entender completamente os termos técnicos dessas novas tecnologias, permanecendo alheios à potencial utilização de suas informações privadas. Nesse ínterim, pretendemos definir brevemente o conceito de carros autônomos, analisando até que ponto a coleta de dados é utilizada para salvaguardar uma viagem segura ou empregada para - de modo antiético - traçar perfis de consumo, vigiar indivíduos, enviar propagandas respaldadas nos locais que a pessoa costuma frequentar, entre outros. Por fim, apresentaremos e analisaremos criticamente certas estratégias que estão sendo desenvolvidas em diversas leis e estatutos ao redor do globo para se proteger e controlar os tipos de informações pessoais associadas aos veículos autônomos e corporações relacionadas. Carros autônomos e coleta de dados pessoais Os veículos autômatos (doravante VA) são divididos em cinco níveis - o zero correspondente ao carro sem automação e o último (quatro) à autodireção ilimitada -, ou seja, em nenhum momento, o controle é repassado ao condutor do veículo no nível 05. Os veículos 3 e 4 já estão sendo comercializados no mercado europeu, com esse último nível esperado para 2030.1 A Uber tem investido em uma frota de VAs, sendo a primeira a introduzir essa tecnologia para o mercado consumidor estadunidense2. Tais veículos estão inseridos no tipo quatro, caracterizado por uma automatização elevada, direção, aceleração, desaceleração e controle do ambiente de condução a encargo do carro, restando o controle para o condutor apenas em casos de emergência. É exatamente por esse motivo que tanto o Estado como a sociedade deveriam alterar a maneira como os encara: já não são mais mecânicos, mas máquinas providas de inteligência artificial, softwares e computadores conectados entre si que compartilham informações das rodovias pelas quais percorrem e dos passageiros os quais transportam. Hoje, o aplicativo da Uber dispõe descomplicadamente os dados pessoais que coletam dos seus usuários em seu "aviso de privacidade". São elencados3 desde dados bancários, fotos, gênero, localização, histórico de destinos, dados dos dispositivos (endereço IP, identificadores de publicidade, dados de movimento do dispositivo, dados da rede móvel) até mesmo aqueles relacionados a sites e a serviços de terceiros que são usados antes da interação com seus serviços, sendo tais informações utilizadas para fins de marketing. Hoje, a retenção de informações dos usuários de veículos não autônomos já atinge proporções gigantescas, no incipiente ramo dos VAs - ainda experimental em muitos países - sendo que não há um catálogo definitivo dos dados pessoais passíveis de serem recolhidos. Tal cenário obscuro gera insegurança por parte dos clientes em relação à aceitação dos termos e condições de uso e política de privacidade, pois não se sabe com precisão o sentido da frequente expressão "os dados pessoais coletados serão utilizados para os devidos fins". Saber onde um usuário mora, seu histórico de viagens e locais que costuma frequentar são exemplos de dados pessoais que podem ser empregados para fins diversos de uma simples "corrida". Desde o direcionamento de anúncios publicitários específicos de acordo com os destinos do indivíduo, até mesmo perseguição política4. Agências de Inteligência podem vasculhar as bases de dados para monitoramento dos cidadãos à medida que esses aparentam ser suspeitos; criando, inclusive, um padrão baseado em viagens passadas para tentar prever onde determinada pessoa pode ser encontrada no futuro. Além disso, o local em que o VA estaciona à noite, após uma viagem, pode fornecer dados acerca de onde a pessoa mora (vizinhança abastada ou marginalizada), e com isso, traçar perfis comerciais apropriados para seu consumo - lojas mais elitistas ou populares. Estratégias de proteção de dados A comunicação entre os softwares dos VAs os transforma em uma frota de computadores detentores das informações pessoais de inúmeros passageiros, sendo, portanto, extremamente valiosos para agências de inteligência, empresas de marketing, e até mesmo hackers. Logo, uma alternativa para evitar tais intromissões seria desassociar as informações técnicas dos veículos (combustível e carroceria) das pessoais de seus passageiros (destinos e horários), tornando os VAs anônimos5. Para dificultar o uso inadequado dos dados pessoais, seria necessário, por exemplo, um reforço na criptografia dos dados, autenticação de acesso e não compartilhamento da rede virtual com outros perfis não autorizados, impedindo, assim, que os dados entre os diversos usuários sejam cruzados. A não retenção dos dados pessoais, limitando o seu recolhimento, corrobora para a diminuição desses riscos. No tocante às "políticas de consentimento", apesar do caput do artigo 9º da Lei Geral de Proteção de Dados (LGPD) determinar que "o titular tem direito ao acesso facilitado às informações sobre o tratamento de seus dados, que deverão ser disponibilizadas de forma clara, adequada e ostensiva", haverá, provavelmente, em um primeiro momento, dificuldades na aplicação do citado artigo, pois o incipiente ramo dos veículos autônomos no mundo - principalmente no Brasil - torna complexo o esclarecimento específico das atividades exercidas pelos VA, como já mencionado anteriormente. Nos EUA, entraram em vigor diversas normas nacionais que regulam a coleta e o processamento de informações pessoais. O "Ato de Proteção aos Dados Privados"6 (APDP) resguarda determinados dados - como endereço, foto, nome e raça - impondo sanções legais por tráfego, divulgação e uso impróprio de informações pessoais fornecidas à disposição de motoristas e veículos licenciados. Já o "Ato de Comunicações Eletrônicas Privadas"7 e o "Ato Federal de Comunicações"8, aplicam-se a certas características dos VAs, como a troca de dados por meio da intercomunicação destes. Entretanto, caso estes sejam utilizados para fins ilícitos ou moralmente reprováveis, a quem devemos realmente punir? Designers de software, engenheiros idealizadores dos VAs, donos das grandes corporações montadoras de veículos automotores, proprietários dos aplicativos de viagem, possíveis hackers, agências de inteligência estatais? E, a lista continua indefinidamente, pois como já dito anteriormente, diversos atores sociais têm interesse em tais informações pessoais, sendo estas valiosas não só para pesquisas de consumo e estratégias de marketing, mas também para a prática de perseguição política e controle social. Não só os VAs são "smart", mas a nossa televisão, computador, celular, e até mesmo geladeira compartilham dessa tendência de se tornar "inteligentes". Tal predisposição aprofunda um processo que sempre esteve presente no capitalismo: a alienação do trabalhador e do consumidor em todas as instâncias sociais. Com o avanço vertiginoso das tecnologias que utilizam inteligência artificial., por exemplo, torna-se cada vez mais complicado identificar quem é responsável por esta (vale lembrar que as inovações não existem per se9, mas são resultados de todo um processo histórico de acumulação de "técnica" pela humanidade), que realiza a coleta de informações e quais os possíveis - e sombrios - usos destas. Logo, o indivíduo torna-se completamente ignorante em relação ao funcionamento de tais máquinas, não se reconhecendo no processo de consumo - e isso se reflete em sua completa alienação em relação aos "termos de consentimento", seja por seu "juridiquês" ou sua linguagem computacional complexa. Conclusão Este cenário gera uma atmosfera de desconfiança por parte dos usuários de VAs. Assim, surge a indagação concernente a até que ponto e em que ocasiões devemos confiar nas tecnologias como forma de libertação (em seus múltiplos aspectos) e facilitação dos encargos por parte dos seres humanos? Por ora, apesar de existir uma resposta correta, pode-se recordar da seguinte afirmação de Martin Luther King Jr.: "esperar [por direitos civis] quase sempre quer dizer 'nunca' [por parte daqueles que ocupam posições de poder]".10 Em suma, verificamos o seguinte dilema a ser enfrentado nos próximos anos: o quanto de liberdade deseja-se abrir mão para um maior conforto? Para que seja possível equilibrar liberdade e conforto, o direito passa a ter um papel fundamental, logo, nota-se que compete discutirmos os desafios tecnológicos com base nos direitos fundamentais conquistados por meio de muitas lutas ao longo dos séculos. *Cristina Godoy Bernardo de Oliveira é professora doutora da Faculdade de Direito de Ribeirão Preto - Universidade de São Paulo desde 2011. Academic Visitor da Faculty of Law of the University of Oxford (2015-2016). Pós-doutora pela Université Paris I Panthéon-Sorbonne (2014-2015). Doutora em Filosofia do Direito pela Faculdade de Direito da USP (2011). Graduada pela Faculdade de Direito da USP (2006). Líder do Grupo de Pesquisa Direito, Ética e Inteligência Artificial da USP - CNPq. Coordenadora do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP). Membro fundador do Instituto Avançado de Proteção de Dados - IAPD. **Emily Liene Belotti é graduanda em Direito pela Faculdade de Direito de Ribeirão Preto, na Universidade de São Paulo. Atualmente integra o Grupo de Estudos "Direito, Ética e Inteligência Artificial" da FDRP/USP. Realiza pesquisa de Iniciação Científica cujo tema é "Carros Autônomos e Responsabilidade Civil: Teoria Objetiva vs Subjetiva", sob a orientação da Professora Dra. Cristina Godoy Bernardo de Oliveira. Referências bibliográficas Aviso de privacidade da Uber. 02/10/2021. Disponível aqui. Acesso em: 20 de outubro de 2021. Carros autónomos na União Europeia: da ficção científica à realidade. Parlamento Europeu, 14/01/2019. Disponível aqui. Acesso em: 20 de outubro de 2021. Driver's Privacy Protection Act, 18 U.S.C. § 2721 (2012). Electronic Communications Privacy Act, 18 U.S.C. §§ 2510-2522 (2012). GLANCY, Dorothy, J. Privacy in Autonomous Vehicles. 52 Santa Clara Law Review 1171. 15/11/2012. Disponível aqui. Acesso em: 20 de outubro de 2021. KING, M. L. (1994). Letter from the Birmingham jail. San Francisco, Harper San Francisco. LUPTON, D. (2016). Digital companion species and eating data: Implications for theorising digital data-human assemblages. Big Data & Society. Disponível aqui. Acesso em: 20 de outubro de 2021. MARX, Karl. O Dezoito Brumário de Louis Bonaparte. São Paulo: Centauro, 2006. OLIVEIRA, Cristina Godoy Bernardo de Oliveira; NETO, Fernando Celso Guimarães. Estado Vigilante e regulação das fake news. In Migalhas de Proteção de Dados, 30 de abril de 2021. Disponível aqui. Acesso em: 20 de outubro de 2021. Telecommunications Act of 1996, 47 U.S.C. § 222 (2012). __________ 1 Carros autónomos na União Europeia: da ficção científica à realidade. Parlamento Europeu, 14/01/2019. Disponível aqui. Acesso em: 20 de outubro de 2021. 2 GLANCY, Dorothy, J. Privacy in Autonomous Vehicles. 52 Santa Clara Law Review 1171. 15/11/2012. Disponível aqui. Acesso em: 20 de outubro de 2021. 3 Aviso de privacidade da Uber. 02/10/2021. Disponível aqui. Acesso em: 20 de outubro de 2021. 4 OLIVEIRA, Cristina Godoy Bernardo de Oliveira; NETO, Fernando Celso Guimarães. Estado Vigilante e regulação das fake news. In Migalhas de Proteção de Dados, 30 de abril de 2021. Disponível aqui. Acesso em: 20 de outubro de 2021. 5 GLANCY, Dorothy, J. Privacy in Autonomous Vehicles. 52 Santa Clara Law Review 1171. 15/11/2012. Disponível aqui. Acesso em: 20 de outubro de 2021. 6 Driver's Privacy Protection Act, 18 U.S.C. § 2721 (2012). 7 Electronic Communications Privacy Act, 18 U.S.C. §§ 2510-2522 (2012). 8 Telecommunications Act of 1996, 47 U.S.C. § 222 (2012). 9 MARX, Karl. O Dezoito Brumário de Louis Bonaparte. São Paulo: Centauro, 2006. 10 KING, M. L. (1994). Letter from the Birmingham jail. San Francisco, Harper San Francisco.

Recentemente a Google anunciou que vai restringir publicidade dirigida aos menores de 18 anos na plataforma, a partir de informações como idade, sexo e interesses de navegação. Também não será mais utilizado o recurso de histórico de navegação desses usurários, bem como permitirá aos pais e responsáveis que solicitem a remoção das imagens dos filhos dos resultados de busca1. Dentre outros pontos, o YouTube vai remover conteúdo que se considera excessivamente comercial do aplicativo YouTube Kids, citando como exemplo os vídeos que apenas foquem em embalagens de produtos ou que encorajem diretamente as crianças a gastarem dinheiro. Vale notar que a declaração se deu após o FTC (Federal Trade Commission), em 2019, aplicar multa ao Google no valor de US$ 170 milhões por violações à privacidade de crianças no YouTube (a multa mais alta aplicada pelo órgão até hoje). Conforme o acordo firmado, a Google LLC e a subsidiária YouTube LLC teriam violado as regras do COPPA (Children's Online Privacy Protection Rule) ao coletar informações pessoais de crianças utilizando cookies para rastrear usuários na internet sem antes identificar e obter o consentimento expresso dos pais ou responsável. Com tais dados, o YouTube, usando os identificadores, praticou a denominada publicidade comportamental direcionada às crianças e adolescentes, sem expresso consentimento dos pais2. A pergunta que pode ser formulada, então, é: trata-se de mera regra ética da empresa ou estaria efetivamente cumprindo a regulação americana sobre o tema?  Regulação relativa à publicidade dirigida ao público infantil  A publicidade dirigida às crianças e adolescentes é regulada pelo CARU (Children's Advertising Review Unit), fundado em 1974 por membros das agências de publicidade infantil, por meio do Conselho Nacional de Revisão da Publicidade Infantil (conhecido como CBBB - Council of Better Business Bureaus). O órgão é responsável por impor padrões em relação à publicidade infantil, impedindo que seja depressiva, inapropriada ou injusta para a audiência do público em questão. Levam-se em consideração, dessa forma, a vulnerabilidade e a inexperiência da criança, que pode ser facilmente influenciada, diante de sua falta de conhecimento e habilidades de cognição necessárias para um bom julgamento da publicidade. Grosso modo, pode-se afirmar que as regras do CARU são dispostas entre princípios fundamentais e recomendações gerais e específicas. Assim, quanto aos princípios fundamentais do dispositivo, prevê responsabilidades adicionais em relação a campanhas com público-alvo infantil e ao uso de dados pessoais com esse fim. Devem-se levar em conta os limites de conhecimento, experiência e maturidade da audiência atingida, sendo reconhecido que o nível de discernimento e a capacidade de avaliar a credulidade das informações recebidas pelos meios de comunicação são menores. Nesse sentido, as crianças podem ter dificuldade de entender a intenção de persuasão na campanha publicitária ou ainda não se dar conta de que são alvos dessa publicidade. A publicidade não pode ter caráter enganoso ou injusto às crianças para as quais é dirigida, levando-se em consideração a aplicação dos termos dispostos no Federal Trade Commission Act3. Além disso, deve ser fundamentada por objetivos razoáveis e que assim sejam interpretados pela sua audiência, além de se levar em conta a pertinência de seu conteúdo, sendo proibida a veiculação de publicidade de teor inapropriado. Não poderá trazer expectativas exageradas sobre a qualidade do produto ou sobre sua performance, confundindo a criança.  A publicidade deve, ainda, evitar a caracterização de estereótipos ou conter assunto de cunho preconceituoso, encorajando a diversidade e a inclusão das minorias, apresentando modelos positivos variados de todos os grupos, além de procurar desempenhar um papel de caráter educativo, influenciando a visão positiva e o respeito aos outros, incitando a honestidade e a precaução de ações potencialmente perigosas. O documento ainda ressalta que, apesar da influência causada pela publicidade e da necessidade de regulação desta em relação ao público infantil, permanece como papel principal dos pais e tutores prover instrução e civilidade no desenvolvimento pessoal e social de seus filhos, sendo os meios de comunicação um elo de contribuição na relação familiar.  Regulação relativas à proteção de dados de crianças e adolescentes Em relação à proteção de dados na internet, o COPPA (Children's Online Privacy Protection Act), inserido no Título de Práticas Comerciais do Federal Trade Commission4 (FTC) em 1998, traz disposições sobre a coleta de dados pessoais de crianças, bem como outras práticas relacionadas à privacidade do público infantil na internet. A proteção dos dados das crianças começou a ser discutida naquele país diante das oportunidades que surgiram na mídia ao coletar informações pessoais com intenção de dirigir publicidade a esse público. Diante do fato de a criança não compreender de pronto a intenção da coleta de dados, foi necessário criar mecanismo de proteção a sua privacidade. Entre outros mecanismos, o consentimento expresso dos pais para a coleta dos dados é o mecanismo que mais nos importa para esse ensaio. Para os fins das regras dispostas no COPPA, criança é toda pessoa que tenha menos de 13 (treze) anos de idade. Ainda assim, é expressa a recomendação de que o operador também observe as diretrizes do COPPA da coleta e uso dos dados de adolescentes dos 13 aos 16 anos. Adam Thierer5 ressalta que a questão do consentimento não é pacífica e informa que nos últimos anos, alguns Estados propuseram expandir o regime da COPPA de várias maneiras. Esses esforços tentaram expandir a estrutura de consentimento dos pais para incluir todos os menores de até aos 18 anos, ampliando o leque de sites atendidos, aumentando a quantidade de informações devem ser coletadas para obter o consentimento verificável dos pais, e outras sugestões. O objetivo do regulamento é trazer proteção aos dados pessoais de crianças em websites e serviços on-line, exortando sempre o envolvimento dos pais ou representantes nessas atividades, possibilitando a maior proteção dos seus filhos ou representados. O COPPA é aplicado aos operadores de dados de websites e serviços online dirigidos para crianças e, também, para aqueles que são voltados para o público em geral, mas que coletam informações sobre o público infantil. Afinal, como é possível determinar que o site ou serviço é direcionado às crianças? A Federal Trade Commission (FTC) considera uma série de fatores para determinar se um site ou serviço é "direcionado a crianças", incluindo o assunto; o conteúdo visual ou de áudio; a idade dos modelos; a linguagem ou outras características; se a publicidade promovendo ou aparecendo no site é direcionada a crianças; as evidências empíricas sobre a composição do público; a audiência pretendida; e se um site usa personagens animados e/ou atividades voltadas para crianças e incentivos6. O dispositivo definiu como coleta dessas informações a reunião de qualquer dado pessoal de criança, com qualquer propósito, incluído: i) requerer ou encorajar a criança a submeter informações pessoais na internet; ii) habilitar o fornecimento da criança de seus dados pessoais, tornando-os disponíveis, de forma que possa ser identificada, e iii) monitoramento das atividades das crianças online. Da mesma forma, divulgação de dados pessoais se relaciona: i) ao lançamento de informações pessoais identificáveis7, coletadas por operador8, oferecidas por criança com menos de 13 anos de idade, com qualquer finalidade, exceto em hipóteses em que o operador provê tais informações com o intuito de suporte ao próprio website ou serviço online9; ii) à acessibilidade de informações pessoais identificáveis, através de postagens em páginas da internet, sejam elas do próprio operador dos dados ou de outros websites e serviços online como "pen pall", compras online, "message boards" e salas de bate- papo. De acordo com o documento, diversas condições são impostas aos operadores dos dados pessoais infantis, sendo as principais: i) a necessidade de obter consentimento dos pais para a coleta dos dados pessoais da criança; ii) a elaboração de uma política de privacidade clara e compreensiva; iii) manter as informações obtidas de crianças em segurança e confidencialidade10. Notas conclusivas Desse breve ensaio é possível concluir que a regulação norte americana não proíbe a veiculação de publicidade em ambiente digital, mas exige expressa autorização dos pais para coleta e tratamento dos dados os menores de 13 (treze) anos de idade. O CARU impõe uma série de restrições aos anunciantes, que deve ser cumprido em qualquer forma de anúncio, inclusive pelas plataformas digitais. O desafio enfrentado está relacionado a entender quem é o usuário da plataforma e se essa pessoa é ou não uma criança. Se o COPPA exige que o website e que serviços online dirigidos para crianças tomem cuidados para coleta e tratamento de dados, também exige para aqueles que são voltados para o público em geral, mas que coletam informações sobre o público infantil. Os dados da navegação podem dar pistas sobre a idade e perfil do usuário, logo, como já afirmou o FTC no caso mencionado de coleta indevida de dados pela Google, a plataforma pode (e deve) fazer cumprir a regulação sobre proteção de dados e direcionamento de publicidade, tudo conforme o disposto no COPPA e no CARU. *Roberta Densa é doutora em Direitos Difusos e Coletivos pela PUC/SP e professora de Direito do Consumidor da Faculdade de Direito de São Bernardo do Campo. __________ 1 Disponível aqui. 2 Disponível aqui. 3 O Federal Trade Commission Act é uma lei federal adotada nos Estados Unidos em 1914, que deu origem à Comissão Federal do Comércio. O órgão é responsável por dar ao governo dos Estados Unidos ferramentas legais na investidura contra a competição desleal no mercado americano. O ato também é conhecido por ser um dos pioneiros em ter como um dos principais objetivos a proteção integral dos consumidores contra práticas fraudulentas de produtores e fornecedores. 4 Disponível aqui. 5 THIERER, Adam. Kids. Privacy, Free Speech and the Internet: Finding the right balance. Disponível aqui. Acesso em: 20 set. 2021. 6 BAVITZ, Christopher; GUPTA, Ritu; OBERMAN, Irina; RITVO, Dalia. Privacy and Children's Data - An Overview of the Children's Online Privacy Protection Act and the Family Educational Rights and Privacy Act. Berkman Center Research Publication No. 23, [S.l], nov. 2013. Disponível em: SSRN. Acesso em: 20 set. 2021. 7 Definido pela lei como compartilhamento, venda, aluguel ou transferência de informações pessoais à terceiros. 8 Definido pela lei, de forma geral, como a pessoa física ou jurídica que gerencia website ou serviço online, coletando informações pessoais de seus usuários ou visitantes para diversos fins comerciais. 9 A lei define suporte ao website ou serviço online como aqueles que servem para manter ou analisar a funcionalidade, performance, conformidade e segurança do serviço, autenticidade dos usuários. 10 Nesse sentido, o consentimento dos pais ou responsáveis deve ser assegurado pelo fornecimento pelo operador de aviso sobre a coleta e eventual uso ou divulgação de informações pessoais de seus filhos, devendo obter dos representantes autorização verificável para qualquer das ações descritas.

Ao dispor Castells1 sobre a gênese de um novo mundo cuja forma e modelo inicial se fizeram sentir ao final do milênio, por meio de uma estrutura social dominante,  decorrente de uma sociedade em rede impactada pela tecnologia informacional, resultando numa economia global gerando a partir de  um mundo interdependente, a  cultura da virtualidade real, subjacente a ação e as instituições sociais, denotando-se que um tratamento específico e atual deve ser atribuído à coleta de dados pessoais com um viés protetivo. Deve-se considerar neste ambiente de base tecnológica e inovadora, tanto as questões relacionadas à IoT - Internet das Coisas2, como infraestrutura que integra a prestação de serviços de valor adicionado com capacidades de conexão física ou virtual de coisas e de pessoas, com dispositivos baseados em tecnologias da informação e comunicação, como também os aspectos relativos à privacidade e proteção dos dados pessoais, observadas as disposições da LGPD. E exatamente foi a tecnologia da informação a ferramenta primordial para a implantação efetiva dos processos de restruturação socioeconômica e formação das redes autoexpansíveis de organização da atividade humana, transformando e impactando as relações sociais econômicas. Todavia, Castell já alertava para o fato de que este novo sistema geraria ou teria uma tendencia a aumentar a desigualdade social e a polarização decorrente do crescimento simultâneo de ambos os extremos da escala social, numa visão do que denominou de capitalismo informacional, contribuindo para a exclusão social, desassociando nesta dinâmica, as pessoas, trabalhadores e consumidores.3  Será neste ambiente  que o país caminha para a  instituição  da Estratégia Brasileira de Inteligência Artificial4, com a finalidade de  nortear as ações em prol do fortalecimento da pesquisa, desenvolvimento e inovações de soluções em Inteligência Artificial, como o  seu uso consciente e  ético,  que propomos reflexões acerca da utilização de tecnologias informacionais e possível viés discriminatório atribuído a algoritmos como resultado final inesperado, que podem ser entendidos como uma série de instruções delegadas a uma máquina para resolver problemas pré-definidos.    Em alguns casos, a aplicação de algoritmos pode, de alguma forma previsível ou imprevisível, contribuir para gerar a exclusão social e a mitigação da utilização de direitos constitucionais, através de viés discriminatório, decorrentes da utilização de sistemas de inteligência artificial baseados em processo computacional. A partir de um conjunto de objetivos definidos por humanos, a IA e seus algoritmos, na efetivação de processamento de dados e informações, poderá aprender a perceber, interpretar e interagir com o ambiente externo, fazendo predições, recomendações, classificações ou decisões. Aliás, esta funcionalidade foi bem definida no PL 21/20 de autoria do Deputado Eduardo Bismark que pretende a criação do Marco da Inteligência Artificial no Brasil.5 Como subconjunto da Inteligência Artificial temos a machine learning, que se constitui em um sistema de aprendizagem de máquina, supervisionado ou não, que pode deter tecnologia de autoconstrução ou de projetar outros algoritmos e, ainda, sistemas baseados em conhecimento ou em lógica; abordagens estatísticas, inferência bayesiana, métodos de pesquisa e otimização. Os processos de automação podem incluir a capacidade do sistema de aprender a perceber, interpretar e interagir com o ambiente externo a partir das ações e das informações recebidas.  A problemática Coded Bias O documentário Coded Bias (2020), dirigido por Shalini Kantayya, investiga o viés racista e machista da Inteligência Artificial por trás dos algoritmos de reconhecimento facial e se aprofunda na análise de como as redes sociais e os algoritmos das big techs estão impactando os grupos mais marginalizados da sociedade.  Coded Bias mostra como Joy Buolamwini, mulher negra e cientista da computação do Instituto de Tecnologia de Massachussets (MIT), ao realizar pesquisas no MIT Media Lab, e posicionar rostos em frente a uma tela com dispositivo de captação de imagem por Inteligência Artificial, detectou um problema neste sistema de reconhecimento facial, consistente da falha frequente na análise de rostos, interferindo diretamente nos resultados, atribuindo a falha aos aspectos étnico-raciais. Ao sobrepor ao seu rosto uma máscara branca para prosseguir na captação facial, Joy Buolamwini teve finalmente a sua face reconhecida plenamente.  A partir desse episódio, a pesquisadora decidiu investigar como e porque este fato acontecia e quais seriam as consequências às pessoas de seu grupo étnico. Ao aprimorar a pesquisa, acabou por constatar também que grandes grupos empresariais, utilizavam-se de máquinas e algoritmos desenvolvidos para uso em reconhecimento facial e tecnologias assemelhadas, onde os resultados gerados identificavam o reconhecimento de rostos de homens brancos com muito mais exatidão, possibilitando o desenvolvimento de predições, constatações e criações de tendências e padrões de consumo, que, na realidade, possuíam um claro viés discriminatório e não inclusivo. O documentário levanta questionamentos sobre a utilização desses mecanismos tecnológicos, seja por empresas privadas ou por governos "democráticos". Entre eles, mostra como os preconceitos inerentes de suas visões de mundo são incorporados aos códigos por meio de um viés próprio, denominado pela Joy como um "olhar codificado". Apesar de estarmos cada vez mais imersos em uma sociedade inteligente do ponto de vista da tecnologia, reproduzimos em nossas máquinas, as fissuras sociais existentes no cotidiano. As pesquisas acadêmicas do MIT contribuíram para mudar legislações nos EUA e abalaram empresas de tecnologia, justamente em razão da detecção do viés tóxico e não inclusivo. Na busca de respostas ao dilema proposto por Joy Buolamwini, o documentário apresenta os resultados das pesquisas algorítmicas de Cathy O'Neil, matemática e pós-doutora pelo MIT que partiram da premissa de que as aplicações matemáticas fomentadoras da economia dos dados, eram baseadas em escolhas feitas por seres humanos falíveis, independente das suas intenções. Muitos dos modelos denominados pela Autora de Armas de Destruição Matemática, programavam preconceitos, equívocos e vieses humanos nos sistemas de software que geriam vidas. Os modelos matemáticos eram na sua ótica, opacos e seus mecanismos invisíveis a todos, exceto aos iniciados, matemáticos e cientistas da computação. As decisões, mesmo quando erradas ou danosas, estavam além de qualquer contestação, demonstrando razoável tendência de gerar a punição de classes sociais menos favorecidas e oprimidas e a multiplicação de ganhos dos mais ricos.6  A toxidade algorítmica e o viés discriminatório Esta problemática relativa ao viés discriminatório dos algoritmos e da utilização da I.A inclusive no Poder Judiciário é objeto de especial atenção tanto por parte do governo como das associações e organizações voltadas para esta temática, a exemplo do IAPD, Instituto Avançado de Proteção de Dados, que desenvolve pesquisas relacionadas a sistemas protetivos de titulares de dados pessoais e uso da tecnologia.  Neste contexto, foram apresentados por associados fundadores, em importantes congressos internacionais na Europa e no Brasil, dois estudos impactantes.  O primeiro objetivou demonstrar a necessidade de construção de políticas identitárias não  excludentes, traçando  um paralelo entre os princípios da LGPD e a Agenda 2030 da ONU, em especial no que tange aos objetivos relativos à busca do pleno e produtivo empreso e trabalho decente,  inclusive para com as pessoas com deficiência, gerando empoderamento  e inclusão social, econômica e política, independentemente da idade, gênero, deficiência, raça, etnia, origem, religião, condição econômica, garantindo a igualdade de oportunidade e reduzindo desigualdade por meio da eliminação de práticas discriminatórias. Neste ponto, alertou-se para a necessidade de se evitar que o sistema algorítmico e de coleta de dados pessoais, possa gerar viés de excludência social, principalmente aos deficientes de forma contraria ao sistema protetivo de LGPD e ao sistema previsto no EPD- Estatuto da Pessoa com Deficiência.7  Já, no evento específico sobre Inteligência Artificial, o Diretor Jurídico do IAPD, Prof. Dr. Adalberto Simão Filho e a Presidente do IAPD, Prof. Dra. Cintia Rosa Pereira de Lima, apresentaram a problemática da (in)decisão judicial e os algoritmos tóxicos, clamando pelo direito de revisão de decisões judiciais automatizadas, uma vez demonstrando que existe a  possibilidade de o algoritmo expressar de forma voluntária ou involuntária, um viés discriminatório de qualquer natureza. Demonstraram a incompatibilidade do modelo de Inteligência Artificial , com os princípios gerais do direito que conduzem o "due processo of law", invocando a resolução nº 322 do CNJ8 acerca da necessidade de adoção de medidas corretivas ao se detectar um viés discriminatório ou, ainda, de descontinuar a utilização do programa ou sistema na impossibilidade de eliminação deste  viés. Neste sentido, defenderam o direito de revisão das decisões automatizadas, reforçando a posição do capítulo II da resolução n. 332 do CNJ,  destacando que  as ferramentas ligadas à predição e algoritmos devem ser concebidas desde o início de sua formulação no conceito privacy by design, realçando a missão desafiadora tendo em vista a opacidade dos algoritmos, muitas vezes podendo ser caracterizados como tóxicos, pois ensejam vieses intoleráveis segundo o princípio da não discriminação e da transparência.9 A fragilidade e vulnerabilidade do algoritmo que registra viés indesejado, com reflexos discriminatórios e não transparentes, num desvio de percepção e de função intencional ou não, a demonstrar a necessidade de se gerar a necessária proteção à pessoa titular dos dados, também se faz sentir nas redes neurais  profundas de última geração  (DNNs) gerando situações críticas à segurança ao usuário desta tecnologia que, em ambiente de Internet das Coisas e das pessoas,  pode estar embarcada em  vários tipos de equipamentos e veículos tecnológicos, coletando dados e se utilizando de Inteligência Artificial com resultados não satisfatórios. Multiplicam-se pesquisas que demonstram problemas decorrentes de distorções na recepção e coleta de imagens e dados captados por tecnologia com o concurso de algoritmos. Neste ponto, oportuno o estudo de Kevin Eykholt e um grupo de pesquisadores, que demonstraram, que certos algoritmos utilizados são vulneráveis a exemplos contraditórios captados pelos instrumentos, resultantes perturbações de pequena magnitude adicionadas à entrada, podendo enganar esses sistemas e causar situações perigosas.  Observe-se, portanto, o algoritmo de reconhecimento facial de Coded Bias que gerava por si só a discriminação racial e, portanto, o universo de suas informações e dados pessoais captados e analisados poderia se refletir de forma equivocada, os pesquisadores comprovaram que algoritmos e instrumentos embarcados em veículos autônomos ou semiautônomos, poderiam captar sinais rodoviários nas estradas, mas que seriam registrados internamente de forma distorcidas. Como exemplo, se utilizaram de camuflagens de vários níveis em placas de trânsito e verificaram que este simples fato gerava a distorção sistêmica de resultados e altas taxas de classificação incorreta direcionadas.10  Esta constatação gerou a necessidade de se desenvolver algoritmos de aprendizagem mais resilientes. Os pesquisadores propuseram então, um algoritmo de ataque geral, criando uma metodologia própria (Robust Physical Perturbations) para gerar perturbações contraditórias visuais robustas em diferentes condições físicas por meio de testes de laboratório e de campo, com vistas a detectar e contribuir para a correção das distorções das manipulações físicas contraditórias em objetos reais.  A questão apontada dos equívocos de análise advindos da tecnologia de Inteligência Artificial e da possibilidade discriminatória, é preocupante tanto do ponto de vista da proteção da pessoa dos titulares dos dados, como também da sua aplicação na Justiça. Neste ponto, importante o escólio de Fausto Martin De Sanctis onde, para a utilização dos algoritmos, estes devem ser inatacáveis em sua ética e solidez, garantindo-se os princípios da neutralidade e da transparência.11      Pelo direito de não ser discriminado e de correção Diferentemente da denominada sociedade disciplinar, caracterizada segundo Michel Foucault, pela sua função disciplinadora de comportamentos onde o poder passa a ser aplicado sobre os corpos das pessoas, inclusive por meio da coerção física, na   sociedade do controle onde prepondera  "surveillance state" e a utilização de plataformas de base tecnológica  onde uma de suas  características  de gestão mais expressivas é exatamente a capacidade de modulação das opções e dos caminhos de interação e de acesso aos conteúdos publicados.12 Esta modulação deleuziana13 gera a redução do campo de visão e um processo de controle da visualização de informações, conteúdos, imagens e sons por meio de sistemas algoritmos que distribuem os discursos criados pelos usuários, corporações, pessoas e empresas, controlando-os indiretamente por parte daqueles que instituíram os critérios e políticas de interação dos espaços virtuais internos destas plataformas. Há um aspecto decorrente do processo de modulação, consistente da necessidade de se conhecer precisamente o perfil do agente modulável, por meio da construção de dispositivos e procedimentos de acompanhamento cotidiano de seus passos, como forma de gerar a atuação sobre o mesmo, podendo se conduzir as suas opiniões, seu comportamento e as suas opções de consumo. A utilização de modelos de Inteligência Artificial deve buscar garantir a segurança jurídica e igualdade de tratamento aos casos absolutamente iguais, a partir de amostras representativas e observância às cautelas necessárias quanto aos dados pessoais e ao segredo de justiça. Uma vez verificado viés discriminatório de qualquer natureza ou incompatibilidade do modelo de Inteligência Artificial, deverão ser adotadas medidas corretivas e/ou de salvaguardas e mecanismos de gerenciamento e mitigação dos riscos aos direitos fundamentais e exercício da cidadania. São tempos de apoio ao desenvolvimento tecnológico e a inovação, como elementos e instrumentos que possibilitam a melhoria da qualidade de vida, mas de perplexidade com certos resultados obtidos, onde se deve afastar quaisquer níveis de preconceito e de discriminação algorítmica tóxica proveniente de um "olhar codificado" como bem denomina Joy Buolamwini.  *Adalberto Simão Filho é professor Titular dos programas de Mestrado e Doutorado em Direitos Coletivos e Cidadania da UNAERP/RP. Obteve os títulos de mestre e de doutor em direito das relações sociais pela PUC/SP e de pós doutor em direito e educação pela Universidade de Coimbra.  Diretor Jurídico do Instituto Avançado de Proteção de Dados- IAPD. É autor de obras temáticas envolvendo o direito da sociedade da informação e a nova empresarialidade. **Janaina de Souza Cunha Rodrigues é profissional da área jurídica consultiva que conta com mais de quinze anos de experiência em departamentos jurídicos empresariais e escritórios de advocacia, com atuação na área empresarial e tecnológica. Associada Fundadora e membro da Comissão permanente de assuntos Jurídicos do Instituto Avançado de Proteção de Dados - IAPD.  Pesquisadora externa em grupo de estudo voltado para o Direito e a Tecnologia. Advogada Sênior do Escritório De Vivo, Castro, Cunha e Withaker Advogados, com atuação nas áreas consultivo digital e contratos. __________ 1 CASTELLS, Manuel. Fim de Milênio - A era da informação: economia, sociedade e cultura. Vol. 3: Paz e terra. São Paulo, 2012. p. 412. 2 BRASIL. Decreto nº 9.854, de 25 de junho de 2019. Institui o Plano Nacional de Internet das Coisas e dispõe sobre a Câmara de Gestão e Acompanhamento do Desenvolvimento de Sistemas de Comunicação Máquina a Máquina e Internet das Coisas. Disponível em: http://www.planalto.gov.br/ccivil_03/_ato2019-2022/2019/decreto/D9854.htm, acesso em 14 out. 2021. 3 CASTELLS, Manuel. Fim de Milênio - A era da informação: economia, sociedade e cultura. Vol. 3: Paz e terra. São Paulo, 2012. p. 420. 4 BRASIL. Portaria GM n.º 4.617, de 6 de abril de 2021, que institui a Estratégia Brasileira de Inteligência Artificial e seus eixos temáticos. Disponível aqui, acesso em 14 out. 2021. 5 BRASIL. PL. 21/2020 que pretende a criação do Marco da Inteligência Artificial no Brasil. Disponível aqui, acesso em 14 out. 2021. 6 CATHY O'NEIL. Algoritmos de destruição em massa. Editora Rua do Sabão: São Paulo. 2020. 7 SIMÃO FILHO, Adalberto; RODRIGUES, Janaina de Souza Cunha. Artigo em resumo denominado "Pela construção de políticas identitárias não excludentes - Um paralelo entre os princípios da LGPD e a Agenda 2030", apresentado em 12/10/21 no VI Congresso Internacional de Direitos Humanos de Coimbra- Portugal.  8 BRASIL. Conselho Nacional de Justiça. Resolução n. 332/2020. Dispõe sobre ética, a transparência e a governança na produção e no uso de Inteligência Artificial no Poder Judiciário e dá outras providências. Disponível aqui, acesso em 14 out. 2021. 9 SIMÃO FILHO, Adalberto; LIMA, Cintia Rosa Pereira de. Artigo em resumo denominado "A (In)decisão judicial e os algoritmos tóxicos", apresentado em 14/10/21 no III Seminário de Inteligência Artificial e Direito-Associação Ibero Americana de Direito e Inteligência Artificial. 10 EYKHOLT, Kevin; EVTIMOV, Ivan; FERNANDES, Earlence; LI BO; RAHMATI, Amir; XIAO, Chaowei; PRAKASH, Atul; KOHN, Tadayoshi; SONG, Dawn. Robust Physical-World Attacks on Deep Learning Visual Classification. Open access version, provid by de Computer Vision Foundation-CVF, version available on IEEE Splore. visit. 17/09/21. 11 DE SANCTIS, Fausto Martin. Inteligência Artificial e Direito.  Almedina: São Paulo. 2020. 12 SOUZA, Joyce; AVELINO, Rodolfo; SILVEIRA, Sergio Amadeu da. A sociedade de controle. Manipulação e modulação nas redes digitais. São Paulo: Editora Edra, 2018. 13 DELEUZE, Gilles. Conversações. Editora 34: São Paulo. 2013.

Indubitavelmente, a empresa reflete o dinamismo e o poder de transformação de uma determinada sociedade, conforme destacado por Fábio Konder Comparato,1 na aula inaugural dos Cursos Jurídicos da Faculdade de Direito da Universidade de São Paulo, em 1983. Quase 40 anos depois, e tal afirmação se mantém extremamente atual. Na sociedade informacional, as noções de estabelecimento empresarial, empresário, empresa e sociedade deixaram de ser contempladas pelo prisma estático para assumir protagonismo, uma vez que inseridos no meio ambiente institucional são, ao mesmo tempo, agentes de alteração e por ele alteradas. Pode descrever o movimento acima como a simbiose entre práticas do mercado e costumes da sociedade, percebido pelo Direito ante a constatação do deslocamento do poder econômico das sociedades e, esse, por sua vez, gravitando em "função da acumulação tecnológica e, nessa lógica de poder, a compreensão acerca da necessidade de regulação eficiente da atividade empresarial é premente"2. De fato, o poder econômico das organizações empresariais desafia constantemente o Estado,3  e a matéria sobre proteção de dados não foge à regra. Logo, os desafios aparentes ao universo jurídico se colocam em balancear e regular o domínio da tecnologia e seus usos de acordo com o art. 170 da CF/88, de um lado; e a proteção do consumidor e garantia dos direitos fundamentais, de outro.   Se a Constituição Federal brasileira é chamada de constituição cidadã, por evidenciar os contornos das relações sociais, restava, assim, definir os contornos do mercado e do uso da tecnologia, para tanto adveio o conjunto normativo formado pelo Marco Civil da Internet (MCI), lei 12.965/14 e pela Lei Geral de Proteção de Dados (LGPD), Lei 13.709/18, voltados a regulação do uso da tecnologia. Não obstante, restava (ou resta) lançar luz aos caminhos do mercado, pois, embora Comparato e Asquini destaquem os usos e costumes como diretrizes mercadológicas, o equilíbrio das relações e a segurança jurídica do mercado requerem contornos legais claros para o seu desenvolvimento. Assim, no início de junho de 2021, foi promulgada o Marco Regulatório das Startups e do Empreendedorismo Inovador, lei complementar 182/2021, emoldurando as normas de tais modelos de negócio "inovadores", declaradamente no intuito de fomentar a atividade econômica no país. Nesta conjuntura as healthtechs se destacam, na medida em que vivem em um mercado que já se coloca como altamente regulado. As chamadas healthtechs podem ser descritas como estabelecimentos empresariais colaborativos, que buscam soluções inovadoras e tecnológicas no setor da saúde, por meio de softwares ou plataformas digitais e, assim, a melhoria ao acesso à saúde da sociedade. A saúde é reconhecida como direito fundamental e constitucionalmente garantido (art. 196 da CF/88), que deixou expresso o "acesso universal e igualitário às ações e serviços para sua promoção, proteção e recuperação" como ideal utópico da Carta Magna, relevando a importância dos players neste mercado de atuação. Para tanto, deverá verificar as disposições da Lei 8.080/1990, que prevê que são serviços de assistência à saúde aqueles destinados à sua proteção, proteção e recuperação. Trata-se, portanto, de conceito amplo que pode abranger diversas atividades, e de certa forma as denominadas healthtechs. Seja em mercados pautados em direitos fundamentais ou não, fato é que a sociedade atual exige que os empresários vislumbrem a organização da sociedade numa perspectiva holística do modelo de negócio e do mercado em que se inserem. Isto significa dizer que uma das principais preocupações precedentes dos agentes econômicos ao lançar um produto ou serviço deve ser a análise regulatória do mercado ao qual estará inserido. As regras mercadológicas de enquadramento dos modelos de negócios que opere no setor da saúde, tidos como tradicionais, não suscitam dúvidas. Todavia, aqueles que operam no setor da saúde e tenham modelo de negócio compartilhado devem se atentar às regras clássicas, tais como, quanto a se enquadrar ou não como serviço de assistência à saúde e sobre a constituição do modelo de negócio arrimada em softwares ou plataformas digitais, além das regras contemporâneas, sobre tecnologia e mercado. Mirando o contexto da tecnologia, caso o modelo de negócio se desenvolva no espaço virtual, deve-se respeitar as regras do Marco Civil da Internet (MCI), lei 12.965/14 e da Lei Geral de Proteção de Dados (LGPD), lei 13.709/18. Quanto à LGPD, os serviços prestados no setor da saúde envolvem atividades de tratamento de dados, em grande parte dados pessoais sensíveis, conceituados no art. 5, inc. II da LGPD,4 o que demanda profunda atenção destes agentes econômicos ou daqueles que pretendem atuar com produtos e serviços no setor da saúde. Tamanha a importância da matéria que a LGPD reservou a seção II, do capítulo II (que versa sobre o tratamento de dados pessoais), para dispor sobre "do tratamento de dados pessoais sensíveis", que é composta pelos artigos 11 a 13 do referido Diploma Legal, que enfatiza a aplicação de técnicas de anonimização e pseudonimização quando possível.5       Enquanto não houver regulamentação específica pela ANPD, os agentes econômicos deste setor precisam, no mínimo, seguir o determinado nas regras previstas no artigo 46 e seguintes da LGPD, adotando (a) "medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito"; (b) garantindo a segurança da informação, mesmo após o término do tratamento dos dados; (c) comunicando os incidentes de segurança que possam acarretar riscos ou danos aos titulares e; (d) atendendo aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais do referido Diploma. Um olhar cuidadoso deve estar nos incidentes de segurança nestas plataformas denominadas healthtechs, tanto é que o dever de notificação (art. 48 da LGPD) foi um dos primeiros atos da ANPD6. Outro ponto de igual relevância diz respeito aos requisitos de segurança e de padrões de boas práticas e governança verifica-se que a LGPD, não à toa, reservou a seção II do Capítulo VII. Muito embora o art. 50 da LGPD contenha o verbo "poderão formular regras de boas práticas e de governança", interpretado em conjunto com o princípio da responsabilidade e prestação de contas (inc. X do art. 6º da LGPD), conclui-se que é uma obrigação dos agentes de tratamento de dados, portanto às healthtechs. Portanto, estas devem envidar esforços para estabeler as condições de organização, o regime de funcionamento, os procedimentos, incluindo reclamações e petições de titulares, as normas de segurança, os padrões técnicos, as obrigações específicas para os diversos envolvidos no tratamento, as ações educativas, os mecanismos internos de supervisão e de mitigação de riscos e outros aspectos relacionados ao tratamento de dados pessoais. Além disso, esta é uma forte defesa, nos termos do inc. IX do § 1°, do art. 52 da LGPD, porque ao aplicar as sanções administrativas, a ANPD poderá levar em consideração a adoção de política de boas práticas e governança.7 Entendemos que esta defesa extrapola os processos sancionatórios administrativos, podendo ser utilizada, também, nos processos judiciais e arbitrais. Por fim, sob o prisma do mercado, a recente lei complementar 182/21, Marco Legal das Startups, determina, no artigo 11, que caberá à Administração Pública promover programas de ambiente regulatório experimental (sandbox regulatório) favoráveis ao desenvolvimento das startups, afastando a incidência de normas regulatórias de sua competência, como é o caso das regras emanadas pela ANS, ANVISA e demais agências e órgãos da administração pública. Todavia, quanto à proteção de dados, de natureza constitucional (STF ADI 6390; PEC 17/2019), não pode ser afastada a incidência da LGPD, nem tão pouco a competência da ANPD nos termos do art. 55-K da LGPD que atribui exclusivamente à ANPD a aplicação de sanções administrativas por violação à LGPD. No entanto, o § 3º do art. 55-J da LGPD impõe uma atuação conjunta e coordenada de diversos órgãos reguladores de determinado setor a fim de cumprir suas atribuições com maior eficiência. Não se nega a importância econômica e sociais das denominadas healthtechs, o que restou consolidado no Marco Regulatório das Startups e do Empreendedorismo Inovador que somente limita a receita bruta da sociedade, o que se diferencia do valor de mercado da própria sociedade. Logo, para ser considerada healthtechs não há limite de valuation da sociedade empresária, mesmo porque as Startups seguem buscando a titulação de unicórnios, ou seja, sociedades privadas que possuem o valuation avaliado em múltiplos de escalonagem que alcancem a marca dos bilhões. De acordo com relatório publicado pela CB Insights, empresa privada que atua como plataforma de análise de negócios, há um vasto mercado para crescimento das healthtechs, pois é um dos modelos de negócios menos explorados do setor, ao contrário das Fintechs que dominam os topos dos rankings dos unicórnios mundiais. Acredita-se que o mercado nacional dos unicórnios ainda esteja dominado apenas por Fintechs diante do complicado e minucioso sistema regulatório que envolve o setor de saúde, no Brasil e no Mundo. Cabe, então traçarmos diretrizes para que este desenvolvimento seja sustentável assegurando-se o respeito e a eficácia dos direitos e garantias fundamentais, dentro os quais se inclui a proteção de dados pessoais. *Emanuele Pezati Franco de Moraes é mestre em Direito pela Faculdade de Direito de Ribeirão Preto da Universidade de São Paulo - FDRP/USP (2017-2019). Especialista pelo programa LLM em Direito Civil da Faculdade de Direito de Ribeirão Preto da Universidade de São Paulo - FDRP/USP (2018-2020). Pesquisadora no grupo de pesquisa Observatório da LGPD e Observatório do MCI, ambos vinculados ao CNPq. Associada Fundadora do Instituto Avançado de Proteção de Dados - IAPD. Associada do Instituto Brasileiro de Estudos de Responsabilidade Civil - IBERC. Advogada e sócia fundadora do escritório Advocacia Especializada Pezati Parceiros. Rede social - Instagram: aeppadv **Cíntia Rosa Pereira de Lima é professora de Direito Civil da Faculdade de Direito da USP Ribeirão Preto - FDRP. Doutora em Direito Civil pela Faculdade de Direito da USP com estágio na Universidade de Ottawa (Canadá) com bolsa CAPES - PDEE - Doutorado Sanduíche e livre-docente em Direito Civil Existencial e Patrimonial pela Faculdade de Direito de Ribeirão Preto (USP). Pós-Doutora em Direito Civil pela Università degli Studi di Camerino (Itália) com fomento FAPESP e CAPES. Líder e Coordenadora dos Grupos de Pesquisa "Tutela Jurídica dos Dados Pessoais dos Usuários da Internet" e "Observatório do Marco Civil da Internet", cadastrados no Diretório de Grupos de Pesquisa do CNPq e do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP).  Presidente do Instituto Avançado de Proteção de Dados - IAPD. Advogada. __________ 1 COMPARATO, Fabio Konder. A reforma da empresa. In: Direito empresarial: estudos e pareceres. São Paulo: Saraiva, 1995, p. 3-26, p. 3. 2 MACIEL, Renata Mota; MORAES, Emanuele Pezati Franco de. A LGPD Brasileira sob a perspectiva do Direito Comercial: a base de dados como ativo relevante da empresa. In: ANPD e LGPD: desafios e perspectivas. São Paulo: Almedina, 2021, p. 117. 3 BENACHIO, Marcelo; MACIEL, Renata Mota. A LGPD sob a perspectiva da regulação do poder econômico. In: Comentários à Lei Geral de Proteção de Dados: Lei n. 13.709/2018, com alterações da lei 13.853/2019. São Paulo: Almedina, 2020, p. 39-67, p. 41-42. 4 PEROLI, Kelvin. O que são dados pessoais sensíveis? Disponível aqui, acesso em 06 out. 2021. 5 POSSI, Ana Beatriz Benincasa. O que é anonimização e pseudonimização de dados? Disponível aqui, acesso em 06 out. 2021. 6 LIMA, Cíntia Rosa Pereira de; OLIVEIRA, Cristina Godoy Bernardo de. Dever de Notificação dos Incidentes de Segurança com Dados Pessoais - Parte 1. Disponível aqui, acesso em 06 de out. 2021.   7 Cf. LIMA, Cíntia Rosa Pereira de; DE LUCCA, Newton. O Brasil está pronto para as sanções administrativas previstas na LGPD? Disponível aqui, acesso em 06 out.2021.  

Introdução  Consentir, verbo que contempla múltiplos sentidos e regências - dar consentimento, permitir, tolerar, condescender; demonstrar concordância; aquiescer; aprovar; concordar, etc.1, está na essência e no sentido do tema que vamos tratar: o processo de consentimento. As palavras e os sentidos que nelas gravitam são os pontos de contato na rede do "universo normativo" e que também é o "universo narrativo" de conceitos, princípios, modelos normativos e hermenêuticos. Como diz Judith Martins-Costa em texto lapidar - A concha do marisco abandonada e o nomos: "(...) normatizar e inseparável do narrar". (...) Daí a importância de ter presente as narrações apreendidas nos diferentes códigos sociais, a inteligibilidade da conduta normativa repousando no "caráter comunitário (comunal) das narrações que fornecem o contexto desta conduta."2 O verbo consentir é o ponto de contato dos quatro pontos cardeais da Filosofia de Kant, incorporados pelas mãos de Savigny à Escola Histórica, e elevados por Augusto Teixeira de Freitas à trajetória do Direito Privado brasileiro.3 São eles: 1) a ideia de liberdade, como um direito inato a todos os seres humanos, garantidora do pleno desenvolvimento de sua personalidade; 2) o entendimento da convivência social, como uma limitação reciproca de liberdades; 3) o respeito à pessoa humana, como base da justiça e fim da ordem social; e 4) a garantia do Direito, como condicionalidade dos arbítrios, para legitimar o emprego da coação material.4 Consentir é ato humano diretamente conectado à liberdade, podendo representar diferentes sentidos e formas de manifestação de vontade, tenha este ato efeitos jurídicos ou não. No campo jurídico, a natureza do ato de consentir pode ser ato jurídico stricto sensu ou negócio jurídico, ajustando-se ao contexto normativo de apreensão da realidade como expressão da autonomia privada.5-6 Ao longo dos tempos e da tradição social e jurídica, em particular na área da saúde, foram incorporados a este verbo múltiplos sentidos ou dele excluídos características e/ou efeitos sociais e jurídicos. A Bioética, a partir da década de 1970, concentra muitos estudos voltados ao consentimento na área da saúde, em particular na pesquisa envolvendo seres humanos. Consentir é a "concha" receptora de sentidos; usando a delicada metáfora da "concha do marisco abandonado" empregada por Martins-Costa7: (...) em uma concha jogada na areia da praia, o primitivo habitante que lhe recheava o conteúdo de há muito pode ter desaparecido e gerações de outros habitantes podem ali ter encontrado a sua morada.8      Ainda, destaco o sentido da utilização da palavra "processo" associada ao verbo "consentir"; aqui compreendido como uma cadeia de atos e/ou procedimentos, não necessariamente consecutivos ou postos de forma sequencial, que agregados ao ato de consentir lhe dão sentido e determinam os efeitos jurídicos. O processo de consentir envolve elementos intrínsecos e elementos extrínsecos na perspectiva da pessoa natural que consente. Os elementos intrínsecos relacionados à condição ou a situação do consentidor, como a capacidade psicológico-moral e jurídica; as motivações subjetivas e/ou objetivas; e a forma, escrita ou verbal. Os elementos extrínsecos, aqueles postos pela situação concreta e jurídica, essenciais ao conhecimento do consentidor para respeitar os seus direitos informativos, de personalidade e de autodeterminação. O ato de consentir deve ser realizado sem inadequações éticas9 e/ou vícios de consentimento (erro ou ignorância, dolo, coação e estado de perigo)10.  O processo de consentimento é "o ritual clínico moderno da confiança"11, seja na perspectiva bioética12, moral e jurídica.13-14 Assim, considerando a mobilidade narrativa, de sentido e de interpretação jurídica do ato de consentir, objetiva-se tratar, neste conjunto de textos, dos diferentes processos de consentimento na área da saúde. Este conjunto de textos está organizado, em três partes. Na Parte I, ora publicada, serão abordados os temas do processo de consentimento na pesquisa envolvendo seres humanos e os relativos à Lei Geral de Proteção de Dados - LGPD; lei 13.709/2018. Na Parte II, serão desenvolvidas as características do processo de consentimento na assistência à saúde e suas relações com o estabelecido na LGPD. Finalmente, na Parte III, será abordado o processo de consentimento envolvendo crianças e adolescentes em situações de pesquisa e em assistência na área da saúde, assim como a sua relação com o previsto na LGPD. Processo de Consentimento nas pesquisas clínicas envolvendo seres humanos As pesquisas clinicas envolvendo seres humanos são quaisquer estudos científicos que incluem pessoas, ou grupos de pessoas, que recebem intervenções com a finalidade de avaliar os efeitos relacionados à saúde.15 A pesquisa clínica é um gênero que abarca uma diversidade de projetos e estudos envolvendo seres humanos, conforme OMS16. Estas pesquisas podem ser chamadas também por sua espécie - os ensaios clínicos - isso é, quando ocorrem testes com a utilização, entre outros, de fármacos, células e produtos biológicos, procedimentos cirúrgicos, procedimentos radiológicos, dispositivos, tratamentos comportamentais, mudanças no processo de prestação de cuidados, inclusive preventivos.17 Particularmente, os ensaios clínicos são organizados, normalmente em duas etapas: pré-clínica e clínica. A etapa pré-clínica envolve a utilização de modelos celulares e animais18 ou simulações envolvendo modelos matemáticos. Excepcionalmente, ainda na etapa pré-clínica, podem ser realizados estudos de Fase 0 em seres humanos. São estudos com doses muito pequenas de uma molécula, que ainda está sendo desenvolvida, com finalidade de verificar se tem atividade biológica.  A etapa clínica, por outro lado, envolve diretamente seres humanos e está organizada em quatro fases, denominadas de fases I, II, III e IV. Os estudos de fase I avaliam a segurança da nova intervenção.  Na fase II, além da segurança, é avaliada a tolerabilidade associada ao seu uso. Na fase III se agrega a avaliação da eficácia da intervenção. Finalmente, na Fase IV, quando o produto já está liberado para uso assistencial, além da segurança, da tolerabilidade e da eficácia, se avaliam os eventos decorrentes do seu uso em larga escala e em situações de vida real. Estas fases são sucessivas e escalonadas, com níveis crescentes de volume de participantes, de complexidade e de exposição à nova intervenção.19 Neste contexto, o processo de consentimento, e sua respectiva formalização, é requisito obrigatório nos ensaios clínicos.20-21 O processo de consentimento deve ser a expressão de uma conduta eticamente adequada, em respeito aos Direitos Humanos, Direitos Fundamentais e Direitos de Personalidade, em especial, em respeito aos princípios da confiança, da autonomia, autodeterminação e alteridade.22-23 Portanto, o processo de consentimento deve ser integrado em todas as fases 0, I, II, III e IV, da etapa clínica do projeto e protocolos de pesquisa clínica. O participante de pesquisa de cada fase tem que ser informado das finalidades, riscos, benefícios e direitos associados, para que possa participar do processo de tomada de decisão, com a compreensão devida, para exercer o poder (=potestativo) de aceitar, não aceitar ou desistir de sua participação. O projeto de pesquisa clínica e os documentos que lhe acompanham, tais como protocolo de pesquisa, manual do pesquisador, termos de consentimento, termos de confidencialidade, termos específicos para regular o uso de dados de pesquisa e demais anexos necessários ao caso concreto, devem ser submetidos a avaliação de um ou mais Comitês de Ética em Pesquisa (CEPs).  Os CEPs devem ter composição multidisciplinar; ser credenciados às instancias governamentais e/ou institucionais que realizem pesquisa clínica e autorizados por regras de direito, autogestão e compliance. As atividades dos CEPs têm cunho avaliativo, consultivo e deliberativo, envolvendo a adequação ética, metodológica, de relevância e finalidade, de capacitação técnica e científica dos pesquisadores envolvidos e de compliance dos projetos realizados nas instituições de pesquisa. Os CEPs também podem estabelecer medidas concretas para evitar conflitos de interesse, em particular, os econômicos. A necessidade da obtenção de consentimento dos participantes integra um conjunto de Boas Práticas Clínicas, mais conhecidas pela sigla em inglês GCP - Good Clinical Practice, que orientam um modelo normativo colgado em diferentes códigos sociais, de aceitação internacional, fruto da historicidade, em busca de limitar a coisificação dos seres humanos na realização de pesquisas em saúde e como forma de garantir a autonomia da vontade e privada dos participantes de pesquisa. Inúmeros documentos relevantes regulam as atividades de pesquisa em seres humanos. A Declaração de Helsinki, originalmente de 196424 e hoje na sua 8ª Edição (2015), é uma referência fundamental. É um documento proposto pela Associação Mundial de Medicina (WMA), sem a força de ser um tratado ou legislação. Outras propostas de Boas Práticas Clínica envolvem as propostas pela European Medicines Agency (EMA)25; pela Conferência Tripartite Internacional de Harmonização (ICH harmonised tripartite guidelines. Guideline for Good Clinical Practice E6 - R2)26; o Documento das Américas27 e o Guia de Inspeção em Boas Práticas Clínicas (BPC) referente a ensaios clínicos com medicamentos e produtos biológicos - Guia n. 36/2020 proposto pela Agencia Nacional de Vigilância Sanitária (ANVISA). No cenário nacional, no que concerne normatização de pesquisas envolvendo seres humanos, não há lei específica28, mas a realização de pesquisas envolvendo os seres humanos deve respeitar os preceitos constitucionais, destacando-se o princípio norteador de todo o ordenamento, o princípio da dignidade da pessoa humana, os direitos fundamentais e sociais à saúde e a vedação de comercialização de partes do corpo, art. 199 §4ª. Também é regrado indiretamente por leis infraconstitucionais, entre elas o Código Civil Brasileiro, a lei 10.406/2002 e a lei 13.123/2015, que regula o acesso ao Patrimônio Genético. O ano de 1988, marcado pela promulgação da Constituição Federal, também marca o início da regulamentação envolvendo pesquisa com seres humanos no país - a resolução 01/1988 (revogada), publicada pelo Conselho Nacional de Saúde (CNS). Posteriormente, o marco regulatório brasileiro foi sendo alterado por duas diferentes vertentes: 1) No âmbito infralegal, as resoluções sobre pesquisa editadas Conselho Nacional de Ética em Pesquisa, via o Sistema CEP/CONEP, responsável pelo credenciamento dos CEPs no país e pela orientação de atividades em pesquisa clínica, destacamos: a Resolução 466/2012, que regula em geral a pesquisa envolvendo seres humanos na área da saúde; a Resolução 251/1997, que caracteriza as fases de pesquisa clínica e as Resoluções 441/2011 e 446/2012, relacionadas aos Biobancos. 2) As determinações da Agência Nacional de Vigilância Sanitário - ANVISA, por meio de Resoluções de Diretoria Colegiada (RDC), em particular destacamos a RDC 9/2011, RDC 10/2010 e RDC 38/2013. Estas resoluções são obrigatórias e o seu cumprimento deve ser observado por todos que realizem pesquisas clinicas no país.  Neste cenário, o processo de consentimento é exigido pelo sistema CEP/CONEP e também pela ANVISA nas situações de pesquisa clínica.  Entendemos que este processo tem momentos essenciais: o primeiro concerne ao dever de informar à pessoa convidada para ser um participante de pesquisa, que deverá receber todas as informações para compreender as finalidades, os propósitos, os riscos, os benefícios, as condições e as salvaguardas à sua integridade física, moral e psicológica projetadas na pesquisa. A segunda é diretamente conectada ao acompanhamento do participante, durante e após a realização da pesquisa, para suporte e esclarecimento de quaisquer situações ou aspectos decorrentes da pesquisa. O terceiro relaciona-se ao estabelecimento de canais de comunicação adequados e seguros para fortalecer e ampliar os graus de entendimento do participante durante todo tempo em que este estiver envolvido com a pesquisa, e até mesmo após o seu término formal. A capacidade de compreensão do participante deve ser ampla para que haja a validade do processo de consentimento. Ou seja, deve ser considerada a capacidade relacionada ao grau de desenvolvimento psicológico-moral e a capacidade jurídica.29 Portanto, a capacidade do participante deve ser avaliada e integrada durante todo assim como durante a realização da pesquisa, com a finalidade de avaliar as vulnerabilidades associadas. Para garantir a validade do processo, também deve ser considerada a forma utilizada para registrar o consentimento do participante, seja por meio de termo escrito e/ou de gravação de imagem e/ou voz.30 No que concerne a categoria jurídica do ato de consentimento, no contexto de pesquisa clínica, como diz Denise Oliveira Cezar, não tem natureza obrigacional ou contratual, mas sim pode ser para alguns um ato jurídico stricto sensu e para outros um negócio jurídico relacional, de natureza existencial, que nascerá com limites ao exercício da autonomia do participante às normas proibitivas, aos princípios de ordem pública e de bons costumes.  Nas palavras da autora: (...) é possível, que por meio de declarações, os titulares exerçam os seus direitos de personalidade, os quais poderão tomar a forma de atos jurídicos em sentido estrito ou negócios jurídicos, contanto não afetem o que têm de essencial.31 Denise Oliveira Cezar ressalta que a categoria dos negócios jurídicos relacionais, de natureza existencial, em um ambiente de ensaios clínicos, melhor caracteriza o consentimento do participante, pois estão presentes a liberdade de celebração e configuração; as declarações de vontade e os preceitos de autonomia privada; observa-se a função econômico-social das declarações e a integração a relações jurídicas de natureza relacional. A qualificação do consentimento informado na pesquisa patrocinada de medicamentos como um negócio jurídico relacional, desta forma, apreende as características que revelam as semelhanças de família com o negócio jurídico, e também as suas peculiaridades jurídicas, com o que a interpretação do TCI, conquanto esteja sujeita às regras dos demais negócios, exige a prevalência de princípios adequados à natureza da relação jurídica.32 A irrenunciabilidade e indisponibilidade dos direitos de personalidade são elementos limitadores da liberdade e da autodeterminação do participante de pesquisa. Igualmente, os responsáveis pela pesquisa devem observar os direitos de personalidade do participante, sem submeter a qualquer influência de ordem hierárquica, ou a qualquer espécie de coerção, mesmo as de ordem econômica relacionadas a recebimentos de valores monetários elevados pela participação na pesquisa, ou recebimento de medicamentos ou tratamentos terapêuticos em ofensa a sua dignidade.33 A relação contratual - negócio jurídico de natureza patrimonial - é estabelecida entre os promotores e responsáveis pela pesquisa clínica, sejam patrocinadores e seus representantes, como as Organizações Representativas de Pesquisa Clínica (ORPC), ou, em inglês, Contract Reserch Organization (CRO), instituições que albergam a pesquisa, fundações de apoio e pesquisadores e suas equipes. O participante não é figurante no contrato, mas sim é pessoa diretamente interessada e afetada por esta relação contratual complexa, de natureza relacional.34 Assim, o consentimento do participante, registrado no Termo de Consentimento Livre e Esclarecido (TCLE) ou por outra forma de documentação, é elemento objetivo de formalização do processo do consentimento, que deve integrar o projeto de pesquisa, diretamente ligado ao contrato de pesquisa. O registro do consentimento deverá conter de forma clara, inteligível todos os aspectos necessários para informar o participante da finalidade, riscos, benefícios, direitos, titularidade dos responsáveis, contatos necessários para fluência da comunicação com o pesquisador responsável ou seu representante e as instituições. Em algumas situações, poderá conter também explanação de como os dados de pesquisa serão tratados, se anonimizados, pseudonimizados ou indentificados e se serão compartilhados com outros grupos de pesquisa e/ou com patrocinadores ou financiadores da pesquisa. Nestas situações, a declaração do participante será específica para autorizar o uso de dados de pesquisa, quando originados de dados pessoais, atendendo aos requisitos da LGPD, artigo 8º. Este Termo deverá estabelecer a finalidade, a necessidade, o delineamento, os contornos, os limites e as medidas de segurança para o tratamento e divulgação dos dados de pesquisa. Ressalta-se que os responsáveis pela pesquisa serão controladores conjuntos, conforme os critérios da LGPD, artigo 5º, inciso VI. (ver item 2 deste texto). Igualmente, é importante frisar que há situações de pesquisa clínica, excepcionais, que poderá haver a liberação da obtenção do consentimento.  Por exemplo, quando houver a impossibilidade de estabelecer o contato com o participante, ou seu representante. Nesta situação, o projeto de pesquisa não poderá gerar danos ao participante, deverá ser garantido o tratamento de dados e informações de forma segura, e deverá ser comprovado, a priori, os impactos sociais positivos e benefícios decorrentes da pesquisa para a sociedade. Isto também pode ocorrer em situações nas quais os dados de pesquisa estejam anonimizados desde a sua origem. Nestas, ou em outras situações excepcionais, os pesquisadores devem solicitar e justificar, no projeto de pesquisa, encaminhado ao CEP para avaliação, esta dispensa de obtenção do consentimento. A avaliação do CEP deverá analisar as circunstâncias e as justificativas na perspectiva metodológica e de adequação ética, de boas práticas clinicas, legais e regulatórias. A ética da responsabilidade social, expressa que a garantia do progresso da ciência e da tecnologia, em um espírito de cooperação, de difusão das informações científicas e de estímulo à livre circulação e utilização do conhecimento, somente se justifica se houver a proteção do participante como interesse primário. Esta proteção não pode ser um elemento secundário a outros interesses, sejam eles científicos, políticos ou econômicos.35 Contudo, para que isso seja possível, é fundamental a transmissão adequada das informações e conhecimentos ao participante sobre a natureza, a finalidade, as etapas de desenvolvimento do projeto e sua prospectiva; assim como, as expectativas derivadas da pesquisa. O dever de informar do pesquisador e o direito de ser informado do participante da pesquisa, sob o fundamento no princípio da confiança, são elementos essencialmente relevantes ao processo de consentimento.36-37  Processo de consentimento na LGPD  O consentimento da LGPD é uma de suas bases legal de tratamento, devendo ser considerado em políticas de proteção de dados e privacidade, mas não apenas como um processo de "faz de conta".38 Neste sentido, será fundamental elencar três premissas postas na Lei Geral de Proteção de Dados, Lei 13.709/2018, diretamente relacionados às pesquisas envolvendo seres humanos na área da saúde: 1) o tratamento de dados pessoais (artigo 5º, inciso X) poderá ser realizado em situações de pesquisas, desde realizadas por órgão de pesquisa, artigo 5º, inciso XVIII (órgão de pesquisa: órgão ou entidade da administração pública direta ou indireta ou pessoa jurídica de direito privado sem fins lucrativos legalmente constituída sob as leis brasileiras, com sede e foro no País, que inclua em sua missão institucional ou em seu objetivo social ou estatutário a pesquisa básica ou aplicada de caráter histórico, científico, tecnológico ou estatístico); 2) a LGPD dispensa o consentimento, art. 8º, quando outras bases legais legitimarem o tratamento de dados, previstos no artigo 7º e 11.  Dentre as situações de dispensa do consentimento, em situação envolvendo a área da saúde, destacamos do artigo 7º, os incisos IV (para a realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais) e VII (para a proteção da vida ou da incolumidade física do titular ou de terceiro) e do artigo 11, o inciso II, letra "a" (realização de estudos por órgão de pesquisa, garantida, sempre que possível, a anonimização dos dados pessoais sensíveis) e a letra "e" (proteção da vida ou da incolumidade física do titular ou de terceiro).39 3) a LGPD autoriza no seu artigo 13 e parágrafos, o tratamento de dados pessoais para a realização de "estudos em saúde pública", diz o artigo que os órgãos de pesquisa poderão ter acesso a bases de dados pessoais, que serão tratados exclusivamente dentro do órgão e estritamente para a finalidade de realização de estudos e pesquisas e mantidos em ambiente controlado e seguro. Este ambiente seguro deve ser de responsabilidade do controlador ou controladores (artigo 5º, inciso VI), que no caso das pesquisas clinicas são os pesquisadores e demais responsáveis pela pesquisa.   As práticas de segurança devem estar previstas em regulamento específico e devem incluir, sempre que possível, a anonimização ou pseudonimização dos dados.  Partindo destas premissas legais, gostaríamos de focar em dois aspectos: i) a finalidade e a forma do processo de consentimento exigido pela LGPD são distintas dos necessários para a realização de pesquisas envolvendo seres humanos e ii) estes processos de consentimento não têm os mesmos efeitos jurídicos, nem são excludentes. Ambos podem ser necessários, conjuntamente ou não, de acordo com o caso concreto. A finalidade e a forma do processo de consentimento informado exigido pela LGPD, no seu artigo 8º, são distintos do processo de consentimento necessário para a realização de pesquisas com seres humanos. O consentimento na LGPD é uma das bases legitimas de tratamento de dados pessoais e dados pessoais sensíveis, portanto os seus efeitos estão circunscritos a autorização do titular para o tratamento de dados e informações pessoais, em respeito aos seus direitos de personalidade e ao princípio da autodeterminação informativa. Portanto, entendemos que o consentimento na LGPD é um ato jurídico stricto sensu, pois sua forma, finalidade e efeitos estão previamente previstos em lei. Para tratar dados de saúde, o consentimento da LGPD poderá ser dispensado para realização de assistência, proteger a integridade física e/ou de saúde do titular ou mesmo tratar o dado do titular em situações de pesquisa.40 Entretanto, é importante que se diga, que dispensar o consentimento para tratamento de dados pessoais, nas situações previstas pela LGPD, não implica em ignorar os seus princípios e regras de direitos, em particular os princípios (artigo 6º) e os direitos dos titulares (dos artigos 17 ao 22).41 A dispensa do consentimento no caso de pesquisas pela LGPD, não altera as responsabilidades inerentes aos promotores e responsáveis pela pesquisa clínica (sejam patrocinadores, instituições envolvidas e pesquisadores responsáveis) em promover ambiente seguro para o tratamento de dados pessoais e dados pessoais sensíveis relacionados aos participantes no desenvolvimento da pesquisa.  Aliás, os responsáveis da pesquisa, como controladores e/ou controladores conjuntos, devem elaborar e desenhar o projeto de pesquisa clinica contendo formas de tratamento e governança dos dados pessoais dos participantes para garantir a sua autodeterminação, inclusive para garantir a retirada do seu consentimento do participante ou o adequado compartilhamento ou mesmo o descarte dos dados. Assim, devem ser previstas e organizadas no projeto e no contrato de pesquisa, por meio de cláusulas especificas, a definição dos obrigados e de medidas de segurança concretas, conforme exigidas pela LGPD para o tratamento dos dados pessoais dos participantes de pesquisa. Também devem ser estabelecidos controles e mecanismos para auditar as bases de dados e, sempre que possível, utilizar a pseudonimização ou outras técnicas de proteção dos dados de pesquisa que oriundos de dados e informações pessoais dos participantes. Portanto, os processos de consentimento não são excludentes, mas sim poderão ser necessários conjuntamente. Assim, a dispensa do consentimento pela LGPD, nas situações de pesquisa clinica, não elimina a exigência do processo de consentimento nos projetos de pesquisa clínica, visando a atender preceitos éticos, legais e regulatórios e às diretrizes de boas práticas clínicas, que devem ser avaliados pelo CEP. Neste contexto, quando necessário também o consentimento da LGPD, este deve respeitar os requisitos do artigo 8º e poderá ser nominado como "termo de autorização para uso de dados de pesquisa" - inclusive constando em algumas situações como cláusulas contratuais "destacadas" (artigo 8º, § 1º). O termo poderá ser exigido quando houver situações em que os dados, identidade e informações dos participantes de pesquisa clínica tenham que ser divulgadas além dos limites previstos no projeto ou protocolos de pesquisa ou por situações particulares; como por exemplo, quando houver publicização das pesquisas em mídias sociais e jornalísticas; artigos científicos, congressos, ou para eventuais desenvolvedores de produtos e/ou tecnologias originadas das pesquisas, entre outras situações a serem analisadas em situações concretas.  Considerações Finais  O consentimento do participante de pesquisa clínica deve atender a todos os requisitos formais e de conteúdo, como a clareza e legibilidade na linguagem, esclarecimento dos riscos e benefícios, possíveis eventos adversos, direitos, canais de contato, entre outros.  O consentimento previsto na LGPD, a princípio, não será exigido nos casos de pesquisas clínicas ou pesquisas em saúde pública, pois estas situações têm base legal própria, previstas na LGPD, para tratamento de dados pessoais. Da mesma forma, medidas de segurança devem ser tomadas pelos controladores dos dados de pesquisa, que são os responsáveis pela pesquisa, para garantir os níveis de proteção, prevenção, segurança, controle, gestão e verificação de dados e informações dos participantes, exigidas pela LGPD.  No entanto, poderão ocorrer situações, dependendo da finalidade e uso dos dados pessoais previstos no projeto de pesquisa, em que seja necessário que o participante de pesquisa também forneça o consentimento previsto na LGPD, registrado em "termo de autorização para uso de dados de pesquisa".  O ato de consentir deve ser reconhecido e examinado em cada uma das situações empregadas, para que a "concha a do marisco abondonado" recepcione as características jurídicas adequadas, considerando a diversidade das situações para proteger e garantir ao participante de pesquisa o respeito aos seus direitos.  *Márcia Santana Fernandes é doutora em Direito (UFRGS) e pós-doutora em Medicina (UFRGS). Advogada - Sócia no escritório Santana Fernandes Advocacia e Consultoria. Professora e coordenadora Adjunta do Mestrado Profissional em Pesquisa Clínica do Hospital de Clínicas de Porto Alegre (HCPA). Pesquisadora Associada do Laboratório de Pesquisa em Bioética e Ética na Ciência do Centro de Pesquisas (LAPEBEC) do HCPA. Professora Colaboradora do PPG/Dir-PUCRS. Membro do Conselho do Instituto de Estudos Culturalistas - IEC.   Research Fellow no UZH Digital Society Initiative - Universidade de Zurique, Suíça. Diretora de Privacidade e Proteção de Dados da ÁXIOS - Educação e Consultoria em Ética Ltda. Associada Fundadora do IAPD - Instituto Avançado de Proteção de Dados. Instagram = @marciasantanafernandes. Twitter = @msfernandes.  **José Roberto Goldim é biólogo, doutor em Medicina e consultor em Bioética. Chefe do Serviço de Bioética do HCPA. Professor Titular da Escola de Medicina da PUCRS. Professor Colaborador da Faculdade de Medicina da UFRGS. Professor do Mestrado Profissional em Pesquisa Clínica do Hospital de Clínicas de Porto Alegre (HCPA). Pesquisador responsável do Laboratório de Pesquisa em Bioética e Ética na Ciência do Centro de Pesquisas (LAPEBEC) do HCPA. Research Fellow no UZH Digital Society Initiative - Universidade de Zurique, Suíça. Diretor Sócio da ÁXIOS - Educação e Consultoria em Ética Ltda. Associado Fundador do IAPD - Instituto Avançado de Proteção de Dados. Instagram = @jrgoldim __________ 1 HOUAISS, Antônio; VILLAR, Mauro de Salles; MELLO FRANCO, Francisco Manoel de Mello. Dicionário Houaiss da língua portuguesa. Rio de Janeiro: Editora Objetiva, 1ª Edição, 2001, p. 807. 2 MARTINS-COSTA, Judith. A concha do marisco abandonado e o nomos; in Narração e Normatividade - Ensaios de Direito e Literatura, MARTINS-COSTA, Judith (Cood.); São Paulo: Editora GZ, 2013, pgs. 8-11. 3 TEIXEIRA DE FREITAS, Augusto. Consolidação das Leis Civis, 3ª Edição; p. XXXII, Rio de Janeiro, 1876. 4 REALE, Miguel. A doutrina de Kant no Brasil (Notas à margem de um estudo de Clovis Bevilaqua). V. 42, p. 58-59. Revista da Faculdade de Direito, Universidade de São Paulo, 1947. 5 CEZAR, Denise Oliveira. Pesquisa com medicamentos - aspectos bioéticos. São Paulo: Editora Saraiva, 2012, p. 178 e seguintes. 6 HAICAL, Gustavo. A autorização no Direito Privado. Rio de Janeiro: Revista dos Tribunais, 2020. Recomendo esta obra a todos que desejem aprofundar a figura jurídica da autorização. 7 MARTINS-COSTA, Judith. A concha do marisco abandonado e o nomos; in Narração e Normatividade - Ensaios de Direito e Literatura, MARTINS-COSTA, Judith (Cood.); São Paulo: Editora GZ, 2013, pgs. 8-11. 8 MARTINS-COSTA, Judith. A concha do marisco abandonado e o nomos; in Narração e Normatividade - Ensaios de Direito e Literatura, MARTINS-COSTA, Judith (Cood.); São Paulo: Editora GZ, 2013, pgs. 8-11. 9 GOLDIM, José Roberto Goldim. O consentimento informado numa perspectiva além da autonomia. Revista AMRIGS, Porto Alegre, 46(3,4): 109-116, jul.-dez. 2002. Também acessível aqui. 10 Código Civil Brasileiro, lei 10.406/2002; Capítulo IV - Dos Defeitos do Negócio Jurídico; artigos 138 ao 156 e Capitulo V - Da invalidade do Negócio Jurídico. 11 WOLPE, Paul Root.The triumph of autonomy in American Bioethics: a sociological view. In: Raymond De Vires, Janardan Subedi. Bioethics and Society: constructing the ethical enterprise. Englewood Cliffs: Prentice-Hall, 1998, p. 49. 12 GOLDIM, José Roberto Goldim. Consentimento, capacidade e alteridade. In: Giovana Benetti; André Rodrigues Corrêa; Márcia Santana Fernandes; Guilherme Monteiro Nitschke; Mariana Pargendler; Laura Beck Varela. (Org.). Direito, Cultura e Método - Leituras da obra de Judith Martins-Costa. 1ed.Rio de Janeiro: GZ Editora, 2019, v. 1, p. 169-181. 13 CEZAR, Denise Oliveira. Pesquisa com medicamentos - aspectos bioéticos. São Paulo: Editora Saraiva, 2012, p. 178 e seguintes. 14 MARTINS-COSTA, Judith. A Boa-fé no Direito Privado - critérios para sua aplicação. São Paulo: Editora Marciel Pons, 2015, §21, p. 228-237. 15 Organização Mundial da Saúde (OMS), 2016, Clinical trials, acessado em 30 setembro de 2016. 16 Organização Mundial da Saúde (OMS), 2016, Clinical trials, acessado em 30 setembro de 2016. 17 Organização Mundial da Saúde (OMS), 2016, Clinical trials, acessado em 30 setembro de 2016. 18 Regulada pela lei 11.794/2008. 19 Goldim JR.  A Avaliac¸ão E'tica da Investigação Científica de Novas Drogas: A Importância da Caracterização Adequada das Fases da Pesquisa.  Rev HCPA. 2007;27(1):66-73. 20 GOLDIM, J. R. O consentimento informado e a adequação de seu uso na pesquisa em seres humanos. Tese (Doutorado em Medicina) - Faculdade de Medicina, Universidade Federal do Rio Grande do Sul, Porto Alegre, 1999. p. 37. 21 DOYAL, L.; TOBIAS, J. S. Informed consent in medical research. London: BMJ Books, 2001. p. 15-19. 22 GOLDIM, J. R. O consentimento informado e a adequação de seu uso na pesquisa em seres humanos. Tese (Doutorado em Medicina) - Faculdade de Medicina, Universidade Federal do Rio Grande do Sul, Porto Alegre, 1999. p. 31. "Vale destacar que o Código de Nuremberg foi o primeiro documento com repercussão internacional que estabeleceu padrões éticos mínimos aceitáveis para a realização de projetos envolvendo seres humanos." 23 ESTADOS UNIDOS DA AMÉRICA. Trials of war criminal before the Nuremberg Military Tribunals (Nuremberg Code). Control Council Law, Washington, v. 10, p. 181-182, 1949. 24 GOLDIM, José R.. Declaração de Helsinki I. Bioética. Acessível aqui. 25 Good Clinical Practice (GCP) - ICH guideline E6 (R2). Draft ICH principle. 26 Guideline for good clinical practice E6(R2) Current Step 4 version, 09 Nov 2016. 27 BOAS PRÁTICAS CLÍNICAS: DOCUMENTOS DAS AMÉRICAS. IV Conferência pan-americana para harmonização da regulamentação farmacêutica. 2-4 de Março de 2005.  28 CRONGRESSO NACIONAL, Câmara de Deputados do Projeto de Lei 7082/2017 para regular a pesquisa com seres humanos. 29 GOLDIM, J. R. O consentimento informado numa perspectiva além da autonomia. Revista da Amrigs, Porto Alegre, v. 46, n. 3-4, p.109-116, jul./dez. 2002. p. 110. 30 ALVES, Rainer G. de Oliveira.; FERNANDES, Márcia S.; GOLDIM, José Roberto. Autonomia, autoderterminação e incapacidade civil: uma análise sob perspectiva da Bioética e dos Direitos Humanos. R. Dir. Gar. Fund., Vitória, v. 18, n. 3, p. 239-266, set./dez. 2017.  31 CEZAR, Denise Oliveira. Pesquisa com medicamentos - aspectos bioéticos. São Paulo: Editora Saraiva, 2012, p. 205. 32 CEZAR, Denise Oliveira. Pesquisa com medicamentos - aspectos bioéticos. São Paulo: Editora Saraiva, 2012, p. 199-231. 33 GOLDIM, J. R. O consentimento informado e a adequação de seu uso na pesquisa em seres humanos. Tese (Doutorado em Medicina) - Faculdade de Medicina, Universidade Federal do Rio Grande do Sul, Porto Alegre, 1999. p. 62. "A autonomia ocorre quando o indivíduo reconhece que as regras são mutuamente consentidas, as respeita e tem a noção de que podem ser alteradas." 34 CEZAR, Denise Oliveira. Pesquisa com medicamentos - aspectos bioéticos. São Paulo: Editora Saraiva, 2012, p. 178 e seguintes. 35 JONAS, H. Ética, medicina e ética. Lisboa: Vega-Passagens, 1994. p. 135. 36 O'NEILL, O. Autonomy and trust in bioethics. Cambridge: Cambridge University, 2002. 37 FERNANDES, Márcia Santana. Bioética, Medicina e Direito de Propriedade Intelectual - relação entre patentes e células-tronco humanas. São Paulo: Editora Forense, 2012. 38 LIMA, Cintia R. P. de. Políticas de proteção de dados e privacidade e o mito do consentimento. Migalhas, 15 de janeiro de 2021.  39 SARLET, Gabrielle B. S.; FERNANDES, Márcia S.; RUARO, Regina L.. A proteção de dados no setor da saúde em face do sistema normativo brasileiro atual in Tratado de Proteção de Dados Pessoais, Coord. Mendes, Laura; Doneda, Danilo; Sarlet, Ingo W. e Rodrigues Jr.; Otávio, Rio de Janeiro: Editora Forense, 2021. 40 BARRETO, Mauricio L.; ALMEIDA, Bethânia; DONEDA, Danilo. Uso e proteção de dados pessoais na pesquisa científica, in Tratado de Proteção de Dados Pessoais, Coord. Mendes, Laura; Doneda, Danilo; Sarlet, Ingo W. e Rodrigues Jr.; Otávio, Rio de Janeiro: Editora Forense, 2021. 41 SARLET, Gabrielle B. S.; RUARO, Regina L.. O direito fundamental à proteção de dados sensíveis no sistema normativo brasileiro: uma análise acerca das hipóteses de tratamento e da obrigatoriedade do consentimento livre, esclarecido e informado sob enfoque da Lei Geral de Proteção de Dados(LGPD), lei 13.709/2018. in Tratado de Proteção de Dados Pessoais, Coord. Mendes, Laura; Doneda, Danilo; Sarlet, Ingo W. e Rodrigues Jr.; Otávio, Rio de Janeiro: Editora Forense, 2021.

A previsão de julgamentos judiciais é um dos campos mais aclamados para a área de pesquisa e atuação que combina Inteligência Artificial e Direito. Por previsão legal, entendemos um sistema inteligente capaz de prever desfechos judiciais específicos. Veremos neste artigo que esta área de estudo já se encontra avançada em alguns países do hemisfério norte enquanto dá os primeiros passos aqui no Brasil. Será que num futuro próximo todo escritório de advocacia terá sua própria "bola de cristal"? Será que irão "jogar com as regras"? Play by the rules?  Vejamos como poderá ser esse jogo. Preliminares O exercício da previsão de julgamentos judiciais não é domínio apenas de advogados especialistas e de réus agoniados. Estranhamente, um dos textos clássicos mais referenciados sobre este tema é do professor emérito de Matemática da Universidade de Arkansas, EUA, Ernest Ray Keown [KEOWN, 1980]. Neste texto de 1980, Prof. Keown aborda modelos lineares clássicos que agrupam julgamentos semelhantes em grupos temáticos, o que chamamos vizinhos próximos. Um caso novo, ainda por julgar, seria avaliado quanto à maior proximidade de um destes grupos temáticos e, consequentemente, a previsão seria a mesma dos casos deste grupo particular, o mais semelhante ao caso novo. Considero este artigo emblemático pois, logo na seção introdutória, Prof. Keown comenta outro célebre artigo, este datado de 1976, do também Prof. Emérito, L. Thorne McCarty, da Rutgers State University, que, há 45 anos atrás, aplica teorias baseadas em Inteligência Artificial para desenvolver métodos lógicos para analisar e prever decisões judiciais [MCCARTY, 1976]. Atualmente a pesquisa e atuação da previsão de julgamentos judiciais é bem extensa e muito aplicada, principalmente nos países que adotam a Common Law. O grupo do Dr. Yao atualiza a definição deste tipo de previsão como a que visa determinar as decisões judiciais pela descrição do fato de uma ação penal. Yao vai além e enfatiza as várias sub tarefas da previsão de julgamentos, ou seja, previsão de desfecho, previsão de artigo de lei, previsão de carga e condições de previsão de penalidade [YAO et al., 2021]. Todos sabemos que o núcleo central da Common Law, o uso de precedentes, não é um princípio comum do Civil Law, nosso modelo, embora se considere que o uso de precedentes tenha sido muito recorrente, especialmente após a Constituição do Brasil de 1988 [Lexecology, 2018]. Como chegamos aqui? Uma questão oportuna aqui seria: Mas por que escolher a área de Direito como aplicação? Já não existem outras áreas do conhecimento as quais a coleta de dados é mais fácil de ser realizadas e os dados mais objetivos para serem interpretados? Direito lida com argumentos, códigos e interpretações. A Inteligência Artificial (IA) já compreende todas essas frentes? Vamos por partes. Um dos ramos da IA é conhecido como Processamento de Língua Natural (PLN). PNL compreende uma vasta área de técnicas computacionais embasadas em teorias matemáticas para a análise automática e representação da linguagem humana [CAMBRIA & WHITE, 2014]. Os assistentes de voz Siri, da Apple, Google Assistente e a Alexa, da Amazon, são bons exemplos de aplicações dos conhecimentos da área de PLN. Mas e os textos? Eles não são mais difíceis de serem processados do que, por exemplo, uma tabela de produtos e valores? Sim, uma tabela que relaciona produtos e valores pode servir, por exemplo, para um site que ajuda as pessoas em pesquisa de preços de produtos, enquanto que fazer uma máquina "ler" mapa meteorológico e "escrever uma previsão do clima", por exemplo, é muito mais complicado. (Nota: essa aplicação em meteorologia também já existe.). Vale lembrar que o Direito é baseado num sistema de regras que regulam o comportamento humano. É praxe no Direito a produção de documentos logicamente organizados, não apenas no sentido semântico, mas no sentido organizacional do documento. Existe um padrão esperado de escrita que induz a um raciocínio. Regras, lógica, organização sequencial, indução ao raciocínio: são todos elementos que um cientista da Computação, um programador ou um analista de sistema tem plena afinidade profissional. Direito e Computação são áreas muito próximas, acreditem. Assim, recolher os atributos textuais de documentos legais, muito embora seja uma tarefa complexa, gera bons resultados justamente por provocar uma certa indução ao conhecimento. Esses atributos textuais, as palavras, frases, menções a artigos e fatos, entre outros elementos, contribuem para a formação de um arcabouço semântico que é singularmente captado pela Computação. O que diferencia as metodologias atuais, com forte reforço da IA, das metodologias passadas é basicamente o fato que esses atributos textuais, quando recuperados dos textos e armazenados, eram colocados todos como se num "grande saco de atributos", ou seja, sem uma ordem lógica devida, sem uma precedência ou noção de causa e efeito. Bem parecido com o famoso dito popular, "todos juntos e misturados". Atualmente, com as novas metodologias e recursos da IA, especialmente das estratégias que usam técnicas de aprendizado profundo, esses atributos são recuperados e armazenados sequencialmente, ou seja, o texto é lido e "entendido" na ordem que foi escrito. Parece sim ser muito óbvia essa abordagem sequencial, mas na lógica computacional essas máquinas que processam e consideram instâncias sequenciais, ou seja, o que implica evento após evento, são inovações recentes na Computação. Um dos primeiros casos de previsão de julgamento que tive contato foi com o trabalho do Prof. Nikolaos Aletras, da Universidade de Shefield, na Inglaterra [ALETRAS et al., 2016]. Esse grupo usou um conjunto de dados de casos do Tribunal Europeu dos Direitos Humanos, contendo casos que violam três artigos da sua Convenção. Estes artigos são: Artigo 3: Proíbe a tortura e os tratamentos desumanos e degradantes; para os quais coletaram dados de 250 processos; Artigo 6: Protege o direito a um julgamento justo; com dados de 80 processos; e Artigo 8: Concede o direito ao respeito pela vida privada e familiar, de seu lar e de sua correspondência; para qual finalmente reuniram 254 processos para este caso. Todos esses processos serviram como bases de aprendizado sobre ao qual testaram suas hipóteses de julgamento. Eles usaram um algoritmo de IA bastante conhecido, as Support Vector Machines, SVM, e obtiveram 78% na previsão de julgamento para o Artigo 3, 84% na previsão para o Artigo 6 e, novamente, 78% na previsão o Artigo 8. De maneira semelhante, a equipe do Dr. Josh Blackman, do South Texas College of Law Houston, usou a base de dados da Suprema Corte norte-americana para prever mais de 240 mil votos dos ministros e 28.000 desfechos durante quase dois séculos de operação desta corte (1816-2015) [KATZ et al., 2017]. Em todos os casos, eles obtiveram acurácia superior a 70% de acerto. A priori, esses números podem parecer tímidos, no entanto, vale refletir sobre quais seriam os eventuais resultados de um segundo julgamento por outros juízes humanos. Novidades brasileiras Tive o privilégio de orientar o acadêmico, cientista da computação, Vithor Gomes Ferreira Bertalan, atualmente buscando seu doutorado em Engenharia da Computação na Polytechnique Montréal, Canadá, no seu trabalho de mestrado entitulado "Using natural language processing methods to predict judicial outcomes". Para esse trabalho de previsão de julgamento, nosso mestre coletou dados do eSAJ, ou seja, do TJ/SP, Tribunal de Justiça de São Paulo, sobre os temas "homicídio simples", e "corrupção ativa". Formamos um banco de dados balanceado de processos eletrônicos, ou seja, com números equivalentes de condenações e absolvições, com 1.681 casos de homicídio e 786 de corrupção ativa. Fizemos um árduo trabalho de pré-processamento dos textos, por exemplo, eliminando algumas palavras tais como artigos e preposições e, na sequência, aplicamos técnicas variadas de Aprendizado de Máquina, ou seja, uma forma de IA. Foram essas: Regressão Logística, Análise de Discriminantes, Vizinhos comuns (lembram do artigo do Prof. Keown que também usou esta técnica), árvores de regressão, método ingênuo de Bayes e as SVM, ou seja, a mesma técnica do Prof. Aletras, já mencionado acima. Essa última técnica, em geral, produziu os melhores resultados nos dois grupos, todos superiores a 95% de acurácia [BERTALAN e RUIZ, 2020]. Os números falam por si só. A previsão de julgamentos está chegando. ASHLEY e BRÜNINGHAUS lá nos idos de 2009 já haviam previsto as duas áreas de maior impacto na confluência da Computação com o Direito, que são a classificação automática de processos e a previsão de julgamentos. De certa forma, a nossa suprema corte já validou a primeira área quando instituiu o Projeto Victor [PEIXOTO, 2020], um sistema de inteligência artificial para aplicação nos fluxos de análise de repercussão geral no Supremo Tribunal Federal. Só resta agora esperar pela próxima fase. E o futuro? A quem pertence as decisões: aos humanos ou às IAs? Nem tudo são flores. Harry Surden, num artigo de 2014 [SURDEN, 2014], já coloca algumas barreiras para a expansão das aplicações de PLN, IA e Direito. Relativamente às questões técnicas, existem algumas limitações bem conhecidas para a aplicação da IA no Direito. A primeira é que um modelo só será útil na medida em que a classe de casos futuros possua características pertinentes e comuns com os tópicos previamente analisados no conjunto de treinamento. Portanto, o modelo não contemplará mudanças sutis no pensamento judicial ao longo do tempo, apenas se essas mudanças surgirem para representar um tamanho considerável dos dados de treinamento. Outra questão é que nem todo escritório de advocacia terá um fluxo de casos suficientemente semelhantes entre si, de modo que o caso anterior tenha elementos úteis para prever resultados futuros. Assim, pode-se inferir que apenas os maiores escritórios de advocacia terão os ativos financeiros e tecnológicos necessários para desenvolver tais modelos. Quanto às questões sociais, outro possível problema, já conhecido da teoria da IA, é uma supergeneralização, também conhecida na área técnica como overfitting. O modelo é intrinsecamente baseado nos casos previstos para o conjunto de treinamento. Assim, se o conjunto de treinamento contiver casos tão afinados com as idiossincrasias de algumas questões judiciais, não poderá ter a adaptabilidade necessária a casos de diferentes naturezas judiciais. Por esse motivo, os dados de casos anteriores, nos quais um algoritmo de aprendizado de máquina é treinado, podem ser sistematicamente tendenciosos para levar a resultados imprecisos em futuros processos judiciais. Neste mundo novo, uma predição é certa: essas pesquisas por melhores métodos de previsão continuarão, as máquinas de IA ficarão mais "inteligentes" e poderosas do que são hoje, a qualidade dos atributos que conseguiremos recuperar dos textos será incrementada e esses métodos de previsão trarão resultados cada vez mais próximos dos resultados humanos. Certamente esse futuro será desafiador, tanto para o Direito quanto para a Computação, não espere para ver. Participe! Referências bibliográficas KEOWN, R. Mathematical models for legal prediction. Computer / Law Journal, v. 2, p. 829, 1980. MCCARTY, L. Thorne. Reflections on TAXMAN: An experiment in artificial intelligence and legal reasoning. Harv. L. Rev., v. 90, p. 837, 1976. YAO, Fanglong et al. Commonalities-, specificities-, and dependencies-enhanced multi-task learning network for judicial decision prediction. Neurocomputing, v. 433, p. 169-180, 2021. CAMBRIA, Erik; WHITE, Bebo. Jumping NLP curves: A review of natural language processing research. IEEE Computational intelligence magazine, v. 9, n. 2, p. 48-57, 2014. Lexecology. Disponível aqui. Último acesso em 20 de setembro de 2021. SURDEN, Harry. Machine learning and law. Wash. L. Rev., v. 89, p. 87, 2014. ALETRAS, Nikolaos et al. Predicting judicial decisions of the European Court of Human Rights: A natural language processing perspective. PeerJ Computer Science, v. 2, p. e93, 2016. KATZ, Daniel Martin; BOMMARITO, Michael J.; BLACKMAN, Josh. A general approach for predicting the behavior of the Supreme Court of the United States. PloS one, v. 12, n. 4, p. e0174698, 2017. BERTALAN, Vithor Gomes Ferreira. Using natural language processing methods to predict judicial outcomes. 2020. Dissertação (Mestrado em Computação Aplicada) - Faculdade de Filosofia, Ciências e Letras de Ribeirão Preto, Universidade de São Paulo, Ribeirão Preto, 2020. doi:10.11606/D.59.2020.tde-04012021-232455. Acesso em: 20 de setembro de 2021. BERTALAN, Vithor Gomes Ferreira; RUIZ, Evandro Eduardo Seron. Predicting Judicial Outcomes in the Brazilian Legal System Using Textual Features. In: DHandNLP@ PROPOR. 2020. p. 22-32. ASHLEY, Kevin D.; BRÜNINGHAUS, Stefanie. Automatically classifying case texts and predicting outcomes. Artificial Intelligence and Law, v. 17, n. 2, p. 125-165, 2009. PEIXOTO, Fabiano Hartman. Projeto Victor: relato do desenvolvimento da Inteligência Artificial na Repercussão Geral do Supremo Tribunal Federal. Revista Brasileira de Inteligência Artificial e Direito. v. 1 n. 1, 2020. *Evandro Eduardo Seron Ruiz é professor Associado do Departamento de Computação e Matemática, FFCLRP - USP, onde é docente em dedicação exclusiva. Atua também como orientador no Programa de Pós-graduação em Computação Aplicada do DCM-USP. Bacharel em Ciências de Computação pela USP, mestre pela Faculdade de Engenharia Elétrica da UNICAMP, Ph.D. em Electronic Engineering pela University of Kent at Canterbury, Grã-Bretanha, professor Livre-docente pela USP com estágios sabáticos na Columbia University, NYC e no Instituto de Estudos Avançados da USP (IEA-USP). Coordenador do Grupo de Pesquisa "Tech Law" do IEA-USP. Membro fundador do Instituto Avançado de Proteção de Dados - IAPD. (www.iapd.org.br).

A Lei Geral de Proteção de Dados Pessoais (lei 13.709/18) admite em seu artigo 14 (seção III, do Capítulo II) as crianças e adolescentes como titulares de dados pessoais. Ainda que assim não o fizesse, as garantias de direitos a crianças e adolescentes são uma derivação direta do seu reconhecimento constitucional como pessoa em condição de vulnerabilidade e em desenvolvimento. Significa dizer que as crianças e adolescentes devem ter resguardados e promovidos, em caráter prioritário, os direitos fundamentais e as garantias que são previstas não só no artigo 5º, como também no art. 227 e seguintes, da Constituição Federal. O caput do artigo 14 reitera esse entendimento ao reconhecer que o tratamento de dados pessoais de crianças e de adolescentes deverá ser realizado sempre em seu melhor interesse. Apesar de indicar no caput o adolescente como titular de dados pessoais, o conjunto de parágrafos do artigo 14 não deixa dúvidas acerca do seu alcance limitado a crianças, na medida em que em nenhuma outra oportunidade faz menção ao termo adolescente . A restrição é estabelecida logo no parágrafo 1º com a dicção literal: "o tratamento de dados pessoais de crianças deverá ser realizado (...)", para então, nos parágrafos subsequentes, fazer referência sempre aos termos do que está disposto neste parágrafo inicial. Significa dizer que os adolescentes terão tutelados os seus dados pessoais sempre à luz do princípio do melhor interesse, mas as regras específicas previstas no artigo 14 e seus parágrafos só serão aplicadas às situações de tratamento de dados de crianças. No que tange às crianças, além da obtenção do consentimento específico e em destaque (artigo 14, § 1º), outras obrigações são impostas aos controladores. De acordo com o parágrafo 2º, o controlador tem o dever de publicidade em relação aos tipos de dados coletados, forma de uso, bem como dos procedimentos para o exercício dos direitos dos titulares, na forma do artigo 18, LGPD. Tal imposição, de certo modo, reforça o princípio da transparência (artigo 6º, VI), que garante aos titulares informações claras e de fácil obtenção sobre as operações de tratamento e seus agentes. No mesmo sentido, o artigo 9º faculta ao titular acesso facilitado sobre seus dados pessoais. A diferença entre o mandamento de publicidade contido no parágrafo 2º do artigo 14, e da garantia de acesso do artigo 9º, LGPD, parece estar na disposição a priori e generalizada sobre o tratamento de dados de crianças, em contraposição à necessidade de solicitação individual e específica em se tratando de dados de adultos (e adolescentes). Em seguida, o parágrafo 3º do artigo 14 apresenta duas exceções à exigência do consentimento dos pais ou representantes para a coleta de dados de crianças, quais sejam, a necessidade de que esse tratamento seja realizado com o objetivo de contactar os seus responsáveis, ou para a sua imediata proteção. Importa ressaltar que a exceção à obrigatoriedade do consentimento diz respeito à atividade de tratamento específica da coleta, não alcançando as outras formas de tratamento descritas no artigo 5º, X, da LGPD, a exemplo de classificação, reprodução e distribuição. Inclusive o texto legal veda o armazenamento e compartilhamento dessa informação. Destaca-se a imprecisão do termo "proteção" para embasar a exceção ao consentimento. Andaria melhor uma conceituação mais específica, pois "proteção da criança" pode significar sua defesa, segurança, acolhimento, cuidado, amparo, ajuda, entre outros sentidos. De modo a reforçar a proteção de crianças em atividades de entretenimento na internet, o parágrafo 4º impõe que o controlador não exija o fornecimento de informações do titular além do estritamente necessário. O objetivo é evitar que se estabeleçam políticas conhecidas por "tudo ou nada", que obrigam o usuário a concordar com todas as disposições sob pena de não acessar o serviço1. No entanto, não é evidente a quais informações o legislador se refere quando determina que o controlador se restrinja às "estritamente necessárias à atividade". Cabe ressaltar que a depender do tipo de conteúdo oferecido existirá uma ampla variedade nesta esfera, a exemplo de dados de localização e acesso à câmera dos dispositivos para jogos envolvendo realidade aumentada.2 A categoria de brinquedos conectados à internet também é fonte de preocupação quanto ao volume de informações havendo o risco de se transformar em um espião dentro do quarto da criança, enviando seus dados sem o consentimento dos pais3. Além disso, caberá ao controlador os esforços para garantir que o consentimento foi de fato dado pelo responsável da criança (§ 5º) . Trata-se de uma obrigação a ser cumprida pelo agente de tratamento levando em consideração o estágio tecnológico atual. O desafio que se impõe é a garantia do envolvimento do responsável. A agência norte-americana Federal Trade Comission (FTC) traz algumas sugestões para as organizações que precisam atender a  mandamento semelhante presente no Children's Online Privacy Protection (COPPA). Para o acesso a atividades que demandam transações monetárias, a etapa da verificação parental parece se resolver mais facilmente com o uso do cartão de crédito e o sistema de notificação por compras realizadas4. A comprovação de identidade representa um desafio aos agentes de tratamento não só no âmbito do processamento de dados de crianças, mas também nas situações relacionadas ao exercício dos direitos dos titulares na forma do artigo 18. Importante ressaltar que além das duas exceções ao consentimento parental já mencionadas no § 3º (artigo 14), existem outras hipóteses que podem legitimar operações com dados de crianças. Os artigos 7º e 11, da LGPD, indicam as bases legais que autorizam o tratamento de dados pessoais e de dados pessoais sensíveis, respectivamente. No entanto, ao trazer regras específicas para o tratamento de dados pessoais de crianças e adolescentes em sessão própria (III) do capítulo II, é preciso identificar se e quais hipóteses gerais (artigos 7º e 11) se aplicam a menores. Entende-se que as bases legais constituem um rol taxativo que deve ser observado pelos controladores ao indicarem a fundamentação para o tratamento de dados pessoais. Se, dentre as bases legais previstas, não houver hipótese para o enquadramento do tratamento, restará ao controlador dois requisitos sobre os quais constituir a sua fundamentação: o consentimento do titular ou o legítimo interesse do controlador. Estas seriam bases legais residuais5. Portanto, a dinâmica no que se refere às crianças indica que o consentimento na forma como é estabelecido no artigo 14, § 1º será o requisito legal mandatório quando outras hipóteses relacionadas tanto no artigo 7º, quanto no artigo 11, não se constituírem como enquadramento adequado, ressalvado o legítimo interesse do controlador. É o caso da hipótese de cumprimento de obrigação legal ou regulatória pelo controlador (Art. 7º, II) quando, por exemplo, a instituição de ensino infantil público ou particular deve enviar dados dos alunos para o MEC para fins relacionados ao Censo Escolar. Da mesma forma, ainda em ambiente escolar, pode se fazer necessário o compartilhamento de dados da criança com determinado serviço de saúde para seu atendimento em situação de emergência. Neste caso, a legitimidade do tratamento é extraída do artigo 11, II, f: tutela da saúde, exclusivamente, em procedimento realizado por profissionais de saúde, serviços de saúde ou autoridade sanitária. Há que se considerar também a hipótese de tratamento de dados de crianças pela Administração Pública para o desenvolvimento de políticas públicas em âmbito educacional ou de saúde, na forma dos artigos 7º, III e 11, II, b.  Adicionalmente pode-se entender que a base legal veiculada no artigo 7º, X, proteção do crédito, é autorizativa para a investigação de fraudes envolvendo dados de crianças (fraude contra credores ou fraude à legítima, por exemplo). A intenção aqui não é exaurir as possibilidades de tratamento de dados infantis fora da regra do artigo 14, § 1º, qual seja: consentimento de um dos pais ou responsável legal da criança, mas tão simplesmente fazer a leitura integrada com as demais hipóteses legais da LGPD. Contudo, em homenagem à posição de vulnerabilidade própria da criança deveriam as bases legais dos artigos 7º e 11 serem submetidas, a priori, ao princípio do melhor interesse? Se sim, podemos assumir que estamos diante de uma cláusula geral de força significativa, a ponto de dificultar ou mesmo impedir a aplicação dos artigos 7 º e 11? De todas as hipóteses dos artigos em referência (7 º e 11), o interesse legítimo do controlador ou de terceiro é a que mais desafia à reflexão. A primeira conclusão é a de que se o tratamento de dados pessoais precisa ser realizado nos termos do melhor interesse naquilo que lhe é especial, e com camada extra de proteção conforme o artigo 14, também o deverá ser naquilo que lhe é geral (artigos 7o e 11). Entretanto, em situação peculiar se encontra o interesse legítimo do controlador ou de terceiro (artigo 7o, IX). Neste caso, entendemos pela incompatibilidade desta base legal aplicada ao tratamento de dados de crianças e adolescentes por um motivo principal: a cláusula geral do melhor interesse se impõe como filtro antecedente tornando prejudicada a possibilidade de qualquer outro interesse prevalecer além daquele (criança ou adolescente). Nesse sentido é como entende Roberta Mauro Medina Maia para quem "(...) como se sabe, em muitos casos, a cláusula geral de legítimo interesse do controlador será utilizada justamente para que os interesses deste na coleta e no tratamento dos dados pessoais possam se sobrepor aos interesses do titular, quando eventualmente contrapostos".6 Outro motivo para apontarmos a incompatibilidade entre a aplicação do legítimo interesse e o tratamento de dados de crianças e adolescentes é o fato de estamos diante de uma base legal que é em si mesma uma cláusula geral. Assim sendo, a flexibilidade garantida à sua aplicação, ainda que limitada pela análise do caso concreto e atrelada ao princípio da finalidade, não se coaduna com o maior rigor exigido ao tratamento de dados de crianças e adolescentes. Por esse ângulo, avocando de maneira preliminar o princípio do melhor interesse, somado às características intrínsecas de flexibilidade e abertura próprias da base legal do legítimo interesse, entendemos pela impossibilidade de sua aplicação no que diz respeito ao tratamento de dados de crianças e adolescentes. Em conclusão, percebe-se que o sentido da norma do artigo 14, in totum, da LGPD, é resguardar os interesses das crianças, na medida em que consideradas sem o necessário discernimento para manifestar o consentimento para o tratamento de seus dados. E que aos adolescentes, incluídos na redação do artigo, deve ser garantida a sua plena manifestação por meio do consentimento, mas que este deverá ser sempre limitado ou filtrado pelo princípio da prioridade absoluta e do melhor interesse que guiam toda relação jurídica que tenham as crianças e os adolescentes como seus sujeitos.  Mariana Palmeira é Advogada. Professora da PUC-Rio. Pesquisadora do Legalite (Núcleo  de Pesquisa em Direito e Tecnologia). Doutoranda em Teoria do Estado e Direito Constitucional pela PUC-Rio.  Caitlin Mulholland é Professora da PUC-Rio. Coordenadora do Legalite (Núcleo  de Pesquisa em Direito e Tecnologia). Doutora em Direito Civil pela UERJ. __________ 1 TEFFÉ, Chiara Spadaccini de. Tratamento de dados pessoais de crianças e adolescentes: considerações sobre o artigo 14 da LGPD. In: Mulholland, Caitlin (Org.). A LGPD e o novo marco normativo no Brasil. Porto Alegre: Arquipélago, 2020. p. 171. 2 Um exemplo típico é o Pokemon GO, disponível para Android e IOS, voltado para pessoas a partir de 9 anos, conforme informação do desenvolvedor (Niantic). O jogo é uma combinação de realidade aumentada com múltiplos participantes no ambiente online (MMO). 3 LEAL, Livia Teixeira. Internet of toys: os brinquedos conectados à internet e o direito da criança e do adolescente. Revista Brasileira de Direito Civil - RBDCIVIL | Belo Horizonte, vol. 12, p. 175-187, abr./jun. 2017. 4 No entanto, para todas as demais atividades que não envolvem pagamento e que são destinadas a crianças, a verificação proposta pelo FTC conforme mencionada anteriormente, parece se mostrar distante da realidade. Como exemplo a FTC lista as seguintes sugestões: consentimento por escrito enviado ao controlador por meio de carta, fax, ou e-mail; consentimento por voz através de um número gratuito; vídeo-chamada; submissão da carteira de motorista do responsável seguida pelo envio de uma foto e do subsequente recurso de reconhecimento facial para confirmação da identidade. 5 Nesse sentido, "há também menção na LGPD a hipóteses de tratamento de dados de menores sem necessidade de consentimento. Como afirmado na primeira parte do texto, o consentimento é uma das bases legais para o tratamento de dados, mas não a única. No caso em tela, que envolve menores de idade, não foi estabelecida norma com rol específico para o tratamento de dados desses sujeitos, devendo ser aplicadas como regra, as disposições dos artigos 7o  e 11". TEPEDINO, Gustavo; TEFFÉ, Chiara Spadaccini de. Consentimento e proteção de dados pessoais na LGPD. In: TEPEDINO, Gustavo; FRAZÃO, Ana; OLIVA, Milena Donato (org.). Lei Geral de Proteção de Dados Pessoais e suas repercussões no Direito Brasileiro. 2. ed. São Paulo: Thomson Reuters Brasil, 2020. Cap. 10. p. 282-318. 6 MAIA, Roberta Mauro Medina. O legítimo interesse do controlador e o término do tratamento de dados pessoais. In: Mulholland, Caitlin (Org.). A LGPD e o novo marco normativo no Brasil. Porto Alegre: Arquipélago, 2020. p. 104.

A grande repercussão de recentes crimes cibernéticos - usualmente do tipo ramsonware - tem atraído os olhares da população para a quantidade de dados que circula pela Rede Mundial de Computadores e para os riscos envolvidos nas atividades de tratamento. Além disso, falhas de segurança, muitas delas evitáveis e previsíveis, expõem vulnerabilidades técnicas que acirram irregularidades, evidenciando práticas que não atendem aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais da proteção de dados pessoais, propiciando maior recorrência de danos. Situações assim são noticiadas pela mídia sob a alcunha de "vazamentos"1, embora este termo não corresponda a um conceito técnico. Aliás, a despeito de a Lei Geral de Proteção de Dados Pessoais (lei 13.709/2018, ou apenas LGPD) apresentar um rol de conceitos bastante elucidativo (art. 5º), não há qualquer descrição sobre o que sejam "vazamentos" ou, em termos mais apropriados, "incidentes de segurança". Trata-se de uma omissão da lei brasileira, que, nesse aspecto, deixou de se inspirar no Regulamento UE 2016/679 (Regulamento Geral sobre a Proteção de Dados, ou RGPD) europeu, que prevê, textualmente, o conceito de "violação de dados pessoais". Tal definição consta do artigo 4º, item 12, do RGPD: "uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso, não autorizados, a dados pessoais transmitidos, conservados ou sujeitos a qualquer outro tipo de tratamento".2 Na LGPD, uma leitura atenta do texto permitirá concluir que a palavra "vazamento" aparece uma única vez, no §7º do artigo 52, que é fruto da reforma empreendida pela Medida Provisória nº 869, de 27 de dezembro de 2018, posteriormente convertida na Lei nº 13.853, de 8 de julho de 2019. Não havia qualquer menção a tal palavra no texto originalmente promulgado. Aliás, no referido dispositivo, são citados os "vazamentos individuais" e os "acessos não autorizados", com expressa remissão ao artigo 46, que inaugura o capítulo da lei dedicado à segurança e às boas práticas. Consta do artigo 46, caput, da LGPD que "os agentes de tratamento devem adotar medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais de acessos não autorizados e de situações acidentais ou ilícitas de destruição, perda, alteração, comunicação ou qualquer forma de tratamento inadequado ou ilícito." Se comparado ao artigo 4º, item 12, do RGPD, algumas semelhanças serão prontamente percebidas, embora não haja um conceito assertivo no dispositivo da lei brasileira. No caput do artigo 48, evidências mais concretas do escopo protetivo da LGPD podem ser inferidas da expressão "incidente de segurança". Não há, entretanto, absoluta clareza conceitual sobre a expressão, uma vez que o dispositivo cuida de estabelecer o dever do controlador de comunicar à Autoridade Nacional de Proteção de Dados - ANPD e ao titular a ocorrência do sobredito incidente. Uma tentativa elogiável de colmatação do abstruso conceito é fruto do labor da ANPD, que editou um guia procedimental para a comunicação de incidentes de segurança, disponibilizado em seu sítio virtual, donde consta que "um incidente de segurança com dados pessoais é qualquer evento adverso confirmado, relacionado à violação na segurança de dados pessoais, tais como acesso não autorizado, acidental ou ilícito que resulte na destruição, perda, alteração, vazamento ou ainda, qualquer forma de tratamento de dados inadequada ou ilícita, os quais possam ocasionar risco para os direitos e liberdades do titular dos dados pessoais."3 O conceito de "incidente de segurança" proposto pela ANPD é mais detalhado do que o de "violação de dados pessoais" do regulamento europeu. Fala-se até mesmo no famigerado "vazamento", considerado espécie de incidente de segurança, assim como a perda, a alteração ou quaisquer outras formas de tratamento inadequado ou ilícito. O rol é evidentemente exemplificativo, haja vista o emprego da locução "tais como". Logo, ao menos pelo glossário que rege a interpretação feita pela autoridade brasileira, quando se fala que houve um "vazamento de dados", o que se considera é uma modalidade específica de incidente de segurança, embora não se tenha explicações mais detalhadas sobre o que o configura. Sequer a tradução da língua inglesa oferece uma explicação definitiva para o termo "vazamento", pois é usual a utilização da expressão personal data breach para se referir a tais eventos.4 A palavra breach é melhor traduzida como "violação", que é exatamente o vocábulo adotado nas versões oficiais do regulamento europeu para países de línguas românicas (derivadas do latim), a saber: Portugal, Espanha, França, Itália e Romênia.5 A palavra inglesa leak estaria melhor associada ao termo "vazamento" e a problemas de quebra da confidencialidade.6 Talvez haja alguma correlação da popularização do termo leak com a proeminência midiática das ações adotadas pelo sítio eletrônico "WikiLeaks", criado por Julian Assange e que está em operação desde 2006. No referido portal, documentos sensíveis e usualmente obtidos de forma ilícita são expostos ao público em ações de hacktivismo.7 É curioso imaginar que alguma espécie de associação do termo "vazamento" à frase "dados são o novo petróleo" ("data is the new oil"), cunhada pelo matemático Clive Humby, possa fazer algum sentido. Sabe-se que tal afirmação é uma alogia, uma vez que a informação que circula pela internet não é caracterizada pela finitude, como o é o petróleo. De qualquer forma, espera-se que a elucidação seja concretizada em ato normativo infralegal, editado pela autoridade brasileira em cumprimento à competência que lhe é imposta pela lei (art. 55-J, XIII, da LGPD). De todo modo, a falta de um conceito expresso não deve conduzir à equivocada interpretação de que certas falhas estejam fora do contexto almejado pelo legislador para a consolidação da proteção de dados pessoais no Brasil. É sempre prudente lembrar que, como prevê o artigo 49 da LGPD, "os sistemas utilizados para o tratamento de dados pessoais devem ser estruturados de forma a atender aos requisitos de segurança, aos padrões de boas práticas e de governança e aos princípios gerais previstos nesta Lei e às demais normas regulamentares." Portanto, uma leitura transversal da LGPD, corroborada por sua estrutura principiológica e por regulamentos, como os que venham a ser editados pela ANPD, permite concluir que os agentes de tratamento estão, de fato, vinculados à observância de parâmetros de prevenção contra quaisquer eventos adversos confirmados e que representem 'resultados e riscos' indesejados, a configurar espécie de tratamento irregular. Isso consta, inclusive, do artigo 44, inciso II, da LGPD, o que realça a constatação de que não há, na lei, um regime subjetivo de responsabilidade civil. Bem ao contrário, entendemos tratar-se de modalidade de responsabilidade civil objetiva especial, tal como explicado em publicação realizada em coautoria com Rafael de Freitas Valle Dresch8, que já foi corroborada, nesta coluna, em diversas publicações anteriores.9 O princípio da prevenção (art. 6º, VIII) é norma de grande importância para a estruturação dessa conclusão, pois é tal postulado que reverbera seus efeitos quanto à natureza cogente da lei - extraída da utilização do verbo 'dever' (no plural, 'devem') no caput do artigo 46 - quanto à adoção de "medidas de segurança, técnicas e administrativas aptas a proteger os dados pessoais", o que é reforçado pelas circunstâncias descritas no rol de incisos do artigo 44. Em sintonia com o pensamento de Bart van der Sloot, que reconhece a 'privacidade como virtude'10, agrega-se aos citados argumentos a indução à conformidade, mediante a regulação da gestão de riscos a partir de uma noção de reciprocidade, que congrega todos os agentes envolvidos nas atividades de tratamento, em atuação cooperativa e motivada pelo rol de princípios da lei, com destaque à boa-fé (art. 6º, caput) e à transparência (art. 6º, VI), para a garantia de adequada ciência quanto ao tratamento realizado e às adversidades concernentes aos incidentes de segurança (art. 9º e art. 48, §1º). Logo, sejam os "vazamentos" considerados espécie do gênero "incidente de segurança" - como sugere a ANPD - ou uma categoria sui generis de ilícito relativo a dados pessoais, fato é que sua ocorrência será determinada pela concretude danosa de natureza patrimonial, moral, individual ou coletiva (art. 42), catalisada pela irregularidade da atividade de tratamento, cuja aferição não deverá se pautar por qualquer espécie de culpa, mas pela identificação casuística das situações acidentais ou ilícitas (art. 46) que permitam concluir, a partir de circunstâncias objetivas (art. 44, I a III), que o tratamento realizado, em qualquer de suas etapas, até mesmo após o término (art. 47), não oferece a segurança esperada pelo titular (arts. 44, caput, e 49), e desde que o nexo causal não seja excepcionalmente afastado (art. 43).  *José Luiz de Moura Faleiros Júnior é doutorando em Direito pela USP e pela UFMG. Mestre e bacharel em Direito pela Faculdade de Direito da UFU. Especialista em Direito Processual Civil, Direito Civil e Empresarial, Direito Digital e Compliance. Membro do Instituto Avançado de Proteção de Dados - IAPD e do Instituto Brasileiro de Estudos de Responsabilidade Civil - IBERC. Advogado e professor. __________ 1 Eventos de grandes proporções também já foram noticiados como "megavazamentos". Exemplo recente foi o que envolveu a exposição ilícita dos números de CPF de 223 milhões de brasileiros, quantidade superior à da população do Brasil, atualmente estimada em cerca de 212 milhões. 2 Disponível aqui. Acesso em: 7 set. 2021. 3 AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Comunicação de incidentes de segurança, 22 fev. 2021. Disponível aqui. Acesso em: 7 set. 2021. 4 DAVIDOFF, Sherri. Data breaches: crisis and opportunity. Boston: Addison-Wesley, 2020. p. 4-13. 5 Como foi dito, na versão oficial do RGPD, em Língua Portuguesa, fala-se em "violação de dados pessoais". Por sua vez, os demais países citados adotam as seguintes traduções: "violación de la seguridad de los datos personales" (espanhol), "violation de données à caractère personnel" (francês), "violazione dei dati personali" (italiano), "încalcarea securita?ii datelor cu caracter personal" (romeno). As traduções podem ser consultadas aqui. 6 TAMÒ-LARRIEUX, Aurelia. Designing for privacy and its legal framework: data protection by design and default for the Internet of Things. Cham/Basileia: Springer, 2018. p. 104. A autora anota: "In the early stages of this research, the term "privacy" referred to problems relating to the confidentiality of data, with the main issue being the leakage of data to unauthorized parties." 7 Para melhor compreender o tema, consultar, por todos, GREENBERG, Andy. This machine kills secrets: how WikiLeakers, cypherpunks, and hacktivists aim to free the world's information. Nova York: Dutton, 2012. 8 DRESCH, Rafael de Freitas Valle; FALEIROS JÚNIOR, José Luiz de Moura. Reflexões sobre a responsabilidade civil na Lei Geral de Proteção de Dados (Lei 13.709/2018). In: ROSENVALD, Nelson; DRESCH, Rafael de Freitas Valle; WESENDONCK, Tula (Coord.). Responsabilidade civil: novos riscos. Indaiatuba: Foco, 2019. p. 65-90. 9 Conferir, sobre o tema, a coluna de 2 de julho de 2020, com o título "A especial responsabilidade civil na Lei Geral de Proteção de Dados", escrita por Rafael de Freitas Valle Dresch (em: https://s.migalhas.com.br/S/D21584); a de 27 de novembro de 2020, intitulada "Direito fundamental à proteção de dados e responsabilidade civil", escrita pelo mesmo autor, mas em coautoria com Lílian Brandt Stein (aqui); e, ainda, a coluna de 19 de março de 2021, "O compliance e a redução equitativa da indenização na LGPD", assinada por Nelson Rosenvald (aqui).   10 VAN DER SLOOT, Bart. Privacy as virtue: moving beyond the individual in the Age of Big Data. Cambridge: Intersentia, 2017. p. 169.

Em um mundo totalmente conectado, onde dados pessoais estão sendo capturados, compartilhados, armazenados a todo momento, como podemos exercer o livre desenvolvimento da personalidade se em todo site temos nosso "eu" digital montado através desses dados? O que se entende como sociedade da informação adquiriu importância em escala mundial, fundamentado na crença de que sua consolidação favoreça a integração global nos diferentes aspectos da vida humana.1 Tornando assim, como grande dilema, o fato de registros do passado, que com a tecnologia atual capaz de dados serem armazenados eternamente, podem gerar consequências posteriormente a data em que o evento foi esquecido pela mente humana. E esse dilema é agravado pela circunstância de que os usuários da internet, cujos passos são sempre reconstruídos pelas técnicas de rastreamento são frequentemente privados da escolha quanto a técnica de obtenção de dados e quando essas informações que são recolhidas ao seu respeito.2 Stefano Rodotà afirma que muitas vezes foi dito que a tecnologia põe cada um de nós na condição de encontrar um lugar virtual no qual satisfazer nossos próprios interesses. Mas esse processo de seleção dos interesses levaria a uma maior fragmentação social, e não há fortalecimento do sentido de comunidade. Os dados disponíveis, de qualquer forma, mostram com clareza que as comunidades virtuais já oferecem também a possibilidade de estabelecer ligações sociais particularmente intensas, ou se apresenta até mesmo como único modo de se fazer parte de uma formação social para aqueles do jeito que, de outra forma, estaria condenado ao isolamento.3 Se Rodotà afirma que no ambiente virtual procuramos nossos próprios interesses, Eli Pariser coloca o contrário. Para Pariser, o futuro da personalização, e da própria computação, é uma estranha bagunça do que é real e do que é virtual. O futuro em todos os espaços, seja ele real ou virtual, possui o que os pesquisadores chamam de "inteligência ambiental". É um futuro no qual o ambiente se modifica para se adequar às nossas preferências e até ao nosso humor. E é um futuro no qual os publicitários vão desenvolver maneiras cada vez mais poderosas de distorcer a realidade para conseguir que seus produtos sejam vistos.4 E se a técnica do perfilamento digital, ou em inglês profiling, nos alcança em todas as plataformas, sites e dispositivos, tudo isso significa que nosso comportamento se transformou em uma mercadoria, um pedaço pequenino de um mercado que serve como plataforma para a personalização de toda a internet. Em última análise, a bolha dos filtros pode afetar nossa capacidade de decidir como queremos viver. Para sermos os autores da nossa própria vida temos que estar cientes da variada gama de opções e estilos de vida disponíveis.5 Quando entramos numa bolha de filtros, permitimos que as empresas que a desenvolveram escolham as opções das quais estaremos cientes. Talvez pensemos ser os donos do nosso próprio destino, mas a personalização pode nos levar a uma espécie de determinismo informativo, no qual aquilo em que clicamos no passado determina o que veremos a seguir - uma história virtual que estamos fadados a repetir. E com isso ficamos presos numa versão estática, cada vez mais estreita de quem somos - uma repetição infindável de nós mesmos.6 Mas realmente permitimos que isso tudo aconteça? Ou somos apenas obrigados a selecionar "Concordo com os Termos de Uso"? Para Mafalda Miranda Barbosa ao colocar o consentimento em pé de igualdade com outros fundamentos da licitude da recolha e tratamento de dados, a autonomia de que se cura não poderá ser vista como o objeto da tutela, mas como um pilar fundamental para o exercício de outro bem jurídico que se protege a este nível.7 O consentimento, que corporiza a autonomia, surge, a este nível, como uma forma de afastar a ilicitude de um atentado não contra a própria autonomia que se exerce, mas contra um outro bem jurídico.8 Em regra geral, o que a Lei Geral de Proteção de Dados (LGPD), no Brasil, e o Regulamento Geral de Proteção de Dados (RGPD), na União Europeia, preveem é que se o titular dos dados não puder exercer uma verdadeira escolha, se sentir coagido a dar o consentimento ou sofrer consequências negativas caso não consinta, então o consentimento não é válido, ou seja, a expressão "livre", prevista em ambas as leis, implica uma verdadeira escolha e controle para os titulares dos dados.9 Mas se não somos livres para concordar ou não com os termos, isso fere o que chamamos de autodeterminação informacional. E esse deve ser sempre a pedra angular sobre a qual se estrutura o tratamento dos dados pessoais. Entende-se que não é a vontade do titular dos dados que define o nível de proteção a que eles ficam sujeitos, dependendo a proteção outorgada a cada tipo ou categoria de dados da vontade do legislador, mas existe uma relação necessária entre o consentimento e a licitude da recolha e tratamento dos dados que apenas poderá ser afastada ou derrogada nos casos particulares previstos na lei.10 E como temos o direito de autodeterminar onde nossos dados estarão na internet, é importante, também, termos ferramentas para conseguir exercer esse direito. E aqui é onde o direito ao esquecimento surge para realmente exercermos a nossa vontade perante os servidores e podermos ser aquilo que somos no "mundo offline". Para Alexandre Sousa Pinheiro, quando o responsável pelo tratamento for obrigado a apagar um dado pessoal, terá que adotar as medidas que forem razoáveis para informar os responsáveis pelo tratamento e os subcontratantes sobre o apagamento. Para tanto, deverá informar sobre quais dados pessoais de que o titular dos dados solicitou o apagamento nos sites e aplicativos, bem como solicitar o apagamento das cópias, réplicas, ou reprodução deles. Este preceito trata do direito a ser esquecido em linha, que se consubstancia na adoção de medidas técnicas, por parte do responsável pelo tratamento para informar outros sites de que determinado titular requereu apagamento de seus dados pessoais.11 E o grande dilema hoje é como podemos ser nós mesmos, se tudo que fazemos está se tornando eterno? As novas tecnologias fazem do ato de esquecer, que antes era regra, exceção. Por isso precisamos de mecanismos, legais e tecnológicos, para encontrar o equilíbrio. Não se trata apenas de perdoar atitudes questionáveis, mas de assumir que ações comuns, como tirar fotos ou entabular conversas privadas, se porventura descontextualizadas não podem ser critério para definir o caráter ou a competência de alguém. O referido autor defende que as pessoas tenham total controle sobre as suas pegadas digitais: fotografias poderiam ter data de validade e ser apagadas depois de um certo tempo.12 O Direito ao Esquecimento surge como uma forma de resposta também à Liberdade de Expressão. Ao invadir a privacidade, ou mesmo, ao impedir o livre desenvolvimento da personalidade humana, poderá o ofendido, quando não existe um interesse coletivo comprovado no fato, de solicitar que a postagem que se refere a ele seja apagada e esquecida. Todavia, ao entender que ambos são direitos fundamentais, porém não absolutos, deverá a corte do juízo decidir para que lado a justiça irá pender. O direito de ser esquecido permite que um indivíduo controle seus dados pessoais se não for mais necessário para seu propósito original, ou se por algum outro motivo, desejar retirar o consentimento quanto ao seu processamento, entre outras razões.13 Permite que o usuário da internet realmente decida o que realmente define ele dentro no ambiente on-line, exercendo o livre desenvolvimento da personalidade também no âmbito virtual. Tanto que na Alemanha, na decisão do Bundesgerichtshof (BGH), de 27 de julho de 2020, traz o direito à desindexação, e, por conseguinte, o apagamento e o esquecimento como não absoluto. Mesmo que no processo tenha negado o direito à desindexação ao autor, colocando como princípio o interesse geral e a não possibilidade de desvincular os acontecimentos ao autor, a Corte foi bem clara em colocar a existência do direito ao esquecimento como um direito fundamental e que deve ser julgado em cada caso particular, ao confronto de dois ou mais direitos fundamentais.14 A eliminação que é colocada no inc. VI, da LGPD, foi apresentada de forma superficial, se comparada com a proteção que o RGPD trouxe para a União Europeia. No RGPD, a eliminação é prevista no art. 17.º como "Direito ao apagamento de dados (direito a ser esquecido)". O apagamento permite que os titulares de dados solicitem a eliminação dos seus dados pessoais quando a sua retenção ou processamento viola os termos do regulamento, em particular (mas não exclusivamente), por estarem incompletos ou imprecisos.15 O RGPD confere aos titulares dos dados pessoais o direito de solicitarem que estes sejam apagados, e os responsáveis ou os subcontratantes têm a obrigação de fazê-lo, com mais brevidade, tendo a finalidade que esse dado seja apagado ao ponto de ser esquecido. Requisitos esses que a LGPD não especificou como a legislação da União Europeia.16 O direito ao esquecimento possui uma abrangência ampla, pois envolve fatos que, por causa do fator tempo, perderam relevância histórica, de modo que sua divulgação se torna abusiva, por causar mais prejuízos aos particulares do que benefícios à sociedade. O direito ao esquecimento é um direito excecional, não podendo ser banalizado, mas sua exclusão, em sede de repercussão geral, pode implicar um grave retrocesso em face do princípio da dignidade da pessoa humana, um preceito fundamental descrito no artigo 1º, III, da Constituição Federal, consideradas ainda a privacidade e a identidade pessoal, que o compõem em sua estrutura. A exigência de norma específica, a depender da vontade legislativa, é um incentivo à inação, semelhantemente ao entendimento do próprio Supremo Tribunal Federal, que no passado sepultou a garantia fundamental do mandado de injunção.17 Sendo assim, reconhecer o Direito ao Esquecimento, pode ser a única forma para exercermos aquilo que queremos ser e o que realmente é a nossa essência. Principalmente dentro de um ambiente que estamos constantemente sendo vigiados, perfilados e sempre recebendo recomendações daquilo que acham ser interessante para cada um. *João Alexandre Silva Alves Guimarães é doutorando em Direito pela Universidade de Coimbra, Portugal. Mestre em Direito da União Europeia pela Universidade do Minho, Portugal. Associado do Instituto Brasileiro de Estudos de Responsabilidade Civil - IBERC, Associado Fundador do Instituto Avançado de Proteção de Dados - IAPD, Membro do Comitê Executivo do Laboratório de Direitos Humanos - LabDH da Universidade Federal de Uberlândia e Professor de Direito na Faculdade Pitágoras - Uberlândia. __________ 1 MARTINS, Guilherme Magalhães. Responsabilidade Civil por Acidente de Consumo. Thomas Reuters: Revista dos Tribunais, 3ª Edição revista, atualizada e ampliada, São Paulo, 2020. Página 285.                                                                      2 MARTINS, Guilherme Magalhães. Responsabilidade Civil por Acidente de Consumo, cit., Página 287. 3 RODOTÀ, Stefano. A Vida na Sociedade da Vigilância: A privacidade hoje. Renovar: Rio de Janeiro, 2008. Páginas 116 e 117.      4 PARISER, Eli. O Filtro Invisível - O que a internet está escondendo de você. Tradução por Diego Alfaro. Editora Zahar. Versão para Kindle. Edição digital: março 2012. Locais do Kindle 2644-2647. 5 PARISER, Eli. O Filtro Invisível, cit., Locais do Kindle 646-647. 6 PARISER, Eli. O Filtro Invisível, cit., Locais do Kindle 250-255. 7 BARBOSA, Mafalda Miranda. Data controllers e data processors: da responsabilidade pelo tratamento de dados à responsabilidade civil. Revista de Direito Comercial, 15 de março de 2018. Página 479 e 480. 8 BARBOSA, Mafalda Miranda. Data controllers e data processors, cit., Página 480. 9 GRUPO DE TRABALHO DO ARTIGO 29.º. Orientações relativas ao consentimento na aceção do Regulamento (UE) 2016/679, Última redação revista e adotada em 10 de abril de 2018, 17/PT, WP259, rev.01. Página 6. 10 MIRADA, Jorge; MEDEIROS, Ruy. Constituição Portuguesa Anotada. Volume I, 2ª ed., Revista - Lisboa: Universidade Católica Editora, 2017. Página 574. 11 PINHEIRO, Alexandre Sousa (Coord.); COELHO, Cristina Pimenta; DUARTE, Tatiana; GONÇALVES, Carlos Jorge; GONÇALVES, Catarina Pina. Comentários ao Regulamento Geral de Proteção de Dados. Almedina, Coimbra, dezembro de 2018. Página 368. 12 MAYER-SCHÖNBERGER, Viktor. Delete, cit., p. 2. 13 SAFARI, Beata A. Intangible Privacy Rights: How Europe's GDPR Will Set a New Global Standard for Personal Data Protection. Seton Hall Law Review, Volume 47, pp. 809-848, 2017. p. 835. 14 ALEMANHA. Bundesgerichtshof. VI ZR 405/18, Verkündet am: 27. Juli 2020, OLG Frankfurt am Main. 15 GUIMARÃES, João Alexandre; MACHADO, Lecio. Comentários à Lei Geral de Proteção de Dados: lei 13.709/2018 com alterações da MPV 869/2020. Rio de Janeiro: Lumen Juris, 2020. p. 86. 16 GUIMARÃES, João Alexandre; MACHADO, Lecio. Comentários à Lei Geral de Proteção de Dados, cit., p. 87. 17 MARTINS, Guilherme Magalhães; GUIMARÃES, João Alexandre Silva Alves. Direito ao esquecimento no STF: a dignidade da pessoa humana em risco. Consultor Jurídico, 10 de fevereiro de 2021.

Na última sexta-feira,13, começou a segunda fase do Open Banking, isto é, agora será possível o compartilhamento de dados cadastrais e transacionais sobre serviços bancários (contas, crédito e pagamentos). Com a digitalização da economia, que foi acentuada durante a pandemia de covid-191, observa-se uma mudança importante no mercado financeiro, o que vem sendo acompanhado pela Secretaria Nacional do Consumidor do Ministério da Justiça e Segurança Pública, como evidenciado, por exemplo, na Nota Técnica 48/20202. O mercado digital maximizou a importância dos dados como ativos econômicos essenciais para garantir a entrada e a competição3. Os dados pessoais tornaram-se destaque nas discussões jurídicas atualmente, considerando a nova percepção do poder da tecnologia e o fato de que há possíveis espaços não cobertos por regulação que podem permitir que empresas - e até mesmo os próprios agentes públicos - possam violar a privacidade dos cidadãos4. Quando isso é colocado na arena econômica, os dados tornam-se verdadeiras vantagens competitivas para os players que os possuem, isso porque conhecer os dados pessoais de consumidores permite ações estratégicas de alto impacto em determinados mercados (tais como personalização de ofertas, mapeamento de hábitos e antecipação de ações dos consumidores5), principalmente no mercado financeiro. Além disso, a forma de utilização dos dados acentua a assimetria de informações entre empresas e consumidores, pois, apesar de ser o titular dos dados, o consumidor não é capaz de identificar os dados que cada empresa possui, nem como referidos dados são tratados e compartilhados. Nesse cenário, a Lei Geral de Proteção de Dados (LGPD) brasileira foi um passo importante, assim como a criação da Autoridade Nacional de Proteção de Dados (ANPD). E alinhando a proteção de dados e o direito do consumidor, as autoridades competentes brasileiras (ou seja, ANPD e Senacon) também firmaram um Acordo de Cooperação Técnica6, visando o compromisso com a harmonização de condutas, o alinhamento estratégico e o fomento à segurança jurídica, em busca do bem-estar social. Portanto, vemos a necessidade de tratar de forma interdisciplinar os assuntos. Essa análise perpassa ao movimento que observamos no mercado financeiro brasileiro, isto é, a implementação do sistema financeiro aberto ou, como é mais conhecido, o Open Banking. Em breve síntese, verifica-se, por meio do Comunicado n.º 33.455/2019 e da Resolução Conjunta n.º 01/2020 do Banco Central, que os principais objetivos da implementação do Open Banking em nosso país foram para aumentar a eficiência no mercado de crédito e de pagamento no Brasil, com a finalidade de promover um ambiente mais inclusivo e competitivo no âmbito dos negócios, de forma a preservar o sistema financeiro, bem como a proteção do consumidor. Nesse sentido, o Open Banking, além de proporcionar que a regulação acompanhe a maior utilização pelos consumidores das tecnologias, torna-se uma ferramenta de grande importância para permitir a competitividade no setor, maximizando o bem-estar do consumidor brasileiro. Para que o sistema financeiro aberto fosse implementado de forma realmente a alavancar a competitividade, as instituições financeiras de grande porte, ou seja, aquelas classificadas como S1 e S2 pelo BC, devem participar em caráter obrigatório, de modo a não recair em apenas um inter banking. Com o compartilhamento mais livre de informações sobre o consumidor - desde que ele tenha interesse nesse serviço e que dê o seu consentimento expresso - é possível que as instituições consigam obter informações essenciais para competir no mercado financeiro. No momento em que se obtém informações sobre os consumidores, é possível identificar especificamente, por exemplo, os bons pagadores ou os consumidores com alto potencial de investimento e, assim, efetivamente criar propostas personalizadas para conquistar esse consumidor do banco rival. Ainda, para consumidores com pontuação baixa de crédito, será possível analisar o seu potencial atual de pagamento, mas não o seu histórico. Tais aspectos são importantes, pois, até então, isso seria impossível. Isso porque o Banco não seria capaz de identificar o perfil de cada consumidor, ao menos não de forma tão precisa, a não ser que houvesse um relacionamento prévio com a instituição. Logo, gera-se um incentivo para a concorrência, ameniza-se a assimetria de informações, assim como diminui-se a barreira de entrada para novos agentes, acarretando potencial redução de custos dos serviços e do crédito, com oferecimento de juros mais baixos para os consumidores. Além disso, ao permitir a transferência automática dos dados por meio do Open Banking, reduz-se a burocracia para mudanças de bancos e de instituições financeiras. Essa mudança é salutar para facilitar o processo de opções para o consumidor, especialmente em relação a produtos mais específicos, não aprisionando o consumidor em determinado banco. Contudo, é também verdade que o sistema incentiva e, ao mesmo tempo, depende de uma maior educação financeira por parte dos consumidores, inclusive de modo a compreender quais são os produtos e serviços ofertados por cada um dos agentes. Observa-se, assim, que o Open Banking trará uma oportunidade para que os consumidores tenham maior conhecimento sobre o setor bancário e sobre como ele afeta as suas vidas. Nesse sentido, é importante dar destaque às iniciativas da Escola Nacional de Defesa Consumidor (ENDC) da Senacon/MSP, por meio dos cursos ofertados e voltados à educação financeira. Assim como são importantes as iniciativas conjuntas das autoridades (Banco Central, Senacon/MJSP, ANPD, CVM, MEC, etc) que promovem iniciativas que trazem instrumentos de educação financeira à realidade do consumidor. Instrumentos disruptivos como o Open Banking somente terão efetividade se forem utilizados e compreendidos pelos consumidores brasileiros de forma ampla e sem assimetrias de informação. As iniciativas de educação para o consumo são não apenas essenciais, como também estão alinhadas às melhores práticas da UNCTAC e OCDE, que incluem a educação financeira como instrumento essencial para a criação de autonomia dos consumidores e para a diminuição das assimetrias do mercado. As autoridades devem trabalhar para incentivar condições de mercado que permitam ao consumidor exercer livremente suas escolhas para migrar para o fornecedor que melhor lhe atenda, garantindo o funcionamento da economia de mercado, ao mesmo tempo em que se protege seus dados e informações pessoais, nos termos do sistema lógico-normativo do ordenamento jurídico brasileiro. É neste contexto que a atuação conjunta das autoridades se faz tão necessária para garantir os inúmeros benefícios que o Open Banking traz, principalmente no que tange à proteção de dados pessoais, como tem feito a Senacon e a ANPD, por meio do ACT firmado em março de 2021. Outro ponto importante é trazer confiança ao Sistema Nacional de Defesa do Consumidor sobre a segurança e os benefícios do sistema ao consumidor. Por esse ângulo, o Banco Central também tem se mostrado um grande colaborador da Senacon. Não somente em relação ao Open Banking, mas às diversas mudanças regulatórias que o órgão tem feito para aperfeiçoar o sistema financeiro, como o Pix. As ações conjuntas da Senacon com o SNDC e com o Bacen foram essenciais para desmistificar os novos instrumentos, aproximar o BACEN das lideranças que atuam na ponta para a defesa dos consumidores, assim como para aprimorar as propostas com base nas Notas Técnicas produzidas pela Senacon [2]. Para garantir a melhor experiência do consumidor, a atuação interinstitucional deve também imprimir estratégias efetivas de prevenção às fraudes financeiras, tal como a lançada na campanha iniciada em 11 de agosto - "Proteja seus dados. Não compartilhe" do Ministério da Justiça e Segurança Pública - com o apoio da ANPD. As instituições financeiras, em geral, têm grande preocupação com esse tipo de questão, em razão dos riscos da própria atividade. Portanto, é essencial que as medidas protetivas também sejam amplamente divulgadas para os consumidores para que eles se sintam seguros em relação a esse novo sistema. Por enquanto, apenas as instituições financeiras autorizadas pelo BC podem atuar no sistema financeiro aberto, contudo, a tendência mundial demonstra que é apenas questão de tempo para que o Open Banking também esteja disponível para além do mercado financeiro, atingindo as gigantes da tecnologia. As big techs já possuem, em grande medida, a detenção dos dados pessoais - porém não financeiros - dos consumidores, devido a sua inserção, que já é sólida no mercado digital. Futuramente, caso elas possuam os dados pessoais financeiros dos consumidores, podemos ver seu poder de mercado se expandir. Não sem razão, este é um tema sob o radar das autoridades do mundo todo. A tendência é que a inovação promova um ambiente com maior competitividade, além de promover a redução dos custos de transação. Assim, o Open Banking, ao ser utilizado conforme seu desenho institucional, tende a viabilizar opções ao consumidor e outras soluções inovadoras naturalmente maximizadas por um ambiente notadamente marcado por maior concorrência. Isto é ainda mais importante em um setor que figura entre os mais reclamados nas plataformas geridas pelo governo federal: o setor financeiro. Portanto, é muito importante que as instituições financeiras estejam em compliance com a LGPD, uma vez que toda inovação precisa ser trabalhada à luz do CDC para garantir transparência e a melhor informação disponível, de forma clara e ostensiva, ao consumidor. Respeitados os ditames do CDC, podemos presumir que haverá compromisso com a melhor experiência de Open Banking ao consumidor. A economia digital traz boas ofertas e um leque maior de soluções financeiras para o consumidor 4.0. É o momento de trabalharmos juntos para que essa experiência seja garantida, resguardando a segurança e o respeito aos direitos de privacidade, à confidencialidade, aos princípios e valores do CDC, assim como aos ditames da LGPD, no que diz respeito à integridade e à disponibilidade dos dados do Open Banking. *Juliana Oliveira Domingues é professora doutora do curso de graduação e pós-graduação em Direito da USP. Foi Visiting Scholar na Georgetown University Law School (2018). É atualmente Secretária Nacional do Consumidor do Ministério da Justiça e Segurança Pública (Senacon) e Diretora regional da Academic Society for Competition Law (ASCOLA). Líder do Grupo de Pesquisa em Direito, Inovação e Fashion Law da FDRP/USP. Instagram: @profa.julianadomingues, linkedin e Twitter: profaJuliana.  **Tatyana Chiari Paravela é mestranda e bacharel em Direito pela USP. Advogada. Linkedin. __________ 1 Pesquisa realizada pela UNCTAD aponta como o cenário de consumo digital segue fortalecido pela pandemia de COVID-19. Os consumidores passaram a usar mais o ambiente virtual para realizar compras e obter notícias. Ainda, os consumidores de países emergentes foram os que mais realizaram compras on-line. In: UNITED NATIONS CONFERENCE ON TRADE AND DEVELOPMENT. COVID-19 has changed online shopping forever, survey shows. UNCTAD, 08 de outubro de 2020. Disponível aqui. Acesso em maio de 2021. O Brasil, por exemplo, subiu 10 posições no ranking de e-commerce da UNCTAD de 2019 para 2021. In: MOREIRA, Assis. Brasil sobe 10 posições em índice de e-commerce da Unctad. Valor Investe, 17 de fevereiro de 2021. Disponível aqui. Acesso em maio de 2021. 2 Veja-se, a exemplo, Nota Técnica n.º 48/2020/CGEMM/DPDC/SENACON/MJ, elaborada pela Senacon em 2020, antes mesmo do sistema financeiro aberto entrar em operação, com o objetivo de esclarecer os objetivos do Open Banking, produzindo conclusões recomendações sobre o assunto.  3 Como definiu o The Economist em 2017, "The word's most valuable resource is no longer oil, but data". Disponível aqui. Acesso em: 21 de maio de 2021. 4 BRAUN, Daniela.  Senacon investiga Serasa pelo vazamento de dados de 223 milhões de brasileiros. Valor Econômico. Disponível aqui. Acesso em: 25 de março de 2021. 5 Sobre o uso de dados para oferecimento de ofertas personalizadas, veja-se Lina Khan in "Amazon's Antitrust Paradox", onde a autora sugere que a utilização de dados pode auxiliar as empresas (detentoras dos dados) a personalizar ofertas, mapear hábitos e antecipar ações dos consumidores que, por muitas vezes, acaba sendo uma relação com assimetria de informação. Artigo Publicado na Yale Law Journal, Volume 126, número 3, edição de janeiro de 2017, páginas 564-907. Disponível aqui. Acesso em 29/07/2020. 6 Em síntese, conforme informações extraídas do site do Governo Federal: "O acordo prevê ações conjuntas nas áreas de proteção de dados pessoais e defesa do consumidor e vão incluir intercâmbio de informações, uniformização de entendimentos, cooperação quanto a ações de fiscalização, desenvolvimento de ações de educação, formação e capacitação e elaboração de estudos e pesquisas. Ademais, um canal efetivo entre os diferentes órgãos que recebem denúncias sobre vazamentos de dados impulsiona uma rápida atuação do poder público na proteção dos direitos dos cidadãos." Disponível aqui. Acesso em: 21 de maio de 2021.

De acordo com o art. 17 da LGPD, "Toda pessoa natural tem assegurada a titularidade de seus dados pessoais e garantidos os direitos fundamentais de liberdade, de intimidade e de privacidade, nos termos desta Lei". O dispositivo referencia três direitos fundamentais. A conjugação entre eles transcende a visão tradicional do direito à propriedade de dados, acenando explicitamente para a sua dimensão existencial e, implicitamente para um direito fundamental autônomo à proteção de dados pessoais.  Talvez seja a hora para que, de forma sucinta, possamos estabelecer as premissas de direito civil subjacentes ao referido preceito normativo e a sua fundamentalidade como reação principiológica a uma lógica de mercado que fragiliza as premissas teóricas edificadas no final do século XX por juristas como Gustavo Tepedino, Luiz Edson Fachin, Maria Celina Bodin e Paulo Luiz Neto Lôbo.    Uma expressão consagrada em nosso direito civil constitucional é a "personalização do direito privado". Trata-se de uma ideia persuasiva que pode ser compreendida de várias formas, sendo a que me parece mais elucidativa é a da funcionalização das situações patrimoniais às existenciais, vale dizer, a repressão às iniciativas econômicas que desconsiderem a pessoa como fundamento e fonte da ordem jurídica.  Esta diretriz impulsionou doutrina e tribunais a reformular as relações de pertencimento e trânsito de titularidades, de forma a não restringir desproporcionalmente direitos fundamentais. Tal movimento antropocêntrico é claramente aferível no RE 466.343/2008, oportunidade em que o Supremo Tribunal Federal afastou a possibilidade de prisão civil do depositário infiel como sanção por inadimplemento nos contratos de alienação fiduciária.1 Outrossim, o traço da personalização do direito civil é patente na Súmula 364 do STJ,2 ao estender a proteção do bem de família aos "singles", pois, a par da garantia geral dos credores, toda pessoa tem uma parcela de seu patrimônio afetada ao seu mínimo existencial.  Contudo, no campo negocial nem sempre é singela a distinção entre os espaços existenciais e patrimoniais. Como veste jurídico-formal de operações econômicas - na acepção de Roppo -, os contratos se adaptam as transformações socioculturais e não raro aquilo que a manualística descreve como direitos da personalidade convive pacificamente com o propósito lucrativo. Já estamos habituados com negócios jurídicos que refletem a prática social de aproveitamento da dimensão patrimonial de direitos de imagem, nome e privacidade, nos quais o consentimento do titular atua como permissão para a cessão onerosa do exercício de atributos existenciais, pela fixação de um preço para a intromissão por parte de terceiros em aspectos antes impenetráveis pelo mercado.  Como resposta a esta imprecisão quanto às fronteiras entre o "eu" e o mercado, a doutrina passou a considerar uma "relativa indisponibilidade" dos direitos da personalidade, no sentido de que o atributo da intransmissibilidade a que se refere o art. 11 do Código Civil3 concerne ao conteúdo das projeções existenciais, mas não à possibilidade de exercício temporário por outras pessoas naturais ou jurídicas, em contratos cujo objeto seja delimitado. Da mesma forma, deu-se interpretação mais ampla a parte final do referido dispositivo para se admitir a limitação voluntária de direitos da personalidade, considerando-se que, seguindo o livre desenvolvimento da personalidade, qualquer pessoa pode praticar atos de autocontenção da integridade psicofísica ou de sua intimidade, desde que se trate de prática socialmente justificada; evidencie-se o legítimo interesse do titular (e não um ato de heteronomia); seja o ato de limitação voluntária revogável a qualquer tempo e, por último, não ofenda Interesse de  terceiros. Podemos ilustrar nestes critérios objetivos, a decisão de um lutador de participar de um campeonato de vale-tudo, ou a deliberação de qualquer pessoa de expor os aspectos recônditos de sua vida nas redes sociais.  Nada obstante, mesmo nesta turva mescla entre os nossos atributos essenciais e as exigências de afirmação da pessoa na ordem do mercado, dois muros de contenção ainda permanecem de pé:  A um, o vínculo orgânico entre a pessoa e os direitos da personalidade, tornando-os indestacáveis de seu titular, inviabilizando a transferência do nosso "cerne", seja a título gratuito como oneroso. Aquilo "que somos" não pode ser expropriado. Mantém-se o controle humano sobre o objeto, limites e duração dos atos negociais referentes às parcelas econômicas da personalidade, pois como requisito de validade, o contrato requer o consentimento livre e esclarecido do cedente.  Em síntese, as situações existenciais ainda preservam o discrimen teórico perante as situações patrimoniais, pois se propriedade e créditos podem ser fraturados do titular, alienados e cedidos, preserva-se a aderência do ser humano ao seu modo de ser, pela potestade inerente aos direitos da personalidade de sujeitar a sociedade e o estado a não se imiscuir naquilo que constitui a pessoa, evitando-se a usurpação do que nos é indissociável.  A dois, em comum, as situações existenciais e patrimoniais se adequam ao conceito de "direitos subjetivos" pelo seu fundamento excludente. Tradicionalmente, assegura-se ao proprietário e ao contratante uma reserva de fruição de suas titularidades, associada à faculdade de afastar o poder público e particulares do monopólio do conteúdo de exploração, dotando tais direitos de tutelas inibitória e ressarcitória, sem se excluir uma pretensão reivindicatória em caso de violação à reserva de pertencimento. Igualmente, direitos da personalidade são dotados de uma eficácia defensiva em níveis preventivo e repressivo (art. 12, CC),4 tutelando-se os bens jurídicos intrínsecos não apenas em face de lesões - pela pretensão de reparação por danos extrapatrimoniais (art. 927, CC)5 - como diante de qualquer ameaça de prática ou reiteração de ilícitos, independentemente da ocorrência de um dano (parágrafo único, art. 497, CPC).6  Todavia, os direitos da personalidade transcendem os direitos subjetivos patrimoniais, por também serem dotados de uma eficácia ativa. Ao contrário da lógica econômica dos direitos patrimoniais, limitada ao direito de excluir, as situações jurídicas existenciais demandam o direito do ser humano à inclusão em sociedade. Não se trata apenas de um dever de proteção, mas também um dever de promoção, pois como reflete Dworkin,7 a dignidade é limite e tarefa, possuindo uma voz passiva e uma voz ativa que se conectam. A dimensão positiva da personalidade é materializada pelo livre desenvolvimento da personalidade no que concerne às deliberações existenciais fundamentais. Aqui ingressa a esfera de autodeterminação, pois o Estado Democrático de Direito reconhece no ser humano uma fonte de escolhas íntimas que deverão ser respeitadas.  A eficácia promocional das situações existenciais permite que a pessoa afirme o seu modo de ser, tornando-se protagonista de sua própria biografia, evitando-se a sua instrumentalização para fins heterônomos. Podemos ilustrar com a decisão do Supremo Tribunal Federal8 que permite a antecipação terapêutica do parto em caso de diagnóstico de anencefalia, prevalecendo a intimidade da gestante e a tutela a sua integridade psicofísica diante da inviabilidade de uma vida, afastando-se juízos morais estatais heterônomos. No mesmo diapasão, lembre-se decisão do STF9 quanto à extensão da união estável à casais homoafetivos. Em sociedades plurais, privilegia-se a privacidade do par em detrimento de uma concepção taxativa de entidades familiares. A autonomia existencial, implicitamente aludida no art. 15 do Código Civil,10 converte o consentimento informado em chave para a permissão de intervenções cirúrgicas ou tratamento, efetivação de negócios jurídicos que envolvam doação de órgãos e diretivas antecipadas quanto à vedação de distana'sia ou procedimentos médicos desproporcionais em situações de terminalidade da vida.  Entretanto, o cenário tecnológico disruptivo rapidamente erode os dois referidos muros de contenção que sustentam as colunas antropocêntricas daquilo que se convencionou chamar de "personalização do direito privado". Principiando pela afirmação dos direitos da personalidade em nível constitucional e legislativo, passando por um segundo momento de sua adaptação a economia de mercado - no qual a precificação de emanações comportamentais ainda encontra limites bem definidos - alcançamos um terceiro estágio, que denominamos "despersonalização da personalidade", materializável em três movimentos que subvertem as premissas humanistas do direito civil constitucional: a expropriação da personalidade; a ameaça à autonomia humana através de um ataque à consciência e a conversão do ser humano em um projeto de personalização. Relativamente à expropriação da personalidade, como coloca Shoshana Zuboff,11 o intitulado "capitalismo de vigilância" não consiste em uma nova tecnologia, mas em uma nova forma de mercado que reivindica de maneira unilateral a experiência humana como matéria-prima gratuita para a tradução em dados comportamentais que são disponibilizados no mercado como produtos de predição que antecipam e modelam comportamentos futuros. A visão kantiana do ser humano como fim em si12 é desvirtuada por um instrumentalismo, cuja base é a expropriação de nossa personalidade em prol de finalidades alheias, pois a própria sociedade se torna objeto de extração e controle.  A realidade digital converte situações existenciais em uma nova propriedade baseada na despossessão da essência daquilo que nos define, através de uma modificação comportamental, cujo legado de danos pode custar a nossa própria humanidade. A edificação do livre-arbítrio proveniente da narrativa liberal provavelmente se desintegrará quando, mesmo em sociedades supostamente livres, depararmo-nos diariamente com instituições, corporações e agências governamentais que compreendem e manipulam o que até então era nosso inacessível reino interior.13 Nesta inédita forma de mercado a pessoa se atomiza no individuo, mero conjunto de algoritmos passíveis de comercialização. Infere-se que a noção de expropriação da personalidade rompe com um dos muros de contenção das situações existenciais, pois a renderização da experiência humana não equivale a uma simples cessão temporária do exercício econômico de nossa imagem, intimidade ou nome, porém do próprio confisco do conteúdo daquilo que nos singulariza, para posterior operação lucrativa no insaciável mercado de comportamento futuro. Em síntese, ao contrário da previsão do art. 11 do Código Civil, os direitos da personalidade se tornam "absolutamente disponíveis" e suscetíveis de limitação heterônoma.  Prosseguindo, o segundo movimento de "despersonalização da personalidade" consiste na ameaça à autonomia humana através de um ataque à consciência. A autonomia é a pedra angular do direito privado, significando a "regulação pelo eu", não apenas na órbita econômica - filtrada pelo conceito de "capacidade" - como pela aptidão da pessoa gerir os seus pensamentos, emoções e desejos. Paradoxalmente, o processo de despossessão do "eu" se dá em dois níveis: não apenas dispensa o nosso consentimento (informado ou não), como a nossa própria consciência quanto à expropriação da experiência humana. Não se trata de uma violação ao direito de escolha por meio de contrato de adesão, porém do emprego de técnicas que induzem à modificação comportamental, substituindo o imperativo categórico Kantiano por imperativos de predição. Como explica Sartre,14 não basta ter vontade, é necessário ter "vontade de ter vontade". A habilidade de premeditação e a autoconsciência nos tornam serem autônomos que projetam escolhas e realizam julgamentos morais. Perde-se este fator civilizatório quando ferramentas de predição tomam de assalto a mente inconsciente, intervindo no momento certo para em um "nudge" provocar uma contratação de bens ou serviços, impondo uma alteração no futuro a revelia do sujeito.15 O inusitado é que a expropriação da experiência humana não se dirige às informações escritas, componentes verbais ou imagens. Na economia da emoção, não somos escrutinizados   pelo conteúdo, e sim de maneira sutil e oblíqua, pela forma como escrevemos, nossa respiração, tom de voz e um conjunto de metadados que decifram a pessoa, viabilizando a transferência do poder decisório. Quando sorrateiramente se liquefaz o livre-arbítrio, o indivíduo se submete a leis externas, sendo exilado do controle sobre o tempo futuro, pois onde reinava o "eu farei", entra em cena o "você fará". A preocupação expressa por Klaus Schwab16 dedicada à 4 revolução industrial é que os tomadores de decisão costumam ser levados pelo pensamento tradicional linear (e sem ruptura) ou costumam estar muito absorvidos por preocupações imediatas e não conseguem pensar de forma estratégica sobre as forças de ruptura e inovação que moldam nosso futuro. Como terceiro e derradeiro movimento de despersonalização da personalidade temos um deliberado "projeto de personalização" que camufla a própria coisificação da pessoa. O termo "personalizar" que outrora significava colocar o direito a serviço da pessoa, assume nova conotação. Pode-se dizer que não passa de um eufemismo para a monetização da vida em troca de segurança, serviços e conveniência. A personalização como ferramenta de marketing para que a pessoa tenha acesso à exclusividade, on-line e off-line. Não se trata de um acesso ao mínimo, senão ao máximo existencial, onde o supérfluo assumes ares de necessário. Produtos inteligentes feitos sob medida para as vicissitudes de cada pessoa - casas, roupas, relógios - potencializam a obtenção de superávit comportamental. O assistente digital é o protótipo deste esvaziamento da intimidade e ideia de solidão, um verdadeiro cavalo de Tróia para o qual cedemos conhecimento, autoridade e poder. O projeto de personalização apaga a fronteira entre o eu e o mercado. Em 2011 Michael Sandel escreveu o livro "O que o dinheiro não compra".17 A ideia central é a delimitação dos limites morais do mercado, na medida em que a economia de mercado se transmuda em sociedade de mercado, na qual prevalece uma visão econômica da vida, marcada pela precificação de bens antes tidos como indisponíveis e agora submetidos ao cálculo racional do incentivo monetário. Sandel se vale dos argumentos filosóficos da coerção (necessidade material fragiliza a liberdade de escolha) e da corrupção (degradação de bens existenciais em mercadorias) como óbices a contratos como venda de órgãos, barriga de aluguel e remuneração de esterilização. Passados dez anos, percebemos que no âmbito do capitalismo de vigilância a coerção é dispensada e a corrupção naturalizada. Algoritmos constituem nossa identidade e reputação, classificam nossos riscos, discriminam e manipulam comportamentos, sem qualquer transparência. Elimina-se a coerção pois a experiência humana é coletada sem a consciência quanto à contratação. Normaliza-se a corrupção, pois bovinamente aquiescemos à conversão das coisas que temos em coisas que nos têm, à passagem de um mercado para você em um mercado "sobre" você. Finalizamos por onde começamos. O art. 17 da LGPD consiste em ponto nodal de resistência às três emanações da despersonalização da personalidade. A titularidade de dados pessoais ancorada na tríplice dimensão da liberdade, intimidade e privacidade, representa uma ampliação da esfera normativa do pertencimento, extrapolando a propriedade imaterial, para alcançar uma "titularidade inclusiva", reafirmando-se no mundo digital, a aderência das situações existenciais à pessoa natural, a extrapatrimonialidade dos direitos da personalidade e sua relativa indisponibilidade e, consequentemente, a máxima efetividade das tutelas preventiva e repressiva das projeções eletrônicas do ser humano.18 Cabe à doutrina extrair todas as possibilidades hermenêuticas do dito preceito, a fim de se preservar o domínio humano sobre o que lhe é inerente. Como argutamente constatou Zygmunt Bauman, na modernidade fluida a contradição mais evidente é o "O abismo que se abre entre o direito a` autoafirmação e a capacidade de controlar as situações sociais que podem tornar essa autoafirmação algo factível ou irrealista".19   *Nelson Rosenvald é professor do corpo permanente do doutorado e mestrado do IDP/DF. Procurador de Justiça do Ministério Público de Minas Gerais. Pós-doutor em Direito Civil na Università Roma Tre (IT-2011). Pós-doutor em Direito Societário na Universidade de Coimbra (PO-2017). Visiting Academic Oxford University (UK-2016/17). Professor Visitante na Universidade Carlos III (ES-2018). Doutor e mestre em Direito Civil pela PUC/SP. Presidente do Instituto Brasileiro de Estudos de Responsabilidade Civil (IBERC) e Associado Fundador do Instituto Avançado de Proteção de Dados (IAPD). __________ 1 STF. RE n. 466.343, 03.12.2008, Informativo n. 531 Rel. Min. Cezar Peluso: "Já não é possível conceber o corpo humano como passível de experimentos normativos no sentido de que se torne objeto de técnicas de coerção para cumprimento de obrigações estritamente de caráter patrimonial". 2 Súmula 364 do STJ: "O imóvel residencial do próprio casal ou da entidade familiar, é impenhorável e não responderá por qualquer tipo de dívida civil, comercial, fiscal, previdenciária ou de outra natureza, contraída pelos cônjuges ou pelos pais ou filhos que sejam seus proprietários e nele residam, salvo nas hipóteses previstas nesta Lei". 3 Art. 11, Código Civil: Com exceção dos casos previstos em lei, os direitos da personalidade são intransmissíveis e irrenunciáveis, não podendo o seu exercício sofrer limitação voluntária. 4  Art. 12, Código Civil: Pode-se exigir que cesse a ameaça, ou a lesão, a direito da personalidade, e reclamar perdas e danos, sem prejuízo de outras sanções previstas em lei. 5  Art. 927, Código Civi: Aquele que, por ato ilícito (arts. 186 e 187), causar dano a outrem, fica obrigado a repará-lo. 6 Art. 497, CPC:  Na ação que tenha por objeto a prestação de fazer ou de não fazer, o juiz, se procedente o pedido, concederá a tutela específica ou determinará providências que assegurem a obtenção de tutela pelo resultado prático equivalente.  Parágrafo único. Para a concessão da tutela específica destinada a inibir a prática, a reiteração ou a continuação de um ilícito, ou a sua remoção, é irrelevante a demonstração da ocorrência de dano ou da existência de culpa ou dolo. 7 DWORKIN, Ronald. Domi'nio da vida. Sa~o Paulo: Martins Fontes, 2009, p. 339. 8 STF. ADPF 54/DF, Rel: MIN. Marco Aurélio, 30.4.2012. 9 STF. ADI 4.277 e ADPF 132, Rel. Min. Ayres Brito, 5.5.2011. "Tudo que não está juridicamente proibido, está juridicamente permitido. A ausência de lei não é ausência de direito, até porque o direito é maior do que a lei." 10 Artigo 15, CC: Ninguém pode ser constrangido a submeter-se, com risco de vida, a tratamento médico ou a intervenção cirúrgica. 11 ZUBOFF, Shoshana.  A era do capitalismo de vigilância, Rio de Janeiro, Ed. Intrínseca, 2021, p. 19/23. A autora encarta seis declarações que resumem o capitalismo de vigilância: "Nós reivindicamos a experiência humana com o matéria-prima gratuita para se pegar. Com base nessa reivindicação, podemos ignorar considerações de direitos, interesses, consciência ou entendimento dos indivíduos; com base na nossa reivindicação afirmamos o direito de pegar a experiência do indivíduo para convertê-la em dados comportamentais; nosso direito de pegar, baseado na nossa reivindicação de matéria-prima gratuita, nos confere o direito de possuir os dados comportamentais derivados da experiência humana; nossos direitos de pegar e possuir nos conferem o direito de saber o que o conteúdo dos dados revela; nossos direitos de pegar, possuir e saber nos conferem o direito de decidir como usamos o nosso conhecimento; nosso direitos de pegar, possuir, saber e decidir nos conferem nossos direitos às condições que preservam nossos direitos de pegar, possuir, saber e decidir". Op. cit. p. 210/1. 12 Kant, em "Fundamentação à Metafísica dos Costumes" assevera: o homem, e, de maneira geral, todo o ser racional, existe como fim de si mesmo, não só como meio para o uso arbitrário desta ou daquela vontade (...). Os seres cuja existência depende, não em verdade da nossa vontade, mas da natureza, têm, contudo, se são seres irracionais, apenas um valor relativo como meios, e por isso se chamam coisas, ao passo que os seres racionais se chamam pessoas, porque a sua natureza os distingue já como fins em si mesmos, quer dizer, como algo que não pode ser empregado como simples meio. 13 Como percebe Yuval Noah Harari, "Quando a autoridade passa de humanos para algoritmos, não podemos mais ver o mundo como o campo de ação de indivíduos autônomos esforçando-se por fazer as escolhas certas. Em vez disso vamos perceber o universo inteiro como um fluxo de dados". 21 Lições para o século 21, São Paulo. Companhia das Letras, 2019, p. 83. 14 [...] separado do mundo e de minha essência por esse nada que sou, tenho de realizar o sentido do mundo e de minha essência: eu decido sozinho, injustifica'vel e sem desculpas [...]" SARTRE, J. P.  O ser e o nada - ensaio de ontologia fenomenológica. 6 ed. Rio de Janeiro: Vozes, 1998, p. 782. 15 "Nudge", Termo consagrado na economia comportamental pela obra de autoria de Richard H. Thaler e Cass R. Sunstein sobre a arquitetura de escolhas. São Paulo, Editora Objetiva, 2. Ed, 2019. 16 SCHWAB, Klaus. A Quarta Revolução Industrial. São Paulo, Edipro, 2016, p. 12. O autor anota três razões que sustentam a singularidade da 4. Revolução industrial: "Velocidade: ao contrário das revoluções industriais anteriores, esta evolui em um ritmo exponencial e não linear. Esse é o resultado do mundo multifacetado e profundamente interconectado em que vivemos; além disso, as novas tecnologias geram outras mais novas e cada vez mais qualificadas. - Amplitude e profundidade: ela tem a revolução digital como base e combina várias tecnologias, levando a mudanças de paradigma sem precedentes da economia, dos negócios, da sociedade e dos indivíduos. A revolução não está modificando apenas o "o que" e o "como" fazemos as coisas, mas também "quem" somos. Impacto sistêmico: ela envolve a transformação de sistemas inteiros entre países e dentro deles, em empresas, indústrias e em toda sociedade". Op.cit, p. 17 SANDEL, Michael J. O que o dinheiro não compra: os limites morais do mercado; tradução de Clóvis Marques. Rio de Janeiro: Civilização Brasileira, 2012. 18 RODOTÀ, S. El derecho a tener derechos. Madrid: Editorial Trotta, 2014.2014, p.150. O autor propõe o conceito de corpo eletrônico da pessoa humana: "En la dinámica de las relaciones sociales y también en la percepción de uno mismo, la verdadera realidad es la definida por el conjunto de las informaciones que nos afectan, organizadas electrónicamente. Este es el cuerpo que nos sitúa en el mundo". 19 BAUMAN, Zygmunt. Modernidade Líquida, São Paulo, Zahar, 2001. p. 35.

Continuando nossa breve análise comparativa entre os três instrumentos jurídicos referidos no título, já tendo avaliado o GDPR na Parte I deste artigo e, também, o CCPA na Parte II, passemos à análise dos dois últimos regramentos, em tela, para proteção de dados - o POPIA e a LGPD brasileira, lembrando que esta é a terceira e última parte do texto integral. O Protection Of Personal Information Act, aprovado desde 1º de janeiro de 2020, na África do Sul, somente passou a ser de observância obrigatória a partir de 1º de julho de 2021 e, em relação a ele, importante notar que: Foi editada em novembro de 2013 - portanto, antes mesmo da entrada em vigor da General Data Protection Regulation da Comunidade Europeia, porém foi aprovada pelo Governo da África do Sul apenas em 2020, com eficácia suspensa até meados deste mesmo ano; Traz muitos aspectos similares ao General Data Protection Regulation e ao California Consumer Privacy Act, em especial os seus princípios; Muitas das suas disposições já foram convertidas em leis com observância obrigatória; mas, Sua eficácia ou exigência de compliance a todos os seus termos apenas ocorrerá após 1º de julho de 2021, quando o restante de seus dispositivos passa a valer como leis e a autoridade nacional de proteção de dados - o Information Regulator - terá seus poderes constituídos. O POPIA da África do Sul é, até aqui, a lei de proteção de dados mais recente do mundo e: Propicia aos cidadãos a que se refere controlarem suas informações pessoais e exercerem direitos aplicáveis sobre elas; Estabeleceu oito requisitos mínimos para o processamento de dados: Responsabilidade - parte responsável deve assegurar que as condições, e todas as medidas previstas no POPIA que dão efeito a tais condições, sejam cumpridas no momento da determinação da finalidade e dos meios de processamento. Limitação de processamento - as informações pessoais só podem ser processadas de forma justa e legal e apenas com o consentimento do titular dos dados ou nas demais hipóteses previstas na lei. Finalidade específica - as informações pessoais só podem ser processadas por razões específicas, explicitamente definidas e legítimas. Limitação de processamento adicional - as informações pessoais não podem ser processadas para uma finalidade secundária; Qualidade da Informação - a parte responsável deve tomar medidas razoáveis (e não suficientes) para garantir que as informações pessoais coletadas sejam completas, precisas, não enganosas e atualizadas quando necessário. Salvaguardas de segurança - as informações pessoais devem ser mantidas em segurança contra o risco de perda, acesso ilegal, interferência, modificação, destruição não autorizada e divulgação. Transparência - a  parte responsável deve manter a documentação de todas as operações de captação e processamento de dados feitos sob sua responsabilidade. Participação do Titular dos Dados - os titulares dos dados podem solicitar a manutenção, a correção e/ou exclusão de quaisquer informações pessoais deles.  O POPIA também define como informações sensíveis: informação informações relacionadas à raça, gênero, sexo, gravidez, estado civil, nacionalidade, origem étnica ou social, cor, orientação sexual, idade, saúde física ou mental, bem-estar, deficiência, religião, consciência, crença, cultura, idioma e nascimento da pessoa; informações relacionadas à educação ou histórico médico, financeiro, criminal ou de emprego da pessoa; qualquer número de identificação, símbolo, endereço de e-mail, endereço físico, número de telefone, informação de localização, identificador online ou outra atribuição específica para a pessoa; a informação biométrica da pessoa; as opiniões pessoais, pontos de vista ou preferências da pessoa; correspondência enviada pela pessoa de forma implícita ou explícita de natureza privada ou confidencial ou correspondência posterior que revele o conteúdo da correspondência original; as visões ou opiniões de outro indivíduo sobre a pessoa; e o nome da pessoa se aparecer com outras informações pessoais relacionadas à pessoa ou se a divulgação do próprio nome revelaria informações sobre a pessoa; E assegura os seguintes Direitos aos sujeitos dos dados: ser notificado sobre a coleta e processamento de informações pessoais; de acessar informações pessoais; de solicitar correção de informações pessoais; de solicitar a exclusão de informações pessoais; de se opor ao processamento de informações pessoais; de não ter as informações pessoais processadas para fins de marketing direto por meio de comunicações eletrônicas não solicitadas; de não estar sujeito a uma decisão que resulte em circunstâncias legais baseadas exclusivamente no processamento automatizado; de reclamar ao Regulador (e ao Judiciário, por óbvio); de aplicar remédio judicial necessário. Uma das principais diferenças entre a legislação Sul Africana e as demais é o aspecto de abrangência territorial.  Pela regra, aplica-se aquela legislação aos negócios (i) estabelecidos na África do Sul (conceito fácil de ser compreendido) ou (ii) cujos dados pessoais são processados dentro do território Sul Africano (conceito um pouco mais delicado, considerando que hoje temos data centers virtuais e bases de dados em nuvem não exatamente divulgadas pelos provedores).  Assim, se sua empresa, por exemplo, faz uso de qualquer cloud estabelecida sobre território da África do Sul, ela deve observar e seguir aquela legislação, a partir de 1º de julho deste ano. Esse é um aspecto relevante, vez que nem sempre sabemos onde estão os servidores ou satélites que usamos nas contratações de TI. Por definição, dado protegido pela Protection Of Personal Information Act é tudo que se refere às pessoas físicas ou jurídicas de qualquer natureza, o que também traz dificuldade de entendimento e é um conceito mais abrangente que o estatuído na California e na EU.  P. ex.: os sites das empresas devem ser protegidos, mesmo quando estão disponíveis na internet...  Como fazer isso na África do Sul, apenas dada a abrangência transfronteiriça da web? A contrassenso, os sujeitos dos dados não precisam dar permissão para a coleta de seus dados, a menos que: sejam classificados como special personal informartion, notadamente, crença, credo, ideologia, raça ou etnia, posição política, saúde, vida ou orientação sexual, dados biométricos; ou, se forem dados de menores de 17 anos, que precisam autorizar a coleta e processamento de seus dados por meio do seu responsável civil; ou, sejam coletados ou processados com fins de marketing direto por e-mail, telefone ou SMS. Em qualquer caso, a opção de objeção à coleta ou processamento dos dados deve ser oferecida ao titular dos dados, inclusive com instrução de como retirar suas informações diretamente dos sistemas das organizações. E exceto em casos específicos os dados somente podem ser coletados do próprio sujeito dos dados, o que nos parece contraditório com a não proibição de transferência ou compartilhamento de dados.  Sim, é permitida a transferência dos dados dentro do próprio país, ou se for transferida, internacionalmente, a terceiros que tenham políticas semelhantes de proteção de dados ou que atendam legislação adequada para a proteção dos dados. Notem quão ampla é a interpretação desse conceito. As organizações sujeitas à Protection Of Personal Information Act podem cobrar taxas em troca do fornecimento dos dados que mantém sobre o titular dos dados, muito embora não possam cobrar para informar se tem ou não dados coletados e processados de um determinado indivíduo e nem para corrigir determinada informação equivocada a pedido. A designação de um DPO é exigida, mas a legislação ressalva que, na ausência de pessoa dedicada à função, o CEO da empresa será o responsável pela área - e sofrerá as consequências do non compliance. As notificações de infrações devem ser feitas em até 72 horas, para a autoridade supervisora e as penalidades são menores que as outras três legislações aqui tratadas, chegando ao máximo de R10 milhões, o que corresponde hoje a aproximadamente US$ 723.000. A pena privativa de liberdade para o DPO, ou o CEO no caso de não haver DPO designado pode chegar 10 anos. Quanto à nossa recentíssima Lei Geral de Proteção de Dados, que demorou a ser editada e, por conta da pandemia do COVID, teve sua eficácia retardada mais ainda, podemos dizer que traz muitas semelhanças com a legislação Europeia, em especial os seus princípios, antes já referidos. Aplica-se a todos que coletam ou processam dados de cidadãos brasileiros ou residentes em território com jurisdição brasileira, independentemente da localização da organização e são considerados dados protegidos toda a informação que identifique ou possa identificar o seu titular, sendo objeto de proteção mais específica os dados considerados sensíveis, à semelhança da General Data Protection Regulation. A Lei Geral de Proteção de Dados tenta indicar as providências obrigatórias por parte das organizações, para o compliance à lei, exigindo informar a razão e demandando autorização expressa para coleta e tratamento de dados, do sujeito dos dados, ressalvadas as outras hipóteses que autorizam o tratamento de dados independentemente do consentimento nos termos do art. 7º (dados pessoais) e art. 11 (dados pessoais sensíveis). O órgão responsável pelo controle do compliance à Lei Geral de Proteção de Dados é a ANPD ou Autoridade Nacional de Proteção de Dados que tem como órgão consultivo, o Conselho Nacional de Proteção de Dados Pessoais e da Privacidade (CNPD), composto por membros da sociedade e do poder público. As principais atribuições são do CNPD são (art. 58-B da LGPD):  Propor diretrizes estratégicas e fornecer subsídios para a elaboração da Política Nacional de Proteção de Dados Pessoais e da Privacidade e para a atuação da ANPD; Elaborar relatórios anuais de avaliação da execução das ações da Política Nacional de Proteção de Dados Pessoais e da Privacidade; Sugerir ações a serem realizadas pela ANPD; elaborar estudos e realizar debates e audiências públicas sobre a proteção de dados pessoais e da privacidade; e, Disseminar o conhecimento sobre a proteção de dados pessoais e da privacidade à população.  A participação no CNPD é considerada prestação de serviço público relevante, não remunerada e constitui um diferencial em relação a outras legislações. Na linha da EU, a legislação brasileira proíbe a transferência ou compartilhamento de dados, com raras exceções e o consentimento é elemento chave para a captação e processamento de dados pessoais, devendo tal consentimento ser dado de forma voluntária e mediante a informação clara de quais dados serão captados e/ou processados, por quem e com que finalidade. E o consentimento pode ser revogado a qualquer tempo, devendo a organização captora ou processadora manter o registro de tais consentimentos e/ou sua revogação. O direito de acesso exercido pelo titular de dados deve ser respondido ao interessado em 15 dias, sem custo, como analisado nesta coluna. A designação de um Encarregado pela Proteção de Dados, dedicado como tal, é obrigatória na Lei Geral de Proteção de Dados, muito embora ainda não haja uma certificação, para tal ocupação, no Brasil. Esta função pode ser exercida por um indivíduo com o auxílio de uma equipe ou grupo (denominado, muitas vezes, como "Comitê de Proteção de Dados"), interno ou ser terceirizado (externo). Indica-se, mas não se exige um CPO nas organizações. No caso de quebra da segurança da proteção dos dados, a organização deve informar à ANPD e aos titulares, em um prazo não especificado na legislação, mas que a ANPD definiu em 2 dias úteis, contados do conhecimento do incidente de segurança com dados pessoais. As penalidades financeiras são bem menores se comparadas a outras legislações, mas ainda assim bastante altas, podendo chegar a 2% do faturamento anual da organização com um teto de R$ 50 milhões, por ofensa. Por fim, para sabermos se estamos em compliance com a regulação de dados que nos atinge, devemos nos perguntar o seguinte: Quais são os direitos do titular dos dados em relação ao acesso às informações mantidas por você? Quais processos você possui para garantir que a solicitação de um titular de dasos seja cumprida? Quem será responsável pela conformidade em sua organização e que será responsabilizado peno caso de no comliance? E como esse indivíduo garantirá que a organização esteja compatível com as legislações que a atingem? As informações pessoais foram obtidas em acordo com as hipótese previstas em lei? Se as informações pessoais foram coletadas de terceiros, o titular dos dados consentiu que essas informações sejam compartilhadas e usadas por você, nos casos em que a legislação permite? Quais processos você possui para identificar a origem de uma violação de dados e o procedimento a seguir para neutralizar tal violação? Qual processo você possui para garantir que as salvaguardas sejam continuamente atualizadas em resposta a novos riscos ou deficiências nas salvaguardas previamente implementadas? Quais processos você possui para evitar a recorrência de uma violação de dados?  Feitas todas essas perguntas, se não houver resposta claríssima para qualquer delas, isso significa que seus sistemas de compliance não estão adequados à LGPD e sua organização precisa COM URGÊNCIA buscar uma assessoria nessa área, independentente do lugar no mundo onde ela atua.  *Renata Marcheti é professora doutora da USP, advogada e membro Fundadora do Instituto Avançado de Proteção de Dados (IAPD), instituo este que conta com vários membros dedicados à pesquisa aplicada em matéria de proteção de dados pessoais.

Há exatamente um ano, tivemos a honra de inaugurar esta coluna "Migalhas de Proteção de Dados" com o texto no qual analisamos as polêmicas em torno da vigência da LGPD. Em síntese, foram diversas tentativas de prorrogar o início da vigência da LGPD, mas a lei entrou parcialmente em vigor no dia 18 de setembro de 2020, quando o Presidente Jair Bolsonaro sancionou a lei 14.058, de 17/9/2020, publicada no Diário Oficial da União no dia 18/9/2020, retirando os artigos que pretendiam postergar a vigência da LGPD para maio de 2021. Assim, entende-se que a LGPD está em vigor a partir da vigência da lei 14.058/2020, suprindo uma importante lacuna no ordenamento jurídico brasileiro como alertado por Newton De Lucca e Renata Mota Maciel.1 As sanções administrativas previstas na LGPD, no entanto, somente passaram a vigorar a partir de 1º de agosto de 2021, porque a lei 14.010, de 10 de junho de 2020 - que estabelece normas integrantes do denominado "Regime Jurídico Emergencial e Transitório das relações jurídicas de Direito Privado (RJET)" no período da pandemia do novo coronavírus, -, determinou no art. 20 a prorrogação da vigência dos artigos 52, 53 e 54 da LGPD.2 Assim, uma pergunta em destaque nestes últimos dias é se a sociedade brasileira, os órgãos públicos e as empresas estão ou não adequadas à LGPD e se a própria ANPD terá condições efetivas (tanto em recursos humanos, quanto materiais) para fiscalizar o correto cumprimento da lei e aplicar as sanções nela previstas após o processo administrativo, garantida a ampla defesa e o contraditório, consoante o art. 55-J, inc. IV, da LGPD.3 Algumas particularidades das sanções administrativas previstas na LGPD  A LGPD prevê em um rol taxativo das penalidades administrativas que podem ser aplicadas pela Autoridade Nacional de Proteção de Dados (ANPD), quais sejam4: - advertência, sendo que a ANPD deve indicar um prazo para a adoção de medidas corretivas; - multa simples de até 2% do faturamento da pessoa jurídica de direito privado, grupo ou conglomerado no Brasil no seu último exercício, excluídos os tributos, limitada, no total, a R$50 milhões de reais por infração; - multa diária (astreintes), ou seja, multa a ser cobrada por dia até que a pessoa jurídica de direito privado cumpra as determinações indicadas pela ANPD, observado o limite acima estabelecido em lei; - publicização, isto é, a divulgação das empresas e dos órgãos públicos que descumpriram as obrigações previstas na LGPD, o que pode representar um prejuízo financeiro além do limite acima indicado, podendo a publicização causar, até mesmo, a falência do negócio por desconfiança dos usuários dos serviços (titulares de dados pessoais); - bloqueio dos dados pessoais tratados em desconformidade com a LGPD, até que seja regularizada a infração; - eliminação dos dados pessoais tratados em desconformidade com a LGPD; - suspensão parcial do funcionamento do banco de dados pelo prazo máximo de 6 meses, podendo ser prorrogado por igual período até a regularização da atividade de tratamento de dados; - suspensão do exercício da atividade de tratamento de dados pessoais pelo prazo máximo de 6 meses, também podendo ser prorrogável por igual período; - proibição parcial ou total do exercício das atividades relacionadas a tratamento de dados. Estas sanções administrativas estão mencionadas de forma crescente quanto à sua gravidade, isto é, a advertência é a sanção mais leve enquanto a proibição parcial ou total do exercício das atividades, a mais grave. Pouco se tem falado das sanções referentes à publicização, ao bloqueio ou à eliminação dos dados pessoais, bem como sobre a suspensão parcial do funcionamento do banco de dados ou da atividade de tratamento de dados, além da proibição parcial ou total do exercício das atividades de tratamento de dados, penalidades estas que se não forem dosadas com cautela poderão causar a insolvência empresarial. Sem embargo dos possíveis questionamentos em torno da matéria, entendemos ser este rol taxativo, ou seja, a ANPD não poderá inovar, criando outras sanções administrativas não mencionadas no art. 52 da LGPD, em virtude do inc. XXXIX do art. 5º da CF/88 (não há pena sem prévia cominação legal).5 No entanto, as sanções administrativas previstas na LGPD são suficientes para o enforcement da lei de maneira abstrata. Isto porque, fazendo um paralelo, o fato de o Código Penal prever pena restritiva de liberdade para a prática do crime de homicídio, infelizmente, não impediu, nem mesmo diminuiu, as milhares de mortes decorrentes dos crimes dolosos contra a vida. Nesse diapasão, cumpre salientar que o propósito básico da ANPD deverá direcionar-se - em especial neste momento inicial de mudança cultural em prol da proteção de dados pessoais - no sentido de uma atuação eminentemente pedagógica. Em outras palavras, o diálogo com os diversos setores da sociedade brasileira deve ser o mais amplo possível, com propagandas educativas para orientar tanto os agentes de tratamento de dados, quanto os titulares de dados a se conscientizarem das obrigações e dos direitos previstos na LGPD. A atuação pedagógica da ANPD  A sociedade brasileira experimenta, atualmente, significativa mudança na cultura de cenários de "superexposição", de divulgação de CPF e de outras informações importantes para obter apenas um pífio desconto em produtos e serviços, sem o questionamento do porquê de disponibilizar tais informações. Caberia lembrar, a propósito, a passagem de Yuval Noah Harari, segundo a qual "no século XXI, nossos dados pessoais são provavelmente o recurso mais valioso que ainda temos a oferecer, e os entregamos aos gigantes tecnológicos em troca de serviços de e-mail e de vídeos com gatos engraçadinhos." É preciso assinalar, no entanto, que estamos apenas no começo desta jornada, diferentemente de países como Alemanha e França, que desenvolvem a cultura de proteção de dados desde a década de 70 da centúria passada. Nesse sentido, muito mais importante do que aplicar as sanções previstas na lei, a ANPD deve priorizar a promoção do conhecimento das normas e das políticas públicas sobre proteção de dados pessoais e das medidas de segurança (inc. VI do art. 55-J da LGPD), além ouvir os agentes de tratamento de dados e a sociedade em matérias de interesse relevante (inc. XIV do art. 55-J da LGPD). Ademais, sobreleva destacar que ainda existem diversas lacunas na lei, além de cláusulas gerais e de conceitos jurídicos indeterminados (aliás, não só jurídicos, mas técnicos também) como, exemplificativamente, a polêmica questão da anonimização e da pseudoanonimização. Portanto, a ANPD deverá exercer uma função eminentemente didática, pavimentando o terreno para  criar um cenário ideal tendente ao real enforcement da LGPD. Da aplicação das sanções administrativas previstas na LGPD aos órgãos públicos A LGPD foi expressa em mencionar regras específicas para o tratamento de dados pessoais pelo Poder Público (capítulo IV, arts. 23 a 30 da LGPD). Consequentemente, além das regras específicas, os órgãos públicos devem observar as regras gerais, como os princípios estabelecidos no art. 6º, além das diversas obrigações impostas aos agentes de tratamento de dados. Neste contexto, poder-se-ia indagar se os órgãos públicos, na hipótese de descumprimento da LGPD, devem estar sujeitos às sanções administrativas nela previstas? Trata-se, ao que parece, de aspecto extremamente delicado e bastante controvertido da LGPD. Imagine-se, por exemplo, a hipótese de ser aplicada ao IBGE a eliminação dos dados pessoais coletados ou mesmo de aplicar-se  multa a um órgão público, cujo pagamento viria dos impostos pagos por todos os cidadãos brasileiros... Ou, ainda, impedir um Registro Civil de Pessoas Naturais de realizar registros de nascimentos ou de óbitos, ou mesmo casamentos, uma vez que os cartórios foram equiparados ao Poder Público nos termos dos §§ 4º e 5º do art. 23 da LGPD. Em tais cenários, parece inquestionável que a aplicação de algumas sanções previstas na LGPD acarretaria inevitável prejuízo aos próprios titulares de dados e à coletividade, configurando uma evidente injustiça.6 A esse propósito, aliás, a ANPD já se pronunciou no sentido de que as sanções pecuniárias não podem ser aplicadas aos órgãos públicos.7 Todavia, as demais  sanções administrativas previstas na LGPD, que não as pecuniárias, poderão ser aplicadas aos órgãos públicos, conforme destacado no aludido texto. Diante das possíveis dubiedades existentes, parece-nos que seria adequada e prudente a elaboração de um regramento específico sobre as sanções administrativas a serem aplicadas aos órgãos públicos. Enfim, para a aplicação das sanções previstas na LGPD, deverão ser levadas em consideração, além dos critérios mencionados no § 1º do art. 52 da LGPD para a dosagem da penalidade a ser aplicada, também as peculiaridades de cada órgão público que possa ter violado a LGPD. O que esperar para o próximo ano quando as sanções administrativas estarão em vigor? Ainda que as sanções tenham entrado em vigor, a ANPD irá editar um regulamento específico sobre as sanções administrativas, que será submetido à consulta pública. Portanto, somente após a definição das metodologias que orientarão o cálculo do valor-base para as sanções de multa, tais sanções poderão ser tecnicamente aplicadas pela ANPD consoante as regras estabelecidas no seu Regimento Interno.8 Esse ponto está intimamente ligado à minuta de resolução para o "Regulamento de Fiscalização e Aplicação de Sanções Administrativas", que deve ser encaminhada em breve ao Conselho Diretor da ANPD para deliberação.9 No entanto, pode-se esperar uma atuação pedagógica da ANPD, como acima alertado, privilegiando uma abordagem "responsiva, ou seja, de maneira gradual, baseada no comportamento do regulado e alicerçada em um plano de monitoramento do setor que permita a priorização de temas segundo seu risco, gravidade, atualidade e relevância." Em suma, a ANPD somente poderá aplicar as sanções administrativas previstas na LGPD aos fatos ocorridos após 1º de agosto de 2021, quando os artigos 52, 53 e 54 da LGPD entraram em vigor. No entanto, as infrações à LGPD, iniciadas antes de 1º de agosto de 2021, mas que continuaram a ser cometidas após essa data, deverão ser objeto de análise pela ANPD que, após o contraditório e ampla defesa, poderá aplicar as sanções previstas na lei. Ainda há mais dúvidas do que respostas definitivas, sendo recomendável que, pelo menos até a aprovação do Regulamento de Fiscalização e de Aplicação de Sanções Administrativas ser aprovado no Conselho Diretor da ANPD, as sanções administrativas permaneçam em suspenso. Ao que tudo indica - e este parece ser o melhor caminho a seguir -, a ANPD deverá atuar mais numa vertente pedagógica, preventiva e responsiva do que de uma forma repressiva, o que faz todo o sentido neste momento inicial da vigência da LGPD. Afinal de contas, muito mais do que punições, o que se espera e se deseja é que a ANPD exerça função primordialmente didática para que a cultura da proteção de dados pessoais no Brasil possa frutificar admiravelmente, atingindo a sua plenitude o mais cedo possível.10 *Cíntia Rosa Pereira de Lima é professora de Direito Civil da Faculdade de Direito da USP Ribeirão Preto - FDRP. Doutora em Direito Civil pela Faculdade de Direito da USP com estágio na Universidade de Ottawa (Canadá) com bolsa CAPES - PDEE - Doutorado Sanduíche e livre-docente em Direito Civil Existencial e Patrimonial pela Faculdade de Direito de Ribeirão Preto (USP). Pós-Doutora em Direito Civil pela Università degli Studi di Camerino (Itália) com fomento FAPESP e CAPES. Líder e Coordenadora dos Grupos de Pesquisa "Tutela Jurídica dos Dados Pessoais dos Usuários da Internet" e "Observatório do Marco Civil da Internet", cadastrados no Diretório de Grupos de Pesquisa do CNPq e do Grupo de Pesquisa "Tech Law" do Instituto de Estudos Avançados (IEA/USP).  Presidente do Instituto Avançado de Proteção de Dados - IAPD. Advogada. **Newton De Lucca é professor Titular da Faculdade de Direito da Universidade de São Paulo. Professor do Corpo Permanente da Pós-Graduação Stricto Sensu da UNINOVE. Desembargador Federal, Presidente do Tribunal Regional Federal da 3a Região (biênio 2012/2014). Membro da Academia Paulista de Direito. Membro da Academia Paulista de Letras Jurídicas. Membro da Academia Paulista dos Magistrados. Vice-Presidente do Instituto Avançado de Proteção de Dados. __________ 1 DE LUCCA, Newton; MACIEL, Renata Mota. A Lei nº 13.709, de 14 de Agosto de 2018: a Disciplina Normativa que Faltava. In: DE LUCCA, Newton; LIMA, Cíntia Rosa Pereira de; SIMÃO FILHO, Adalberto; MACIEL, Renata Mota. Direito & Internet IV: Sistema de Proteção de Dados Pessoais. São Paulo: Quartier Latin, 2019. pp. 21 - 50. 2 Louve-se, a propósito, o meritório esforço do professor doutor Otávio Luiz Rodrigues Júnior, cuja competente e brilhante atuação no Congresso Nacional foi fundamental para a entrada em vigor da LGPD. 3 Sobre a Autoridade Nacional de Proteção de Dados e os argumentos do veto à criação da ANPD vide: DE LUCCA, Newton; LIMA, Cíntia Rosa Pereira de. Autoridade Nacional de Proteção de Dados Pessoais (ANPD) e Conselho Nacional de Proteção de Dados Pessoais e da Privacidade. In: LIMA, Cíntia Rosa Pereira de. Comentários à Lei Geral de Proteção de Dados. São Paulo: Editora Almedina, 2019. pp. 373 - 398. Sobre a atuação da Autoridade Nacional de Proteção de Dados cf. LIMA, Cíntia Rosa Pereira de. A ANPD e a efetividade da LGPD. São Paulo: Almedina, 2021. 4 LIMA, Cíntia Rosa Pereira de Lima. As funções da Autoridade Nacional de Proteção de Dados e as sanções previstas na LGPD. In: FRANCOSKI, Denise; TASSO, Fernando Antonio (coords). A Lei Geral de Proteção de Dados Pessoais - LGPD no Setor Público e Privado - Temas Relevantes. São Paulo: Revista dos Tribunais, 2021. 5 DI'TANO MORAES, Amanda Melo. Sanções administrativas na LGPD. Disponível aqui, acesso em 05 de agosto de 2021. 6 Homo Deus - Uma breve história do amanhã, São Paulo: Companhia das Letras, 2016, p. 343. Cf. DE LUCCA, Newton. Yuval Noah Harari e sua visão dos dados pessoais de cada um de nós. 02 de junho de 2021. 7 "Os órgãos e as entidades públicas poderão ser punidos com todas as sanções administrativas previstas na LGPD, salvo as sanções pecuniárias. Ademais, a LGPD prevê a possibilidade de responsabilização de agentes públicos, nos termos previstos na lei 8.112, de 11 de dezembro de 1990 (Estatuto do Servidor Público), na Lei nº 8.429, de 2 de junho de 1992 (Lei da Improbidade Administrativa) e na lei 12.527, de 18 de novembro de 2011 (Lei de Acesso à Informação)." Disponível aqui, acesso em 3 de agosto de 2021. 8 PEROLI, Kelvin. A Portaria n. 01/2021 da ANPD e o seu Conselho Diretor: estrutura e funções. Disponível aqui, acesso em 05 de agosto de 2021. 9 Disponível aqui, acesso em 3 de Agosto 2021. 10 LIMA, Cíntia Rosa Pereira de. Autoridade Nacional de Proteção de Dados Pessoais (ANPD): entenda quais são as atribuições da ANPD e como este órgão atuará na fiscalização de implementação da LGPD. Disponível aqui, acesso em 5 de agosto de 2021.

Continuando nossa breve análise comparativa entre os três instrumentos jurídicos referidos acima, passemos à análise de cada um deles, lembrando que esta é a segunda parte do texto integral e trata da GDPR. A lei hoje vigente na União Europeia e que trata da proteção de dados pessoais é a General Data Protection Regulation - GDPR, que obriga os países membros a se adaptarem a ela. A GDPR aplica-se a toda e qualquer companhia, pública ou privada, que vise ou não lucro independentemente de onde a empresa esteja estabelecida ou tenha sua sede, desde que o dado violado seja relativos a cidadãos ou residentes da Comunidade Europeia, ainda que tais pessoas tenham mais de uma cidadania. Segundo a General Data Protection Regulation "dado pessoal" significa qualquer dado relacionado a, que identifique ou descreva ou ainda possa ser associado com uma pessoa (sujeito dos dados, na letra da lei).  Assim, dado pessoal do indivíduo é não só seu nome, números de documentos e endereços, mas também suas respectivas identificações criadas nos próprios sites das companhias, informações online como endereços de IP, cookies, dados de GPS ou de suas localizações, informações biográficas como crença ou credo, raça, cor, sexualidade ou gênero, situação econômica presente ou pretérita, marcas pessoais físicas inatas ou não (como tatoos, p. ex.) etc.  Para a General Data Protection Regulation qualquer coleta, venda, cessão ou uso dos dados pessoais constitui "processamento" de dados e as organizações devem ter expressa autorização para fazê-lo o que geralmente ocorre através de "termos de consentimento" online e/ou pop ups a serem respondidos ou preenchidos antes de acessar o conteúdo das organizações. A legislação em tela ainda visa impedir que as organizações mantenham dados pessoais desnecessários em seus bancos de dados, estabelecendo que elas somente podem processar dados estritamente necessários a objetivos bem definidos do negócio. Inclusive, se os dados pessoais são coletados para um propósito específico, a mesma organização não poderá usá-los para outro fim, sem o consentimento do sujeito dos dados. Do mesmo modo, a mesma organização não pode transferir dados colhidos na área da União Europeia a suas coligadas, subsidiárias ou afiliadas, estabelecidas fora daquela área, exceto sob circunstâncias específicas que envolvem defesa de estado, defesa da organização ou contratos que contenham autorizações e clausulas expressas nesse sentido. Nem mesmo o e-mail da pessoa coletado para um fim pode ser objeto de campanhas de marketing sem expresso consentimento do sujeito dos dados. Esta legislação, assim como as demais não especifica as medidas de segurança de dados a ser implantada pelas empresas, apenas exigindo que as organizações tenham implementadas as medidas e precauções necessárias para a segurança dos dados, sob as penas que especifica no caso de não conformidade.  É sabido, todavia, que as medidas de segurança mais amplas e profundas não têm sido capazes de assegurar completamente a não invasão ou quebra dos sistemas de dados, mesmo na EU.  A despeito disso, a General Data Protection Regulation exige que as políticas se segurança de dados das empresas sejam claras e de fácil acesso e compreensão pelos cidadãos que protege. Os principais direitos e obrigações que a General Data Protection Regulation defende são: Políticas de privacidade e proteção de dados que deixam claro: Que dados pessoais são coletados; Por que e como tais dados estão sendo processados; Qual a base legal para uso desses dados; Se os dados serão compartilhados e com quem; Que o sujeito dos dados a opção de não concordar com o processamento de seus dados. Principais obrigações das organizações: Mediante simples requerimento do sujeito dos dados: Criar e fornecer relatórios de todos os dados captados; Deletar todos os dados captados e armazenados; Fornecer os dados captados e/ou processados em linguagem computacional; Usar dados acurados - corretos e atualizados. Informar os sujeitos dos dados, em 72 horas se houve quebra do sigilo dos dados ou se seus dados foram expostos sem a devida autorização. Dar ao sujeito dos dados a opção de "sair com seus dados" de serviços específicos; Uma outra especificidade que a General Data Protection Regulation trouxe foi a necessidade de se ter na organização, não só um Data Protection Officer ("DPO"), mas também um Chief Privacy Officer ("CPO"), fazendo com que as organizações tenham que criar tais posições dentro de seus organogramas. Quanto às penalidades, a General Data Protection Regulation distingue entre (i) non compliance com seus termos e (ii) quebra da proteção de dados. O primeiro pode ter penas de ? 10 milhões ou 2% do faturamento bruto global da organização, e o segundo caso pode ter penas de ? 20 milhões ou 4% do faturamento bruto global da organização, sempre valendo o que for maior. O California Consumer Privacy Act CCPA, por sua vez foi modelado à imagem e semelhança da General Data Protection Regulation pelo maior estado dos Estados Unidos da América, todavia com algumas diferenças relevantes. Com eficácia sobre as empresas e os sujeitos dos dados estabelecidos na Califórnia, esta lei dá a tais sujeitos um maior controle e visibilidade sobre os seus dados pessoais coletados/processados, ao mesmo tempo que exige dos negócios uma maior transparência sobre a coleta e processamento de dados pessoais e dos dados dos householdings.  Interessante a menção do sujeito dos dados protegidos:  "household".  Não existe no próprio Ato uma definição explicita da palavra household, mas é consenso que se refere a dados de família ou de um núcleo familiar. É obrigatória sua observância em todos os ramos de atividades e vem sendo tida como a inspiração para uma legislação nacional americana unificada.  Importante dizer que, no estado da Califórnia, ainda existem o California Online Privacy Protection Act ("CalOPPA") e o California Consumer Privacy Act. Uma importante diferença entre o California Consumer Privacy Act e a General Data Protection Regulation é que o primeiro se aplica apenas a quem faz negócios com fins lucrativos, na Califórnia, coletando dados de sujeitos residentes na Califórnia e, concomitantemente: Tem faturamento anual bruto de pelo menos US$ 25 milhões; e/ou, Armazena dados de 50 mil residentes, famílias ou equipamentos pessoais ao ano; e/ou, Gera mais de 50% de seu lucro com a venda de dados pessoais de residentes da Califórnia.  Empresas que fazem negócios na Califórnia, segundo a legislação civil do estado, é aquela que: Está baseada na Califórnia; Tem empregados na Califórnia; e/ou, Tem conexão com a Califórnia através de propriedades imobiliárias ou vendas recorrentes a consumidores daquele estado.  O California Consumer Privacy Act admite implicitamente a coleta de dados por ferramentas de tracking e/ou tecnologias relacionadas, tanto que suas disposições se aplicam "a dados pessoais coletados por ferramentas de tracking e tecnologias similares".  E admite ainda o processamento e venda de dados de residentes da Califórnia, desde que a tais sujeitos dos dados tenha sido dada, de forma clara, a opção de se oporem ao fato.  O mesmo ocorre com o uso de e-mails ou outros dados para fins de marketing, ou transferência de dados para fora da Califórnia ou dos EUA. Enquanto na Comunidade Europeia, o sujeito dos dados tem que autorizar expressamente tais usos de seus dados, nos EUA basta que a eles seja dada, de forma explicita, a opção de se negar ao uso de tais dados para determinados fins. A única exceção é em relação aos menores de 17 anos. Para estes: Se estiverem abaixo de 13 anos, precisarão que seus responsáveis legais autorizem a obtenção e/ou processamento de seus dados expressamente; Se estiverem entre 13 e 16 anos deverão autorizar pessoalmente a obtenção e/ou processamento de seus dados expressamente. À semelhança da General Data Protection Regulation, o California Consumer Privacy Act não determina quais medidas de segurança são necessárias às empresas, mas, diferentemente daquele regramento, no caso de quebra de sigilo de dados, dá liberdade para a empresa agir na correção e a penalidade somente será aplicada se ficar comprovado que a empresa não tomou as "medidas possíveis" - termo bastante vago - para a proteção dos dados ou correção do problema havido.  Não há um prazo específico ou requisitos específicos para comunicação e atuação sobre a quebra de sigilo, no California Consumer Privacy Act, muito embora outras legislações (americanas e mesmo californianas) tratem da matéria.  Da mesma forma, não exige a presença ou indicação de um CDO ou DPO nos negócios. Os principais direitos tutelados pelo California Consumer Privacy Act são: Requer e receber informações sobre quais dados seus estão armazenados em prazo de 45 dias; Ter seus dados alterados ou deletados mediante requerimento e sem custo, com poucas exceções; Escolher se permitem ou não compartilhamento e/ou venda de seus dados com terceiros; Manutenção do preço dos serviços independentemente dos requerimentos dos consumidores ou das obrigações a serem cumpridas para o compliance com o California Consumer Privacy Act. A California Privacy Protection Agency terá poderes para multar transgressores, realizar audiências e inquirições sobre violações de privacidade e/ou de dados pessoais, esclarecer dúvidas e criar diretrizes de privacidade para regulações posteriores. É um conselho de cinco membros e começa a vigorar seis meses após a entrada em vigor em 1º de julho de 2023. Atualmente, o estado da Califórnia, baseado no California Consumer Privacy Act, pode impor penalidade de até US$ 7.500 por violação, e somente se a organização não conseguir resolver o problema dentro de 30 dias. Em paralelo, o sujeito dos dados pode buscar reparação civil de até US$.750 por incidente, mais os custos do processo. Continuaremos, no próximo periódico, abordando os dois últimos regramentos objeto deste artigo, que comporão a Parte III e última do texto:  a recentíssima legislação Sul Africana - POPIA e a LGPD do Brasil. *Renata Marcheti é professora Doutora da USP, Advogada e Membro Fundadora do Instituto Avançado de Proteção de Dados (IAPD), instituo este que conta com vários membros dedicados à pesquisa aplicada em matéria de proteção de dados pessoais. __________ 1 General Data Protection Regulation - A GDPR foi adotada pelo Parlamento Europeu em abril de 2016 passou a ser vigente com eficácia total a partir de Maio de 2018. Acessado em 01/7/2021. 2 California Consumer Privacy Act - CCPA passou a viger na Califórnia em 2018. Acessado em 01/7/2021. 3 Protection of Personal Information Act - POPI Act ou POPIA, passou a viger com eficácia plena em 1º de julho de 2021, tendo sito editada pelo Parlamento da África do Sul em 2020.  4 Lei Geral de Proteção de Dados - LGPD de agosto de 2018, regula a proteção de dados de pessoas físicas e jurídicas no Brasil.

Preliminares Nesta mesma coluna, da última sexta-feira, 16 de julho, o artigo "Segurança cibernética em escritórios de advocacia" aborda, em seu início, um elenco de crimes cibernéticos que afrontam, não só os escritórios de advocacia, mas uma série de outras instituições. No início deste mês, dois órgãos nacionais foram acusados de vazamento de dados, a Dataprev e o Instituto Nacional do Seguro Social (INSS). O Instituto de Defesa Coletiva, alega a ineficiência dos órgãos federais em manter seguros os dados dos segurados, assim impetrou uma ação civil pública na 17ª Vara da Justiça Federal de Minas Gerais [FDR, 2021] [EXTRA-GLOBO, 2021]. Alguns são acusados de serem reincidentes, como é o caso do LinkedIn, acusado de vazar dados pessoais de 700 milhões de usuários, ou seja, 93% dos usuários cadastrados na plataforma [UOL, 2021]. Infelizmente a lista de malandragens cibernéticas não se limita ao vazamento de dados, e cobre um largo espectro falcatruas. Outra trapaça ainda muito comum é o sequestro de dados, os já famosos ransomwares, que são ataques cibernéticos que sequestram dados na intenção de cometer outro crime, a extorsão. Recentemente o grupo Fleury, uma grande organização de serviços médicos no país, ficou com os sistemas fora do ar, e também, a empresa alimentícia JBS dos EUA teve suas operações de processamento de carne, tanto nos EUA, quanto na Austrália, impactadas. Poderíamos aqui listar inúmeros casos deste tipo desfalque. Se fizermos uma busca na web por palavras-chave tais como "vazamento de dados", "crimes cibernéticos" e semelhantes, poderemos nos certificar do lastimoso número de casos noticiadas. Isso sem contar os casos das empresas e instituições de pequena expressão que não chegam na mídia. Segundo a pesquisa realizada pela empresa PSafe, e divulgada pela CNN [CNN, 2021], este ano já foram vazados os 4,6 bilhões de credenciais na rede e, certamente, mais dados virão à tona. O elenco de "safadezas" cibernéticas é muito mais diversificado do que as inúmeras estratégias dos "mocinhos" de T.I. cuja imaginação não foi capturada pelo capiroto e seus algozes. Não obstante, ao meu ver, a lógica invertida das acusações que punem os detentores de dados por não acrescentarem outro "cadeado na porta já trancada dos dados", esses desfalques sobre os dados alheios devem ser minimizados, quiçá, aos olhos dos iludidos, eliminados. Antes de chegarmos nos pontos de silos e despacho de dados, antes mesmo dos algoritmos de anonimização que podem apenas dissipar o ímpeto do invasor pirata e dos firewalls que filtram dados e acessos, devem reinar absoluto para segurança dos dados a governança e a gestão destes. Governança e Gestão de dados Foi-se o tempo que contabilizávamos os ativos computacionais de uma instituição pelo seu parque computacional, pelos sistemas de gerenciamento de dados e os sistemas de comunicação. Há tempos, os mais valiosos ativos de uma empresa são os dados, os meus, os seus dados e os nossos. Hoje é fácil ver como os information assets monetizam e rentabilizam as maiores empresas, em valor de mercado, do planeta: Apple e Microsoft. Em termos leigos, do que adianta termos um super sistema seguro de processamento e armazenamento de dados pessoais se, quando um cliente faz contato com uma empresa, algum funcionário anota em papel alguns dados pessoais do cliente para realizar um procedimento? Ou ainda, quando recebemos uma encomenda e notamos que na etiqueta impressa no pacote constam metadados que revelam vários dados pessoais nossos? Para estes casos, o que falta para prevenir o vazamento de dados? Governança ou gestão de dados? Em termos amplos, a governança de dados define-se pelos relacionamentos entre os líderes da empresa, seus colaboradores, os acionistas e os usuários de seus serviços. Relacionamento este que define os objetivos organizacionais e monitora o seu desempenho. Quando afunilamos para o universo dos dados, podemos citar o trabalho de Khatri e Brown [KHATRI; BROWN, 2010] os quais definem governança como as decisões que devem ser tomadas para garantir a gestão e o uso eficaz dos ativos de dados, e quem como quem toma as decisões; enquanto também definem a gestão de dados como a tomada e implementação de decisões. Pode parecer que o tema de governança e gestão de dados passa ao largo da LGPD, muito longe da área jurídica, mas é interessante como praticamente qualquer abordagem que tomemos sobre esse tema de governança e gestão este se funde perfeitamente à lei, a parte dos detalhes, mas em seus princípios. Para os mais afoitos, tomemos como exemplo os caminhos seguidos no clássico livro de Peter Weill e Jeanne Ross Ross [WEILL; ROSS, 2004]. Nesta obra a arquitetura de todo processo de decisão e reponsabilidade sobre os dados, ou seja, a governança de dados, recai sobre cinco domínios de decisão, que são: a) o domínio dos princípios; b) o domínio da arquitetura; c) o domínio da infraestrutura; d) o domínio dos negócios e aplicações; e, finalmente, e) dos investimentos e prioridades. Pode não parecer, mas os cinco campos decisórios estão interrelacionados. O domínio dos princípios esclarece as funções que a TI desempenha na organização, ou ainda, se é função principal ou acessória. Este domínio orienta as decisões do sistema de arquitetura computacional, os quais, por sua vez, orientam a infraestrutura necessária para consecução das funções da empresa. Os recursos de infraestrutura da organização permitem avançar nos negócios da lógica e aplicação dos negócios. A necessidade de novas aplicações de negócios pode criar novos requisitos, os quais movimentam toda estrutura anterior e abre opções para novos investimentos e prioridades. Foquemos nos primeiros três: o domínio dos princípios orienta as decisões da organização. É neste momento que podemos tomar a decisão por dados mínimos e a decisão de priorizar a anonimização de dados. Dois dos princípios fundamentais da LGPD. Destes princípios nascem as necessidades no domínio da arquitetura do sistema, das necessidades de software que garanta a anonimização, o tratamento dos dados, bem como seu armazenamento seguro. Esse design de engenharia de software, de arquitetura de software e requisitos, avança para as prioridades de infraestrutura, ou seja, mecanismos de proteção de dados como redes de dados seguras, armazenamento seguro de dados (storage em nuvem, por exemplo), firewall, criptografia como medida secundária de proteção, assinatura eletrônica, entre outros. Analogamente à Weill e Ross, os estudos mais recentes de Khatri e Brown [KHATRI; BROWN, 2010] chegam a resultados semelhantes com uma proximidade ainda maior à LGPD. Neste estudo Khatri e Brown definem um arquétipo, um framework, para governança de dados também baseados em cinco eixos: a) dos princípios sobre os dados (como Weill e Ross); b) da qualidade dos dados; c) dos metadados (reparem na inovação); d) do acesso aos dados; e, e) do ciclo de vida dos dados. Reparem que neste modelo, os recursos físicos de TI, os ativos de infraestrutura, ficaram na saudade. Vamos abordar cada um na vicinalidade da LGPD. A) Data principles: Para estabelecer esse princípio devemos responder à questões básica, tais como:  Quais dados a organização precisa para realizar suas operações? (reparem o vínculo como o princípio dos dados mínimos sugeridos na LGPD); Como esses dados são usados nos mecanismos de comunicação internos e externos? (lembram-se das encomendas postais?); Os colaboradores reconhecem os dados como ativos da organização?; Como compartilhar e reutilizar os dados identificáveis?; e, Como o ambiente regulatório influencia nos negócios da organização? Todos estes aspectos respondidos nas questões acima refletem nas decisões sobre a propriedade dos dados, os deveres dos operadores, controladores, dos consumidores e, certamente, implicam em direcionar a organização para a instituição de uma política extensiva de governança e gestão de dados. Faltou citar anonimização aqui? Claro que não, a LGPD está hoje mais incluída do que nunca neste eixo. É a preocupação mor de todo controlador. B) Qualidade de dados: O nome é sugestivo deste eixo que estabelece os requisitos para o uso pretendido dos dados, ou seja, o tratamento responsável dos dados. Para estabelecer este princípio a equipe de gestão de dados deve estabelecer padrões para a completude, qualidade e credibilidade dos dados. Para tanto, esperamos a ação de especialistas em qualidade de dados, em gerentes de qualidade e programas contínuos de avaliação de resultados. C) Metadados: Estabelece a "semântica" dos dados, ou melhor, qual é o conteúdo interpretado pelos colaboradores e usuários destes dados. Esse princípio claramente encontra respalda na transparência dos dados à pessoas que forneceram estes dados. Ou ainda, invoca a possibilidade de todos, colaboradores, usuários e fontes dos dados, serem informados e questionados não apenas sobre os fatos atestados pelos dados, mas de como a sua organização pode ser interpretada. Já debatemos os metadados nesta coluna. Leiam "Cookies: doces ou travessuras na LGPD" e"LGPD, qual é a cor do meu sapato?". Agora, de modo mais imediato... D) Acesso aos dados: Quais são os requisitos para acesso aos dados? Uma pergunta simples, objetiva, e que realmente levanta a questão de segurança dos dados pessoais. Não só da segurança, mas como também da anonimização. Se este ponto "escapou" da verificação no primeiro eixo, dos princípios, desta "peneira" ele não passa. Respostas a questões como estas, a seguir, clarificam o acesso aos dados: Qual a relevância dos dados pessoais para nosso negócio? Quem irá estabelecer os riscos de acesso aos dados? Existe alguma norma de compliance a ser seguida? Quais são os programa educativos sobre a importância do tratamento de dados na organização? Como são realizadas as cópias de segurança e recuperação destes dados? E, finalmente E) Ciclo de vida dos dados: Como os dados são adquiridos, tratados, armazenados e, eventualmente, removidos e apagados do sistema? A LGPD e, certamente, e a ANPD, Autoridade Nacional de Proteção de Dados, fazem e farão deste eixo sua praia favorita. A legislação para retenção e arquivamento destes dados, além dos processos envolvidos, ainda tem muito que evoluir neste eixo. O ciclo de vida incorpora o cerne do tratamento de dados pessoais, do seu "nascimento" ao destino final. Acredito que visão dos dados pessoais fragmentada nestes eixos amplia a forma como entendemos as fragilidades, ou virtudes, de um sistema computacional que lida com dados pessoais. Estes frameworks possibilitam abrir a "caixa de Pandora". Como na criação de Hefesto, a abertura desta caixa poderá libertar de seu interior todos os males até então desconhecidos pelos controladores de dados. No entanto, ao curador ainda infunde-se a tentação de fechá-la e, ao fechar a caixa, como Pandora fez, ele mantém em seu interior apenas a esperança. Esta esperança que mantemos aqui, a esperança que estes modelos de governança e gestão de dados possam ao menos minimizar estes episódios de crimes cibernéticos ou mitigar os danos aos usuários. Referências bibliográficas OLIVEIRA, C. G. B & MINTO, G. A. R. Segurança cibernética em escritórios de advocacia. Migalhas. Migalhas de Proteção de Dados. No. 5.148.  FDR, Dataprev e INSS são acusados de vazamento de dados dos pensionistas; e agora? 2 de julho de 2016. Disponível aqui. EXTRA-GLOBO, Vazamento de dados de aposentados do INSS vai parar na Justiça. 30 de julho de 2021. Disponível aqui. UOL, LinkedIn é alvo de nova denúncia de vazamento de dados. 29 de junho de 2021. Disponível aqui. CNN, O mundo já registra 4,6 bilhões de dados vazados em 2021, diz PSsafe. 21 de julho de 2021. Disponível aqui. KHATRI, Vijay; BROWN, Carol V. Designing data governance. Communications of the ACM, v. 53, n. 1, p. 148-152, 2010. Disponível aqui. WEILL, Peter; ROSS, Jeanne W. IT governance: How top performers manage IT decision rights for superior results. Harvard Business Press, 2004.  *Evandro Eduardo Seron Ruiz é professor Associado do Departamento de Computação e Matemática, FFCLRP - USP, onde é docente em dedicação exclusiva. Atua também como orientador no Programa de Pós-graduação em Computação Aplicada do DCM-USP. Bacharel em Ciências de Computação pela USP, mestre pela Faculdade de Engenharia Elétrica da UNICAMP, Ph.D. em Electronic Engineering pela University of Kent at Canterbury, Grã-Bretanha, professor Livre-docente pela USP com estágios sabáticos na Columbia University, NYC e no Instituto de Estudos Avançados da USP (IEA-USP). Coordenador do Grupo de Pesquisa "Tech Law" do IEA-USP. Membro fundador do Instituto Avançado de Proteção de Dados - IAPD.

1. Introdução No dia 3 de abril de 2016, veio à tona um escândalo: "o vazamento de 11,5 milhões de documentos de um escritório revelou como personalidades do mundo criam empresas offshore na tentativa de evadir impostos"1. Trata-se do caso conhecido como "Panama Papers", que envolveu o escritório de advocacia panamenho "Mossack Fonseca", especializado na criação de offshores, que após um ataque hacker em seu servidor de e-mail, culminou na divulgação de dados de transações de diversos clientes do mundo todo. No mesmo ano, ao longo das negociações sobre fusão de dois importantes escritórios de advocacia da cidade de Nova Iorque (Cravath, Swaine & Moore e Weil Gotshal & Manges), hackers invadiram os sistemas que estavam sendo reestruturados, acessando informações valiosas, como documentos financeiros dos clientes e negociações confidenciais ,que lhes renderam em torno de US$ 4 milhões de dólares2 pelo "sequestro de dados". Em 2019, o CNJ teve uma invasão em 94 bancos de dados de seu sistema. Neste caso, números de contas bancárias, telefone, CPF e credenciais de acesso aos serviços mantidos pelo CNJ foram os alvos dos hackers3. Em agosto de 2020, a Ordem dos Advogados do Brasil nacional expôs dados pessoais de advogados e advogadas, por meio de uma falha no seu sistema interno de armazenamentos de dados dos profissionais do direito4. As notícias acima evidenciam o crescente aumento dos ataques cibernéticos no espaço jurídico. As informações, entretanto, não se limitam ao âmbito privado, sendo que no último ano também foram noticiadas invasões em sites do Poder Judiciário. Em novembro de 2020, o alvo foi a rede e sistemas do Superior Tribunal de Justiça5, cujas atividades ficaram suspensas por 07 dias.  No mesmo ano, o Tribunal Regional Federal da 1ª Região e o Tribunal de Justiça do Rio Grande do Sul também foram vítimas dos invasores e, recentemente, o Supremo Tribunal Federal teve suas atividades paralisadas6. Neste contexto, sobretudo em um cenário de pandemia, em que os escritórios e empresas paralisaram suas atividades e os funcionários acessam os sistemas por meio de suas redes particulares, cresce a preocupação sobre o aumento nos ataques de hackers. Um dos aspectos mais importantes na relação advogado-cliente é a confiança. O dever de sigilo profissional e de eticidade está amparado por disposições previstas no Código de Ética da OAB7. Diante disso, para que os advogados prestem assistência jurídica adequada aos seus clientes devem ter conhecimento básico quanto ao funcionamento de dispositivos eletrônicos e redes sociais. Os ataques ocorrem pelos mais variados motivos8. São dados pessoais e confidenciais que estão sendo retidos a fim de, muitas vezes, render lucros a quem os detenha, sejam eles financeiros ou pessoais. No caso da invasão ao site do Tribunal do Rio Grande do Sul, por exemplo, os hackers acessaram todas as informações processuais armazenadas no banco de dados (arquivos sigilosos, dados de pessoas e funcionários como declarações de imposto de renda e remunerações) e exigiram pagamento em bitcoins como resgate das informações hackeadas9.  2.    Por que os escritórios são as novas vítimas de ataques cibernéticos? As notícias acendem um alerta vermelho e passamos a questionar as razões dos alvos preferenciais serem as firmas de advocacia em detrimento das próprias empresas. Primeiro, os hackers são atraídos pela quantidade e pela qualidade de documentos disponíveis em escritórios de advocacia, incluindo dados financeiros confidenciais de clientes, e dos próprios funcionários, estratégias de negociação, transações, fusões. Logo, infiltrar-se em sistemas das firmas de advocacia é um ótimo método de obtenção de dados pessoais e informações pessoais sensíveis, permitindo até mesmo uma forma de manipulação do mercado. Além disso, os escritórios muitas vezes têm um sistema de segurança pior do que os seus clientes10. Isso porque muita segurança pode ser um problema. Altos padrões de proteção implicam em escolhas de diferentes senhas para acesso em cada arquivo, contas de e-mail, criptografia de arquivos e outras medidas. Do mesmo modo, priva os profissionais de acessarem dados pessoais sensíveis por seus dispositivos móveis e tudo isso pode implicar em perda de eficiência e de produtividade11. Por fim, nós nos deparamos com uma questão cultural. Os escritórios de advocacia, tradicionalmente, são pensados como uma sociedade em que todos os funcionários são parceiros e co-proprietários da empresa. Em um ambiente em que todos são "chefes", torna-se difícil impor padrões de segurança que podem ser considerados analógicos e ineficientes12. Ocorre que a falta de investimento em padrões de segurança coloca em risco informações sigilosas de clientes e afeta diretamente os deveres de ética e de sigilo profissional, mandamentos fundamentais na advocacia. Neste cenário, cresce a pressão para que os escritórios invistam em cibersegurança e mantenham a confiança de seus clientes13.  3.    Os modelos de conduta norte-americana A experiência norte-americana, após os ataques que mencionamos no início deste artigo, fez com que a Ordem dos Advogados dos Estados Unidos - American Bar Association (ABA) - editasse uma série de recomendações para que os profissionais lidem de modo adequado com o grande volume de dados que lhes são confidenciados e com as novas tecnologias implementadas em seus escritórios; evitando, portanto, expor dados de seus clientes. Embora sempre tenha havido uma base legal e ética para proteger as informações confidenciais, essa responsabilidade ficou ainda mais clara com a emissão do Parecer Formal n. 483 da ABA. No documento, há instruções sobre a necessidade de se criar um time de TI no escritório, de fornecer treinamentos constantes à equipe de modo a assegurar o melhor uso das mais recentes tecnologias e de impor o dever de notificação e de transparência aos clientes sobre eventuais invasões cibernéticas14. Recentemente, em 10 de março de 2021, a ABA emitiu um novo Parecer Formal (Formal Opinion 496) preocupada em estabelecer normas de conduta para o home office. A ABA recomenda, por exemplo, que os escritórios criem protocolos para o trabalho remoto indicando as condutas que devem ser adotadas para garantir a confidencialidade dos dados pessoais e informações de seus clientes, bem como que se evite o uso de sistemas de Wifi não seguros (como em cafeterias e locais públicos, em que é comum vermos profissionais trabalhando) para transmitir e armazenar documentos de clientes, evitando assim que os dados estejam mais vulneráveis. A "Opinion 496" aborda as principais considerações éticas relacionadas a prática virtual da advocacia, dentre elas: (i) os advogados devem garantir que os sistemas de hardware e software  estejam protegidos contra acessos não autorizados, utilizando criptografia, antivírus, e roteadores seguros, (ii) documentos virtuais e plataformas de troca, como as de e-mail, devem garantir os recursos de segurança adequados, (iii) necessidade de se observar a capacidade de escuta dos dispositivos como alto-falantes inteligentes e garantir que essas funções estejam desabilitadas para evitar o acesso não autorizado, (iv) as reuniões e sessões por vídeo-conferência devem ser acessadas apenas por meio de senhas fortes e não devem ser ouvidas ou vistas por terceiros e as gravações são desaconselhadas na ausência do consentimento do cliente e, finalmente, (v) os advogados devem estar cientes dos limites do trabalho virtual e evitar, por exemplo, receber documentos confidenciais de clientes fora do escritório em situações em que o meio eletrônico não seja uma opção15. Ainda que o mundo esteja caminhando para a superação da pandemia com indícios de que a vida "normal" será retomada, a prática remota se tornará cada vez mais comum e o trabalho do escritório passará a depender cada vez mais da tecnologia, sendo que as recomendações acima expostas permanecerão relevantes mesmo com o retorno dos advogados aos seus escritórios de forma presencial. Outro aspecto também relacionado ao vazamento de dados inclui a preocupação da ABA em regulamentar o uso das redes sociais pelos advogados, já que se a ferramenta for utilizada indevidamente, o profissional pode expor dados pessoais de seu cliente em uma postagem. Sobre o tema, a ABA editou mais um Parecer Formal (Formal opinion 480) reiterando que o dever de confidencialidade do advogado se aplica a todos os lugares, inclusive na comunicação online. O documento veda postagens em que são expostos detalhes sobre casos e descrições de cliente, ainda que se ocultem as identidades dos personagens principais, submetendo a publicidade ao consentimento16.  4.    A regulamentação do uso de tecnologias no Brasil No Brasil, o Provimento 94/00 dispõe sobre a publicidade, propaganda e informação na advocacia. Em razão dos avanços tecnológicos desde a edição do documento, os Conselheiros do Conselho Federal da Ordem dos Advogados do Brasil  estão se reunindo para aprovar modificações em alguns artigos, notadamente, no que diz respeito à publicidade e ao marketing na advocacia, pois é o meio pelo qual os profissionais estão se apresentando para o mercado a fim de angariar a atenção e o respeito da sociedade em geral, estabelecendo cada vez mais vínculos profissionais Atualmente, foram aprovados os quatro primeiros artigos do novo provimento que visa a disciplinar as regras de publicidade na advocacia17. Dessa maneira, o marketing digital foi autorizado pelo Conselho Federal da OAB para a divulgação dos serviços advocatícios; contudo, os anúncios impulsionados devem possuir caráter informativo e serem sóbrios, não devendo estimular a ocorrência de litígios. Ainda é necessária a aprovação de outros oito artigos para que a proposta de alteração do Provimento 94/00 seja efetivada na integralidade. Assim, cumpre à comunidade jurídica acompanhar as discussões sobre este importante assunto que mudará a maneira como os escritórios e advogados realizarão a sua comunicação no ambiente virtual. 5.    Reflexões finais Não se ignora os louváveis esforços para atualizar as regras de conduta dos profissionais frente às evoluções sociais. Contudo, ainda carece de regulamentação o uso das tecnologias nos escritórios visando a coibir o vazamento de dados pela invasão em seus sistemas. Importando a experiência estrangeira, a OAB poderia ofertar treinamento para que os advogados possuam conhecimento básico quanto ao uso de tecnologias e aos riscos de seu emprego. Os escritórios, por outro lado, deveriam estabelecer um modelo de governança de dados, registrar as atividades que envolvam o tratamento de dados pessoais (mapeando os dados tratados), determinar controle de acesso a informações conforme as funções desempenhadas por cada colaborador e, por fim, revisar os contratos firmados com os clientes, colaboradores e fornecedores, incluindo cláusulas específicas de proteção de dados de acordo com as especificidades da relação contratual firmada. A internet, sem dúvidas, propiciou maior facilidade de comunicação e transmissão de informações entre clientes e advogados e ao mesmo tempo traz também mais obrigações quanto ao sigilo de dados. Este artigo longe de propor soluções, visou a demonstrar a prioridade máxima que deve ser concedida à segurança cibernética nos escritórios de advocacia, eliminando ao máximo a possibilidade de invasões e garantindo que seus clientes estejam a salvo de vazamento de dados e de informações. ___________ 1 Clique aqui. 2 Clique aqui 3 Clique aqui.  4 Clique aqui.  5 Clique aqui.  6 Os recentes ataques cibernéticos ao Poder Judiciário e a LGPD. 7 Art. 25: O sigilo profissional é inerente à profissão, impondo-se o seu respeito, salvo grave ameaça ao direito à vida, à honra, ou quando o advogado se veja afrontado pelo próprio cliente e, em defesa própria, tenha que revelar segredo, porém sempre restrito ao interesse da causa". 8 Clique aqui.  9 Clique aqui. 10 EZEKIEL, Alan W., Hackers, spies and stole secrets: protecting law firms from data theft in Harvard Journal of law and technology, v. 26, n. 2, 2013. Disponível em clique aqui.   11 COURSEY, David., Study: hacking password easy as 123456 em clique aqui. 12 EZEKIEL, Alan W., op. cit., p. 656. 13 MCNERNEY, Michael; PAPADOULOS, Emilian. Hacker's Delight: Law Firm Risk and Liability in the Cyber Age. American University Law Review 62, n. 5, 2013, pp. 1243-1272. Disponível em clique aqui.  14 Clique aqui.  15 Clique aqui. 16 Clique aqui.  17 OAB libera impulsionamento pago de conteúdo jurídico sem captação de clientela. 

PANORAMA GERAL A  lei 13.709/18 além de consagrar em nosso ordenamento jurídico, o microssistema de proteção de dados que até então era basicamente composto de forma menos abrangente por outras legislações temáticas, instrumentaliza a dinâmica que contribui para o incremento da importância e do valor dos dados pessoais, a ponto de gerar a sua ressignificação monetária, provocando profundas modificações culturais e a necessidade de adaptação em diferentes setores da sociedade em relação aos cuidados e obrigações decorrentes do conjunto de direitos dos titulares de dados pessoais que devem se harmonizar com as  obrigações dos agentes de tratamento de dados. Aliás, o tema está intrinsecamente relacionado ao dia a dia das pessoas, especialmente na sociedade da informação, em que a utilização indiscriminada de redes sociais e de atos corriqueiros como contratações, fornecimento de dados para cadastramento, realização de negócios jurídicos diversos, entre outros, é uma constante. Newton De Lucca, deixa claro a importância do tema da proteção de dados pessoais ao mencionar: "Quando se fala em proteção de dados pessoais, não se está falando de um simples modismo tão a gosto dos oportunistas de plantão. Muito ao contrário, estamos tratando, antes de tudo, dos caminhos a serem tomados pela própria humanidade".1 Precisamos refletir como serão tutelados e, principalmente, como serão efetivados na prática, tais direitos que pertencem ao ecossistema de proteção de dados brasileiro, de forma a não sobrecarregarmos (ainda mais) o Poder Judiciário, uma vez que não é demasiado supor que ao mesmo tempo em que crescem os instrumentos protetivos dos titulares de dados, cresce também a perspectiva financeira e interesses sobre os mesmos dados, potencializando possíveis conflitos e aumento no número de demandas judiciais.   Aliás, devemos ponderar que o Poder Judiciário está sobrecarregado e que, por muitas vezes, não traz a resposta buscada pelas partes. Como bem pontua Guilherme Magalhães Martins: "Por um lado, a exaustão do modelo tradicional de resolução de conflitos é algo que não pode ser desconsiderado, de modo que o processo judicial, durante muito tempo, converteu-se na única resposta que se oferece para qualquer embaraço no relacionamento entre as partes. A procura pelo Judiciário foi tão excessiva que o congestionamento dos Tribunais inviabilizou o cumprimento de um comando fundante contido na Carta Cidadã, pela Emenda Constitucional 45/2004: a duração razoável do processo"2 Neste cenário, torna-se premente a necessidade de se oferecer respostas rápidas e eficazes aos titulares de dados e à sociedade em geral, de forma cooperativa e colaborativa com a LGPD, sempre com atenção aos ideários da ANPD - Autoridade Nacional de Proteção de Dados. E é exatamente neste contexto que, a partir de uma verificação ligeira do sistema de resolução ética de conflitos, efetivaremos uma proposta colaborativa visando a integração das organizações e empresas, aos princípios voltados para a proteção de dados pessoais.   FORMAS ALTERNATIVAS DE RESOLUÇÃO DE CONFLITO EM BREVE CONTEXTO. Os conflitos são inerentes à sociedade e constituem elementos necessários para a evolução e construção do pensamento dos indivíduos que a integram. Todavia, a mudança da cultura jurídica e da educação constitucional, com vistas a proceder à modificação do estado de beligerância que contempla as relações negociais e pessoais, a partir de uma proposta de mudança do próprio homem voltado para uma educação e cultura que envolva valores éticos e morais mais aprimorados, leva a possibilidade de se buscar mecanismos que possam viabilizar a busca da justiça de forma distinta das soluções jurisdicionadas. Entre os meios clássicos voltados para a solução de conflitos, há modelos intervencionistas heterocompositivos que são métodos de solução de conflitos em que há a presença de uma terceira pessoa estranha ao conflito, magistrado nos procedimentos judiciais ou árbitro nos procedimentos arbitrais (Lei 9.307/96 alterada pela lei 13.129/15), que possui o poder decisório e substitui a vontade dos conflitantes, no âmbito de suas jurisdições (plena ou mitigada), impondo a decisão e formando a coisa julgada material, que deve ser cumprida pelas partes sob pena de execução forçada, conforme os meios legalmente permitidos. Os meios alternativos de resolução de conflitos, também conhecidos pela sigla MARC ou, ainda, internacionalmente, como ADR (Alternative Dispute Resolution), podem contribuir como técnicas e mecanismos utilizados na busca da satisfação de controvérsias, independente da via jurisdicional clássica e se integram no movimento de acesso à Justiça, no âmbito de suas ondas renovatórias tão bem apresentadas por Cappelletti e Garth Bryant.3 Cappelletti é um dos grandes defensores da "justiça coexistencial" composta de técnicas diferenciadas de solução de conflitos que não as jurisdicionais, como forma de assegurar acesso à Justiça.4 Os modelos autocompositivos de solução de conflitos, materializam-se por meio de negociações diretas onde as próprias partes conflitantes possuem o poder decisório sobre suas questões. São procedimentos que não envolvem a intervenção de tribunais e a estabilidade de sentenças e, são praticados com bons ofícios por mediação e conciliação. A mediação é meio de solução de controvérsias entre particulares e diferencia-se da negociação pela presença de um terceiro imparcial e sem poder decisório, escolhido ou aceito pelas partes, que as auxilia e estimula a identificar ou desenvolver soluções consensuais para a controvérsia, facilitando a retomada de diálogo e a pacificação social. (Lei 13.140/15; Resolução nº. 125/10, do CNJ; CPC, art. 3º, parágrafo 3º) Já a conciliação, pode ser caracterizada como uma ferramenta de solução de conflitos em que terceiro imparcial auxilia as partes a identificarem seus reais interesses e utilizarem o diálogo como fonte principal para solucionar os litígios. Porém, ao contrário da mediação, o terceiro imparcial (conciliador) está autorizado a sugerir opções para dirimir as controvérsias, o que não ocorre na mediação. (CPC, art. 3º, parágrafo 3º) Por sua vez, a automediação é técnica de autocomposição direta que busca a solução ética negociada, na resolução de conflitos patrimoniais existentes e em processamento ou em vias de existir. A automediação jurídica, é técnica instrumental desenvolvida por automediadores, profissionais do direito (CPC, art. 3º, parágrafo 3º) que criam cenários e modelos negociais para a contribuição na solução do conflito, independentemente de sua natureza, gerando ambiente de harmonia, confiança mútua e respeito profissional, sobre intenso regramento ético e moral, objetivando a celebração de uma transação final.5 Este conjunto de possibilidades e de tecnicalidades voltadas para a solução ética de conflitos, num autêntico sistema de múltiplas portas, gera alternativas validas e eficientes ao ideário de justiça. E neste ponto são oportunas as palavras de Nancy Andrighi e de Gláucia Falsarella Foley: "É o diálogo e a conduta assertiva, ensinados desde os primeiros passos e em todos os cantos, que têm o condão de conduzir a humanidade ao equilíbrio da vida harmoniosa. A contenciosidade cede lugar à sintonia de objetivos e os rumos da beligerância podem ser abandonados para dar lugar à Justiça doce, que respeita a diversidade em detrimento da adversidade. Descortina-se, assim, uma nova estrada que todos podem construir, na busca do abrandamento dos conflitos existenciais e sociais, com a utilização do verdadeiro instrumento e agente de transformação - o diálogo conduzido pelo mediador, no lugar da sentença que corta a carne viva."6 O NECESSÁRIO DIÁLOGO ENTRE O CPC E A LGPD NA BUSCA DA SOLUÇÃO DE CONTROVÉRSIA A existência da "cultura do litígio", termo utilizado para evidenciar a utilização do Poder Judiciário, através do processo judicial, como mecanismo principal da sociedade para solução de conflito, gera um descompasso entre a celeridade de resolução dos conflitos e a instantaneidade almejada em ambiente de sociedade da informação. Desde há muito as leis processuais civis se reformam e se instrumentalizam, no âmbito do acesso à Justiça, para possibilitar a rápida solução dos litígios e a busca da efetividade, enfatizando e realçando as composições amigáveis entre as partes, como um dos deveres  do magistrado, como previsto no art. 139, inciso II do CPC  que, além de velar pela duração razoável do processo, deve se utilizar de mecanismos voltados para possibilitar a autocomposição entre as partes como os previstos no art. 334 e o art. 3º, parágrafo 2º do mesmo Diploma Legal, que impõe ao Estado o encargo de promover práticas pacificadoras como a conciliação, a mediação e outros métodos de solução consensual de conflitos.  Dialogando-se estes princípios estabelecidos na lei processual com os princípios protetivos da LGPD e formatos de solução de controvérsias, almeja-se um sistema que permita a adequada solução de certos conflitos relacionados à proteção de dados pessoais, considerando-se não só a pronta proteção dos titulares dos dados afetados por algum incidente de vazamento ou de qualquer outro gênero, e a necessidade de se proteger também os interesses institucionais da organização afetada, em um ambiente revestido e impactado pela presença das tecnologias da informação. Desta forma, há que se incentivar o sistema de múltiplas portas, resultante das diferentes possibilidades de resolução de controvérsias, em especial a negociação, a mediação e a conciliação, implementando, desta forma, meios consensuais acessíveis e que evitem o congestionamento do Judiciário, permitindo ao titular de dados uma resposta célere e amigável, satisfazendo seus direitos, e que não precisa ser imposta por sentença judicial. E neste ponto, bem-vinda é a previsão da LGPD que traz em seu artigo 52, parágrafo 7º - dispositivo incluído pela Lei n° 13.853, de 08 de julho de 2019 - a menção expressa da possibilidade de realização de conciliação entre o controlador e o titular de dados pessoais, nos seguintes termos: Art. 52. Os agentes de tratamento de dados, em razão das infrações cometidas às normas previstas nesta Lei, ficam sujeitos às seguintes sanções administrativas aplicáveis pela autoridade nacional § 7º Os vazamentos individuais ou os acessos não autorizados de que trata o caput do art. 46 desta Lei poderão ser objeto de conciliação direta entre controlador e titular e, caso não haja acordo, o controlador estará sujeito à aplicação das penalidades de que trata este artigo.     Independentemente das motivações para inclusão deste parágrafo ou mesmo da atecnia em sua redação - uma vez que utiliza o termo "vazamentos", e que, não inclui, em sua redação, a figura do operador, quando o incidente estiver a ele relacionado - encontramos a expressa menção à conciliação como forma de resolução de conflito.  Caberá à ANPD o desafio de regrar e melhor interpretar o alcance deste dispositivo, fiscalizar o seu cumprimento, bem como lidar com as disputas que devem surgir entre os titulares e os agentes de tratamento de dados. 4. UMA PROPOSTA PARA A IMPLANTAÇÃO DA CULTURA DE SOLUÇÃO ÉTICA DE CONFLITOS EM LGPD O caminho que poderá contribuir para a cultura da proteção de dados no país, parece-nos ser o da criação de um ambiente interativo e operativo, voltado para o uso das bases tecnológicas que são características da sociedade informacional, que facilite a resolução de conflitos e que seja pautado na transparência, eficiência e equidade, como forma de buscar respostas concretas e eficazes às demandas relacionadas à aplicação da LGPD em eventos fatalísticos, independente de sua natureza. A implementação da cultura de solução ética na resolução de conflitos, voltada para a autonomia das partes, perpassa pela facilitação da utilização de quaisquer dos métodos de autocomposição que melhor possam atender à ocorrência e às necessidades do titular dos dados pessoais sinistrados, sem se descuidar de um olhar para a autodeterminação informativa e, poderá gerar a responsividade social e regulatória esperada e adequada. Dentro deste escopo, há que se dialogar os fundamentos da LGPD também com o Código de Defesa do Consumidor, para que se possa melhor verificar uma posição estigmática advinda do art. 5, inciso VII do CDC que cria o sistema de nulidade mencionando que "São nulas de pleno direito, entre outras, as cláusulas contratuais relativas ao fornecimento de produtos e serviços que: VII - determinem a utilização compulsória de arbitragem". Este dispositivo não afasta a ideia da arbitrabilidade em questões que envolvam um Consumidor titular de dados pessoais em incidente decorrente de relação de consumo. O STJ, em acórdão relatado pelo Min. Luís Felipe Salomão, entendeu que "só terá eficácia a cláusula compromissória já prevista em contrato de adesão se o consumidor vier a tomar a iniciativa do procedimento arbitral, ou se vier a ratificar posteriormente a sua instituição, no momento do litígio em concreto". (REsp 1.189.050) Em vários países se populariza a ideia de se facilitar o acesso a este modelo de jurisdição arbitral, no que se convencionou denominar de arbitragem consumerista. Na Espanha este modelo é financiado pelo Poder Público e é voluntário, somente acionado por iniciativa do consumidor. Nos Estados Unidos, a arbitragem consumerista é popular e prevê a cláusula compromissória. Na Argentina há uma arbitragem financiada pelo Estado, sendo pública a oferta de acordo pela empresa. Tanto a UNCTAD (Conferência das Nações Unidas sobre Comércio e Desenvolvimento) como a Organização para a Cooperação e Desenvolvimento Econômico (OCDE), recomendam o uso de plataformas digitais e a adoção da mediação e arbitragem on-line. Com a recente Resolução 358, do CNJ, projetam-se sistemas informatizados de Resolução de Disputas Online (ODR- Online Dispute Resolution) para a resolução de conflitos, voltados à tentativa de conciliação e mediação, no formato de Tribunais on-line. Crescem assim,  as iniciativas voltadas a concepção de  instrumentos múltiplos de solução de controvérsias, a exemplo da efetivada pela  Secretaria Nacional do Consumidor (Senacon) capitaneada pela Presidente Juliana Domingues, por meio de um Centro de Arbitragem de Consumo e do uso da plataforma Consumidor.gov.br, como ferramenta de conciliação funcionando no modelo hub de sistemas de negociações extrajudiciais, incluindo a própria arbitragem, transformando-o em um sistema "multiportas" de solução de conflito on-line do Poder Público.7 Em ambiente favorável à implementação da cultura protetiva de dados e implantação das múltiplas possibilidades na busca da solução de conflitos, há que se criar instrumentos eficazes e controles internos que possam refletir este ideário. Neste cenário propício, caberá aos agentes de tratamento de dados, atuarem de forma preventiva e proativa, utilizando-se de alguns instrumentos, independente dos aspectos sancionadores das normas da LGPD e das imposições regulatórias, como meio de viabilizar a utilização dos métodos extrajudiciais e administrativos para solucionar conflitos. A proposta de instrumentalização destes sistemas, perpassa pelo próprio sistema de governança corporativa da organização ou entidade, quando existente e pelo sistema de governança de privacidade de dados, de maneira que se faça incluir em documentos específicos que forma as políticas gerais e de melhores práticas, a adesão prévia e irrestrita, de auxílio do titular dos dados pessoais que foi vitimado por evento fatalístico, na sua busca da melhor opção de resguardo e satisfação de seus direitos. Enumera-se assim, a título propositivo e meramente ilustrativo, haja vista que existem organizações, empresas e instituições dos mais diversos níveis de grandeza e de sofisticação, algumas das condutas que podem ser proativamente efetivadas:  i) Inserção, de regras de apoio e incentivo a procedimentos voltados para a solução ética de conflitos, independentemente de suas múltiplas portas, tanto nas melhores práticas de governança corporativa, como em   termos e condições de uso, política de privacidade e proteção de dados, política de direito dos titulares de dados, acordos de processamento ou documentos congêneres;  ii) Em contratos de qualquer natureza, inserção de cláusulas específicas que possam disciplinar regimes de negociação direta, automediação ou equivalentes, como formulação prévia para a solução do conflito, possibilitando a construção de modelos econômicos sustentáveis e equilibrados.  iii) Treinamento específico do encarregado e dos agentes de tratamento, para que possam efetivar tratativas de autocomposição. Elaboração de material orientativo ao titular dos dados, onde informe especificamente, quais são os instrumentos de solução de conflitos que estão disponíveis no Brasil, no âmbito do sistema de múltiplas portas e canais digitais disponibilizados para atender aos pleitos, especificamente no contexto da autocomposição. Espera-se que a tomada de decisão na adoção de uma postura ética de soluções de conflitos dos usuários by design, onde se incorpore métodos de negociação, conciliação, mediação e de decisões administrativas, possa estar incorporado à arquitetura dos sistemas, devidamente conjugado aos modelos de negócio, gerando a redução de reclamações da ANPD, de passivos judiciais e sanções.8  5.CONCLUSÃO Neste cenário pós-moderno e futurista onde as tecnologias da informação estão cada vez mais impactando as relações empresariais e humanas, a "cultura da pacificação" deve substituir a "cultura do litígio", para que as partes não só saibam que elas podem, na maioria das situações, solucionar suas próprias controvérsias, como também que possuem o apoio na iniciativa, inclusive institucional por parte dos entes públicos como demonstrado.    Concomitantemente à construção do ambiente voltado para a cultura protetiva de dados, encontra-se a necessidade do incentivo às soluções éticas de conflito propagando-se, divulgando-se e incentivando a utilização dos instrumentos não adversariais ou de instrumentos voltados para a arbitragem consumerista a se desenvolverem no modelo de plataformas digitais. Sobrevirão desafios intensos sobretudo, na ocorrência de incidentes de segurança coletivos e de grandes proporções que atinjam interesses transindividuais. Desafios de caráter objetivo voltados para a contenção dos danos e o ressarcimento decorrentes, como também os desafios regulatórios, entre os quais se encontra a melhor forma de gerar eficiência às disposições preventivas e sancionadoras contidas na LGPD. E será nesta ambiência que a adoção de métodos de solução de conflitos autocompositivos, tanto na construção da forma de contenção dos danos como na sua reparação com a necessária agilidade, contribuirá para a adequada responsividade social e regulatória, restaurando-se a pacificação e harmonização social, no âmbito da racionalidade e certeza esperada. E a proposta de implantação prévia das estruturas que possibilitem o acesso às múltiplas portas de solução de conflito, a critério e opção dos consumidores e titulares dos dados pessoais, sintoniza-se  com os princípios da LGPD, com o regramento da ANPD e facilita o  esperado acesso à Justiça, com reflexos sadios  à comunidade, reduzindo o conflito, aumentando a eficiência e o ambiente protetivo em vias de implantação no pais e melhorando indiretamente a própria distribuição de Justiça, na medida em que haverá a redução da litigiosidade com o consequente fortalecimento das estruturas sociais e jurídicas. E assim, temos o nosso próprio tempo...  ___________ 1 DE LUCCA, Newton. Coluna Migalhas de Proteção de Dados. Yuval Noah Harari e sua visão dos dados pessoais de cada um de nós. Disponível em: clique aqui. 2 MARTINS, Guilherme Magalhães. Coluna Migalhas de Proteção de Dados. ODRs e conflitos repetitivos nas relações de consumo. Disponível em: clique aqui. Acesso em: 05/06/2021  3 CAPPELLETTI, Mauro; Bryant, Garth. Acesso à Justiça. Porto Alegre:Fabris.1988. 4 CAPPELLETTI, Mauro O Autor menciona que deveríamos ser suficiente humildes para reconhecer que podemos ter muito o que aprender com tradições africanas e asiáticas acerca da resolução ética de conflitos haja vista o caráter apaziguador. Os métodos alternativos de solução de conflitos no quadro do movimento universal de acesso à justiça. Revista de Processo. São Paulo: RT. Ano 19, n.74, pag.88. 5 SIMÃO FILHO, Adalberto. Artigo intitulado Automediação - Uma proposta para a solução ética de conflitos - Revista de Direito empresarial, concorrencial e do consumidor. RGS: Magister Editora - Vol. 02 -abril de 2005. __A contribuição da automediação na solução de conflitos e a necessidade de mudança da cultura jurídica beligerante. In:IX Encontro Internacional do Conpedi-Quito Equador. 1ed.Florianópolis: Conpedi- Universidad Andina Simon Bolivar - UASB-Quito-Equador, 2018, v. 1, p. 05-22. 6 ANDRIGHI, Nancy et Foley, Gláucia Falsarella in Artigo intitulado  Sistema Multiportas: o judiciário e o consenso - publicado na  Folha de São Paulo - Caderno Opinião - 24/6/08. 7 VENTURA, Ivan. A arbitragem vai além do futebol. Revista Consumidor Moderno. Março de 2021. Disponível em: https://digital.consumidormoderno.com.br/a-arbitragem-que-vai-alem-do-futebol-ed262/  Acesso em: 05/06/2021 8 MARTINS, Ricardo Maffeis. VAINZOF, Rony. Sanções e judicialização em massa: que este não seja o 'novo normal' da LGPD.  9 BOTTINP, Celina. PERRONE, Chrisitan. CARNEIRO, Giovana. HERINGER, Leonardo. VIOLA, Mario. Lei Geral de Proteção de Dados e Resolução de Conflitos: Experiências internacionais e perspectivas para o Brasil - ITS Rio. Rio de Janeiro. Abril de 2020. Disponível em: https://itsrio.org/wp-content/uploads/2020/04/Relatorio_LGPDResolucaoConflitos.pdf Acesso em: 05/06/2021. 10 Vide também a propósito, a matéria publicada no Estadão - Blog. Fauso Macedo - 10/9/20, onde a Diretora da ANPD Nairane Farias Rabelo Leitão e Fabrício da Mota Neves abordam o tema "Autocomposição em proteção de dados: uma realidade possível. 

Quando falamos em Proteção de Dados impossível não pensar na disrupção que está tomando conta do mercado mundial, no que diz respeito à Digital Transformation.  É um tópico que permeia todos os aspectos da vida humana hoje e, por incrível que pareça, a pandemia da Covid veio para deixar isso ainda mais evidente, com a maior utilização das plataformas de comunicação, o teletrabalho (sem falar da máquina substituindo o homem no trabalho), mercado e marketing online, consultas e até cirurgias e exames médicos à distância, sistema bancário online e "paralelo", sistemas de reconhecimento facial, guerras via equipamentos automatizados ou controlados à distância etc... enfim, com o controle e a troca de informações, virtualmente.  E o mercado ainda precisa evoluir quanto à responsabilidade e governança em matéria de proteção de dados pessoais.  Aliás, hoje há uma grande discussão sobre a base da questão... os gestores acham que isso é um problema não técnico, mas negocial e os cientistas da computação dizem: "não, não é um problema de gestão, mas sim um problema de tecnologia".  Já a área do Direito e a perspectiva que aplicamos compreende que é um problema do negócio mas reconhece que tem um fundo tecnológico intrínseco, aproximando as duas visões anteriores. Vivemos tempos interessantes. Lembro-me que, em 2008, Nokia era a companhia de telefone dominante no mundo. Hoje praticamente desapareceu.  BlackBerry, a mesma coisa. No passado, companhias de US$ 150 milhões não desapareciam em 5 anos... ou 10.  Isso nos faz entender que a transformação digital e a disrupção que traz são radicais vez que os negócios que não se adaptam ou que falham nas suas estratégias acabam por ficar "fora do futuro".  E o passo das mudanças não esperam o arranjo do desacerto.  A propagação dessas mudanças é excitante e, ao mesmo tempo, preocupante.  Se por um lado, pode-se lançar uma nova moeda em 5 minutos (literalmente), por outro lado temos, com a Internet das Coisas ("IoT") uma infinidade de equipamentos, como nossos telefones, que estão conectados e interconectados, gerando uma incrível  quantidade de dados como nunca se viu antes, dados estes que trazem enormes oportunidades mas que, as empresas precisam controlar, cujos processos são flexíveis, que são dinâmicos per si e que podem ser objeto de mudanças pelo próprio usuário de forma rápida, o que torna o gerenciamento deles incrivelmente difícil, fazendo com que a segurança cibernética ("Cybersecurity") passe a ser ao mesmo tempo, um desafio enorme e uma interessante oportunidade. E quando pensamos em inteligência artificial ("AI ou Artificial Intelligence") ou Machine Learning ("ML") certamente a velocidade é algo que sobrepassa nossa capacidade humana de lidar com muitos aspectos do mercado sendo um deles, certamente, o controle da legalidade e retidão dessas mudanças tecnológicas e dos dados que são, através delas, manipulados. A Cybersecurity, portanto, passa a ser um componente quase existencial e certamente essencial das empresas nos dias de hoje; e o "quase" só está aqui porque no Brasil, ainda é possível se criar um CNPJ sem a utilização dos sistemas eletrônicos, o que em muitos países já não é possível vez que todo o processo é informatizado. Enquanto o custo para os ataques cibernéticos caiu para quase zero, o custo com a segurança continua crescendo dada vez mais. Assim, o preço dos serviços que ameaçam a segurança é bem baixo, o que pode estimular os incidentes de segurança com os dados pessoais.1 Os hackers hoje podem estar em qualquer lugar, são organizados em "empresas" muito bem remuneradas, operam em escala global, com produtos em vários mercados e só visam lucro, sem se importar com qualquer outro aspecto da vida humana. Existem fontes não tradicionais de se encontrar talentos, inclusive para serviços de contra segurança cibernética. E "dados" de pessoas, empresas e governos têm se tornado cada vez mais um asset com valor financeiro imensurável e fungível. Com tanta facilidade "para o crime" cibernético, as legislações mundiais evoluíram numa tentativa, ainda que não bem-sucedida (ainda), de impedir tais ataques ou usos indevidos de dados e tecnologias. Do ponto de vista de dados pessoais de pessoas físicas, a Comunidade Europeia saiu na frente, ao editar o General Data Protection Regulation que protege os dados privados de cidadãos e residentes da European Union, independentemente de qual empresa esteja utilizando tais dados, ou onde tais dados estejam sendo tratados. Os Estados Unidos têm centenas de leis de proteção de dados e/ou segurança de dados que protegem a captação, manutenção ou guarda segura, o descarte e o uso de dados pessoais coletados de seus residentes, principalmente no que diz respeito à segurança dos números de identidade dos americanos (Social Security Numbers), sendo que algumas dessas leis aplicam apenas aos órgãos públicos, outras apenas aos privados e outras ainda, a ambos. Claro que todos prefeririam lidar com uma legislação nacional e única, ainda por vir. Com isso em mente e avaliando os regramentos existentes, os cientistas e legal players viram a California criar a primeira lei geral de proteção de dados mais ampla que todas as demais e que, hoje serve de referência a Democratas e Republicanos que tentam elaborar e fazer passar uma lei nacional geral.  O California Consumer Privacy Act foi instituído em junho de 2018 e passou a viger em 1º de janeiro de 2020. Outra legislação de escopo e abrangência geral é a Protection Of Personal Information Act ("POPIA") da África do Sul. E por fim, temos aqui no Brasil a Lei Geral de Proteção de Dados. A intenção neste artigo é fazer uma brevíssima comparação entre esses quatro regramentos e seu compliance nos países ou regiões que abrangem.  Num quadro comparativo simples, temos o seguinte:   GDPR CCPA POPIA LGPD ABRANGÊNCIA Global No estado e globalmente para os residentes do estado Restrito a organizações que são baseadas ou que processam dados na África do Sul Geral TEMPO MÁXIMO PARA RESPOSTA AO INTERESSADO  (Data Subject Access Request) Dentro de um mês 45 dias, podendo ser estendido a, no máximo, 90 dias Em prazo razoável Max. 15 dias DATA PROTECTION OFICER Obrigatório para órgãos governamentais e/ou públicos e companhias que processam dados pessoais em larga escala Não é exigido Obrigatório sem exigência de alguém dedicado integralmente a essa função Obrigatório pessoa dedicada e indicada especificamente para isso PRAZO PARA COMUNICAR VIOLAÇÃO Dentro de 72 horas Não há um prazo geral, mas o Estado da Califórnia exige respostas a demandas de consumidores em prazo máximo de 72 horas Assim que possível Em um prazo razoável (tendo sido regulado pela ANPD o prazo de até 2 dias úteis do conhecimento do incidente) VALOR DE PENALIDADE EM CASO DE VIOLAÇÃO Max de 4% do faturamento anual global ou ?20 milhões, o que for maior US$ 7500 por cada violação individual, para demandas pessoais US$750 por incidente R10 milhões de multa ou/e 10 anos de prisão a depender do caso 2% do faturamento anual da empresa, limitado a R$ 50 milhões Continuaremos, no próximo periódico, abordando legislação europeia, na Parte II deste artigo e, na sequência, trataremos da legislação da África do Sul e do Brasil, na Parte III e última.  Renata Marcheti é professora doutora da USP. Advogada e membro fundadora do Instituto Avançado de Proteção de Dados (IAPD), instituo este que conta com vários membros dedicados à pesquisa aplicada em matéria de proteção de dados pessoais. __________ *GDPR - General Data Protection Regulation - A GDPR foi adotada pelo Parlamento Europeu em abril de 2016 paçou a ser vigente com eficácia total a partir de Maio de 2018. Acessado em 01/7/2021. **CCPA - California Consumer Privacy Act - CCPA passou a viger na Califórnia em 2018. Acessado em 01/7/2021. ***POPIA - Protection of Personal Information Act - POPI Act ou POPIA, passou a viger com eficácia plena em 1º de julho de 2021, tendo sito editada pelo Parlamento da África do Sul em 2020.    ****LGPD - Lei Geral de Proteção de Dados - LGPD de agosto de 2018, regula a proteção de dados de pessoas físicas e jurídicas no Brasil. 1 MIT Digital Transformation Course - Professional Education - M6.

Introdução O homem-de-vidro ("l'uomo di vetro"), para Stefano Rodotà, é uma metáfora do homem à luz de um sistema totalitário. Transparece a ideia de que o Estado tem o poder de conhecer tudo o que diz respeito aos indivíduos (inclusive, os aspectos mais íntimos), deixando-o, em verdade, "nu" à visão e vigilância estatal1. Em tema de privacidade e proteção de dados pessoais, o séc. XXI se iniciou com os inúmeros avanços de disposições normativas da década de 1990, no Ocidente - por exemplo, com a Diretiva 95/46/CE, na União Europeia, e com a edição de uma série de normas setoriais, nos EUA, como o Health Insurance Portability and Accountability Act (HIPPA - 1996), o Children's Online Privacy Protection Act (COPPA - 1998) e o Gramm-Leach-Bliley Act (GLBA - 1999), que dispõem, respectivamente, da proteção de dados pessoais na área da saúde, da proteção online da privacidade e da proteção de dados de crianças (menores de 13 anos) e da proteção dos dados pessoais no âmbito de serviços financeiros. No entanto, nos EUA, os eventos traçados pela Al-Qaeda, em 11 de setembro de 2001 (com a colisão de um avião contra o Pentágono, em Washington, de dois aviões contra as Torres Gêmeas, em Nova York, e da queda de um quarto avião, nos arredores de Shanksville, na Pensilvânia), alteraram o balanceamento entre a proteção à privacidade e aos dados pessoais, de um lado, e a segurança nacional, do outro (não somente nos EUA, mas em diversos países). Esses eventos de 2001 e as suas consequências de ordens política e normativa (muitas das quais apenas expostas em 2013, por Edward Snowden) simbolizam como uma ponderação imperfeita entre os supracitados fatores é capaz de gerar irremediáveis danos tanto a um (aos cidadãos, titulares de dados pessoais) quanto ao outro (à segurança nacional).  Peek-a-boo: I see you!" - Esconde-esconde: achei você! Em 26 de outubro de 2001, o governo de George W. Bush aprovou o USA Patriot Act (Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism), que foi um pacote de alterações legislativas e de novas disposições (sobretudo, investigativas), com o qual os EUA expandiu os seus poderes de vigilância estatal - por meio, e.g., da criação de um banco genético para a identificação de investigados por terrorismo e por outros crimes que se utilizem da violência (Section 503 do Patriot Act), assim como o aumento dos poderes do FBI no monitoramento dos indivíduos, o que incluiu o "Sneak and Peek Search Warrant". "Sneak and Peek Search Warrant" (Delayed Notice Warrant - previsto pela Section 213 do Patriot Act) é um tipo de mandado de busca e apreensão de informações sem prévia notificação ao cidadão investigado. Consiste, para alguns, em uma exceção2 à Quarta Emenda (Fourth Amendment) da Constituição dos EUA (para outros, verdadeira afronta e inconstitucionalidade3), que declara a necessidade de uma "causa provável" para a realização de mandados de busca e apreensão (Searches and Seizures Warrants), bem como da notificação daqueles que tiverem de ser investigados. A Fourth Amendment, à título comparativo, assim declara: "Não será infringido o direito do povo à inviolabilidade de sua pessoa, casas, papeis e haveres, contra buscas e apreensões não-razoáveis e não se expedirá mandado a não ser mediante indícios de culpabilidade, confirmados por juramento ou declaração, e nele se descreverão particularmente o lugar da busca e as pessoas ou coisas que tiverem de ser apreendidas."4 Outra ampliação de poderes paradigmática foi a estabelecida pela Section 215 do Patriot Act, que permitiu ao governo, alterando o Foreign Intelligence Surveillance Act (FISA), de 1978, a obtenção de ordens judiciais, de maneira secreta (emitidas pela Corte responsável pela fiscalização do FISA, a  Foreign Intelligence Surveillance Act Court - FISC ou FISA Court), para a disponibilização, por terceiros (como Provedores de Serviços de Telecomunicação e de Internet), de gravações (como conversas telefônicas) e outras "coisas tangíveis" (tangible things), no caso de as razões para a disponibilização serem consideradas "relevantes" para o combate ao terrorismo, à contraespionagem ou às investigações sobre inteligência estrangeira. Além disso, as ordens judiciais, como estabelecidas pela Section 215 do Patriot Act, quando combinadas com outras suas disposições (como a Section 216), permitiram ao governo o acesso às informações (dados pessoais) das atividades online dos cidadãos dos EUA, como dados de e-mail e históricos de pesquisa5. Essas ferramentas de vigilância eram instrumentalizados, sobretudo, por  National Security Letters (NSLs), requeridas pelo FBI e pela NSA (National Security Agency), a fim de obter informações e dados pessoais de cidadãos dos EUA6 -  todos, como dito, com fundamento no USA Patriot Act. Inicialmente previsto para ter as disposições expiradas ao fim de 2005, muitas das ferramentas de vigilância do USA Patriot Act perpetuaram-se por novas sunset rules ao FISA (de 1978). Durante a década de 2000, com o crescimento da sociedade e do capitalismo informacionais, bem como da importância do cyberspace e o seu grau de influência sobre a comunicação internacional, o número de ordens judiciais emitidas pela FISC aumentou exponencialmente: apenas com relação aos requerimentos para o acesso sobre gravações e outras "coisas tangíveis", produzidas por terceiros (como os Provedores de Serviços de Internet - PSI), foram emitidas 21 ordens judiciais em 2009 e 212 em 2012, ano no qual nenhum requerimento do governo, com relação às gravações, foi negado pela FISC. Era pós Edward Snowden Dentre as emendas ao FISA (Foreign Intelligence Surveillance Act de 1978), destacou-se, como divulgado por Edward Snowden, em 2013 (o ex-agente da NSA que expôs os estruturados programas de vigilância global dos EUA), o FISA Amendments Act of 2008, que, por meio de sua Section 702, permitiu à NSA a vigilância sobre pessoas localizadas fora dos EUA (de não-estadunidenses), principalmente pelos programas PRISM7, Xkeyscore (compartilhado com as agências de inteligência da Five Eyes Alliance8: EUA, Reino Unido, Canadá, Austrália e Nova Zelândia)9 e Bullrun10. O PRISM, inclusive, impôs vigilância sobre a então Presidente do Brasil, Dilma Rousseff, e de vários outros líderes internacionais, como o ainda candidato à Presidência do México, Enrique Peña Nieto11. Além da vigilância sobre as pessoas de Estados estrangeiros, os programas também coletaram, massivamente, informações e dados pessoais dos cidadãos estadunidenses (por meio da Section 215 do Patriot Act, como retratada). Os documentos de Snowden revelaram, e.g., a coleta de dados a partir das Big Techs do Vale do Silício, como Microsoft (a partir de 2007), Yahoo (desde 2008), Google e Facebook (desde 2009), Youtube (desde 2010) e Apple (desde 2012), mas também de outros Provedores de Serviços de Internet e de Telecomunicações (como a Verizon), inclusive, ao redor do mundo (cada qual segundo os dispositivos legais referidos - principalmente, Section 702 da FISA, quanto aos não-estadunidenses, e Section 215 do Patriot Act, quanto aos estadunidenses). Do Patriot Act ao Freedom Act  As revelações de Edward Snowden avançaram as discussões sobre como a coleta e o tratamento de dados pessoais em massa, na sociedade em rede, estava, dia-a-dia, mitigando a privacidade e a proteção dos dados pessoais, com o reforço ou, ao menos, a aquiescência de Estados democráticos. Em 2013, o Congresso dos EUA iniciou a análise das modificações que poderiam ser realizadas nas ulteriores emendas ao FISA (desdobradas do Patriot Act, após 11 de setembro de 2001), o que incluía o fim da coleta massiva de dados pessoais por parte do governo. Um dia antes de expirarem as autorizações do Patriot Sunsets Extension Act of 2011 (assinada pelo então Presidente Barack Obama, em 11 de maio de 2012), o Congresso dos EUA, em 02 de junho de 2015, promulgou o USA Freedom Act (Uniting and Strengthening America by Fulfilling Rights and Ending Eavesdropping, Dragnet-collection and Online Monitoring Act), que previu a continuidade de muitos dos mecanismos do Patriot Act, porém desautorizou ao governo, de forma ampla, a continuar com a coleta massiva de dados de gravações e de outras "coisas tangíveis", realizadas com base na Section 215 do Patriot Act. Essas limitações foram dispostas, de forma geral, pelas Sections 103, 201 e 501 do Freedom Act. A partir de então, e.g., a NSA passou a necessitar determinar, de forma específica, as pessoas ou entidades sobre as quais solicitava informações (por meio de National Security Letters)12. Disposições semelhantes foram válidas para o FBI, e.g., com relação às gravações solicitadas àqueles que eram sujeitos ao Fair Credit Reporting Act13. Quanto a Section 702 do FISA, que permite a coleta de informações e dados de não-estadunidenses, fora dos EUA, a FISA Amendments Reauthorization Act of 2017 estendeu os poderes do governo para até 31 de dezembro de 2023, embora com restrições. Por outro lado, as disposições do USA Freedom Act (correspondentes aos poderes de vigilância estatal), que estariam em vigor até 15 de dezembro de 2019, foram, inicialmente, estendidas até 15 de março de 2020. Em 11 de março, o Congresso dos EUA, em razão do contexto crescente da COVID-19, aprovou uma nova autorização, prorrogando-o até junho de 2020.  Em maio, a tentativa de uma nova autorização, porém, não obteve sucesso, e as disposições (incluindo o conteúdo da Section 215) foram, finalmente, extintas (havendo, inclusive, veto do então Presidente Donald Trump)14. Era pós Donald Trump Em 2021, a redução dos poderes de vigilância dos EUA (ocorrida em 2020) recai, sobretudo, sobre os residentes nos EUA, já que as possibilidades de vigilância sobre os cidadãos não-estadunidenses, no estrangeiro, permanecerá, ao menos, até 2023 - o que não significa, porém, que o conteúdo da Section 215 não possa, em breve, ser reincorporado, sob o governo de Joe Biden15. Entretanto, essa reincorporação certamente enfrentará a pressão da sociedade civil (em defesa da privacidade e da proteção dos dados pessoais) e da falta de adequação do sistema de proteção de dados pessoais dos EUA frente ao da União Europeia, fortalecido pelo RGPD (Regulamento Geral de Proteção de Dados), o qual é, em partes, fruto da urgência provocada pelas revelações de Edward Snowden sobre o perpetuar, no séc. XXI, do homem-de-vidro (como, cogita-se, ainda diria Stefano Rodotà) e do panoptismo, pelo vigiar dos Estados (como os próprios EUA) sobre os cidadãos, sob o pretexto e/ou contexto da segurança nacional e global. Assim, embora um certo grau de vigilância, para a defesa da segurança dos Estados, seja realmente necessário, o seu avanço, em tempos de polaridade política nos EUA (à exemplo da invasão do Capitólio, em Washington, em 06 janeiro de 2021, entendida pelo Presidente Joe Biden como "terrorismo nacional"), poderá, decerto, levar o país uma vez mais à uma escalada de mitigação de direitos, incluindo a privacidade e a proteção de dados pessoais, em benefício da segurança nacional e do combate ao terrorismo. __________ 1 Para Rodotà: "L'uomo di vetro' è metafora totalitaria perché, reso un omaggio di facciata alle virtù civiche, nella realtà lascia il cittadino inerme di fronte a chiunque voglia impadronirsi di qualsiasi informazione che lo riguardi". RODOTÀ, Stefano.  Relazione annuale 1997. Prefazione. Garante per la Protezione dei Dati Personali, 30 abril 1998. Disponível aqui. Acesso em: 12 mar. 2021. 2 BERKMAN CENTER FOR INTERNET & SOCIETY. Harvard Law School. Privacy in Cyberspace. Module V - Governmental Collection of Data - Part II: USA Patriot and Foreign Intelligence Surveillance. Berkman Online Lectures & Discussions - Harvard Law School. Disponível aqui. Acesso em: 11 mar. 2021. 3 MCKINNEY, India. Reform or Expire. Electronic Frontier Foundation. Disponível aqui. Acesso em: 12 março 2021. 4 USA. U. S. Const. amend. IV. Disponível aqui. Acesso em: 12 mar. 2021. 5 BRENNAN CENTER FOR JUSTICE. Are They Allowed to Do That? A Breakdown of Selected Government Surveillance Programs. Brennan Center for Justice at New York University School of Law, 2020, p. 02. Disponível aqui. Acesso em: 12 mar. 2021. 6 USA. Department of Justice. 2012 Annual Report on FISA Implementation. Office of the Assistant Attorney General, Washington D.C., 30 abril 2013. Disponível aqui. Acesso em: 11 mar. 2021. 7 Programa de vigilância global desenvolvido pela NSA. Confira: GREENWALD, Glenn. NSA paid millions to cover Prism compliance costs for tech companies. The Guardian, 23 ago. 2013. Disponível aqui. Acesso em: 12 março 2021. 8 Confira: GEIST, Michael. Law, Privacy and Surveillance in Canada in the Post-Snowden Era. Ottawa: University of Ottawa Press, 2015, p. 225. 9 Outro programa da NSA que permite a vigilância da agência de inteligência sobre uma vasta coletânea de dados coletados de milhões de usuários. Confira: GREENWALD, Glenn. XKeyscore: NSA tool collects 'nearly everything a user does on the internet'. The Guardian, 31 jul.  2013. Disponível aqui. Acesso em: 12 mar. 2021. 10 Programa cujo objetivo é a decriptografia de dados, desenvolvido pela NSA e pelo GCHQ (Government Communications Headquarters), o Serviço de Inteligência britânico. Confira: GREENWALD, Glenn. Revealed: how US and UK spy agencies defeat internet privacy and security. The Guardian, 05 set. 2013. Disponível aqui. Acesso em: 11 mar. 2021. 11 FRANCE24. Prism: les chefs d'État brésilien et mexicain espionnés par la NSA. FRANCE 24, 02 set. 2013. Disponível aqui. Acesso em: 12 mar. 2021. 12 Section 501 do USA Freedom Act: "Section 2709(b) of title 18, United States Code, is amended in the matter preceding paragraph (1) by striking 'may' and inserting 'may, using a term that specifically identifies a person, entity, telephone number, or account as the basis for a request'". USA. Public Law n. 107-56-OCT. 26, 2001. Uniting and Strengthening America by Providing Appropriate Tools Required to Intercept and Obstruct Terrorism (USA PATRIOT ACT) Act of 2001. Disponível aqui. Acesso em: 11 mar. 2021. 13 Section 501 (c) do USA Freedom Act: "(1) in subsection (a), by striking 'that information' and inserting 'that information that includes a term that specifically identifies a consumer or account to be used as the basis for the production of that information'; (2) in subsection (b), by striking 'written request' and inserting 'written request that includes a term that specifically identifies a consumer or account to be used as the basis for the production of that information'; and (3) in subsection (c), by inserting 'which shall include a term that specifically identifies a consumer or account to be used as the basis for the production of the information' after 'issue an order ex parte'." USA. Public Law n. 114-23-FEB. 06, 2015. Uniting and Strengthening America by Fulfilling Rights and Ensuring Effective Discipline Over Monitoring Act of 2015 or the USA FREEDOM Act of 2015. Disponível aqui. Acesso em: 12 mar. 2021. 14 SAVAGE, Charlie. McConnell Appears Set to Quietly Suffocate Long-Debated F.B.I. Surveillance Bill. The New York Times, 14 ago. 2020. Disponível aqui. Acesso em: 12 mar. 2021. 15 MCKINNEY, India. Section 215 Expired: Year in Review. Electronic Frontier Foundation, 29 dez. 2020. Disponível aqui. Acesso em: 12 mar. 2021.

Introdução Os trabalhos de implementação da Lei Geral de proteção de Dados Pessoais-LGPD1 no Tribunal de Justiça do Estado de Santa Catarina-TJSC, tiveram início no final do ano de 2018. Desde esta época, as atividades vêm evoluindo de maneira pioneira e com destacado sucesso, fruto do trabalho desenvolvido pelo Comitê Gestor de Proteção de Dados Pessoais-CGPDP2, oficializado em doze de julho de 2019, somado a este o Grupo de Trabalho Técnico, que fora devidamente criado em 20203, quando também fora nomeada a Encarregada4 de Tratamento de Dados Pessoais da Corte Catarinense. Com esta estrutura foi dado o start da implementação da LGPD no Tribunal Catarinense, e vários entregáveis foram sendo efetivados dentro das tarefas anteriormente listadas no Road Map5, construído como referencial a ser seguido no Plano Geral de Implementação da Lei Protetiva perante o Tribunal de Justiça Catarinense. De todas as ações iniciais, constantes no referido Plano de Geral de Implementação da LGPD, uma delas suscitou grandes debates e pesquisas, no que se refere a autenticação6 da pessoa do titular dos dados pessoais, quando da efetivação do exercício de seus direitos constantes na referida Lei Protetiva, especialmente aqueles elencados em seu artigo dezoito. Este será o objeto de análise neste artigo, recomendando-se a todas as organizações, quer sejam públicas ou privadas, que se preocupem em não somente atender a demanda dos direitos dos titulares dos dados pessoais, mas que fiquem atentos quanto a autenticação e certificação daquele que se diz o titular dos dados pessoais, para não incorrerem nas sanções constantes nesta legislação específica, entregando-se indevidamente dados pessoais a quem não é de direito. A criação inicial dos fluxos para recebimento das requisições dos direitos dos titulares e a preocupação com a autenticação da pessoa requisitante. Incialmente foram criados pelo Grupo Técnico de Trabalho e pela Encarregada de Tratamento dos Dados Pessoais, perante o TJ/SC, quatro fluxos7 de atendimento das requisições por parte dos titulares dos dados pessoais. De forma breve, podemos exemplificar que os pedidos dos titulares foram formatados para serem atendidos primeiramente, através do E-mail ou telefone da Encarregada, em um segundo momento as requisições dos titulares podem ser recebidas através de formulário eletrônico constante dentro do canal da Ouvidoria, cuja parceria foi feita pelo Comitê Gestor e Grupo de Trabalho Técnico, em razão da estrutura já existente neste local, e por último foi criado um fluxo para atendimento de demandas vindas através dos respectivos órgãos regulatórios, ou seja, da Autoridade Nacional de Proteção de Dados-ANPD, e do Conselho Nacional de Justiça-CNJ8. Quando da construção do citado "Formulário Eletrônico"9 junto à Ouvidoria, as dúvidas e incertezas começaram a surgir, eis que apesar de todos os esforços para oferecer aos titulares dos dados pessoais mecanismos apropriados para o recebimento de suas requisições e ou reclamações, e apesar de termos optado por introduzir em tal documento o nome de sua mãe, chegamos à conclusão que somente com este pequeno acréscimo não seria possível se fazer de maneira segura a autenticação efetiva de tal requisitante. Tomando como exemplo as autenticações dos titulares utilizadas junto aos aplicativos dos Internet Banking, amplamente utilizados por todos nós na atualidade, o Grupo de Trabalho Técnico e esta Encarregada tiveram a ideia da construção de um aplicativo, que pudesse fazer a autenticação em camadas da pessoa do titular dos dados pessoais, fornecendo a certeza de que a resposta da requisição pudesse ser efetivamente entregue a quem tivesse solicitado, e não a qualquer outro terceiro. A construção do aplicativo "LGPD-JUS" e sua utilização, com as parcerias feitas com o AMB-LAB e o ITS do Rio de Janeiro. O aplicativo do "LGPD-JUS", para o atendimento dos pedidos dos titulares dos dados pessoais, nasceu inicialmente pela constatação da falta de autenticação segura da pessoa do titular do dado, na metodologia provisória registrada nos fluxos de atendimento brevemente indicados no item segundo deste artigo, e também por ter sido verificado, que a aquisição de uma assinatura digital para a população em geral, seria impossível, diante do seu alto custo, o que poderia deixar de ser incluída, por exemplo, a camada da população de baixa renda. Para este projeto firmamos desde 2020, parceria com o AMBLAB10 - Laboratório de Inovação e Inteligência da Associação dos Magistrados Brasileiros, e com o ITS11 - Instituto de Tecnologia & Sociedade do Rio de Janeiro, e mais recentemente um acordo de cooperação técnica12 entre o TJSC e o ITS-Rio, com a finalidade de  desenvolver o mencionado aplicativo, observando-se para tanto, que tal aplicativo tivesse como objetivo primordial a inclusão de todas as pessoas, principalmente aquelas de baixa renda, e também para as pessoas com  qualquer deficiência física. Assim, após vários meses de intenso trabalho e diversas reuniões chegou-se a uma versão inicial do "LGPD-JUS", que pudesse ser um canal direito de comunicação com o titular do dado pessoal, inclusive por exemplo o índio da Amazônia, que o TJ/SC pudesse ter agilidade no atendimento das solicitações de direitos dos titulares, que estabelecesse uma sincronia com a rotina da Encarregada de Tratamento de Dados da Corte Catarinense e, por fim, e, principalmente, que realizasse autenticação do titular através da assinatura avançada. Na prática, o aplicativo permite que o titular do dado pessoal e a Encarregada se conectem através de dispositivos móveis e ou notebooks, para tecnicamente: 1-Ter acesso à informação; 2-Consulta; 3- Modificação e 4-Exclusão de todos os seus dados pessoais, quando permitido por lei. Além disto, com o "LGPD-JUS", o cidadão poderá: 1.Obter informações sobre a Lei Geral de Proteção da Dados Pessoais; 2-Saber mais sobre os seus direitos; 3-Confirmar se existe tratamento de seus dados pessoais pelo TJSC; 4-Requisitar acesso aos seus dados pessoais; 5-Requerer a correção de seus dados pessoais, se estiverem incompletos, incorretos ou desatualizados; 6-Pedir o bloqueio ou eliminação de seus dados pessoais, nos termos da lei; 7-Solicitar eliminação de dados tratados com base no consentimento; 8-Revogar o seu consentimento para o tratamento de seus dados; 9-Acompanhar todo o andamento de suas solicitações através do próprio aplicativo. Pode-se desde já constatar que o menu do aplicativo apresenta uma boa orientação ao usuário final, e em termos ergonômicos, facilita o acesso às funções desejadas de modo simples e sem a exigência de muitos níveis de funções, possibilitando que os pedidos relacionados com à LGPD possam ser recepcionados diretamente pela Encarregada e por sua equipe técnica de apoio, de forma direta e precisa. Este aplicativo tem ainda, uma interface simples, oferecendo ao cidadão a informação na palma de sua mão, viabilizando sua inclusão digital, além de possibilitar o acesso às informações relacionadas aos direitos dos titulares dos dados pessoais, requisitando os respectivos serviços diretamente à figura do Encarregado, nos termos da LGPD. Com relação aos níveis de segurança, destaca-se que o cadastro do titular do dado pessoal é etapa obrigatória para o uso o aplicativo e não a cada pedido, implementando-se uma autenticação segura, com recursos de blockchain, possuindo níveis de acesso conforme a criticidade das operações, exigindo poucos recursos de conexão com a internet para operar, baixo acoplamento com os sistemas e a infraestrutura de TI do órgão envolvido, além de disponibilizar ao TJSC o acesso ao respectivo código fonte. O usuário através de item específico poderá gerenciar configurações pessoais, como detalhes da interface, recebimento de notificações e a senha de sua conta, além de ter espaço próprio para cadastramento de um endereço de e-mail, para o recebimento de notificações sobre o andamento e respostas de suas solicitações por este canal. Os níveis de segurança serão aplicados em etapas, de acordo com a necessidade e conteúdo das informações, sendo incorporados os melhores padrões tecnológicos e técnicas de segurança de informação, assegurando a autenticidade, a inviolabilidade, a integridade das informações que trafegarão por meio do aplicativo, estando o mesmo adaptado ao sistema Android e IOS. Convém sublinhar que o aplicativo "LGPD-JUS" será utilizado apenas como uma interface de fácil acesso para o exercício dos direitos dos titulares dos dados pessoais junto ao TJ/SC, sendo que todas as operações relacionadas aos serviços disponibilizados serão executadas no aplicativo, não havendo qualquer integração digital aos sistemas de tecnologia de informação mantidos pela respectiva Corte de Justiça Catarinense, estando o seu lançamento programado para o fim do mês de junho, com utilização em caráter experimental até 31 de dezembro de 2021, de modo a viabilizar o processo de avaliação e adequação do aplicativo, possibilitando ao ITS-Rio a realização das respectivas correções e ajustes, através da problemática que deverá ser apresentada pelo TJ/SC, prestando ainda todo o necessário suporte técnico à equipe da Encarregada para o aperfeiçoamento do "LGPD-JUS". Conclusão Através do estudo e da prática do Programa Geral de Implementação da LGPD perante ao Tribunal de Justiça Catarinense, já podemos apontar que os avanços foram de marcante grandiosidade, ultrapassando-se o grande obstáculo que se fez presente quando do início da formatação dos fluxos de trabalho para atendimento dos direitos dos titulares, investindo-se em parcerias determinantes para o aprimoramento tecnológico desta atividade tão fundamental que é o bom atendimento do titular do dado pessoal , quando estiver no exercício dos direitos constantes na Lei Protetiva. Após este breve relato, é importante destacar que a expectativa do lançamento do "LGPD-JUS" é muito grande por parte de todos os envolvidos, esperando que esta solução venha a facilitar a interação entre os titulares de dados pessoais e da Encarregada do TJSC, aperfeiçoando o atendimento, reduzindo custos e otimizando as atividades inerentes à função. O feedback que deverá ser dado por parte dos usuários do "LGPD-JUS", será de essencial importância para o aprimoramento de sua operacionalização e aperfeiçoamento de todas as suas funções. Espera-se assim que o "LGPD-JUS" possa se tornar modelo para ser aplicado não somente nos demais Tribunais do país, mas também em outras organizações públicas, e até mesmo privadas, a fim de que aconteça a máxima inclusão dos titulares dos dados pessoais quando estiverem à frente da reivindicação de seus direitos, expressamente constantes na Lei Geral de Proteção de Dados Pessoais, a nossa já conhecida LGPD. *Denise de Souza Luiz Francoski é desembargadora do TJ/SC, coordenadora do Comitê Gestor de Proteção de Dados Pessoais do TJ/SC, encarregada do Tratamento dos Dados Pessoais do TJ/SC, membro do Grupo de Trabalho do CNJ para a implementação da LGPD nos cartórios extrajudiciais, mestre em Ciência Jurídica pela Univali, mestre em Relações Internacionais pela Unisul, especialista em Direito Econômico Europeu pela Europen Univerty de Lisboa, especialista em Administração Pública e sociedade pela Udesc. Associada Fundadora do IAPD - Instituto Avançado de Proteção de Dados. __________ 1 Disponível aqui - Acesso em 14.6.2021. 2 Disponível aqui - Acesso em 14.6.2021. 3 Portaria GP n. 1481 -SEI - 0025205-94.2020.8.24.0710 de 13.07.2020. 4 Disponível aqui - Acesso em 14.06.2021. 5 Road Map ou Plano de Ação é um documento onde serão detalhadas todas as atividades constantes no Programa Geral de Implementação da LGPD em uma organização, quer seja de natureza pública ou privada. Nota da Autora. 6 A LGPD não faz menção em seus artigos sobre a autenticação dos titulares dos dados pessoais, todavia este requisito é fundamental para a segurança na entrega das respostas aos requisitantes feita pelo Encarregado. Nota da Autora. 7 Os referidos fluxos poderão ser visualizados no artigo escrito por esta autora: FRANCOSKI, Denise. A Lei Geral de Proteção de Dados Pessoais LGPD: aspectos práticos e teóricos relevantes no setor público e privado. "Aspectos práticos para a implementação da Lei Geral de Proteção de Dados Pessoais-LGPD nos Órgãos Públicos: O case do Tribunal de Justiça de Santa Catarina-TJ/SC ". 1ª. ed. - São Paulo: Thomson Reuters Brasil, 2021, p. 29 a 100. 8 Os referidos fluxos poderão ser visualizados no artigo escrito por esta autora: FRANCOSKI, Denise. A Lei Geral de Proteção de Dados Pessoais LGPD: aspectos práticos e teóricos relevantes no setor público e privado. "Aspectos práticos para a implementação da Lei Geral de Proteção de Dados Pessoais-LGPD nos Órgãos Públicos: O case do Tribunal de Justiça de Santa Catarina-TJSC ". 1ª. ed. - São Paulo: Thomson Reuters Brasil, 2021, p.80/81. 9 FRANCOSKI, Denise. "Aspectos práticos para a implementação da Lei Geral de Proteção de Dados Pessoais-LGPD nos Órgãos Públicos: O case do Tribunal de Justiça de Santa Catarina-TJ/SC". 1ª. ed. - São Paulo: Thomson Reuters Brasil, 2021, p. 81/82. 10 Disponível aqui - Acesso em 14.6.2021. 11 Disponível aqui  - Acesso em 14.06.2021. 12 O acordo de cooperação técnica poderá ser visualizado no Processo SEI 0015003-24.2021.8.24.0710, no portal do TJ/SC.

A proteção de dados, fomentada pelo avanço tecnológico, é cada vez mais debatida nas mais variadas áreas da sociedade. Tal interesse crescente acontece, pois, há uma maior consciência de que o uso indevido de dados pode acarretar severos danos, inclusive podendo manipular as escolhas dos seus titulares. Dentre as diversas novidades trazidas pela Lei Geral de Proteção de Dados (lei 13.709/2018), está a criação da categoria de agentes de tratamento, que engloba a figura do controlador e operador. Contudo, justamente por se tratar de uma lei nova, surgem dúvidas quanto aos limites de atuação desses agentes de tratamento na prática - a ponto de a Autoridade Nacional de Proteção de Dados ter produzido recentemente um guia orientativo para definir os agentes de tratamento.1 Muito se fala sobre o controlador e seu poder de decisão sobre o tratamento de dados pessoais, mas quem, efetivamente, faz o tratamento dos dados? Quem coloca o guizo no gato como na fábula de Esopo, recontada por La Fontaine? O operador, pois, nos termos do artigo 5º, inciso VII, da LGPD, sendo uma pessoa natural ou jurídica, de direito público ou privado, é quem realiza o tratamento de dados pessoais em nome do controlador. A caracterização do agente como controlador ou como operador é sempre contextual, variando conforme a atividade de tratamento específica: uma mesma empresa pode ser controladora ou operadora para atividades diferentes.2 Como exemplo prático de operador, o Tribunal de Justiça de São Paulo, através da Portaria nº 9.918/2020, estabeleceu que, enquanto o próprio Tribunal é o controlador dos dados pessoais por ele tratados, são considerados operadores os provedores de serviços de Tecnologia da Informação e Comunicação daquele Poder Judiciário. O operador não poderá ser um empregado específico da empresa, pois a capacidade de realização de atividades é sempre da instituição e não do funcionário.3 Nesse compasso, no tratamento de dados de usuários de um e-commerce, a empresa de e-commerce será a controladora, as empresas que fornecem a tecnologia, o gateway de pagamento e a nuvem para armazenar os dados serão operadores, sendo que os funcionários de todas essas empresas não serão nem controladores, nem operadores, mas apenas parte da empresa controladora ou operadora.4  Embora atue em nome do controlador e obedecendo suas decisões, o operador poderá exercer certo controle, principalmente, sobre os aspectos técnicos relativos a um serviço específico que será prestado, podendo escolher, por exemplo, o sistema de segurança envolvendo o armazenamento e guarda dos dados pessoais; todavia, somente o controlador poderá tomar decisões sobre as finalidades do tratamento, as bases legais de tratamento e o conteúdo dos dados.5 E quais seriam os seus deveres? Destaca-se que a LGPD fomentou o aspecto preventivo, estabelecendo procedimentos mandatórios para os agentes de tratamento, como, exemplificativamente. ao estabelecer deveres referentes à implementação de severas políticas de segurança para proteção dos dados de acessos não autorizados.6 Nesse sentido, e da leitura em conjunto com o artigo 46 da LGPD, pode-se afirmar que essa lei consagrou um dever geral de segurança. O operador, portanto, deve exercer o tratamento de dados guiado por esse dever de segurança. Assim, deve, o operador, certificar-se de que o seu sistema de segurança, que armazena e guarda os dados pessoais, esteja devidamente protegido contra eventuais ataques cibernéticos, providenciando a proteção necessária. Relacionado a este dever de segurança, está o artigo 37 da LGPD, que prevê ao controlador e ao operador a obrigação de manter registro das operações de tratamento de dados que realizar, especialmente quando baseado no legítimo interesse. Mostra-se necessário, em conformidade ao dever de segurança, que o controlador e operador sempre mantenham atualizado o registro das operações de tratamento. Quanto à relação entre operador e compliance, o artigo 50 da LGPD possibilita que os operadores e controladores formulem regras de boas práticas e de governança, com a ressalva, no seu parágrafo primeiro, de que os agentes de tratamento levem em consideração a natureza, o escopo, a finalidade, a probabilidade e a gravidade dos riscos e dos benefícios decorrentes de tratamento de dados do titular. Entre os procedimentos de boas práticas, a doutrina destaca: a realização de mapeamento de todos os processos de tratamento de dados pessoais para avaliação dos efetivos riscos; a criação de uma matriz de riscos; a adequação dos sistemas e documentos internos aos princípios do tratamento de dados pessoais; o compromisso da alta direção da organização a fim de dar credibilidade ao programa de boas práticas; treinamento dos funcionários e colaboradores para que adequem as suas atividades à LGPD; revisão e implementação contínua do programa de governança, com auditorias internas periódicas.7 Conforme já visto, as atividades do operador são feitas em nome do controlador. Assim, a formulação de regras de boas práticas e de governança só poderá ser realizada pelo operador se houver determinação do controlador para tanto, estando o poder decisório do operador limitado aos aspectos técnicos referentes a como um serviço específico será prestado. Contudo, isso não elimina a liberdade do operador de ter seu próprio programa de governança, boas práticas e compliance para pautar a sua atuação, justificando, inclusive, a negativa de realização dos comandos do controlador. Quanto à responsabilidade civil do operador, para que ocorra a sua responsabilização por danos decorrentes do tratamento, deve haver uma violação legislação de proteção de dados, especialmente, do dever geral de segurança acima referido, representado pela contrariedade a padrões de conduta que legitimamente se pode esperar de um operador. Isso ocorre na hipótese de o operador não tomar as devidas providências de segurança nos seus sistemas de coleta e armazenamento de dados, acarretando vazamentos. O padrão de conduta esperado seria aquele em que o operador mantivesse o sistema seguro (como através de constantes atualizações), bem como notificasse o controlador em caso de qualquer incidente de segurança. No âmbito administrativo, o artigo 52 da LGPD estabelece que controlador e o operador ficam sujeitos às sanções administrativas aplicáveis pela ANPD em razão das infrações cometidas às normas previstas, que podem ser desde advertências, com indicação de prazo para adoção de medidas corretivas, até multa simples, de até 2% do faturamento, limitada a R$ 50.000.000,00 por infração, e proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados. O artigo 52, § 1º, da LGPD, por sua vez, determina que, para a aplicação das sanções administrativas, serão consideradas, dentre outros critérios, o da adoção de política de boas práticas e governança. Assim, é importante que o operador demonstre, no processo administrativo, que atuou em conformidade com as boas práticas no tratamento. Igualmente, mostra-se necessário que o operador comprove a observância ao dever geral de segurança - assim como ocorre no âmbito da responsabilidade civil.  Nesse sentido, é essencial que o operador guarde o registro das operações de tratamento de dados pessoais que realizou, nos termos do artigo 37, da LGPD, bem como que demonstre que sempre manteve atualizado o software utilizado na coleta e armazenamento de dados, no intuito de evitar qualquer incidente de segurança. Por conseguinte, verifica-se que, embora seja o controlador que tenha autonomia decisória sobre a finalidade do tratamento dos dados, a figura do operador é de suma relevância para que se possa haver uma proteção de dados efetiva, pois ele irá realizar o tratamento, sendo o primeiro a notificá-lo em caso de incidente de segurança. Com o intuito de evitar a ocorrência de incidentes, mostra-se essencial que o operador atue em conformidade com as normas e princípios da LGPD, notadamente o dever geral de segurança e as boas práticas e governança. Caso assim não proceda, como os ratos da fábula, expostos aos riscos da tarefa de colocar o guizo no gato, estará, o operador, sujeito a suportar os riscos decorrentes do tratamento de dados pessoais. __________ 1 AUTORIDADE NACIONAL DE PROTEÇÃO DE DADOS. Guia orientativo para definição dos agentes de tratamento de dados pessoais. Disponível aqui. Acesso em: 06 de jun. de 2021. 2 LEONARDI, Marcel. Controladores e operadores: papéis, distinções, mitos e equívocos. In:  FRANCOSKI, Denise de Souza Luiz; TASSO, Fernando Antônio (Coords.). A Lei Geral de Proteção de Dados Pessoais: LGPD - Ed. 2021. São Paulo: Revista dos Tribunais. E-book. 3 PINHEIRO, Patrícia Peck. Proteção de dados pessoais: comentários à Lei nº 13.709/2018. 3ª ed. São Paulo: Saraiva Jur, 2021. E-book. 4 CABELLA, Daniela Monte Serrat; FERREIRA, Raíssa Moura. Descomplicando: agentes de tratamento. Disponível aqui. Acesso em: 09 de maio de 2021. 5 LEONARDI, Marcel. Controladores e operadores: papéis, distinções, mitos e equívocos. In:  FRANCOSKI, Denise de Souza Luiz; TASSO, Fernando Antônio (Coords.). A Lei Geral de Proteção de Dados Pessoais: LGPD - Ed. 2021. São Paulo: Revista dos Tribunais. E-book. 6 FRAZÃO, Ana; OLIVA, Milena Donato; ABÍLIO; Vivianne da Silveira. Compliance de dados pessoais. In: TEPEDINO; Gustavo; FRAZÃO, Ana; OLIVA, Milena Donato (Coords.). Lei Geral de Proteção de Dados Pessoais e suas repercussões no Direito Brasileiro. São Paulo: Revista do Tribunais, p. 681. 7 MATTIUZZO, Marcela.; CARVALHO, Vinícius Marques de; PONCE, Paula Pedigoni. Boas práticas e governança na LGPD. In: DONEDA, Danilo et al (Coord.). Tratado de Proteção de Dados Pessoais. 1ª ed. São Paulo: Editora Forense, 2020. E-book.

"No século XXI, nossos dados pessoais são provavelmente o recurso mais valioso que ainda temos a oferecer, e os entregamos aos gigantes tecnológicos em troca de serviços de e-mail e de vídeos com gatos engraçadinhos."1 Se é certo que já se tornou um truísmo asseverar-se que os dados pessoais tornaram-se uma espécie de petróleo do século XXI, também é igualmente cristalino que o escritor israelense, citado na epígrafe, está coberto de razão quando afirma que estamos trocando nossos valiosos dados pessoais, com os gigantes da tecnologia, por um punhado de gatinhos engraçados. Mal comparando - ou, ao contrário, muito bem comparando - parece que estamos numa situação semelhante à das tribos nativas africanas, ou à dos nossos aborígenes americanos, diante dos países colonizadores europeus, quando trocavam ouro, prata e outros metais extremamente preciosos por meras quinquilharias de pouco ou nenhum valor... Já na década de setenta da centúria passada, Stefano Rodotà observava que a novidade fundamental introduzida pelos computadores era justamente a transformação da informação: antes dispersa, tornou-se organizada2. E prosseguia o grande autor peninsular: "Cada um dos dados, considerado em si, pode ser pouco ou nada significativo: ou melhor, pouco ou nada diz além da questão específica a que diretamente se refere. No momento em que se torna possível conhecer e relacionar toda a massa de informações relativas a uma determinada pessoa, do cruzamento dessas relações surge o perfil completo do sujeito considerado, que permite sua avaliação e seu controle por parte de quem dispõe do meio idôneo para efetuar tais operações."3 Em razão das considerações retro expostas - e, sobretudo, com base nas citações feitas - parece ser despiciendo assinalar que o fenômeno do tratamento de dados não apenas está transformando as feições do mundo contemporâneo, como está a exigir um sentido espantoso de resposta por parte dos juristas de vanguarda que têm por missão fundamental pensar constantemente o Direito. Nesse sentido, é certo que não terá sido a lei 13.709, de 14 de agosto de 2018 - que veio a lume serodiamente na ordenação jurídica pátria -, que terá despertado entre nós a preocupação com a proteção adequada dos nossos dados pessoais. Desde o século passado, como pude relatar numa das minhas experiências no exercício da advocacia,4 vem o País perdendo "oportunidades valiosas de investimento internacional em razão do isolamento jurídico em que se encontra por não dispor de uma lei geral e nacional de proteção de dados pessoais (LGPD)", conforme assinalado acertadamente no Parecer do Senador Ricardo Ferraço, relator do Projeto de Lei da Câmara 53/2018. Em livro mais recente, o autor das palavras constantes da epígrafe voltou ao tema, com vigor ainda maior, com a indagação de quem seria o dono dos dados neste século XXI. E, de forma categórica, afirmou: "Se quisermos evitar a concentração de toda a riqueza e de todo o poder nas mãos de uma pequena elite, a chave é regulamentar a propriedade dos dados." E prosseguiu, explicando que a terra teria sido o ativo mais importante de antigamente, orientando-se a política de então no sentido do controle da propriedade das terras. Muitas terras concentradas nas mãos de um pequeno número de pessoas determinava a divisão da sociedade, fundamentalmente, em duas grandes classes: a dos aristocratas, de um lado, e a dos cidadãos comuns, de outro. Com o advento da sociedade moderna, a importância da terra cedeu espaço para as máquinas e para as fábricas e, do mesmo modo que a propriedade das terras dividira a sociedade entre aristocratas e cidadãos comuns, o esforço político deslocou-se para o controle dos meios de produção com o propósito de evitar-se que a sociedade passasse a se dividir entre duas outras classes: a dos capitalistas e a dos proletários. A reflexão seguinte de Harari reside na convicção - a meu ver inteiramente exata - de que, no corrente século XXI, tanto a terra, quanto a maquinaria, ficarão irreversivelmente para trás, passando os dados ao lugar de ativo principal do planeta, concentrando-se o esforço político no controle do fluxo desses dados. A corrida para obter o maior número de dados possível, evidentemente em curso há algum tempo, já terá determinado algumas consequências econômicas em curto espaço de tempo: as empresas mais valorizadas da atualidade - Google, Facebook, Apple, Microsoft e Tencent -, para ficar apenas em alguns exemplos, são justamente as maiores gigantes do mercado de tecnologia. Mas esse acúmulo impressionante de dados irá determinar consequências de grande monta, tanto a médio quanto a longo prazos. No que se refere ao curto prazo, assinala Harari que esse acúmulo de dados dará ensejo ao surgimento de "um modelo de negócio inédito, cuja primeira vítima será a própria indústria da publicidade", esclarecendo que esse novo modelo caracteriza-se pela transferência da autoridade nas escolhas dos seres humanos para os algoritmos, deduzindo daí que, a partir do momento que serão os algoritmos - e não mais os seres humanos - quem escolhe e faz as compras para nós, a indústria da publicidade irá irremediavelmente à falência... Com efeito, sustenta Harari que, quando chegar o dia em que pudermos perguntar ao Google qual será o carro mais adequado a ser comprado por nós, a partir de tudo o quanto esse gigante da tecnologia sabe sobre os nossos hábitos, quais são as nossas necessidades, qual a nossa posição sobre o aquecimento global e até mesmo sobre as nossas ideias sobre a política no Oriente Médio, e ele nos der uma resposta satisfatória, qual será a utilidade de subsistir, ainda, uma publicidade sobre automóveis?      Caberia, então, perguntar: E no que se refere ao longo prazo? A resposta de Harari afigura-se ainda mais surpreendente... Diz-nos ele: "No longo prazo, ao reunir informação e força computacional em quantidade suficiente, os gigantes dos dados poderão penetrar nos mais profundos segredos da vida, e depois usar esse conhecimento não só para fazer escolhas por nós ou nos manipular mas também na reengenharia da vida orgânica e na criação de formas de vida inorgânicas."5 Após prever que os seres humanos comuns não terão mais condições de resistirem a esse espantoso processo e que, igualmente, não disporão mais de meios adequados para bloquear o fluxo de dados, pois chegaram a ponto de depender da rede para a tomada de todas as suas decisões, aí incluídas as de saúde e de sobrevivência física, conclui Harari:                  "Humanos e máquinas poderão se fundir tão    completamente que os humanos não serão capazes de sobreviver se estiverem desconectados da rede. Estarão desconectados desde o útero, e, se em algum momento da vida você optar por se desconectar, as companhias de seguro talvez se recusem a empregá-lo, e serviços de saúde se recusem a cuidar de você. Na grande batalha entre saúde e privacidade, a saúde provavelmente vencerá sem muito esforço."                Não cabe neste modesto espaço, evidentemente, fazer uma análise crítica do que poderá acontecer, num futuro próximo, com a engenharia da vida. Mas uma coisa é certa: quando se fala em proteção de dados pessoais, não se está falando de um simples modismo tão a gosto dos oportunistas de plantão. Muito ao contrário, estamos tratando, antes de tudo, dos caminhos a serem tomados pela própria humanidade. __________ 1 HARARI, Yuval Noah - Homo Deus - Uma breve história do amanhã, São Paulo: Companhia das Letras, 2016, p. 343. 2 RODOTÀ, Stefano. Elaboratori elettronici e controllo sociale. Bologna: Il Mulino, 1973, p. 14. 3 Idem, pp.14/15. 4 DE LUCCA, Newton; DEZEM, Renata Mota. Princípios, Fundamentos e Conceitos relacionados ao sistema de proteção de dados pessoais. In: LUCCA, Newton De; FILHO, Adalberto Simão; LIMA, Cíntia Rosa Pereira de; MACIEL, Renata Mota. (Org.). A Lei nº 13.709, de 14 de agosto de 2018: a disciplina normativa que faltava. 1ª ed. São Paulo: Editora Quartier Latin do Brasil, 2019, v. IV, pp. 21-48.   5 21 lições para o século 21, tradução Paulo Geiger, 1ª ed. - São Paulo: Companhia de Letras, 2018, p. 109.  

Exemplos não faltam sobre a previsão, em Termos de Serviços e Políticas de Privacidade, de cláusulas que restringem a reparação integral de eventuais danos causados. Vejam-se duas ilustrações. Nos Termos de Serviços do YouTube, está previsto que "a responsabilidade total do YouTube e de suas afiliadas por qualquer reivindicação proveniente ou relacionada ao serviço limita-se: (a) ao valor da receita paga pelo YouTube a você com relação ao seu uso do serviço nos 12 meses anteriores à data de envio da sua notificação por escrito ao YouTube e (b) a US$ 500, o que for maior". Já na versão mais recente do Contrato de Serviços da Microsoft, afirma-se: "se você tiver alguma base para recuperar os danos (inclusive violação destes Termos), até a extensão permitida pela lei aplicável, você concorda que seu recurso exclusivo será recuperar, da Microsoft ou de qualquer afiliada, revendedor, distribuidor, Aplicativos de Terceiros e Provedores de Serviços e fornecedores, danos diretos até o valor equivalente ao valor pago por seus Serviços para o mês durante o qual ocorreu o prejuízo ou a violação (ou até USD$ 10,00 se os Serviços forem gratuitos)". Essa versão entra em vigor em 15 de junho de 2021. Como se sabe, admite-se, amplamente, no direito brasileiro, a gestão de riscos contratuais pelas partes - importante manifestação de autonomia privada. Um dos instrumentos que podem ser utilizados para essa alocação são as chamadas "cláusulas de não indenizar", objeto do presente artigo. Trata-se da inclusão, no contrato, de cláusula que exclui a reparação por perdas e danos decorrentes do inadimplemento (cláusula de exoneração) ou que fixa valor máximo de reparação pecuniária (cláusula de limitação). Dita gestão de riscos contratuais pode recair sobre a reparação por perdas e danos decorrentes de incidentes com dados pessoais? Faz diferença se o dano for moral ou material? E se a relação não for de consumo? E se, em vez de cláusula limitativa ou excludente do dever de reparar, a previsão do contrato for de cláusula penal ou de cláusula limitativa do objeto contratual? São os problemas que se busca enfrentar neste artigo. Inicia-se a análise pela perspectiva da inviabilidade de se limitar ou excluir a reparação de danos decorrentes de lesão à pessoa humana, à luz da teoria dos efeitos da lesão. O raciocínio incidirá para toda e qualquer relação, ainda que não seja de consumo. É direito fundamental da pessoa humana o controle de seus dados pessoais, o que está essencialmente vinculado ao princípio da dignidade da pessoa humana, fundamento do sistema jurídico (art. 1º, III, CRFB/88). Não se pode admitir a exoneração ou a limitação do dever de reparar danos resultantes de lesão à pessoa, sob pena de se pôr em xeque o referido princípio fundamental. É certo que a ordem pública figura entre os tradicionais requisitos de validade das referidas cláusulas limitativas e excludentes. No entanto, ao tratar desse requisito, a doutrina brasileira se refere, recorrentemente, apenas à proibição das cláusulas em face de reparação de dano moral. À luz da teoria dos efeitos da lesão, deve-se incluir na proibição também a indenização de danos materiais decorrentes de lesão à pessoa humana, uma vez que, nesse caso, a limitação ou a exclusão violariam a mesma prioridade valorativa. Ou seja, por esse raciocínio, não se admite a limitação ou a exclusão da reparação de danos decorrentes de incidentes com dados pessoais, sejam materiais, sejam morais. Cabe relembrar que a teoria dos efeitos da lesão sustenta a superação da identidade entre dano e lesão. O dano é o efeito da lesão. Se não chegam a ser antagônicas, as fórmulas empregadas se mostram bem distintas: dizer-se que "dano = lesão" é bem diferente de afirmar-se que "dano = efeito da lesão".1 A lesão à pessoa humana pode gerar também efeitos patrimoniais, na forma de danos emergentes e lucros cessantes. Assim, a "lesão à pessoa humana" não pode ser sinônimo ou núcleo de definição do conceito de "dano moral". O dano será patrimonial ou extrapatrimonial a depender do efeito antijurídico produzido, que não guarda correlação com a natureza do bem jurídico tutelado.2 Seja o efeito patrimonial, seja extrapatrimonial, a lesão é, de toda forma, à pessoa humana, o que justifica a inadmissibilidade de cláusulas limitativas ou excludentes. Assim, como a lesão à pessoa pode suscitar variados efeitos, a interpretação que se propõe - teoria dos efeitos da lesão - parece ser a única apta a permitir a construção da invalidade da cláusula tanto para danos morais quanto para danos materiais. No caso de incidentes com dados pessoais, mesmo quando a consequência (dano) é material, a lesão em jogo é existencial (à pessoa humana). Violaria a ordem pública na legalidade constitucional a exoneração ou a limitação da reparação em face de tais eventos. Não se admite, portanto, cláusula limitativa ou excludente quando está em jogo a proteção de dados pessoais, assim como não é permitida a cláusula na hipótese de lesão à integridade psicofísica de passageiro no contrato de transporte ou de paciente por intervenção médica. Se, nos termos da Constituição, as situações existenciais passam a gozar de prioridade axiológica, não será possível, sob pena de subversão hermenêutica, a prefixação de valor máximo ou a exclusão de reparação pecuniária por lesão à pessoa humana. Seja o dano material, seja moral, a solução é a mesma. Torna-se necessária, assim, interpretação ampliativa no sentido de serem proibidas cláusulas que limitem ou excluam a reparação de danos materiais ou morais decorrentes de lesão à pessoa humana. Essa conclusão se aplica a toda e qualquer relação, ainda que não seja de consumo, isto é, relação civil. Além disso, a interpretação proposta permanece a mesma independentemente da corrente doutrinária que se adotar a respeito da responsabilidade civil na LGPD, considerando-a de natureza subjetiva, objetiva, proativa etc. - tema controvertido, cujo aprofundamento escaparia aos limites do presente texto.3 Por outro lado, se a relação for de consumo, há disposições específicas no Código de Defesa do Consumidor sobre a matéria. A reparação integral é garantida como direito básico do consumidor, proibindo-se cláusulas limitativas ou excludentes diante de consumidor pessoa física. É admitida, por outro lado, a limitação da reparação em face de consumidor pessoa jurídica, desde que a situação seja justificável, sendo também proscrito, nesse caso, o pacto excludente (arts. 6º, VI, 25 e 51, I, CDC). Como se está tratando, neste trabalho, da proteção de dados pessoais, a questão que se coloca é quanto ao consumidor pessoa natural (física), de sorte que a incidência é da vedação absoluta às referidas cláusulas. Lembre-se, ainda, que o artigo 45 da LGPD prevê que "as hipóteses de violação do direito do titular no âmbito das relações de consumo permanecem sujeitas às regras de responsabilidade previstas na legislação pertinente".4 Passo adiante, se não se admitem cláusulas limitativas e excludentes do dever de reparar em caso de incidentes com dados pessoais, também não se pode permitir que as cláusulas penais e as cláusulas limitativas do objeto contratual gerem o mesmo efeito vedado. Ou seja, nenhuma cláusula pode restringir a reparação integral da vítima no caso de lesão à pessoa humana. Abra-se breve parêntese para que sejam compreendidos os efeitos das cláusulas de não indenizar diante do inadimplemento contratual. Como se sabe, configurando-se a mora do devedor, põe-se ao credor a possibilidade de obter coercitivamente a exata prestação devida, bem como pleitear perdas e danos. Se presente, na relação negocial, cláusula de não indenizar, esta atuará apenas com relação ao segundo efeito (perdas e danos), permanecendo hígido o direito do credor à exata prestação devida. Por outro lado, nos casos de inadimplemento absoluto, afiguram-se cabíveis os instrumentos (i) da resolução contratual e (ii) da execução pelo equivalente, sendo possível, em ambas as situações, o pleito indenizatório. Observe-se que, se pactuada cláusula de não indenizar, apenas a reparação por perdas e danos sofrerá constrição, permanecendo hígido o direito do credor ao equivalente à prestação devida, na hipótese de execução pelo equivalente, bem como à restituição da prestação já cumprida, no caso de resolução contratual.5 Então, por exemplo, se se verificar a mora do devedor em contrato de compra e venda de determinado produto tecnológico, o credor terá direito tanto a obter coercitivamente a entrega da coisa quanto a pleitear a reparação por perdas e danos. A cláusula de não indenizar apenas atua quanto ao segundo direito. Por outro lado, supondo-se que o credor ainda não tenha cumprido sua prestação e que venha a se configurar o inadimplemento absoluto do devedor nesse mesmo contrato, o credor terá direito à execução pelo equivalente, isto é, ao valor pecuniário correspondente à coisa, bem como à reparação por perdas e danos. A cláusula de não indenizar também somente atua quanto a esse segundo direito. Fechando-se o parêntese aberto para a compreensão dos efeitos e retornando-se à delimitação de fronteiras, cabe sublinhar que as cláusulas de não indenizar se diferenciam das cláusulas penais que exercem a função de fixar, previamente, o montante de perdas e danos.6 Em primeiro lugar, enquanto a cláusula penal estipula valor fixo, o ajuste limitativo estabelece teto de reparação e a convenção excludente priva o credor do recebimento da indenização. Há duas outras distinções entre as cláusulas de não indenizar e as convenções penais referidas: enquanto as segundas podem gerar como consequência que o valor pago pelo devedor supere a extensão do dano, nas primeiras isso não acontece, já que a função do ajuste é justamente a de limitar ou excluir (nunca aumentar) a reparação por perdas e danos. Além disso, enquanto o ajuste penal dispensa a comprovação dos prejuízos, tal prova se faz necessária para os pactos de não indenizar. Ainda que não se confundam tais convenções, a cláusula penal pode gerar, no caso concreto, efeito idêntico ao do pacto limitativo do dever de indenizar: a restrição da reparação por perdas e danos. Nesse ponto, cabe relembrar a regra do artigo 416, parágrafo único, do Código Civil, de que o credor não poderá pleitear indenização suplementar, se a extensão do dano causado for maior do que o montante fixado na cláusula penal, salvo se assim for convencionado pelas partes. Portanto, nas hipóteses em que não for previsto o direito do credor de pleitear os prejuízos excedentes, o pacto penal também poderá exercer, no caso prático, o efeito de limitação da reparação. Adota-se, neste trabalho, a terminologia cláusulas penais de perfil limitativo para caracterizar os ajustes penais nesses casos de restrição à reparação integral. De outro ângulo, as convenções limitativas e excludentes do dever de indenizar se distinguem das cláusulas limitativas do objeto contratual. Isso porque estas atuam no momento fisiológico, enquanto aquelas versam sobre o momento patológico da relação obrigacional. É exemplo de cláusula limitativa do objeto contratual a previsão de que o agente deixe de assumir as obrigações de segurança e de proteção de dados pessoais nos tratamentos realizados. Assim, a cláusula limitativa do objeto contratual se refere à não assunção de determinada obrigação por parte do devedor. Já nas convenções de não indenizar, o devedor assume a obrigação, mas um dos efeitos de seu inadimplemento, o de reparar pecuniariamente o credor, é limitado ou excluído. Permanecem hígidos, portanto, neste último caso, os outros direitos do credor diante do descumprimento: à exata prestação devida, ao equivalente ao devido e à restituição do já cumprido. Embora não se confundam tais ajustes, a cláusula limitativa do objeto contratual gera, no caso prático, efeito idêntico ao do pacto excludente: a exoneração do dever de indenizar por perdas e danos. No entanto, causa outras consequências ainda mais gravosas, relativas à exclusão dos referidos direitos à exata prestação devida, ao equivalente ao devido e à restituição do já cumprido. Denota-se, assim, a necessidade de controle funcional até mais rigoroso para os ajustes limitativos do objeto contratual. Por último, diante dessas aproximações de efeitos, faz-se necessária interpretação sistemática dos requisitos de validade para essas quatro cláusulas que disciplinam a responsabilidade contratual: (i) penal de perfil limitativo; (ii) limitativa do dever de indenizar; (iii) excludente do dever de indenizar; (iv) limitativa do objeto contratual. Inicia-se a explicação pelo paralelo entre a cláusula penal de perfil limitativo e a cláusula limitativa do dever de indenizar. Depois, se passa para o cotejo entre a cláusula de exoneração do dever de indenizar e a cláusula limitativa do objeto contratual.  A afinidade funcional entre as cláusulas penais de perfil limitativo e as cláusulas limitativas do dever de indenizar se fundamenta, primeiramente, no entendimento de que estruturas diversas podem gerar, concretamente, o mesmo efeito, caso em que receberão normativa equivalente. Assim, causando tanto as cláusulas penais quanto as cláusulas limitativas o efeito de restrição do dever de reparar por perdas e danos, os requisitos tradicionais de validade deverão ser interpretados sistematicamente para os dois ajustes. Além disso, o avizinhamento funcional se justifica para evitar a burla à lei por parte do devedor. Se as cláusulas penais de perfil limitativo não fossem inválidas nos casos em que os ajustes limitativos do dever de indenizar o são, bastaria a fixação contratual do pacto penal em baixo montante, sem previsão de possibilidade de indenização suplementar, para que o contratante escapasse da proibição legal, obtendo justamente o efeito vedado, isto é, a restrição do dever de indenizar. Na ponderação entre a autonomia negocial e o princípio da reparação integral, observa-se que os ajustes em análise produzem concretamente semelhante grau de restrição a este princípio. Desse modo, nas hipóteses em que o prato da balança da ponderação se inclina para a prevalência do princípio da reparação integral, invalidando-se as convenções limitativas, não devem ser também admitidas as cláusulas penais de perfil limitativo. A explicação é simples, insista-se: incide idêntica prioridade valorativa. Assim, em termos práticos, se a extensão do dano causado em decorrência de incidente com dado pessoal for maior do que o montante de perdas e danos fixado previamente na convenção penal, deverá ser assegurado o direito do credor aos prejuízos excedentes, mesmo se assim não tiver sido pactuado expressamente. Afasta-se a incidência do artigo 416, parágrafo único, do Código Civil. Imaginem-se três cláusulas previstas em contratos distintos, todas justamente para as hipóteses de reparação decorrentes de incidentes com dados pessoais: (a) uma primeira, penal, que fixa, previamente, o montante de perdas e danos em 500 unidades, sem previsão de possibilidade de indenização suplementar; (b) uma segunda, limitativa, que estabelece o teto de 500 unidades; e (c) uma terceira, de exoneração, que exclui o dever de indenizar. Suponha-se que seja causado, concretamente, dano na extensão de 1.000 unidades. Tratando-se de incidentes com dados pessoais, não se admitirá o efeito de limitação ou de exclusão do dever de reparar por perdas e danos para nenhuma das três cláusulas, independentemente de ser cláusula penal ou cláusula de não indenizar. A reparação será integral para as três hipóteses, ou seja, na extensão de 1.000 unidades. Afinal, a lesão é à pessoa humana. Demais disso, os mesmos fundamentos se aplicam para o paralelo entre as cláusulas excludentes do dever de indenizar e as convenções limitativas do objeto contratual. Estas se aproximam daquelas ao também excluírem a reparação por perdas e danos, mas, a rigor, revelam-se ainda mais gravosas aos interesses do credor, na medida em que eliminam outros direitos diante do descumprimento.  Nesse sentido, sob pena de fraude à lei, não se admite que a exoneração do dever de indenizar, quando vedada, seja obtida por meio da pactuação de cláusula limitativa do objeto contratual, sob o argumento de que o contratante estaria apenas definindo o conteúdo negocial. Como consequência, também as cláusulas limitativas do objeto contratual deverão se submeter ao juízo de merecimento de tutela que faz prevalecer a reparação integral diante de lesão à pessoa humana. Desse modo, é proibido que cláusula limitativa do objeto contratual exclua obrigação que, uma vez inobservada, gerará lesão à pessoa humana. Por exemplo, não se admite que o agente deixe de assumir as obrigações de segurança e de proteção de dados pessoais nos tratamentos realizados. Portanto, em linha tracejada que contenha, em um dos extremos, a plena satisfação do crédito e, no extremo oposto, o seu esvaziamento, se apresentam, em sequência: (i) a cláusula penal de perfil limitativo, (ii) a cláusula limitativa do dever de reparar por perdas e danos, (iii) a cláusula excludente do dever de reparar por perdas e danos e (iv) a cláusula limitativa do objeto contratual. Em todo o caminho dessa linha tracejada, não será admitido limitar ou excluir a reparação por perdas e danos diante de incidentes com dados pessoais, seja o dano moral ou material, seja a relação de consumo ou civil. Para qualquer caso de lesão à pessoa humana, deve ser integral a reparação dos efeitos dessa lesão. *Carlos Edison do Rêgo Monteiro Filho é professor titular de Direito Civil da UERJ (graduação, mestrado e doutorado) e ex-coordenador do programa de pós-graduação em Direito da UERJ. Doutor em Direito Civil e mestre em Direito da Cidade pela UERJ. Procurador do Estado do Rio de Janeiro. Vice-presidente do Instituto Brasileiro de Estudos de Responsabilidade Civil (IBERC). Associado Fundador do Instituto Avançado de Proteção de Dados (IAPD). Membro da Comissão de Direito Civil da OAB/RJ, do IBDCivil e da AHC-Brasil. Advogado, parecerista em temas de direito privado.  **Diana Loureiro Paiva de Castro é  mestre em Direito Civil pela UERJ. Professora em cursos de pós-graduação da UERJ (CEPED) e da PUC-Rio (IDD). Procuradora do Estado de São Paulo. Coordenadora do Núcleo de Propriedade Intelectual e Inovação da PGE-SP.  Vice-Presidente da Região Sudeste na ANAPE. Membro do IBDCivil, do IBERC e da AHC-Brasil. Bacharel em Direito pela UERJ. Foi Procuradora da FAPESP.  __________ 1 Carlos Edison do Rêgo Monteiro Filho. Responsabilidade contratual e extracontratual: contrastes e convergências no direito civil contemporâneo. Rio de Janeiro: Processo, 2016, pp. 130-131. 2 Carlos Edison do Rêgo Monteiro Filho. O conceito de dano moral e as relações de trabalho. Civilistica.com, a.3, n.1, 2014, Disponível aqui. 3 A respeito da controvérsia sobre a natureza da responsabilidade civil na LGPD, v. Rafael Dresch. A especial responsabilidade civil na Lei Geral de Proteção de Dados. Migalhas. Disponível aqui. 4 Nesse sentido, cf. Cíntia Rosa Pereira de Lima. Da invalidade da cláusula de não indenizar em matéria de proteção de dados. In: José Luiz de Moura Faleiros Júnior; João Victor Rozatti Longhi; Rodrigo Gugliara (coords.). Proteção de dados pessoais na sociedade da informação: entre dados e danos. Indaiatuba: Foco, 2021, pp. 397-412. 5 Diana Loureiro Paiva de Castro. Cláusulas limitativas e excludentes do dever de indenizar: espécies, efeitos e controle valorativo. In: Aline de Miranda Valverde Terra; Gisela Sampaio da Cruz Guedes (coords.). Inexecução das obrigações: pressupostos, evolução e remédios, v. 1, Rio de Janeiro: Processo, 2020, pp. 339-368. 6 Sobre o tema da cláusula penal, cf. Nelson Rosenvald. A virada da cláusula penal na Inglaterra: um insight para a atualização de nossa responsabilidade contratual. Migalhas. Disponível aqui.